Yksi huolimaton kirjautuminen voi pysäyttää laskutuksen, lukita yhteiset tiedostot tai avata rikolliselle pääsyn asiakkaiden tietoihin. Siksi tietoturvakoulutus henkilöstölle yrityksessä ei ole irrallinen henkilöstöetu tai kerran vuodessa hoidettava pakollinen esitys. Se on käytännön keino suojata työaikaa, kassavirtaa, asiakassuhteita ja yrityksen toimintakykyä.
Pk-yrityksessä riski korostuu, koska yhdenkin avainhenkilön käyttöoikeuksilla voidaan päästä laajasti sähköpostiin, pilvipalveluihin ja taloushallinnon tietoihin. Hyökkääjä ei yleensä etsi näyttävää teknistä heikkoutta. Hän etsii kiireistä ihmistä, epäselvää toimintatapaa tai viestiä, joka näyttää riittävän aidolta.
Miksi henkilöstön tietoturvakoulutus maksaa itsensä takaisin?
Henkilöstön tietoturvakoulutus vähentää erityisesti sähköpostihuijauksista, salasanoista ja vääristä toimintatavoista syntyviä riskejä. Sen liiketoimintahyöty näkyy vähempinä keskeytyksinä, nopeampana reagointina ja pienempänä todennäköisyytenä, että yksittäinen virhe kasvaa kalliiksi häiriöksi.
Tietoturvassa ihminen on usein joko viimeinen suoja tai ensimmäinen aukko. Monivaiheinen tunnistautuminen, pääsynhallinta, valvonta ja päätelaitesuojaus ovat välttämättömiä. Ne eivät silti auta, jos työntekijä hyväksyy huijauspyynnön, luovuttaa kertakäyttökoodin puhelimessa tai avaa epäilyttävän liitteen kiireessä.
Kyse ei ole henkilöstön syyllistämisestä. Hyvä koulutus tekee turvallisesta toimintatavasta helpoimman toimintatavan. Kun työntekijä tietää, mitä tehdä ja keneltä kysyä, epäilyttävä viesti ei jää vaivaamaan yksin eikä virhettä yritetä peitellä.
Suurin kustannus ei ole aina tietovuoto
Moni johto miettii tietoturvaa vasta, kun puhutaan henkilötiedoista tai lunnasohjelmista. Arjen kannalta yhtä merkittävä kustannus syntyy käyttökatkosta. Jos sähköposti, työasemat tai yhteiset tiedostot eivät ole käytettävissä, myynti hidastuu, asiakaspalvelu ruuhkautuu ja henkilöstön aika kuluu ongelman selvittämiseen.
10-100 hengen yrityksessä muutaman tunnin häiriö voi tarkoittaa kymmeniä menetettyjä työtunteja. Lisäksi johto ja sisäinen IT-vastuuhenkilö joutuvat siirtämään huomionsa pois omista tehtävistään. Koulutuksen tavoitteena on pienentää sekä häiriön todennäköisyyttä että sen kestoa.
Tietoturvakoulutus henkilöstölle yrityksessä kannattaa rakentaa arjen tilanteista
Toimiva koulutus käsittelee työntekijän todellisia päätöksiä, ei yleisiä uhkakuvia. Kun esimerkit liittyvät sähköpostiin, Microsoft 365 -ympäristöön, laskuihin, etätyöhön ja mobiililaitteisiin, henkilöstö tunnistaa tilanteen ennen kuin vahinko tapahtuu.
Aloita selvittämällä, missä kohtaa henkilöstö käsittelee arvokkainta tietoa ja missä virheellä olisi suurin vaikutus. Taloushallinnon henkilöllä on erilainen riski kuin asiakaskäynneillä työskentelevällä myyjällä. Johto taas tarvitsee erityistä suojaa kohdennettuja toimitusjohtajahuijauksia vastaan.
Koulutusohjelman kannattaa kattaa ainakin seuraavat käytännön tilanteet:
- Sähköposti- ja laskuhuijaukset. Miten tunnistaa poikkeava lähettäjä, kiireellä painostava pyyntö, muuttunut tilinumero ja kirjautumissivu, joka näyttää aidolta mutta ei ole sitä.
- Salasanat ja tunnistautuminen. Miksi samaa salasanaa ei käytetä eri palveluissa, miten salasananhallintaa käytetään ja miksi tunnistuskoodia ei luovuteta kenellekään.
- Laitteiden käyttö ja etätyö. Miten työasema lukitaan, miten toimitaan julkisissa verkoissa ja miksi yrityksen tietoja ei tallenneta hallitsemattomiin palveluihin.
- Tietojen käsittely ja jakaminen. Kenelle asiakas- tai henkilöstötietoja saa lähettää, miten vastaanottaja varmistetaan ja milloin tiedoston jakaminen pitää keskeyttää.
- Havainto ja ilmoittaminen. Mihin epäilystä ilmoitetaan, mitä tietoja ilmoitukseen tarvitaan ja miksi nopeus on tärkeämpää kuin täydellinen varmuus.
Pelkkä sääntölista ei muuta toimintaa. Näytä esimerkiksi viesti, jossa toimitusjohtaja pyytää kiireellistä lahjakorttiostosta, ja käykää yhdessä läpi merkit, joista huijaus paljastuu. Käytännön harjoitus jää mieleen paremmin kuin pitkä esitys uhkatilastoista.
Kerran vuodessa ei riitä, mutta koulutusta ei tarvitse tehdä raskaaksi
Tietoturvakoulutus toimii parhaiten jatkuvana, lyhyenä ja mitattavana toimintamallina. Uhat muuttuvat, henkilöstö vaihtuu ja kiire unohtaa opitut asiat. Siksi yksi pitkä vuosikoulutus kannattaa täydentää pienillä toistoilla ja ajankohtaisilla muistutuksilla.
Pk-yritykselle järkevä rytmi voi olla 30-45 minuutin aloituskoulutus kaikille, jonka jälkeen pidetään 5-10 minuutin tietoiskuja muutaman kerran vuodessa. Lisäksi uusien työntekijöiden perehdytykseen kuuluu sama peruspaketti heti työsuhteen alussa.
Koulutuksen laajuus riippuu yrityksen toimialasta, käsiteltävistä tiedoista ja käytössä olevista palveluista. Yritys, joka käsittelee arkaluonteisia henkilötietoja tai tekee paljon maksuliikennettä, tarvitsee tavallista tarkempia toimintamalleja. Pienessä asiantuntijaorganisaatiossa taas nopea ilmoituskanava ja selkeä vastuunjako voivat olla tärkeämpiä kuin monimutkainen ohjeistus.
| Koulutustapa | Hyöty | Rajoite | |—|—|—| | Vuosittainen yhteiskoulutus | Varmistaa yhteisen perustason | Opittu asia unohtuu ilman toistoa | | Lyhyet kuukausi- tai kvartaalimuistutukset | Pitää aiheen lähellä arkea | Vaatii vastuuhenkilön ja suunnitelman | | Simuloidut huijausviestit | Paljastaa käytännön riskit | On toteutettava kannustavasti, ei nolaten | | Roolikohtainen koulutus | Kohdistaa ajan suurimpiin riskeihin | Edellyttää työnkulkujen tunnistamista |
Simuloidut huijausviestit ovat hyödyllisiä silloin, kun niiden tarkoitus on oppiminen. Jos työntekijä klikkaa testiviestiä, oikea seuraus on lyhyt opastus, ei julkinen vertailu. Pelolla johdettu koulutus heikentää ilmoituskynnystä juuri silloin, kun avoimuutta tarvitaan eniten.
Mittaa toimintaa, älä vain osallistumisprosenttia
Koulutuksen onnistumista ei voi arvioida pelkästään sillä, montako henkilöä katsoi esityksen. Parempi mittari on se, tunnistaako henkilöstö epäilyttävät tilanteet ja ilmoittaako se niistä nopeasti. Hyvä raportointikulttuuri voi aluksi lisätä ilmoitusten määrää – se on usein myönteinen merkki.
Seuraa esimerkiksi näitä neljää asiaa:
- kuinka moni suorittaa perehdytyksen sovitussa ajassa
- kuinka paljon epäilyttäviä viestejä ja tapahtumia raportoidaan
- miten simuloitujen huijausten tunnistaminen kehittyy
- kuinka nopeasti todellisiin havaintoihin reagoidaan.
Lukuja pitää tulkita harkiten. Jos testiviestien klikkausmäärä nousee, syynä voi olla epäselvä koulutus, liian monimutkainen työtilanne tai testin epärealistinen toteutus. Tavoite ei ole täydellinen nolla, vaan hallittu riski ja nopea korjaava toiminta.
Koulutus tarvitsee tuekseen selkeän IT-ympäristön
Henkilöstön osaaminen ei korvaa teknisiä suojauksia, eikä teknologia korvaa henkilöstön harkintaa. Paras tulos syntyy, kun käytännön koulutus yhdistetään hallittuun laitekantaan, ajantasaisiin päivityksiin, varmuuskopiointiin, käyttöoikeuksien hallintaan ja jatkuvaan valvontaan.
Tässä kohtaa IT-ympäristön vakiointi tuo konkreettista arvoa. Kun työasemat, tunnukset ja toimintatavat ovat hallinnassa, koulutuksessa voidaan antaa yksiselitteisiä ohjeita. Henkilöstön ei tarvitse arvailla, missä tiedosto kuuluu jakaa tai mitä tehdä kadonneelle puhelimelle.
Myös vastuunjako on kirjattava selkeästi. Työntekijän tehtävä on pysähtyä ja ilmoittaa epäilyksestä. Johdon tehtävä on varmistaa, että ilmoittaminen on helppoa. IT-kumppanin tai sisäisen IT-vastuuhenkilön tehtävä on tutkia tilanne, rajata vaikutukset ja kehittää suojausta havaintojen perusteella.
Config Oy auttaa pk-yrityksiä yhdistämään tämän kokonaisuuden käytännönläheisesti: ympäristöä kehitetään ja vakioidaan, sitä seurataan jatkuvasti ja käyttäjät saavat tukea silloin, kun epäselvä tilanne vaatii nopean vastauksen. Näin tietoturva ei jää irralliseksi ohjeeksi, vaan siitä tulee osa sujuvaa työpäivää.
Kun seuraava epäilyttävä viesti saapuu kiireisenä maanantaiaamuna, ratkaisevaa ei ole se, muistaako työntekijä kaiken koulutusmateriaalin. Ratkaisevaa on, pysähtyykö hän hetkeksi, tunnistaako riskin ja tietääkö täsmälleen, mitä tehdä seuraavaksi.