Arjessa on paljon tilanteita, joissa kiire tai tilanne altistaa tietoturvan. Huolettomuus vaikkapa kahvilassa voi koitua kohtaloksi.
TEKSTI IIDA-LYYDIA RIIHIMÄKI, XAMK, DIGIASEMA
Yrityksen tietoturvakulttuuri ei rakennu vain uusista järjestelmistä tai pakollisista tietoturvakoulutuksista vaan siitä, miten ihmiset toimivat kiireessä, uskaltavat kysyä, ilmoittavat virheistä ja millaista esimerkkiä johto näyttää.
Tunnistatko tilanteita näistä esimerkeistä?
Työntekijän sähköpostiin tulee työkaverilta viesti, jossa pyydetään nopeasti yrityksen Instagram-tilin salasanaa: joku on mennyt julkaisemaan väärän julkaisun, ja nyt se pitää korjata.
Viesti on arkinen, mutta epäilyn tulisi herätä. Onko se todella tullut työkaverilta vai onko kyseessä huijausyritys? Salasanaa ei pitäisi koskaan lähettää sähköpostilla, mutta kiireessä saattaa tulla toimittua huolimattomasti.
Toisessa tilanteessa toimistolle saapuu vierailija.
Hän kertoo olevansa tulossa tapaamaan yrityksen toimitusjohtajaa, ja näyttää nimensä puhelimesta. Vastaanotossa on juuri sillä hetkellä kiire, eikä toimitusjohtaja ole vielä ehtinyt ilmoittaa vierailusta. Päästetäänkö vierailija odottamaan yrityksen tiloihin vai tarkistetaanko ensin, että tapaaminen todella on sovittu?
Kolmas tilanne:
Työntekijä osallistuu etäpalaveriin kahvilasta, koska lounas on venähtänyt, eikä toimistolle olekaan aikaa palata. Kuulokkeet ovat päässä ja yhteys toimii, eikä tilanteessa pitäisi olla mitään ongelmaa. Palaverissa puhutaan kuitenkin asiakkaasta, tulevasta sopimuksesta ja yrityksen sisäisistä asioista, ja ongelmaksi koituvatkin ympärillä istuvat muut ihmiset. Kuuleeko joku ulkopuolinen keskustelun tai näkyvätkö salassa pidettäviksi tarkoitetut tiedot tietokoneen näytöltä?
Näissä arkisissa tilanteissa turvallisuuskulttuurin tulisi olla niin vahva, että vaikka ohjeet eivät olisi juuri sillä hetkellä mielessä, työntekijä osaa toimia turvallisesti.
Jos tietoturva-asioita on harjoiteltu, niin kiireisessä tilanteessa työntekijällä on valmiutta pysähtyä epäilyttävän pyynnön, viestin tai vierailijan kohdalla, kysyä tarvittaessa neuvoa ja varmistaa asia ennen kuin toimii.
Turvallinen toimintatapa ei tällöin perustu yksittäisen työntekijän muistiin, vaan organisaatiossa omaksuttuun tapaan toimia.
Miksi pelkät ohjeet eivät riitä?
- Kaikkia ohjeita ei vain voi muistaa
- Tilanteet ovat muuttuvia
- Ihmiset tekevät päätöksiä kiireessä
- Kaikki tilanteet eivät selkeästi liity tietoturvaan
- Ohje ei aina kerro, mitä poikkeustilanteessa tulisi tehdä
Turvallisuuskulttuuri ratkaisee silloin, kun ohje ei ole juuri sillä hetkellä mielessä.
Vahvista yrityksesi kyber- ja tietoturvavalmiuksia – digiturvaharjoituksia maksuttomasti verkossa 24/7
Treenialustalla https://treenit.kyberasema.fi/ voit harjoitella monipuolisesti digiturvallisuuteen liittyviä tilanteita kuten:
- Miten toimit, jos yrityksesi M365-tileihin kohdistuu tietomurto?
- Mitä tehdä, jos yritys joutuu kyberhyökkäyksen kohteeksi?
- Miten johdat ja viestit kriisitilanteessa?
- Miten johdat organisaatiosi toimintaa epävarmoissa drone-uhkatilanteissa?
Maksuttomia kyberturvavinkkejä ja digipalveluohjausta Kymenlaakson yrityksille Digiasemalta https://digiasema.fi/
Digiasemalta voi myös varata ajan: https://digiasema.fi/ajanvaraus/
Teksti: Iida-Lyydia Riihimäki
Kirjoittaja on kyberturvallisuuden insinööriopiskelija Xamkilla, ja hän tekee parhaillaan opinnäytetyötä deepfake-teknologioista.
