Turvallinen verkkokäyttäytyminen – näin suojaat yrityksen tiedot ja käyttäjätilit

Yrityksen tietoturva ei muodostu pelkästään palomuureista, virustorjunnasta ja teknisistä ratkaisuista. Yhtä tärkeää on se, miten yrityksen työntekijät käyttävät sähköpostia, verkkopalveluita, salasanoja ja yrityksen laitteita päivittäisessä työssään.

Yksi väärälle sivustolle syötetty salasana tai huijausviestistä avattu haitallinen linkki voi pahimmillaan johtaa käyttäjätilin kaappaamiseen, tietovuotoon tai yrityksen nimissä tehtäviin huijauksiin.

Hyvillä verkkokäyttäytymisen käytännöillä voidaan pienentää näitä riskejä merkittävästi.

Tässä artikkelissa käymme läpi käytännönläheisiä tapoja parantaa omaa ja yrityksen tietoturvaa verkossa.

1. Käytä vahvoja ja yksilöllisiä salasanoja

Samaa salasanaa ei pitäisi käyttää useissa eri palveluissa!

Jos yhden palvelun käyttäjätunnukset päätyvät tietomurron seurauksena vääriin käsiin, rikolliset voivat kokeilla samaa sähköpostiosoitetta ja salasanaa automaattisesti myös muihin palveluihin.

Erityisen tärkeää on, ettei esimerkiksi yrityksen sähköpostissa, WordPressissä, verkkokaupassa ja muissa tärkeissä järjestelmissä käytetä samaa salasanaa.

Hyvä salasana on riittävän pitkä ja vaikeasti arvattava. Käytännössä erilaisten salasanojen hallinnassa kannattaa hyödyntää luotettavaa salasanojen hallintaohjelmaa.

Esimerkkitapaus: sama salasana WordPressissä ja sähköpostissa

Yrityksen työntekijä käyttää samaa salasanaa vanhassa verkkopalvelussa ja yrityksen sähköpostissa. Vanha verkkopalvelu joutuu tietomurron kohteeksi ja käyttäjätunnukset salasanoineen päätyvät rikollisten haltuun.

Rikollinen kokeilee samoja tunnuksia sähköpostipalveluun ja onnistuu kirjautumaan tilille.

Vaikka yrityksen oma verkkosivusto tai sähköpostipalvelu ei olisi kärsinyt tietomurrosta, muualla vuotanut salasana voi siis vaarantaa yrityksen käyttäjätilin.

Parempi toimintatapa: käytä jokaisessa tärkeässä palvelussa eri salasanaa ja ota monivaiheinen tunnistautuminen käyttöön.

2. Ota monivaiheinen tunnistautuminen käyttöön

Monivaiheinen tunnistautuminen eli MFA (Multi-Factor Authentication) lisää käyttäjätilille ylimääräisen suojauskerroksen.

Pelkkä käyttäjätunnus ja salasana eivät tällöin riitä kirjautumiseen, vaan käyttäjän täytyy vahvistaa henkilöllisyytensä myös toisella tavalla.

Vahvistamiseen voidaan käyttää esimerkiksi:

• autentikointisovellusta
• suojausavainta
• biometrisiä tunnisteita
• kertakäyttöistä vahvistuskoodia.

MFA kannattaa ottaa käyttöön erityisesti yrityksen sähköpostissa, pilvipalveluissa, verkkosivuston hallinnassa ja muissa liiketoiminnan kannalta tärkeissä palveluissa.

Monivaiheinen tunnistautuminen parantaa tietoturvaa huomattavasti, mutta sekään ei tee käyttäjätilistä täysin haavoittumatonta. Siksi myös kirjautumispyyntöjen ja verkkosivujen aitouteen pitää kiinnittää huomiota.

Esimerkkitapaus: puhelimeen tulee yllättäen kirjautumispyyntö

Työntekijän puhelimeen ilmestyy Microsoft 365 -kirjautumisen hyväksymispyyntö, vaikka hän ei itse ole kirjautumassa palveluun.

Pyynnön hyväksyminen vain siksi, että ilmoitus saadaan pois näytöltä, voi antaa hyökkääjälle mahdollisuuden päästä käyttäjätilille.

Parempi toimintatapa: älä hyväksy tunnistautumispyyntöä, jota et itse käynnistänyt. Jos tällainen pyyntö tulee yllättäen, selvitä mistä se johtuu ja vaihda tarvittaessa salasana.

3. Suhtaudu sähköpostien linkkeihin harkiten

Tietojenkalasteluviestit eivät enää välttämättä näytä kömpelöiltä huijausviesteiltä. Viesti voi näyttää aidolta Microsoftin, pankin, kuljetusyhtiön, verkkokauppapalvelun tai jopa oman yhteistyökumppanin lähettämältä.

Myös lähettäjän nimi voidaan väärentää tai viesti voi tulla aidosti murretulta sähköpostitililtä.

Ole erityisen tarkkana, jos viestissä:

• pyydetään kirjautumaan palveluun linkin kautta
• pyydetään vahvistamaan salasana tai käyttäjätili
• vaaditaan nopeaa toimintaa
• uhataan käyttäjätilin sulkemisella
• pyydetään avaamaan odottamaton liite
• ilmoitetaan yllättävästä laskusta tai maksusta
• pyydetään muuttamaan maksutietoja tai tilinumeroa.

Jos viesti epäilyttää, älä kirjaudu palveluun sähköpostissa olevan linkin kautta. Avaa palvelu sen sijaan itse selaimesta tutun osoitteen kautta.

Esimerkkitapaus: toimitusjohtajalta tulee kiireellinen viesti

Työntekijä saa toimitusjohtajan nimissä sähköpostin:

“Olen palaverissa enkä pysty puhumaan. Voitko hoitaa tämän maksun heti? Tämä on kiireellinen.”

Viestin lähettäjän nimenä näkyy toimitusjohtajan nimi, mutta sähköpostiosoite on eri kuin tavallisesti.

Parempi toimintatapa: varmista poikkeuksellinen maksupyyntö aina toista viestintäkanavaa pitkin, esimerkiksi soittamalla henkilölle tunnettuun numeroon.

4. Tarkista verkkosivun osoite ennen kirjautumista

Huijaussivusto voidaan rakentaa näyttämään lähes identtiseltä aidon palvelun kanssa.

Microsoftin, Googlen, pankin tai muun tunnetun palvelun logo ei siis todista, että sivusto olisi aito.

Tarkista ennen käyttäjätunnusten syöttämistä selaimen osoiteriviltä, millä verkkotunnuksella todella olet.

Huijausosoite voi muistuttaa oikeaa osoitetta esimerkiksi ylimääräisen sanan, kirjaimen tai eri verkkotunnuspäätteen avulla.

Esimerkkitapaus: jaettu dokumentti odottaa lukemista

Työntekijälle tulee tutulta yhteistyökumppanilta viesti, jonka mukaan hänelle on jaettu dokumentti.

Linkistä avautuu Microsoft 365 -kirjautumista muistuttava sivu.

Viestin lähettäjä voi olla täysin oikea yhteistyökumppani, mutta hänen sähköpostitilinsä on voitu kaapata. Tämän jälkeen rikollinen käyttää luotettua sähköpostiosoitetta uusien käyttäjätunnusten kalasteluun.

Parempi toimintatapa: tarkista kirjautumissivun osoite ennen tunnusten syöttämistä. Jos jaettu tiedosto tai viesti vaikuttaa odottamattomalta, varmista asia lähettäjältä toista kanavaa käyttäen.

5. Älä avaa odottamattomia liitetiedostoja

Haitallista sisältöä voidaan levittää sähköpostien liitetiedostoina tai tiedostojen latauslinkkien kautta.

Erityisen varovainen kannattaa olla silloin, jos et odottanut tiedostoa tai viestin sisältö poikkeaa lähettäjän tavallisesta viestinnästä.

Pelkkä tuttu lähettäjä ei aina riitä varmistamaan viestin aitoutta, sillä lähettäjän käyttäjätili voi olla murrettu.

Jos olet epävarma, varmista tiedoston aitous lähettäjältä esimerkiksi puhelimitse.

6. Pidä tietokone, puhelin ja ohjelmistot päivitettyinä

Ohjelmistopäivitykset eivät sisällä vain uusia ominaisuuksia. Niillä korjataan myös ohjelmistoista löytyneitä tietoturva-aukkoja.

Pidä ajan tasalla esimerkiksi:

• tietokoneen käyttöjärjestelmä
• verkkoselain
• puhelimen käyttöjärjestelmä
• sähköpostiohjelma
• muut työssä käytettävät sovellukset.

Sama koskee yrityksen verkkosivustoa.

WordPress, sivustolla käytettävät lisäosat ja palvelinympäristö tarvitsevat jatkuvaa teknistä ylläpitoa. Mediakummun WordPress-ylläpito ja hosting auttaa pitämään yrityksen verkkosivuston teknisen ympäristön ajan tasalla.

Lue myös: Miksi WordPress-sivuston ylläpito on tärkeää?

7. Huolehdi verkkosivuston varmuuskopioista

Hyvä tietoturva perustuu myös siihen, että ongelmatilanteesta pystytään palautumaan.

Verkkosivuston varmuuskopioita voidaan tarvita esimerkiksi epäonnistuneen päivityksen, käyttäjän tekemän virheen, teknisen vian tai tietoturvaongelman jälkeen.

Pelkkä varmuuskopion olemassaolo ei vielä riitä. Olennaista on, että varmuuskopio on riittävän tuore ja sivusto voidaan tarvittaessa palauttaa siitä.

Varmuuskopiointi onkin tärkeä osa yrityksen WordPress-ylläpitoa.

8. Ole tarkkana WordPressiin liittyvien tietoturvaviestien kanssa

Verkkosivuston ylläpitäjälle voidaan lähettää huijausviestejä myös WordPressin, WooCommercen tai muiden tunnettujen palveluiden nimissä.

Viesti voi esimerkiksi väittää, että verkkosivustolta on löytynyt vakava tietoturvaongelma, joka täytyy korjata välittömästi asentamalla viestissä annettu ohjelmisto.

Kiireen tunne on tehokas tapa saada vastaanottaja toimimaan ennen kuin hän ehtii tarkistaa viestin aitoutta.

Lue myös: Tietojenkalasteluviestejä liikkeellä WooCommercen nimissä.

Esimerkkitapaus: WooCommerce tarvitsee kiireellisen tietoturvapäivityksen

Verkkokauppias saa aidolta näyttävän viestin, jossa kerrotaan WooCommerce-verkkokaupan kriittisestä haavoittuvuudesta.

Viestissä annetaan ohjeet ”tietoturvakorjauksen” lataamiseen ja asentamiseen.

Todellisuudessa kyseessä on tietojenkalastelu- tai haittaohjelmakampanja.

Parempi toimintatapa: älä asenna sähköpostitse toimitettuja päivityksiä tai korjauksia tarkistamatta niiden aitoutta. Jos sivustosi on ammattilaisen ylläpidossa, varmista asia ylläpitäjältä.

9. Vältä arkaluonteisten tietojen käsittelyä suojaamattomissa verkoissa

Hotellien, lentokenttien, kahviloiden ja muiden julkisten tilojen Wi-Fi-verkkojen kanssa kannattaa olla varovainen.

Älä käsittele suojaamattomassa tai epäluotettavassa verkossa tarpeettomasti arkaluonteisia yritystietoja tai kirjaudu kriittisiin järjestelmiin.

Tarvittaessa turvallisempi vaihtoehto voi olla esimerkiksi oman puhelimen mobiiliyhteys tai yrityksen hyväksymä VPN-ratkaisu.

VPN ei kuitenkaan suojaa käyttäjää esimerkiksi tietojenkalastelulta. Haitalliselle verkkosivulle syötetyt käyttäjätunnukset voidaan varastaa riippumatta siitä, käytätkö VPN-yhteyttä.

10. Lukitse työlaite ja pidä käyttäjätilit henkilökohtaisina

Tietoturva koskee myös fyysistä työympäristöä.

Lukitse tietokone aina, kun poistut työpisteeltä. Älä jätä kannettavaa tietokonetta tai puhelinta valvomatta paikkaan, jossa ulkopuolinen voi päästä siihen käsiksi.

Yrityksen järjestelmissä kannattaa myös välttää yhteiskäyttöisiä käyttäjätunnuksia silloin, kun henkilökohtaiset tunnukset ovat mahdollisia.

Henkilökohtaiset käyttäjätilit helpottavat käyttöoikeuksien hallintaa ja mahdollistavat tarpeettomien oikeuksien poistamisen esimerkiksi työntekijän vaihtaessa tehtävää tai poistuessa yrityksestä.

11. Mieti ennen kuin julkaiset tietoa verkossa

Myös julkisesti jaettu tieto voi auttaa rikollista rakentamaan uskottavamman huijauksen.

Yrityksen verkkosivuilta ja sosiaalisesta mediasta voi löytyä esimerkiksi:

• työntekijöiden nimiä ja tehtävänimikkeitä
• sähköpostiosoitteita
• tietoa yhteistyökumppaneista
• tietoa käynnissä olevista projekteista
• tietoa henkilöstön lomista tai matkoista.

Näitä tietoja voidaan hyödyntää kohdennetuissa huijausviesteissä.

Yrityksen kannattaa siis miettiä, mitä tietoa todella tarvitsee julkaista ja miten henkilöstöstä sekä yrityksen sisäisistä asioista viestitään julkisesti.

12. Jos jokin tuntuu epäilyttävältä, varmista ennen kuin toimit

Yksi parhaista tietoturvakäytännöistä on yksinkertainen:

Jos viesti, kirjautumispyyntö, maksupyyntö tai muu tilanne vaikuttaa poikkeukselliselta, pysähdy ja varmista asia ennen toimimista.

Varmistamiseen kannattaa käyttää eri yhteydenottotapaa kuin epäilyttävässä viestissä.

Jos saat esimerkiksi sähköpostitse yllättävän pyynnön vaihtaa toimittajan pankkitilinumeron, älä vastaa viestiin kysymällä, pitääkö tieto paikkansa. Soita sen sijaan toimittajalle ennestään tunnettuun puhelinnumeroon.

Esimerkkitapaus: yhteistyökumppanin tilinumero vaihtuu

Yrityksen taloushallintoon saapuu tutun toimittajan aidolta näyttävä lasku. Viestissä kerrotaan, että yrityksen pankkiyhteys on muuttunut ja maksu tulee suorittaa uudelle tilille.

Sähköpostitili on kuitenkin kaapattu ja rikollinen on seurannut yritysten välistä viestintää. Hän tietää, millaisia laskuja osapuolten välillä liikkuu ja pystyy tekemään huijauksesta erittäin uskottavan.

Parempi toimintatapa: varmista pankkitilin muutokset aina ennalta tunnetusta puhelinnumerosta tai muuta sovittua kanavaa pitkin.

Mitä tehdä, jos klikkasit tietojenkalastelulinkkiä?

Pelkkä epäilyttävän linkin avaaminen ja käyttäjätunnusten luovuttaminen ovat kaksi eri tilannetta.

Jos syötit käyttäjätunnuksesi tai salasanasi epäilyttävälle sivulle, reagoi nopeasti:

1. Vaihda vaarantuneen käyttäjätilin salasana turvalliselta laitteelta.
2. Jos sama salasana on käytössä muualla, vaihda se myös niissä palveluissa.
3. Ilmoita tapahtuneesta yrityksesi IT-tuelle tai tietoturvasta vastaavalle henkilölle.
4. Tarkista käyttäjätilin kirjautumiset ja aktiiviset istunnot.
5. Tarkista mahdollisuuksien mukaan sähköpostin edelleenlähetys- ja muut säännöt.
6. Ota monivaiheinen tunnistautuminen käyttöön, jos sitä ei vielä käytetä.
7. Jos kyseessä ovat pankki- tai maksutiedot, ota välittömästi yhteyttä pankkiin.
8. Varoita tarvittaessa yrityksen muita työntekijöitä ja yhteistyökumppaneita.

Nopea reagointi voi estää yksittäisen virheen muuttumisen laajemmaksi tietoturvaongelmaksi.

Yrityksen tietoturva syntyy tekniikasta ja ihmisistä

Hyvä tietoturva ei tarkoita sitä, ettei kukaan koskaan tekisi virhettä. Tärkeämpää on rakentaa toimintatavat, jotka vähentävät virheiden todennäköisyyttä ja rajoittavat niiden seurauksia.

Vahvat ja yksilölliset salasanat, monivaiheinen tunnistautuminen, harkinta sähköpostien kanssa, ajantasaiset ohjelmistot ja toimivat varmuuskopiot muodostavat hyvän perustan turvalliselle verkkokäyttäytymiselle.

Yrityksen verkkosivuston osalta sama periaate jatkuu teknisessä ylläpidossa. Sivuston ohjelmistot täytyy pitää ajan tasalla, varmuuskopioinnista pitää huolehtia ja havaittuihin tietoturvaongelmiin täytyy pystyä reagoimaan.

Mediakummun WordPress-ylläpito ja hosting auttaa huolehtimaan yrityksesi WordPress-sivuston teknisestä toimintavarmuudesta, päivityksistä ja ylläpidosta.

Tutustu WordPress-ylläpitoon ja hostingiin tai ota yhteyttä Mediakumpuun.