Tämä kirjoitus kertoo fiktiivisestä mutta varsin tavallisesta tilanteesta, joka voi muuttua tietoturvaongelmaksi nopeasti. Kyse on työpuhelimen katoamisesta ja siitä, mitä tapahtuu, jos mobiililaitehallinta ei ole kunnossa.
”Mutta sehän on vain puhelin.”
Eräänä maanantaiaamuna yrityksen IT-tiimi sai viestin, että työntekijä oli kadottanut puhelimensa viikonlopun aikana. Työntekijä itse ei ollut erityisen huolissaan ja totesi rauhallisesti, että puhelin oli todennäköisesti unohtunut kotiin.
IT ajatteli aluksi samoin, kunnes he alkoivat selvittää, mitä kaikkea puhelimessa todellisuudessa oli.
Kävi ilmi, ettei laite ollut koskaan ollut yrityksen hallinnassa. Ei työprofiilia, ei salausvaatimuksia eikä etähallintaa. Puhelimella oli suora pääsy Teamsiin, SharePointiin, sähköpostiin, tiedostoihin, tallennettuihin salasanoihin ja MFA-sovellukseen.
Puhelinta ei lopulta löytynyt, eikä IT:llä ollut mitään keinoa tyhjentää laitetta etänä. Yrityksen data oli nyt täysin tuntemattoman käsissä, vain siksi, että mobiililaitteiden hallinta oli jäänyt tekemättä.
Miksi mobiililaitteet jäävät edelleen varjoon?
Mobiililaitteet ovat monessa organisaatiossa ristiriitaisessa asemassa. Ne ovat päivittäin käytössä ja usein kriittisiä työn tekemiselle, mutta silti niiden hallinta jää helposti puolitiehen. Tietoturvan näkökulmasta mobiililaitteet nähdään usein vähemmän tärkeinä kuin työasemat, vaikka niillä on suora pääsy yrityksen järjestelmiin ja tietoihin.
”Puhelin on henkilökohtainen laite”
Moni ajattelee, että puhelin on työntekijän oma työkalu ja siksi siihen ei haluta koskea. Todellisuudessa puhelin toimii usein välineenä yrityksen sähköpostiin, tiedostoihin ja viestintäkanaviin. Ilman hallintaa vastuu tietoturvasta jää helposti yksittäiselle käyttäjälle.
Hallinta koetaan hankalaksi
Mobiililaitehallinta mielletään helposti raskaaksi tai aikaa vieväksi. Vaikka nykyaikaiset ratkaisut tekevät hallinnasta varsin suoraviivaista, asiaan ei ole ehditty perehtyä. Aihetta kannattaa tarkastella osana koko IT‑ympäristöä. Tutustu Marskidatan tietoturvapalveluihin, jos haluat saada yleiskuvan siitä, miten tietoturvaa ja siihen liittyviä riskejä lähestytään kokonaisuutena.
”Ei meillä ole mitään ongelmia”
Ajatus on monelle tuttu. Ongelmat eivät yleensä näy ennen kuin ne osuvat omalle kohdalle. Usein ne liittyvät juuri mobiililaitteisiin, kuten kadonneeseen puhelimeen, työntekijän vaihtuessa laitteelle jääneeseen dataan, haitallisiin sovelluksiin tai MFA-koodien kaappaukseen.
Puutteellinen laitehallinta kaiken keskiössä
Tapauksessa ongelma ei johtunut yhdestä virheestä tai yksittäisestä päätöksestä. Kyse oli useamman puutteen yhdistelmästä, jotka yhdessä muodostivat merkittävän riskin. Kun perusasiat puuttuvat, yksittäinen tapahtuma voi nopeasti eskaloitua vakavaksi tietoturvapoikkeamaksi.
Yritykseltä puuttui:
- mobiililaitehallinta tai sovellusten hallinta
- pakollinen laitteen salaus
- PIN tai biometrinen lukitus
- sovellustason suojaukset, kuten Outlookin tai Teamsin lisälukitus
- mahdollisuus etälukita tai tyhjentää laite
Mitä tästä voi seurata yritykselle?
Mobiililaitteiden hallinnan puutteet eivät ole vain tekninen yksityiskohta. Ne voivat vaikuttaa suoraan yrityksen toimintaan, maineeseen ja taloudelliseen tilanteeseen. Usein seuraukset realisoituvat vasta jälkikäteen, kun vahinko on jo tapahtunut.
Yritystä uhkaavat esimerkiksi:
- GDPR-seuraamukset henkilötietojen vuotamisesta
- mainehaitta
- taloudelliset tappiot
- projektidokumenttien päätyminen vääriin käsiin
- IT-ympäristön häiriintyminen
Mitä yrityksen tulisi tehdä?
Mobiililaitteet eivät itsessään ole ongelma. Ongelma syntyy silloin, kun niitä ei hallita. Kun vastuut ja perusratkaisut ovat kunnossa, tietoturva ei jää yksittäisen käyttäjän harkinnan varaan, vaan sitä ohjataan keskitetysti.
Jos aihe kiinnostaa, IT-laitteiden käyttäjäpalvelut ja päätelaitteiden hallinta avaavat kokonaisuutta tarkemmin.
Konkreettiset askeleet mobiililaitehallintaan
Mobiililaitteiden suojaaminen ei vaadi raskasta projektia tai monimutkaista kokonaisuutta. Usein riittää, että tietyt perusasiat otetaan järjestelmällisesti käyttöön.
- pakollinen työprofiili Android-laitteille ja valvottu tila iOS-laitteille
- sovellusten hallinta siten, että vain hyväksytyt sovellukset pääsevät käsiksi yrityksen tietoihin
- yritysdatan suojaaminen salauksella, lukituksilla ja datan eriyttämisellä
- etähallinta ja etätyhjennys kadonneiden laitteiden varalta
- Compliance-säännöt, joilla estetään pääsy yrityksen tietoihin, jos laite ei täytä vaatimuksia
- MFA:n salliminen vain hallituille ja suojatuille laitteille
Miksi vastaavat tapaukset ovat niin yleisiä?
Viranomaisten ja tietoturvaorganisaatioiden mukaan suuri osa tietoturvaloukkauksista liittyy inhimillisiin tekijöihin. Laitteita katoaa, suojausasetukset jäävät puutteellisiksi ja riskejä aliarvioidaan. Mobiililaitteet ovat usein se osa-alue, johon ei kiinnitetä huomiota ennen kuin jotain tapahtuu.
Kysymys, joka jokaisen yrityksen tulisi kysyä itseltään:
Jos työntekijän puhelin katoaa tänään, kuinka paljon yrityksen dataa katoaa sen mukana ja mihin kaikkeen laitteella on pääsy?
Aihetta kannattaa tarkastella osana koko IT‑ympäristöä. Ota meihin yhteyttä, niin autamme mielellämme selvittämään tilanteeseenne sopivat ratkaisut laitehallintaan. Tutustu myös palvelutarjontaamme laajemmin.
