Rik Ferguson: meidän tulee ottaa tietoturva tosissaan
Työn tekeminen muuttuu, datan määrä kasvaa ja yritykset siirtävät liiketoimintaansa pilveen. Kansainvälisesti arvostettu tietoturvaguru Rik Ferguson pohtii mitä tämä tarkoittaa yritystietoturvalle.
Sertifioitu eettinen hakkeri (CEH) Rik Ferguson kuuluu tietoturva-alan johtaviin asiantuntijoihin kansainvälisesti. Trend Micron tietoturvatutkimuksen Vice President toimii työnsä ohella muun muassa Europolin verkkorikostorjuntakeskuksen EC3:n erikoisneuvonantajana sekä EU:n neuvonantajana. Lisäksi hänet kutsuttiin vuonna 2011 Infosecurity Hall of Fameen.
Ferguson osallistuu aktiivisesti verkkouhkien ja harmaan talouden tutkimukseen ja on tehnyt tutkimusta myös ICT-alan uusien kehityssuuntausten merkityksestä ja vaikutuksista niin kuluttajien kuin yritystenkin turvallisuudelle. Hän näkee kyberturvan tulevaisuuden haastavana, mutta toivorikkaana.
Kuuntele podcast: Kybervaara vaanii kotikonttorilla
”Data on uusi öljy ja algoritmit sen jalostajia”
Fergusonin mukaan yrityksissä ja organisaatioissa on meneillään muutos työn tekemisen tavoissa. Koronapandemia on kasvattanut etätyön määrää ja työtä tehdään pilvipalveluissa ja sovelluksissa yhä enenevässä määrin. Kasvanut datan määrä ja koodin prosessointi pilvessä on haaste yritysten IT-osastoille. Miten dataa, käyttäjiä ja käyttötapoja voidaan hallita oman organisaation verkon ulkopuolella?
Ferguson nostaa esille varoittavan esimerkin vuoden 2020 lopulta, jota voidaan pitää USA:n historian kenties pahimpana iskuna maan kyberhistoriassa. Silloin venäläiset hakkerit murtautuivat SolarWinds-yrityksen ohjelmistoon, jota sadat tuhannet yritykset ja organisaatiot käyttävät tietojärjestelmiensä rakentamiseen. Yksi hakkereita auttanut asia tietomurrossa oli yrityksen palvelimen erittäin heikko salasana. Siellä missä on käyttäjiä on aina haavoittuvuuksia.
Telian tietoturva-asiantuntija Tarmo Hassisen mukaan hyökkäyksiä valmistellaan hyvinkin pitkään, jotta itse hyökkäys sujuisi mahdollisimman tehokkaasti ja huomaamattomasti. Hän komppaa Fergusonia siinä, että kyberrikollisuus on tänä päivänä hyvin organisoitunutta.
”Tietoturva on digitaalisen toimintaympäristön mahdollistaja. Se ei ole laastari, joka otetaan haavan tullen käyttöön, vaan se pitää suunnitella huolellisesti vastaamaan liiketoiminnan muuttuvia tarpeita jo palveluiden suunnitteluvaiheissa. Voidaan kysyä, kuinka tärkeä uusi pilvipalvelu tai siellä oleva tieto yritykselle on. Entä mitä voi seurata siihen kohdistuvan hyökkäyksen myötä.”
Etätyöskentelyn yleistyessä Hassinen näkee tärkeänä päätelaitteiden suojaamisen, käyttäjien osaamisen kasvattamisen ja loppukäyttäjien käyttöoikeuksien tarkastelemisen osana yrityksen tietoturvapolitiikkaa.
”Yksittäisistä teknisistä asioista suosittelen monivaiheista tunnistautumista ja salasanahallintatyökalun käyttöä. Lisäksi työvälineitä tulisi käyttää vain työkäyttöön.”
Tietoturvahyökkäysten määrä kasvussa, mikä ratkaisuksi?
Ihmiset ovat yritysten suurimpia tietoturvariskejä. Lisäksi hyökkäyksiä tulee niin paljon, että kaikkien hälytysten läpikäyminen on mahdotonta. Ferguson puhuu taitokuilusta (skills gap), jota vastaan emme pysty taistelemaan. Ratkaisuiksi tietoturvan parantamiseen hän esittää automatisoinnin ja orkestroinnin eli tietojärjestelmien ja -ohjelmistojen automaattisen konfiguroinnin, koordinoinnin ja hallinnan. Lisäksi koneoppiminen ja tekoäly ovat välttämättömiä suojauksen työkaluja.
Verkkohyökkäysten torjunnassa on tärkeää nähdä reaaliaikainen kokonaiskuva ja tähän tietoturvayrityksillä onkin erilaisia ratkaisuja. Usein niiden keskiössä on juuri automatisointi.
”Ideaalitilanteessa kyberuhkia vähentäisi teknologiatoimittajien palveluiden saumaton yhteispeli. Yhteistyön avulla kaikki data eri palvelukerroksista saataisiin hyötykäyttöön. Automaatio ja algoritmit ovat nimittäin mahtavia työkaluja suurten tietomassojen kautta toteutettuun tietoturvaan.”
”Niiden poikkeamien käsittelyyn, joita tekniikka ei siivoa, on tarvetta ihmisosaamiselle. Tässä osaava SOC-tietoturvavalvomopalvelu on usein vastaus haasteeseen”, Hassinen päättää.
Rik Fergusonin näkemykset perustuvat hänen puheenvuoroonsa Telia Day ONE virtuaalitapahtumassa helmikuussa 2021.
