Yritysten suurimmat kyberturvallisuusuhkat – ja miten suojautua niiltä

Viime vuosina koronapandemian aikaansaama etätyöhön siirtyminen yhdessä monien organisaatioiden digitaalisen murroksen kanssa on tarjonnut uusia mahdollisuuksia kyberrikollisille. Siksi on tärkeää, että kaikki yritykset – sekä suuret että pienet – tiedostavat suurimmat kyberturvallisuusuhat ja verkkosivustojen turvallisuusongelmat voidakseen ryhtyä toimiin itsensä suojelemiseksi. Lue lisää alta.

Yritysten kyberturvallisuusuhka numero 1: kiristysohjelmat

Tietojen mukaan 80 % yrityksistä ympäri maailmaa joutui jonkinlaisen kiristysohjelmahyökkäyksen kohteeksi vuonna 2021. Kiristysohjelma on ohjelma, joka estää käyttäjien pääsyn tietokoneisiinsa tai rajoittaa dataan pääsyn salaamalla tiedot. Käyttäjän tulee antaa tällöin erityinen avainkoodi käyttöoikeuden palauttamiseksi, mutta hakkeri antaa koodin vain lunnaita vastaan. Haitallisin kiristysohjelma poistaa kaikki tiedot, vaikka lunnas olisikin maksettu.

Monet pienten ja keskisuurten yritysten omistajat uskovat olevansa pieniä kaloja meressä, jossa niin ikään uiskentelevat suuryritysvalaat ovat paljon houkuttelevampia rikollisten silmissä. Omistajat lukevat suuryhtiöihin kohdistuvista laaja-alaisista kyberhyökkäyksistä ja tuntevat olevansa niihin verrattuna turvassa, mutta suuryhtiöt ovat oppineet kantapään kautta, miten vahvistaa suojauksensa kybertunkeilijoilta ja vahvistaa puolustustaan tulevien hyökkäysten varalta.

Tämän tuloksena kyberrikollisilta voi tuntua siltä, että pieniin ja keskisuuriin yrityksiin on helpompi hyökätä, sillä niiden suojaukset ovat usein minimaaliset eikä niillä ole riittävästi tietoa tietokoneidensa tietovarkauksien ennaltaehkäisemiseksi. Salasanoja on helppo siepata, kuten myös pankkitilitietoja, kotiosoitteita sekä jopa henkilötunnuksia. Näiden tietojen avulla kybervarkaat voivat tyhjentää varoja, varastaa identiteettejä ja käynnistää kyberhyökkäyksiä yrityksiä ja jopa valtioita vastaan.

Miten yritykset voivat suojautua kiristysohjelmilta

Kerrokselliset turvamenetelmät: Kiristyshaittaohjelmien riskin vähentämiseksi kannattaa ottaa kerroksellinen lähestymistapa kyberturvallisuuteen. Tämä tarkoittaa, että käytetään lukuisia turvallisuusvälineitä yhdessä. Esimerkiksi käytä laadukasta virustorjuntaa kaikissa laitteissa ja pidä se päivitettynä, asenna palomuuri ja käytä spam-suodattimia ja pilven tietojen menetyksen torjuntaratkaisuja. Monien välineiden käyttö tarkoittaa, että jos yksi vikaantuu, muut voivat astua esiin korvaamaan sen.

Varmuuskopioi tietosi: Varmista, että yritykselläsi on järjestelmäsi täydellinen offline-varmuuskopio, joka on ajan tasalla ja erillään pääverkosta. Näin pääset tietoihisi myös silloin, kun yritykseesi kohdistuu lunnasvaatimuksia. Testaa varmuuskopiointisi säännöllisesti varmistaaksesi, että se toimii, kun sitä tarvitset.

Tarkista omien laitteiden käytön käytäntö: Etätyöhön siirtymisen myötä työntekijät käyttävät välillä omia kannettavia tietokoneitaan tai mobiililaitteitaan työskennelläkseen yrityksen verkossa ja päästääkseen siihen. Tämä sisältää riskin, sillä näissä laitteissa ei välttämättä ole asianmukaista virustorjuntaa tai muita turvallisuusohjelmistoja asennettuina. Matkustaessaan työntekijät saattavat käyttää julkisia langattomiai verkkoja, jotka eivät ole turvallisia. Tämän riskin lieventämiseksi voit rajoittaa verkkopääsyn yrityksen antamiin laitteisiin ja edellyttää, että työntekijät käyttävät verkkoa VPN:n eli virtuaalisen yksityisverkon välityksellä.

Yritysten kyberturvallisuusuhka numero 2: tietojenkalastelu

Tietojenkalastelu on jälleen yksi merkittävä yrityksiin kohdistuva kyberuhka. Tietojenkalastelu viittaa yrityksiin saada arkaluonteista tietoa, kuten käyttäjänimiä, salasanoja ja luottokorttitietoja, valheellisilla sähköpostiviesteillä, jotka on suunniteltu näyttämään aidoilta, tai joskus väärennettyjen sivustojen välityksellä. Perinteisesti tietojenkalasteluhuijaukset tehtiin sähköpostitse. Viime vuosina useimmat tietojenkalasteluhuijaukset on kuitenkin tehty tekstiviestitse (smishing) ja soittamalla (vishing).

Termillä kohdennettu tietojenkalastelu tarkoitetaan tietojenkalasteluyrityksiä, jotka on kohdistettu tiettyyn yksilöön tai yritykseen. Kyberrikolliset hyödyntävät sosiaalisen manipuloinnin tekniikoita personoidakseen viestejä ja saadakseen ne näyttämään siltä, että ne ovat päteviä sähköpostiviestejä tutuilta henkilöiltä. Ne hyödyntävät useita eri verkkotietolähteitä – kuten sosiaalista mediaa tai yrityksen verkkosivustoja – luodakseen kohteidensa profiilin. He saattavat jopa soittaa yritykselle asiakkaana saadakseen tilitietoja ja niin edelleen.

Huijaussähköpostit menevät usein suoraan yrityksen asiakastilijohtajalle, ja niissä pyydetään varojen maksua asiakkaan pankkitilille. Sähköposti sisältää pankkitilitiedot ja rahojen siirtotiedot. Luottavaiset johtajat ovat lähettäneet muutamasta tuhannesta dollarista muutamaan miljoonaan dollariin kyberrikollisten pankkitileille.

Miten yritykset voivat suojautua tietojenkalastelulta

Tarkastele digitaalista jalanjälkeäsi: Mieti, mitä tietoja yritys antaa julkisesti verkossa – eli digitaalista jalanjälkeä – ja sitä, miten tiedot saattavat altistaa henkilökunnan jäsenet tämän tyyppiselle rikokselle. Esimerkiksi jos luetteloit koko ylemmän henkilökuntasi ja annat linkin heidän LinkedIn-profiiliinsa, sähköpostiosoitteisiinsa ja puhelinnumeroihinsa, tietojenkalastelun kohteeksi joutumisen vaara kasvaa. (Voit lukea lisää LinkedInin yksityisyyshaasteista täällä.)

Käytä sähköpostisuodattimia: Sähköpostisuodatin ei itsessään takaa, ettet saa mitään tietojenkalastelusähköposteja, mutta se lisää suojaustasi. Sähköpostintarjoajat tarjoavat laajan valikoiman roskapostisuodattimia, joten tarjontaan kannattaa tutustua ennen sinulle sopivan tarjoajan valitsemiseta.

Käytä virustorjuntaa: Kattavan ja ajantasaisen virustorjuntaohjelman asennus jokaiselle laitteelle auttaa yritystäsi suojautumaan tietojenkalastelyhyökkäyksiltä monien muiden kyberuhkien lisäksi. Virustorjuntaohjelma, jossa on tietojenkalastelun estotoimintoja, skannaa sähköpostiliitteet niiden riskialttiuden tarkistamiseksi.

Ole valppaana: Etsi selviä merkkejä tietojenkalastelusta. Esimerkiksi sähköpostissa, jonka pankkisi lähettää sinulle pyytääkseen sinua päivittämään henkilökohtaiset tietosi, ei todennäköisesti ole oikeinkirjoitus- ja kielioppivirheitä. Jos sähköpostiviestillä halutaan saada tunne kiireellisyydestä – esimerkiksi sanomalla, että tilisi on hakkeroitu ja että se tulee nollata välittömästi – kyseessä voi olla varoitusmerkki. Jos viestissä on URL, liikuta hiirtä sen yllä tarkistaaksesi, että se ohjaa oikealle sivulle. On lisäksi tärkeää, että URL-osoitteessa on SSL-varmenne ja että sen alussa on HTTPS. Nyrkkisääntönä pätee, että jos saat sähköpostin tuntemattomalta lähettäjältä, älä avaa sen liitteitä.

Yritysten kyberturvallisuusuhka numero 3: heikot salasanat

Toinen yritysten merkittävä IT-tietoturvariski on se, että työntekijät käyttävät heikkoja ja helposti arvattavia salasanoja. Heikkojen tai helposti arvattavien salasanojen käyttö tai samojen salasanojen käyttö monilla eri tileillä voi johtaa arkaluonteisten tietojen tai taloudellisten tietojen vaarantumiseen. Pienet yritykset voivat olla erityisesti vaarassa työntekijöiden heikkojen salasanojen käytön vuoksi, koska ne eivät välttämättä ole riittävän tietoisia verkkoturvallisuusriskeistä. Keskimäärin 19 % yrityksen ammattilaisista käyttää helposti arvattavia salasanoja tai samoja salasanoja eri tileillä.

Hakkerit kirjoittavat ohjelmia, joissa käytetään miljoonien salasanojen sanakirjoja, pyrkimyksessään päästä käsiksi yksityishenkilöiden ja yritysten IT-järjestelmiin. Näistä käytetään nimitystä väsytyshyökkäykset, ja niillä on suuri onnistumisaste tietokoneisiin murtautumisessa. Kun hakkeri saa selville tunnuksen ohjelmistosovellukseen, todennäköisyys toiselle tilille pääsyyn samalla salasanalla on suuri.

Miten yritykset voivat suojautua heikoilta salasanoilta

Ota käyttöön vahva ja teknisesti vahvistettu salasanakäytäntö: Vahvassa salasanassa on vähintään 15 merkkiä, pieniä ja isoja kirjaimia, numeroita ja erikoismerkkejä. Käyttäjien tulee välttää yksinkertaisia numerosarjoja, kuten "12345" tai puolisoiden, lasten tai lemmikkieläinten nimiä salasanassa, sillä hakkeri saa nämä tiedot helposti selvillä sosiaalisesta mediasta. Jotkin yritykset edellyttävät, että niiden työntekijät vaihtavat sisäänkirjautumisen salasanansa vähintään 90 päivän välein.

Käytä salasanan hallintaohjelmaa:työntekijöittesi tulisi harkita salasanan hallintaohjelmankäyttöä luodakseen ja ylläpitääkseen pitkiä ja monimutkaisia salasanoja, jotka voidaan liimata sovellusten sisäänkirjautumissivuille.

Ota käyttöön monivaiheinen todennus: monivaiheinen todennus (Multi-factor authentication, MFA) auttaa takaamaan, että käyttäjät tarvitsevat muutakin kuin salasanan yritystileille pääsemiseksi. Tämän kuuluu ylimääräisiä varmennusvaiheita, kuten tunnuskoodin lähettäminen mobiililaitteeseen. Tämä lisäturvallisuuskerros auttaa ennaltaehkäisemään hakkerien pääsyn yritystileille, vaikka he arvaisivatkin salasanan oikein.

Vaihda oletussalasana: Yleinen virhe on se, että valmistajan oletussalasanoja ei vaihdeta älypuhelimissa, kannettavissa tietokoneissa ja muissa IT-laitteissa. Vaihda kaikki oletussalasanat ennen kuin laitteet jaetaan henkilökunnallesi. Tarkista laitteet ja ohjelmisto säännöllisesti oletusarvoisten, muuttamattomien salasanojen tunnistamiseksi.

Yritysten kyberturvallisuusuhka numero 4: mobiililaitteet

Yritykset tarjoavat usein henkilökunnalleen älypuhelimia, kannettavia tietokoneita ja tabletteja joustavan ja etätyöskentelyn mahdollistamiseksi. Tämän seurauksena tietojamme tallennetaan yhä enemmän tableteille ja älypuhelimille. Nämä laitteet ovat yhtä tehokkaita kuin perinteiset tietokoneet, ja – koska ne ovat mobiileja eivätkä näin ollen aina pysy toimiston tai kodin suojissa – edellyttävät pöytälaitteita enemmän suojaa. Silti monissa yrityksissä monet mobiilit päätepisteet ovat yhä vailla suojausta tietojenkalastelun, haittaohjelmien ja mobiililaitteen käyttöjärjestelmän hyväksikäyttöjen vaaroilta – mikä tekee niistä yhden suurimmista kyberturvallisuusuhkista.

Miten yritykset voivat suojata mobiililaitteita

Laita salasanasuojaus päälle: Käytä moniputkaista PIN-koodia tai salasanaa estääksesi keskivertorikollisen pääsyn puhelimeesi. Monissa laitteissa on nykyään sormenjälkitunnistus tai kasvojen tunnistus laitteen lukitsemiseksi, mikä vähentää riippuvaisuutta salasanoista. Nämä ominaisuudet eivät ole aina oletusasetuksena käytettävissä, joten varmista, että ne on otettu käyttöön.

Varmista, että kadonneet tai varastetut laitteet voidaan jäljittää, lukita tai tyhjentää: Jos työntekijän laite häviää tai se varastetaan, sinun ei pitäisi pelkästään kyetä jäljittämään sitä vaan myös poistamaan kaiken, mitä siinä on. Tunnuskoodit voivat karkottaa varkaat hetkeksi, mutta kyky poistaa kaikki arvokkaat tiedot laitteesta ennen kuin varkaat näkevät ne, poistaa riskin. Varmista aina, että tämä ominaisuus on käytössä jokaisessa matkapuhelimessa, jota työntekijäsi käyttävät.

Varmuuskopioi tiedot: Aivan kuten varmuuskopioit tietokoneesi tiedot säännöllisesti, sinun tulee varmuuskopioida myös yrityksesi mobiililaitteiden tiedot. Jos laite katoaa tai varastetaan, on rauhoittavaa tietää, että arvokkaat tietosi ovat tallessa ja voidaan palauttaa.

Pidä laitteet ja sovellukset ajan tasalla: Varmista, että ohjelmistoissasi ja sovelluksissasi on uusimmat versiot, sillä näin hyödyt uusimmista turvallisuutta koskevista päivityksistä.

Luo mobiililaitteiden tietoturvakäytäntö: Ennen kuin kukaan työntekijöistä alkaa työskennellä mobiililaitteella, laadi hyväksyttävä käyttöä koskeva käytäntö, joka on lakimääräysten mukainen. Kun annetaan opastusta siitä, miten toimia, jos laite häviää tai varastetaan, henkilökunta tietää, miten toimia, ja toimiikin toivottavasti ripeästi. Pyydä työntekijöitäsi lukemaan ja allekirjoittamaan käytännön ennen mobiililaitteen käyttöönottoa töissä: näin he osoittavat, että tiedostavat riskit ja tietävät, miten pysyä turvassa.

Salaa tiedot aina: Salauksen käyttöönotto yritysmatkapuhelimissa on olennaisen tärkeää. Mobiililaitteen salaus tapahtuu siten, että puhelimessasi olevat tiedot muunnetaan ei-luettavaan muotoon. Samoin kuin puhelinten salasanan suojauksessa käyttäjien tulee antaa salauksen PIN tai salasana tietojen salauksen purkamiseksi. Moderneissa älypuhelimissa on yleensä mukana salasanan suojauksen ja salauksen taso, vaikka jotkin ovatkin turvallisempia kuin toiset. Esimerkiksi jos luot Androidilla tunnuskoodin, sinua pyydetään laittamaan salaus päälle vaihtoehtona. Ota salaus käyttöön kaikilla fyysisillä laitteilla ja tue sitä tietojen salausohjelmistolla, jos tarpeen.

Yritysten kyberturvallisuusuhka numero 5: inhimillinen virhe

IBM:n vuonna 2021 tekemän tutkimuksen mukaan 95 % kyberrikoksista johtuu inhimillisestä virheestä. Toisin sanoen tahattomat toimet – tai toimimattomuus – tekevät tilaa rikkomuksille. Tämä tarkoittaa usein yksinkertaisia virheitä, kuten epäilyttävien sähköpostiliitteiden napsauttamista, epäilyttäville verkkosivustoille menoa tai heikkojen salasanojen tai samojen salasanojen käyttö eri tileillä (näin ollen nämä limittyvät merkittävästi muiden tässä artikkelissa mainittujen riskien kanssa, sillä inhimillinen virhe on usein yhteinen tekijä). Kyberrikolliset vainoavat ihmisten heikkoutta.

Miten liiketoiminnat voivat suojautua inhimilliseltä virheeltä

Anna koulutusta: Useimmat inhimilliset virheet ovat seurausta siitä, että työntekijät eivät tunne riskejä. Voit vähentää inhimillistä virhettä tehokkaalla kyberturvallisuuden tietoisuuskoulutuksella, johon kuuluu työntekijöiden kouluttaminen sosiaalisen manipuloinnin riskeistä. Tavoitteena tulisi olla lisätä tietoisuutta yritykseen kohdistuvista turvallisuusuhkista, jotta IT-etiketin hyvä taso voidaan iskostaa. Henkilökunnan koulutus, säännöllinen sähköposti- tai intranetuutiskirje tai työhön perehdyttämisen kurssit ovat kaikki hyödyllisiä.

Vähennä salasanojen määrää: Vahva salasana on ensiarvoisen tärkeä, mutta paras tapa vähentää inhimillisiä virheitä on karsia salasanojen määrää alusta asti. Tämä onnistuu käyttämällä salasanan hallintaohjelmia, joissa on monivaiheinen todennus päällä turvallisuuden lisäämiseksi, sekä biometristä varmennusta, kuten sormenjälkitunnistetta, käyttäviin laitteisiin siirtyminen.

Pienet yritykset voivat olla erityisen haavoittuvaisia kyberturvallisuusuhkille

Pienet ja keskisuuret yritykset voivat olla erityisen haavoittuvaisia kyberturvallisuusuhkille. Tämä johtuu seuraavista syistä:

• Yritykset eivät usein ajattele olevansa mahdollisia kohteita, joten ne eivät ole valmistautuneita.
• Niillä saattaa olla vanhentuneita järjestelmiä tai puutteita turvaprotokollissa ja koulutuksissa, mikä tekee niistä helpommin hakkeroitavia.
• Niillä ei todennäköisesti ole omia suuria IT-tiimejä, jotka pysyvät uusimpien IT-tietoturvariskien ja verkkosivuston turvallisuusongelmien tasalla.

Arvioi yrityksesi kyberturvallisuusriski

Yritykseesi kohdistuvien tärkeimpien kyberturvallisuusuhkien arvioimiseksi tee ensin nykyisten turvallisuusjärjestelmiesi arviointi. Laadi varastoluettelo varoista, mukaan lukien kaikista ohjelmista ja laitteista. Tee luettelo tietojen tallennuspaikasta ja henkilöistä, joilla on pääsy tietoihin. Pidä nämä tiedot turvassa ja tallessa ja rajoita niiden pääsyoikeuksia. Arvioi nykyiset turvallisuusjärjestelmäsi saadaksesi selville, missä haavoittuvuuksia voisi olla. Yrityksen riskinarviointi pitää yrityksesi turvassa.

Tässä artikkelissa annettujen vinkkien lisäksi alla on vielä kaksi kyberturvallisuutta koskevaa käytännön vinkkiä, joita kannattaa noudattaa:

• Laadi suunnitelma kyberhyökkäyksen varalta: Ole valmiina hätätilanteessa. Jos joudut hyökkäyksen kohteeksi, haluat varmasti suojella yritystäsi, työntekijöitäsi ja asiakkaitasi, joten laadi suunnitelma, josta ilmenevät kaikki tarpeelliset toimet pahimman sattuessa.
• Pysy ajan tasalla yritysten uusimmista kyberuhkista: Kun tiedät uusimmista kyberturvallisuusuhkista niiden vasta kehittyessä, voit pysyä askeleen edellä ja löytää parhaan tavan niiltä suojautumiseksi.

Lopuksi päätepisteen turvallisuus on tärkeä tekijä yritysten kyberturvallisuusuhkien hallinnoinnissa. Päätepiste viittaa mihin tahansa verkostoosi liittyvään laitteeseen – kuten kannettavat, pöytätietokoneet, älypuhelimet, tulostimet, palvelimet ja niin edelleen. Päätepisteen turvallisuus on prosessi, jossa suojataan työtarkoituksiin käytettyjä päätepisteitä kyberturvallisuusuhkilta. Pilvipohjainen päätepisteen turvallisuusohjelma soveltuu ihanteellisesti pienille ja keskisuurille yrityksille, sillä se edellyttää vähemmän sisäisiä resursseja hallinnoimiseen sekä vähemmän sitoumuksia etukäteen, mutta tarjoaa jatkuvaa valvontaa ja mahdollisuuden seurata päätepisteitäsi kaikkialta.

Lue lisää Kasperskyn päätepisteen turvallisuuden ratkaisuista täällä.

Kaspersky Endpoint Security sai kolme AV-TEST-palkintoa parhaasta suorituskyvystä, suojauksesta ja käytettävyydestä yrityksen päätepisteen turvallisuustuotteelle vuonna 2021. Kaspersky Endpoint Security osoitti poikkeuksellista suorituskykyä, suojausta ja käytettävyyttä yrityksille kaikissa testeissä.

Aiheeseen liittyvät artikkelit ja linkit:

• Mikä on IoT ja IoT:n tietoturva
• Uhkatiedot
• Mitä APT-hyökkäys tarkoittaa, APT-hyökkäyksen varoitusmerkit
• Mitä päätepisteen turvallisuus on?

Aiheeseen liittyvät tuotteet:

• Kaspersky Endpoint Security for Business Select
• Kaspersky Endpoint Security for Business Advanced
• Kaspersky Enterprise Security