Moduuli 9 · 9.3
Oma tietoturvatarkistuksesi ja suunnitelmasi
Moduuli 9: Säännöt ja organisaatio · Lukuaika: 12 minuuttia
Tavoite: Tämän oppitunnin jälkeen osaat tehdä oman tietoturvatarkistuksen kiinteällä listalla ja muuttaa sen tulokset prioriteettisuunnitelmaksi.
Keskeiset käsitteet: perustoimenpiteet, nollamittaus, priorisointi (todennäköisyys x vaikutus, nopeat ja halvat ensin), vastuuhenkilö ja määräaika, vuosittainen uusinta
Tietämisestä tekemiseen
Olet nähnyt tällä kurssilla paljon: salasanat, tietojenkalastelun, sähköpostin ja verkkotunnuksen, laitteet, varmuuskopiot, käyttöoikeudet, häiriötilanteet ja säännöt. Riskinä nyt on, että aloitat vähän kaikkea etkä saa mitään valmiiksi. Tämä oppitunti muuttaa kaiken kahdeksi asiaksi, jotka teet itse:
- nollamittaus: rehellinen tilannekuva siitä, miten asiat ovat juuri nyt;
- suunnitelma: mitä teet ensin, kuka tekee sen ja milloin se on valmis.
Alla oleva lista sisältää perustoimenpiteet: toimenpiteet, jotka pysäyttävät suurimman osan opportunistisista hyökkäyksistä (oppitunti 1.1) ja joita asiakas yleensä myös vaatii, jos hän asettaa vaatimuksia toimittajilleen (oppitunti 9.1). Se ei ole täydellinen standardi kuten ISO 27001, eikä sen tarvitsekaan olla. Se on perusta, joka tekee eron pienessä yrityksessä.
Tietoturvatarkistus: kaksikymmentä kohtaa
Vastaa jokaiseen kohtaan kyllä, osittain tai ei. Ole tiukka: "kai se on kunnossa" tarkoittaa "osittain". Jokaisen kohdan perässä on oppitunti, jolla opit sen.
Tilit ja kirjautuminen
| Nro | Kohta | Oppitunti |
|---|---|---|
| 1 | On olemassa luettelo kaikista tileistä, laitteista, verkkosivustoista, verkkotunnuksista ja toimittajista, ja jokaisella kohdalla on vastuuhenkilö. Käyttämättömät on siivottu pois. | 1.1, 7.2 |
| 2 | Kaikki käyttävät salasanojen hallintaohjelmaa ja heillä on jokaiselle palvelulle yksilöllinen, pitkä salasana. Salasanoja ei jaeta sähköpostitse tai chatissa. | 2.1, 2.2 |
| 3 | Kaksivaiheinen tunnistautuminen on käytössä sähköpostissa, pankissa, kirjanpidossa, webhotellissa, verkkotunnuksen rekisteröijällä ja sosiaalisessa mediassa; pääkäyttäjille mieluiten tietojenkalastelua kestävä muoto, kuten passkey tai turva-avain. | 2.3, 2.4 |
| 4 | Palautuskoodit ja varaturva-avaimet on säilytetty turvallisesti, ja tiedät mitä teet, jos puhelin katoaa. | 2.3, 2.4 |
| 5 | Olet tarkistanut, esiintyvätkö yrityksen osoitteet tunnetuissa tietovuodoissa, ja tiedät miten perut istunnot ja tarkistat edelleenlähetyssäännöt. | 1.4, 2.5 |
Ihmiset ja prosessit
| Nro | Kohta | Oppitunti |
|---|---|---|
| 6 | On olemassa maksumenettely: takaisinsoitto tunnettuun numeroon, jos tilinumero on muuttunut, ja toinen henkilö mukana suurissa tai poikkeavissa maksuissa. | 1.2 |
| 7 | Kaikki osaavat tunnistaa tietojenkalastelun linkin todellisesta verkkotunnuksesta ja tietävät mitä tehdä klikkauksen jälkeen. | 3.1-3.5 |
| 8 | Ilmoituksille on yksi yhteyspiste ja varahenkilö, ilmoittaminen tapahtuu ilman syyllistämistä, ja aiheesta on lyhyt kertaus vähintään muutaman kerran vuodessa. | 9.2 |
Sähköposti, verkkosivusto ja verkkotunnus
| Nro | Kohta | Oppitunti |
|---|---|---|
| 9 | Verkkotunnuksellasi on SPF, DKIM ja DMARC, ja DMARC on vähintään asetuksella p=none yhdessä suunnitelman kanssa siirtyä kohti quarantine tai reject. | 4.1 |
| 10 | Verkkosivustosi toimii kaikkialla https-yhteydellä ja voimassa olevalla sertifikaatilla, ohjaa http-liikenteen eteenpäin, ja julkaisujärjestelmä lisäosineen päivitetään. HSTS ja suojausotsikot on otettu käyttöön tai niistä on tehty tietoinen päätös. | 4.2 |
| 11 | Verkkotunnuksesi haltijatiedot pitävät paikkansa, automaattinen uusinta on päällä, verkkotunnuksen rekisteröijällä on 2FA käytössä, DNS-tietueissa ei ole roikkuvia merkintöjä, ja DNSSEC on käytössä, kun se on mahdollista. | 4.3 |
Laitteet ja verkko
| Nro | Kohta | Oppitunti |
|---|---|---|
| 12 | Päivitykset tulevat automaattisesti käyttöjärjestelmiin, sovelluksiin ja lisäosiin; myös reititin, NAS-laite ja tulostin päivitetään; mikään käytössä oleva laite ei ole jäänyt ilman päivityksiä. | 5.1 |
| 13 | Kannettavissa ja puhelimissa on näytön lukitus ja levyn salaus, ne voidaan tyhjentää etänä, eikä kukaan työskentele päivittäin pääkäyttäjätunnuksella. | 5.2 |
| 14 | Wifi käyttää WPA2- tai WPA3-salausta, reitittimen oletussalasana on vaihdettu, ja vieraat sekä älylaitteet käyttävät vierasverkkoa. | 5.3 |
Varmuuskopiot
| Nro | Kohta | Oppitunti |
|---|---|---|
| 15 | Kaikesta tärkeästä on varmuuskopio, myös sähköpostista ja pilvipalveluista, 3-2-1-kaavan mukaisesti. | 6.1 |
| 16 | Vähintään yksi kopio on offline tai muuttumaton, ja sillä on oma kirjautuminen, jota ei käytetä työtietokoneilla. | 6.2 |
| 17 | Kuluneen vuoden aikana on tehty palautustesti, ja tiedät kuinka paljon työtä saat menettää ja kuinka nopeasti tietojen pitää palautua. | 6.3 |
Käyttöoikeudet, toimittajat ja häiriötilanteet
| Nro | Kohta | Oppitunti |
|---|---|---|
| 18 | Jokaisella on oma tili, jossa on vain tarvittavat käyttöoikeudet, pääkäyttäjätilit ovat erillään, ja lähdössä olevan henkilön kaikki käyttöoikeudet perutaan samana päivänä. | 7.1 |
| 19 | Tärkeät toimittajat ja pilvipalvelut on arvioitu, tietojenkäsittelysopimukset on tehty tarvittaessa, ja tiedostoja jaetaan linkeillä, joilla on vanhenemispäivä. | 7.2, 7.3 |
| 20 | Seinällä on paperinen toimintakortti häiriötilanteisiin, tietoturvaloukkausrekisteri on olemassa, ja tiedät milloin ilmoitat tietosuojavaltuutetun toimistolle, poliisille ja, jos se koskee sinua, Kyberturvallisuuskeskukselle. | 8.1, 8.2, 8.3, 9.1 |
Laske vastauksesi yhteen. Monta "ei"-vastausta ei ole syy säikähtää: se on lähtöpisteesi. Siksi sitä kutsutaan nollamittaukseksi.
Osan voi tarkistaa automaattisesti
Muutaman kohdan voi mitata ulkopuolelta, koska ne koskevat verkkotunnuksesi julkisia tietoja: kohta 9 (SPF, DKIM, DMARC), kohta 10 (https, sertifikaatti, HSTS, otsikkotiedot) ja kohta 11 (DNSSEC, nimipalvelimet, vanhenemispäivä). Tehtävässä A9.3 teet tämän kertaheitolla omalle verkkotunnuksellesi, samoilla tarkistuksilla kuin moduulin 4 tehtävissä. Riippumattomat testit kuten https://internet.nl sekä julkiset tarkistukset osoitteissa https://www.weboke.fi/verkkotunnuksen-kunto ja https://www.weboke.fi/sahkopostin-tarkistus tarkastelevat vastaavia kohtia.
Huomaa: vihreä tulos näissä kohdissa ei kerro mitään muista seitsemästätoista kohdasta. Verkkotunnuksesi asetukset voivat olla täydellisiä, vaikka sähköpostisi salasana olisi peräisin tietovuodosta. Automaattinen tarkistus on osa nollamittausta, ei sen korvike.
Tarkistuksesta suunnitelmaan: priorisointi
Sinulla on nyt ehkä kahdeksan tai kymmenen kohtaa vastauksella "ei" tai "osittain". Kaikkea ei voi tehdä yhtä aikaa. Valitse järjestys kahdella kysymyksellä.
1. Kuinka suuri riski on? Käytä kaavaa todennäköisyys x vaikutus (oppitunti 1.1). Kohdalla, johon opportunistinen hyökkäys kohdistuu, kuten uudelleenkäytetyt salasanat ilman 2FA:ta tai verkkosivusto ilman päivityksiä, on suuri todennäköisyys. Kohdalla, joka pysäyttäisi koko yrityksesi, kuten varmuuskopio joka ei toimi, on suuri vaikutus.
2. Kuinka paljon vaivaa se vaatii? Jotkin toimenpiteet vievät tunnin ja maksavat nolla euroa, kuten kaksivaiheisen tunnistautumisen käyttöönotto tai maksumenettelystä sopiminen. Toiset vievät viikkoja, kuten kaikkien kannettavien uusiminen.
Aseta kohdat yksinkertaiseen taulukkoon:
| Vähän vaivaa | Paljon vaivaa | |
|---|---|---|
| Suuri riski | Tee nyt (tällä viikolla) | Suunnittele (tänä vuosineljänneksenä) |
| Pieni riski | Ota mukaan, kun sopii | Myöhemmin tai hyväksy tietoisesti |
Sääntö on: nopeat ja halvat ensin, kunhan riski on suuri. Useimmissa pienissä yrityksissä laatikkoon "tee nyt" päätyvät: kaksivaiheinen tunnistautuminen sähköpostiin ja pankkiin (3), maksumenettely (6), automaattisten päivitysten käyttöönotto (12) ja sen tarkistaminen, onko varmuuskopiosta kopio ulottumattomissa (16).
Tietoinen hyväksyminen
Riskin voi myös hyväksyä: päätät olla korjaamatta sitä, koska riski on pieni tai kustannukset liian suuret. Tämä on pätevä valinta, kunhan teet sen tietoisesti ja kirjaat sen ylös. "Unohtaminen" ei ole hyväksymistä.
Vastuuhenkilö ja määräaika jokaiselle kohdalle
Suunnitelma ilman nimiä jää lojumaan. Anna jokaiselle kohdalle:
- vastuuhenkilö: yksi henkilö, joka huolehtii, että asia tapahtuu. Hänen ei tarvitse itse tehdä työtä; IT-yritys voi hoitaa toteutuksen, mutta joku omasta yrityksestäsi varmistaa, että se tulee valmiiksi;
- määräaika: milloin sen pitää olla valmis;
- määritelmä valmiista: mistä tiedät, että se on valmis? Ei "2FA kuntoon", vaan "2FA on käytössä kaikilla viidellä listan tilillä, palautuskoodit ovat kassakaapissa".
Esimerkki kolmesta rivistä Bakkerij Examplen suunnitelmasta:
| Kohta | Toimenpide | Vastuuhenkilö | Valmis | Valmis kun |
|---|---|---|---|---|
| 3 | 2FA sähköpostiin, pankkiin, kirjanpitoon ja rekisteröijään | Petra | 1 viikon kuluttua | Kaikki neljä käytössä, palautuskoodit salasanojen hallintaohjelmassa ja paperilla kassakaapissa |
| 6 | Maksumenettely A4-arkille, käyty läpi Joostin ja Sannen kanssa | Petra | 2 viikon kuluttua | A4 roikkuu toimiston seinällä, molemmat ovat lukeneet sen |
| 16 | Viikoittainen kopio levylle, joka sen jälkeen irrotetaan kassakaappiin | Joost | 1 kuukauden kuluttua | Ensimmäiset kolme viikkoa tehty, yksi tiedosto palautettu testinä |
Uusiminen
Tietoturva ei ole koskaan valmis. Tulee uusia työntekijöitä, uusia palveluja, uusia laitteita ja uusia huijaustemppuja. Sovi siksi:
- joka vuosi tehdään koko tarkistus uudelleen, kiinteänä kuukautena, ja suunnitelma päivitetään;
- väliajoin tarkistus tehdään isojen muutosten yhteydessä: uusi verkkosivuston tekijä, webhotellin vaihto, uusi kirjanpito-ohjelma, kasvupyrähdys;
- häiriötilanteen jälkeen käydään läpi kohdat, jotka liittyivät siihen (oppitunti 8.3).
Säilytä jokaisen tarkistuksen tulos. Vuoden kuluttua näet mustaa valkoisella, mitä on parantunut, ja sinulla on vastaus valmiina, kun asiakas kysyy tietoturvasi tilaa. Traficomin Kyberturvallisuuskeskuksella on myös omat ohjeensa yksinyrittäjille ja pk-yrityksille, joita voit käyttää tämän listan rinnalla; niistä saa toimintalistan.
Yhteenveto
- Kahdenkymmenen kiinteän kohdan nollamittaus antaa rehellisen tilannekuvan; jokainen kohta viittaa oppituntiin, jolla sen opit.
- Osan (sähköposti, verkkosivusto, verkkotunnus) voi tarkistaa automaattisesti, mutta se ei kerro mitään muista kohdista.
- Priorisoi todennäköisyydellä x vaikutuksella ja vaivalla: suuri riski vähällä vaivalla ensin.
- Jokainen suunnitelman kohta saa vastuuhenkilön, määräajan ja määritelmän valmiista; hyväksyminen on sallittua, kunhan se on tietoista ja kirjattu.
- Toista tarkistus joka vuosi ja isojen muutosten yhteydessä, ja säilytä tulokset.
Tietovisa
Tehtävä
Tehtävä A9.3: Verkkotunnuksesi automaattinen tarkistus. Syötä oma verkkotunnuksesi. Ohjelma tarkistaa kertaheitolla sähköpostin (SPF, DKIM, DMARC), verkkosivuston (https, sertifikaatti, edelleenohjaus, HSTS, otsikkotiedot) ja verkkotunnuksen (nimipalvelimet, DNSSEC, vanhenemispäivä) ja näyttää, mitkä tietoturvatarkistuksen kohdat ovat vihreitä, oransseja tai punaisia.
Tehtävä D9.3: Tietoturvatarkistuksesi ja suunnitelmasi. Tee kahdenkymmenen kohdan tarkistus omalle yrityksellesi. Valitse sen jälkeen vähintään viisi kohtaa, aseta ne riskin ja vaivan taulukkoon, ja tee suunnitelma, jossa jokaisella kohdalla on vastuuhenkilö, määräaika ja määritelmä valmiista. Merkitse kalenteriisi, milloin teet tarkistuksen uudelleen.
Tehtävä D9.3: Turvallisuustarkistuksesi ja suunnitelmasi
Näin etenet: (1) Käy läpi oppitunnin kaksikymmentä kohtaa ja merkitse jokaiseen: kyllä, osittain tai ei. Käytä kohtiin 9, 10 ja 11 tehtävän A9.3 tulosta (painike tuo punaiset ja oranssit kohdat mukaan). (2) Sijoita jokainen "osittain" tai "ei" kohta riski (suuri/pieni) ja vaiva (vähän/paljon) taulukkoon. (3) Valitse vähintään viisi kohtaa. Aloita ruuduista "suuri riski, vähän vaivaa". (4) Anna jokaiselle valitulle kohdalle toimenpide, vastuuhenkilö, päivämäärä ja määritelmä valmiista. (5) Kirjoita ylös, mitkä riskit hyväksyt tietoisesti, ja perustele miksi. (6) Merkitse kalenteriisi kiinteä kuukausi seuraavalle täydelle tarkistukselle, ja kirjoita, minkä muutosten yhteydessä tarkistat asian välissä uudestaan. (7) Tallenna tulos (kurssi tallentaa täytetyn tarkistuksen, jos haluat; vain kyllä/osittain/ei per kohta ja suunnitelmasi, ei muita tietoja).
Merkintäsi ja muistiinpanosi pysyvät vain tässä selaimessa, emme lähetä niitä minnekään. Jos olet kirjautunut sisään, tallennamme kohtaan Omat kurssit vain sen, että olet tehnyt tehtävän.
Lue lisää
WebOké-artikkeleiden ohjeet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toimintatapa on vastaava.
- WebOké-käyttöopas 5.17: Verkkotunnuksen ja sähköpostin kunto: tarkistus ja korjaus
- WebOké, Domain / Email gezondheid (julkinen tarkistus): https://www.weboke.fi/verkkotunnuksen-kunto
- WebOké, Sähköpostitarkistus: https://www.weboke.fi/sahkopostin-tarkistus
- Internet.nl, testaa verkkosivustosi ja sähköpostisi: https://internet.nl
- Traficomin Kyberturvallisuuskeskus, ohjeet yksinyrittäjille ja pk-yrityksille: https://www.kyberturvallisuuskeskus.fi/