Kannettava tietokone katoaa junaan, työntekijä avaa uskottavalta näyttävän huijausviestin tai kriittinen päivitys jää asentamatta. Yksittäinen päätelaite voi silloin avata pääsyn koko yrityksen tietoihin. Parhaat keinot suojata päätelaitteet eivät ole yksi ohjelma, vaan johdettu kokonaisuus: laitteet vakioidaan, niitä valvotaan, ne pidetään ajan tasalla ja käyttäjiä tuetaan arjessa.
10-100 hengen yrityksessä päätelaitteiden suojaus näkyy suoraan liiketoiminnassa. Kun laiteongelmia on vähemmän, työntekijät käyttävät aikansa asiakastyöhön eivätkä salasanojen, hitaiden koneiden tai epäselvien käyttöoikeuksien selvittelyyn. Samalla käyttökatkojen, tietovuotojen ja yllättävien korjauskulujen riski pienenee.
Parhaat keinot suojata päätelaitteet alkavat perusasioista
Yrityksen päätelaitesuojaus on kunnossa, kun jokainen työasema ja mobiililaite tunnetaan, sen suojaustaso on yhtenäinen ja poikkeamiin reagoidaan nopeasti. Pelkkä virustorjunta ei riitä, jos käyttöjärjestelmä, sovellukset, käyttäjätilit ja varmuuskopiointi jäävät oman onnensa nojaan. Tavoite on tehdä turvallisesta toimintatavasta normaali osa työntekoa.
Päätelaitteella tarkoitetaan käytännössä työntekijän käyttämää työvälinettä: kannettavaa tietokonetta, pöytäkonetta, puhelinta ja tablettia. Näihin tallentuu tai niiden kautta käsitellään sähköpostia, asiakas- ja taloustietoja, Microsoft 365 -aineistoja sekä sisäisiä dokumentteja. Siksi suojausta ei kannata tarkastella vain IT-kysymyksenä, vaan jatkuvuuden ja riskienhallinnan osana.
Hyvä lähtökohta on neljän vaiheen malli:
- Vakioi laitteet, käyttöjärjestelmät, sovellukset ja tietoturva-asetukset.
- Suojaa laitteet monikerroksisesti: tunnistautuminen, päivitykset, salaus ja päätelaitesuojaus toimivat yhdessä.
- Seuraa poikkeamia, laitteiden kuntoa ja suojausten toteutumista jatkuvasti.
- Tue ja kehitä käyttäjiä sekä korjaa havaitut puutteet ennen kuin niistä syntyy häiriö.
1. Tiedä, mitä laitteita yrityksellä on
Laiteluettelo on päätelaiteturvan perusta. Jos yritys ei tiedä, mitä laitteita käytetään, kenen hallussa ne ovat ja millä ohjelmistoversioilla ne toimivat, se ei voi varmistaa niiden suojaustakaan. Tämä on yleinen haaste kasvavissa yrityksissä, joissa laitteita hankitaan eri aikaan ja eri tavoin.
Laiterekisterissä tulisi näkyä vähintään laitteen käyttäjä, malli, ikä, käyttöjärjestelmän versio, salaustila, tietoturvaohjelmisto ja elinkaaren vaihe. Käytännössä tämä mahdollistaa nopean reagoinnin esimerkiksi silloin, kun työntekijä vaihtaa tehtävää, laite katoaa tai tiettyyn ohjelmistoversioon löytyy haavoittuvuus.
Vakiointi tuo myös taloudellista hyötyä. Kun laitekanta koostuu hallitusta määrästä malleja ja sovelluksia, käyttöönotto nopeutuu, varaosia ja lisenssejä on helpompi hallita ja tukipyyntöjen ratkaisuajat lyhenevät. Kirjava laitekanta näyttää usein joustavalta, mutta maksaa ajan mittaan enemmän tukityönä ja käyttökatkoina.
2. Hoida päivitykset ennen kuin niistä tulee häiriö
Päivityshallinta on yksi tehokkaimmista tavoista pienentää päätelaitteiden riskiä. Hyökkääjät hyödyntävät tunnettuja haavoittuvuuksia, joihin korjaus on usein jo saatavilla. Ongelma ei siis aina ole korjauksen puute, vaan se, ettei päivitystä ole asennettu tai sen onnistumista ei seurata.
Päivityksiä tarvitaan käyttöjärjestelmään, selaimiin, toimisto-ohjelmistoihin, etätyökaluihin ja laiteohjelmistoihin. Niitä ei kuitenkaan pidä työntää hallitsematta kaikille kerralla. Yrityksessä kannattaa sopia selkeä käytäntö: kriittiset tietoturvapäivitykset asennetaan nopeasti, tavalliset päivitykset hallitussa rytmissä ja mahdolliset ongelmat testataan rajatulla käyttäjäryhmällä.
| Käytäntö | Mitä se ehkäisee | Liiketoimintahyöty | |—|—|—| | Keskitetty päivityshallinta | Tunnetut haavoittuvuudet | Vähemmän kiireellisiä korjauksia | | Asennusten onnistumisen seuranta | Suojaamatta jääneet laitteet | Parempi näkyvyys riskeihin | | Hallittu päivitysaikataulu | Työn keskeytyminen | Ennakoitava arki henkilöstölle | | Laitteiden elinkaarisuunnitelma | Vanhentunut teknologia | Vähemmän suorituskykyongelmia |
Vanhaa laitetta ei kannata pitää käytössä vain siksi, että se vielä käynnistyy. Jos valmistajan tietoturvatuki päättyy, laite voi muodostaa riskin, jota ei korjata enää päivityksillä. Laitteen vaihto on silloin usein halvempi ratkaisu kuin häiriön, tietovuodon tai kiireellisen palautustyön kustannukset.
3. Vaadi vahva tunnistautuminen ja pienimmät tarvittavat oikeudet
Varastettu salasana on edelleen yksi tavallisimmista reiteistä yrityksen järjestelmiin. Monivaiheinen tunnistautuminen tekee pelkästä salasanasta huomattavasti vähemmän arvokkaan hyökkääjälle. Se pitää ottaa käyttöön erityisesti sähköpostissa, pilvipalveluissa, etäyhteyksissä ja hallinnollisissa käyttäjätileissä.
Vahva tunnistautuminen ei yksin ratkaise kaikkea. Käyttäjällä tulee olla vain ne käyttöoikeudet, joita hän tarvitsee työssään. Jos tavallinen käyttäjä voi asentaa mitä tahansa ohjelmia tai käyttää laajoja hallintaoikeuksia, yksi huijausviesti voi aiheuttaa tarpeettoman suuren vahingon.
Toimiva käytäntö sisältää kolme asiaa: henkilökohtaiset käyttäjätunnukset, monivaiheisen tunnistautumisen ja säännöllisen käyttöoikeuksien tarkistuksen. Erityisesti työsuhteen päättyessä tai tehtävänkuvan muuttuessa käyttöoikeudet on poistettava tai päivitettävä heti. Viive tässä kohtaa on tarpeeton turvallisuus- ja jatkuvuusriski.
4. Käytä päätelaitesuojausta, joka myös havaitsee poikkeamat
Nykyaikainen päätelaitesuojaus ei ole pelkkä virustorjunta. Sen tehtävänä on havaita epäilyttävää toimintaa, estää haitallisia tiedostoja ja auttaa selvittämään, mitä laitteella on tapahtunut. Olennaista on, että hälytyksiä myös seurataan. Suojaus, jonka ilmoituksia kukaan ei käsittele, antaa helposti vain näennäisen turvan.
Hyvä suojausratkaisu voi tunnistaa esimerkiksi kiristyshaittaohjelman kaltaista toimintaa, epäilyttäviä kirjautumisia tai yrityksiä muuttaa suojausasetuksia. Se ei silti poista tarvetta muille kerroksille. Jos käyttäjä hyväksyy huijauskirjautumisen ja käyttöoikeudet ovat liian laajat, seuraukset voivat olla vakavia, vaikka laitteessa olisi hyväkin suojaus.
Suojausta kannattaa arvioida seuraavalla kysymyksellä: kuka huomaa poikkeaman, kuka reagoi siihen ja kuinka nopeasti? Pk-yrityksessä vastaus ei voi olla epämääräinen. Jos vastuu on yhden kiireisen henkilön varassa, hälytykset jäävät väistämättä välillä muiden töiden alle.
5. Salaa laitteet ja varaudu katoamiseen
Kadonnut kannettava ei aina tarkoita tietovuotoa. Jos laitteen levy on salattu, näytön lukitus on kunnossa ja laitetta voidaan hallita etänä, riski pienenee olennaisesti. Sen sijaan salaamaton laite, jossa on tallennettuja salasanoja tai paikallisia asiakastiedostoja, voi muuttua nopeasti ilmoitusvelvollisuuksia ja mainehaittaa aiheuttavaksi tilanteeksi.
Etähallinnalla yritys voi valvoa, täyttääkö laite sovitut suojausvaatimukset, ja tarvittaessa lukita tai tyhjentää kadonneen laitteen. Toimenpiteiden on oltava ennalta sovittuja: kuka tekee päätöksen, mistä katoamisesta ilmoitetaan ja miten työntekijälle järjestetään korvaava työväline.
Mobiililaitteissa tarvitaan sama ajattelu. Työpuhelin sisältää usein sähköpostin, viestit ja tunnistautumissovellukset. Näytön lukitus, hallittu sovellusten käyttö ja mahdollisuus poistaa työaineisto etänä ovat käytännön perusvaatimuksia, eivät suuryritysten erikoisuuksia.
6. Suojaa käyttäjä ilman että työ pysähtyy
Käyttäjä on päätelaiteturvan tärkeä osa, mutta vastuu ei saa kaatua hänen harteilleen. Ohjeiden pitää olla selkeitä, tukea on saatava nopeasti ja turvallisten toimintatapojen on oltava helpompia kuin kiertoteiden. Jos työntekijä joutuu odottamaan apua päiviä, hän löytää usein oman, hallitsemattoman ratkaisunsa.
Käytännönläheinen koulutus toimii paremmin kuin kerran vuodessa pidettävä pitkä esitys. Käykää läpi tilanteita, joita henkilöstö oikeasti kohtaa: epäilyttävä laskuviesti, odottamaton kirjautumispyyntö, väärään vastaanottajaan lähtevä liite tai hotellin avoin langaton verkko. Tavoite ei ole pelotella, vaan tehdä ilmoittamisesta helppoa ja nopeaa.
Hyvä toimintamalli on, että käyttäjä ilmoittaa epäilystä matalalla kynnyksellä ja IT-tuki tutkii tilanteen. Näin yksittäinen virhe ei kasva pitkäksi käyttökatkoksi. Samalla henkilöstö näkee, että tietoturva tukee työn tekemistä eikä hidasta sitä.
7. Tee päätelaiteturvasta jatkuva palvelu, ei projekti
Päätelaitteiden suojaus toimii parhaiten jatkuvana johtamismallina. Laitteita tulee lisää, työntekijöitä vaihtuu, uhkat muuttuvat ja asetukset voivat ajan myötä poiketa sovitusta. Kerran tehty kartoitus on hyödyllinen lähtökohta, mutta se ei ylläpidä suojaustasoa yksin.
Tässä ulkoistettu tai osittain ulkoistettu IT-ylläpito voi tuoda selkeän edun. Sisäinen IT voi keskittyä liiketoimintaa tukeviin hankkeisiin, kun rutiinit, kuten valvonta, päivitykset, käyttöoikeuksien hallinta ja käyttäjätuki, hoidetaan sovitulla vastuulla.
| Sisäinen, reaktiivinen malli | Hallittu, ennakoiva malli | |—|—| | Ongelmiin puututaan käyttäjän ilmoitettua niistä | Poikkeamia ja puutteita havaitaan valvonnassa | | Laitteiden asetukset vaihtelevat | Laitteet vakioidaan yhteisten käytäntöjen mukaan | | Kulut syntyvät korjaustyöstä ja kiireestä | Työ ja kustannukset ovat ennakoitavampia | | Vastuu voi olla yhden henkilön varassa | Osaaminen ja seuranta eivät nojaa yhteen ihmiseen |
Config Oy toteuttaa päätelaitteiden hallintaa osana kiinteähintaista IT-ylläpitoa: laitteiden elinkaari, päivitykset, tietoturva, valvonta ja käyttäjätuki muodostavat yhden johdetun kokonaisuuden. Tämä vähentää toistuvia tukipyyntöjä ja antaa johdolle paremman näkyvyyden siihen, missä IT-riskit ja kustannukset oikeasti ovat.
Paras seuraava askel on tarkistaa oman yrityksen laitekanta yhdestä näkymästä: tiedättekö, mitkä laitteet ovat käytössä, ovatko ne salattuja ja päivitettyjä, ja kuka reagoi, jos jokin poikkeaa sovitusta? Jos vastaukset eivät ole selkeitä, juuri siitä kannattaa aloittaa.