Lyhyesti: IT-hätäyhteystietojen lista nimeää jokaiselle roolille henkilön ja sijaisen, tavoitettavuuden myös työajan ulkopuolella, tilanteen jossa hänelle ilmoitetaan sekä tiedot, jotka on oltava valmiina puhelun aikana. Lista on tulostettuna ja erillisellä laitteella, sitä testataan säännöllisesti ja siihen kuuluvat myös viranomaiset, joilla on ilmoitusmääräajat. Näin hätätilanteessa ei kulu aikaa etsimiseen.
Numero, joka ei ole kenelläkään
Perjantai-ilta, verkkokauppa näyttää outoja uudelleenohjauksia, ylläpitäjällä on epäilys. Mitä nyt? Soitetaan hosting-yritykselle, mutta mikä numero pätee työajan ulkopuolella ja mitä asiakasnumeroa tarvitaan? Toimistolle, mutta kenellä siellä on pääsy palvelimelle? Vakuutusyhtiölle, mutta missä vakuutuskirjan numero on? Ja kuka päättää, otetaanko verkkokauppa pois verkosta?
Moni yritys tuntee tällaiset hetket, ja PHP2Shell-viikko on moninkertaistanut ne. Hätäsuunnitelma on parhaassa tapauksessa olemassa, mutta sen yhteystietolista on usein heikoin lenkki: vanhentunut, puutteellinen tai tallennettu vain digitaalisesti juuri siihen järjestelmään, joka ei ole käytettävissä. Miten suunnitelma kokonaisuutena rakennetaan, kuvaa sivu IT-hätäsuunnitelman laatiminen verkkopalvelimille. Tässä keskitytään itse listaan.
Ketkä kuuluvat hätäyhteystietojen listaan?
Seuraava taulukko järjestää tyypilliset yhteyshenkilöt sen mukaan, milloin heille ilmoitetaan, ja kertoo, mitä ensimmäiseen yhteydenottoon kannattaa pitää valmiina.
| Yhteyshenkilö | Milloin ilmoitetaan | Mitä pitää valmiina |
|---|---|---|
| Hätäjohto (usein johto) | jokaisesta häiriöepäilystä | lyhyt tilannekuva, ensiarvio |
| IT-vastaavat ja ylläpitäjät | heti, teknistä tarkastusta varten | kohteena olevat järjestelmät luettelon mukaan |
| Hosting-yritys (hätäkanava) | palvelimella epäillystä asiasta, sulkemista tai lokeja varten | asiakasnumero, sopimusnumero, tukisalasana |
| Toimisto tai kehittäjä | jos sovellus on kohteena | projektin nimi, käyttöoikeudet, yhteyshenkilö |
| IT-turvallisuuspalvelun tarjoaja | vahvistetussa tai todennäköisessä tunkeutumisessa | tähänastiset havainnot, ajankohdat |
| Tietosuojavastaava | heti kun henkilötietoja voi olla vaarantunut | tietolajit, ajanjakso, järjestelmät |
| Kyberturvallisuusvakuutus | vakuutuskirjan ehtojen mukaan, yleensä varhain | vakuutuskirjan numero, vahinkoilmoituksen reitti |
| Oikeudellinen neuvonta | ilmoitusvelvollisuuksissa, kiristyksessä, vastuukysymyksissä | tilanne, tähänastiset toimet |
| Tietosuojaviranomainen | ilmoitettavassa tietosuojaloukkauksessa, mahdollisuuksien mukaan 72 tunnin kuluessa | GDPR:n 33 artiklan 3 kohdan mukaiset tiedot |
| Zentrale Ansprechstelle Cybercrime (ZAC) | rikosilmoitusta tehtäessä | todisteet, aikajana |
| BSI | NIS2:n mukaisessa ilmoitusvelvollisuudessa | BSI:n ohjeiden mukaan |
| Viestintä | ennen jokaista ulkoista tiedotetta | yhdessä sovitut tosiasiat |
Toimivaltaisen Zentrale Ansprechstelle Cybercrime -yhteyspisteen löydätte osavaltionne poliisin kautta; rikosilmoituksen kulku selviää sivulta Rikosilmoituksen tekeminen: Zentrale Ansprechstelle Cybercrime. Mitä määräaikoja ja velvollisuuksia vakuutukset tyypillisesti asettavat, kuvaa sivu Kyberturvallisuusvakuutus: mikä merkitsee vahinkotilanteessa.
Mitä jokaisen merkinnän on sisällettävä
Nimi ja puhelinnumero eivät riitä. Täydellinen merkintä vastaa kuuteen kysymykseen:
- Rooli: Mistä henkilö vastaa, mistä hän saa päättää?
- Nimi ja sijainen: Kuka astuu tilalle, jos ensimmäistä henkilöä ei tavoiteta?
- Tavoitettavuus: Puhelin, myös matkapuhelin, ja toinen tie. Päteekö numero myös öisin ja viikonloppuisin?
- Laukaisija: Minkä tapahtuman yhteydessä tälle henkilölle ilmoitetaan?
- Todentaminen: Asiakasnumero, sopimusnumero, tukisalasana, jotta puhelu ei kaadu henkilöllisyyden tarkistukseen.
- Tila: Milloin merkintä on viimeksi tarkistettu?
Erityisesti kohta 5 aliarvioidaan usein. Hosting-yritykset ja rekisteröijät tarkistavat puhelimessa, onko soittajalla oikeus asiaan, ja aivan syystä. Joka joutuu ensin etsimään asiakkaan salasanaa, menettää arvokasta aikaa. Säilyttäkää tällaiset tiedot turvallisesti, mutta niin, että hätäjohto pääsee niihin käsiksi hätätilanteessa.
Ottakaa palveluntarjoajien puhelinnumerot sopimuksesta tai virallisilta verkkosivuilta, älkää koskaan sähköpostiviestistä. Huijarit käyttävät tunnettuja tietoturvatilanteita mielellään väärennettyihin viesteihin, joissa on ”hätänumeroita”.
Järjestys hätätilanteessa
Kaikkia yhteyshenkilöitä ei tarvita yhtä aikaa. Porrastettu toimintatapa on osoittautunut hyväksi: ensin hätäjohto ja tekniikka, jotta syntyy ensiarvio ja voidaan päättää rajaamisesta. Sen jälkeen hosting-yritys, toimisto ja tietoturvapalvelun tarjoaja tekniseen työhön. Heti kun henkilötietoja voi olla vaarantunut, tietosuojavastaava, sillä tietosuojaloukkauksen tultua tietoon alkaa GDPR:n 33 artiklan mukainen määräaika. Vakuutus ja oikeudellinen neuvonta tulevat mukaan varhain, ennen tärkeitä päätöksiä. Ulkoinen viestintä tulee viimeisenä ja vain yhdessä sovittujen tosiasioiden kanssa.
Mitä vaiheita ensimmäisen hälytyksen jälkeen seuraa, tiivistää tarkistuslista hakkeroinnin jälkeen. Tämä sivu antaa yleisiä ohjeita; ilmoitusvelvollisuudet ja oikeudelliset kysymykset selvitätte tietosuojavastaavan ja asianajajan kanssa.
Suunnitelkaa lisäksi toinen viestintäkanava. Jos sähköpostipalvelin on kohteena tai on epäilys, että hyökkääjä lukee sisäisiä postilaatikoita, koordinoinnin pitäisi tapahtua erillisellä kanavalla, esimerkiksi puhelimitse tai etukäteen perustetussa ryhmässä toisella palvelulla. Sopikaa kanava etukäteen ja ottakaa se listalle. Uuden reitin etsiminen hätätilanteessa maksaa aikaa ja aiheuttaa epävarmuutta siitä, mikä viesti on aito.
Listan pitäminen elävänä
Yhteystietolistat vanhenevat hiljaa. Työntekijät vaihtuvat, palveluntarjoajat muuttavat hätänumeroita, sopimukset päättyvät. Suunnitelkaa siksi kaksi kiinteää tarkastusajankohtaa vuodessa ja lisäksi tilannekohtainen tarkastus jokaisen muutoksen yhteydessä. Lyhyt testipuhelu työajan ulkopuolella osoittaa luotettavimmin, toimiiko hätäkanava todella. Kysykää samalla, tietääkö henkilö olevansa listalla ja mitä häneltä hätätilanteessa odotetaan.
Miten PHP SOS auttaa konkreettisesti?
- Laadimme kanssanne teknisten hätäyhteystietojen listan ja tarkistamme, onko hosting-yrityksillä ja toimistoilla todella hätäkanava.
- Määritämme, mitkä tiedot jokaisesta yhteyshenkilöstä on oltava valmiina, jotta puhelu tehoaa heti.
- Tuemme hälytyksen testiajoa ja viemme havaitut aukot dokumentteihinne.
- Hätätilanteessa olemme listallanne teknisenä yhteyshenkilönä Incident Response -palvelun kautta.
Yhteenveto: Hyvä yhteystietolista on lyhyt, täydellinen ja testattu. Se ratkaisee, kuluvatko häiriön ensimmäiset tunnit toimimiseen vai etsimiseen.
Usein kysytyt kysymykset
Ketkä kuuluvat IT-hätäyhteystietojen listaan?
Sisäisesti johto, IT, tietosuojavastaava ja viestintä, ulkoisesti hosting-yritys, toimisto, IT-turvallisuuspalvelun tarjoaja, kyberturvallisuusvakuutus, oikeudellinen neuvonta, toimivaltainen tietosuojaviranomainen ja osavaltionne Zentrale Ansprechstelle Cybercrime -yhteyspiste (ZAC, poliisin kyberrikosten yhteyspiste), NIS2-velvoitteen alaisilla lisäksi BSI.
Missä säilytän hätäyhteystiedot?
Vähintään kahdessa paikassa, joista yksi on tavoitettavissa ilman omaa IT:tä, esimerkiksi tulostettuna hätäkansiossa ja erillisellä laitteella. Lista, joka on vain sähköpostissa tai kohteena olevalla palvelimella, ei ole hätätilanteessa käytettävissä.
Kuinka usein lista pitäisi tarkistaa?
Vähintään kahdesti vuodessa sekä jokaisen henkilöstö- tai palveluntarjoajamuutoksen jälkeen. Lyhyt testipuhelu osoittaa, ovatko numerot oikein ja tietävätkö henkilöt olevansa listalla.
Onko tietosuojaviranomaiselle aina ilmoitettava?
Ei jokaisesta häiriöstä. GDPR:n 33 artikla edellyttää ilmoitusta henkilötietojen tietoturvaloukkauksesta mahdollisuuksien mukaan 72 tunnin kuluessa, ellei se todennäköisesti aiheuta riskiä rekisteröidyille. Arvioinnin teette tietosuojavastaavan kanssa; tämä sivu ei ole oikeudellista neuvontaa.