Tietoturvaratkaisu on kokonaisvaltainen prosessi. Ja sitä suunniteltaessa on kaksi tietä, joita voidaan seurata. Eli ratkaisu voidaan ulkoistaa toisen yhtiön hoidettavaksi. Tai sitten yritys voi palkata omia tietoturva-ammattilaisia. Molemmissa ratkaisuissa on hyvät sekä huonot puolensa. Kun palkkaa ulkopuolisen yhtiön, niin se ehkä hoitaa työnsä, mutta sitten pahimmillaan palvelun tilaaja ei voi ehkä päästä vaikuttamaan siihen, miten asiat hoidetaan.
Se että palvelu ulkoistetaan ei tarkoita sitä, että noita töitä ei tarvitse tehdä. Jos tietoturva on ulkoistettu, niin tietenkin tuon palvelun työntekijöiden pitää tunnistautua, jos he vievät koneita tai joitakin muita komponentteja tai tulevat antamaan mikrotukea jollekin käyttäjälle.
Se tarkoittaa vain että työt siirretään ulkopuolisen toimijan käsiin, joka samalla pääsee yhtiön omiin tietoihin käsiksi. Jos ratkaisu toteutetaan palkkaamalla omia asiantuntijoita, niin tietenkin nuo asiantuntijat tarvitsevat aina sellaiset valtuudet, jotka takaavat sen, että he voivat tehdä työnsä hyvin sekä vallitsevien standardien mukaan. Voidaan sanoa että kaikki yritykset sekä yhteisöt tarvitsevat jonkin verran säätöä eli kustomointia omille ratkaisuilleen.
Ja kaikki toiminta lähtee ihmisestä. Jos käyttäjä ei tunne omia laitteitaan sekä toimintaympäristöään, niin hän varmasti tekee virheitä. Eli hän saattaa epähuomiossa antaa salasanoja henkilöille, joiden hän olettaa olevan mikrotukihenkilöitä. Jolloin hän tietenkään ei edes muista kysyä mitään korttia siitä, että nuo mikrotukihenkilöt ovat sitä, mitä he sanovat olevansa.
Myös fyysinen tietoturva pitää muistaa.
Pääpaino tässä tekstissä on fyysisessä tietoturvassa, koska tieto- tai kyberturva on valtava kokonaisuus, niin jollain tavoin pitää rajata.
Eli parhainkaan palomuuri ei suojaa, jos ihmiset näkevät ruudulle suoraan kadulta. Ja usein juuri fyysinen tietoturva on se, mitä ei paraskaan tietoturvatiimi aina muista tarkistaa. Fyysinen uhka tarkoittaa siis hakkeria, joka pääsee ehkä koko viikonlopuksi jonnekin häntä kiinnostavaan toimistoon sekä sitten hän voi siellä tehdä vaikka kuinka mittavia tutkimuksia sekä asentaa kameroita ja salakuuntelulaitteita toimitiloihin sekä sujauttaa omia kovalevyjään kohteensa palvelimelle.
Se miten paljon hakkeri haluaa sijoittaa rahaa tuohon operaatioon tietenkin määrittää sen, että millaisia välineitä hän käyttää. Siis valvontakameran avulla voidaan hankkia tietoja salasanoista sekä esimerkiksi kohteiden henkilökohtaisista asioista kuten kotiosoitteista. Ja tuolloin rikolliset voivat murtautua noiden ihmisten koteihin sekä etsiä niistä salasanoja ja muita tunnuksia.
Sekä tietenkin myös heidän sosiaalisen median tileistään. Pahimmassa tapauksessa hakkeri saa käsiinsä jonkun pomon kännykän, ja sitten mahdollisuuden tilata omat tunnukset tuohon kohteena olevaan järjestelmään. Meidän pitää muistaa että myös kiristys sekä panttivangit ovat välineitä, joiden avulla hankitaan pääsy johonkin järjestelmään.
Tietoturva on asia, mikä koskettaa meitä kaikkia. Vaikka me ajattelemme että kukaan ei meitä uhkaa niin kuitenkin meidän pitää muistaa, että meillä jokaisella on asioita, joita hakkerit voivat katsoa tarvitsevansa, ja niistä tärkein mitä tavallisella Suomen kansalaisella on on tietenkin identiteetti. Suomalaisia arvostetaan maailmalla, ja siksi suomalainen sähköpostisoite voi olla sellainen asia, mitä esimerkiksi joku hakkeriryhmä voi haluta käyttää omiin tarkoituksiinsa.
Eli hän voi tuolloin esiintyä toisena henkilönä, ja jos omaan sosiaalisen median verkostoon kuuluu varomaton henkilö, jolla voi olla pääsy johonkin toimitilaan, niin silloin tietenkin hän voi antaa esimerkiksi ulko-oven avauskoodin, ja tuo hakkeri pääsee silloin toimitiloihin, ja jos sieltä löytyy esimerkiksi lapulle kirjoitettu salasana ja käyttäjätunnus, niin hakkeri voi kokeilla noita tunnuksia tietojärjestelmään. Samoin jos henkilö käyttää salasanoja ja katsoo niitä lapusta tai puhelimesta jossain luentosalissa, niin joku voi ottaa noista asioista kuvan. Ja kuten tiedämme, niin tilaisuus tekee varkaan.
Tuo tilanne missä joku varastaa salasanan voi välttää aivan helposti kirjautumalla valmiiksi sisään niihin järjestelmiin, joita aikoo käyttää. Tuolloin ei salasanaa tarvitse kirjoittaa. Itse olen joskus ihmetellyt, miksi ainakaan omalle tielleni ole tullut järjestelmää, jossa kännykkä pitäisi kiinnittää tietokoneeseen USB-johdolla, ja sitten sisäänkirjautuminen tapahtuisi sormenjäljen sekä kasvojentunnistuksen yhdistelmällä. Tuolloin varmistettaisi se, että tuon tietokoneen käyttö tapahtuu oikeassa paikassa. Eli tietenkin meillä on langattomaan verkkoon perustuva tunnistusjärjestelmä, jossa kännykkä kysyy muutamia numeroita, ennen kuin se päästää kirjautumaan sisään tietoverkkoon.
Mutta jos tuohon järjestelmään yhdistetään sormenjälki, niin että kone ottaa samalla kun numeroa painetaan tuon sormenjäljen, sekä kasvojen tunnistus, niin silloin esimerkiksi kirjautumisesta tulee turvallisempi. Jos tuo laite kiinnitetään johdolla koneeseen, niin se takaa sen, että kone, käyttäjä sekä kännykkä ovat oikeassa paikassa. Tuolloin yhteys tiettyihin kohteisiin voi tapahtua ainoastaan ennalta määrätyn pistokkeen kautta. Ja tällainen ratkaisu takaa sen, että henkilö ei jätä konetta päälle ollessaan kirjautuneena, jos hän käy vaikka hakemassa kahvia. Eli kun kännykkä irrotetaan, niin käyttäjä kirjataan ulos tiedoista, jotka ovat salaisia.
Jos ajattelemme esimerkiksi erilaisia tietoturvariskejä, niin silloin tietenkin me kaikki kohtaamme joskus tilanteen, jossa kävellessämme jonkun kellaritoimiston ikkunan takaa, niin me näemme suoraan selin meihin olevien henkilöiden ruudut. Ja silloin tietenkin kuka vain voi ohi kulkiessaan ottaa kuvan noista ruuduista, minkä jälkeen hän voi esimerkiksi ilmaista Paint-ohjelmaa tai kännykän omaa kamerasoftaa käyttäen zoomailla noita näyttöjä, ja jos silloin sattuu olemaan esimerkiksi salasanalista auki, niin se varmasti avaa suoran tien hyökkääjälle kohti noita järjestelmiä sekä tietoja, joita niissä mahdollisesti on.
Eli fyysisen tietoturvan unohtaminen voi johtaa katastrofiin, vaikka kaikki vaikuttaisi olevan kunnossa. Hyökkääjä voi käyttää esimerkiksi nelikoptereita, joilla hän kuvaa toimistojen ruutuja sekä sijoittaa niihin salakuuntelulaitteita. Tuolloin toimistoon saatetaan kätkeä USB-kaiutin-mikrofoniyhdistelmä, ja sitten esimerkiksi drone jossa olevaan kännykkään tuo laite on kiinnitetty laskeutuu vaikkapa johonkin mainoksen taakse. Tuolloin ei hyökkääjän tarvitse kiipeillä katoilla. Ja jos salakuuntelulaite jonka esimerkiksi siivoojana tai vartijana esiintyvä ryhmän jäsen vie toimistoon paljastuu, niin tuo kännykkä joka linkittää tiedot saadaan pois. Ja pahimmassa tapauksessa tuo hakkeri käy vielä hakemassa tuon laitteen pois, ja pahoittelee että on unohtanut sen tehdessään iltatyötä.
Sitten kun luomme tietoturvaratkaisua, niin meidän on tunnettava hyökkääjä. Eli meidän pitää tunnistaa hyökkääjän käyttämät välineet sekä samalla myös laatia suunnitelma sen varalle, että mitä kaikkea meidän pitää tehdä, jotta tietoturva on kunnossa. Tietoturva ei ole kunnossa jos esimerkiksi jalkakäytävältä näkee suoraan toimistossa olevan tietokoneen ruudulle. Mutta sitten jos ajatellaan esimerkiksi sitä, että nykyään hakkerit käyttävät paljon julkisesti saatavissa olevia tuotteita tehdessään hyökkäyksiä, niin aina on ihmisiä jotka uskovat että kaikki ihmiset puhuvat totta.
Saattaa olla että joidenkin hakkerien käyttämien maksullisten sovellusten kohdalla tuotteen myyjä tarkastaa taustat, mutta sitten tietenkin on mahdollista että hakkeri tekee esimerkiksi identiteettivarkauden. Eli hän voi käyttää tilauksen tekemiseen vaikkapa kaapattua sähköpostiosoitetta, jolloin hänen oikea identiteettinsä peittyy. Siis juuri tällainen toiminta on asia, mikä on varsinkin rahan vuoksi tehtävässä hakkeroinnissa vaikeaa. Miten peittää oma identiteetti?
Identiteetti on paljon enemmän kuin pelkkä nimi. Se on tapa jolla puhumme, ja tapa jolla käytämme vaikkapa tietokoneita. Samoin asiat jotka jaamme sosiaalisessa mediassa sekä sähköpostitse ovat osa sitä mitä kutsumme identiteetiksi. Saattaa olla että meillä on joku silmiinpistävä asia, jota ei itse huomaa, mutta muut huomaavat. Kyseinen asia saattaa olla esimerkiksi musiikkimaku, ja jos tuo asia alkaa muuttua, niin silloin saattaa kyseessä olla identiteettivaras.
Hakkerit tekevät kaikki asiat oikeastaan aivan samalla tavalla. He pyrkivät pitämään operaationsa laillisena niin pitkään kuin mahdollista. Tuolla tavoin estetään se, että poliisi ryhtyy jäljittämään heitä. Se miten hakkerit saavat sujautettua haittakoodin kohdejärjestelmään saattaa olla hyvinkin luovan prosessin takana. He saattavat esimerkiksi ladata työasemalle koodaus-softan sekä sitten copy-pastea käyttäen siirtää haittakoodin tuolle työasemalle esimerkiksi World-dokumentista.
Ja jos työasemilla ei ole suojausta, niin tuo toimenpide saattaa toimia. Samoin hakkerit voivat vaihtaa esimerkiksi kovalevyn suojaamattomasta serveristä. Tai sitten linkittää RAID-5 protokollan omaan palvelimeensa. Tuolloin kohteen palvelin varmuuskopioi kaikki yhtiön tiedot suoraan hakkerien omalle koneelle.
Kommentit
Lähetä kommentti