Asjalik nimekiri: kust alustada, et kurjategijad klientide andmeid ära ei varastaks 

Kõige raskemate tagajärgedega on need rünnakud, mille vastu pole valmistutud. Kui sa ei tea, mis sind ohustab, siis on ilmne, et hüpoteetilise ohu reaalseks küberründeks muutudes on ka tulemused palju rängemad, ettevõte pikemaks ajaks töövõimetu, mainekahju suurem. 

Lauri Tiitus 
Telia IT teenuste juht 

Kuidas küberünnakuteks valmistuda? Esimene asi on kindlaks teha, kus on sinu ettevõtte kõige nõrgemad kohad. Reaalses maailmas on asi mõneti lihtsam, kui näiteks kontori aken on pärani lahti, siis torkab see otsekohe silma. Kübermaailmas nõuab veendumine, et kõik uksed-aknad on ilusti lukus ja võtmeid poleks jäetud väljapoole, omajagu rohkem tööd. Suures plaanis saab olukorra kontrolli alla võtmise jagada kolmeks lõiguks. 

Väliste ohtude kaardistamine

Kust me üldse teame, millised ohud meid varitsevad? Ettevõtte IT-süsteemi haavatavad kohad tuleks kaardistada. Selleks leidub erinevaid tarkvarasid, üks tuntumaid on Outpost24. Selle abil saab pildi ette – mis teie ettevõtte kohta väljapoolt vaadates paistab, millised süsteemi osad vajaksid vahetamist, millised järele aitamist. Tuleb olla valmis, et Outpost24 ohuhinnang on keeruline, tehniline tekst, mille tõlgendamiseks vajate eraldi abi. Kui esimene ohuhinnang on tehtud, tuleks panna paika süsteem, mis muudab ohtude seire pidevaks, firma töö igapäevaseks osaks. 

Sisemiste ohtude vähendamine

Et IT-süsteemid toimiks, tuleb neid järjepidevalt ajakohastada ja hooldada. Mitte siis, kui aega on, mitte siis, kui midagi juhtub, vaid tõesti järjepidevalt, ajaga kaasas käies. Päris sageli leiab ettevõtetest nn „legacy-süsteeme“, on see siis aegunud serveritarkvara või haavatav veebileht, internetti ühendatud ja seega kogu maailmale nähtav turvakaamera või isegi muutmata jäetud paroolid, näiteks kasutajanimi „admin“ ja parool „12345“. 

Mõnegi ettevõtte tähtsaim vara on andmed, sealhulgas ka tundlikud isikuandmed. Hiljutine Eesti ajaloo seni suurim terviseandmete leke joonib rasvaselt alla vajaduse isikuandmete hoiustamine kullipilguga üle vaadata. Kõigepealt tuleks selgeks teha, mis andmeid ettevõte kogub ja kasutab, millised neist on kõige tundlikumad. Isikuandmeid töötlevad näiteks e-pood, raamatupidamissüsteem (töötajate palgaarvestus), personaliarvestussüsteem (töögraafikud, tööajaarvestus, puhkused), aga ka kliendihaldussüsteem ja isegi näiteks uudiskirjadega seotud lahendused. Tundlikke andmeid tuleks liigutada ja hoida krüpteeritult. 

Sama oluline on andmete varundamine – pange paika regulaarne varundamisplaan, et kõik teie andmed oleksid kättesaadavad ka juhul, kui kurjategijad need krüptoviirusega nö pantvangi võtavad ja lunaraha nõuavad. 

Tegevuskava

Kõige alus on korralik plaan, tegevuskava puudumisest tingitud peataolek aitab ründajatel oma eesmärke saavutada, kiire reageerimine mõistagi vähendab kahjusid. Kui firmas on tugev IT-meeskond, tuleks iga võimaliku ohu realiseerumise tarbeks tegevused paika panna. Kui aga ettevõte on alles algusjärgus või pigem väike, siis tuleks kaaluda välise abi otsimist, SOCaas-teenuse (Security Operations Center as a Service, turbekeskus teenusena) rakendamist. 

Tegevuskava pole vaja mitte ainult rünnaku tõrjumiseks, vaid ka selle ennetamiseks, siinkohal on kõige olulisem töötajate pidev koolitamine. Ükskõik kui tugev IT-süsteem ei suuda heaks teha teadmatusest valesti toimetavate töötajate eksimusi, seega peab koolitus ja teavitus olema raudselt järjepidev. 

On selge, et ühte artiklisse ei saa kogu maailma tarkust kirja panna, ka pole reaalne eeldada, et ettevõtte juht selle kõigega ise toime tuleks. Allpool loen üles kümme esmavajalikku suunda, millele tähelepanu pöörata. Saatke see nimistu oma IT-meeskonnale ja käige punkthaaval üle, veendumaks, kas olukord on ikka kontrolli all või saaks midagi paremini teha. 

1. Andmevarade kaardistamine
   Milliseid andmeid, sh isikuandmeid te töötlete, kus ja kuidas neid hoiate? 
2. Varundamine ja taastamiskavad
   Looge regulaarsed varundamiskavad, et kiiresti taastuda mistahes andmelekkest või rünnakust. 
3. Autentimine
   Kas kõigil IT-süsteemidel ja rakendustel on ikka piisavalt tugev, kaheastmeline autentimine? Vaadake üle ka kolmandate osapoolte teenused, mida regulaarselt kasutate. On need ikka piisavalt kaitstud?  
4. Andmete krüpteerimine
   Delikaatsed isikuandmed olgu krüpteeritud nii andmete salvestamisel, hoiustamisel ja liigutamisel infosüsteemide vahel. Paljud lekked tulevad seadme (nt sülearvuti, nutiseadme või USB-seadme) vargusest või kadumisest, alati tuleks jälgida ka e-posti või posti teel saadetavate andmete turvalisust. 
5. Koolituste ja teavituste järjepidevus
   On oluline, et kõik teaksid, kuidas ohte ära tunda, ja kuna olukord muutub pidevalt, peab ka koolitamine olema pidev protsess.  
6. Kolmandate osapoolte teenuste turvalisus
   Meie vastutame oma klientide ja töötajate ees, seega peame olema kindlad, et ka partnerid, kelle loodud tarkvara me kasutame, rakendavad parimaid praktikaid andmete liigutamisel ja säilitamisel. 
7. Seire ja vastureaktsioon
   Meeskond peab täpselt teadma, kuidas reageerida rünnaku korral ning kuidas minimeerida kahjusid.
8. IT-süsteemi ajakohastamine
   Tarkvarad olgu uuendatud, kõige viimased turvapaigad paigaldatud, paroolid vahetatud.
9. Võrgu jälgimine ja logimine
   Küberkurjategijad võivad rünnata märkamatult. Kui vajalik logi on olemas, siis on vähemalt võimalik leida ründe ulatus ja kaardistada tekkinud kahju.
10.  E-maili turvalisus
    Tavainimesele ei ütle lühendid SPF, DKIM ja DMARK vahest midagi, ent väga oluline on uurida, kas IT-osakond on nende – e-kirjade autentimismeetodite – osas kõik vajalikud meetmed kasutusele võtnud. See on vajalik, et takistada meilipõhiseid identiteedivargusi. Nende samaaegne seadistamine aitab tõhusalt kaitsta teie ettevõtet e-kirja pettuste eest ja samal ajal tagada, et olulised kirjad rämpsposti kausta ei maanduks.
    NB! Oluline on seadistada need turvaprotokollid kõigile ettevõttega seotud domeenidele, sh ka neile, millelt tegelikult kirju välja ei saadetagi.