Suurin osa Seclionin kyberturvallisuuden toimeksiannoista toteutetaan konsultointiprojekteina asiakkaidemme tarpeisiin perustuen. Toimeksiantojen koko, laajuus, aikataulut, tavoitteet ja kustannukset määritellään ja sovitaan yhdessä asiakkaan kanssa ennen palveluiden aloittamista.
OSINT (Open Source Intelligence) tarkoittaa avointen lähteiden tiedustelua. Tiedustelutyö on jokaisen kyberrikollisen ensimmäinen työvaihe sekä kohteen valinnassa että kyberhyökkäyksissä. Jotta yritys kykenee määrittelemään ja toteuttamaan tarvittavat kyberympäristön suojaustoimet, on sen kyettävä tunnistamaan millaisia tietoja ulkopuolinen taho voi sen toiminnasta löytää ja nähdä.
OSINT-kartoitus ei itsessään ole hyökkäys yritystä tai sen järjestelmiä kohtaan, vaan kyse on passiivisesta tietojenkeruusta, jota suoritetaan erilaisilla manuaalisilla ja teknisillä työkaluilla. Toisin sanoen OSINT-kartoitus ei vaikuta yrityksen toimintaan tai palveluihin, eikä sen (ammattimainen) toteutus siten aiheuta riskiä yrityksen toiminnalle, tiedoille tai turvallisuudelle.
Social Engineering tarkoittaa sosiaalista manipulointia ja se on nykyään yksi kyberrikollisten yleisimmin käyttämistä tavoista hyökätä yrityksiin tai organisaatioihin. Yleisimpiä Social Engineering menetelmiä ovat tietojen kalastelu sähköpostiviesteillä (phishing) tai puheluilla (vhishing). Tämän lisäksi hyökkääjät voivat pyrkiä manipuloimaan kohdeorganisaation työntekijöitä esimerkiksi siten, että työntekijää ohjataan liittämään haitallinen USB-tikku organisaation työasemaan.
Social Engineering hyökkäysten seurauksena hyökkääjä voi saada pääsyn organisaation kannalta arvokkaaseen dataan tai suorittaa erilaisia jatkohyökkäyksiä esimerkiksi kiristyshaittaohjelmia (ramsonware) tai man-in-the-middle menetelmiä hyödyntäen.
Kyberrikollisten tavoitteena on viimekädessä taloudellisen hyödyn tavoitteleminen, joten mikäli hyökkääjä onnistuu salaamaan tai varastamaan kohdeorganisaation toiminnan kannalta tärkeitä tietoja, voidaan kohdetta pyrkiä kiristämään näiden tietojen tuhoamisella tai julkaisemisella.
Verkkoon liitettyjen IoT-laitteiden lukumäärän arvioidaan maailmanlaajuistesti moninkertaistuvan tällä vuosikymmenellä. Ennusteen laatijasta ja tekohetkestä riippuen tämän vuosikymmenen lopussa arvioidaan maailmalla olevan noin 50 - 100 miljardia tietoverkkoihin liitettyä IoT-laitetta. Vertailun vuoksi vuonna 2020 vastaavan lukumäärän on arvioitu olevan 5-15 miljardin laitteen välimaastossa. Laitteiden lukumäärään ennustetaan joka tapauksessa merkittävää kasvua tälle vuosikymmenelle ja tätä kasvua tukee osaltaan myös samanaikaisesti toteutuva 5G-verkkojen rakentaminen ja käyttöönotto.
IoT-laitteita ovat käytännössä kaikki verkkoon liitetyt laitteet, jotka mittaavat tai välittävät dataa verkossa edelleen. Tuttuja esimerkkejä fyysisen turvallisuuden puolelta ovat mm. valvontakamerat, kulunvalvontalukijat, ovipuhelimet, rikosilmoitinjärjestelmät tai vaikkapa toimitilojen olosuhdevalvonnan tai käyttöasteen seurantaan tarkoitetut sensorit. Toki myös ensisijaisesti kuluttajakategoriaan kuuluvat ”älykahvinkeittimet” ja ”älyjääkaapit” ovat esimerkkejä IoT-laitteista.
IoT-laitteiden valmistajia on maailmalla lukematon määrä, eikä yhteisiä globaalisti hyväksyttyjä kyberturvallisuuden standardeja (ainakaan toistaiseksi) ole olemassa. Tämän vuoksi eri IoT-laitteiden turvallisuustasossa voi olla merkittäviä eroja myös saman valmistajan eri laitteiden välillä.
Uusien, ehkä innovatiivistenkin IoT-ratkaisujen myynnin esteeksi voi helposti muodostua laitteiden korkeaksi mielletty hintataso, jonka vuoksi tuotteiden valmistuskustannukset ja siten myyntihinta pyritään valmistajien toimesta pitämään mahdollisimman matalana. Sinällään laitteen edullinen hinta ei ole negatiivinen asia, mutta mikäli halvan hinnan vastapainona valmistaja on laiminlyönyt laitteen turvallisuuden, ei tilanne ole enää laitteen käyttäjän näkökulmasta lainkaan edullinen.
Kiinteistöjen verkottuneet tekniset järjestelmät ovat alttiita kyberuhille, sillä esimerkiksi puutteellisesti toteutetut fyysiset asennukset, heikosti suojatut tietoliikenneyhteydet tai ohjelmistojen virheelliset konfiguraatiot voivat altistaa järjestelmät kyberhyökkäyksille.
Kiinteistöautomaatiojärjestelmien lisäksi myös sähköiset turvallisuusjärjestelmät kuten kameravalvonta-, kuluvalvonta-, ovipuhelin ja kuulutusjärjestelmät ovat yhtä lailla alttiita kyberuhkille.
Kaikkien edellä mainittujen järjestelmien asennus- ja käyttöönotto voidaan käytännössä valmistajasta riippumatta toteuttaa sekä fyysisen että kyberympäristön näkökulmasta hyvin turvallisesti tai turvattomasti. Järjestelmien ja laitteiden sisäänrakennetuissa suojausominaisuuksissa on toki eroja, mutta pohjimmiltaan turvallisuus perustuu huolellisesti suunniteltuun, toteutettuun ja dokumentoituun kyberympäristöön, jossa järjestelmän komponentit liikennöivät (mm. kenttälaitteet, ohjaus- ja käyttölaitteet, kytkimet, ristikytkennät, kaapeloinnit, reitittimet, palomuurit, sekä paikalliset palvelimet tai ”pilvipalvelut”).
Tämän lisäksi on huomioitava fyysinen ulottuvuus ja soveltuvat suojaustoimenpiteet, joiden avulla estetään asiattomien henkilöiden pääsy käsiksi järjestelmien ja kiinteistön tietoverkon kriittisiin komponentteihin.
Kyberturvan rooli organisaatioissa on kasvanut räjähdysmäisesti digitalisaation ja kyberhyökkäysten kehityksen myötä. Organisaatioiden toiminta ja sen tehokkuus ovat yhä enemmän riippuvaisia tietojärjestelmistä sekä laitteista, joiden saatavuus sekä toimintakyky ovat organisaatioissa monille välttämättömiä työtehtäviensä suorittamiseksi. Tämän lisäksi organisaation sensitiiviset sekä toiminnan kannalta tärkeät tiedot ovat kasvavissa määrin siirtyneet fyysisistä arkistoista digitaalisiin ympäristöihin.
Edellä kuvatun kehityksen vuoksi myös tietotekniikkaan kohdistuneiden vikojen ja häiriöiden sekä tiedon käytettävyyteen, luottamuksellisuuteen ja eheyteen liittyvien ongelmien vaikutukset ovat vastaavasti kasvaneet merkittävästi. Nämä eivät muodosta uhkaa ainoastaan toiminnan tehokkuudelle, mutta organisaatioiden toimintarakenteesta riippuen, ne saattavat vaikuttaa jopa liiketoiminnan jatkuvuuteen. Monet organisaatiot eivät välttämättä ole edes tietoisia riippuvuudestaan eri laitteisiin, järjestelmiin ja tietoihin osana toimintaansa, ennen kuin kyberuhkat toteutuvat, jolloin niiden vaikutuksiin havahdutaan.
Se millaisia kyberturvaan liittyviä haasteita kuhunkin organisaatioon kohdistuu, riippuu monesta tekijästä. Yleisinä tekijöinä voidaan nähdä esimerkiksi organisaation koko, liikevaihto sekä toimiala. Mitä suurempi organisaatio ja liikevaihto tai arkaluontoisempi toimiala, sitä enemmän rahallista hyötyä hyökkääjä todennäköisimmin saa irti onnistuneesta hyökkäyksestä.
Kyberturvaan liittyvään suojautumisen tarpeeseen liittyy paljon muuttujia. Tavoiteltavaa olisi, että organisaation kyberturvaa suunniteltaisiin aina riskilähtöisesti ja tapauskohtaisesti, suhteessa organisaation toimintaympäristöön, kulttuuriin, tarpeisiin sekä muihin olennaisiin taustatekijöihin.
Seclion on Suomen johtava organisaatioiden kokonaisturvallisuuden kehittämiseen erikoistunut asiantuntijayritys. Seclionin kyberturvapalveluiden avulla varmistat, että organisaation kyberturvallisuutta arvioidaan ja kehitetään kokonaisvaltaisesti, huomioiden teknisen ulottuvuuden lisäksi myös hallinnolliset ja fyysiset näkökulmat.
Jos haluat keskustella lisää aiheesta, voit varata maksuttoman palaverin asiantuntijan kanssa ilman sitoumuksia.
Toteutamme räätälöidysti minkä hyvänsä toimeksiannon
Seclion toteutti suuryritykset asiaskassegmenttiin kuuluvalle organisaatiolle laajan tietoturvan- ja tietosuojan nykytila-analyysin.
Toimeksianto toteutettiin huomioiden hallinnollisen, fyysisen ja teknisen tietoturvallisuuden osa-alueet, jonka lisäksi selvitettiin asiakkaan toiminta tietosuojavaatimusten näkökulmasta.
Seclion selvitti kunnat ja kaupungit segmentin asiakkaalle hyökkäyspinta-alan kartoituksen, joka simuloi kyberrikollisen toteuttamaa ensimmäisen vaiheen tiedustelua.
Toimeksianto toteutettiin erittäin kustannustehokkaasti, sillä lähtökohdaksi valittiin skenaario, jossa kyberrikollinen ei ollut vielä maalittanut kyseistä asiakasta, vaan sopivaa hyökkäyskohdetta haravoitiin laajasta joukosta mahdollisia kohteita.
Seclion toteutti kiinteistötoimialan asiakkaalle riskien arvioinnin, jonka tavoitteena oli arvioida ja tunnistaa erityisesti kyberympäristön uhkia asiakkaan kiinteistöissä.
Selkeiden toimenpidesuositusten avulla asiakas sai tiedon asioista, joihin kehitystoimet kannattaa ensisijaisesti kohdentaa. Lopputuloksena asiakkaan kyberturvallisuuden tasoa saatiin parannettua kustannustehokkaasti.
Seclion toteutti asiakkaan verkkopalveluun kohdistuneen penetraatiotestauksen, jonka tarkoituksena oli selvittää mahdollisten OWASP TOP-10 haavoittuvuuksien olemassaolo sekä laatia ohjeet siitä, miten palvelun turvallisuutta voidaan parantaa.
Testausraportin avulla asiakas sai tiedon palvelun eri tasoisista haavoittuvuuksista sekä suosituksia niiden poistamiseksi.
