Viimasel ajal üha suurenenud küberrünnakute arv on aidanud kõikidel ettevõtetel mõista, et küberturvalisus on valdkond, millesse ei saa leebelt suhtuda. Elisa IT-juhi Villu Teearu kinnitusel võivad ettevõtted, kes ei ole varem turvateemadega sihikindlalt tegelenud, kaevuda pimesi uusi turvapraktikaid rakendades veelgi sügavamasse auku.
„Viimaste aastate jooksul on küberturvalisus pea kõikides organisatsioonides liikunud oluliste teemade edetabelis üksjagu ülespoole ning seda ka põhjusega – Elisa andmetel tõusis eraisikute pihta suunatud rünnakute hulk ainuüksi suve jooksul enam kui 1300%. Seetõttu on hakanud ka ettevõtted, kes varem teemale ei mõelnud, kehtestama turvareegleid, panema paika protsesse ning rakendama abinõusid, mis peaks ohte maandama,“ rääkis Teearu.
Tema sõnul on tervitatav, et ettevõtted soovivad oma andmeid, töötajaid ja kliente kaitsta, samas tuleb vältida läbimõtlematut tegutsemist. Kui elementaarsete asjadega on keeruline eksida, siis võttes kasutusele keerulisemaid ja põhjalikumaid turvapraktikaid, on pimesi liikudes lihtne eksida ning endale uusi ja ohtlikke probleeme tekitada. Erinevaid eksimisvõimalusi on mitmeid, kuid kolm neist on kõige sagedasemad ja ohtlikumad.
Turvamist hakatakse tegema ohte mõistmata
„On üsnagi loogiline, et kontole sisse logimiseks peab kasutama parooli ning et töötajad ei tohi oma n-ö vennapojale anda ligipääsu ettevõtte süsteemidesse. Need on teemad, mille saab üsna lihtsalt ära katta ka muust maailmast midagi teadmata. Aga kui tahta teha midagi veelgi enamat, et seeläbi enda kindlustunnet tõsta ja potentsiaalseid kahjusid piirata, on tarvis teada, mille vastu end päriselt kaitsma peaks,“ selgitas Teearu.
Ta lisas, et enne põhjalike turvapoliitikate rakendamist ning CIA-tasemel turvameetmete käiku lükkamist tasuks igal ettevõttel läbi viia riskianalüüs ning ohtude ja nõrkuste kaardistamine. Seejärel saab võtta tarvitusele turvameetmed, mis suudavad kaitsta reaalsete ohtude eest. „Iga uus samm turvalisuse teel tähendab kellelegi aja- ja ressursikulu. Kui ideaalses maailmas võiks üritada kaitsta kõike, siis reaalsuses tuleb harilikult ühte kohta rohkem ja teise vähem panustada – oluline ongi mõista, mis on kõige tähtsam ja mille puhul võib 100-protsendilise turvalisuse asemel piirduda 95 protsendiga,“ rääkis ta.
Villu Teearu rõhutab töötajate koolitamise
ja teadlikkuse tõstmise olulisust (Foto: Elisa)
Niisamuti märkis ta, et end on pea võimatu kaitsta tundmate ohtude eest ning ka see on midagi, millele peaks pädevalt läbiviidud riskianalüüsis tähelepanu pöörama. Kuigi ettevõte võib pidada kõige olulisemaks kaitsta kümne tabalukuga digitaalselt ligipääsu põhiserverile ning kõigi õigustega admin-kontole, siis on just riskianalüüs see, mis peaks vajadusel kätte näitama ka pidevalt lukust lahti jääva serveriruumi ukse või selle, et naaberfirma langes just rünnaku Y ohvriks ja see võib ohustada ka siin.
Unustatakse ära inimloomus
„Turvalisus ja kasutusmugavus on kaalu kaks poolt – mida turvalisemaks midagi teha, seda ebamugavam on see kasutaja jaoks ning mida mugavam, seda enam kannatab turvalisus. Seda põhimõtet mõistmata on turvateemadele lähenedes lihtne leida end olukorras, kus töötajad üritavad igal viisil raske vaevaga paika pandud turvapoliitikat üle kavaldada, et üldse tööl midagi tehtud saada,“ selgitas Teearu.
Seetõttu soovitab ta enne karmide nõuete kehtestamist heita pilk riskihinnangule, hinnata oma riskitaluvust ning pidada meeles, kuidas inimesed päris maailmas töötavad. „Kui ka kõige tavalisemale failile ligipääsemiseks peab küsima luba tegevjuhilt, siis piilutakse seda pigem pinginaabri arvutist. Kui aga iga nädala tagant tuleb parooli muuta, kirjutatakse see märkmepaberile ja kleebitakse ekraani servale,“ tõdes ta.
„Oluline on leida tasakaalupunkt, kus turvapoliitika suudab tagada vajaliku turvalisuse ega muuda inimeste elu nii ebamugavaks, et nad üritaks seda vältida, mistõttu langeks turvatase veelgi madalamale, kui üldse mitte midagi tehes. Kui aga tead, et turvapraktikaid ei ole kasutusele võetud, saab riskideks valmis olla. Kui arvad, et pommikindlad praktikad on kenasti käigus, kuid neist hiilitakse alaliselt mööda, tekitab võltsturvatunne erinevatele ohtudele sooja pesa. Tasakaal on kriitiline,“ lisas ta.
Eeldatakse, et töö ongi tehtud
„Ei ole haruldane, et turvaprintsiibid pannakse ühel kenal päeval paika ja siis lüüakse raamatusse tempel, et nüüd on turvalisus valmis. Sellest ekslikumat lähenemist ei ole – nii nagu areneb kogu maailm meie ümber, peavad pidevalt arenema ka küberturvalisuspraktikad ja see, kuidas ning milliste ohtude vastu ennast kaitstakse,“ rääkis ta.
Niisamuti tuleb mõista, et piisava taseme hoidmiseks on oluline töötajate pidev koolitamine ning nende teadlikkuse tõstmine. „Ei piisa sellest, et esimesel tööpäeval turvapõhimõtted ette vuristati – seda infot tuleb pidevalt korrata, viia läbi sobivaid harjutusi, uute ohtude tekkimisel töötajaid koolitada ning kui võimalik, siis tuleks aeg-ajalt läbi mängida ka reaalseid situatsioone,“ ütles Teearu. „Heaks valikuks on siin näiteks turvaosakonna saadetavad õngitsuskirjad või simulatsioonipäevad, kus erinevad olukorrad käegakatsutavaks muudetakse.“
