Toimintasuunnitelma ja toimintakortti häiriötilanteisiin

Moduuli 8: Kun jokin menee pieleen · Lukuaika: 10 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat tehdä toimintakortin ja yksinkertaisen toimintasuunnitelman häiriötilanteisiin, jotka toimivat myös silloin kun tietokoneet, sähköposti ja puhelinluettelo eivät ole käytettävissä.

Keskeiset käsitteet: häiriötilanne, toimintakortti, toimintasuunnitelma, roolit, yhteystietoluettelo, rajaaminen, todisteiden säilyttäminen, viestintä, offline-säilytys, harjoittelu (pöytäharjoitus)

Miksi järjestät tämän nyt, etkä vasta kun tulipalo on jo käynnissä

Kuvittele: on maanantaiaamu kello 07:45. Esimerkki-leipomon kassakoneella on punainen ruutu, jossa lukee, että kaikki tiedostot on salattu. Jaettu tilauskansio ei avaudu. Joku sanoo: "Soita atk-tukeen." Mutta hänen numeronsa on sähköpostin yhteystiedoissa, ja sähköposti on samalla koneella. Toinen haluaa sammuttaa koneen heti. Kolmas alkaa kytkeä varmuuskopiolevyä kiinni "palauttaakseen kaiken".

Kaikki kolme reaktiota ovat ymmärrettäviä, ja kaksi niistä pahentavat tilannetta. Näin käy lähes aina: paineen alla ihmiset tekevät sen, mikä ensimmäisenä tulee mieleen. Häiriötilanne on mikä tahansa tapahtuma, joka uhkaa tietojesi tai järjestelmiesi saatavuutta, luotettavuutta tai luottamuksellisuutta: murrettu sähköpostitili, kiristyshaittaohjelma, kadonnut kannettava, väärälle henkilölle lähetetty asiakastietoja sisältävä viesti, haltuun otettu verkkosivusto.

Suunnitelman tarkoitus ei ole se, että kaikki menee hyvin. Tarkoitus on, ettet tee ensimmäisen tunnin aikana virheitä, joita et voi enää korjata, ja että tiedät kenelle soitat.

Toimintakortti ja toimintasuunnitelma: ero

Kahden-kahdenkymmenen hengen yritykselle kortti on tärkein. Suunnitelma voi olla lyhyt. Alankomaiden NCSC on julkaissut kiristyshaittaohjelmille laajan toimintasuunnitelman (ks. Lue lisää), jota voit käyttää lähtökohtana ja lyhentää.

Mitä toimintakortissa lukee

Hyvä kortti vastaa viiteen kysymykseen. Alla malli, jonka voit ottaa käyttöön sellaisenaan.

TOIMINTAKORTTI  Esimerkki-leipomo          versio: 1   päiväys: ..-..-....

1. HUOMAATKO JOTAIN OUDOA?  (punainen ruutu, outo lähetetty viesti, kirjautuminen
   ei onnistu, tuntematon maksu, kannettava kadoksissa, tiedot väärälle vastaanottajalle)
   -> Ilmoita HETI: ............................  puh: ...............
      Varahenkilö: ..........................................  puh: ...............
   Ilmoittaminen on aina oikein. Kukaan ei saa syytä.

2. ENSIMMÄISET TOIMENPITEET (älä yritä korjata itse)
   [ ] Verkkokaapeli irti / wifi pois / lentokonetila. ÄLÄ sammuta.
   [ ] Irrota usb- ja varmuuskopiolevyt. ÄLÄ kytke kiinni.
   [ ] Ota kuva ruudusta (puhelimella).
   [ ] Kirjoita ylös: aika, mitä näit, mitä teit.
   [ ] Älä maksa, älä vastaa kiristäjälle.

3. KENELLE SOITAMME?
   IT-tuki / ylläpitäjä      ............................  puh: ...............
   Webhotelli / sähköposti   ............................  puh: ...............
   Pankki (petos, 24/7)      ............................  puh: ...............
   Vakuutusyhtiö (kyber)     ............................  vakuutus: .........
   Poliisi (rikosilmoitus)   112 (hätätilanne) / poliisi.fi (muut tapaukset)
   Tietoturvaloukkausilmoitus  tietosuojavaltuutetun toimisto (sähköinen lomake, 72 tunnin kuluessa)
   Tärkeä asiakas/toimittaja: ...................  puh: ...............

4. KUKA PÄÄTTÄÄ JA KUKA PUHUU?
   Päättää (sammutus, palautus, ilmoittaminen, maksaminen): ..........................
   Puhuu asiakkaiden, median, henkilöstön kanssa: ........................................
   Pitää lokikirjaa: .....................................................

5. MISTÄ LÖYTYY MITÄ?
   Varmuuskopiot: .............................. (viimeisin testaus: ..-..-....)
   Salasanojen hallintaohjelman hätäkäyttö: ...........................................
   Järjestelmien ja tilien luettelo: ..........................................
   Tämä suunnitelma (digitaalisena) + kopio yrityksen ulkopuolella: ..............................

Muutama tämän mallin valinta ansaitsee selityksen.

• "Älä sammuta, mutta irrota verkosta." Kiristyshaittaohjelmatapauksissa Alankomaiden NCSC suosittelee, että saastunut laite irrotetaan heti verkosta (kaapeli, wifi, mobiiliverkko), mutta sitä ei sammuteta; lepotila on sallittu. Keskusmuistissa on jälkiä, joita tutkija voi tarvita, ja joskus jopa avaimia. Irrottaminen pysäyttää leviämisen muihin laitteisiin ja verkkolevylle.
• "Älä kytke varmuuskopiolevyjä kiinni." Saastuneeseen koneeseen kytketty levy saastuu myös. Ensin pitää varmistua, että ympäristö on puhdas (oppitunti 8.3).
• "Ilmoittaminen on aina oikein." Työntekijä, joka huomaa jotain ensimmäisenä, on paras puolustuksesi. Jos hän pelkää saavansa nuhteita, hän jättää ilmoittamatta ja menetät tunteja. Katso myös oppitunti 9.2.
• Numerot paperilla. Juuri suuren häiriötilanteen aikana sähköposti, jaettu kalenteri ja joskus myös puhelinvaihde eivät toimi. Pelkästään pilvessä oleva kortti on silloin saavuttamattomissa.

Hätätilanteessa soitat 112:een, mutta kyberhyökkäys ei yleensä ole 112-tapaus. Rikosilmoituksen voi tehdä poliisille myös muulloin kuin hätätilanteessa, esimerkiksi verkossa tai poliisiasemalla.

Roolit: kuka tekee mitä

Pienessä yrityksessä yksi henkilö tekee usein kaiken. Sovi silti kolmesta roolista, vaikka samalla henkilöllä olisi kaksi niistä:

1. Päättäjä. Päättää sammuttamisesta, palauttamisesta, tietosuojavaltuutetun toimistolle ilmoittamisesta, pankkiin yhteydenotosta ja siitä, kutsutaanko ulkopuolinen asiantuntija. Mieluiten omistaja tai toimitusjohtaja, jolla on vakituinen sijainen.
2. Tekninen linja. IT-toimittajasi, verkkosivuston tekijä tai kätevä kollega. Tekee sen mitä päättäjä pyytää ja neuvoo. Sovi etukäteen, auttaako IT-toimittajasi myös häiriötilanteessa, kuinka nopeasti, ja mitä se maksaa; tämä kysymys kuuluu oppitunnille 7.2.
3. Viestijä. Puhuu asiakkaiden, henkilöstön ja mahdollisesti median kanssa, jotta ulospäin menee vain yksi tarina. Tietoturvaloukkauksen yhteydessä tähän kuuluu myös asianosaisten informoiminen (oppitunti 8.2).

Nimeä myös henkilö, joka pitää lokikirjaa: aika, mitä tapahtui, kuka päätti mitä. Tämä voi tuntua byrokraattiselta, mutta tarvitset sitä tietosuojavaltuutetun toimistolle tehtävää ilmoitusta varten (siinä kysytään, milloin huomasit vuodon ja mitä teit), vakuutusyhtiötä varten, rikosilmoitusta varten ja jälkikäteisarviointia varten.

Suunnitelma: muutama sääntö häiriötyyppiä kohden

Kortin lisäksi kirjoitat jokaiselle yleiselle häiriötyypille lyhyen toimintatavan. Neljä riittää aloitukseen:

Kirjaa myös ylös, mitkä järjestelmät ovat tärkeimmät, järjestyksessä. Esimerkki-leipomossa se on vaikkapa: kassa ja korttimaksut, tämän päivän tilaukset, sähköposti, kirjanpito, verkkosivusto. Palautuksessa aloitat ylimmästä. Katso myös RPO ja RTO oppitunnilla 6.3.

Harjoittelu: puoli tuntia pöydän ääressä

Suunnitelma, jota kukaan ei tunne, ei toimi. Pöytäharjoitus vie puoli tuntia: istut pöydän ääressä niiden kanssa, joilla on rooli, ja käytte läpi skenaarion koskematta mihinkään. Vetäjä (voit olla se itse) kertoo vaihe vaiheelta, mitä tapahtuu.

Esimerkki: "On perjantai klo 16:30. Kirjanpitäjä saa viestin vakituiselta toimittajalta: IBAN on vaihtunut, maksakaa avoin 8 400 euron lasku tänään uudelle tilille. Mitä teet?" Ja sen jälkeen: "On maanantai. Toimittaja soittaa: hän ei ole saanut mitään." Jokaisessa vaiheessa kysyt: kuka tekee mitä, kenelle soitat, mistä se numero löytyy?

Harjoituksen jälkeen kirjoitat ylös, mikä puuttui. Lähes aina se on puhelinnumero, salasana jonka vain yksi henkilö tietää, tai epäselvyys siitä kuka päättää. Päivitä kortti ja merkitse siihen uusi päiväys. Kerran vuodessa harjoittelu ja kortin läpikäynti on pienelle yritykselle hyvä rytmi, ja myös jokaisen ison muutoksen jälkeen (uusi IT-toimittaja, uusi kirjanpito-ohjelma).

Käytännössä: näin se näyttää

Ota korttiisi mukaan myös konkreettiset paikat, joissa voit nopeasti puuttua tilanteeseen omien palveluntarjoajiesi luona. WebOkén osalta se on esimerkiksi: aktiivisten istuntojen tarkistaminen ja uloskirjautuminen Oma WebOkéssa, "Verkkosivustoni on murrettu" -ohjeet DirectAdmin-ohjeissa, ja varmuuskopion palauttaminen. Muilla webhotelli-, sähköposti- ja pilvipalveluntarjoajilla on vastaavia toimintoja; etsi ne etukäteen, ennen kuin tarvitset niitä, ja kirjoita ylös mistä ne löytyvät.

Yhteenveto

• Toimintakortti (yksi A4-arkki, paperilla) varmistaa, että kaikki tekevät ensimmäisten minuuttien aikana oikein: ilmoittavat, irrottavat verkosta mutta eivät sammuta, eivät kytke varmuuskopioita kiinni, eivät maksa mitään.
• Sovi rooleista: kuka päättää, kuka tekee teknisen työn, kuka viestii, kuka pitää lokikirjaa.
• Kirjoita jokaiselle yleiselle häiriötyypille lyhyt toimintatapa ja tärkeimpien järjestelmiesi järjestys.
• Säilytä numerot ja suunnitelma myös tietokoneidesi ulkopuolella.
• Harjoittele vuosittain puoli tuntia pöydän ääressä ja päivitä kortti.

Tietovisa

Tehtävä

Tehtävä D8.1: Oma toimintakorttisi häiriötilanteisiin. Ota tämän oppitunnin malli ja täytä se oman yrityksesi tiedoilla: oikeat nimet, numerot ja paikat. Tulosta se, ripusta se esille ja ota siitä kuva puhelimeesi. Tee sen jälkeen yhden kollegan kanssa (tai yksin) tämän oppitunnin IBAN-skenaario vartissa läpi, ja kirjoita ylös, mikä puuttui.

Lue lisää

WebOkén artikkeleissa kuvatut vaiheet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.

• DirectAdmin-ohje 18.2: Sivustoni on hakkeroitu: vaiheittainen ohje
• Apua! Sivustoni on hakkeroitu. Miten voin korjata tilanteen tai estää sen?
• WebOké-käyttöopas 3.6: Aktiivisten istuntojen tarkastelu ja uloskirjautuminen
• Alankomaiden NCSC, Mitä tehdä kiristyshaittaohjelmahyökkäyksen sattuessa?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Alankomaiden NCSC, Incidentenresponsplan Ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Kyberturvallisuuskeskus, ohjeet kiristyshaittaohjelmatapauksiin: https://www.kyberturvallisuuskeskus.fi/