Mitä tietoturvasta kannattaa kysyä IT-kumppanilta?

Kysymykset eivät ole epäluottamuslause. Ne auttavat molempia: kumppani tietää, mitä siltä odotetaan, ja te tiedätte, mitä teidän pitää hoitaa itse. Jokaisen kysymyksen vieressä on kuvaus siitä, miltä hyvä vastaus kuulostaa.

Vastuut ja sopimus

Mistä tietoturvan osa-alueista vastaatte sopimuksen mukaan?

Hyvä vastaus on lista, ei "kaikesta". Mikä listalta puuttuu, jää teille.

Kuka omistaa verkkotunnuksemme ja pääsee sen asetuksiin?

Verkkotunnus on rekisteröity yrityksen nimiin. Kumppanilla voi olla hallintaoikeus, mutta omistus kuuluu teille.

Mitä tapahtuu, jos sopimus päättyy?

Tunnukset, varmuuskopiot ja dokumentaatio luovutetaan teille sovitussa ajassa, ja kumppanin omat tunnukset järjestelmiinne suljetaan. Viiden maan kyberviranomaiset varoittavat yhteisessä ohjeessaan, että juuri tämä unohtuu usein (CISA, NCSC ym., englanniksi).

Onko meillä henkilötietojen käsittelysopimus?

Kyllä, jos kumppani pääsee asiakas- tai henkilöstötietoihinne. Sopimus on silloin pakollinen. Kumppanin pitää ilmoittaa teille tietoturvaloukkauksesta ilman aiheetonta viivytystä ja palauttaa tai poistaa tiedot, kun palvelu päättyy (Tietosuojavaltuutettu).

Tunnukset ja pääsy

Onko kaksivaiheinen tunnistautuminen käytössä kaikilla sähköposti- ja hallintatunnuksilla?

Kyllä. Jos poikkeuksia on, ne on kirjattu ja perusteltu.

Kenellä on pääkäyttäjän oikeudet?

Nimetty lista. Yhteisiä pääkäyttäjätunnuksia ei käytetä, eikä pääkäyttäjän oikeuksilla tehdä tavallista päivittäistä työtä.

Miten lähtevän työntekijän tunnukset suljetaan?

Sovittu käytäntö ja aikaraja, esimerkiksi viimeisenä työpäivänä.

Miten teidän oma pääsynne järjestelmiimme on suojattu?

Kumppanin tunnuksilla ja etähallintatyökaluilla on kaksivaiheinen tunnistautuminen, ja jokaisella kumppanin työntekijällä on oma henkilökohtainen tunnus. Hyökkäys voi tulla myös toimittajan kautta, siksi Kyberturvallisuuskeskus neuvoo suojaamaan kumppaneiden yhteydet monivaiheisella tunnistautumisella.

Mitä etähallintatyökaluja käytätte, ja miten ne on suojattu?

Kumppani nimeää työkalut, pitää ne päivitettyinä ja suojaa ne kaksivaiheisella tunnistautumisella. Kumppanin tunnuksilla pääsee vain niihin järjestelmiin, joita se hoitaa. Britannian Cyber Essentials -vaatimusten mukaan teidän pitää pystyä osoittamaan, että perussuojaukset toimivat myös kumppanin etähallitsemissa järjestelmissä (NCSC, versio 3.3, 2026, englanniksi).

Esimerkki Suomesta: asfalttiyhtiö Asfalttikallion seitsemän käyttäjätunnusta murrettiin kalastelulla kesällä 2023. Kaksivaiheisesta tunnistautumisesta oli puhuttu pitkään, mutta se otettiin käyttöön vasta murron jälkeen (Suomen Yrittäjät).

Kumppanin kautta tulevat murrot yleistyvät. Verizonin vuoden 2026 tietomurtoraportissa kolmas osapuoli oli mukana 48 prosentissa murroista, kun vuotta aiemmin osuus oli 30 prosenttia (Verizon, englanniksi).

Esimerkki maailmalta: heinäkuussa 2021 hyökkääjät käyttivät hyväksi haavoittuvuutta Kaseya VSA -etähallintaohjelmassa, jolla IT-palveluyritykset hoitavat asiakkaidensa koneita. Kiristyshaittaohjelma levisi palveluyritysten kautta niiden asiakkaille (CISA, englanniksi). Kaseyan arvion mukaan noin 50 sen asiakasta murrettiin, ja niiden kautta vahinkoa kärsi arviolta 800:sta 1 500:aan yritystä (Kaseya, englanniksi). Siksi kysykää, mitä etähallintatyökaluja kumppani käyttää ja miten ne on suojattu.

Päivitykset ja laitteet

Mitkä laitteet ja ohjelmat päivitätte, ja kuinka nopeasti?

Kriittiset tietoturvapäivitykset asennetaan sovitussa ajassa, esimerkiksi kahden viikon kuluessa. Verkkosivun julkaisualusta ja sen lisäosat on mainittu, tai on sovittu, kuka niistä vastaa.

Onko käytössä laitteita tai ohjelmia, joille ei enää tule päivityksiä?

Lista ja suunnitelma niiden korvaamisesta.

Miten tietokoneet ja puhelimet on suojattu?

Haittaohjelmatorjunta on käytössä, kannettavien tietokoneiden levyt on salattu, ja kadonneen laitteen voi lukita tai tyhjentää etänä.

Varmuuskopiot

Mistä varmuuskopioidaan, kuinka usein ja minne?

Myös sähköpostin ja pilvessä olevien tiedostojen varmuuskopiointi on mietitty. Pilvipalvelu ei automaattisesti tarkoita varmuuskopiota.

Milloin palautus on viimeksi testattu?

Päivämäärä. Testaamaton varmuuskopio on toive, ei varmuuskopio. Kyberturvallisuuskeskus suosittelee testaamaan palautusta säännöllisesti, esimerkiksi kerran kuussa tai neljännesvuosittain.

Säilyykö kopio, jos kiristyshaittaohjelma salaa järjestelmät?

Ainakin yksi kopio on erillään verkosta tai suojattu muuttamiselta.

Esimerkki: Kuvitellaan, että Esimerkki Oy kysyy, milloin palautus on testattu. Heikko vastaus: "Kopiot pyörivät automaattisesti, ei hätää." Hyvä vastaus: "Palautimme syyskuussa yhden postilaatikon ja kirjanpitokansion. Se kesti kaksi tuntia. Seuraava testi on joulukuussa." Hyvässä vastauksessa on aika, kohde ja seuraava askel.

Häiriötilanne

Kehen otamme yhteyttä, jos epäilemme murtoa, myös illalla tai viikonloppuna?

Puhelinnumero ja vasteaika, kirjattuna.

Kuinka nopeasti kerrotte meille, jos huomaatte poikkeaman?

Sovittu aika, esimerkiksi vuorokausi. Jos poikkeama koskee henkilötietoja, teidän on ilmoitettava siitä tietosuojavaltuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa, ellei loukkauksesta todennäköisesti aiheudu riskiä. Siksi tieto tarvitaan nopeasti.

Kuka huomaa, jos tunnuksillamme kirjaudutaan oudosta paikasta?

Joku seuraa kirjautumisia ja hälytyksiä, tai on sovittu selvästi, ettei kukaan seuraa. Molemmat ovat rehellisiä vastauksia, mutta vain ensimmäinen suojaa.

Mitä tapahtuu, jos hyökkäys osuu teihin itseenne?

Kumppanilla on suunnitelma, ja te tiedätte, mitkä palvelunne silloin pysähtyvät. Tammikuussa 2024 kiristyshaittaohjelma iski Tietoevryn ruotsalaiseen datakeskukseen. Asiakkaiden verkkosivuja ja maksujärjestelmiä kaatui, ja Suomessa Stadiumin verkkokauppa oli poissa käytöstä. Palautuksen arvioitiin vievän jopa viikkoja (Yle).

Sähköposti ja verkkosivu

Ovatko SPF, DKIM ja DMARC kunnossa kaikille lähettäville palveluille?

Kumppani tietää, mitkä palvelut lähettävät postia nimissänne. DMARC-käytäntö on kiristetty, tai siihen on suunnitelma. Asetukset on selitetty SPF-, DKIM- ja DMARC-oppaassa.

Kuka seuraa salausvarmenteen ja verkkotunnuksen vanhenemista?

Nimetty henkilö ja automaattinen muistutus.

Mitä ulkopuolelta näkee?

Osa vastauksista näkyy ulospäin. Sähköpostin suojaukset, salausvarmenteet ja verkkosivun asetukset voi tarkistaa ulkopuolelta ilman tunnuksia. Varmuuskopioita, kaksivaiheista tunnistautumista ja päivityksiä ei näe ulkoa, joten niistä kysytään. Perustarkastus tekee tämän ja antaa jokaisesta löydöksestä korjausohjeen, jonka voi välittää kumppanille sellaisenaan. Silloin keskustelu perustuu havaintoihin eikä oletuksiin.

Hyvä ensimmäinen askel ennen palaveria on ilmainen sähköpostiturvan tarkistus.