Ekspert: kuidas vältida küberturvalisuse tagaajamise muutumist küberohuks?

Küberturvalisus on valdkond, mis tuleb üha keerulisemaks ja nutikamaks muutuvate tehnoloogiliste võimaluste tõttu kontrolli all hoida. „Siin võib aga tekkida oht, et turvalisuse tagamisega hakatakse pihta valest otsast – selle asemel, et mõelda, miks ja mida kaitsta, võetakse kasutusele kõige säravamad ja uhkemad lahendused, mis mahuks eelarvesse,“ räägib Elisa Eesti ärikliendi IT-teenuste tehniline juht Mihkel Kägo. 

„See, et naaberfirma on ostnud uhke tulemüüri või nõuab igale failile ligipääsemiseks kolme veretilka, ei tähenda, et see on õige lähenemine sinu ettevõtte puhul,“ jutustab ta. „Veebipoel tuleb peamiselt investeerida lahendusse, mis aitab lehte üleval hoida, samas kui vaid B2B otsemüüki tegeva äri puhul võib veebiturvalisus olla eelistuste pingereas alles kolmas või neljas. Küberturvalisuses ei ole one size fits all lahendusi.“

Seetõttu on esmatähtis enne päriselt ühegi praktika või toote kasutuselevõttu mõista, millised on need ohud, mille vastu end kaitsta soovitakse. „Iga ettevõte on erinev ja isegi kahe samalaadse äri puhul võib riskitaluvus prioriteetide järjekorda muuta. Selleks, et piiratud ressursse mõistlikult kulutada, tuleks läbi viia põhjalik riskihinnang ning üritada näha võimalikult laia pilti.“

Viimase puhul võib tulla kasuks ka välise toe kaasamine. „Oma ninast on sageli raske kaugemale näha. Endale võib tunduda, et kõik oluline on kaetud, samas kui kõrvaltvaataja suudaks tuvastada halle tähelepanuta jäänud alasid. Esmased plaanid ja hinnangud võiks kindlasti ise koostada, kuid enne plaanide praktikasse rakendamist tasuks mõtted korraks välispartneriga, laiemas kolleegide ringis või kasvõi sõbraga läbi arutada. Üsnagi tõenäoliselt suudavad nad juhtida tähelepanu millelegi, mis jäi endal märkamata,“ lisab ta.

Liigse tegemine võib olla ohtlik

Kui esmalt võib tunduda, et küberturvalisuse puhul on suurimaks riskiks mõne olulise aspekti kaitsmata jätmine, tuleb riskihinnanguid ja plaane koostades pidada meeles ka asja teist poolt. „Mõne olulise valdkonna piisava kaitseta jätmine on küll suur risk, kuid sama suureks riskiks võib kujuneda liialt hoogne ja paranoiline lähenemine.“

Üle võlli minemisel tekivad suurimad murekohad harilikult inimloomuse tõttu. „Töötajad mõistavad piiranguid mingi piirini – näiteks, et nad ei saa välisvõrgust tööasjadesse sisse logida – kuid kuskilt tuleb n-ö punane joon ette. Kui faili partnerile jagamiseks läheb vaja juhatuse luba või arvuti käivitamiseks tuleb ette lugeda kolme põlvkonna jagu esivanemate perekonnanimesid, üritatakse leida viis, kuidas millegi päriselt ära tegemiseks reeglitest mööda minna,” selgitab ta.

„See ei tähenda, et need reeglid alati ebavajalikud oleks. Mõnikord ongi vaja midagi viimse piirini kaitsta, aga töötajad peavad seda vajadust mõistma. Iga kaitsemeede peab olema proportsionaalne ohuga,” räägib ta ja lisab, et kui see nii ei ole, tuleb hakata rinda pistma turvariskidega, mida ei osatud algselt isegi ette kujutada.

Näiteks ei ole haruldased juhud, kus väga piiratud süsteemidest hakatakse mälupulkade toel või muul viisil andmeid välja viima, et nendega mugavamas keskkonnas, näiteks koduarvutis, töötada. „Ettevõte võib arvata, et kõik on väga hästi kaitstud, kuid suure kaitsmisega tekitati uus risk, millest isegi ei teata. Töötaja koduarvutit ei kaitse ju keegi ja ühtäkki jõuab sinna hulk teavet, mille jalutama mineku kohta ei ole kellelgi aimu. Tundmatu ohu eest ei saa ennast kaitsta,” selgitab ta. 

„See on koht, kus peaks endalt küsima, kas turvalisem oleks olnud ettevõttesiseseid turvareegleid gramm maha keerata. Alati võib vastuseks olla „ei” ning õigem oleks reegleid veel karmimaks muuta, et selline tegevus täielikult peatada, kuid see peab olema proportsionaalne,” jutustab ta. 

„Küberturvalisus on alati tasakaalumäng mugavuse ja ohutuse vahel. Liiga palju ühele või teisele poole kaldudes on lihtne jõuda olukorrani, kus kaitse pole piisav või on meetmed nii ekstreemsed, et inimesed hakkavad neist mööda hiilima.”

Silmad kinni võita ei saa

Niisamuti tuleks meeles pidada, et lisaks töötajate tekitatud ohuolukordadele võib uusi ohte tekkida petliku kindlustunde tõttu. „Kui keegi on käiku pannud kõik uhkeimad küberturbelahendused, võib väga lihtsalt tekkida tunne, et nüüd ongi kõik tehtud. Kui nende tööriistade kasutuselevõtmise taga ei ole aga pädevat riskihinnangut ja reaalsete ohtude kaardistamist, võib mõni väga oluline nüanss jääda märkamata,” selgitab ta. „Näiteks on veeb, serverid ja kliendiandmed väga hästi kaitstud. Samas aga on jäetud piisava tähelepanuta võrk – arvati, et mõni äsja käikuläinud lahendustest katab ka selle ära või jäi see suure turvamise käigus lihtsalt kahe silma vahele.” 

„Pädev lähenemine küberturvalisusele eeldab veidi talupojamõistust, üksjagu planeerimist ja iseendaga ausaks jäämist. Küberturvalisus on jätkusuutliku äri jaoks kriitilise tähtsusega. Tuleb leida õige tasakaal jõudmata olukorda, kus turvalisuse tagaajamine hakkab kindlustunnet õõnestama. Saab teha liiga palju, saab teha liiga vähe. Kuldse kesktee leidmiseks tuleb näha vaeva ja mitte pimesi paugutada,” summeerib Mihkel Kägo.