Kun yritys kehittää digitaalisia palveluita, kannattaa sen huomioida tietoturva heti suunnittelun alkuvaiheessa. Nämä seitsemän vinkkiä auttavat alkuun.
Tietoturvan kehittäminen kannattaa aloittaa heti, kun organisaatio alkaa suunnitella sähköisiä palveluita. Jos tietoturvaa aletaan pohtia vasta palvelun valmistumisvaiheessa, voi suojaaminen vaatia enemmän aikaa ja jopa hidastaa palvelun käynnistämistä.
1. Laadi tietoturvasuunnitelma
Tietoturvasuunnitelman laatiminen on ensimmäinen askel sähköisten- ja IoT-palveluiden turvallisuuden kehittämisessä. Kun keskeiset tietoturvahaasteet, suojaustoimet ja vastuuhenkilöt on dokumentoitu, on tietoturvan kehittäminen tukevammalla pohjalla kuin ilman suunnitelmaa.
2. Luokittele data sen kriittisyyden perusteella
On tärkeää määritellä, mitä dataa säilytetään omilla servereillä, mitä julkisissa pilvipalveluissa ja mitä suljetuissa datapalveluissa. Datan säilyttämisestä ja käsittelemisestä onkin tärkeää luoda yksinkertaiset periaatteet, joita on helppo viestiä ja noudattaa.
3. Varmista käyttöoikeuksien ja identiteetin hallinta
Organisaation on määriteltävä, kuka pääsee mihinkin tietoon käsiksi. Kun organisaatio saavuttaa sellaisen koon, että henkilöstö ja henkilöstön tehtävät vaihtuvat tiheään, vaatii käyttöoikeuksien ylläpitäminen jatkuvaa työtä. Lisähaastetta tuo esimerkiksi vuokratyövoiman käyttö.
Tekniikan osalta ratkaisu on helpompi, sillä tarjolla on valmiita palveluita, joiden avulla voidaan hallita pääsyä eri palveluihin ja määritellä käyttäjille valmiit roolit ilman laiteinvestointeja. Roolin mukaan voidaan määritellä palvelukohtaisesti esimerkiksi se, kuka palvelua voi käyttää, mistä kaikkialta palveluun voi päästä ja mihin kellonaikaan.
Käyttöoikeuksien tarkistamisen lisäksi myös käyttäjän identiteetin toteaminen on tärkeää: organisaation on aina voitava tunnistaa miltä koneelta ja kenen toimesta dataa käsitellään. Käyttäjän vahva todentaminen perustuu yleensä yrityksen käyttäjätunnukseen, salasanaan ja kertakäyttösalasanaan, joka saadaan esimerkiksi tekstiviestillä, todennuslaitteella tai mobiilisovelluksesta.
4. Huolehdi henkilöstön tietoturvakoulutuksesta
Koulutus on tärkeää, jotta henkilöstö ymmärtää, miksi ja miten tietoturvasta pitää huolehtia. Tekniset ratkaisut vastaavat suureen osaan tietoturvahaasteista, mutta ajattelematon henkilöstö voi luoda merkittäviä tietoturva-aukkoja. Esimerkiksi tarkat periaatteet datan säilyttämisestä suojaavat vain, jos henkilöstö ymmärtää periaatteiden merkityksen.
5. Varmista, että tekniset perusratkaisut ovat kunnossa
Palomuuripalvelu, sovellusten tunnistaminen ja etäyhteyspalvelut ovat tietoturvan välttämättömiä perusosasia, joiden olemassaolo auttaa jo pitkälle. Hyökkäyspinta-alaa voi pienentää palvelunestohyökkäyksien heikentämiseen toteutetulla palvelulla, jota operaattorit tarjoavat automatisoituna suojauspalveluna. Palvelu käynnistyy nopeasti hyökkäyksen alkaessa.
6. Varmista, että ohjelmistot ovat ajan tasalla
Ohjelmistojen päivitys on tärkeää, sillä tietoturva-aukot kasvavat sitä suuremmiksi, mitä kauemmin ohjelmistot ovat päivittämättä. Henkilöstön kaikkien päätelaitteiden tietoturvan huolehtiminen on keskeinen asia. Älypuhelimet ovat tämän päivän tietokoneita, joiden suojauksesta kannattaa huolehtia.
7. Suunnittele tietoturvariskien hallinta operaattorikumppanisi kanssa
Operaattorilla on luonnollinen asema tietoturvan hallinnassa, koska se huolehtii tietoliikenneyhteyksistä. Operaattori ei kuitenkaan tiedä automaattisesti asiakkaiden tietoturvatarpeita. Siksi sähköisiä palveluita rakentavan organisaation kannattaa keskustella, miten operaattori voi tukea esimerkiksi hyökkäyspinta-alan pienentämisessä.
DNA Business on tuottanut kuusiosaisen dokumenttisarjan Hyvä paha digitalisaatio. Tietoturvaa käsittelevissä jaksoissa puhutaan kyberuhkien vaikutuksesta yhteiskuntaan sekä verkkorikollisuuden eri muodoista.
Katso jaksot
* * *
Artikkeli on julkaistu 19.9.2016, päivitetty 4.9.2017
