BYOD ja alypuhelimet tyokaytossa: Kultaiset saannot yritysdatan suojaamiseen

Toimiston käytävillä tai työmatkalla reaktio tulee usein selkärangasta: työntekijä ottaa oman älypuhelimensa esiin vastatakseen pikaviestiin, hyväksyäkseen asiakirjan tai tarkistaakseen työsähköpostin. BYOD-trendi (Bring Your Own Device) on vakiintunut suomalaisiin organisaatioihin nopeasti ja usein ilman tietohallinnon tai tietoturvajohdon erillistä siunausta. Vaikka omien laitteiden käyttö tuo joustavuutta arkeen, se avaa hiljaisen mutta vaarallisen aukon organisaation suojauksiin.

Tietoturvajohtajalle (CISO) tai tietohallinnolle jokainen yrityksen verkkoon kytketty henkilökohtainen puhelin on päätelaite, johon ei ole täyttä näkyvyyttä. Puuttuvat päivitykset, valvomattomat sovellusasennukset ja heikot pääsykoodit tekevät rajan yksityiselämän ja liiketoimintakriittisen datan välillä huokoiseksi. Miten sovittaa yhteen sujuva työnteko ja tiukka mobiilitietoturva ilman, että työntekijöiden arjesta tehdään kohtuutonta esterataa?

Mitä riskejä omien älypuhelinten käyttö tuo työsähköpostiin?#

Tiivistelmä: Oman älypuhelimen käyttö työsähköposteihin altistaa yrityksen tietovuodoille kolmansien osapuolten sovellusten kautta, tietoliikenteen kuuntelulle suojaamattomissa julkisissa Wi-Fi-verkoissa sekä käyttäjätunnusten vaarantumiselle, mikäli henkilökohtaista ja ammatillista ympäristöä ei ole eristetty toisistaan.

Työntekijän sähköpostilaatikkoon pääsy ei tarkoita pelkkää viestien lukemista. Yrityssähköposti keskittää luottamukselliset liitetiedostot, salasanojen nollauslinkit, asiakastiedot ja suorat pääsyt sisäisiin järjestelmiin (ERP, CRM, pilvitallennustilat).

Kun näihin tietoihin päästään laitteelta, joka ei ole organisaation hallinnassa, syntyy useita suoria uhkia:

• Kolmansien osapuolten sovellusten laajat luvat: Monet mobiilipelit, kuvanmuokkausohjelmat ja ilmaissovellukset vaativat laajoja oikeuksia laitteen leikepöytään, tallennustilaan tai näyttöön. Lapsen vanhempansa puhelimeen lataama epämääräinen sovellus voi huomaamatta siepata työtietoja, joita on hetkeä aiemmin kopioitu leikepöydälle.
• Mobiilitartunnat ja haittaohjelmat: Android- ja iOS-käyttöjärjestelmät kohtaavat jatkuvasti kehittyneitä vakoiluohjelmia, joita levitetään usein virallisten sovelluskauppojen ulkopuolelta ladattavien asennuspakettien tai vaarallisten verkkomainosten kautta. Saastunut puhelin tarjoaa hyökkääjille suoran reitin organisaation sisäverkkoon.
• Tietoliikenteen kaappaus: Sähköpostien lukeminen hotellin tai rautatieaseman avoimessa Wi-Fi-verkossa ilman suojattua VPN-yhteyttä altistaa istuntoevästeet ja viestinnän väliintulohyökkäyksille (Man-in-the-Middle). Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskus (NCSC-FI) varoittaa säännöllisesti suojaamattomien julkisten verkkojen vaaroista.

Mitkä ovat tekniset kultaiset säännöt omien laitteiden suojaamiseen?#

Tiivistelmä: Tehokas suojaus perustuu laitteen tallennustilan pakolliseen salaukseen, vähintään 6-numeroiseen lukituskoodiin tai biometriseen tunnistukseen, ajantasaisiin käyttöjärjestelmäpäivityksiin ja yritysdatan eristämiseen erilliseen hallittuun säiliöön (konttiin).

Jotta riskejä voidaan rajata ilman, että työntekijöiden yksityisyyden suojaa loukataan (Tietosuojavaltuutetun toimiston ja GDPR-sääntelyn mukaisesti), tietoturvatiimin on asetettava selkeät tekniset reunaehdot.

1. Vahva lukitus ja automaattinen laitesalaus

Yksinkertainen pyyhkäisykuvio tai nelinumeroinen koodi kuten "1234" murtuu sekunneissa. Pääsy yrityksen palveluihin tulee rajata laitteisiin, joissa on vähintään monimutkainen alfanumeerinen koodi tai biometrinen tunnistus (sormenjälki, kasvojentunnistus) sekä automaattinen lukitus korkeintaan minuutin toimettomuuden jälkeen. Puhelimen laitteistotason tallennustilan salauksen on oltava aina päällä.

2. Datan eristäminen sovellushallinnalla (MDM / MAM)

Mobiilisovellusten hallinnan (MAM) avulla henkilökohtaiseen puhelimeen luodaan eristetty yrityskontti. Työdata pysyy tiukasti tämän salatun osion sisällä. Tekstin kopiointi ja liittäminen henkilökohtaisen puolen sovelluksiin voidaan estää, ruutukaappaukset kieltää ja ylläpito voi etänä pyyhkiä pelkän yritysosion puhtaaksi koskematta käyttäjän omiin kuviin tai yksityisviesteihin.

3. Automaattiset tietoturvapäivitykset

Päivittämätön mobiilikäyttöjärjestelmä sisältää lukuisia tunnettuja haavoittuvuuksia. Pääsy organisaation järjestelmiin on kytkettävä ehtoon, jonka mukaan laitteessa on valmistajan tukema ja tuorein saatavilla oleva käyttöjärjestelmäversio.

Katoaminen, varkaus ja poikkeamat: Miten luodaan välittömän ilmoittamisen kulttuuri?#

Tekniset suojaukset kohtaavat rajansa, kun inhimillinen arki yllättää: puhelin unohtuu taksiin, varastetaan kahvilan pöydältä tai katoaa junamatkalla. Kriittisessä tilanteessa työntekijän ensimmäinen reaktio ratkaisee vahinkojen laajuuden.

Liian usein moitteiden pelko tai turha toivo puhelimen löytymisestä viivästyttää ilmoituksen tekemistä tunneilla tai jopa päivillä. Jokainen menetetty minuutti antaa väärinkäyttäjälle mahdollisuuden purkaa suojauksia, irrottaa SIM-kortti tai hyödyntää auki jääneitä istuntoja yritysverkkoon murtautumiseen.

Tämän viiveen poistamiseksi organisaatioon on rakennettava syyllistämätön turvallisuuskulttuuri:

• Ilmoittamisen normalisointi: Työntekijän on tiedettävä varmasti, että työkäytössä olevan laitteen katoamisesta ilmoittaminen ei johda rangaistuksiin tai hankaluuksiin.
• Yksinkertainen hätämenettely: IT-tuen tai tietoturvatiimin päivystysnumeron ja ilmoituskanavan tulee olla helposti saatavilla myös silloin, kun oma puhelin ei ole käytettävissä.
• Pääsyjen välitön sulkeminen: Kun ilmoitus saapuu, IT-tiimi mitätöi laitteen aktiiviset istuntotunnisteet, poistaa siihen liitetyn monivaiheisen tunnistautumisen käytöstä ja käynnistää yritystietojen etätyhjennyksen.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Cyber Cup

Miten koulutat henkilöstöstä mobiilitietoturvan etulinjan?#

Kymmenien sivujen pituisia tietoturvaohjeistuksia ei lue kukaan ajatuksella läpi. Jotta oikeat toimintamallit juurtuisivat osaksi mobiiliarkea, tarvitaan osallistavaa ja kokemuksellista oppimista.

Pelillinen lähestymistapa tekee eron perinteiseen kalvosulkeiseen. Kun työntekijät asettuvat käytännön tilanteisiin interaktiivisten haasteiden kautta, oikeat refleksit jäävät muistiin huomattavasti tehokkaammin.

Brain Securityn Cyber Cup tuo henkilöstölle pelihallityylisen, tiimeissä pelattavan tietoturvakilpailun. Nopeat 3 minuutin pelit ja reaaliaikainen tulostaulu haastavat työntekijät tunnistamaan mobiilikalastelua, petollisia sovelluksia sekä toimimaan oikein laitteen katoamistilanteessa. Työkalu on suoraan saatavilla itsepalveluna, ja sen mukana tulee 5 ilmaista kokeilupaikkaa ilman luottokorttia, joten innostavan haasteen käynnistäminen onnistuu vaivattomasti.

BYOD-tietoturvassa ei ole kyse mobiilityön kieltämisestä, vaan työkalujen ja ymmärryksen antamisesta jokaiselle työntekijälle, jotta vaarat tunnistetaan ennen vahingon tapahtumista.

Haluatko kartoittaa organisaationne osaamistason mobiiliturvassa ja rakentaa vaikuttavan koulutuskokonaisuuden? Ota meihin yhteyttä ja keskustele asiantuntijoidemme kanssa tietoturvakulttuurin kehittämisestä.

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Kyberkriisiryhmän roolit ja johtaminen: kuka tekee mitä häiriötilanteessa? (Cyber Crisis & Ransomware) : Miten organisoida kyberkriisiryhmä johtoryhmän ja IT:n välillä? Opi roolijako, lokikirjan pito ja päätöksenteon aikataulutus kyberhyökkäyksessä.
• Tiedon luokittelu: Miten suojata arkaluonteinen data käytännössä (Cyber Crisis & Ransomware) : Opi toteuttamaan tiedon luokittelu ilman raskaita matriiseja. Rakenna henkilöstölle selkeät toimintamallit arjen työn tueksi.
• Miksi johtoryhmän on koettava simuloitu kyberkriisi ennen todellista myrskyä (Cyber Crisis & Ransomware) : Opi mitä kriittisiä päätöksiä johtoryhmän on tehtävä kyberkriisissä: lunnasvaatimukset, tuotannon alasajo ja viranomaisilmoitukset aikapaineen alla.
• Sosiaalinen manipulointi ammatillisissa verkostoissa: Kun valeura kätkee tietomurron (Phishing & Social Engineering) : Opi miten kyberrikolliset hyödyntävät ammatillisia verkostoja, virittävät valetyötarjouksia asiantuntijoille ja murtavat yrityksen suojauksen.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Cyber Cup : Sisäinen kyberturvallisuusturnaus: lyhyet tiimiottelut, jotka juurruttavat tietoturvataidot osaksi arkea.
• Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)