Ulkoiset kumppanit ja alihankkijat: Tuleeko heidät ottaa mukaan kyberturvakoulutukseen?

Nykyaikaisissa organisaatioissa perinteinen tietoverkon raja on hämärtynyt. Sisäiset tiimit tekevät päivittäin yhteistyötä freelance-kehittäjien, liikkeenjohdon konsulttien, IT-palveluntarjoajien sekä ulkoistettujen asiantuntijoiden kanssa. Näillä toimijoilla on usein laajat pääsyoikeudet: henkilökohtaiset tunnukset VPN-verkkoon, yrityksen sähköpostiosoitteet, pääsy sisäisiin Slack-kanaviin sekä kirjoitusoikeudet ohjelmistojen lähdekoodiin.

Kuitenkin silloin, kun vuotuista tietoturvakoulutussuunnitelmaa ryhdytään toteuttamaan, törmätään usein näkymättömään esteeseen. Hallinnollisen taakan, henkilöstön suuren vaihtuvuuden tai sopimusteknisten epäselvyyksien vuoksi ulkopuoliset asiantuntijat jätetään toistuvasti oppimismoduulien ulkopuolelle. Tämä toiminnallinen katvealue tarjoaa ihanteellisen hyökkäysväylän kyberrikollisille, jotka kohdistavat iskunsa arvo- ja toimitusketjun heikoimpiin lenkkeihin.

Miksi ulkoisten käyttäjätunnusten on osallistuttava samaan tietoturvakoulutukseen?#

Tiivistelmä: Ulkoiset kumppanit käyttävät samoja työympäristöjä ja viestintätyökaluja kuin organisaation vakituinen henkilöstö. Ilman yhtenäisiä digitaalisen hygienian rutiineja kalastelun tai sosiaalisen manipuloinnin kohteeksi joutunut alihankkija toimii suorana siltana, jonka kautta hyökkääjä murtautuu sisäverkkoon ohittaen perinteiset suojaukset.

Verkkorikolliselle organisaationne verkkotunnukseen sidottu sähköpostiosoite on yhtä arvokas, kuului se sitten toimitusjohtajalle tai kolmen viikon projektissa työskentelevälle konsultille. Heti kun tili on aktiivisena hakemistopalvelussanne, sitä voidaan käyttää ponnahduslautana:

• Sivuttaisliike verkossa (lateral movement): Kun alihankkijan tunnus vaarantuu tietojenkalastelun seurauksena, hyökkääjä hyödyntää sisäiselle viestinnälle annettua luottamusta huijatakseen muita työntekijöitä tai siirtääkseen arkaluonteisia asiakirjoja organisaation ulkopuolelle.
• Hallitsemattomien laitteiden käyttö (BYOD): Alihankkijat tekevät säännöllisesti töitä omilta tietokoneiltaan tai oman työnantajansa laitteilta, joiden tietoturvataso ei välttämättä vastaa organisaationne omia vaatimuksia. Heidän käyttäytymiseensä liittyvän valppauden on siksi oltava entistä tarkempaa.
• Sisäisten toimintaohjeiden puute: Ulkoinen toimija ei välttämättä tiedä, kenelle tietoturvapoikkeamasta ilmoitetaan tai miten epätavallisen maksupyynnön tai tilinumeromuutoksen aitous varmistetaan.

Kyberturvallisuus ei voi päättyä työsopimuksen rajapintaan. Valppauden ja toimintatapojen yhtenäistäminen sisäisten ja ulkoisten tiimien välillä pienentää suoraan koko organisaation hyökkäyspinta-alaa.

Mitä ISO 27001 ja NIS 2 vaativat toimitusketjun tietoturvalta?#

Tiivistelmä: NIS 2 -direktiivi (Suomessa kyberturvallisuuslaki) ja ISO 27001 -standardi edellyttävät toimitusketjun riskien tiukkaa hallintaa. Organisaatioiden on arvioitava kolmansien osapuolten riskit ja varmistettava, että jokainen tietovarantoihin pääsevä henkilö noudattaa asianmukaisia suojatoimia ja osallistuu säännölliseen koulutukseen.

Tietoturvastandardit ja lainsäädäntö huomioivat digitaalisten ekosysteemien tiiviin keskinäisriippuvuuden. Alihankkijoiden tietoturvan käsitteleminen pelkkänä sopimusteknisenä lausekkeena ei enää riitä:

ISO 27001 -standardin vaatimukset

ISO 27001:2022 -standardin liitteen A hallintakeino 5.19 määrittelee toimittajasuhteiden tietoturvan. Se edellyttää, että tietoturvavaatimuksista sovitaan ja niitä sovelletaan jokaisen sellaisen toimijan kohdalla, jolla on pääsy yrityksen tietoihin ja järjestelmiin. Hallintakeino 6.3 puolestaan velvoittaa järjestämään säännöllistä tietoturvatietoisuuden ylläpitoa ja koulutusta koko henkilöstölle sekä asiaankuuluville sidosryhmille.

Kyberturvallisuuslain ja NIS 2:n tuoma muutos

Eurooppalaisen NIS 2 -sääntelyn myötä toimitusketjun turvallisuus on nyt lakisääteinen velvoite keskeisille ja tärkeille toimijoille. Organisaatioiden on pystyttävä osoittamaan suorien toimittajiensa kyberturvallisuuskäytäntöjen taso. Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskuksen (NCSC-FI) ohjeistusten mukaisesti alihankkijoiden osallistaminen tietoturvakoulutukseen toimii konkreettisena näyttönä kolmansien osapuolten riskien hallinnasta.

Miten kouluttaa alihankkijoita ilman toiminnallista kitkaa?#

Kymmenien freelancereiden ja ulkoisten asiantuntijoiden lisääminen perinteisiin oppimisjärjestelmiin aiheuttaa usein päänvaivaa: käyttämättömiä lisenssejä, unohtuneita salasanoja sekä puuduttavia 45 minuutin e-learning-kursseja, joihin tuntiveloituksella työskentelevät asiantuntijat eivät halua käyttää aikaansa.

Jotta kouluttaminen onnistuu kasvattamatta tietoturvatiimin hallinnollista taakkaa, kannattaa hyödyntää selkeitä periaatteita:

• Suosi erittäin lyhyitä formaatteja: Muutaman minuutin mikromoduulit sopivat luontevasti asiantuntijan työpäivään vaikuttamatta laskutettavaan työhön tai projektin aikatauluihin.
• Tarjoa kitkaton pääsy: Kumppaneiden ei tulisi joutua luomaan monimutkaisia tunnuksia raskaisiin oppimisalustoihin. Pääsyn harjoituksiin on oltava välitön.
• Räätälöi aiheet aitoihin uhkiin: Keskity sosiaaliseen manipulointiin, toimitusjohtajahuijausten ja väärennettyjen laskujen tunnistamiseen, etätyölaitteiden suojaamiseen sekä monivaiheiseen tunnistautumiseen (MFA).
• Jaksota oppimista toimeksiannon ajan: Kertaluonteisen ja nopeasti unohtuvan perehdytysvideon sijaan säännöllinen harjoittelu pitää toimintarefleksit terävinä koko sopimuskauden ajan.

Juuri tämän helppouden ja tehokkuuden saavuttamiseksi kehitimme Cyber Journey -oppimispolun. Se on mikromoduuleihin ja interaktiiviseen arcade-tietovisaan perustuva etenemismalli, joka toimitetaan tiimimme tukemana. Sen avulla yhteinen turvallisuuskulttuuri voidaan jalkauttaa koko organisaatioon ja ulkoisille kumppaneille ilman teknistä kitkaa tai raskasta hallinnointia.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Cyber Journey

Ota alihankkijat mukaan kyberturvan hallintamalliin jo tänään#

Modernit kyberhyökkäykset hyödyntävät inhimillisiä luottamussuhteita ja teknisiä riippuvuuksia. Ulkoisten kumppaneiden jättäminen tietoturvakoulutuksen ulkopuolelle asettaa organisaationne alttiiksi helposti vältettävissä oleville tietomurroille.

Kun alihankkijoiden tietoturvatietoisuus nostetaan samalle tasolle oman henkilöstön kanssa, toimitusketjun resilienssi vahvistuu ja NIS 2 - sekä ISO 27001 -vaatimukset täyttyvät luotettavasti.

Haluatteko rakentaa ketterän ja osallistavan koulutusmallin hybridityöskentelyyn ja kumppaniverkostollenne? Varaa esittely asiantuntijoidemme kanssa ja suunnitellaan organisaatiollenne sopiva kokonaisuus.

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Kyberturvallisuuden hallinta ja henkilöstön kunnioitus: Seuraa osaamista ilman kyttäystä (Compliance (NIS 2, DORA, ISO)) : Opi seuraamaan tietoturvakoulutuksen edistymistä ja GDPR-vaatimuksia ilman yksilövalvontaa. Rakenna vahva ja positiivinen turvallisuuskulttuuri.
• Cyber Resilience Act (CRA): Tuotekehityksen ja T&K-tiimien sitouttaminen sisäänrakennettuun tietoturvaan (Compliance (NIS 2, DORA, ISO)) : Miten yhdistää ohjelmistokehittäjät ja tuotehallinta CRA-vaatimuksiin? Rakenna kestävä Security by Design -kulttuuri tuotekehitykseen ilman nopeuden hidastumista.
• TISAX-arviointi autoteollisuudessa: R&D- ja tuotantotiimien tietoturvatietoisuuden rakentaminen (Compliance (NIS 2, DORA, ISO)) : Varmista TISAX-vaatimustenmukaisuus (VDA ISA). Kouluta tuotekehitys ja tuotanto suojaamaan prototyyppejä ilman tuotantoseisokkeja.
• Miksi koko organisaation yhteinen yleisluontoinen kyberturvallisuuskoulutus ei enaa toimi (Gamification) : Opi miksi perinteinen e-learning epäonnistuu ja miten rakennat roolipohjaisen kyberturvallisuuskoulutuksen organisaation eri toiminnoille ilman lisätyötä.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Cyber Journey : Oppimispolku etenemiskarttana: lyhyet luvut ja sisäänrakennettu arcade-visa ilman tilin luomista.
• Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)