Lyhyesti: Tietoturvatietoisuus verkkotiimin työntekijöille tarkoittaa: jokainen verkkosivustoa ylläpitävä tuntee roolinsa kolme tai neljä riskiä, tunnistaa poikkeamat ja ilmoittaa niistä nopeasti ja ilman pelkoa syytöksistä. Sisällöntuottajat tarvitsevat eri sisältöjä kuin ylläpitäjät. Lyhyet, toistuvat jaksot omasta CMS:stä otetuin esimerkein tehoavat paremmin kuin vuosittainen pakollinen koulutus.
Miksi verkkotiimi on juuri nyt keskipisteessä
PHP2Shellin ympärillä oleva tilanne on osoittanut, kuinka paljon verkkosivustojen ylläpitäjiin kohdistuu muutamassa päivässä: BSI:n (Saksan liittovaltion tietoturvaviraston) varoituksia, hosting-yritysten tiedotteita, neuvoja foorumeilla ja sosiaalisessa mediassa, joukossa myös vääriä. Tällaisina viikkoina eivät päätä vain ylläpitäjät, vaan myös sisällöntuottajat, markkinointi ja assistentit, minkä viestin he avaavat ja mitä linkkiä napsauttavat.
Suuret uutistilanteet ovat kokemuksen mukaan huijareille tilaisuus. Varautukaa viesteihin, jotka esiintyvät hosting-yrityksenä, CMS-valmistajana tai ”IT-osastona” ja kehottavat kiireelliseen kirjautumiseen tai väitettyyn tietoturvapäivitykseen. Joka tuntee todellisen tilanteen, lankeaa niihin harvemmin. Teknistä aukkoa ei sulje yksikään sisällöntuottaja, mutta varastettu ylläpitäjän tunnus avaa oven myös ilman aukkoa.
Tietoturvatietoisuus työntekijöille: kuka tarvitsee mitä?
Koulutus kaikille samoilla kalvoilla ohittaa yleensä tavoitteensa. Mielekkäämpää on rajata sisältö rooleittain. Seuraava yleiskatsaus auttaa suunnittelussa:
| Rooli | Tyypilliset riskit | Mitä henkilön pitäisi osata |
|---|---|---|
| Sisällöntuottaja, markkinointi | tietojenkalasteluviestit, turvattomat tiedostolataukset, jaetut tunnukset | tarkistaa lähettäjä, ladata vain odotettuja tiedostotyyppejä, ei koskaan luovuttaa omia tunnuksiaan |
| CMS-ylläpitäjä | lisäosat tuntemattomasta lähteestä, liian monta ylläpitäjätiliä, entisten työntekijöiden vanhat tilit | jakaa oikeudet säästeliäästi, tarkistaa tilit säännöllisesti, ottaa laajennukset käyttöön vain hyväksynnällä |
| Palvelimen ylläpitäjä | tarkistamattomat vinkit netistä, muutokset ilman lokia, unohtuneet testitiedostot | arvioida lähteet, dokumentoida muutokset, tuntea hätätie |
| Johto | paine nopeisiin päätöksiin, epäselvät vastuut | sopia päätöspolut, ottaa ilmoitukset vakavasti, hyväksyä ennaltaehkäisyn budjetti |
| Ulkopuolinen toimisto | yhteiset tunnukset, puuttuvat sopimukset | käyttää omia henkilökohtaisia tilejä, ilmoittaa muutoksista etukäteen |
Taulukko näyttää myös, missä tekniikan on autettava. Henkilökohtaiset tilit yhteiskäyttötunnusten sijaan ja kaksivaiheinen tunnistautuminen kaikille kirjoitusoikeuksien haltijoille keventävät koulutusta paljon. Miten se tehdään, selviää sivulta Kaksivaiheinen tunnistautuminen ylläpitäjien tunnuksille.
Mitä sisällöntuottajien on tiedettävä tulematta teknikoiksi
Sisällöntuottajien ei tarvitse tietää, mikä PHP-työprosessi on. Kolme asiaa heidän pitäisi kuitenkin hallita varmasti. Ensiksi: kehotus kirjautua uudelleen ”tietoturvahäiriön vuoksi” ei koskaan hoidu viestin linkin kautta, vaan tutulla tiellä CMS:ään tai kysymällä ylläpitäjältä.
Toiseksi: poikkeamista ilmoittaminen. Siihen kuuluvat tuntemattomat käyttäjätilit käyttäjäluettelossa, sivut tai artikkelit, joita kukaan ei ole luonut, äkilliset uudelleenohjaukset ja selaimen varoitukset. Sisällöntuottaja näkee verkkosivuston usein useammin kuin ylläpitäjä ja huomaa muutokset aikaisemmin.
Kolmanneksi: tietoinen suhtautuminen latauksiin. Kuvat ja PDF:t ovat arkipäivää, mutta tiedosto, jolla on outo pääte, ”edelleen lähetettävä” arkisto tai makroja sisältävä asiakirja ei kuulu CMS:ään. Jos tiedostoa ei voi ladata, se on yleensä tarkoituksellista eikä virhe, jota pitäisi kiertää.
Mitä ylläpitäjät tarvitsevat lisäksi
Ylläpitäjillä kyse on vähemmän tietojenkalastelusta kuin harkintakyvystä aikapaineen alla. PHP2Shell-viikolla kiersi neuvoja, jotka alan kirjoittajat nimenomaisesti torjuvat, esimerkiksi kaikkien PHPSESSID-pyyntöjen estäminen. Yleiskatsauksen tällaisista harhapoluista tarjoaa kirjoitus Vaaralliset vääränlaiset vinkit PHP2Shellistä. Hyvät ylläpitäjät tarkistavat ensin ensisijaisen lähteen, siis php.netin, BSI:n tai valmistajan, ennen kuin muuttavat asetuksia.
Siihen kuuluu kurinalaisuus muutoksissa: mitä on muutettu, milloin ja miksi, ja miten se voidaan perua? Lyhyt merkintä tiketissä tai wikissä riittää. Hätätilanteessa tämä lista on kullan arvoinen, koska se näyttää, mikä muutos on teidän ja mikä ei.
Lopuksi ylläpitäjien pitäisi tietää, mistä mahdollisen tunkeutumisen tunnistaa ja mitä silloin ei pidä tehdä: ei poistaa kiireessä, ei asentaa heti uudelleen, vaan turvata ja ilmoittaa. Tyypilliset merkit tiivistää sivu Onko järjestelmä jo vaarantunut?.
90 päivässä valppaaksi verkkotiimiksi
Ohjelman ei tarvitse olla suuri tehotakseen. Nämä vaiheet ovat osoittautuneet hyviksi:
- Selvitä tilanne (viikot 1–2): Kenellä on mitkä käyttöoikeudet CMS:ään, hostingiin, verkkotunnukseen ja palvelimeen? Purkakaa yhteiskäyttötilit, sulkekaa vanhat tilit.
- Sovi ilmoitustie (viikko 2): Yksi osoite tai kanava viesteille ”jokin vaikuttaa oudolta”. Jokaiseen ilmoitukseen vastataan, vaikka se olisi ollut harmiton.
- Ensimmäinen lyhytjakso roolia kohden (viikot 3–4): 20 minuuttia, esimerkit omasta CMS:stä, kuvakaappaukset oikeista valikoista.
- Ota kaksivaiheinen tunnistautuminen käyttöön (viikkoon 6 mennessä): Kaikille kirjoitusoikeuksien haltijoille, hätäkoodit turvallisessa paikassa.
- Harjoitusviesti ja arviointi (viikko 8): Ennalta ilmoitettu testikampanja ilman yksittäisten henkilöiden häpäisyä. Arvioidaan, ilmoitettiinko, ei sitä, kuka napsautti.
- Toinen jakso ajankohtaisesta aiheesta (viikot 10–12): Esimerkiksi meneillään oleva tietoturvatilanne, läpikäyty omassa järjestelmässä.
Mitatkaa onnistumista ilmoituksilla, ei napsautusosuuksilla. Tiimi, joka ilmoittaa paljon, on valpas. Tiimi, joka ei koskaan ilmoita, on joko täydellinen tai epävarma, ja ensin mainittu on harvinaista.
Miten PHP SOS auttaa konkreettisesti?
- Kartoitamme kanssanne yhdessä, kenellä on mitkä käyttöoikeudet, ja osoitamme yhteiskäyttötilit, ylimääräiset ylläpitäjät ja unohtuneet käyttöoikeudet.
- Pidämme lyhyet jaksot roolia kohden etänä, esimerkein teidän CMS:stänne ja palvelinympäristöstänne.
- Perustamme ilmoitustien mukana ja arvioimme saapuneet epäilyilmoitukset, jos niin haluatte.
- Tietoturvahuoltosopimuksen puitteissa toistamme jaksot ajankohtaisista aiheista ja tarkistamme tilit säännöllisesti.
Yhteenveto
Tietoturvatietoisuus verkkotiimissä ei synny pelosta vaan selkeydestä: jokainen tuntee roolinsa, sen tyypilliset riskit ja tien, jota pitkin poikkeamista ilmoitetaan. Yhdistettynä henkilökohtaisiin tileihin ja kaksivaiheiseen tunnistautumiseen se on suoja, joka kantaa myös seuraavalla kriisiviikolla.
Usein kysytyt kysymykset
Tarvitsevatko sisällöntuottajat ylipäätään tietoturvakoulutusta?
Kyllä. Sisällöntuottajilla on pääsy CMS:ään, he lataavat tiedostoja ja saavat viestejä, jotka näyttävät järjestelmäviesteiltä. Heidän ei tarvitse ymmärtää tekniikkaa, mutta heidän on tunnistettava, milloin jokin on epätavallista, ja tiedettävä, kenelle siitä ilmoitetaan.
Kuinka usein verkkotiimi pitäisi kouluttaa?
Mieluummin lyhyesti ja säännöllisesti kuin kerran vuodessa pitkästi. Hyväksi ovat osoittautuneet 15–20 minuutin jaksot muutaman viikon välein, täydennettynä ajankohtaisella aiheella, kuten meneillään olevalla tietoturvatilanteella.
Mitä tehdä, jos työntekijä on napsauttanut tietojenkalasteluviestin linkkiä?
Antakaa hänen ilmoittaa heti, ilman syytöksiä. Sen jälkeen vaihdetaan kyseinen salasana, lopetetaan aktiiviset istunnot ja tarkistetaan, onko tilillä muutettu jotain. Mitä aikaisemmin ilmoitus tulee, sitä pienempi vahinko yleensä on.
Korvaako koulutus tekniset suojatoimet?
Ei. Koulutus ja tekniikka täydentävät toisiaan. Kaksivaiheinen tunnistautuminen, erotetut roolit ja ajan tasalla oleva ohjelmisto torjuvat virheitä, joita sattuu myös hyvin koulutetuille ihmisille.