Sisäinen uhka kyberturvallisuudessa : erota huolimattomuus ja ilkivalta

SIEM-valvontanäyttö hälyttää punaisella perjantaina kello 18.30. Tiedostopalvelimelta siirtyy poikkeuksellisen suuri datamäärä kuluttajille suunnattuun julkiseen pilvipalveluun. Tietoturvatiimin ensireaktio heilahtelee tyrmistyksen ja epäluulon välillä: onko kyseessä teollisuusvakoilu, harkittu kosto työnantajalle vai yksinkertaisesti työpaikkaa vaihtava asiantuntija, joka haluaa tallentaa omat esityspohjansa talteen? Tämä epävarmuus tiivistää täydellisesti sen haasteen, jota sisäiset uhat (insider threats) aiheuttavat organisaatioille päivittäin.

CISOlle, tietoturvajohdolle ja johtoryhmälle tapahtuman nopea ja oikea luokittelu on sekä operatiivinen että juridinen välttämättömyys. Jos huolimatonta työntekijää kohdellaan rikollisena hakkeroijana, sisäinen luottamusilmapiiri murenee välittömästi. Toisaalta tahallisen ilkivallan vähättely altistaa yrityksen kriittisille tietovuodoille ja aineettoman pääoman menetykselle. Vilpittömän erehdyksen ja harkitun väärinkäytöksen välisen rajan ymmärtäminen on tasapainoisen syväpuolustuksen perusta.

Kuinka suuri osa sisäisistä poikkeamista johtuu inhimillisestä virheestä tahallisuuden sijaan?#

Tiivistelmä : Kansainvälisten kyberturvallisuusraporttien mukaan lähes 75 prosenttia sisäisistä tietoturvaloukkauksista johtuu tahattomasta huolimattomuudesta tai inhimillisestä erehdyksestä, ja vain noin neljännes kytkeytyy todelliseen vahingoittamistarkoitukseen tai luottamuksellisen datan tietoiseen varkauteen.

Käytännön arki kumoaa usein elokuvamaiset skenaariot soluttautuneista myyristä. Valtaosassa tapauksista sisäisen poikkeaman laukaisee ohjeistusten puute, väsymys tai kiireessä haettu työn sujuvuus, jolloin vakiintuneita turvakäytäntöjä kierretään omatoimisesti.

Digitaalisessa tutkinnassa erottuu tyypillisesti kolme selkeää profiilia:

• Kiireinen oikaisija : Tehdäkseen töitä viikonloppuna tai viimeistelläkseen esityksen kotikoneellaan hän lähettää luottamuksellisia taulukoita henkilökohtaiseen sähköpostiinsa tai siirtää niitä omaan pilvitallennustilaansa. Vahingoittamisen halua ei ole, mutta tietoturva-aukko on todellinen.
• Naiivi lähtijä : Muutamaa päivää ennen irtisanoutumistaan hän kokoaa USB-muistitikulle omia tuotoksiaan, projektiraporttejaan ja usein täysin ajattelemattomasti myös asiakaslistoja tai ohjelmistokoodia. Työntekijälle kyseessä on viaton työnäytekansio, mutta organisaatiolle kyse on massiivisesta aineettoman omaisuuden luvattomasta viennistä.
• Todellinen pahantahtoinen toimija : Hän toimii suunnitelmallisesti, usein taloudellisen hyödyn, työnantajaa kohtaan koetun katkeruuden tai kilpailijalta saadun tarjouksen motivoimana. Hän pyrkii peittämään jälkensä, nostaa käyttöoikeuksiaan ja lataa järjestelmistä aineistoa, jolla ei ole mitään yhteyttä hänen omiin työtehtäviinsä.

Miten arvioida epäilyttävää toimintaa objektiivisesti ilman liiallista valvontaa?#

Tiivistelmä : Erottelu perustuu kolmeen havaittavaan kriteeriin : käyttöoikeuksien loogisuuteen suhteessa päivittäisiin työtehtäviin, tietoisiin teknisiin peittelyyrityksiin sekä työntekijän reaktioon, kun hänet kohdataan poikkeavien lokitietojen perusteella.

Teknisen analyysin on aina edeltävä inhimillistä arviointia. Johdonmukainen menetelmä estää aiheeton epäilyksen ilmapiirin syntymisen ja suojaa samalla yrityksen liiketoimintakriittisiä etuja.

1. Ajallinen yhteys henkilöstöhallinnon tapahtumiin

Luotettavin hälytysmerkki liittyy usein työntekijän elinkaareen yrityksessä. Irtisanoutumisilmoitus, evätty ylennys, muutosneuvottelut tai organisaatiouudistukset ovat kriittisiä vaiheita. Auditointitiedot osoittavat, että tiedostojen massakopiointi ajoittuu erittäin usein viimeiseen kolmeenkymmeneen päivään ennen lähtöilmoituksen virallistamista.

2. Tekninen toimintatapa

Huolimaton työntekijä käyttää yksinkertaisimpia ja näkyvimpiä työkaluja: suoraa kansion synkronointia, sähköpostia tai tunnettuja kuluttajapilviä. Sitä vastoin pahantahtoinen työntekijä suosii pakattujen tiedostojen salausta, automaattisia komentosarjoja (skriptejä), luvattomia siirrettäviä sovelluksia tai tiedostopäätteiden muuttamista DLP-suodattimien (Data Loss Prevention) harhauttamiseksi.

3. Oikeasuhtaiset tekniset suojatoimet

Riskien hallitsemiseksi työntekoa lamauttamatta tarvitaan tiettyjä rakenteellisia toimenpiteitä:

• Minimioikeuksien periaate (Least Privilege) : Tarpeettomat käyttöoikeudet on suljettava viipymättä heti, kun työntekijän lähtö vahvistuu.
• Irrotettavien tallennusvälineiden rajoitukset : Oletusarvoinen kirjoituskielto salaamattomille USB-muisteille työasemilla.
• Selkeä ja dokumentoitu läpinäkyvyys : Henkilöstölle on viestittävä avoimesti lokituksesta ja valvontaperiaatteista siten kuin Tietosuojavaltuutetun toimisto ja EU:n yleinen tietosuoja-asetus (GDPR) edellyttävät.

Millainen inhimillinen strategia purkaa tahattoman tiedonsiirron riskit?#

Teknologia yksin ei ratkaise tilannetta, jossa asiantuntija siirtää työtiedostoja kotiin vain siksi, ettei ymmärrä immateriaalioikeuksien kuuluvan yritykselle. Tehokkain vastaus on jatkuva, dynaaminen ja syyllistämätön turvallisuuskulttuurin rakentaminen.

Puuduttavien ja pakollisten kalvosulkeisten sijaan, jotka kuitataan läpi lukematta, tietoturvatiimien kannattaa tarjota lyhyitä ja mieleenpainuvia formaatteja, jotka juurruttavat oikeat toimintamallit arkeen. Juuri tähän perustuu Cyber Cup, arcade-tyylinen tiimipohjainen tietoturvakilpailu. Intensiiviset 3 minuutin pelit ja reaaliaikainen tulostaulu tekevät konkreettisista teemoista, kuten tietovuodoista, omien laitteiden käytöstä ja työsuhteen päättymisen pelisäännöistä, yhteisöllisen ja innostavan kokemuksen.

Kun sisäisestä tietoturvasta riisutaan turha mystiikka, kynnys kysyä neuvoa madaltuu ennen kuin vahinko ehtii tapahtua: työntekijä, joka ymmärtää luvattoman tiedonsiirron juridiset ja tekniset riskit, ei tarvitse jatkuvaa valvontaa, vaan hänestä tulee oman vastuualueensa vahvin puolustaja.

Haluatteko uudistaa organisaationne tietoturvakoulutuksen ja puuttua sisäisiin uhkiin suoraan niiden juurisyissä? Keskustelkaa tarpeistanne asiantuntijoidemme kanssa ja rakennetaan yrityksellenne sopiva kokonaisuus.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Cyber Cup

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Yksittäisestä klikkauksesta verkkotunnuksen hallintaan: Cyber Kill Chain selitettynä johtoryhmälle (Cyber Crisis & Ransomware) : Miten tietojenkalastelu pysäyttää koko organisaation? Opi selittämään kyberhyökkäysketju johtoryhmälle ilman teknistä jargonia ja hanki tuki investoinneille.
• BYOD ja alypuhelimet tyokaytossa: Kultaiset saannot yritysdatan suojaamiseen (Cyber Crisis & Ransomware) : Opi suojaamaan yrityksen data BYOD-kaytossa. Tunnista sahkopostin mobiiliriskit, MDM-ratkaisut ja henkiloston koulutuksen parhaat kaytannot.
• Tiedon luokittelu: Miten suojata arkaluonteinen data käytännössä (Cyber Crisis & Ransomware) : Opi toteuttamaan tiedon luokittelu ilman raskaita matriiseja. Rakenna henkilöstölle selkeät toimintamallit arjen työn tueksi.
• Nollakitka: Miten salasanaton paasy moninkertaistaa kybertietoisuuden osallistumisasteen (Gamification) : Poista kirjautumisen esteet ja nosta henkiloston osallistumisastetta kyberturvakampanjoissa. Lue CISOn opas kitkattomaan kyberkoulutukseen.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Cyber Cup : Sisäinen kyberturvallisuusturnaus: lyhyet tiimiottelut, jotka juurruttavat tietoturvataidot osaksi arkea.
• Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)