Elisa infoturbejuht Mai Kraft: küberturvalisus on mitmekihiline nagu sibul

Küberturvalisusest räägitakse tihti kui asjast iseeneses – see on kas tagatud või ei ole – mis võib aga kiirelt viia valele teele. „Viirusetõrje, tugevad paroolid ja mõistlik õiguste haldus on küll vajalikud, kuid omapäi ei suuda neist ükski tagada terviklikku kaitset. Selle asemel tasuks turvateemadega tegeledes võtta eeskuju loodusmaailmast – et kaitsta ettevõtte südamikku ehk kõige olulisemaid ja ärikriitilisemaid osi, on need tarvis sibula kombel ümbritseda suure hulga erinevate kihtidega,“ räägib Elisa infoturbejuht Mai Kraft.

Täpselt nagu vanasti ei piisanud linnuse kaitsmiseks üksnes kõrgest müürist, ei suuda ka kübermaailmas ükski individuaalne tegevus turvalisust tagada. Iga uus kiht lükkab pahalase veidi kaugemale ja aitab hoida kõige väärtuslikuma tema haardeulatusest eemal.

Täna on kõigi küberturvalisusest hoolivate osapoolte käsutuses meeletus koguses erinevaid tööriistu, mida enda, oma töötajate ja ettevõtte kaitsmiseks rakendada. Erinevaid kihte saab üksteise peale laduda lõputult. Kuidas aga mõista, millal on erinevaid kihte piisavalt, et rahuliku südamega digimaailmas edasi toimetada?

Mitu kihti tuleb läbi närida, et jõuda südamikuni?

Küberturvalisust saab ajada taga absurdse tasemeni, kuid enamasti jookseb kuskilt mõistlikkuse piir. Igal ettevõttel on see erinev, kuid piisavalt pädeva riskihinnangu, iseendaga ausaks jäämise ning läbimõeldud strateegilise lähenemisega on lõpuks võimalik jõuda punkti, kus ei pea muretsema, kas tehtud on ikka piisavalt. Muutuvale keskkonnale peab küll alati olema valmis reageerima, kuid kui küberturvalisusele on lähenetud läbimõeldult, on vähemalt baaskaitse tagatud.

Õige tasemeni jõudmisel on kasuks ka kihilise lähenemise olulisuse mõistmine, aidates panna asjad konteksti ning mõista, kus on juba täna piisav tase saavutatud, kus on augud, mida tuleks lappida. Iga ettevõtte puhul on sobivad kaitsekihid eriilmelised, kuid mõned tugitalad on siiski universaalsed.

Esmalt tasuks mõista, mis on see, mida üldse kaitsta soovitakse ehk mis on see südamik, need kõige missioonikriitilisemad varad, andmed, teenused ja süsteemid, mis peavad olema kümne luku taga. Nende kõrval tasuks ära kaardistada, mis muu – veidi vähemtundlik – vajaks kaitsmist ja kui kaugele sellega minna. Kui kõige sügavamad kihid paigas, saab hakata nende ümber müüre ehitama.

Protsessilised lähenemised, nagu paroolireeglid, andmekaitsesätted, kasutajagruppide haldus ja ligipääsuhaldus aitavad paika seada ühe olulise portsu barjääridest, mis tagavad, et kõige olulisemale pääsevad alati ligi vaid need osapooled, kes peavad. Kõik need lähenemised võivad üksikuna vaadates olla murtavad – paroolid võivad lekkida, lahkunud töötaja kasutajanimi ununeb kustutada, kuskile võidakse üles laadida vale fail, kuid üheskoos aitavad need eksimuste potentsiaalse kahju vaos hoida.

Protsessilise poole kõrval tasub omaette turvakihina käsitleda ka võrguturvalisust ja seda, kuidas ettevõttele ligi pääsetakse. Tasuks paika panna kindlad reeglid ja põhimõtted, määrates, kes millisele võrgule ligi saab (töötajatel oma võrk, külalistel oma, klientidel oma), mida võrgus teha võib (allalaadimiste keelamine, monitooring) ning muidugi võrgu tehniline turvalisus (tulemüürid, seadmed). Igaüks neist lisab pahalaste teele uue takistuse, mille ületamine nõuab aega ja vaeva, muutes rünnaku aeganõudvamaks, tüütumaks ja lõpuks vähemtasuvaks. Tulemüürist saab küll mööda hiilida, aga kui selle kihi taga on ootamas järgmine vall, on eduka ründe tõenäosus oluliselt madalam.

Füüsiline turvalisus kui A ja O

Kuigi küberturvalisusest rääkides kerkivad esimesena silme ette pimedas toas askeldavad häkkerid, ei saa kaitsekihte läbi mõeldes jätta tähelepanuta ka füüsilist ehk otsest perimeetri turvalisust.

Perimeetri turvalisus hõlmab nii füüsilisi kui digitaalseid turvamehhanisme, mis peaks hoidma ära olukorra, kus keegi võõras tuleb ja pistab oma mälupulga arvutisse, pääsedes ligi ettevõtte andmetele. Turvakaamerad, uksekaardid, õigete võtmetega avatavad serveriruumid ja koolitused, mis manitsevad inimesi laua tagant lahkudest arvutist välja logima, on õiges suunas tehtav samm.

Erinevaid kaitsekihte saab kasutusele võtta nii palju, kui soovi on. Tasub aga meeles pidada, et küberturvalisus on alati tasakaalumäng kasutusmugavuse ja ohutuse vahel. Mida turvalisemaks süsteem muuta, seda raskemini kasutatav see on, samas kui liigselt kasutusmugavusele keskendudes pannakse tihti ohtu kaitsevõime. Oluline on leida täpselt õige keskpunkt, kus ettevõtte varad on piisava tasemeni kaitstud, samas jällegi on töötajatel võimalik oma tööülesanded ära teha n-ö kolme veretilka loovutamata.