küberturvalisus Archives < Visioline Infra OÜ

ESET on uus

Kristi Neidra — Tue, 30 May 2023 10:48:53 +0000

1. ESET Secure mode Sinu lemmikbrauseritele, et tagada turvalisus veebis ostlemisel, mängimisel ja suhtlemisel.

ESET on alati kaitsnud teie võrgutehinguid krüptitud ESET-i turvalises brauseris. Nüüd on see spetsiaalne turvarežiim saadaval ka teiste brauserite jaoks, et hoida teid turvalisena nii ostlemisel, mängides kui ka võrgus suhtlemisel.

* Saadaval ESET Internet Security ja ESET Smart Security Premium litsentsidel.

2. Sinu kontod on kaitstud häkkerite rünnakute eest, mis üritavad Sinu paroole varastada.

ESET täiendas oma Brute Force Attack Protection funktsiooni, mis blokeerib rünnakud, mis üritavad teie paroole ära arvata ja teie kontodele sisse pääseda, sisestades suure hulga varem häkitud paroole – see on üks levinumaid meetodeid, mida häkkerid paroolide varastamiseks kasutavad.

* Saadaval ESET Internet Security ja ESET Smart Security Premium litsentsidel.

3. Täiustatud mobiilikaitse SMS-i skannimise ja muuga.

Spetsiaalselt teie Android-seadmete jaoks loodud ESET Mobile Security sisaldab nüüd järgmist:

• Anti-Smishing (SMS Phishing) funktsioon, mis kontrollib teie sissetulevaid SMS-e ja märguandeid ohtlike linkide leidmiseks.
• Android 13 tugi.
• Kasutajasõbralik uus halduskeskkonna disain.

Praegu arendatakse iOS-i jaoks mõeldud ESET-i kaitset.

* Seniks vaata näpunäiteid, kuidas oma iPhone’i ja iPadi kaitset tõhustada.

4. Kiiremad ja turvalisemad võrgud tänu täiustatud ruuterikaitsele.

Ärge laske aeglasel Internetil oma elu segada. See võib olla põhjustud liigsetest seadmetest, mis üritavad korraga teie koduvõrguga ühendust luua.

ESET Network Inspector võimaldab teil:• Kontrollida, mitu seadet koduvõrgus töötab.
• Saate märguande, kui uus seade proovib ühendust luua.
• Testida oma ruuterit haavatavuste suhtes ja hankida soovitusi võimalike probleemide lahendamiseks.

* Saadaval ESET Internet Security ja ESET Smart Security Premium jaoks.

5. Uus tume režiim ja täiustatud armatuurlauad pakuvad kasulikke kiirlinke ja lihtsat turbeoleku ülevaadet.

6. Lihtsustatud turbehaldus koos ESET HOME üldise kaitseolekuga.

ESET-i kasutajakeskuse ESET HOME uusim versioon sisaldab nüüd järgmist:
• Kahefaktoriline autentimine sisselogimisel.
• Tugevdatud parooliga autentimine.
• Üldine kaitse olek on nähtav otse avakuval, et hoida teid pidevalt oma turvatasemega kursis.

7. Suurepärane lunavarakaitse Inteli-põhistele arvutitele, säilitades samal ajal teie süsteemi üldise jõudluse kõrgel tasemel.

See uus kaitsekiht pakub Inteli-põhistele arvutitele suurepärast lunavarakaitset.

Kuidas?

Intelligentsi võimendamine protsessori tasemel on tõhus viis pahatahtliku tegevuse jälgimise parandamiseks. See tähendab, et ESET suudab lunavara kiiremini paljastada, isegi kui see püüab vältida mälus tuvastamist.

8. Kõigi aegade lemmik – Gamer mode (mänguri režiim), mis aitab teil keskenduda oma tähtsatele ülesannetele.

Kõigi ESET-i toodete jaoks saadaval olev funktsioon Gamer režiim aitab teil segamatult arvutis tegutseda. See blokeerib kõik hüpikaknad ja väldib arvuti aeglustumist, minimeerides protsessori kasutust. Kaitse töötab taustal, kuid ei nõua suhtlemist.

Kasutage seda mängides või koosolekute/ettekannete ajal.

Kõik need värskendused täiustavad ESET-i olemasolevat 16 kaitsekihti, mis on üles ehitatud pidevale küberturvalisuse uurimisele.

The post ESET on uus appeared first on Visioline Infra OÜ.

Tark tulemüür

Raul Orav — Wed, 08 Mar 2023 15:04:24 +0000

Mis on Tark tulemüür?

Tänapäeval, mil veebis on palju pahatahtlikke rünnakuid, on kiire ja tõhus kaitsesüsteem väga oluline. Smart firewall‘i e (Tark tulemüür) ja sügavat paketiinspektsiooni kasutamine võimaldab teil turvalise ühenduse loomiseks vajalikke kaitsemeetmeid kasutada.

Smart firewall‘i e (Tark tulemüür) kasutamine võimaldab teil tagada, et teie veebisüsteemile ei pääse läbi pahatahtlikke rünnakuid. See aitab vähendada veebis kahjuliku tegevuse riski, sest selle abil saab tuvastada ja blokeerida pahatahtlikke pakette. Lisaks takistab see kasutajate pahatahtliku juurdepääsu ja kaitseb nende andmeid. Sügav paketiinspektsioon võimaldab teil tuvastada ja blokeerida pahatahtlikke pakette ning nende sisu. See tähendab, et teil on võimalik ära tunda ja blokeerida pahatahtlikke rünnakuid, näiteks veebisaitidele kahjulike faile laadida püüdnud ründajaid.

Sügav paketiinspektsioon võimaldab teil ka kontrollida liiklusvooge ja tuvastada kahtlaseid liiklusmudeleid. See tähendab, et teil on võimalik tuvastada ja blokeerida pahatahtlikke liiklusvoogusid, mis võivad olla põhjustatud näiteks pahatahtlikest rakendustest.

Smart firewall‘i e (Tark tulemüür) ja sügava paketiinspektsiooni kasutamine võimaldab teil kõrge tasemega kaitse saada. See tähendab, et teil on võimalik tuvastada ja blokeerida pahatahtlikke rünnakuid ja samal ajal kontrollida veebi liiklust ja tuvastada kahtlaseid liiklusmudeleid. See aitab vähendada veebi turvariski ja tagab, et teie veebisüsteem on hästi kaitstud.

Mida Tark tulemüür teeb?

1. Tugev kaitsmine viiruste ja muude pahavara vastu.

2. Keelduva ligipääsu kontrolli võimaldamine.

3. Võime tuvastada ja blokeerida pahatahtlikke pakette.

4. Andmete krüpteerimise võimalus.

5. Võime välja selgitada ja blokeerida potentsiaalselt ohtlikke pakette.

6. Võime tuvastada ja blokeerida pahavara sissetungi.

7. Võime tuvastada ja blokeerida pahatahtlikke veebisaitide pääsud.

8. Võime tuvastada ja blokeerida ebaseaduslikke tegevusi.

9. Võime tuvastada ja blokeerida pahatahtlikke reklaame.

10. Võime tuvastada ja blokeerida pahatahtlikke e–kirju.

11. Võime tuvastada ja blokeerida pahatahtlikke faile.

12. Võime tuvastada ja blokeerida pahatahtlikke protokollide kasutamist.

13. Võime tuvastada ja blokeerida pahatahtlikku rämpsposti.

14. Võime tuvastada ja blokeerida pahatahtlikke HTTP–pykse.

15. Võime tuvastada ja blokeerida pahatahtlikke päringuid.

16. Võime tuvastada ja blokeerida pahatahtlikke voogedastusi.

17. Võime tuvastada ja blokeerida pahatahtlikke skripte.

18. Võime tuvastada ja blokeerida pahatahtlikke veebisaitide sinist kasti.

19. Võime tuvastada ja blokeerida pahatahtlikke püüniseid.

20. Andmete ja süsteemide turvalisuse täiendamine.

Veel infot tulemüüri kohta siit.

The post Tark tulemüür appeared first on Visioline Infra OÜ.

IT turvalisus ja mille üle mõelda

Raul Orav — Thu, 16 Feb 2023 10:33:50 +0000

Arvutikasutajatel, IT-tehnikutel ja ettevõtte IT-töötajatel on kõigil oluline roll turvalise arvutuskeskkonna säilitamisel. Kasutaja seisukohast on oluline hoida seadmed ja andmed turvalisena, kasutades tugevaid paroole, vältides pahavara ja mitte klõpsates kahtlastel linkidel. IT-tehnikud vastutavad võrgu turvalisuse eest, sealhulgas tulemüüride ja viirusetõrjetarkvara konfigureerimise ja hooldamise eest, haavatavate süsteemide lappimise ja kasutajate harimise eest ohutute andmetöötlustavade osas. Lõpuks peaksid organisatsiooni IT-töötajad tagama, et kõik süsteemid on nõuetekohaselt kaitstud, neid regulaarselt jälgitakse ning et paigas on asjakohased turvapoliitikad ja -protseduurid. Need on vaid mõned näited sellest, kuidas organisatsiooni erinevad sidusrühmad peavad kokku tulema, et tagada IT-turvalisuse nõuetekohane käsitlemine. Tegelikkuses tuleks neid teemasid pikalt arutada, et kõik sidusrühmad oleksid üksmeelel võrgu turvalisuse parimal viisil.

Arvutikasutaja turvalisus

1. Kasutage tugevaid paroole ja värskendage neid regulaarselt.

2. Võimalusel lubage kahefaktoriline autentimine.

3. Installige ja värskendage viiruse- ja pahavaratõrjetarkvara.

4. Olge ettevaatlik kahtlaste meilide, linkide ja manuste suhtes.

5. Ärge jagage võrgus tundlikku teavet.

6. Varundage olulised andmed.

7. Kasutage turvalist veebibrauserit.

8. Hoidke oma operatsioonisüsteem ja rakendused ajakohased.

9. Olge avalike WiFi-võrkude kasutamisel ettevaatlik.

10. Kasutage virtuaalset privaatvõrku (VPN).

11. Vältige kahtlastel hüpikakendel klõpsamist.

12. Ärge jätke oma arvutit järelevalveta.

13. Ärge kasutage jagatud arvuteid tundlike tegevuste jaoks.

14. Ärge laadige alla volitamata tarkvara.

15. Kasutage tulemüüri.

16. Kaitske oma mobiilseadmed.

17. Logige pärast kasutamist kõikidelt kontodelt välja.

18. Kasutage turvalisi makseviise.

19. Ärge salvestage oma arvutisse tundlikku teavet.

20. Ärge avage tundmatute saatjate e-kirju.

IT tehniku turvalisus

1. Süsteemidele ja andmetele juurdepääsu andmisel järgige minimaalsete privileegide põhimõtet.
2. Muutke regulaarselt kõigi süsteemide ja rakenduste vaikeparoole.
3. Kasutage tugevaid paroole, millel on mitut tüüpi tähemärki ja vahelduv korrapära.
4. Rakendage võrkudele ja tundlikele andmetele juurdepääsuks kahefaktoriline autentimine.
5. Looge ja haldage kogu riist- ja tarkvaravara inventuuri.
6. Piirake füüsilist juurdepääsu süsteemidele, võrkudele ja andmetele ainult volitatud töötajatele.
7. Rakendage mobiilseadmete halduspoliitikat kõigi ettevõtete võrkudele juurdepääsuks kasutatavate seadmete jaoks.
8. Tehke regulaarselt turvavigade tuvastamiseks turvaaukude kontrolli ja läbitungimisteste.
9. Jälgige võrguliiklust kahtlaste tegevuste suhtes.
10. Rakendage tarkvara paikade haldust, et tagada süsteemide ja rakenduste ajakohasus.
11. Kasutage viirusetõrjetarkvara, et kaitsta süsteeme pahatahtliku tarkvara ja tegevuse eest.
12. Koolitage töötajaid küberjulgeoleku parimate tavade kohta ja teadvustage neid võimalikest ohtudest.
13. Jälgige kasutajate juurdepääsu süsteemidele ja andmetele ning jälgige väärkasutamist.
14. Rakendage kõigi edastatavate ja puhkeolekus olevate andmete krüpteerimine.
15. Kasutage välisohtude eest kaitsmiseks turvalist tulemüüri.
16. Konfigureerige turvaliselt kõik süsteemid, võrgud ja rakendused.
17. Seadistage sissetungimise vältimise süsteem, et tuvastada ja vältida pahatahtlikku tegevust.
18. Varundage kriitilisi andmeid ja süsteeme sageli, et tagada ründe korral taastamine.
19. Kasutage konfidentsiaalsete andmete jälgimiseks ja kaitsmiseks andmekao vältimise süsteeme.
20. Koostage reageerimisplaan ja harjutage avariitaaste stsenaariume.

Vastutav IT töötaja turvalisus

1. Tagage, et kõiki IT-süsteeme jälgitaks regulaarselt ja uuendataks kõrgeima turbetaseme säilitamiseks.
2. Kasutage IT-turbe mitmekihilist lähenemist, sealhulgas tulemüüre, krüptimist, paroolikaitset ja muid meetmeid.
3. Luua selged põhimõtted ja protseduurid konfidentsiaalse teabe ohutuks käitlemiseks.
4. Harida töötajaid IT-turbepoliitika ja -protseduuride osas ning tagada nende järgimine.
5. Kasutage ettevõtte andmete kaitsmiseks turvalist andmete varundussüsteemi.
6. Piirake juurdepääs tundlikele andmetele ainult neile, kellel on õigustatud teadmisvajadus.
7. Võrgu kaitsmiseks pahatahtliku tarkvara eest kasutage uusimat pahavara- ja viirusetõrjetarkvara.
8. Kontrollige regulaarselt süsteeme haavatavuste leidmiseks ja kõrvaldage tuvastatud riskid.
9. Rakendage kõigi kasutajate jaoks kahefaktoriline autentimine.
10. Kasutage andmete kaitsmiseks edastamise ajal krüptimist.
11. Kehtestage mobiilseadmete halduspoliitika tagamaks, et kõik töötajate kasutatavad mobiilseadmed on turvalised.
12. Looge paikade haldamise poliitika ja veenduge, et kõik süsteemid on ajakohased.
13. Kasutage klientide andmete kaitsmiseks turvalist veebisaiti.
14. Rakendage tugevat paroolipoliitikat ja veenduge, et kõiki paroole vahetataks regulaarselt.
15. Koostage intsidentidele reageerimise plaan, et lahendada kõik ilmnevad IT-turbeintsidendid.
16. Kasutage pahatahtlike veebisaitide eest kaitsmiseks veebifiltreerimislahendust.
17. Jälgige kasutaja tegevust võrgus, et tuvastada kahtlane tegevus.
18. Veenduge, et kõik kolmandatest osapooltest müüjad ja tarnijad järgiksid ettevõtte IT-turbepoliitikat.
19. Kasutage läbitungimistestisüsteemi, et testida IT-turvasüsteemide nõrkusi.
20. Tagada, et kõik IT-süsteemid vastavad asjakohastele valdkonna eeskirjadele ja standarditele.

Meie kontakt siit.

The post IT turvalisus ja mille üle mõelda appeared first on Visioline Infra OÜ.

Cyber Security Policy (CSP)

Raul Orav — Wed, 29 Jun 2022 14:31:44 +0000

IT küberturvalisuse poliis (näide)

I. IT küberturvalisuse poliis – tutvustus ja eesmärk

Käesolev IT küberturvalisuse poliis tagab kliendile, et tema ettevõtte, koostööpartnerite ja töötajate andmed on kaitstud nii inimlike eksimuste, kui pahatahtlike küberünnakute eest. Poliis kirjeldab kõiki meetmeid, mida rakendame, et minimeerida turvariske ja tagada kliendi infosüsteemide jätkusuutlikkus.

Küberturvalisus on oluline, sest kõik organisatsioonid salvestavad, koguvad ja töötlevad suures mahus andmeid, sealhulgas tundlikumat infot, nagu intellektuaalne omand, finantsinfo või isikuandmed. Infot, mille jõudmisel volitamata isikute kätte, võib olla negatiivseid tagajärgi.

Poliisi kehtestanud ettevõte ja selle töötajad jälgivad küberturvalisuse nõudeid. Kehtiv poliis vaadatakse üle vähemalt üks kord aastas, vajadusel tihenimi.

IT küberturvalisuse poliis jälgib ettevõtte riskianalüüsis püsitatud küsimusi. Käesolev poliitika kehtib ettevõtte juhatuse liikmetele ja töötajatele, kellel on püsiv või ajutine juurdepääs ettevõtte süsteemidele ja riistvarale.

II. Konfidentsiaalsed andmed

Ettevõtte töö tegemiseks on vajalikud järgmised andmed:

Ettevõtte sisesed dokumendid
Ettevõtte finantsandmed
Klientide dokumendid ja finantsandmed
Partnerite dokumendid
Töötajate andmed
Ligipääsuandmed, sh ligipääsuandmed teistesse süsteemidesse

III. IT ülevaataja roll

Ettevõttes on olemas IT ülevaataja, kes kontrollib regulaarselt/perioodiliselt erinevate rutiinsete IT tööde või protsesside täitmist ja selle kvaliteeti, juhib tähelepanu ja teavitab tõrgetest.

IT ülevaataja kontrollib süstemaatiliselt ettevõtte IT süsteemide hetkeseisu, teavitab IT ülesannete täitjaid puudustest, kontrollib puuduste täitmist ja teavitab IT juhti või tema asendajat puudustest, mis tekivad varasemast töö tegemata jätmisest, halvasti täitmisest või töökorralduse puudustest.

IT ülevaataja kontrollib kõiki käesolevas dokumendis kirjeldatud tegevuste tulemusi. IT ülevaataja ülesandeid lisatakse või muudetakse vastavalt vajadustele.

Igale uuele töötajale tutvustatakse poliisi ja juhendatakse käesolevat poliitikat rakendama töölevõtmise ajal. Ettevõtte juhatus vaatab poliitika igal aastal korrapärasel koosolekul üle ning viib sisse vajalikud parandused. IT ülevaataja töö on sisendiks kord kahe aasta jooksul tehtavale põhjalikule IT auditile.

Lisaks kasutajaõiguste kontrollimisele, koostab IT ülevaataja ka ülevaate ettevõttest välja jagatud andmetest ning kontrollib seda koos äripoole vastutava töötajaga. IT ülevaataja kontrollib ka teiste partnerite tööd ning tuvastab, kas töö vastab käesolevale IT küberturvalisuse poliisile.

IV. Töötajate kasutuses olevate seadmete ja andmete kaitse

Ettevõtte töötajad kasutavad tööks ainult ettevõtte omanduses olevaid seadmeid. See tähendab, et andmeid ei saa kasutada seadmetes, mida ettevõte ei halda ega saa vajadusel üle vaadata. Võõrastest seadmetest on ligipääs andmetele võimatu või piiratud.

Täiendavalt kasutame andmete kaitsmiseks järgmisi meetmeid:

Kõik kliendi andmekandjad on krüpteeritud.
Arvutitel on BIOS paroolid.
Lisaks Windowsi paroolile tuleb arvuti käivitamisel sisestada PIN kood.
Arvutitel on keelatud USB seadmed ja teised välised andmekandjad.
Arvutitel on keelatud sleep režiim, kasutatakse vaid hibernate režiimi.
Arvuti siseneb hibernate režiimi vähem kui 10 minutiga.
Kõiki paroole muudatakse regulaarselt, paroolid on piisava keerukusega.
Süsteemidesse sisse logimiseks on vajalik kahetasandiline autentimine (MFA).
Kahetasandiline autentimine käib läbi turvaspetsialisti (kahetasandilise autentimise kood tuleb teiselt inimeselt).
Automaatsed ja regulaarsed manuaalsed operatsioonisüsteemid ja tarkvarauuendused (iga kahe nädala tagant).
Viirusetõrje automaatne ja manuaalne kontroll (iga kahe nädala tagant).
Töötajad ei saa installeerida tarkvara, mis vajab administraatori õigusi.
Arvutitel uuendatakse firmware ja draivereid vähemalt 1 kord aastas või vajadusel tihedamalt.
Töötajad ei tohi anda oma tööarvutit teistele inimestele kasutada, ka pereliikmetele.
Töötajad ei tohi kasutada ega proovida kasutada tarkvarasid, mis pole tööks ettenähtud.
Töötajad ei tohi kasutada oma andmeresursse teistest arvutitest.
E-mailidest ja dokumentidest otsitakse tarkvara abil õngitsuskirju.
Töötajad on instrueeritud ja neile on antud juhend, kuidas hoida IT hügieeni.
Peale igat IT intsidenti või peale igat teenuspäringut tehakse lihtne arvuti kontroll
Ettevõte toob regulaarselt koosolekutel esile küberturvalisuse olulisuse.
Töötaja arvuti andmetest tehakse automaatseid koopiaid 2 korda päevas.
Koopiaid kontrollitakse automaatselt, lisaks perioodiliselt manuaalselt (1 kord kuus).
Arvutites on keelatud installida tööks mittevajalikke rakendusi ja tarkvara.
Töötamiseks väljaspool ettevõtte kontorit kasutatakse vaid VPN ühendust.
Igapäeva tööks ei kasutata Wifi ühendust.
Töötajatele on antud juhend, kuidas ja milliseid vahendeid kasutades võib andmeid ettevõttest väljapoole jagada.
Töötajad ei tohi hoida iseenda isiklikke andmeid tööarvutis, samuti ei ole ühelgi viisil lubatud tööks vajalike seadmete sünkroniseerimine isiklike seadmetega.
Töötajad teavad, kelle poole pöörduda kahtluste või tavatute olukordade puhul arvutiga töötamisel.
Kõiki arvuteid ja süsteeme hallatakse keskselt.
IT intsidendid registreeritakse ja dokumenteeritakse, viidatakse nii riist- kui tarkvarale.
Arvuti kasutaja vahetuse puhul hävitatakse seadmest kõik andmed mitmekordse wipemisega.
Arvuti kaotamise või varastamise puhul teavitab töötaja sellest kohe IT spetsialisti ja otsest ülemust.
Töötaja peab teavitama igast IT spetsialistist, kes soovib hallata ettevõtte IT süsteeme, kui konkreetne spetsialist ei ole lubatud IT spetsialistide nimekirjas. Poliisiga kaitstud seadmeid ei tohi hallata kõrvalised isikud.
Töötaja peab teavitama IT spetsialisti ja enda otsest ülemust, kui on võtnud kasutusele või soovib võtta kasutusele uue tööks vajaliku tarkvara.

Ettevõtte töötajad peavad ettevõtte infosüsteemide kasutamiseks andma nõusoleku, et nad on saanud aru IT süsteemide turvalisuse olulisest ning teavad, kuidas nad võivad ettevõtte andmeid ja IT vara kasutada.

Ettevõtte töötajate tööleping sisaldab kohustust järgida IT küberturvalisuse poliisi ning mitte avaldama ettevõtte IT süsteemide eripärasid ka peale töölepingu lõppemist. Kui tuvastatakse puudus töölepingus, otsustab edasise tegevuse ettevõtte juhtkond.

Soovitame töötajatel teavitada võimalikest rünnakutest, kahtlastest meilidest või andmepüügikatsetest koheselt. Ettevõtte IT-spetsialiste tuleb teavitada võimalikest petuskeemidest, rikkumistest ja pahavarast, selliselt saavad nad parandada IT infrastruktuuri kaitset.

IT-spetsialistid peavad viivitamatult uurima küsimust ning saatma ettevõtteülese hoiatusteate, kui seda vajalikuks peavad.

V. Ettevõtte infosüsteemide kaitse

Ettevõtte IT infrastruktuuris kasutatakse enterprise klassi seadmeid. Kõikide seadmete firmware ja tarkvara uuendatakse vähemalt üks kord poole aasta jooksul (IT juhi erikorraldusel tihemini). Seadmed, mis võivad anda võõrastele ligipääsu ettevõtte andmetele ja on lõpetanud tootetoe, vahetatakse ennetavalt.

Serverite tarkvara uuendatakse vähemalt kord kahe nädala jooksul ning kontrollitakse käsitsi. Serverid, mida saab uuendada automaatselt, uuenevad ise. Serveritel kasutatakse ametlikult toetatud operatsioonisüsteemi, välja arvatud pärandvaral, millele ei ole võimalik väljaspoolt ettevõtte sisevõrku ligi pääseda.

Internetiühendusi, servereid ja võrguseadmeid monitooritakse ning monitooringu teadetest luuakse IT intsidendid, mida käsitlevad spetsialistid vastavalt teenustaseme kokkulepetele. Kui eksisteerib tõrkeid IT riist- või tarkvaras, siis selle kohta saadetakse IT’le teade.

Serverid ja teised andmehoidlad on kaitstud viiruse- ja nuhktõrjetarkvaraga, servereid ja võrgusalvestusseadmeid uuendatakse automaatselt, lisaks kontrollitakse uuendusi vähemalt üks kord kuus manuaalselt. Tuvastatud viirus või nuhkvara salvestatakse teenuse haldustarkvarasse.

Kõik IT infrastruktuuri haldusliidesed on piiratud ligipääsemiseks ainult sisevõrgust või kindlatelt IP aadressidelt. Lisaks rakendatakse kahetasandilist autentimist ka haldusliidestes, mis võimaldavad kahetasandilist autentimist. Serveriruum ja võrgusõlmpunktid on lukustatud ning võtit hoitakse turvalises kohas. Missioonikriitilised seadmed on kaitstud ülepinge kaitsme ja UPS’iga. Olulisemad seadmed on dubleeritud.

IT infrastruktuurist ei suunata väljapoole mitte ühtegi teenust. Avalikud teenused (koduleht ja mailid), hoitakse kolmanda osapoole majutuses (samuti administreeritavad IP piirangu ja kahetasandilise autentimisega). Külalistele mõeldud Wifi asub ettevõtte susevõrgust eraldi võrgus. Ettevõtte infosüsteemi ressursse ei saa kasutada ilma omamata ettevõtte poolt antud arvutit, PIN’i, paroole ja eraldi kinnitatud kahetasandilist autentimist või VPNi.

Vastavalt töö tegemise iseloomule ja arvutivõrgu ehituse iseloomule, võidakse kasutada täiendavaid tarku tulemüüre, mis annavad täiendava kaitse võimalike rünnakute vastu.

Ettevõtte IT infrastuktuuri turvalisust kontrollitakse ja varundatakse seadistused vastavalt IT ülevaatajale koostatud põhjaliku juhendi põhjal. Kirjeldatud juhendit uuendatakse vähemalt kord ühe aasta jooksul, vajadusel tihemini.

VI. Kasutajaõiguste haldamine

Kõik kasutajad on registreeritud kasutajate nimekirjas, kus on näha, millistel kasutajatel, kuhu süsteemiosadesse ligipääs on. Seda tabelit kontrollitakse regulaarselt, lisaks vaatab selle tabeli täiendavalt üle ettevõtte juhtkond vähemalt kord poole aasta jooksul.

Kõikide kasutajaõiguste loomiseks, muutmiseks ja kustutamiseks küsitakse eraldi ettevõtte otsustajalt kirjalik nõusolek. Kasutajaõiguste andmine või muutmine on dokumenteeritud ning talletatakse arhiivi.

Kasutajaõiguste tabel sisaldab informatsiooni selle kohta, kes IT vastutajatest kasutajaõiguseid muutis, millisel põhjusel ning millise kliendi intsidendiga see seotud oli.

Kõrgendatud õigustega ja administraatori taseme õigustega kasutajaid kontrollitakse pärast igat kasutajateõigustega seotud toimingut.

Rakendustarkvarade kasutajaõiguste andmisega tegeleb ettevõtte vastutav töötaja, kes kontrollib, et kasutajaõigused ja grupiõigused ning gruppidesse kuulumine on asja- ja ajakohane. Samuti kontrollib vastutav töötaja, et andmetele saavad ligi vaid need töötajad, kes vajavad andmeid töö tegemiseks. Vastutava töötaja eesmärk on kontrollida ka seda, et rakendustarkvara ei võimaldaks pääseda ligi valedele andmetele.

Kasutajaõiguste andmist või muutmist juhib ja kontrollib ettevõtte juhtkond või tema poolt volitatud isik.

VII. Varundus ja varunduse kontroll

Ettevõtte infovaradest tehakse kord ööpäevas koopia spetsiaalsele kindlaks määratud andmehoidlasse, koopiate autentsust kontrollitakse käsitsi vähemalt üks kord kahe nädala jooksul. Kord ühe kuu jooksul tehakse lisaks veel täiendav käsitsi varukoopia.

Koopia ebaõnnestumise kohta saadetakse vastutavale töötajale teavitus, mis registreeritakse ja hiljem arhiveeritakse. Varunduse intsidentidega töö dokumenteeritakse.

Varunduses arvestatakse sellega, et varundust on vaja ka selleks kui kasutajate ligipääsuandmed lekivad, andmeid on rikutud või kui tekib vajadus leida andmed oluliselt varasemast ajaperioodist.

Ettevõtte sisemiste ohtudega tegelemiseks peamine meetod on piisav arv varukoopiaid (andmete kustutamine, rikkumine või turvaintsidentid).

Iga päev tehakse varukoopiast koopia ka väljapoole ettevõttet, kasutatakse offsite koopiat täiendava varumeetmena. Varundus on dokumenteeritud ettevõtte IT dokumentatsioonis ning iga infovara konfiguratsiooniüksus sisaldab kirjeldust selle kohta kuidas tehakse koopiat ning kuidas varukoopiast taastada.

VIII. Töötajate koolitamine

Uue töötaja lisandumisel juhendatakse töötajat ettevõtte infosüsteemide tööst ja antakse juhised ning soovitused turvaliseks arvuti kasutamiseks. Olemasolevatele töötajatele räägitakse IT turvalisusest uuesti üle vähemalt kord poole aasta jooksul. Töötajaid informeeritakse millised võivad olla tagajärjed kui informatsioon satub võõraste inimeste kätte.

Arvuti käivitamisel peab olema PIN kohustuslik
Ära kasuta oma kasutajatunnuseid mitte üheski teises seadmes
Muuda oma paroole tarkvarades vähemalt kord poole aasta jooksul (rakendused, kus parooli muutmist ei küsita automaatselt)
Ära kirjuta ülesse oma paroole või PIN’e
Ära jaga dokumente või infot väljapoole organisatsiooni kui Sa ei tea mida Sa teed
Ole alati ettevaatlik kui soovid avada kahtlast või tundmatud linki või e-kirja, vajadusel konsulteeri IT toega
Kõikidel arvutitel peab olema seadistatud „hibernation“ (mitte „sleep“)
Kõik välised USB seadmed on piiratud ja keelatud
Eelista alati kasutada võrgukaablit LAN
Hoia oma dokumente kas töölaual või Dokumentide kaustas
Kui Sa näed Drive ikooni juures punast X’i siis võta ühendust IT kasutajatoega
Kui Sa saadad välja väga konfidentsiaalset infot siis krüpteeri andmed enne saatmist
Kui Sa kasutad arvutit väljaspool kontorit siis kasuta alati VPNi
Ära kopeeri või sünkroniseeri andmeid väljaspoole organisatsiooni
Ära kopeeri või sünkroniseeri oma andmeid iseenda isiklikku arvutisse
Palun ära kasuta isiklikke rakendusi või tarkvarasid töö arvutil (sh meelelahutus, näiteks Facebook või Instagram) välja arvatud tööks vajalike juhtudel (turundus, kliendisuhtlus)
Eelista kasutada Microsoft Edge brauserit
Kui Sa näed arvutiekraanil kahtlast teadet siis võta koheselt ühendust IT toega
E-mailide avamisel kontrolli, kas saatja mailiaadress oli õige (tihti tuleb vaadata kuvatava nime taha)
Konsulteeri IT toega kui Sulle tundub, et saadetud info, link või tarkvara on kahtlane
Ära lase ühelgi tehnikul või spetsialistil oma IT asju parandada ilma veendumata, et tal on selleks ettevõtte juhtkonna poolt antud volitus
Ära sünkroniseeri oma arvuti andmeid mobiili, pilve või teise seadmesse ilma omamata selleks kirjalikku volitust.
Kasuta vaid keerulist parooli, vähemalt 10 tähemärki, see peab sisaldama ka numbreid ning suur- ja väiketähti.
Ära jaga Sulle antud paroole mitte kellegiga, sh teiste töötajate või IT spetsialistidega.
Ära kasuta sama salasõna mitmes seadmes.
Ära kasuta isiklikku paroolihalduse tarkvara või mõnda muud tarkvara, mis talletab paroolid – välja arvatud töö arvutisse eelnevalt seadistatud tarkvara.
Anna võimalikult ruttu teada kui Sinu kasutuses olnud riistvara või pilveressurss ei tööta, töötab kahtlaselt või on üle võetud/varastatud.
Kui Sulle tundub, et ettevõtte IT varad on ohus, andmed võivad olla kättesaadavad võõrastele inimestele või mõni tegevus tundub kahtlane siis anna sellest varakult märku
Hoidu tarkvaradest, mis pole tööks ette nähtud.
Ole teadlik, et andmeid võidakse proovida varastada ka sotsiaalse manipulatsiooni teel, sh. telefoni teel, esitledes ennast spetsialistina või saates Sulle kahtlaseid dokumente või linke
Mõtle mida Sa jagad ja kellega! Hoidu kogemata jagamast valesid kaustu või dokumente. Kui eksisid jagamisel siis teavita sellest kiiresti IT tuge
Hoia eemale kahtlastest veebilehtedest või tarkvaradest
E-kirja edastamisel kontrolli topelt saajate nimekirja
Väldi väljaspool kontorit võõrastes kohtades Wifi-t ning eelista hotspoti, seda eriti välismaal või võõrastes kohtades.
Kui Sa kasutad ettevõtte infovarasid mobiilsest seadmest (telefon, iPAD) või mõnest teisest seadmest kui Sulle antud töö arvuti siis peab see seade olema liidetud ettevõtte turvavõrku ning seadme võõrandamisel peab olema seade andmetest puhastatud spetsialisti poolt
Ära edasta kasutajanime ja parooli e-mailiga või läbi sotsiaalmeedia
Kui kasutad tööks sotsiaalmeediat või sõnumiedastustarkvarasid siis uuenda neid regulaarselt või palu abi IT toelt
Ära ühenda oma arvutit mitteusaldusväärse päritoluga irdmeediat (USB pulgad Hiinast, mälukaardid, vms).
Kui peaksid kasutama väliseid andmekandjaid siis hoia neid lukustatud sahtlis või seifis
Ära hoia ühiselt kasutatavatel ressurssidel dokumente, mis pole teistele vajalikud
Hoia varukoopiaid lukustatud seifis või lukustatud serveriruumis
Ära jäta oma arvutit järelevalveta

IX. Sotsiaalne kontroll

Turvalisus peab olema organisatsioonis iga töötaja, mitte ainult IT-spetsialistide ja tippjuhtide murekoht.

Kui ettevõtte töötaja näeb, et ettevõtte andmeid käideldakse valesti või kui andmete konfidentsiaalsus võib sattuda ohtu siis võib töötaja sellest teavitada oma otsest ülemust või IT spetsialiste. IT tugi on toeks vea parandamisel ning ettevõtte juhtkond aitab jõuda parema lahenduseni andmete kaitsmisel.

Töötaja saab anda vihje andmete valest kasutamisest juhtkonnale või IT toele ning vajadusel jääda ka anonüümseks.

Seoses andmete kaitsega on kõigi töötajate toetus vajalik erinevate seaduste ja määruste täitmiseks. Ettevõte kaitseb töötajat kui ta juhib tähelepanu kahtlasele tegevusele ettevõtte infosüsteemis.

Ettevõte julgustab arutlema ja rääkima IT turvalisuse teemadel.

X. Plaan tegelemiseks oluliste IT tõrgetega

Iga töötaja või juhatuse liige, kes on teatud infosüsteemi või selle osa peakasutaja peab olema veendunud, et IT’l on olemas plaan tegelemaks oluliste IT tõrgetega. See plaan peab olema üle vaadatud vähemalt üks kord aastas koostöös IT spetsialistiga ning kinnitatud.

Samuti peab iga töötaja andma teada uuest lahendusest ja veenduma, et ka uuele tarkvaral on koostatud plaan tegelemaks tõrgetega. IT osakond teavitab juhtkonda uue tarkvara lisandumisest ja annab ülevaate kuidas oluliste IT tõrgetega hakkama saadakse.

Ettevõtte juhtkond kontrollib plaani kuidas IT tegeleb oluliste IT tõrgetega.

XI. Dokumentatsioon

Kõikidest ettevõtte IT varadest luuakse dokumentatsioon, kõik IT muudatused ja IT intsidendid viidatakse vastavalt seadmetele või tarkvaradele. Dokumentatsioon on koostatud sellisel põhimõttel, et piisava pädevusega uus IT spetsialist saaks kõik ettevõtte tööks vajalikud tegevused viia ellu ärile vajaliku kiirusega.

IT dokumentatsioon kontrollitakse täiendavalt üle vähemalt kord poole aasta jooksul IT ülevaataja poolt. IT dokumentatsioon sisaldab konfiguratsiooni elemente, nende vahelisi seaoseid ning vajaliku infot selleks, et ettevõtte töö IT intsidendi tekkimisel oleks taastatud võimalikult kiiresti. IT dokumentatsioon on koostatud lähuvalt parimatest IT praktikatest.

Dokumentatsioon sisaldab nõudeid kirjeldamaks erinevate ärikasutajate vajadusi, sh tarkvarade nimekirja ja seadistuste eripärasid. IT ülevaataja kontrollib dokumentatsiooni põhjalikult kord aastas ning pisteliselt vastavalt vajadusele.

Ettevõte juhtkond küsib enda valdusesse kogu IT dokumentatsiooni vähemalt kord aastas või vajadusel tihemini. IT partneritega sõlmitud teenus- või konfidentsiaalsuslepingud on IT dokumentatsiooni osa. Ettevõte kasutab IT intsidentide, teenuspäringute ja probleemide käitlemiseks IT teenuse juhtimise tarkvara.

XII. Turvaintsidentide käitlemine

Ettevõtte töötajad peavad andma teada igast kahtlaselt tunduvast IT süsteemi toimimisest. Väga tähtis on tuvastada võimalikud vead või rünnakud varakult. Ettevõte julgustab töötajaid andma teadma ja küsima üle kui peaksid tekkima võimalikud kahtlused.

Kui ettevõtte andmed on ohus siis tuleb võimalikult kiiresti vahetada paroolid ning kontrollida andmete korrektsus/olemasolu. Vajadusel tuleb arvuti või seade seisata.

IT spetsialist tuvastab koos töötajaga kahtlaselt näiva asjaolu, see dokumenteeritakse ning koos IT ülevaatajaga otsustatakse järgmised tegevused.

XIII. Andmete sünkroniseerimine süsteemide vahel

Kui ettevõtte infosüsteemid on omavahel liidestatud või kui ettevõtte infosüsteemid on liidestatud väljaspool asuvate ressurssidega siis liidestatakse vaid nende andmete saatmine, mis on vajalikud konkreetse funktsiooni täitmiseks. Liidesed kaitstakse kasutajanime ja parooliga, kasutatakse krüpteeritud ühendust ning vajadusel teisi piirangu meetodeid (IP piirang, MAC piirang, SSH võtmed).

Ettevõtte infosüsteemid, mis hoiavad ettevõtte jaoks olulisi andmeid peavad olema kaitstud piisavalt hästi, et oluline info ei satuks võõrastesse kätesse. See tähendab, et kui veebileht sisaldab ärikriitilisi andmeid siis on vaja ka veeb võimalikult hästi turvata. See tähendab ligipääsu, turvapaikade paigaldamist, ründevektorite tuvastamist ja tõrjumist ning tegelemist võimalike turvaintsidentidega.

XIV. Mobiilsed seadmed

Ettevõte ei luba kasutada ettevõtte andmeid kasutajate isiklikel seadmetel, sh mobiilsetel või teistel seadmetel.

Kui selleks tekib vajadus siis seda lubatakse vaid erijuhtudel ning sellisel puhul rakendatakse mobiilsele seadmele turvameetmed, sh viirusetõrje, automaatsed uuendused, VPN ühendus, parooli keerukuse nõuded ning võimaldatakse ettevõtte süsteemiadministraatoril täielik kontroll mobiili üle. Sellisel juhul peab töötaja või juhatuse liige enne seadme võõrandamist puhastama seadme andmetest koos ettevõtte IT vastava inimesega.

XV. Veebikeskkondade turvalisus – IT küberturvalisuse poliis

Ettevõtte kasutuses olevates veebikeskkondades kasutatakse võimalusel ligipääsu piiramist või kahetasandilist autentimist. Kasutatakse piisava keerukusega paroole ning paroole vahetatakse regulaarselt.

Veebikeskkondade administreerimised on võimalikud vaid kontori võrgust ning autentimisel kasutatakse robotituvastamise mehhanisme.

Veebikeskkonnad on varundatud ning sisaldavad funktsionaalsust tuntud rünnete vältimiseks.

Veebikeskkonnad, kus on tundlikke kliendi andmeid uuendatakse regulaarselt ning lisaks kasutatakse veebirakendustele tulemüüri, mis tuvastab ja hoiab ära veebirakenduste vastu suunatud ründepäringuid.

XVI. Töö turvareeglitega

Ettevõtte juhtkond ja IT osakond tegeleb regulaarselt ettevõtte turvareeglite, nende väljatöötamise ja jõustamisega.

Turvareeglite väljatöötamiseks ja jõustamiseks tehakse vastavalt IT juhi ärenägemisele järgnevaid tegevusi:

Viiakse regulaarselt kurssi ettevõtte töös kasutatavate seadmete ja tarkvara tootja infoga
Uuritakse enne uuenduste paigaldamist uuenduste sisu ja mõtet
Automaatselt paigaldatakse vaid olulised uuendused ja turvauuendust, enne uute funktsioonide lisandumist tutvutakse uute võimalustega
Erinevad seadmed ja tarkvara pannakse võimalusel saatma teavitusi uute funktsioonide lisandumisest
IT intsidentide lahendamisel uuritakse logifaile
IT ülevaataja uurib vastavalt vajadusel kasutajate harjumusi
Hinnatakse ja rakendatakse tootjate poolt soovitatavaid turvaeeskirju
Välisvõrgust piiratakse ära kõik tehnilised võimalused, mis ei ole vajalikud ja põhjendatud
Uuritakse viiruse- ja nuhktõrjetarkvara logisid
Koostöös ettevõtte vastutava töötajaga uuendatakse poliisi kui peaks tekkima uusi seadusandlusest või määrustest tulenevaid nõudeid
Uute tehnoloogiate või IT ärifunktsioonide lisandumisel viiakse läbi turvaanalüüs
Ettevõtte tööprotsesside või töö iseloomu muutumisel kontrollitakse vastavust poliisiga
Ettevõtte tööjõu muutumisel kontrollitakse vastavust poliisiga
Ettevõtte struktuuri muutumisel või töökorralduse muutumisel
Suuremate IT muudatuste puhul vaadatakse turvapoliis ja selle rakendamine uuesti üle
Ettevõtte IT viib ennast regulaarselt kurssi IT maastiku turvaohtudega
Ettevõte korraldab ringi IT varade füüsilise asukoha
Korduvate suuremate IT intsidentide või IT turvaintsidentide tekkimisel
Kasutajatega viiakse läbi intervjuusid, uuritakse kasutajate harjumusi
IT ülevaatajalt küsitakse sisendit turvareeglite parandamiseks
Uuritakse töötajate arvamusi kuidas nende arvates peaks andmeid kaitsma

The post Cyber Security Policy (CSP) appeared first on Visioline Infra OÜ.

Elementaarine turvalisus

Raul Orav — Sun, 11 Jan 2015 22:11:39 +0000

Tänapäeva äri toetub erinevatele infotehnoloogilistele lahendustele. Ettevõtte infosüsteemi moodustavad personaalarvutid, serverid, võrguseadmed, lisaseadmed jpm. Kõik need komponendid ühendades asutuse siseselt arvutivõrku ja enamasti ka Interneti moodustavad terviku, kus omavahel vahetatakse erinevat informatsiooni. Turvalisus mõjutab kõiki seadmeid.

Proovides anda lihtsat ülevaadet arvutisüsteemi turvalisus mõjust saab nimetada paar erinevat vaatenurka. Tehnoloogilistest võimalustest või keerukusest tulenev asepekt, kasutajate inimlikust eksitustest tulenevad aspektid, süsteemi seadistamisest ja tarkvara iseloomust tulenevad riskid. Tihti kõik need eelnevad koos tekitavadki erinevad turvariskid.

Hinnates ohte tehnoloogilistest võimalustest peaksin siinkohal ära märkima mida ma tehnoloogiliste võimaluste all silmas pean. Iga personaalarvuti pakub teistele infosüsteemi seadmetele või tarkvaradele erinevaid teenuseid. Näiteks failide jaotamine või printeri jagamine. Peale nimetatud teenuste on näiteks traditsioonilisel Windowsi töökoha arvutil kõikvõimalikke teenuseid – võimalus kaugelt haldamiseks, erinevate diagonistiliste andmete väljastamine, jpm. Nimetatud teenuseid on tihti isegi sadu. St.arvutit võib ette kujutada justkui inimest, kes ootab kõnesid – sellele helistades saab tellida infot, jaotada ülesandeid vms. Vaikimisi Windows võtab “liialt palju kõnesid vastu” – st.võrreldes ettevõttega struktuuriga on võimalik Windowsilt küsida lihtsamaid finantsandmeid, sekretäri vanust, müügimehe IQ’d vms. Selleks, et süsteem ei pakuks ebavajalikke teenuseid erinevatele huvilistele kasutatakse tulemüüri või teatud teenuste keelmist. Järelejäänud teenused, mida aga lubatakse tulemüürist läbi peavad olema vastavalt vajadusele seadistatud – et ei oleks lubatud nn.mööduvatel külastajatel teenust pärida või ei pakutaks üleliigseid andmeid. Järgmine tase riskidest tekib erinevate tarkvarade kasutamisest – näiteks teatud Internetiaplikatsioonid võimaldavad piiratud ja teine kord mitte liialt piiratud ligipääsu Sinu arvutile. Lihtsustades kehtib printsiip: mida lihtsam on infosüsteem, seda turvalisem see on. St.kui ole andmeid või kui ei ole teenust, mis andmeid jaotaks siis pole ka kuskile sisse murda. Isegi kui infosüsteem oleks perfektselt konfigureeritud ning kasutajad väga valvelvel igast liigutusest eksisteerivad ikkagi turvariskid – tarkvarades olevate vigade pärast. Soovides vähendada riske on vajalik peale konfiguratsiooni ka arvuti kasutamise võimaluste reguleerimine.

Kokkuvõtvalt: mida suuremat turvalisus ootame infosüsteemilt, seda suuremaid piiranguid peab tehnoloogia kasutamisele rakendama.

Olulisem risk on kasutaja teadlikkus arvutite kasutamisest. Olen näinud, kuidas kuidas turvalisus ja turvaspetsialistid kasutavad lihtsaid veebilehti selleks, et kaaperdada kasutaja arvuti – tihti kasutajale endale teadmata. Ohvri arvuti suuremaks juhtimiseks on teinekord vaja ka kasutaja “abi”. Tööhoos inimene ei loe pikemalt arvutile ette tulevaid teateid ning lubab erinevatel tarkvaradel teha just neid toiminguid, mida ei tohiks lubada. Kümmekond aastat tagasi kui küberturva spetsialistid demonstreerisid erinevaid võimalusi sisse murdmiseks tekkis mul tunne, et ma ei taha enam mitte kunagi arvutit kasutada. Tihti kasutatakse nn.social engineeringu oskusi selleks, et saada teatud siseinfot, et suunata kasutaja vastavale veebilehele, panna ta avama mõnda dokumenti vms – IT teenindajana teame ise kui kerge on telefoni teel suvaliselt teenusepakkujalt saada mõnda parooli või olulist infot teada – piisab vaid mõnele usaldusele viitavast väljaütlemisest ning info ongi olemas. Erinevad teenuspakkujad võivad rääkida turvalisusest – ometi on teenindajad ainult inimesed ja ka nemad eksivad. Mainida tasub ka vana head tõde, et pornograafilise sisuga veebilehtedelt ei ole midagi head oodata – vähesed aga tulevad selle peale, et Delfi artiklis kommentaarides, kus räägitakse presidendi lossis seksinud noortest võiks olla ühe kommentaarina toodud link videole, kus lubatakse vaadata ebasündsusi lähemalt – piisab video vaatamisest kui Sinu arvuti ongi juba osa ülemaailmast võrgustikust, mille kaudu proovitakse murda sisse juba järgmisse arvutisse. Kas te näiteks teadsite, et enamuse inimeste maile parooli on võimalik saada teada sekunditega kui te näiteks külastate võõrast Interneti eriala? Loomulikult mitte siis kui on piisav turvalisus tagatud – tihti see aga ei ole tagatud just kasutaja enda arvutis.

Me usaldame oma töös IT spetsialiste. Nad teavad meist paremini antud valdkonda ning me arvame, et meie andmed on kaitstud. Tegelikkuses on aga see, et väga tihti on erinevad serveritel olevad teenused seadistamata. St.pakutakse ebavajalikke teenuseid või vajalikke teenuseid valedele “huvilistele”. Tarkvarade seadistamiseks on tihti vaja mõista erinevate tarkvarade ülesehitust, nende seoseid teiste tarkvaradega ning kindlasti ka seda kuidas kasutaja tarkvara kasutab. Tihti on ka lihtsate teenuste konfigureerimiseks tohutult parameetreid. Dokumendid, kus on kirjeldatud erinevad keelud, lubamised, täppishäälestused jne on pikk kümneid ja kümneid lehekülgi. Vähe sellest – tarkvarade seadistamiseks on tehnilist dokumentatsiooni omakorda sadu ja sadu lehekülgi ning kõik see läbi aja muutub erinevate tarkvara versioonidega. Lisaks ei ole harv olukord, kus tarkvara tootja ei tea isegi, et teatud parameetrite koosmõju annab tulemuseks ebaturvalise teenuse. Kujutage nüüd ette, et teie IT spetsialist ei jõua aeg-ajalt teie kõnedele vastata – miks te arvate, et teie keeruka infosüsteemi parameetrid on sel juhul seadistatud? Hullem on olukord kui infosüsteemis on kasutuses erinevate osapoolte tarkvarad või pakuvad infosüsteemi käimas hoidmiseks teenust mitmed firmad. Kas teie infosüsteemi osadesse pääsevad sisse ka erinevad osapooled? Kas nad teevad mugavat kaughaldust? Loomulikult olete te kindel, et kolmanda osapoole kaughaldaja ei proovi teie infosüsteemi andmeid kätte saada – kõiges kahelda võib olla väga väsitav. Minu eesmärk ei ole siinkohal üldsegi kedagi hirmutada vaid näidata väga lihtsaid, võib öelda, et isegi mitte-tehnilisi turvalisuse aspekte. Mis siis oleks kui teie noor ja idealismist pakatuv IT spetsialist arutaks trollis oma kursusekaaslasega emotsionaalselt teie infosüsteemi turvalisuse puudujääke? Mis te arvate, kas te oleksite investeerinud tuhatkond eurot lintidega varundusseadmesse peale seda kui teie võrgusalvestusseadmelt kustutab viirus ühtlasi ka koopiad? Kogu seda arutelu võiks jätkata lehekülgi ja lehekülgi. Edu igapäevases töös tööb empaatiavõime ühenduses raudse loogikaga. Lisaks spetsialisti oskustele peaks teie abilised IT valdkonnas ka mõistma teisi osapooli ja ennekõige teie töötajad.

Kas te teate kui tihti tuleb näiteks Windowsile uuendusi? Haritud inimesena teate te, et need uuendused võiks muuta tööd kiiremaks, mugavamaks, turvalisemaks ja tänapäevasemaks. Kui tihti te aga olete kuulnud, et automaatne uuendus võib teie infosüsteemi töö seista pikaks ajaks? On teil selliseid probleeme olnud? Kui ei ole olnud siis on teil arvatavasti pädev IT spetsialist. Vähesed spetsialistid veedavad aega lugedes uuenduste mõju infosüsteemidele. Liialt vähesed. Kas te teatsite, et vanemate versioonide tarkvara vead on tihti internetis leitavad? St.igaüks võib tarkvaras olevat viga kasutada ära teie vastu. Mis te arvate, kas 30 000EUR maksev väga tuntud tootja varundamistarkvara on hea? Meie kogemustel alati mitte. Nii uskumatu kui see ei tundu siis ka väga kallid süsteemid ei tööta – mõnikord tarkvara vigade tõttu, mõnikord mõnel muul põhjusel. Olen näinud korduvalt olukordi, kus ei õnnestu varukoopiat taastada – tihti ei osata isegi taastamiseks kuluvat aega hinnata. Rääkimata teenuse või äriprotsessi katkemise kuludest. Kuivõrd haavatav on näiteks avatud lähtekoodiga tarkvara, mis on uuendamata? Risk võrreldes traditsioonilise kommertstarkvaraga on oluliselt suurem – veakirjeldused on ju ründajatele kättesaadavad. Ülevalpool ma juba mainisin seadistamise keerukust aga kui sinna lisada juurde, et tarkvara toimimiseks on teinekord vaja tarkvarasid, mis sõltuvad tarkvaradest, mis sõltuvad tarkvaradest jne ning nad kõik on seadistatavad. Tekib mõte, et spetsialist peab olema väga põhjalik, süsteemne ning praktilise maailmavaatega.

Loomulikult on piisav turvalisus tase saavutatav – sõtluvalt rahakotist ja sõltuvalt vajadustest – mõnikord pannakse selle jaoks relvastatud valve serveriruumi kõrvale, mõnikord aga piisab suhteliselt lihtsatest meetmetest. Tegelikult on piisav turvalisus võimalik tagada suhteliselt lihtsasti. See aga vajab tööd. Oluline on seejuures hinnata riske. Palju maksab üks tund või üks päev ilma moodsate äritarkvaradeta? Palju oleks nõus Teie konkurendid andmete eest andma? Kui palju on kulub kasvõi aega, et raamatupidajad teeks poole aasta raamatupidamise uuesti? Kas te olete proovinud peakilbist tõmmata vool välja ning jälginud edaspidist sündmuste käiku? Kas selliste sündmuste arengu jaoks on plaan? Või tuleb avastada, et varukoopia ei töödanudki? Palju teile läheb maksma aga IT spetsialisti äkiline kadumine? Kas teil on olemas teistele spetsialistidele arusaadav dokumentatsioon? Palju maksab valesti tellitud arendustöö?

Kirjutasin selle teksti selleks, et see paneks mõtlema IT turvalisus peale. Eelnev arutlus ei ole mõeldud loengu, õpetuse vms’en. Pigem on selle eesmärk tuletamaks meelde olulisi küsimusi. Tihti ei olegi olulised niivõrd konkreetsed küsimused vaid nende küsimuste esitamine – lahendusi on erinevaid, alates kaabli lahti ühendamisest, lõpetades väga spetsiifiliste turvameetmetega. Kaitsesse on vaja kordades vähem inimesi kui ründajapoolele – seega ei pea just alati Teie IT spetsialist olema küberturbe hüper-spetsialist. Küll aga võiks ta ennast selles teemas natukene harida. Esitage kõiki neid küsimusi oma IT teenindajale ja kuulake mõttega. Mis olukorras te tegelikult olete? Ei ole olemas erinevust abstraktses tões, mida ei saaks võrrelda konkreetsete tõsiasjadega – hinnake pragmaatiiselt. Kontrollige.

Kui ma sain selle kirjatüki kirjutamisega kasvõi ühe nüansi teie IT turvalisus juures parandada siis on selle artikli kirjutamise vaev juba tasutud.

The post Elementaarine turvalisus appeared first on Visioline Infra OÜ.