Kuinka vähentää kyberhyökkäysten riskiä – 10 vinkkiä valmistavan teollisuuden yrityksille

Kyberhyökkäysten määrä kasvaa jatkuvasti, ja uhkatoimijat etsivät herkeämättä heikkouksia järjestelmistä ja toimintatavoista. Valmistavan teollisuuden yrityksille häiriöt eivät ole pelkkä IT-haaste – ne vaikuttavat suoraan tuotantoon, toimitusaikatauluihin, laatuun ja lopulta asiakassuhteisiin.

Mitkä ovat merkittävimmät tietoturvariskit, ja miten yritykset voivat vahvistaa kykyään kestää häiriöitä? Tässä artikkelissa syvennymme aiheeseen yhdessä Monitor ERP:n IT-teknikon Max Dahlberg Sälldinin kanssa.

Kyberhyökkäykset ovat nykyään todellinen uhka yritysten tuotannolle, toimitusvarmuudelle ja pitkän aikavälin kilpailukyvylle. Oikeilla rakenteilla, riittävällä tietoisuudella ja jaetulla vastuulla valmistavan teollisuuden yritykset voivat kuitenkin suojautua tehokkaasti.

Seuraavat 10 vinkkiä auttavat pienentämään riskejä:

• Kouluta henkilöstö tunnistamaan tietojenkalasteluyritykset
• Pidä käyttöjärjestelmät ja sovellukset ajan tasalla
• Ota monivaiheinen tunnistautuminen (MFA) käyttöön aina kun mahdollista
• Hyödynnä luotettavaa haittaohjelmasuojausta (EDR/XDR)
• Varmista, että varmuuskopiot ovat erillään ja toimivat
• Ota käyttöön tiukka käyttöoikeuksien hallinta
• Keskitä hyväksytyt sovellukset yritysportaaliin
• Laadi selkeät IT-käytännöt sekä ohjeistus tekoälyn käyttöön
• Tee jatkuvuus- ja palautumissuunnitelmat häiriötilanteiden varalle
• Rakenna yrityskulttuuri, jossa jokainen kantaa vastuuta tietoturvasta

Henkilöstön kouluttaminen tunnistamaan tietojenkalastelu

Tietojenkalastelu on yleisin kyberhyökkäysten muoto. Siinä huijarit esiintyvät luotettavana tahona saadakseen haltuunsa arkaluonteisia tietoja. Hyökkäyksiä tehdään sähköpostin, tekstiviestien ja puheluiden kautta, ja niiden toteutustavat kehittyvät jatkuvasti yhä uskottavammiksi. Sähköposti on kuitenkin edelleen yleisin väylä.

Vääränlaisen viestin tai linkin avaaminen voi aiheuttaa paljon vakavampia seurauksia kuin yksittäisen työaseman häiriön. Pahimmillaan hyökkääjä voi päästä käsiksi koko yrityksen verkkoon ja vaikuttaa tuotantojärjestelmiin. Inhimillinen tekijä onkin usein vaikein suojattava osa tietoturvaa.

"Stressi tai kokemuksen puute voi lisätä riskiä klikata jotain, mitä ei pitäisi. Näin voi käydä kenelle tahansa – myös kokeneelle IT-ammattilaiselle", Max toteaa.

Vaikka suuri osa tietojenkalasteluviesteistä voidaan suodattaa pois, kaikki eivät jää kiinni teknisiin suojauksiin. Siksi on tärkeää osata pysähtyä ja tunnistaa varoitusmerkit.

"Onko tämä henkilö minulle tuttu? Ottaako hän yleensä yhteyttä minuun? Mitä hän pyytää – ja onko pyyntö perusteltu? Kun tietää, mitä etsiä, varoitusmerkkejä on usein havaittavissa."

Varoitusmerkkien tunnistaminen ja riskien ymmärtäminen edellyttävät koulutusta. Koulutusta voidaan toteuttaa eri tasoisena ja eri laajuisena – esimerkiksi lähettämällä koko henkilöstölle simuloituja tietojenkalasteluviestejä harjoittelun tueksi.

Päivitysten ja ylläpidon hallinta

Tietojenkalasteluviestit ovat usein lähtökohtana niin sanotuille kiristyshaittaohjelmahyökkäyksille (ransomware), joissa haittaohjelma lukitsee käyttäjän tiedostot tai järjestelmät salaamalla ne. Hyökkääjä vaatii tämän jälkeen lunnaita, jotta yritys saisi pääsynsä takaisin. Viranomaiset ja asiantuntijat suosittelevat yksiselitteisesti, ettei lunnaita tule maksaa. Seuraukset voivat joka tapauksessa olla yritykselle merkittävät: ilman maksua tiedot voivat menettyä, ja lisäksi käyttökatkot sekä tuotannon keskeytyminen voivat aiheuttaa huomattavia taloudellisia tappioita. Myös asiakkaiden ja sidosryhmien luottamus voi heikentyä vakavasti. Hyökkääjät etsivät aktiivisesti yrityksiä, joiden järjestelmiä ei ole päivitetty ja joissa on tunnettuja haavoittuvuuksia.

Siksi on tärkeää pitää ohjelmistot ja käyttöjärjestelmät ajan tasalla sekä huolehtia luotettavasta ja ajantasaisesta haittaohjelmasuojauksesta (EDR/XDR). EDR (Endpoint Detection and Response) valvoo ja analysoi päätelaitteiden ja palvelimien toimintaa, kun taas XDR (Extended Detection and Response) laajentaa tätä keräämällä ja yhdistämällä tietoa useista IT-ympäristön osa-alueista, kuten päätelaitteista, identiteeteistä, verkoista, sähköpostista ja pilvipalveluista.

"Järjestelmien tarkoituksena on muodostaa kokonaiskuva uhkista koko IT-ympäristössä, havaita vaikeasti tunnistettavia hyökkäyksiä ja automatisoida vastatoimia useiden järjestelmien välillä samanaikaisesti."

Monivaiheinen tunnistautuminen kaikkiin käyttäjätileihin

Max korostaa monivaiheisen tunnistautumisen (MFA) käyttöönottoa kaikissa mahdollisissa käyttäjätileissä yhtenä tärkeimmistä toimenpiteistä. Tunnistautumismenetelmiä on useita, mutta suositeltavin vaihtoehto on autentikointisovellus, joka tuottaa kertakäyttöisiä koodeja tai käyttää reaaliaikaisia hyväksyntäpyyntöjä. Tämä on turvallisempaa kuin tunnusten lähettäminen tekstiviestillä tai sähköpostilla. Autentikointisovellus edellyttää, että hyökkääjä saa haltuunsa ennalta määritellyn laitteen päästäkseen käsiksi tiliin.

Pelkkä salasana ei enää riitä suojaamaan tilejä nykyisellä laskentateholla – esimerkiksi 10-merkkinen salasana voidaan murtaa muutamassa minuutissa.

"Usein hyökkääjillä on valmiita listoja yleisesti käytetyistä salasanoista, joita kokeillaan ensimmäisenä. Turvallisen salasanan tulee olla pitkä ja sisältää isoja ja pieniä kirjaimia, numeroita sekä erikoismerkkejä. Kun tähän lisätään monivaiheinen tunnistautuminen, tietoturva paranee merkittävästi", Max kertoo.

Varmuuskopioiden hallinta

Varmuuskopioiden hallinta on keskeinen osa tietoturvaa. Yrityksellä tulisi olla vähintään yksi varmuuskopio, joka on eristetty tuotantoympäristöstä. Näin varmistetaan, ettei hyökkääjä voi salata varmuuskopioita onnistuneen murtautumisen yhteydessä ja estää järjestelmän palauttamista.

Tässä yhteydessä nousee esiin myös pilvipalveluiden ja paikallisten ratkaisujen (on-premise) välinen vertailu. Pilvipalvelussa yrityksen ei tarvitse itse huolehtia palvelimista, päivityksistä tai varmuuskopioista. Luotettava pilvipalveluntarjoaja tarjoaa korkean käytettävyyden, jatkuvan uhkien valvonnan ja tiedon salauksen.

Paikallisessa ratkaisussa vastuu on yrityksellä itsellään. Täysi hallinta laitteistosta voi olla etu, mutta se edellyttää riittävää omaa IT-osaamista. Lisäksi ylläpitoon ja korjauksiin voi liittyä yllättäviä kustannuksia.

"Jos palveluissa ilmenee häiriö, korjaaminen voi viedä aikaa. Varaosia saatetaan joutua tilaamaan pitkällä toimitusajalla tai tarvittavaa asiantuntemusta hankkimaan ulkopuolelta. Nämä ovat usein budjetin ulkopuolisia kustannuksia, ja niiden suuruus voi vaihdella merkittävästi."

Monitor ERP pilvessä kiinteällä kuukausihinnalla

Monitor ERP on kokonaisvaltainen ERP-ratkaisu ilman kalliita infrastruktuuri- ja ylläpitokustannuksia.

Monitor ERP:n pilviratkaisu

Hyödynnä tiukkaa käyttöoikeuksien hallintaa

Maxin mukaan monilla yrityksillä on parannettavaa käyttöoikeuksien hallinnassa (ns. zero trust -malli ja vähimmän oikeuden periaate). Zero trust on tietoturvastrategia, joka perustuu ajatukseen "älä koskaan luota – varmista aina". Yhtään laitetta, käyttäjää tai sovellusta ei pidä automaattisesti pitää luotettavana, riippumatta siitä, sijaitseeko se verkon sisällä vai ulkopuolella. Kaikki pääsy yrityksen IT-resursseihin tulee vaatia tunnistautumisen ja vahvan todennuksen.

Vähimmän oikeuden periaate tarkoittaa, että käyttäjille, järjestelmille ja sovelluksille annetaan vain ne käyttöoikeudet, jotka ovat välttämättömiä niiden tehtävien suorittamiseen. Tämä vähentää virheiden, väärinkäytösten ja vahinkojen riskiä tietomurron sattuessa.

"Monissa yrityksissä käyttöoikeuksia annetaan liikaa. Ei välttämättä tiedetä tarkasti, mitä kukin käyttäjä tekee, joten annetaan varmuuden vuoksi laajimmat oikeudet, koska se on helpointa", Max kertoo.

Hyvä käytäntö on myös hyödyntää yritysportaalia, johon kootaan kaikki työntekijöille hyväksytyt sovellukset.

Laadi selkeä IT-politiikka

Maxin mukaan kustannustehokkain tietoturvatoimenpide on selkeä ja hyvin laadittu IT-politiikka. Se auttaa työntekijöitä ymmärtämään, miten yrityksen laitteita ja palveluita tulee käyttää. Politiikassa tulisi käsitellä esimerkiksi salasanojen hallintaa, työasemien käyttöä ja ohjelmistojen asennusta.

On kuitenkin tärkeää, ettei ohjeistus ole liian jäykkä. Liian tiukat säännöt voivat johtaa siihen, että niitä aletaan kiertää. Turvallisuuden ja käytettävyyden tasapainon on toimittava.

"Kannattaa kuunnella henkilöstöä ja etsiä ratkaisuja yhdessä sen sijaan, että kaikkea vain kielletään. Lopulta riskianalyysi ratkaisee, mitä kannattaa rajoittaa ja mitä ei", Max sanoo.

Pidä tuotanto käynnissä jatkuvuussuunnittelulla

Yrityksellä tulisi olla myös selkeä jatkuvuus- ja palautumissuunnitelma. Sen tavoitteena on varmistaa, että tuotanto voi jatkua häiriötilanteissa ja että järjestelmät voidaan palauttaa nopeasti käyttökatkon jälkeen. Suunnitelmassa tulisi määritellä esimerkiksi kriittiset järjestelmät, niiden priorisointi sekä vastuunjako.

"Aika on ratkaiseva tekijä vahinkojen rajaamisessa. Hyvä jatkuvuussuunnitelma varmistaa, että olette valmistautuneita ettekä jää tilanteessa toimettomiksi."

Laadi ohjeistus tekoälyn käyttöön

Generatiivisten tekoälytyökalujen käytön yleistyessä myös tietoturvariskit ovat kasvaneet. Markkinoilla on runsaasti erilaisia palveluita, ja työntekijät saattavat käyttää niitä ilman yrityksen tai IT-osaston hyväksyntää (ns. Shadow AI).

Ongelma on, että monet julkiset tekoälypalvelut tallentavat ja hyödyntävät syötettyä dataa. Tämä voi aiheuttaa merkittäviä riskejä, jos esimerkiksi lähdekoodia tai muuta luottamuksellista tietoa jaetaan palveluihin.

"On tärkeää määritellä selkeästi, mitä työntekijät saavat ja eivät saa tehdä. Tekoälyn käyttöä koskeva politiikka ja koulutus auttavat varmistamaan, mitä palveluita voidaan käyttää ja millaista tietoa niihin ei saa syöttää."

Rakenna kulttuuri, jossa jokainen haluaa ja uskaltaa kantaa vastuuta tietoturvasta

Maxin mukaan IT-osaston ja muiden toimintojen välillä voi olla turhaa etäisyyttä. On helppo ajatella, että IT vastaa kaikesta tietoturvaan liittyvästä. Lisäksi työntekijät saattavat epäröidä ilmoittaa omista virheistään tietoturvaan liittyen, koska pelkäävät seurauksia.

"On tärkeää kannustaa eikä syyllistää ketään, joka ilmoittaa poikkeamasta tai tietoturvapoikkeamasta. Kun ilmoittaminen koetaan turvalliseksi, enemmän tapauksia havaitaan ja voidaan estää ajoissa."

Poikkeamien ja tietoturvatapahtumien ilmoittamisen tulee olla mahdollisimman helppoa. Esimerkiksi sähköpostiin voidaan lisätä painike, jolla epäillyn tietojenkalasteluviestin voi ilmoittaa suoraan. Ilmoituksen tehneen työntekijän tulisi saada nopeasti ensimmäinen palaute, joten on tärkeää, että vastuut ja käsittelyprosessi ovat selkeät.

Ilmoituksia kannattaa myös hyödyntää oppimiseen. Niiden avulla voidaan analysoida tapahtumia ja kehittää järjestelmiä sekä toimintatapoja. Parannuksista on hyvä viestiä koko organisaatiolle – näin voidaan konkreettisesti osoittaa, miten yksittäinen ilmoitus on tehnyt yrityksestä turvallisemman.