Lühidalt: Kui teie ühingu veebisait on häkitud või töötab paigata PHP peal, ei ole vaja suurt eelarvet, kuid on vaja selget vastutust. Üks juhatuse liige küsib veebimajutajalt paigatud seisu, kindlustab ligipääsud ja otsustab vajaduse korral veebisaidi ajutiselt välja lülitada. Liikmeandmed on seejuures tähtsamad kui sündmuste kalender.
Kuidas ühingute veebisaidid tavaliselt üles ehitatud on
Enamik ühingute ja liitude veebisaite töötab WordPressil või Joomlal, mille on seadistanud pühendunud liige, sageli palju aastaid tagasi. Tüüpilised funktsioonid: sündmused ja mänguplaanid, fotogaleriid, liikmeala protokollidega, veebipõhised liikmetaotlused SEPA otsekorralduse volitusega, annetusvormid ning registreerimised kursustele, turniiridele või reisidele.
Liidud haldavad lisaks portaale liikmesettevõtetele või kohalikele rühmadele, organite alasid konfidentsiaalsete dokumentidega ja seminaride broneeringuid. Peaaegu kõik see põhineb PHP-l ja asub soodsal veebimajutusel.
Millised liikmeandmed serveris asuvad
Veebipõhised liikmetaotlused sisaldavad nimesid, sünniandmeid, aadresse ja pangaühendusi. Spordiühingutes on paljud liikmed alaealised, taotlused nimetavad siis ka eestkostjaid. Mõni teave kuulub IKÜM art 9 järgi eriliiki andmete hulka, näiteks terviseandmed rehabilitatsiooni- ja puuetega inimeste spordis või kuulumine ametiühingutesse ja usukogukondadesse.
Sageli asuvad serveris lisaks unustatud failid: liikmeloendid tabelina laekuriks, eksportid ühingu ajakirja saatmiseks, vanad varukoopiad. Just need kopeeritakse rünnaku korral kiiresti.
Liitude puhul lisanduvad muud andmed: liikmesettevõtete kontaktisikud ja näitajad, seisukohtade kavandid, juhatuse ja töörühmade koosolekute protokollid. Mida seal konfidentsiaalselt arutati, võib lekke korral nõrgendada läbirääkimispositsioone või panna liikmeid üksteise vastu. Liitude jaoks on liikmeala seetõttu sageli tundlikum kui avalik veebisait.
Ühing ja veebisait häkitud: mida see konkreetselt tähendab
- Pangaandmete kuritarvitamine: Nimede ja IBAN-iga saab ette valmistada võltsitud otsekorraldusi või pettuskirju ühingu nimel.
- Maine kogukonnas: Ühingu leht, mis suunab kahtlastele pakkumistele, torkab silma liikmetele, sponsoritele ja kohalikule ajakirjandusele.
- Teavitamiskohustus: Ka ühingud on IKÜM-i järgi vastutavad töötlejad. Andmelekke korral võib olla vaja teavitada järelevalveasutust 72 tunni jooksul. Suuremal ühingul on selleks andmekaitsespetsialist, väiksemad pöörduvad katusorganisatsiooni või õigusnõustamise poole.
Tüüpiline lünk: vabatahtlik töö ja juhatuse vahetus
Ühingus teab tehnilisi üksikasju sageli ainult üks inimene. Kui ta lahkub või juhatus vahetub, puuduvad ligipääsuandmed ja keegi ei tea, milline PHP versioon töötab. CMS-i uuendus PHP2Shelli ei sulge. PHP eest vastutab tavalise veebimajutuse puhul veebimajutaja, kuid järelepärimine peab tulema ühingult.
Määrake juhatuses, kes veebisaidi eest vastutab, ja hoidke domeeni, majutuse ja administraatoriala ligipääse nii, et neile pääseb ligi vähemalt kaks isikut. Kaitske administraatorikontosid kaheastmelise autentimisega.
Esimesed sammud juhatusele
- Küsige veebimajutajalt kirjalikult: kas PHP on meie paketi jaoks versioonile 8.5.12, 8.4.27, 8.3.36 või 8.2.35 uuendatud või backportiga paigatud ja uuesti käivitatud?
- Selge vastuse puudumisel või kõrvalekallete korral lülitage veebisait ajutiselt välja. Kuupäevi saab selle aja jooksul ringkirjaga jagada.
- Paluge veebimajutajal logisid alates 20.10.2026 säilitada.
- Eemaldage serverist vanad liikmeloendid, eksportid ja kasutamata pluginad ning kustutage üleliigsed administraatorikontod.
- Andmelekke viidete korral kaasake andmekaitsespetsialist või katusorganisatsioon.
Väikese eelarvega mõistlikult prioriseerida
Ükski ühing ei pea kõiki turvameetmeid korraga ellu viima. Mõistlik on järjekord kahju järgi: kõigepealt kaitsta või eemaldada kõik, mis sisaldab pangaühendusi ja laste andmeid. Seejärel sisselogimisega lehed, see tähendab liikmeala ja administraatoriligipääs. Viimasena sündmused, aruanded ja galeriid, mis on niigi avalikud.
Sageli on kõige soodsam lahendus funktsioone ära anda, selle asemel et neid ise hallata. Liikmetaotlusi ja otsekorralduse volitusi saab vormistada ühinguhalduse kaudu, mida haldab pakkuja, selle asemel et kasutada omaehitatud vormi. Portaalidega liidud peaksid kontrollima, kas seal asuvad konfidentsiaalsed organite dokumendid, mis oleksid paremini hoitud eraldi kaitstud süsteemis. Mida vähem andmeid ühingu veebisaidil asub, seda vähem vaeva toob järgmine turvaauk.
Kuidas PHP SOS konkreetselt aitab?
- Aitame juhatusel ligipääsud tagasi saada ja selgitame veebimajutajaga välja paigatud seisu.
- Kahtluse korral kontrollime veebisaiti kahjuliku koodi ja tundmatute kontode suhtes ning puhastame selle oma hädaabi kaudu.
- Teeme sihipärast korda: mida ühing ei vaja, see eemaldatakse, selle asemel et seda edasi kaitsta.
- Anname teile kaasa lühikese, arusaadava üleandmise, et ka järgmine juhatus teaks, mis kus asub.
Korduma kippuvad küsimused
Kas juhatus vastutab, kui ühingu veebisait häkitakse?
Ühing vastutab oma liikmete andmete eest ja juhatus esindab ühingut. Kas ja kui kaugele isiklik vastutus kõne alla tuleb, sõltub üksikjuhust ja põhikirjast. See on küsimus õigusnõustamisele või katusorganisatsioonile.
Meie veebihaldur on lahkunud. Kuidas me ligipääsuandmeteni jõuame?
Veebimajutaja lepingupartner on üldjuhul ühing. Esindusõiguse tõendiga, näiteks registriväljavõttega, saab juhatus veebimajutaja juures ligipääsud lähtestada. Pärast seda peaksid ligipääsuandmed asuma kohas, millele on ligipääs vähemalt kahel juhatuse liikmel.
Mis ei maksa midagi ja aitab kohe?
Küsige veebimajutajalt kirjalikult PHP paigatud seisu kohta, kustutage kasutamata administraatorikontod, eemaldage mittevajalikud pluginad ja kustutage serverist vanad liikmeeksportid. See vähendab riski märkimisväärselt, kuid ei asenda kontrolli, kui häkkimise tunnuseid on juba olemas.