Välittömät toimenpiteet yrityksen tietoturvalle

1. Tietoturvasuunnitelma

Yrityksen johdon tulee laatia suunnitelma, jossa määritellään kriittiset tiedot ja toiminnot tärkeysjärjestyksessä. Johdon tulee päättää kuka tai mikä taho vastaa niiden suojaamisesta.

Johdon pitää varmistaa, että ulkopuolisilla palveluntarjoajilla on samat tiedot ja että he noudattavat tehtyä suunnitelmaa. Häiriötilanteissa toimintojen palauttamisen tulee perustua etukäteen määriteltyyn, dokumentoituun sekä harjoiteltuun suunnitelmaan.

2. Riittävät resurssit

Yrityksellä tulee olla riittävät resurssit tietoturvan varmistamiseen ja tarvittavien toimenpiteiden toteuttamiseen. Yrityksen johdon tulee olla tarvittaessa tavoitettavissa kriittisten päätösten toteuttamiseksi.

3. Henkilöstön osaaminen

Selkeillä ja helposti ymmärrettävillä tietoturvakäytännöillä ja -ohjeilla sekä henkilökunnan säännöllisillä koulutuksilla parannetaan tietoturvakäytäntöjen noudattamista ja toteutumista.

4. Tietoturvaratkaisujen toiminta

Tietoturvaratkaisujen toiminnasta pitää huolehtia jatkuvasti. Erityisesti on huomioitava, että tietoturvaratkaisut

• on asennettu oikein kaikkialle

• ovat toimintakuntoisia

• päivitetään säännöllisesti

5. Riittävän vahvat tunnistautumismenetelmät

Riittävän vahvaan tunnistautumiseen tulisi panostaa erityisesti arkaluonteisia toimintoja ja tietoja sisältävissä ohjelmistoissa. Varmistakaa, että

• laitteiden ja järjestelmien oletussalasanat on vaihdettu vahvoihin salasanoihin.

• kaikkiin julkisesta verkosta tavoitettaviin organisaation resursseihin vaaditaan aina vahva monivaiheinen tunnistautuminen (MFA).

• korkeamman turvallisuustason ympäristöjen etäyhteysratkaisuiden (VPN) tietoturvaan tulee kiinnittää erityistä huomiota. Näitä ympäristöjä tulee myös valvoa ja varmistaa ettei esimerkiksi henkilöstön tai kumppanien toimesta ole otettu käyttöön etäyhteysratkaisuita ilman hyväksyntää.

6. Tiedon siirtoon liittyvä turvallisuus

Yrityksen tieto liikkuu verkossa - sekä omassa sisäverkossa että internetissä. Huolehtikaa, että verkot, verkkolaitteet ja määritykset on valittu ja toteutettu asianmukaisesti, sekä pidetty ajan tasalla. Huolehtikaa sähköpostin ja muun internetliikenteen turvallisuudesta.

7. Fyysinen tietoturva

Luokitelkaa kaikki yrityksen toimintoihin ja tietoihin liittyvät tilat eri ja huolehtikaa niiden kulunvalvonnasta, murtosuojauksesta ja lukituksista.

8. Tapahtumien havainnointi ja analysointi

Varmistakaa kyky havaita kriittisiin ympäristöihin kohdistuvia tietoturvapoikkeamia. Lokitietoa tulee kerätä sellaisista laitteista, ohjelmistoista ja tietokannoista, joita hyökkääjä voisi käyttää hyväkseen. Lokitiedot tulee suojata mahdollisen tunkeutujan vaikuttamiselta.

9. Tiedottakaa havaituista uhkista

Jos havaitsette tietoturvauhkia, tiedottakaa niistä Kyberturvallisuuskeskukselle.