Pienyrityksen tietoturvan perusteet: mitä suojaat, miltä suojaat ja missä järjestyksessä

Pienyrityksen tietoturva jää usein kesken, koska ohjeet alkavat keinoista. Tämä sivu alkaa listasta: mitä yritykselläsi oikeasti on, mitkä kolme uhkaa ovat realistisia ja mikä yksi keino katkaisee kunkin. Asetukset tulevat vasta sen jälkeen.

Tietoturva tarkoittaa sitä, että yrityksen tiedot pysyvät vain oikeiden ihmisten käsissä, säilyvät muuttumattomina ja ovat käytettävissä silloin kun niitä tarvitaan. Pienessä yrityksessä työ alkaa listasta, ei asetuksista: kirjoita ylös mitä yritykselläsi on (sähköposti, asiakastiedot, pankki- ja laskutusyhteydet, verkkotunnus, verkkosivujen hallinta, laitteet, sopimukset), merkitse jokaisen viereen mitä ilman yritys ei toimi huomenna, ja vasta sitten valitse suojakeinot. Listan tekemiseen menee 20 minuuttia ja se on koko työn tärkein vaihe, koska et voi suojata sitä mitä et ole kirjoittanut ylös.

Tietoturvaohjeet menevät pienyrityksessä yleensä pieleen samasta syystä: ne alkavat keinoista. Laita kaksivaiheinen tunnistautuminen päälle, päivitä koneet, osta salasanaholvi. Kaikki on totta, mutta lukija ei tiedä mihin niitä sovelletaan eikä missä järjestyksessä, joten hän tekee kaksi helpointa ja jättää loput.

Tämä sivu menee toisin päin. Ensin se mitä suojaat, sitten se miltä suojaat, ja vasta lopuksi asetukset — jotka ovat oma sivunsa, koska ne ovat helppo osa. Kokemuksemme mukaan järjestys on se, joka ratkaisee, jääkö työ tekemättä.

Mitä tietoturva oikeastaan tarkoittaa?

Tietoturva tarkoittaa kolmea asiaa: luottamuksellisuutta, eheyttä ja saatavuutta. Luottamuksellisuus tarkoittaa, että tieto näkyy vain niille joille sen kuuluu näkyä. Eheys tarkoittaa, että tieto on sitä mitä sen pitääkin olla. Saatavuus tarkoittaa, että pääset tietoon käsiksi silloin kun sitä tarvitset. Nämä kolme kannattaa opetella, koska ne selittävät miksi eri keinot ovat olemassa: salaus ja tunnistautuminen suojaavat luottamuksellisuutta, sovittu tapa vahvistaa tilinumeron muutos suojaa eheyttä, ja varmuuskopio suojaa saatavuutta. Jos jokin tarjottu palvelu ei suojaa mitään näistä kolmesta, kysy myyjältä mitä se tarkalleen suojaa. Alla kaikki kolme erikseen.

Luottamuksellisuus tarkoittaa, että tieto näkyy vain niille, joille sen kuuluu näkyä. Tämän rikkoo vuotanut salasana, unohtunut kannettava tai vanha työntekijä, jonka tunnukset ovat yhä voimassa.

Eheys tarkoittaa, että tieto on sitä mitä sen pitääkin olla. Tämän rikkoo se, että joku muuttaa laskun tilinumeron, tai että tiedosto korruptoituu ja huomaat sen vasta puolen vuoden päästä.

Saatavuus tarkoittaa, että pääset tietoon käsiksi silloin kun sitä tarvitset. Tämän rikkoo rikkoutunut kone, kiristyshaittaohjelma tai palvelun sulkeutuminen, kun lasku jäi maksamatta.

Melkein jokainen tietoturvakeino kuuluu johonkin näistä kolmesta. Salaus ja tunnistautuminen suojaavat luottamuksellisuutta. Sovittu tapa vahvistaa tilinumeron muutos suojaa eheyttä. Varmuuskopio suojaa saatavuutta. Jos jokin tarjottu palvelu ei suojaa mitään näistä kolmesta, kysy myyjältä mitä se tarkalleen suojaa.

Miksi tietoturva ja tietosuoja eivät ole sama asia?

Tietoturva ja tietosuoja eivät ole sama asia: tietoturva on keinot, tietosuoja on säännöt. Tietoturva tarkoittaa sitä, miten estät että tieto joutuu vääriin käsiin, muuttuu tai katoaa, ja se koskee kaikkea tietoa — myös hinnoittelua ja tarjouslaskelmia, joissa ei ole ketään ihmistä. Tietosuoja tarkoittaa sääntöjä siitä, miten ihmisten henkilötietoja saa käsitellä, ja se koskee vain henkilötietoja. Nämä kaksi sanaa menevät jatkuvasti sekaisin, ja sekaannus maksaa rahaa, koska sen takia ostetaan väärää palvelua. Yhteys on tämä: tietosuoja edellyttää riittävää tietoturvaa, mutta tietoturva ei yksin täytä tietosuojan vaatimuksia.

Tietoturva on keinot: miten estät, että tieto joutuu vääriin käsiin, muuttuu tai katoaa. Se koskee kaikkea tietoa — myös reseptejä, hinnoittelua ja tarjouslaskelmia, joissa ei ole ketään ihmistä.

Tietosuoja on säännöt siitä, miten ihmisten henkilötietoja saa käsitellä. Se tulee tietosuoja-asetuksesta eli GDPR:stä ja koskee vain henkilötietoja: nimeä, sähköpostiosoitetta, puhelinnumeroa, asiakasnumeroa. Sen velvoitteet ovat hallinnollisia yhtä paljon kuin teknisiä: pitää tietää mitä tietoja on ja miksi, kertoa se ihmisille, ja pystyä vastaamaan kun joku kysyy omia tietojaan. Käymme ne läpi erikseen artikkelissa GDPR pienyritykselle.

Yhteys on tämä: tietosuoja edellyttää riittävää tietoturvaa, mutta tietoturva ei yksin täytä tietosuojan vaatimuksia. Täydellisesti salattu asiakasrekisteri, jota kerätään ilman perustetta ja josta ei kerrota kenellekään, on tietoturvallinen ja silti sääntöjen vastainen. Toisin päin: moitteeton tietosuojaseloste ei estä yhtään tilimurtoa.

Kahdenkymmenen minuutin inventaario

Tietoturvatyö alkaa kahdenkymmenen minuutin inventaariosta, jossa kirjoitat ylös seitsemän riviä: sähköposti, asiakastiedot, laskutus- ja pankkiyhteydet, verkkotunnus, verkkosivujen hallinta, laitteet sekä sopimukset ja tiedostot. Tämä on se osa, jota lähes kukaan ei tee, ja se on syy siihen miksi tietoturvatyö jää kesken. Et voi suojata sitä, mitä et ole kirjoittanut ylös. Hyvä uutinen on, että pienessä yrityksessä lista on lyhyt — yleensä seitsemän riviä, joskus kymmenen.

Ota tyhjä paperi tai taulukko ja käy läpi nämä kohdat. Kirjoita jokaisesta konkreettinen rivi: mikä palvelu, kuka pääsee, missä tunnukset ovat.

1. SähköpostiMikä palvelu, montako postilaatikkoa, kuka pääsee mihinkin. Tämä on aina listan ensimmäinen rivi, koska kaikkien muiden palveluiden salasanan palautus kulkee sähköpostin kautta.
2. AsiakastiedotMissä asiakasrekisteri oikeasti on: laskutusohjelmassa, varausjärjestelmässä, puhelimen yhteystiedoissa, jossain taulukossa. Kirjoita jokainen paikka erikseen, myös se taulukko.
3. Laskutus- ja pankkiyhteydetVerkkopankki, laskutusohjelma, maksupääte, mahdollinen verkkokaupan maksunvälittäjä. Merkitse kuka pääsee hyväksymään maksuja.
4. VerkkotunnusKenen nimissä domain on ja missä palvelussa sitä hallitaan. Tämä on rivi, joka unohtuu useimmin ja jonka menettäminen on vaikeimmin korjattavissa.
5. Verkkosivujen hallintaJulkaisujärjestelmän tunnukset, webhotellin hallintapaneeli, mahdollinen ulkopuolinen tekijä jolla on yhä pääsy.
6. Työntekijöiden laitteetKannettavat, puhelimet, tabletit, myös omat laitteet joilla luetaan työsähköpostia. Merkitse kenen hallussa kukin on.
7. Sopimukset ja tiedostotMissä sopimukset, tarjouspohjat ja kirjanpitoaineisto ovat. Pilvessä, koneen kovalevyllä vai molemmissa eri versioina.

Kun lista on valmis, tee sille yksi asia lisää. Merkitse jokaisen rivin viereen vastaus kysymykseen: toimiiko yritys huomenna ilman tätä? Ei vaikutusta, haittaa, vai pysähtyy. Se antaa järjestyksen. Useimmissa pienyrityksissä "pysähtyy" osuu sähköpostiin, laskutukseen ja pankkiin, ja juuri niistä työ aloitetaan. Verkkosivut ovat yleensä "haittaa", vaikka niistä puhutaan eniten.

Omaisuus × uhka: mikä keino estää minkä?

Kun inventaariolista on valmis, jokainen sen rivi ristiin kolmen realistisen uhkan kanssa kertoo, mikä yksittäinen keino katkaisee minkäkin ketjun. Pienyritykselle realistisia uhkia on nimittäin kolme. Tilin kaappaus kalastelulla, eli joku saa tunnuksesi väärennetyltä kirjautumissivulta tai vuotaneesta salasanasta. Laitteen katoaminen, eli kannettava tai puhelin jää junaan. Tiedon menetys, eli kiristyshaittaohjelma salaa tiedostot tai levy hajoaa. Kaikki muu on näiden muunnelmia.

Alla sama inventaariolista ristiin näiden kolmen kanssa. Jokaisessa ruudussa on se yksi keino, joka oikeasti katkaisee kyseisen ketjun. Huomaa kuinka usein sama keino toistuu — siksi lista pysyy lyhyenä.

Taulukosta näkyy kaksi asiaa. Ensinnäkin monivaiheinen tunnistautuminen täyttää ensimmäisen sarakkeen lähes kokonaan, joten se on ainoa yksittäinen asetus, joka kannattaa tehdä ennen kaikkea muuta. Toiseksi kolmas sarake on käytännössä yksi keino eri muodoissa: varmuuskopio, joka on eri paikassa kuin alkuperäinen ja josta on kerran oikeasti palautettu jotain. Kävimme varmuuskopioinnin tasot ja niiden erot läpi erikseen sivulla varmuuskopiointi.

Kolmas huomio on se, mitä taulukossa ei ole. Siinä ei ole valvontapalvelua, sertifikaattia eikä tietoturva-auditointia. Ne eivät ole huonoja asioita, mutta ne eivät katkaise yhtäkään näistä ketjuista, vaan kertovat jälkikäteen mitä tapahtui tai todistavat ulospäin, että jotain on tehty.

Vasta tässä vaiheessa asetukset

Vasta kun lista on tehty ja jokaiselle riville on merkitty keino, on asetusten vuoro — ja silloin ne ovat yhden työpäivän urakka. Ne ovat kuusi kappaletta: monivaiheinen tunnistautuminen, testattu varmuuskopio, automaattiset päivitykset, käyttöoikeuksien siivous, laitteiden levysalaus ja yksi kalasteluharjoitus vuodessa. Viisi kuudesta ei maksa muuta kuin työaikaa, koska ne ovat asetuksia järjestelmissä, joista jo maksat.

Emme toista niitä tässä kohta kohdalta, koska ne on käyty läpi hintoineen ja työaika-arvioineen artikkelissa yrityksen tietoturvan minimitaso. Ota se auki inventaariolista vieressä, niin tiedät mihin kukin asetus kohdistetaan ja missä järjestyksessä. Se on koko ero: sama lista asetuksia tehtynä oikeaan järjestykseen tuottaa eri lopputuloksen kuin sama lista tehtynä umpimähkään.

Mitä lista tuottaa myöhemmin?

Inventaario ei ole kertaluonteinen paperi vaan dokumentti, joka maksaa itsensä takaisin kolmessa myöhemmässä tilanteessa: kun joku lähtee, kun jotain sattuu, ja kun sinulta kysytään. Lähtötilanteessa käyt listan läpi rivi riviltä ja poistat pääsyt, jolloin verkkotunnuspalvelun tunnukset eivät jää roikkumaan vuosiksi. Tilimurron jälkeen lista vastaa minuutissa kysymykseen, mihin muualle samalla salasanalla pääsee. Ja kun isompi asiakas tai vakuutusyhtiö kysyy mitä tietoja teillä on ja kuka niihin pääsee, sama lista vastaa kaikkeen. Päivitä se kerran vuodessa ja aina kun palvelu tai ihminen vaihtuu.

Kun joku lähtee. Työntekijän, kirjanpitäjän tai mainostoimiston lopettaessa käyt listan läpi rivi riviltä ja poistat pääsyt. Ilman listaa muistat sähköpostin ja unohdat verkkotunnuspalvelun, jonne tunnukset jäävät vuosiksi. Tämä on tavallisin tapa, jolla pienyritys menettää hallinnan omaan verkkotunnukseensa.

Kun jotain sattuu. Ensimmäinen kysymys tilimurron jälkeen on aina "mihin muualle sillä salasanalla pääsee". Lista vastaa siihen minuutissa. Ilman listaa vastauksen selvittäminen kestää päivän, ja sen päivän aikana ehtii tapahtua lisää.

Kun sinulta kysytään. Isompi asiakas, vakuutusyhtiö tai tietosuojaan liittyvä selvitys kysyy käytännössä samaa: mitä tietoja teillä on, missä ne ovat ja kuka niihin pääsee. Sama lista vastaa kaikkiin kolmeen, kunhan siihen on merkitty myös se, missä palveluissa henkilötietoja käsitellään.

Päivitä lista kerran vuodessa ja aina kun palvelu tai ihminen vaihtuu. Käytännössä se tarkoittaa yhtä toistuvaa kalenterimerkintää ja kymmentä minuuttia kerrallaan. Ensimmäinen kerta vie 20 minuuttia, seuraavat eivät vie sitäkään.

Milloin tätä ei kannata ostaa?

Tietoturvaan ei kannata ostaa neljää asiaa ennen kuin perusasetukset ovat kunnossa: auditointia tai valvontatilausta, laitekohtaista virustorjuntatilausta, kybervakuutusta lukematta ehtoja, eikä yhtään pakettia jota et osaa kuvailla omin sanoin. Kolmessa ensimmäisessä ostat jotain, jonka edellytykset ovat samat ilmaiset asetukset, jotka joudut tekemään joka tapauksessa. Neljäs on yleisin: jos et pysty sanomaan mikä rivi inventaariolistallasi on nyt paremmin suojattu ja miltä uhkalta, sinulle myytiin rauhoittava tunne. Nämä eivät ole huonoja tuotteita — ne ovat vain väärässä järjestyksessä. Alla kaikki neljä erikseen.

Älä osta tietoturva-auditointia tai valvontatilausta ennen ilmaisia asetuksia. Auditointi tuottaa raportin, jonka ensimmäiset rivit ovat ne samat kuusi asetusta. Maksat siitä, että joku kertoo sinulle listan, jonka saat ilmaiseksi, ja teet työn silti itse. Kun asetukset on tehty, arviointi voi olla perusteltu — erityisesti jos asiakkaasi on sitä kysynyt.

Älä osta virustorjuntatilausta laitekohtaisesti, jos käyttöjärjestelmässä on jo sellainen. Nykyaikaisissa Windows- ja Mac-koneissa on sisäänrakennettu haittaohjelmasuojaus, joka on päivitetty ja päällä. Erillinen maksullinen tuote on perusteltu silloin, kun tarvitset keskitettyä hallintaa monelle koneelle tai jotain tiettyä ominaisuutta, jota käyttöjärjestelmässä ei ole. Pelkän "lisäturvan" takia ostettuna se on toistuva kulu, joka ei siirrä yhtäkään ruutua yllä olevassa taulukossa.

Älä osta kybervakuutusta lukematta ehtoja. Vakuutus voi olla järkevä, mutta korvauksen edellytyksenä on tyypillisesti se, että tietyt suojaukset ovat käytössä ja että vahinko ilmoitetaan sovitulla tavalla. Jos ehdot edellyttävät esimerkiksi monivaiheista tunnistautumista ja toimivia varmuuskopioita, ne kannattaa joka tapauksessa tehdä ensin — ja jos ne on tehty, vakuutuksen tarve kannattaa arvioida uudelleen. Lue ehdoista se kohta, jossa kerrotaan milloin korvausta ei makseta, ennen kuin luet sen, jossa kerrotaan kuinka paljon sitä maksetaan.

Älä osta pakettia, jota et osaa kuvailla omin sanoin. Jos et pysty sanomaan mikä rivi inventaariolistallasi on nyt paremmin suojattu ja miltä uhkalta, palvelua ei myyty sinulle vaan sinulle myytiin rauhoittava tunne. Mitä tietoturvatyö meillä sisältää, lukee sivulla tietoturva yritykselle, ja hinta lukee hinnastossa.

Usein kysyttyä

Lue seuraavaksi

• Android-puhelimen tietoturva
• Pienyrityksen kassajärjestelmä: mistä kuittimäärästä se maksaa itsensä takaisin
• Puhelimen tietoturva yrityskäytössä: seitsemän asetusta ja etäpoiston testi
• Tietosuoja ja tietoturva: mikä niiden ero on pienyrityksessä
• Tietoturva-auditointi pienyritykselle: tee ensin 12 kohdan itsearvio
• Työntekijän omat laitteet ja tietoturva — kolme sääntöä ja lähtörutiini

Lue myös: Microsoft 365 vai Google Workspace: rehellinen vertailu 1-10 hengen yritykselle · Google-mainonta pienelle yritykselle · Hakukoneoptimointi yritykselle · Tarjouspyyntöpohja IT-hankintaan · IT-sanasto yrittäjälle · Logon suunnittelu yritykselle · Sähköpostin perillemenon korjaus · Uutiskirjepalvelu pienyritykselle