Einar Laagriküll: miks me ei tohi küberturvalisuse taustal unustada füüsilist turvalisust?

IT-süsteeme kaitseme me erinevate mehhanismidega, kuid tegelikult on väga oluline paralleelselt hoolitseda füüsilise turvalisuse eest. Einar Laagriküll meenutab lugu, mida kuulis ühel turvalisuse konverentsil. Esineja rääkis seal, kuidas käis aastaid tagasi üliturvatud andmekeskuses. Tal oli sel hetkel kaasas Apple’i pleier, mis oli oma olemuselt väga suur kõvaketas. Kui see inimene oleks soovinud, oleks ta saanud sisuliselt „pool andmekeskust“ oma seadmesse tõmmata. Andmekeskuse ruumi polnud tegelikult lubatud siseneda ühegi salvestusvõimekusega seadmega. Tol hetkel unustas ta selle ära ja teised ei pööranud sellele samuti tähelepanu, millega täpselt tegemist. See näitab, et osad füüsilise turbe riskid ja maandusmeetmed olid antud objektil täiesti läbi mõtlemata.

Olukord on hea näide sellest, kui me füüsilise turvalisuse samme läbi ei mõtle, võib küberturvalisus osutuda kasutuks. See on nagu maja vundament – kui hoonel pole vundamenti, ei püsi see püsti. Sama lugu on infotehnoloogia ja küberturvalisusega – füüsiline turvalisus on IT-turvalisuse üks alustalasid.

Valdavalt on ettevõtetel küberturvalisuse mured sarnased. Kõige suurem on inimestest tulenev risk. Kuidas on lood meie ettevõtetes digihügieeniga? Kas inimesed on piisavalt teadlikud küberturvalisusest?

Tugevate paroolide kasutamine tundub paljudele elementaarsena, et end ootamatute rünnakute eest kaitsta. Samuti oma isiklike või ettevõtte andmete jagamist tundmatutel ja kahtlastel saitidel. Ilmselt aga ei mõtle me kuigi sageli töötajatena, miks peame regulaarselt oma arvuti või telefoni operatsioonisüsteeme ja tarkvara uuendama. Paljude jaoks on tavapärane, et lükkame neid uuendusi kogu aeg edasi. Tegelikult ei tohiks.

Sõltuvalt ettevõtte iseloomust on heaks soovituseks samuti hoida töö- ja eraasjad eraldi arvutites. See lihtne tõde kipub tihti meelest minema. Me ei või iial teada, kas meie isiklik e-posti aadress on keskkonnas, kus turva- või kaitsemehhanismid on piisavalt hästi seadistud. Kui ei ole, võivad lihtsalt läbi tulla pahavaraga kirjad või spämmid, mille kaudu liiguvad viirusest kiiresti arvutisse. Lukustamata arvuti kontoris on samuti turvarisk.

Teine suur risk on vanad süsteemid. Kui ettevõttel on pikk ajalugu või on aja jooksul mitu ettevõtet ühinenud, saavad üks hetk süsteemid millegi suurema osaks ning vastutus võib ära hajuda. Pahalased valivad rünnakuid selle järgi, kes on haavatav. See tähendab, et kui sul on kasutuses vanad süsteemid, võib seda kurjalt ära kasutada.

Viimasel ajal sagenenud küberrünnakutega tuleb üha enam välja ka kriitilisi tarkvara vigu ehk esineb rohkem nullpäeva turvaauke. See tähendab, et tootja poolt on tarkvarasse viga sisse jäänud ja häkkerid kasutavad seda ära. Varem tuli selliseid vigu harvem välja. Need olid ka varem kindlasti olemas, aga neid ei tuvastatud, kuna ründeid oli vähem. Tänane olukord tähendab ettevõte jaoks, et vead tulevad kiirelt likvideerida, vastasel juhul on pahalastel võimalus üsna lihtsalt IT-süsteemidest andmeid kätte saada või seal pahandust teha.

Kolmas oluline risk on kokkulepitud rutiinidest kinni pidamine – kui ettevõttes on välja kujunenud protsessid ja neid ei järgita, võivad üks hetk asjad samuti halvasti minna.