Vuosi 2022 on täällä!
Mennyt vuosi 2021 on ollut melkoista vuoristorataa monella tavalla, myös kyberturvallisuuden maailmassa. Olemme saaneet lukea valitettavan usein vuoden 2021 aikana tietoturvauhkista ja kyberiskuista eri yrityksiin ja organisaatioihin. Uutinen toisensa jälkeen on kertonut lukuisista lamauttavista ransomware-hyökkäyksistä, epäillyistä valtiollisista iskuista ja huomattavista datavarkauksista. Muistin virkistämiseksi alla muutama esimerkki vuoden 2021 isoista uutisotsikoista:

Solarwinds – Solarwindsin ohjelmistoon saatiin ujutettua haittaohjelma jonka seurauksena hyökkääjä sai pääsyn ohjelmistoa käyttäviin asiakasyrityksiin.
Microsoft Exchange -palvelinohjelmiston haavoittuvuus – Exchange- palvelimista löydetyn haavoittuvuuden seurauksena hyökkääjä saattoi päästä käsiksi Exchange-palvelimen tietoihin.
Colonial Pipeline – Ransomware -iskun seurauksena Colonial Pipeline joutui sulkemaan osia toiminnastaan joka vaikutti mm. öljytoimituksiin USA:ssa.
GoDaddy – Hyökkäyksen myötä 1,2 miljoonan asiakkaan tiedot joutuivat vääriin käsiin. Varastettujen tietojen joukossa oli mm. tietokantojen ja SFTP-tunnuksien kirjautumistietoja. 
Log4j – Log4j -komponentista löytynyt haavoittuvuus altisti miljoonia ympäristöjä välittömästi hyökkäyksille
Acer – Tietokonevalmistaja Acer kohtasi useita kyberiskuja vuoden 2021 aikana, seuraksena mm. ransomware -isku ja datavarkaus.
Volvo – Volvo ilmoitti joutuneensa kyberhyökkäyksen kohteeksi jonka seurauksena Volvon tutkimukseen ja kehitykseen liittyviä tietoja varastettiin.

Mutta nämähän ovat kaikki isoja nimiä joihin varmasti kohdistetaan jatkuvasti hyökkäyksiä. Pienemmät kalat saavat varmasti uida varmasti rauhassa bittimeressä, eikös niin?

Valitettavasti asia ei ole näin. Jokaista uutiskynnyksen ylittävää tarinaa kohden on liuta pienempiä tietoturvaloukkaksia ja murtoja joita ei uutisoida. Ja kaikkia tietomurtoja ei edes koskaan huomata. Kyberturvallisuuden pitäisikin olla tänä päivänä jokaisen organisaation strategian keskiössä. Perinteinen ”Eihän meidän tiedot kiinnosta ketään” -ajattelumalli kannattaakin nyt viimeistään heittää romukoppaan jos sellainen vielä kytee jossain ajatusten nurkilla. Koska ne tiedot kiinnostavat montaakin tahoa. Ja vaikka tietomurrosta ei olisikaan hyökkääjälle suoraa hyötyä, murrettua ympäristöä voidaan käyttää jatkohyökkäyksiin kuten haitallisten sähköpostien lähettämiseen uuteen kohteeseen.

2020 -luvulla lähes jokainen yritys on digiyritys. Ne yritykset ovat harvassa joilla ei ole mitään sähköistä jalanjälkeä vaan lähes kaikilla löytyy www-sivut, sähköisiä rekistereitä, sähköpostiohjelmia tai tuotantosovelluksia. Olemme kaikki kytkeytyneet maailmanlaajuisesti toisemme yhdistäviin tietoverkkoihin joten voimme jokainen olla kohde.

Tähän mennessä luettuna tulevaisuus vaikuttaa melko toivottomalta. Onko siis mitään tehtävissä? Kyllä on, paljonkin! Jokainen meistä voi huomattavasti parantaa omaa kyberturvallisuuttaan.

Ensimmäinen askel on tunnustaa kyberturvallisuuden tarve ja suhtautua siihen asian vaatimalla vakavuudella. 2020 -luvulla tietoturvaa ei voi vain ulkoistaa yrityksen IT:lle tai palveluntarjoajalle. Tietoturva ei myöskään ole vain virustorjuntaohjelma tietokoneessa vaan kyberturvallinen ympäristö vaatii kokonaisvaltaisen näkemyksen. Tämä vaatii strategian johon täytyy sitoutua koko yrityksen laajuisesti.

Teknisen valmiuden varmentaminen on myös hyvin tärkeää. Paikallisten ratkaisujen (virustorjunta, verkonvalvonta yms) lisäksi myös pilvet tarjoavat meille paljon etuja joita voimme käyttää tietoturvan parantamiseen. Nykyaikaiset tietoturvauhat vaativat modernit, skaalautuvat tietoturvatuotteet ja ne ovat helposti organisaatioiden saatavilla. Esimerkiksi Microsoft 365 ratkaisut (joita käytetään Suomessa hyvin paljon) tarjoavat useita tietoturvaa parantavia ratkaisuja.

Tehokkainkaan tekninen ratkaisu ei kuitenkaan voi ratkaista kaikkia uhkia. Meidän täytyy myös muuttaa ajattelutapaamme tietoturvallisemmaksi jota kaikkien pitää noudattaa parhaansa mukaan. Tämä koskee niin päivittäistä toimintaa, toimintamalleja uhkatilanteissa kuin myös uudistumiskykyä. Kuinka toimin jos saan epäilyttävän sähköpostin? Tietokoneeni käyttäytyy omituisesti, mihin ilmoitan asiasta? Kuinka organisaatiomme pysyy ajan tasalla jatkuvasti muuttuvassa kyberturvamaailmassa? Nämä ovat tärkeitä asioita keskustella ja sopia etukäteen jotta toimintatavat ovat jo tiedossa mikäli jotain tapahtuu ja vahinko saadaan minimoitua. On myös tärkeää pysyä ajan tasalla ja kouluttaa henkilöstöä tietoturvan osalta. Tietotekniikan maailma kehittyy jatkuvasti eikä tietoturva ole poikkeus. 

Joten mikäli uudenvuodenlupaus vielä puuttuu, lupaa parantaa kyberturvallisuustasoasi vuonna 2022. Se on lupaus joka varmasti kannattaa.