Õpi ära tundma rünnakuid
Kuna enamasti kasutavad küberkurjategijad ära kasutajate teadmatust, on väga oluline õpetada töötajatele, kuidas rünnakuid ära tunda ja nende korral käituda
Süsteem on nii turvaline, kui on selle kõige nõrgem lüli. Tihti on nõrgimaks lüliks just kasutajad. Seetõttu üritavad küberkurjategijad süsteemile ligi saada peamiselt kasutajate kaudu, saates neile kirju, mis võivad sisaldada viiruseid või olla õngitsuskirjad, millega proovitakse kätte saada paroole, pangaandmeid või raha. Samuti leidub internetis veebilehti, mis proovivad kasutajatelt välja petta andmeid ja raha või sisaldavad viiruseid. Seetõttu tuleb õpetada töötajatele, kuidas rünnakuid ära tunda ja nende korral käituda. Töötajate teavitamine ja harimine on ka üks tähtsamaid samme ettevõtte kaitsmisel.
Soovitatud tegevused
Viimaste aastate jooksul on küberkurjategijad märgatavalt arenenud ja järjest raskem on aru saada, kas saadetud kirja või külastatava veebilehe puhul on tegemist pettusega või mitte.
Töötajatele tuleks tutvustada, millised on enim levinud rünnakud, kuidas neid ära tunda ja nende korral käituda. Sellist teavitamist ja juhendamist aitab teha IT-personal või ‑teenusepakkuja.
Kui mõni saadud e-kiri tundub kahtlane, siis tasub alati pöörduda oma IT-personali või ‑teenusepakkuja poole ning paluda neil see kiri üle vaadata. Isegi kui selgub, et see e-kiri on ehtne, on parem karta, kui kahetseda.
Töötajaid tuleks õpetada ära tundma petu- ja õngitsuskirju ning ohtlikke veebilehti:
- Tuleks vaadata e-kirja saatja aadressi – kuigi mõnikord tundub see ehtne, on saatja aadress enamasti väikeste muutustega. Näiteks „@eesti.ee“ asemel võib olla „@eetsi.ee“. Mõnikord, kui aadress tundub ehtne, võib kirjale vastates olla näha, et adressaadireal on hoopis keegi teine kui e-kirja saatja.
- Veebilehtede puhul tuleks vaadata nende aadressi. Sarnaselt e-kirja aadressidega võib ka veebilehe aadress olla muutustega, näiteks aadressi lõpus on „.ee“ asemel „.ea“ või on lisatud aadressile tähtede asendamiseks numbreid, näiteks „eesti.ee“ asemel on „eest1.ee“.
- Igasugused e-kirjad ja veebilehed, mis lubavad raha, reisi, tasuta väärtuslikke asju vms, on suure tõenäosusega pettused.
- Kui e-kiri tuleks justkui ettevõtte juhatuselt või raamatupidajalt, tuleks vaadata, kas kirja stiil on selline nagu tavaliselt, eriti kui nõutakse raha ülekandmist. Tavaliselt on petukirjad kahtlaselt lühikesed ja toonilt ähvardavad (näiteks stiilis „Maksa kohe, see peab 24 tunni jooksul makstud olema!“ jne).
Lisaks ettevõtte üldisele küberturbe taseme tõstmisele, tuleks korraldada töötajatele küberturvalisuse alase teadlikkuse suurendamise koolitusi. Selline koolitus peab hõlmama turvateemasid laiemalt: käitumist sotsiaalmeedias, avalike pilveteenuste kasutamist, WiFi turvalist kasutamist jms.
Koolituskava võiks hõlmata:
- ettevõttes kehtestatud IT-turvareeglite tundmaõppimist, turvanõuete ja riskide selgitamist;
- erinevate seadmete ja teenuste (kaasaskantavad seadmed, sotsiaalmeedia, avalikud pilveteenused jne) ohtude analüüsi;
- turvaintsidentide korral käitumist (keda teavitada, mida teha jne);
- võimalike ohtude ja enim levinud ründeviiside äratundmist, selliste rünnete tagajärgede hindamist;
- hiljutiste avalikuks tulnud turvaintsidentide analüüsi koos põhjuste ja võimalike ennetusviiside kirjeldusega. Üks võimalus töötajate koolitamiseks on liituda RIA poolt pakutava Kübertestiga. Kübertest on e-õppe koolituskeskkond, mille eesmärgiks on tõsta ja hoida asutuse või ettevõtte töötajate küberturbeteadlikkust. Uuendame Kübertesti sisu igal aastal. Rohkem infot Kübertesti kohta leiad RIA kodulehelt.
Selleks et kontrollida, kas töötajate üldine juhendamine ja koolitamine on tulemust andnud, tuleb nende teadmisi regulaarselt kontrollida. See aitab õpitut meelde tuletada ja värskelt meeles hoida. Teadmisi saab kontrollida näiteks küsitluste abil, mida võivad pakkuda erinevad küberturvalisuse teenuseid või koolitusi pakkuvad ettevõtted – nemad oskavad kõige paremini ka neid teste ajakohastada. Nii saab ettevõte ka teavet, kas mõne teema puhul oleks vaja töötajatele korduskoolitust.
Töötajate käitumise kontrollimiseks on hea korraldada ka väikeseid õppusi – näiteks saata töötajatele võlts õngitsuskiri. Selliste testide tulemuste alusel saab teada, mida peaks kasutajatele veel rääkima või kas on vaja lisakoolitust. Teavita inimesi intsidentide analüüsi tulemustest ja kaasa neid reeglite väljatöötamisse. Nii on nad motiveeritud ise neid reegleid täitma. Töötajate teadmisi on võimalik kontrollida ka näiteks RIA loodud Kübertesti abil.
Videod
