Puhelimen tietoturva yrityskäytössä: seitsemän asetusta ja etäpoiston testi

Työpuhelimessa on sähköposti, asiakastiedot ja tunnistautumiskoodit. Tällä sivulla on seitsemän asetusta ennen käyttöönottoa, ohje etäpoiston testaamiseen etukäteen ja aikataulutettu toimintaohje katoamisen varalle.

Työpuhelin on nykyään yrityksen tärkein laite: siinä on sähköposti, asiakastiedot, pankkitunnukset ja kaksivaiheisen tunnistautumisen koodit. Suora vastaus siihen mitä pitää tehdä: seitsemän asetusta kytketään päälle ennen kuin puhelin otetaan käyttöön, ja etäpoisto testataan kerran — ennen kuin sitä tarvitaan. Molemmat ovat ilmaisia ja vievät yhteensä puolisen tuntia laitetta kohden.

Tämä sivu on yrityskäytön näkökulmasta: kyse ei ole yksittäisen puhelimen suojaamisesta vaan siitä, miten hallitset laitteita, jotka eivät ole fyysisesti sinun hallussasi. Yhden puhelimen asetukset on käyty läpi erikseen Android-puhelimen tietoturva-artikkelissa.

Miksi puhelin on suurempi riski kuin tietokone?

Puhelin on yrityskäytössä suurempi riski kuin tietokone kolmesta syystä. Puhelin lähtee mukaan paikkoihin, joissa kone ei ole: bussiin, ravintolaan, työmaalle. Se on aina auki ja kirjautuneena, koska muuten sitä ei voisi käyttää yhdellä kädellä. Ja se on ainoa laite, jossa on samanaikaisesti sekä pankkitunnus että se koodi, jolla pankkitunnus vahvistetaan. Siksi puhelimen menettäminen ei ole laitteen menettämistä vaan pääsyn menettämistä: uusi laite maksaa muutamia satoja euroja, mutta sähköposti on avain kaikkien muiden palvelujen salasanan palautukseen. Työpuhelinta kannattaa ajatella avainnippuna eikä esineenä, ja avainnipun kadotessa vaihdetaan lukot.

Tästä seuraa, että puhelimen menettäminen ei ole laitteen menettämistä. Se on pääsyn menettämistä. Uusi laite maksaa muutamia satoja euroja; se että joku pääsee sähköpostiisi kolmeksi tunniksi voi maksaa huomattavasti enemmän, koska sähköposti on avain kaikkien muiden palvelujen salasanan palautukseen.

Mitkä seitsemän asetusta tehdään ennen käyttöönottoa?

Seitsemän asetusta kytketään uuteen työpuhelimeen ennen kuin siihen kirjaudutaan yhdelläkään työtunnuksella: näytön lukitus koodilla, laitteen salauksen varmistus, etäpaikannus ja etäpoisto, automaattiset päivitykset, työtilin erottaminen henkilökohtaisesta, ilmoitusten esikatselu pois lukitusnäytöltä ja sovellusasennukset vain virallisesta kaupasta. Järjestys on tarkoituksellinen: kolme ensimmäistä ovat ne, jotka oikeasti ratkaisevat, ja etäpaikannus on ainoa asetus, jota ei voi lisätä jälkikäteen kadonneeseen laitteeseen. Koko lista vie noin viisitoista minuuttia laitetta kohden eikä maksa mitään. Kirjaa samalla ylös laitteen malli, sarjanumero ja haltija. Alla jokainen kohta on avattu erikseen.

1. Näytön lukitus koodilla, ei kuviollaVähintään kuusi numeroa. Kuvio jää sormenjälkinä näyttöön ja on arvattavissa katsomalla olan yli kerran. Biometriikka päälle nopeuteen, mutta koodi on se, joka suojaa.
2. Laitteen salaus varmistettuUusissa laitteissa oletuksena päällä, mutta tarkista. Ilman salausta muistin sisällön saa irti laitteesta ilman koodia.
3. Etäpaikannus ja etäpoisto päälleLöydä-toiminto sekä puhelimen käyttöjärjestelmän omassa tilissä että työtilissä. Tämä on ainoa asetus, jota ei voi lisätä jälkikäteen kadonneeseen laitteeseen.
4. Automaattiset päivitykset päälleSekä käyttöjärjestelmä että sovellukset. Suurin osa puhelimiin kohdistuvista hyökkäyksistä käyttää aukkoa, johon korjaus on ollut olemassa kuukausia.
5. Työtili erillään henkilökohtaisestaTyösähköposti omalla tilillään, ei henkilökohtaisen tilin rinnalla. Näin työtiedot voi poistaa koskematta perhekuviin.
6. Ilmoitusten esikatselu pois lukitusnäytöltäMuuten kertakäyttökoodit ja asiakkaiden viestit näkyvät kenelle tahansa, joka nostaa puhelimen pöydältä. Tämä on ilmainen ja aliarvostettu.
7. Sovellusasennukset vain virallisesta kaupastaJa asennuslupa muista lähteistä pois päältä. Yrityskäytössä tämä on sääntö, ei suositus.

Seitsemän asetusta vievät noin viisitoista minuuttia. Kirjaa jokaisesta laitteesta ylös malli, sarjanumero ja se, kenen hallussa se on. Tuo lista on myöhemmin ainoa tapa tietää, mitä ilmoitat kadonneeksi.

Miten etäpoiston testaus tehdään, ja miksi se pitää tehdä kerran?

Etäpoisto testataan kerran etukäteen, koska asetuksen olemassaolo asetusvalikossa ei tarkoita, että se toimisi silloin kun sitä tarvitaan. Testi on tämän sivun varsinainen työkalu ja juuri se osa, jonka lähes kaikki jättävät tekemättä. Tarvitset puhelimen ja toisen laitteen, esimerkiksi tietokoneen: kirjaudut koneelta hallintapaneeliin, etsit laitteen listalta, asetat puhelimen lentotilaan ja katsot, mitä paneeli kertoo laitteesta joka ei ole verkossa. Lopuksi kokeilet etälukitusta — et poistoa. Testi vie kymmenen minuuttia ja kertoo kolme asiaa, joita et muuten tiedä: mistä osoitteesta hallinta löytyy, millä tunnuksilla sinne pääsee ja kauanko komento kestää.

Ota käyttöön otettava puhelin ja toinen laite, esimerkiksi tietokone. Kirjaudu koneella siihen hallintapaneeliin, josta etäpoisto tehdään, ja etsi laite listalta. Aseta puhelin lentotilaan. Käynnistä paikannus koneelta ja katso, mitä paneeli sanoo laitteesta joka ei ole verkossa. Ota lentotila pois ja katso, kuinka kauan kestää ennen kuin laite ilmestyy takaisin. Kokeile lopuksi etälukitusta — ei poistoa — ja avaa puhelin uudelleen koodilla.

Testi vie kymmenen minuuttia ja opettaa kolme asiaa, joita et muuten tiedä: mistä osoitteesta hallinta löytyy, millä tunnuksilla sinne pääsee, ja kauanko komento kestää. Kirjoita nämä kolme asiaa ylös paperille ja laita se paikkaan, joka ei ole puhelimessa.

Mitä teet ensimmäisten 30 minuutin aikana, kun puhelin katoaa?

Kadonneen työpuhelimen ensimmäiset 30 minuuttia menevät kiinteässä järjestyksessä: etälukitus ja yhteystieto lukitusnäytölle, SIM-kortin sulkeminen operaattorilta, sähköpostin salasanan vaihto toiselta laitteelta, istuntojen uloskirjaus kaikilta laitteilta ja vasta viimeisenä päätös etäpoistosta. Sähköposti vaihdetaan aikaisin, koska se on avain kaikkien muiden palvelujen palautukseen. Poisto jätetään viimeiseksi, koska poistettu laite katoaa myös paikannuksesta. Saman päivän aikana arvioidaan vielä, syntyykö laitteesta tietosuojailmoituksen tarve. Alla oleva taulukko antaa jokaiselle vaiheelle ajan ja perustelun.

Järjestys on olennainen. Moni aloittaa etäpoistosta, mikä on ymmärrettävää mutta väärin: poistettu laite katoaa myös paikannuksesta, ja jos puhelin on oikeasti vain jäänyt kahvilan pöydälle, olet tuhonnut sen turhaan. Lukitus ensin, poisto vasta kun tiedät ettei laite palaa.

Julkinen verkko, latauspiste ja muut arjen tilanteet

Avoin langaton verkko kahvilassa tai lentokentällä ei ole enää sama riski kuin kymmenen vuotta sitten, koska lähes kaikki liikenne on salattua päästä päähän. Käytännön ohje on silti selvä: älä hoida pankkiasioita tai kirjaudu hallintapaneeleihin avoimessa verkossa, jos puhelinverkko on saatavilla. Puhelinoperaattorin yhteys on lähes aina turvallisempi ja useimmiten myös nopeampi. Erillistä VPN-palvelua ei pienyritys tarvitse tähän, paitsi jos on pakko käyttää verkkoa, johon ei luota.

Julkiset USB-latauspisteet ovat toinen tilanne, jossa varovaisuus maksaa vähän. Lataa mieluummin omalla verkkolaturilla pistorasiasta tai käytä varavirtalähdettä. Jos joudut käyttämään vierasta johtoa, kieltäydy laitteen kysyessä lupaa tiedonsiirtoon — latauksen voi hyväksyä ilman sitä.

Kolmas arjen paikka on tekstiviesti tai sähköposti, joka pyytää kirjautumaan. Puhelimessa huijausviesti on vaarallisempi kuin koneella, koska osoiterivi on lyhyt eikä koko osoite näy. Yksinkertainen sääntö toimii: älä koskaan kirjaudu viestin linkistä. Avaa palvelu itse kirjanmerkistä tai sovelluksesta. Jos asia on aito, se odottaa siellä. Tämä yksi tapa estää suurimman osan tunnusten kalastelusta ilman että sinun tarvitsee tunnistaa viestiä huijaukseksi.

Neljäs on jaettu laite. Jos puhelinta käyttää useampi ihminen — esimerkiksi liikkeen yhteinen puhelin varauksia varten — siinä ei saa olla henkilökohtaisia tunnuksia eikä kaksivaiheisen tunnistautumisen hyväksyntää. Jaetulle laitteelle kuuluu vain se, minkä kaikki käyttäjät saavat nähdä. Tämä on helppo unohtaa, koska laite otetaan käyttöön kiireessä ja kirjaudutaan ensimmäisen ihmisen tunnuksilla.

Kaikkien näiden taustalla on yksi periaate, joka kannattaa sanoa ääneen henkilöstölle: puhelimessa saa olla vain se, minkä menettämisen kestät. Periaate on käyttökelpoinen siksi, että se ei vaadi teknistä ymmärrystä keneltäkään. Kun joku kysyy, saako asiakaslistan ladata puhelimeen, vastaus seuraa suoraan periaatteesta eikä säännöstä, joka pitää muistaa ulkoa. Sama periaate ohjaa myös sitä, mitä kannattaa säilyttää pilvessä laitteen sijaan — pilvestä tieto ei katoa puhelimen mukana, ja pääsy siihen katkaistaan yhdellä toimenpiteellä.

Kirjaa periaate ja seitsemän asetusta yhdelle sivulle ja anna se jokaisen uuden laitteen mukana. Yksi sivu luetaan, kymmenen sivun ohjeistus ei.

Mitä tehdään, kun työntekijä lähtee?

Kun työntekijä lähtee, laite käsitellään samalla tavalla kuin kadonnut puhelin, mutta hitaammin. Yrityksen omistama laite palautetaan ja tyhjennetään tehdasasetuksiin. Jos laite on henkilön oma ja siinä on ollut työsähköposti, työtili poistetaan — tämä on juuri se tilanne, jota varten työtili pidettiin alusta asti erillään. Tarkistuslistalla on neljä kohtaa: työsähköpostin tili pois laitteelta, salasanan vaihto niihin jaettuihin tunnuksiin joita henkilö käytti, kaksivaiheisen tunnistautumisen laite pois listalta ja pääsyn poisto pilvipalveluista. Kolmas kohta unohtuu lähes aina, ja se on näistä merkittävin.

Tarkistuslistalle kuuluu neljä kohtaa: työsähköpostin tili pois laitteelta, salasanan vaihto jaettuihin tunnuksiin joita henkilö käytti, kaksivaiheisen tunnistautumisen laite pois listalta, ja pääsyn poisto pilvipalveluista. Kolmas kohta unohtuu lähes aina, ja se on merkittävin: poistunut työntekijä voi hyväksyä kirjautumisia kuukausia lähdön jälkeen, jos hänen puhelimensa on yhä hyväksyvänä laitteena.

Milloin laitehallintaa EI kannata ostaa?

Laitehallintaa ei kannata ostaa kolmessa tilanteessa: kun laitteita on vähän, kun perusasiat ovat kesken, tai kun kyse on työntekijöiden omista puhelimista ilman kirjallista sopimusta. Varsinaiset laitehallintajärjestelmät ovat oikea työkalu vasta, kun laitteita on paljon. Yhden tai kahden ihmisen yrityksessä ne ovat kallis tapa tehdä sama, minkä seitsemän asetusta tekevät ilmaiseksi, ja alle viiden laitteen tapauksessa manuaalinen lista ja tämä sivu riittävät. Jos taas salasanat ovat samat useassa paikassa ja kaksivaiheinen tunnistautuminen on käyttämättä, hallinta ei korjaa mitään: se vain hallitsee laitteita, joiden tunnukset ovat auki. Korjaa järjestyksessä salasanat, kaksivaiheinen tunnistautuminen ja vasta sitten laitteet.

Toinen tilanne, jossa kannattaa odottaa: kun perusasiat ovat kesken. Jos salasanat ovat samat useassa paikassa ja kaksivaiheinen tunnistautuminen on käyttämättä, laitehallinta ei korjaa mitään — se vain hallitsee laitteita, joiden tunnukset ovat auki. Korjaa järjestyksessä: salasanat, kaksivaiheinen tunnistautuminen, laitteet. Perusteet on käyty läpi tietoturvan perusartikkelissa ja minimitaso tässä.

Kolmas: älä osta hallintaa työntekijöiden omiin puhelimiin ilman selkeää sopimusta siitä, mitä hallinta näkee ja mitä se voi poistaa. Väärin sovittu hallinta oman puhelimen päällä on nopein tapa saada koko tietoturvatyö vastustetuksi. Yrityksen laitteet ovat yksinkertaisempi lähtökohta, vaikka ne maksavat enemmän.

Mitä tämä maksaa ja mistä saat apua?

Puhelinten suojaaminen ei maksa mitään siltä osin kuin kyse on asetuksista: näytön lukitus, salaus, etäpaikannus, päivitykset ja ilmoitusten piilottaminen kuuluvat laitteeseen valmiiksi eivätkä maksa euroakaan. Kuluja syntyy vasta, jos otat käyttöön erillisen laitehallinnan tai maksullisen salasanapalvelun, ja molemmat hinnoitellaan tyypillisesti käyttäjää kohden kuukaudessa. Käyttöönotto ja henkilöstön lyhyt perehdytys ovat kertaluonteisia. Meidän hintamme läpikäyntiin lukevat hinnastossa, ja työn sisältö on kuvattu tietoturvasivulla. Jos haluat tietää mitä laajempi kartoitus sisältää, se on eritelty auditoinnin artikkelissa.

Lue seuraavaksi

• Android-puhelimen tietoturva
• Pienyrityksen tietoturvan perusteet: mitä suojaat, miltä suojaat ja missä järjestyksessä
• Tietosuoja ja tietoturva: mikä niiden ero on pienyrityksessä
• Tietoturva-auditointi pienyritykselle: tee ensin 12 kohdan itsearvio
• Tietoturva-aukko: mikä se on, miten se syntyy ja miksi päivitykset ovat olemassa
• Työntekijän omat laitteet ja tietoturva — kolme sääntöä ja lähtörutiini

Lue myös: Tietosuojaseloste-malli pienyritykselle · Liiketoimintasuunnitelman pohja ja laskelmat · IT-konsultointi pienyritykselle · Tekoälykonsultointi pienyritykselle · Digitalisaatio pienyritykselle · Liikkeenjohdon konsultointi pienelle yritykselle · Google-yritysprofiili: tee itse ilmaiseksi tai anna meidän hoitaa se · Sähköposti yritykselle: mitä nimi@firma.fi maksaa ja miten se otetaan käyttöön