Isegi tippjuhid ei usu veel küberrünnaku reaalset ohtu

Paljud inimesed, teiste seas ka tippjuhid ei usu, et oht on reaalne. Siin on praegu hästi lihtne tuua paralleele nende inimestega, kes ei usu, et koroonaviirus päriselt ja laastavalt eksisteerib. See omakorda mõjutab seda, kuidas inimesed käituvad digimaailmas ja kui suureks probleemiks isegi väike küberintsident võib muuta. See mis takistab olukorra parendamist on lihtne info puudus: kui minul midagi juhtub, siis minu eesti mentaliteet dikteerib selle, et juhtumist ei tohi rääkida teistele ehk nemad ei õpi minu vigadest. Samuti riik, mis turundusbrošüüri järgi on digitaalne, ei ole 20 aastat pööranud suurt tähelepanu oma kodanike koolitamisele küberturbe osas. Suisa paradoksaalne on see, et riigiasutused ise on üsna hästi kaitstud peale 2007. aasta rünnakut ning võtavad küberturvet hästi tõsiselt. Lihtsad kodanikud on aga jäetud „vaeslapse“ ossa.

Ida-Tallinna Keskhaigla arvepettus näitas, kui lihtsasti manipuleeritavad inimesed on ja mis juhtub siis, kui infoturbega seotud protsessid ei ole selged kõikidele töötajatele. Rünnak Äripäeva ja Delovõje Vedomosti kodulehtede vastu demonstreeris, kui lihtne on saada ohvriks ja kui kaua võtab aega tavapärase töö taastamine. Ja on veel üks veel hea näide Inglismaalt, kus Briti lennufirma British Airways, mille aktsiad on ka noteeritud Londoni börsil, sai 22 miljonit eurot trahvi selle eest, et ei pööranud piisavalt tähelepanu infoturbele Euroopa Liidu kehtestatud isikuandmete kaitse üldmääruse (GDPR) kontekstis. Kui ühel päev meie oma Andmekaitse Inspektsioon (AKI) saab volituse ja ka ressursi oma töö tegemiseks nii nagu teiste Euroopa Liidu riikide andmekaitse inspektsioonid, siis paljudele firmadele ja asutustele Eestis tuleb see ebameeldiva „üllatusena“.

See nimekiri on hästi lühike - ei tohi kedagi usaldada. Kui Sa ei ole 100% kindel, siis lihtsalt ära maksa, kommenteeri ega anna infot. Palu, et sulle saadetaks enne info emailiga või helista ise üle ja firma üldnumbri kaudu, kas organisatsioon on ikka reaalne. Ja kui midagi on juhtunud või tundub olevat juhtumas, siis võta kindlasti ühendust kas infoturbe eksperdi, RIA, politsei või AKIga. Kui kuritegijad hakkavad „uurima“ konkreetset ettevõtet, on oluline veenduda, et kõik „aknad ja uksed“ on ikka korralikult suletud.

Kas kodukontoris tegutsemine on kuidagi mõjutanud ka inimeste tähelepanekut küberohtude mõttes? Näiteks, kui enne istusid raamatupidajad kõik koos kontoris ja üks sai palvekirja kellelegi kuhugi ebatavaliselt raha kanda, siis koos palvet vaadates saadi aru, et see pole ikka õige asi, aga nüüd on selline suhtlus raskendatud.

Kindlasti on. Kodukontoris tekivad tihti igasugused häirivad faktorid, mis mõjutavad tähelepanuvõimet negatiivselt. Lisaks on suurem oht, et kolmandad osapooled ehk pereliikmed saavad võimaluse kasutada kellegi tööarvutit ning teha seal midagi valesti. Loodan siiralt, et enamike Eesti ettevõtete raamatupidajad läbivad vähemalt kord aastas küberhügieeni koolituse, aga vaevalt see kehtib ka tema 12-aastase poja kohta, kellele meeldivad huvitavad veebilehed ema või isa arvutis. Teiseks nüanssiks on see, et paljud firmad ei pööra tähelepanu töötajate koduinterneti turvalisusele, kuna see tundub nagu võimatu ülesanne.

Võib-olla pole see kõige naljakam nali, kuid naljakas pole ka reaalsus, mida täna näeme. Küberturbefirmad nagu Cybers (ametliku ärinimega Security Software) näevad küberkurjategijate huvi suurenemist finantsosakondade vastu. Ka sellel on mõned head põhjused. Esiteks kolleegid usaldavad ja ka kardavad raamatupidajaid. Teiseks, raamatupidajad kontrollivad kõige väärtuslikumaid andmeid - ettevõtte, töötaja ja kliendi finantsaruandeid. Ja raamatupidajad on tuntud vana tarkvara kasutamisel palgaarvestuses ja arvete koostamisel.

Ja kahjuks ei keskendu finantsinimesed sageli piisavalt küberturvalisusele. Lisaks on väikese ja keskmise suurusega organisatsioonid kõige enam rünnatute seas, kuna neil puudub suurkorporatsioonide tasemel küberturvalisuse eelarve.

Lunavara ehk pahatahtlikku tarkvara, kui see on installitud arvutisse, saab kasutada kõige lukustamiseks. Ei aita taaskäivitamine ega teie IT-juht. Kui see juhtub, on kaks tõenäolist stsenaariumi: kaotate oma arvutis kõik või maksate kurjategijatele 2000–50000 eurot, et see lukust lahti saada ja lunaraha summad tõusevad. Kõik need tabelid, aastaaruanded, mallid ... kadunud!

Nakatumiseks on palju viise, kuid kõige levinumad on e-posti manused ja USB-mälupulgad. Teine levinud allikas on perekond. Lubades lapsed oma töötelefoni, tahvelarvuti või sülearvutiga mängida, võivad küberkurjategijad neid sotsiaalmeedia ja mängude kaudu rünnata.

Olime harjunud nägema Nigeeriast tulevaid rumalaid arveid või arvetaotlusi, kuid see suundumus on läinud halvemaks. Just hiljuti hakati Ida-Tallinna keskhaiglas maksma võltsarvet. Arve oli tõelise ettevõtte tegeliku teenuse eest, välja arvatud see, et kurjategijad muutsid PDF-is pangakonto numbrit.

See tähendab, et meil on Balti riikides kohalik küberkurjategijate rühm, kes analüüsib kohalikke hankeid ja kasutab neid pettuseks.

Häirivalt leviv pettus on kiri juhti või kolleegi teesklevat isikult. Seal on reas sõnad. „Tere, raamatupidaja! Palun kandke 2000 eurot kiiresti kontole XXX. Olen ära ja edastan teile arve järgmisel nädalal“.

Või „Tere, Anna! Kas sa saaksid mulle palka avansina maksta, vaid 300 eurot. Mu ema jäi haigeks ja ma pean talle mõned ravimid ostma".

See, mida teete, sõltub suuresti ettevõtte kultuurist ja sisemiste protsessidest. Samuti võivad need õngitsuskirjad sihtida teisi kolleege ja teeselda, et kirjutab raamatupidaja palvega kanda osa palgast vms tagasi.

Üha sagedasemaks muutuvad nn kõned pangast ehk keegi helistab ja väidab, et keegi võtab raha välja või peseb seda. Lubatakse teie konto sulgeda, kui te ei käitu nõutud moel. Või pakutaks 0% intressiga krediitkaarti. Kõne lõppeesmärk on saada sisselogimise, parooli, PIN-koodi või krediitkaardi number ja CVV. Sellele järgneb rüüste pangakontol. Pange tähele, et finantsasutused või muud teenusepakkujad ei küsi kunagi teie parooli. Nad võivad küsida teie sisselogimis-, ID-koodi või nime, kuid mitte teist osa.

Andmekaitseamet, küberpolitsei, börsijärelevalve. Sõltuvalt teie valdkonnast on küberturvalisuse kohta palju seadusi ja norme: GDPR, PCI / DSS, Sorbane Oxley Act, HIPAA jne.

Samas riigid loovad pidevalt uusi karmimaid eeskirju. Rahvusvaheliste reeglite jõustamine muutub riigiväliseks (nt GDPR-i kasutatakse väljaspool ELi asuva ettevõtte trahvimiseks). Ja trahvid muutuvad järjest suuremaks.

Raamatupidamisele tähendab see pidevat valvelolekut ja reeglite, seaduste jälgimist.

Esiteks: turvalisuse hindamine peab olema korrapärane. Finantssüsteemid on küberkurjategijate sihtmärkide edetabeli tipus.

Teiseks: alati on kõige nõrgem inimfaktor. Koolitage oma osakonda ja organisatsiooni küberturvalisuse teemal. Õpetage inimesi looma turvalisi paroole ja alati tegema varukoopiaid.

Kolmas: ärge avage faile kummalistest meilidest. Iga e-posti aadress, mis tundub ebaregulaarne, kummaline, peaks teie peas tööle panema kohe häirekella. Helistage selle saatjale ja veenduge, kas selle saatis tõesti tema. Kui ei, teavitage viivitamatult IT-osakonda. Samuti ärge usaldage kedagi: teie sõbra, õe-venna, kolleegide digitaalset identiteeti võidakse häkkida ja kasutada küberkuritegevuseks.

Neljandaks: kasutage ainult USB-mälupulki, mis on läbinud IT-spetsialisti puhastuse. Nakatunud USB-mälupulga ühendamine sülearvutisse – isegi, kui selle on andnud teile kolleeg või sõber, võib põhjustada igasuguseid probleeme. Mõnikord jätavad kurjategijad USB-mälupulgad lihtsalt vedelema, lootes, et keegi võtab selle kätte ja proovib seda uudishimust kasutada.

Viiendaks: panustage küberturbesse. Kuidas saada aru, mis toimub? Usaldage eksperte, kes pakuvad 24/7 infoturbe seiret. Lisaks on turvalisuse eest vastutaval IT-osakonnal küberturvalisuseks alati vähe raha. Aidake neil end aidata. Keegi ei soovi kindlustuse eest maksta, mida küberturvalisuse kulutused sageli on. Kuid ilma korralike IT-turvapartneriteta on teie ettevõte „kasvava rebasepopulatsiooni keskel avatud ustega kanamaja“. Pidage meeles - IT-turvalisuse kulutused on teie kaitsmiseks.

Tutvu CYBERSiga - www.cybers.eu