perjantai, 28. marraskuu 2014

Onko viimeisen 10 vuoden aikana tapahtunut muutoksia käyttäjien suhtautumisessa tietoturvaan?

Käyttöjärjestelmien oma tietoturva on parantunut ja tarve käyttää kolmannen osapuolen torjuntaohjelmia on pienentenyt. Tavalliselle Windows-käyttäjälle saattaa riittää nykyään riittää pelkät käyttöjärjestelmän palomuuriohjelmat ja tietoturvapäivitykset, jos käyttäjä itse pitää huolta verkkokäyttäytymisestään.


Sen sijaan OSX-alustan tietoturva on huonontunut alustan kasvattaessa suosiotaan. Eletään vieläkin oletuksessa ettei "Macille tehdä viruksia", vaikka tämä ei enää pidä paikkaansa. Asian tekee hankalaksi se, ettei isojen valmistajien tietoturvaohjelmista ole tehty OSX-käännöksiä. Vaihtoehtoja on vähän. Omppukäyttäjällä voidaan ajatella olevan enemmän vastuuta käytöstään, kuin windows-käyttäjällä, joilla on tarjolla useita kymmeniä vaihtoehtoja palomuuri, malware ja virustorjunta-ohjelmistoista. Esimerkkinä "Wirelurker" -tapaus, joka kulki laitteiden välillä usb-kaapeleita pitkin saastuttaen iOS ja OSX -ympäristöjä.


Empiirisen tutkimukseni pohjalta voin sanoa, että ihmisten suhtautuminen tietoturvaan viimeisen 10 vuoden aikana on pysynyt samanlaisena. Kaikki ovat lukeneet uutisia virus-tapauksista, siitä asti kun tietokoneita on käytetty välittämättä kuitenkaan erityisemmin omasta tietoturvastaan. Koneelle asennetaan joku yleisessä käytössä olevista palomuuri- ja virustorjuntaohjelmistoista ja annetaan sen sitten päivitellä itseään ja tehdä ajastettuja tarkastuksia, sen kummemmin asiaa ajattelematta.


Harva peruskäyttäjä monitoroi aktiivisesti ulos ja sisään kulkevaa liikennettään. Harvalla on siihen edes tietämystä. Myöskään tietoturvaan panostavat selaimet tai hakukoneet eivät ole saaneet peruskäyttäjien suosiota.


Toisaalta tietomurtotekniikatkaan eivät ole peruskäyttäjän näkökulmasta muuttuneet, on vain tullut lisää tietoteknisiä laitteita. Ihmiset tuntuvat käyttävän tietosuojaa mobiililaitteissa samalla periaattella, kuin pc-koneissaikin. Asennetaan ohjelma ja luotetaan siihen, että se riittää. Aivan kaikki eivät tosin ole vielä valveutuneet yhtä lailla mobiilitietoturvaan.


Käyttäjiä on tullut siinä määrin lisää, ja eri ikäluokista, että keskiarvoisesti tietosuojakiinnostus on pysynyt viimeisen 10 vuoden aikana jotakuinkin samanmääräisenä, vaikka pitkäaikaisemmat käyttäjät olisivatkin nykyään asian suhteen valveutuneempia.

perjantai, 28. marraskuu 2014

Mitä on käyttö- ja tietoliikenneturvallisuus?

 

fsa.jpg

 

 

Mitä on käyttö- ja tietoliikenneturvallisuus?

 
Janne Laine, Juho Latva, Tommi Krogerus                Organisaation tietoturva
 
1.Menettelyohjeet ja velvollisuudet
-Työn kierto ja ositus, käyttäjäroolit
 
Kirjallisissa operointiohjeissa kuvataan työn kierto ja ositus sekä käyttäjäroolit. Operointiohjeissa olisi hyvä mainita informaation muokkauksen ja käsittelyn ohjeet, varmuuskopionti, poikkeustilanteiden käsittely, tekniset tukiyhteydet, tulosteiden ja tietovälineiden turvallinen hallinta, uudelleenkäynnistysmenettelyt, järjestelmän lokitiedostojen hallinta, muutosten hallinta, muutosten hyväksymisprosessi, miten tehtävät eriytetään, että tapahtuman suorittaja ja hyväksyjä eri henkilöitä, käytetään minimivaltuuksien periaatetta sekä erotetaan kehitys-, testi- ja tuotantoympäristöt.
 
2. Ulkopuolisten palvelujen hallinta
 
Käyttö turvallisuudessa tulee myös tarkistaa ulkopuolisten palvelujen tietoturva. Palveluntarjoajaan ei kannata luottaa ilman, että tarkistaa heidän tietoturvaansa. Kannattaa tarkistaa palveluntarjoajan turvallisuussuunnitelma, määrävälein tapahtuvat katselmoinnit ja palveluissa tapahtuvien muutosten käsittely, eli esimerkiksi miten he hoitavat järjestelmän päivitykset.
 
3. Järjestelmän suunnittelu, muutoksien hallinta
 
Järjestelmän suunnittelussa tulee ottaa huomioon, että tietokoneella on tarpeeksi kapasiteettia. Tulee myös suunnitella kuinka järjestelmä toipuu ylikuumenemis tilanteessa ja kuinka uudet ohjelmat ajetaan järjestelmään. Sovituista turvallisuus käytännöistä tulee pitää kiinni. Uuden järjestelmän käyttöö otossa on pyrittävä siihen, että tulee minimaalisesti käytös katkoja ja ettei liiketoiminta kärsi. Uutta järjestelmää tulee myös testata, ettei se sitten lamaannu esimerkiksi ruuhka aikoina, eikä se myöskään aiheuta muille järjestelmille ongelmia. Uudesta järjestelmästä tulee myös järjestää koulutus niille jotka sitä tulevat käyttämään. Ennen kaikkea myös järjestelmän helppokäyttöisyys tulee varmistaa.
 
4. Suojaus haittaohjelmia ja liikkuvia ohjelmia vastaan
 
Suojautuminen haittaohjelmilta
 
Haittaohjelmilta voi suojautua kieltämällä luvattomien ohjelmien käyttö. On myös hyvä määrittää säännöt tiedostojen ja ohjelmien lataamiseen ulkopuolisista verkoista. Kriittisten sovellusten tiedostot kannattaa tarkistaa säännöllisesti. Virustorjuntaohjelmisto tulee päivittää säännöllisesti. Kannattaa luoda ohjeet ja vastuut haittaohjelmista raportointiin ja toipumiseen. Liiketoiminnalle on hyvä luoda jatkuvuussuunnitelma haittaohjelmahyökkäysten varalta. Tiedonsaanti viimeisistä haittaohjelmauhkista tulee varmistaa, esimerkiksi postituslistoja ja tietoturvajärjestöjen julkaisuja seuraamalla. Huijausohjelmista kannattaa tiedottaa henkilöstä ja heitä on hyvä kouluttaa tietojenkalastelun ehkäisemiseksi.
 
Liikkuvat ohjelmat
 
Liikkuvat ohjelmat kannattaa estää. Liikkuvat ohjelmat tulee ajaa loogisesti eristetyssä ympäristössä. Liikkuvat ohjelmat on hyvä todentaa salakirjoitustekniikoilla (sertifikaatit). Liikkuva ohjelma on ohjelmakoodi, joka siirtyy tietokoneesta toiseen, ajaa itsensä automaattisesti ja suorittaa tietyn toiminnon kokonaan tai lähes ilman käyttäjän osallistumista. Liikkuvat ohjelmistot liittyvät moniin väliohjelmistoihin.
 
5. Varmuuskopiointi
 
Varmuuskopioinnissa tulee ottaa huomioon varmuuskopioinnin laajuus, palautuksen ohjeistus, varmuuskopioiden turvallinen säilytys, palautuksen harjoittelu ja varmuuskopiolevyjen salakirjoitus.
 
6. Verkkoturvallisuus
 
Verkon käytön turvallisuus tulee varmistaa seuraavilla seikoilla.
  • Etäkäytöstä tulee tehdä selvät ohjeet ja pitää käyttää VPN salausta.
  • Langattoman verkon turvallisuudesta pitää myös huolehtia esimerkiksi kunnollisella salasanalla.
  • Lokitiedostojen käyttö.
  • Tarvittaessa tulee jonkun operoida verkkoa.
  • Salausprotokollien käyttö (TLS , SSH,..).
  • Pitää valvoa myös sitä, että kuka tahansa ei pääse verkkoon käsiksi.
  • Sisäisten verkkojen eriyttäminen esimerkiksi virtuaaliverkko tekniikalla.
 
7. Tietovälineiden käsittely
 
Tietovälineiden käsittelyssä ja poistossa tulee ottaa huomioon siirrettävien tietovälineiden hallinta, ulkoisten kiintolevyjen käytön rajoittaminen vain erityistapauksiin, tietovälineiden kirjaaminen, turvamerkintä, kuljetuksen kirjaaminen, tietovälineiden käsittelyohjeet (turvaluokituksen mukaan), tietovälineiden poiston ohjeet esimerkiksi magnetoimalla tai päällekirjoittamalla, jakelulistat kannattaa tarkistaa säännöllisesti, järjestelmädokumentaatiot tulee suojata ja pääsyoikeudet on hyvä rajata suppealle joukolle.
 
8. Tietojenvaihtoperiaatteet
Organisaatioiden välisen tiedonvaihdon tulisi tapahtua virallisten, tarkoin määriteltyjen vaihtosopimusten mukaisesti. Tällaisessa vaihtosopimuksessa olisi hyvä tulla ilmi mm. seuraavat asiat: Kuinka tiedonsiirrosta ilmoitetaan toiselle osapuolelle, kuinka kuriiri tunnistetaan ja mitä kuriiripalveluja on hyväksyttävää käyttää, käytetäänkö digitaalista allekirjoitusta, kuinka salausavaimia hallinnoidaan ja kuinka luottamuksellinen tieto merkitään.
 
Näiden sopimusten lisäksi on syytä kouluttaa henkilökuntaa tuntemaan tiedonvaihtoturvallisuuden perusperiaatteet. kuten sähköpostin ja internetin käyttö, langattomien yhteyksien suojaaminen, luottamuksellisten keskusteluiden käyminen puhelimessa, tai julkisella paikalla, sekä liitetiedostojen suojaus.


 
9. Verkkoasiointipalvelut
Verkkoasiointipalvelujen käytön, johon sisältyvät verkon kautta välitetyt tapahtumat ja sähköposti, vaikutukset turvallisuuteen sekä niiden edellyttämät turvamekanismit tulisi ottaa huomioon. Sähköisesti julkisten järjestelmien kautta julkaistun tiedon eheys ja käytettävyys tulisi myös ottaa huomioon.
 
10. Tarkkailu ja lokit
 
Järjestelmää tulee tarkkailla ja pitää lokeja tapahtuvista asioista. Lokeissa tulee näkyy esimerkiksi käyttäjä tiedot ja murtoyritykset.
Lokitiedot tulee myös suojata, ettei kukaan pääse niihin käsiksi. Pääkäyttäjien lokitiedot tulee myös kerätä erikseen. Häiriöistä tulee myös tulla erikseen lokiin merkintä, jotta asia voidaan korjata.
 
11. Tietokoneiden matkakäyttö ja etätyö
 
Tietokoneiden matkakäyttöä ja etätyötä varten on hyvä luoda säännöt henkilöstölle. Arkaluontoisia tietoja sisältävät laitteet tulee salata. Organisaation laitteita täytyy pitää silmällä koko ajan. Kuljetettaessa laitteita ne täytyy piilottaa.
 
 

perjantai, 28. marraskuu 2014

Mitä ovat palomuurit ja mitkä ovat sen tehtävät?

Tietoverkoissa palomuuri (engl. firewall) on eristävä moniosainen järjestelmä, joka suodattaa suojattavan verkon ja vaarallisemman verkon välisiä yhteyksiä.

Useimmiten palomuuria tarvitaan avoimesta Internet-yhteydestä tulevilta hyökkäyksiltä suojautumista varten. Palomuurilaitteilla on sääntöjä, joilla sisään tulevista yhteyksistä suodatetaan pois kaikki muu, paitsi tarvittava minimi. Nykyisin on myös yleistä, että vastuuntuntoisesti suodatetaan myös ulkomaailmaan lähtevää liikennettä, jotteivät oman verkon asiakkaat voi häiriköidä muiden verkkoihin (esimerkiksi väärennetyillä lähdeosoitteilla). Useiden yritysten sisällä suositaan työntekijöiden koneilta ulospäin lähtevän liikenteen kontrollointia palomuurin avulla muun muassa tietosuojan turvaamiseksi.

Kokonaisvaltainen palomuurijärjestelmä koostuu useimmiten kahdenlaisista komponenteista:

  1. Pakettisuodatin - Määrittää, mitä paketteja verkkoon ja verkosta lähetetään
  2. Yhdyskäytävä -  tarkoittaa tietoverkossa olevaa verkon solmua (esimerkiksi tietokonetta), joka mahdollistaa liikennöinnin toiseen verkkoon, jossa voidaan käyttää samaa taikka eri protokollaa tai protokollia.

    Yhdyskäytävän erikoistapaus on reititin.

 

http://fi.wikipedia.org/wiki/Palomuuri

maanantai, 17. marraskuu 2014

USA:n ulkoministeriö sulki sähköpostinsa - syynä kyberhyökkäys

USA:n viranomaiset ovat viime viikkoina havainneet runsaasti tietoturvaa ravisuttavia tapahtumia verkoissaan. Aiemmin on kerrottu tietomurroista ilmatieteen laitoksen ja postin järjestelmiin. Nyt on kyseessä vielä vakavampi tilanne, kun kohteena näyttää olevan ulkoministeriön verkko.

Muun muassa Sfgate on välittänyt uutistoimisto AP:n uutisen, jonka mukaan ministeriön virkamies on sunnuntaina kertonut tilanteesta. Ministeriön järjestelmiin epäillään hyökätyn, ja ylläpitäjät tutkivat ja korjaavat mahdollisia vahinkoja. Tästä syystä ministeriön normaali sähköpostijärjestelmä suljettiin.

Ulkoministeriöllä on toinen luottamukselliseen viestintään tarkoitettu sähköposti, jonka uskotaan olevan koskematon.

Mahdollisen verkkohyökkäyksen kanssa on tehty töitä koko viikonloppu. Ministeriön edustaja ei ryhtynyt veikkailemaan hyökkäyksen lähdettä. Usein syntipukiksi on päätynyt Kiina, mutta Venäjääkin on epäilty tänä vuonna entistä enemmän.

 

http://www.tivi.fi/kaikki_uutiset/usan+ulkoministerio+sulki+sahkopostinsa++syyna+kyberhyokkays/a1029310

maanantai, 17. marraskuu 2014

Mitä on organisaation tietoturva? Uusi näkökulma

Organisaation tietoturva on kokonaisuus käytäntöjä, joilla suojellaan organisaation sisäistä tietoa sekä varmistetaan organisaatiossa käytettyjen laitteiden turvallinen käyttö ja toiminta.

 

Eräs poistumassa oleva tietoturvakäytäntö on, että www-sivujen selaus on estetty. Tällaista tietoturvakäytäntöä ylläpitävä organisaatio altistuu pelkästään vain suorien hyökkäyksien muodostamalle uhalle ja sähköpostiliitteinä lähetettyihin haittaohjelmiin.

Jos taas organisaation työntekijällä on oikeudet käyttää www-sivustoja, on mahdollista tehdä esimerksi musta lista sivustoista, joilla käyminen on estetty, tai päin vastoin ”valkoinen lista”, eli lista sivustoista,  joilla ainoastaan voi käydä.

Mikäli em. listoja ei käytetä, on varmistettava joko käyttäjien yleinen tietoturvatietoisuus, tai vaihtoehtoisesti asentaa käytetyille tietokoneilla virustorjunta -ja palomuuriohjelmat. Monissa tapauksissa toteutetaan molemmat. Rautapohjaiset ratkaisut ovat yleensä vielä turvallisempia.

 

Tietoturvaan sisältyy myös fyysisen kulun valvonta. Ketä menee työpaikalle ja milloin? Mitä tavaraa sinne menee ja tulee ulos? Mitkä ovat käytännöt käsitellessä fyysisiä medioita? Myös sähköturvallisuus on osa organisaation tietoturvaa.

 

Hierarkinen tietoturvamalli on yleishyvä toimintatapa toteuttaessa organisaation tietoturvaa. Esimerkiksi mainostoimistossa ei kaikkien tietokoneiden tarvitse olla jatkuvasti yhteydessä maailmanlaajuiseen tietoverkkoon, vaan työskentelyyn riittää, että ne ovat keskenään yhteydessä lähiverkossa. Valmiit mainostilaukset siirretään fyysisellä medialla internet-yhteyden omaavaan päätelaitteeseen, josta ne lähetetään asiakkaalle.

Videoeditoija ei tarvitse työasemallaan internet-yhteyttä, vaan hoitaa sähköpostit ja somekäytön mobiililaittella. Ongelma on töissäjaksaminen –ja viihtyvyys, ja nykyinen tapa liittää tietoverkon käyttöoikeus ajatukseen yleisestä viihtyvyydestä.

Kehitys näyttäisi siltä, että yhä useammin nekin pc-koneet liitetään tietoverkkoon, joiden käytössä ei välttämätöntä tarvetta tällaiselle menettelylle esiinny. Sama pätee kaikkeen olemassa olevaan tietotekniikkaan. Lisäksi yleiset käyttötavarat ja kodinkoneet ovat muuttumassa tietoteknisiksi laitteiksi, jotka ovat verkossa. Tällöin organisaation tietoturvaa joudutaan miettimään jopa taukotiloja suunnittellessa.

Iltasanomat 23.6.2034 ”Kahvinkeitin vuosi tulevan Windows 15:n lähdekoodin!”

  • Viimeisimmät artikkelit

  • Blogi-arkisto

  • Tunnistepilvi / aakkosellinen lista

  • Linkkilista