Kiristyshaittaohjelma ei yleensä ala dramaattisella ilmoituksella. Se voi alkaa yhdestä huijatusta Microsoft 365 -kirjautumisesta, varastetusta salasanasta tai koneelle päässeestä haitallisesta liitteestä. Siksi kysymys ”tarvitseeko pk-yritys MDR-suojaa” ei ratkea pelkästään yrityksen henkilöstömäärällä. Ratkaisevaa on, kuinka paljon liiketoiminta kärsii, jos epäilyttävää toimintaa ei huomata ajoissa.
Tarvitseeko pk-yritys MDR-suojaa?
Usein kyllä, jos yrityksessä käsitellään asiakas-, henkilöstö- tai taloustietoja, käytetään pilvipalveluja ja työ keskeytyy nopeasti käyttökatkosta. MDR-suoja tuo tietoturvaan jatkuvan havainnoinnin ja asiantuntijan reagoinnin. Se on erityisen perusteltu 10-100 hengen yritykselle, jolla ei ole omaa 24/7-tietoturvatiimiä.
MDR tulee sanoista Managed Detection and Response. Käytännössä palvelu valvoo työasemia, palvelimia ja tilanteesta riippuen myös käyttäjätilejä, tunnistaa poikkeavaa toimintaa ja auttaa rajaamaan uhan ennen kuin se muuttuu liiketoimintahäiriöksi.
Perinteinen virustorjunta pyrkii estämään tunnetun haitallisen tiedoston. MDR puolestaan etsii merkkejä siitä, että jotain on jo tapahtumassa: käyttäjätili kirjautuu epätavallisesta paikasta, kone yrittää salata suurta määrää tiedostoja tai hyökkääjä liikkuu ympäristössä tunnuksilla, jotka eivät kuulu hänelle.
Pelkkä endpoint-suojaus ei aina riitä
Endpoint-suojaus on jokaisen yrityksen perustaso, mutta se ei yksin ratkaise sitä, kuka seuraa hälytyksiä ja tekee päätöksen toimenpiteistä. MDR-suoja täydentää teknistä suojaa ihmisellä, prosessilla ja jatkuvalla valvonnalla. Ilman niitä hyväkin työkalu voi jäädä hälyttämään taustalle.
Pk-yrityksissä tietoturvan ongelma ei yleensä ole välinpitämättömyys. Ongelmana on aika. IT-vastuullinen voi hoitaa samana päivänä uuden työntekijän aloituksen, tulostinongelman, käyttöoikeudet, laitehankinnan ja johdon raportointipyynnöt. Jos tietoturvajärjestelmä tuottaa hälytyksen illalla, viikonloppuna tai kiireisenä työpäivänä, sen selvittäminen voi jäädä odottamaan.
Tässä on käytännön ero eri suojaustasojen välillä:
| Suojaustaso | Mitä se tekee | Tyypillinen puute ilman MDR:ää | |—|—|—| | Perinteinen virustorjunta | Estää tunnettuja haittaohjelmia | Ei välttämättä tunnista hyökkääjän toimintaketjua | | EDR eli päätelaitetunnistus | Kerää havaintoja ja voi pysäyttää epäilyttävää toimintaa | Hälytyksiä pitää seurata ja tulkita itse | | MDR | Valvoo, analysoi ja reagoi sovitulla mallilla | Edellyttää toimivaa käyttöönottoa ja selkeitä vastuita |
MDR ei ole taikakilpi. Se ei korvaa monivaiheista tunnistautumista, käyttäjien ohjeistusta, päivityksiä, varmuuskopioita tai käyttöoikeuksien hallintaa. Se pienentää kuitenkin merkittävästi aikaa, jonka hyökkääjä voi toimia ympäristössä huomaamatta.
Milloin MDR-suoja on pk-yritykselle perusteltu?
MDR on järkevä hankinta, kun yksikin vakava tietoturvahäiriö maksaisi enemmän kuin suojaus tai keskeyttäisi yrityksen kriittisen työn. Erityisen vahva peruste syntyy silloin, kun sisäisen IT:n tai ulkoisen kumppanin käytännön valvonta ei kata iltoja, öitä ja viikonloppuja.
Arvioi päätöstä liiketoiminnan kautta. Seuraavat tilanteet kertovat, että MDR kannattaa ottaa vakavasti:
- Yksi henkilö vastaa IT:stä. Jos tieto ympäristöstä, hälytyksistä ja toimintatavoista on yhden työntekijän päässä, sairausloma tai henkilövaihdos kasvattaa riskiä välittömästi.
- Microsoft 365 on työn ydin. Sähköposti, Teams, SharePoint ja OneDrive ovat hyökkääjille kiinnostavia kohteita, koska niissä liikkuu tietoa ja tunnuksia voidaan hyödyntää laajasti.
- Käyttökatko maksaa nopeasti euroja. Myynti, asiakaspalvelu, tuotanto, logistiikka tai asiantuntijatyö pysähtyy, jos laitteet, tiedostot tai yhteydet eivät toimi.
- Yritys käsittelee luottamuksellista tietoa. Asiakasrekisterit, sopimukset, palkkatiedot, talousaineistot ja henkilöstöasiat vaativat muutakin kuin toiveen siitä, ettei mitään tapahdu.
- Laitekanta on kasvanut hallitsemattomasti. Etätyö, eri-ikäiset tietokoneet, puutteelliset päivitykset ja epäselvät ylläpitovastuut tekevät hyökkäyspinnasta tarpeettoman suuren.
Kaikki yritykset eivät tarvitse yhtä laajaa MDR-palvelua. Viiden henkilön toimisto, jossa käytetään hallittuja laitteita, monivaiheista tunnistautumista ja rajattuja pilvipalveluja, voi aloittaa kevyemmästä mallista. Silti myös pienessä yrityksessä vaikutus voi olla suuri, jos esimerkiksi laskutus, sopimukset tai asiakasviestintä ovat yhden järjestelmän varassa.
MDR:n arvo mitataan reagointiajassa
MDR:n suurin hyöty ei ole pelkkä hälytys, vaan nopeampi ja hallittu toiminta epäilyttävässä tilanteessa. Kun uhka havaitaan varhain, voidaan eristää laite, sulkea tunnus, katkaista haitallinen yhteys ja selvittää vaikutukset ennen laajempaa vahinkoa.
Johdolle tämä tarkoittaa vähemmän epävarmuutta. Sen sijaan, että maanantaiaamuna selvitellään, miksi tiedostot eivät aukea ja onko asiakastietoa vuotanut, tilanne voidaan ottaa haltuun vaiheittain. Hyvä toimintamalli määrittelee etukäteen, kuka tekee mitä, kenelle ilmoitetaan ja millä perusteella liiketoimintaa rajoitetaan.
Tämä on myös kustannuskysymys. Tietoturvahäiriön hinta koostuu harvoin vain teknisestä korjauksesta. Mukaan tulevat menetetty työaika, kiireelliset asiantuntijatyöt, viivästyneet toimitukset, mainehaitta sekä johdon ja henkilöstön huomion siirtyminen pois omasta työstä. Kiinteähintaisesti hallittu tietoturvakokonaisuus tekee kustannuksista ennakoitavampia kuin vahingon korjaaminen paineen alla.
Miten MDR kannattaa liittää IT-ympäristöön?
MDR toimii parhaiten osana vakioitua IT-ympäristöä, ei irrallisena lisenssinä. Ensin pitää tietää, mitä laitteita yrityksellä on, kenen käytössä ne ovat, ovatko käyttöjärjestelmät tuettuja ja ovatko päivitykset kunnossa. Sen jälkeen sovitaan, mitä valvotaan ja miten poikkeamiin reagoidaan.
Käytännön toteutus etenee neljässä vaiheessa:
- Kartoita lähtötilanne. Selvitä päätelaitteet, palvelimet, käyttäjätilit, etäyhteydet, varmuuskopiot ja nykyiset tietoturvatyökalut. Samalla tunnistetaan vanhentuneet laitteet ja tarpeettomat käyttöoikeudet.
- Vakioi perussuojaus. Ota käyttöön hallitut päivitykset, monivaiheinen tunnistautuminen, salatut ja hallitut laitteet sekä toimivaksi testatut varmuuskopiot. MDR ei korjaa perusasioiden puutteita jälkikäteen.
- Määritä reagointimalli. Sopikaa, milloin palveluntarjoaja voi eristää laitteen, nollata tunnuksen tai olla yhteydessä nimettyihin vastuuhenkilöihin. Nopeus syntyy valmiista päätöksistä, ei pitkistä hyväksyntäkierroksista.
- Seuraa ja kehitä. Kuukausittainen raportti on hyödyllinen vain, jos siitä tehdään johtopäätöksiä. Toistuvat hälytykset, puuttuvat päivitykset ja riskialttiit käytännöt pitää korjata järjestelmällisesti.
Mitä MDR-palvelusta pitää kysyä ennen ostamista?
MDR-palveluiden välillä on suuria eroja. Osa toimittajista välittää hälytyksen asiakkaalle, osa tutkii tilanteen ja toteuttaa sovittuja ensitoimia. Pk-yrityksen kannattaa ostaa palvelu, jonka vastuut ovat ymmärrettäviä myös muille kuin tietoturva-asiantuntijoille.
Kysy vähintään nämä neljä asiaa:
- Valvotaanko ympäristöä aidosti ympäri vuorokauden vai vain työaikana?
- Mitä tapahtuu, kun korkean riskin havainto syntyy?
- Kuka saa tehdä välittömät rajaukset ja miten yritykselle ilmoitetaan?
- Sisältyvätkö käyttöönotto, jatkuva ylläpito ja raportointi sovittuun kuukausihintaan?
Varo mallia, jossa saat käyttöön paljon teknologiaa mutta vastuu hälytysten tulkinnasta jää omalle, valmiiksi kuormittuneelle henkilöstölle. Silloin yritys ostaa näkyvyyttä, ei välttämättä kykyä toimia.
Config Oy rakentaa tietoturvaa osana jatkuvaa IT-ylläpitoa: ympäristö vakioidaan, laitteita ja palveluja valvotaan, päivitykset hallitaan ja käyttäjille tarjotaan tuki arjen tilanteissa. Tavoite ei ole lisätä hallinnollista työtä, vaan vähentää häiriöitä ja tehdä tietoturvasta ennakoitava osa yrityksen toimintaa.
Oikea kysymys ei ole vain MDR:n hinta
MDR-suojan kohdalla olennaista on verrata kuukausikustannusta siihen, kuinka nopeasti yritys pystyisi jatkamaan toimintaansa häiriön jälkeen. Jos vastaus on epäselvä, lähtötilanne kannattaa kartoittaa nyt – rauhassa, ennen kuin seuraava epäilyttävä kirjautuminen muuttuu liiketoiminnan keskeytykseksi.