Artikkel
  • Cybernetica: pandeemia tõi nähtavale Eesti ettevõtete turvanõrkused

    Pandeemia oli soodne aeg küberkurjategijatele, kuna ettevõtetel polnud aega kodukontorite turvalahendustele mõelda ning kiiruga avatud e-poed olid kergesti haavatavad.

    Cybernetica küberturvalisuse osakonna müügi- ja partnersuhete juht Mai Mitt
    “Pandeemia oli lihtne aeg küberkurjategijatele, kuna ettevõtjad pidid kiiresti reageerima ning saatma oma töötajad kodukontoritesse. Samas kaugtöö lahendused kodust töötamiseks ei pruukinud olla kõige turvalisemad,” tõdes Cybernetica küberturvalisuse osakonna müügi- ja partnersuhete juht Mai Mitt.
    Sel perioodil loodi ka palju e-poode, kuna firmad pidid oma äri klientidele kiiresti kättesaadavaks tegema. Kuid need esimesed töötavad versioonid ei pruukinud kõige turvalisemad olla.
    Samuti märgib Riigi infosüsteemi (RIA) küberturvalisuse aastaraamat, et 2021 oli turvanõrkuste aasta. Möödunud aastal tuli päevavalgele mitu kriitilist turvanõrkust, mis põhjustasid paksu pahandust nii Eestis kui ka mujal maailmas. Aeglane reageerimine turvaaukudele võimaldas mitmel juhul Eesti ettevõtteid ja asutusi kerge vaevaga rünnata.
    IT-süsteeme üle maailma rünnatakse alatasa ning avastatud turvanõrkustest on palju kasu neile, kes üritavad selle abil rikastuda või mõju avaldada. RIA registreerib aastas rohkem kui 20 000 pöördumist ning enam kui 2300 tõsist küberintsidenti, millel on reaalne mõju süsteemile või selle toimimisele.
    “Väga paljudel firmadel puuduvad IT-spetsialistid, rääkimata siis küberturbespetsialistidest,” sõnas Mitt. Kuid olukord on hakanud paranema ning just e-kaubanduse valdkonna ettevõtted on hakanud probleemi teadvustama. Cybernetica on märganud, et rohkem ettevõtteid otsivad koostööpartnerit, kes aitaks neil küberturvalisuse olukorda hinnata ja neid riske maandada.

    Kaardista infovarad ja kriitilised äriprotsessid

    Rääkides keskmisest tootmisettevõttest, soovitas Mitt, et esiteks tasuks koos IT-juhiga üle vaadata ja kaardistada ettevõtte infovarad ning millised on kõige kriitilisemad äriprotsessid, mille äralangemine küberründe tõttu tekitaks ärile kahju.
    “Tavaliselt on need üsna selgelt teada, millised tootmisseadmed peaksid töötama kogu tööaja, et tagada tellimuste täitmine. Selle vara oskavad tootmisettevõtted väga lihtsalt enda jaoks ära kaardistada,” lausus Mitt. Pärast seda saab hinnata selle haavatavust turvanõrkuste skaneerimise tööriistade või auditi kaudu. E-poodide turvalisust saab kontrollida näiteks läbistustestimisega.
    “Selline üldine teenus on digitaalse jala­jälje analüüs, millega ettevõte saab väga madalate kuludega selgeks teha, millised on tema nõrkused väljastpoolt vaadatuna. Selle järgi saab hakata juba konkreetsemalt plaanima, millised on järgmised sammud,” lausus Mitt.

    Kontrolli turvalahenduste pakkuja tausta

    Koostööpartneri valikul soovitas Mai Mitt võtta valikusse vähemalt kolm firmat ning nende köögipoolega lähemalt tutvuda. Uurida tasuks nende spetsialistide taset, et millise kogemuse ja kvalifikatsiooniga inimesed selles firmas teenuseid osutavad.
    Samuti tasub küsida enda ettevõttele spetsiifilist pakkumist, sest siis tulebki välja teenusepakkuja professionaalsus. “Tihti pakutakse valikust lihtsalt mingit teenust, kuulamata ettevõtte reaalset vajadust,” möönis Mitt. “Cybernetica eelis on see, et me pakume ettevõttele sellist lahendust, millest on reaalset kasu ning väärtus ettevõttele,” lisas ta.
    Lisaks võiks küsida ka näidisraporteid teenuste kohta ja konkreetset eelarvet, et teha informeeritud otsus.
    Mitt rõhutas, et kuigi ühekordne turvaaudit on väga kasulik, on parima tulemuse saavutamiseks soovitatav testida regulaarselt. Kui ettevõttes on küberturvalisuse riskid hästi juhitud, siis seda ei pruugigi sagedamini kui kord kahe aasta tagant vaja minna. Oluline on ka ettevõtte töötajate koolitused ja küberhügieen. Kui ettevõtte töötajad on teadlikud ja kasutavad parimaid teadaolevaid praktikaid, siis polegi vaja küberturvalisuse teenuseid kasutada nii suures mahus.
    “Kui ettevõttes võetakse kasutusele uusi rakendusi või tehakse suuremahulist koodi muutmist ja uuendamist, siis tasub kindlasti mõelda sellele, et see kõik toimuks turvaliselt,” sõnas Mitt.

    Mis on läbistustestimine ja miks seda vaja on?

    “Läbistustestimine on sissetungirünnete imiteerimine turvameetmete toimivuse kontrollimiseks, tihti süsteemi sertifitseerimistestimise osana,” selgitas Cybernetica küberturvalisuse osakonna turvainsener Aivo Toots.
    Cybernetica küberturvalisuse osakonna turvainsener Aivo Toots
    Testimise käigus kasutatakse meetodeid ehk imiteeritakse ründeid, mida kasutavad tüüpilised ründajad ehk häkkerid. Testimine viiakse sageli läbi n-ö ründaja vaatepunktist – omamata informatsiooni süsteemi sisemise toimimise kohta. Testimise aluseks on erinevad referents-metoodikad, lisaks aitavad testija isiklik pädevus ja kogemused.
    Miks peaks ühel tootmisettevõttel või 10 inimesega väikefirmal vaja olema läbistustestimist?
    Tasub mõelda, mis juhtub, kui tootmisettevõttes või väikefirmal jääb kriitilise tähtsusega seadme ründamise tõttu töö seisma üheks, kaheks või enamaks päevaks? Kas on olemas plaan selliseks olukorraks?
    Kindlasti tasub konsulteerida spetsialistidega, nemad oskavad anda nõu, kas läbistustestimine võiks olla vajalik. Kindlasti ei ole tegemist hõbekuuliga, mis lahendab kõik probleemid.
    Kuidas Cybernetica seda läbi viib? Kaua see aega võtab ja milline on testimise tulemus?
    Läbistustestimist viiakse läbi kas distantsilt või kliendi juures kohapeal. Kuna tegemist on teenusega, mis võib süsteeme “katki teha”, on oluline, et kõik potentsiaalselt mõjutatud osapooled oleksid testimisest teadlikud. Ohutum on viia testimist läbi test/arendus-keskkonnas, mis on võimalikult sarnane toimiva tootmissüsteemiga.
    Ühe testimise iteratsiooni kestus võiks olla 3–8 nädalat ning suuremad projektid võiks tükeldada osadeks. Vähemaga ei pruugi testijad jõuda minna piisavalt süvitsi, märkimisväärselt pikem testimine ei pruugi anda enam leide. Oluline on mõista, et läbistustestimise tulemuseks ei ole väide, et süsteem on rohkem või vähem turvaline, vaid testimiseks panustatud aja jooksul tuvastati ühel või teisel määral haavatavusi.
    Tulemuseks on lühem kokkuvõttev raport ja pikem detailne tehniline raport, kus on välja toodud tuvastatud haavatavused, näited kuidas neid haavatavusi on võimalik ära kasutada, ja spetsialisti hinnang, millist mõju võiks ühe või teise haavatavuse ärakasutamine süsteemile avaldada. Testimise tulemusel leitud vigade parandamine vähendab tõenäosust sattuda automaatsete / vähem sihitud rünnakute ohvriks.

    Cybernetica saab mais 25aastaseks

    “Cybernetica on üks Eesti vanimaid IT-ettevõtteid. Kasvasime välja teadusasutusest ning tänase päevani on ka teadustöö tugev alus kõigele, mida me teeme. Meil on pikaajaline ja jätkuv kogemus olla Eesti e-riigi arendamisel strateegiline partner – näiteks on Cybernetica arendatud Eesti internetivalimised, mitmed missioonikriitilised teenused nagu maksu- ja tolliameti süsteemid ning nii Eestis kui ka mujal Baltikumis Smart-IDna kasutusel olev digitaalse identiteedi tehnoloogia. Oleme osalenud kõikide Eesti infoturbe standardite väljatöötamises ning kõrgeimatele nõudmistele vastav info­turve on alati vaikimisi olnud osaks sellest, mida me teeme. Lisaks Eestile teeme koostööd erinevate riikide ja asutustega globaalselt ning täna kasutatakse meie tehnoloogiaid rohkem kui 35 riigis üle maailma,” rääkis Mai Mitt.

    Korduma kippuvad küsimused Cyberneticale küberturvalisuse kohta

    Millised on TOP 10 ohukohad, mille vaates keskmine ettevõte võiks oma turva­olukorra hindamist teha?
    - e-post (õngitsuskirjad) ja suhtlusründed
    - autentimine (paroolide ristkasutus, vargused jms)
    - kaasaskantavad seadmed (mälupulgal kaitsmata andmed, krüpteerimata kõvakettad jms)
    - uuendamata tarkvara/riistvara
    - turvareeglite mittemõistmine ja -jälgimine
    - avalike võrguteenuste mõtlematu kasutamine (tundliku informatsiooni hoiustamine ja liigutamine avalikes pilveteenustes, Google Translate nt)
    - kaitsmata võrkude kasutamine (avalik Wi-Fi jms)
    - vastavus standarditele/nõuetele ei tähenda turvalisust
    - puudulik koolitus
    - IoT-võrku lubatakse kontrollimata turvalisusega (ka vaikeseadetega) seadmed
    Kui haavatav on minu ettevõte küberrünnakutele?
    Selle kontrollimiseks on näiteks haavatavuste skaneerimise ja läbistustestimise teenused. Antud teenused võimaldavad tuvastada erinevaid levinud haavatavusi. Tuvastatud haavatavuste lappimine vähendab riski langeda automaatsete, vähem sihitud rünnakute ohvriks. Ka ründajad on ärimehed – maksimaalne kasu võimalikult väikse kuluga, näiteks automaatseid ja vähem sihitud (käsitöö) rünnakuid on odavam läbi viia – kogemus näitab paraku, et ohvreid on ka niimoodi piisavalt.
    Kuidas hinnata lõppkasutajate ehk töötajate kogemust ja käitumist?
    Lähenemisi on erinevaid – näiteks regulaarsed koolitused koos testidega või võltsründed (nt õngitsuskirjade kampaaniad) tuvastamaks, kui hästi oskavad kasutajad neid ära tunda. Oluline on põhimõte, et usalda, aga kontrolli. Hirmuõhkkonna loomine õngitsuskampaanias ebaõnnestunute äramärkimisel ei pruugi anda soovitud tulemust.
    Kuidas kontrollida faili viiruste vastu?
    Antiviirus või spetsiaalselt selleks mõeldud keskkonnad, nagu näiteks CERT-EE, Cuckoo või VirusTotal.
    Miks on krüpteerimine oluline?
    Lihtsustatult öeldes, et kaitsta andmeid lubamatu ligipääsu eest – andmeid saavad kasutada ainult need, kellel on dekrüpteerimiseks vajalik võti. Oluline on, et krüpteerimine on mõeldud andmete turvaliseks edastamiseks (näiteks e-posti teel), mitte pikaajaliseks säilitamiseks.
    Kas VPNi kaudu töötamine on turvatud?
    Virtuaalne privaatvõrk on võrk, kus IT-süsteeme ühendavad turvalised tunnelid ebaturvalise avaliku võrgu, näiteks interneti kaudu; need luuakse krüptograafia vahenditega. Kasutatakse tüüpiliselt selleks, et turvaliselt ühendada geograafiliselt eri kohtades asuvaid kontoreid (võrke).
    VPN võimaldab krüpteeritud ühendust näiteks kodust kontori võrku. See tähendab, et võrguliikluse sisu on varjatud (krüpteeritud). Küll ei kaota see ära aga muid riske – näiteks avalikus kohas näeb keegi kasutaja parooli sisestamist pealt. Tegemist ei ole hõbe­kuuliga.
Karl Märka: piirame põhiseadusega riigikapitalismi „Kuidas mitte investeerida: 1001 näidet avalikust sektorist“
Piirame põhiseadusega ära, kui suure osa SKTst võib avalik sektor moodustada, kirjutab Karl Märka arvamuskonkursile Edukas Eesti saadetud artiklis.
Piirame põhiseadusega ära, kui suure osa SKTst võib avalik sektor moodustada, kirjutab Karl Märka arvamuskonkursile Edukas Eesti saadetud artiklis.
Ülevõtupakkumine pani suure tankerifirma aktsia taanduma
Ühe maailma suurima tankerifirma Euronavi aktsia kukkus Brüsseli börsil pärast suuromaniku ülevõtupakkumise lõppu 9,1%.
Ühe maailma suurima tankerifirma Euronavi aktsia kukkus Brüsseli börsil pärast suuromaniku ülevõtupakkumise lõppu 9,1%.
Articles republished from the Financial Times
Reaalajas börsiinfo
Myraka ettevõtlusblogi: nonii, tibulilled, kas tulete taas? Äripidaja intervjuu oma töötajatega
Äripäeva toitlustusettevõtjast kolumnist Üllar „Myrakas“ Priks tuletas vahelduseks meelde ajakirjaniku ametit pidades omandatud intervjueerimisoskused ning usutles oma sõpru, kellega koos ta on osaühingut Suur M jooksutanud. On’s tal uuel hooajal putkas üldse kedagi peale tema enda?
Äripäeva toitlustusettevõtjast kolumnist Üllar „Myrakas“ Priks tuletas vahelduseks meelde ajakirjaniku ametit pidades omandatud intervjueerimisoskused ning usutles oma sõpru, kellega koos ta on osaühingut Suur M jooksutanud. On’s tal uuel hooajal putkas üldse kedagi peale tema enda?
Gasellid
Kiiresti kasvavate firmade liikumist toetavad:
Gaselli KongressAJ TootedFinora BankGBC Team | Salesforce
Kogemuslugu: kui minu ettevõtte väärtused enam minuga ei ühti
Kuidas edasi, kui ettevõtjana avastad, et õhinaga loodud firma sinuga enam samu tõekspidamisi ei jaga?
Kuidas edasi, kui ettevõtjana avastad, et õhinaga loodud firma sinuga enam samu tõekspidamisi ei jaga?
Parima juhi konkursile esitati rekordiliselt üle 100 tippjuhi Vaata täisnimekirja
Konkursile "Parim juht 2024" esitati 110 tippjuhti, kelle seast selgub võitja mais Pärnu juhtimiskonverentsil.
Konkursile "Parim juht 2024" esitati 110 tippjuhti, kelle seast selgub võitja mais Pärnu juhtimiskonverentsil.
Uutele sõidukitele hakatakse väljastama keskkonnapasse
Sel kolmapäeval kiitis Euroopa parlament heaks uued ELi eeskirjad, mille eesmärk on vähendada sõiduautode, kaubikute, busside, veoautode ja haagiste heitkoguseid. Ühe uue meetmena nähakse ette uutele sõidukitele keskkonnapasside väljastamist, kirjutavad Logistikauudised.
Sel kolmapäeval kiitis Euroopa parlament heaks uued ELi eeskirjad, mille eesmärk on vähendada sõiduautode, kaubikute, busside, veoautode ja haagiste heitkoguseid. Ühe uue meetmena nähakse ette uutele sõidukitele keskkonnapasside väljastamist, kirjutavad Logistikauudised.
Hullumeelne seiklus: autoga läbi Euroopa ja Aafrika
Ühel päeval tekkis sõpradel hullumeelne idee osaleda rallil, mis viib nad läbi Euroopa ja Aafrika, kirjutavad Lääne-Virumaa Uudised.
Ühel päeval tekkis sõpradel hullumeelne idee osaleda rallil, mis viib nad läbi Euroopa ja Aafrika, kirjutavad Lääne-Virumaa Uudised.
Järgmine Soome ehitusfirma andis pankrotiavalduse sisse
Soome ehitusfirma Puukoti viis reedel kohtusse pankrotiavalduse, ettevõtte käive ulatus alles hiljuti 45 miljoni euroni, kirjutas Kauppalehti.
Soome ehitusfirma Puukoti viis reedel kohtusse pankrotiavalduse, ettevõtte käive ulatus alles hiljuti 45 miljoni euroni, kirjutas Kauppalehti.
Nädala lood. Eestlased hulluvad Hispaania kinnisvaraäri järele, kutsehaigus tõi firmale ootamatu nõude, suur tehas läks Lätti
Äripäeva selle nädala populaarsemad lood ja teemad puudutasid Hispaanias kinnisvaraäri ajamist.
Äripäeva selle nädala populaarsemad lood ja teemad puudutasid Hispaanias kinnisvaraäri ajamist.