Moduuli 5 · 5.2
Kannettavan ja puhelimen turvallinen käyttö
Moduuli 5: Laitteet, ohjelmistot ja verkko · Lukuaika: 10 minuuttia
Tavoite: Tämän oppitunnin jälkeen osaat suojata kannettavat ja puhelimet katoamiselta, varkaudelta ja haittaohjelmilta, ja tiedät mitä teet ensimmäisen tunnin aikana, jos laite katoaa.
Keskeiset käsitteet: näytön lukitus, levyn salaus, palautusavain, laitteen etsiminen ja tyhjentäminen, sisäänrakennettu suojaus, peruskäyttäjä, ylläpitäjätili, sovellusoikeudet, etähallinta (MDM)
Laite on avainnippu
Yrittäjän kannettavalla tai puhelimella ei ole vain tiedostoja. Niillä on myös kirjautuneita istuntoja sähköpostiin, kirjanpitoon ja pankkiin, tallennettuja salasanoja, kaksivaiheisen tunnistautumisen autentikaattorisovellus, asiakastietoja latauskansiossa ja kuvia passeista, jotka joku oli "vain lyhyesti" lähettänyt. Kadonnut tai varastettu laite on siksi lähes aina enemmän kuin kuluerä. Se voi antaa pääsyn koko yritykseesi, ja se voi olla tietoturvaloukkaus (oppitunti 8.2).
Riskejä on kahdenlaisia, ja niihin kuuluu erilaisia toimenpiteitä:
| Riski | Esimerkki | Tärkeimmät toimenpiteet |
|---|---|---|
| Fyysinen | Kannettava jää junaan, puhelin varastetaan terassilta | Näytön lukitus, levyn salaus, etäetsintä ja -tyhjennys |
| Digitaalinen | Haittaohjelma liitteessä, väärennetty sovellus, vanhentunut ohjelma | Päivitykset (oppitunti 5.1), sisäänrakennettu suojaus, ei ylläpitäjäoikeuksia, sovellusoikeudet |
Näytön lukitus: ensimmäinen ovi
Ilman lukitusta kuka tahansa, joka ottaa laitteesi käteensä, pääsee jatkamaan siitä mihin jäit. Ota siis käyttöön:
- PIN-koodi tai salasana jokaiseen laitteeseen, lisättynä biometrialla (sormenjälki tai kasvot) mukavuuden vuoksi. Vähintään kuusinumeroinen PIN-koodi on paljon vahvempi kuin neljänumeroinen; pyyhkäisykuvio on usein luettavissa näytöllä näkyvistä jäljistä;
- automaattinen lukitus muutaman minuutin käyttämättömyyden jälkeen;
- tapa lukita itse, kun kävelet pois. Windowsissa tämä on Windows-näppäin + L, Macissa Control + Command + Q;
- lukitusnäytön ilmoitusten rajoittaminen. Tekstiviestinä tulevan kirjautumiskoodin tai luottamuksellisen sähköpostin otteen ei tarvitse näkyä kenelle tahansa, joka näkee puhelimesi pöydällä.
Levyn salaus: mitä varas ei pysty lukemaan
Näytön lukitus pysäyttää ohikulkijan, mutta ei varasta, jolla on aikaa. Hän voi irrottaa levyn kannettavasta ja lukea sen toisessa tietokoneessa. Tätä skenaariota vastaan auttaa levyn salaus: kaikki tallennustilan tiedot salataan avaimella, joka vapautuu vasta kun kirjaudut sisään. Ilman tuota avainta levy on vain joukko lukukelvottomia merkkejä.
| Laite | Nimi | Mitä sinun tulee tietää |
|---|---|---|
| Windows | BitLocker (Pro, Enterprise, Education) tai Laitteen salaus (myös Windows Home:ssa, sopivissa laitteissa) | Laitteen salaus kytkeytyy automaattisesti päälle, jos kirjaudut asennuksen yhteydessä Microsoft-tilillä tai työ- tai koulutilillä; paikallisella tilillä ei. Tarkista tämä kohdasta Tietosuoja ja suojaus. |
| Mac | FileVault | Kytke päälle järjestelmäasetuksista kohdasta Tietosuoja ja suojaus. |
| iPhone ja iPad | Tietosuoja | Kytkeytyy automaattisesti päälle, kun asetat pääsykoodin. |
| Android | Laitteen salaus | On oletuksena päällä nykyaikaisissa puhelimissa; tarkista kohdasta Suojaus. |
Salaukseen kuuluu palautusavain: pitkä koodi, jolla pääset tietoihin, jos salasanasi ei enää toimi tai laitteeseen on tehty suuri muutos. Säilytä tämä avain paikassa, johon pääset käsiksi myös silloin, kun kannettava itse on kadonnut, esimerkiksi salasanojen hallintaohjelmassasi tai organisaatiosi tilillä. Palautusavain lapulla kannettavan laukussa on yhtä hyödyllinen kuin talon avain oven matolla.
Miksi tämä on olennaista tietosuoja-asetuksen (GDPR) kannalta: jos kadotat salatun laitteen, jonka avain on turvassa, väärinkäytön riski on pieni. Salaamattoman, asiakastietoja sisältävän kannettavan kohdalla tilanne on toinen. Opit arvioimaan tätä oppitunnilla 8.2.
Kadonnut? Ensimmäinen tunti
Ota tämä käyttöön nyt, niin se toimii kun sitä tarvitset:
- Ota käyttöön etäetsintä ja -tyhjennys. Apple, Google ja Microsoft tarjoavat kaikki toiminnon, jolla laitteen voi näyttää kartalla, saada piippaamaan, lukita ja tyhjentää. Tämä toimii vain, jos se on otettu käyttöön etukäteen.
- Tiedä mistä kirjaudut sisään tehdäksesi tämän, ja varmista että voit tehdä sen myös ilman kadonnutta laitetta. Jos kaksivaiheinen tunnistautuminen on vain tuossa puhelimessa, tarvitset palautuskoodejasi (oppitunti 2.3).
Jos laite on kadonnut:
- Lukitse se etänä ja näytä viesti puhelinnumerolla.
- Katkaise istunnot tärkeimmistä palveluistasi: sähköposti, pilvitallennus, kirjanpito. Nextcloudissa voit esimerkiksi perua laitekohtaisen pääsyn tai antaa laitteelle käskyn tyhjentää kyseisen palvelun tiedot.
- Vaihda salasanat tileille, jotka olivat auki laitteella, toisella puhtaalla laitteella.
- Tyhjennä laite etänä, jos et löydä sitä pian.
- Arvioi ja dokumentoi, oliko laitteella henkilötietoja, ja tee rikosilmoitus varkaudesta.
Haittaohjelmat: sisäänrakennettu suojaus ja minimaaliset oikeudet
Nykyaikaisessa kannettavassa tai puhelimessa on jo paljon suojausta valmiina: Windowsissa on Microsoft Defender, macOS:ssä on omat ohjelmatarkistukset, ja Applen ja Googlen sovelluskaupat tarkistavat sovellukset ennen kuin ne tarjotaan. Erillinen virustorjuntaohjelma voi tarjota lisätoimintoja, mutta tärkeintä on, että sisäänrakennettu suojaus on päällä ja ajan tasalla.
Kaksi tapaa tekevät suuren eron:
- Työskentele päivittäin peruskäyttäjänä, et ylläpitäjänä. Haittaohjelma, jonka käynnistät vahingossa, saa samat oikeudet kuin sinulla itselläsi. Peruskäyttäjänä se pystyy paljon vähemmän: ei ohjelmien asennusta, ei järjestelmäasetusten muuttamista, ei suojauksen poistamista käytöstä. Jos joskus tarvitset ylläpitäjäoikeuksia, järjestelmä kysyy ylläpitäjän salasanaa. Tuo hetki, jolloin joudut ajattelemaan asiaa, on juuri tarkoituksena.
- Asenna vain virallisesta sovelluskaupasta tai valmistajan sivustolta. Androidissa tämä tarkoittaa: jätä "tuntemattomista lähteistä asentaminen" pois päältä. Huijaajat lähettävät mielellään avunpyyntöhuijauksissa tai väärennetyissä pankki-ilmoituksissa linkin "sovellukseen", joka todellisuudessa ottaa ruutusi haltuun.
Sovellusoikeudet: mitä sovellus saa tehdä?
Jokainen sovellus pyytää oikeuksia: kamera, mikrofoni, sijainti, yhteystiedot, tiedostot. Taskulamppusovelluksella ei ole hyvää syytä pyytää yhteystietojasi. Käy oikeudet läpi puhelimesi asetuksissa kerran neljänneksessä:
- anna sijaintioikeus vain "käytön aikana", ei aina;
- peru pääsy yhteystietoihin ja tiedostoihin sovelluksilta, jotka eivät niitä tarvitse. Yhteystietosi ovat muiden henkilötietoja;
- poista sovellukset, joita et enää käytä;
- kiinnitä erityistä huomiota sovelluksiin, jotka pyytävät esteettömyysoikeuksia tai näytön jakamista. Niillä sovellus voi nähdä ja klikata kaikkea mitä sinä näet.
Useampia laitteita? Etähallinta
Jos työskentelet usean ihmisen kanssa, "jokainen hoitaa oman asiansa" muuttuu vaikeaksi valvoa. Etähallinnalla (Mobile Device Management, MDM) asetat keskitetysti, että jokainen laite on salattu, siinä on lukitus, se saa päivitykset ja se voidaan tyhjentää etänä. Ratkaisuja on sisäänrakennettuna suurissa yrityskäyttöön tarkoitetuissa toimistopaketeissa, erillisinä palveluina ja avoimen lähdekoodin versioina. Työntekijöiden omille puhelimille (bring your own device) voit usein hallita vain työkäyttöön liittyvää osaa, jolloin et pääse käsiksi kenenkään yksityisiin kuviin.
Myös ilman MDM:ää voit sopia käytännöistä ja käydä ne läpi yhdessä kerran vuodessa. Tehtävän tarkistuslista auttaa tässä.
Käytännössä: miltä tämä näyttää
Nextcloudissa, sellaisena kuin WebOké sen tarjoaa, kohdassa Asetukset, Security on lista Devices. Siellä näet jokaisen selaimen, sovelluksen ja sovellussalasanan, jolla on pääsy. Kolmen pisteen kautta voit perua yhden laitteen pääsyn tai antaa laitteelle käskyn tyhjentää Nextcloud-tiedot heti kun se saa taas yhteyden. Muissa pilvipalveluissa tämä on usein nimeltään "laitteet", "istunnot" tai "suojauskatsaus" ja toimii vastaavalla tavalla.
Yhteenveto
- Laite on avainnippu: siinä on istuntoja, salasanoja ja 2FA-sovellus.
- Lukitse automaattisesti, käytä vahvaa PIN-koodia ja rajoita lukitusnäytön ilmoituksia.
- Ota levyn salaus käyttöön ja säilytä palautusavain muualla kuin laitteen yhteydessä.
- Ota etäetsintä ja -tyhjennys käyttöön etukäteen; katoamisen sattuessa: lukitse, katkaise istunnot, vaihda salasanat, tyhjennä, arvioi.
- Työskentele peruskäyttäjänä, asenna vain virallisista lähteistä ja käy sovellusoikeudet läpi.
Tietovisa
Tehtävä
Tehtävä D5.2: Kannettavasi ja puhelimesi tarkistus. Tarkista omasta kannettavastasi ja puhelimestasi lukitus, levyn salaus, palautusavain, etäetsintä ja -tyhjennys, tilityyppisi ja sovellusoikeudet. Käy tarkistuslista läpi ja kirjoita ylös, mitä tekisit, jos puhelimesi varastettaisiin huomenna.
Tehtävä D5.2: Kannettavasi ja puhelimesi tarkistus
Näin se tehdään: (1) Lukitus: aseta vähintään kuusinumeroinen pinkoodi tai salasana, automaattinen lukitus viimeistään 5 minuutin kuluttua, ja rajoita lukitusnäytön ilmoituksia. (2) Levyn salaus: tarkista läppärissä, onko BitLocker tai Laitteen salaus (Windows) tai FileVault (Mac) käytössä; puhelimessa, onko salaus käytössä (iPhone: käytössä heti kun pääsykoodi on asetettu). (3) Palautusavain: selvitä, mihin läppärisi palautusavain on tallennettu, ja varmista, että pääset siihen käsiksi ilman tätä läppäriä. Älä kirjoita avainta mihinkään kurssin kohtaan. (4) Etsiminen ja etätyhjennys: kytke käyttöjärjestelmäsi etsintätoiminto päälle ja tarkista toiselta laitteelta, että näet läppärisi ja puhelimesi. (5) Tilityyppi: tarkista, onko päivittäinen tilisi vakiokäyttäjä. Jos se on pääkäyttäjä, luo erillinen pääkäyttäjätili ja muuta päivittäinen tilisi vakiotiliksi (tai kirjoita, miksi se ei nyt onnistu). (6) Sisäänrakennettu suojaus: tarkista, että sisäänrakennettu suojaus (esimerkiksi Microsoft Defender) on käytössä ja päivitetty. (7) Sovellusoikeudet: käy puhelimessasi läpi sijainnin, yhteystietojen, kameran, mikrofonin, tiedostojen ja esteettömyyden oikeudet. Poista käytöstä se, mikä ei ole tarpeen. Poista sovellukset, joita et käytä. (8) Istunnot: katso sähköpostissa tai pilvitallennuksessa laitteiden ja istuntojen lista (esimerkiksi Nextcloudissa kohdasta *Laitteet ja istunnot*) ja poista vanhat laitteet.
Merkintäsi ja muistiinpanosi pysyvät vain tässä selaimessa, emme lähetä niitä minnekään. Jos olet kirjautunut sisään, tallennamme kohtaan Omat kurssit vain sen, että olet tehnyt tehtävän.
Lue lisää
WebOké-artikkelien ohjeet pätevät WebOkén ympäristöön; muilla palveluntarjoajilla toiminta on vastaavaa.
- Nextcloud-opas 3.6: Laitteiden ja istuntojen tarkastelu, oikeuksien peruminen tai etätyhjennys
- Nextcloud-opas 3.10: Puhelin hukassa tai 2FA hukassa: näin pääset taas sisään
- WebOké-käyttöopas 3.6: Aktiivisten istuntojen tarkastelu ja uloskirjautuminen
- Traficomin Kyberturvallisuuskeskus, mobiililaitteet: https://www.kyberturvallisuuskeskus.fi/
- Microsoft, laitteen salaus Windowsissa: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
- Apple, pääsykoodit ja tietosuoja (englanniksi): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web