Mis juhtub, kui majja pääseb küberkurjategija?

Nn targa maja kontseptsioon on ärihoonete rajamisel muutumas uueks normiks. Tehnoloogia abil juhitakse nii kütet, ventilatsiooni, valgustust kui ka uste avamist ja sulgemist, kuid mis juhtub siis, kui maja elutähtsate süsteemide juhtimisele pääseb ligi küberkurjategija, kirjutab Grant Thorntoni siseauditi valdkonna juht Siiri Antsmäe konsultatsioonifirma kodulehel.

Targad lahendused võivad sel juhul muutuda omanikule tõeliseks peavaluks, kui neid hakkab juhtima kellegi kuri käsi. Ootamatu teenusekatkestus – näiteks ei tööta enam ventilatsioon ja valgustus või kaob elekter – on iga kontorihoone või kaubanduskeskuse ja nende pindade haldaja jaoks õudusunenägu. Lisaks igapäevaste tegevuste halvamisele tekitab küberrünnak ka olulist mainekahju. Grant Thorntoni hiljutise uuringu kohaselt kardabki suurim osa ettevõtteid küberrünnaku tagajärjel tekkivat mainekahju.

Järelikult peab küberturvalisuse ja andmekaitsega tegelemine olema ärihooneid haldavate ettevõtete juhtide jaoks sama igapäevane nagu finantsaruannete analüüsimine. Elu näitab, et nii see paraku pole.

Uuring näitas ka seda, et alla 2/3 ettevõtetest (65%) on võtnud ette tegevusi, et kaardistada, milliseid andmeid ettevõttes kogutakse, kuid nad ei tea, kui palju neid andmeid on, mida nendega tehakse ja mis võib juhtuda, kui keegi neid andmeid rikub.

Riigi Infosüsteemi Ameti (RIA) kokkuvõtte andmeil oli möödunud aastal Eesti arvuti- ja andmesidevõrkudes 9135 küberturvalisuse haavamise juhtumit. Neist küberturbeintsidendina – see tähendab juhtumina, millega kaasnes otsene mõju teabe või süsteemide konfidentsiaalsusele, terviklusele või kättesaadavusele – tuvastati 2248 juhtumit ehk ligikaudu neljandik. Tänavu on kübersissetungide arv veelgi kasvanud. Seega ei ole enam küsimus selles, kas meid tabab mõni küberrünnak, vaid küsimus on selles, millal see juhtub.

Mis meid ohustab?

RIA andmeil on kõige levinumad küberohud pahavara levitavad e-kirjad ja veebidomeenid, samuti nakatunud ja robotvõrku hõivatud seadmed sidevõrkudes. Avalikkuses on suuremat tähelepanu saanud andmete õngitsemise juhtumid ja lunavarakirjad. Viimane selline suurem juhtum leidis aset tänavu mais, kui üle maailma hakkas levima viirus WannaCry. Selle viirusega nakatunud arvutis lukustati failid ja nõuti nende taastamise eest raha. Kui mõelda, et WannaCry jõudis 150 riigis, sh Eestis pahandust tekitada, on ilmselge, et ettevõtted peavad oma infosüsteemide turvalisusele aina rohkem panustama.

Küberkurjategijad otsivad ettevõtete arvutivõrkudesse pääsemiseks ja andmete ning süsteemide üle võtmiseks kõige väiksema vastupanuvõimega „ust“. Mõnikord asub see „uks“ tarneahelas. See võib olla näiteks hoone haldusfirma halvasti turvatud IT-süsteem, mille kaudu saab ligipääsu ka hoones asuvate ettevõtete süsteemidesse.

Kui pahalased targa hoone arvutivõrkudesse tungivad, on see väga ebameeldiv üllatus hoone üürnikele, kes usuvad, et turvalisusega on kõik korras. Iga haldusfirma peaks endalt seega küsima, kas ta on teinud põhjaliku IT-turvalisuse analüüsi ja võtnud tarvitusele asjakohased meetmed, et vältida küberkurjategijate pääsemist oma infosüsteemidesse. Sama küsimuse peaks küsima iga üürnik, kes kasutab üürileandja servereid, wifi-võrku, infosüsteeme vms.

Kuidas küberturvalisust suurenda?

Selgitage välja oma ettevõtte jaoks ärikriitilised varad: inimesed, hooned, tooted-teenused, protsessid, andmebaasid. 78% ettevõtetest loob andmekaitse protseduure ilma, et nad hindaksid, mis on väärtuslikud andmed.Tehke selgeks iga ärikriitilise vara kõige haavatavamad kohad ja analüüsige, milliste küberrünnete realiseerumine võiks nende suhtes olla kõige tõenäolisem nii praegu kui ka tulevikus.Kontrollisüsteemid peaksid olema sellised, et töötajad, tarneahela osalised ja avalikkus (nt veebilehe kasutajad) saavad ligi ainult sellisele infole, mida neil on vaja.Eraldage üürnike ja haldusfirma võrgud alati, kui see on asjakohane ja võimalik.Tagage süsteemidele ja andmetele juurdepääsude põhjendatus.Varundage kõik olulised andmed piisavalt sagedasti ja vajadusel uuendage tarkvara.Krüpteerige kõvaketas, omage korrektselt konfigureeritud tulemüüri, kasutage viirusetõrjet, võimalusel ka ründetuvastussüsteeme.Ärge saatke kriitilisi ega tundlikke andmeid tavalise e-postiga. Kasutage vähemalt krüpteerimist.Töötage välja kriisiohjeplaan: kes ja mida esimeses järjekorras teeb, kui olete sattunud küberründe ohvriks. Testige oma kriisiohjeplaani regulaarselt!Kindlustage, et kõik tarneahela osalised on teadlikud oma ülesannetest küberturvalisuse tagamisel – iga ahela osa kaudu on võimalik jõuda ka teisteni!Eriline rõhk pange töötajate teadlikkuse tõstmisele, sest inimesed on küberturvalisuse tagamisel nõrgim lüli. Ikka leidub keegi, kes teadmatusest või mõtlematusest vajutab e-kirjas leiduvale veebilingile, mille tagajärjel nakatub arvuti pahavaraga. Töötajate koolitamisega IT-turvalisuse teemal tuleb järjekindlalt tegeleda.

2 pilti

Autor: Tõnis Elling, Grant Thornton Rimess