Palomuuri ei tuki tietovuotoa

TEKSTI: PERTTI HÄMÄLÄINEN • PIIRROS: PETRI ROTSTEN

Yritykset suojaavat it-järjestelmänsä ulkoisilta uhkilta, mutta niissä käsiteltävän tiedon turvaaminen jää usein liian vähälle huomiolle.

Palomuurit, virustutkat ja tunkeilijoiden torjuntajärjestelmät auttavat suojaamaan yrityksen verkkoa, palvelimia ja työasemia ulkoa tulevilta hyökkäyksiltä ja pahantekijöiltä. Kun tietoa siirretään oman verkon ulkopuolella tietoliikenneyhteyksien kautta tai kannettavan tietokoneen kiintolevyllä, se voidaan suojata salaamalla.

Pahin vihollinen istuu kuitenkin usein yrityksen sisällä: petollinen tai huolimaton työntekijä. Hänellä on pääsy liiketoiminnan kannalta keskeiseen tietoon, joten hän voi saattaa liikesalaisuuksia tai muuta luottamuksellista tietoa vääriin käsiin.

Tarkastus- ja konsulttiyhtiö Deloitten viime vuonna tekemässä maailmanlaajuisessa tietoturvatutkimuksessa 49 prosenttia haastatelluista yrityksistä oli havainnut sisäisiä tietoturvaloukkauksia viimeksi kuluneen vuoden aikana, ja 46 prosenttia näistä oli petoksia tai tietovuotoja.

Tietosuojan elinkaari

Yritys katsoo usein työsopimuksen yhteydessä allekirjoitetun salassapitositoumuksen riittävän, saadaanhan ilmitulleet rötöstelijät vastuuseen sopimusrikkeestä. Rikollinen mieli ei kuitenkaan sitoumuksista piittaa, eikä vilpitönkään ole suojassa tahattomien virheiden seurauksilta.

Tiedon varjeleminen sen koko elinkaaren ajan on kuitenkin kertaluokkaa vaikeampi tehtävä kuin vaikkapa Internetin kautta verkkoon pyrkivien haittaohjelmien torjunta. Vähäisin este eivät ole asenteet: it ponnistelee tuodakseen tiedot mahdollisimman esteettömästi kaikille niitä tarvitseville, ja ylimääräisten suojausten pelätään alentavan käyttäjätyytyväisyyttä.

Ongelmia ovat myös apuvälineiden hajanaisuus ja kokonaisvaltaisen lähestymistavan puute. Perinteiden puuttuessa ratkaisuja on kursittu kokoon vaikkapa Windowsin ryhmäkäytäntöjä soveltamalla. Tilanne on kuitenkin muuttumassa, kun tietoturvayhtiöt ovat alkaneet torjua tätäkin ongelmaa omilla tuoteperheillä ja arkkitehtuureilla.

Muiden muassa dlp (data loss prevention), ilp (information leak protection) ja eps (extrusion prevention system) ovat usein käytettyjä lyhenteitä. Asialla ovat niin tunnetut tietoturvatalot Check Pointista RSA:han kuin luvuton määrä uusyrittäjiäkin.
Parhaatkaan ohjelmistot eivät muuta lähtökohtaa miksikään. Tiedon suojaaminen vaatii yritykseltä kokonaisvaltaista prosessien läpikäyntiä ja ajattelutavan muutosta. Turvallista kulttuuria ei voi ostaa, se pitää itse rakentaa.

Tunnista arvokas tieto

Ensimmäinen ongelma, johon tietojaan suojaamaan ryhtyvä yritys törmää, on tiedon puute. Suojattavasta tiedosta ei ole pulaa, mutta hukassa on tieto siitä, mitä tämä tieto on sekä missä se sijaitsee ja liikkuu. Kaikkea tietoa ei kannata suojata, mutta luottamuksellinen tieto on suojattava kaikkialla.

Tiedoilla on taipumus monistua yrityksen prosesseissa ja sovelluksissa. Ne tallentuvat sähköpostilaatikoihin ja -arkistoihin, ja käyttäjät ajavat niistä raportteja ja poimintoja omille verkkolevyalueilleen ja työasemilleen jatkojalostaakseen niitä tekstinkäsittely- ja taulukkolaskentaohjelmillaan.

Suurin osa tietojen käytöstä on kaikin puolin hyväksyttävää, yrityksen prosessien mukaista toimintaa. Toisaalta prosesseissa voi olla kehnosti määriteltyjä tai valvottuja kohtia: pääkäyttäjä saattaa esimerkiksi voida tallentaa muuten tiukasti valvotusta tietokannasta otetun varmuuskopion omalle levyalueelleen.

Kun on päätetty, mitkä tiedot on suojattava läpi prosessien, ensimmäinen tehtävä on etsiä niiden tallennuspaikat ja reitit prosesseissa. Järjestelmien dokumentteihin ei kannata liikaa luottaa, koska tietoja siirretään käyttäjien kesken usein tyhjästä polkaistuissa apuprosesseissa.

Niin kauan kuin kaikki järjestelmät eivät ole soa-pohjaisia ja kaikki tiedonsiirto ei tapahdu itsedokumentoivassa xml-formaatissa, tietojen löytäminen välitallenteilta on melkoista salapoliisityötä. Apuna voi käyttää ohjelmistoja, jotka osaavat etsiä raa'asta datasta henkilötunnusten kaltaisia määrämuotoisia tietoja niiden tunnusmerkistön kuten tarkistusmerkin perusteella.

Suojaa tieto levossa

Pitäisikö tieto sitten salata jo sen maatessa tietokannoissa? Ei, koska se alentaa suorituskykyä. Kyllä, koska se suojaa tietoja esimerkiksi varmistusnauhojen varkaustapauksissa. Harva yritys on tehnyt analyysin siitä, kuinka palvelinlaitteistojen tehon kasvu on syönyt ensimmäisen argumentin uskottavuutta.

Mutta tietoja tallennetaan myös tietokantojen ulkopuolelle työtiedostoihin työasemien kiintolevyille tai palvelinten levyjaoille. Riski seuraa siitä, että näihin eivät pure samat turvakäytännöt kuin tietokantoihin.

Tietoja suojaavaan tietoturvapolitiikkaan kuuluvat säännöt ja käytännöt siitä, mihin, miten ja kenen toimesta arkaluontoisia tietoja voidaan tallentaa. Käytäntöjen toteutumista voi valvoa jälkikäteen etsimällä tietoja niiden tuntomerkkien avulla. Kehittyneemmät järjestelmät osaavat myös kerätä tiedoista sormenjälkiä, joiden perusteella voidaan valvoa, että tietoja tallennetaan vain sallittuihin paikkoihin ja että niihin sovelletaan samoja pääsyrajoituksia kuin alkuperäisissä tietokannoissakin.

Suojaa tieto liikkeessä

Suurin osa tiedon käytöstä kuuluu normaaliin liiketoimintaan, eikä sitä pidä häiritä. Epänormaaleja tiedon liikkeitä voidaan kuitenkin havaita seuraamalla esimerkiksi tietokantojen käyttöä käyttäjätasolla.

Poikkeava käytös, kuten suurten tietomäärien lataus tietokannasta työasemalle, voi johtua työntekijän toimenkuvan muuttumisesta tai sen ulkopuolisista aktiviteeteista. Hälytys esimiehelle on paikallaan tilanteen tarkastamiseksi.
Tietokantaohjelmistojen integroitu monitorointi ei valitettavasti kata kaikkia käyttöskenaarioita. Esimerkiksi web-sovellukset pitävät usein käyttäjätunnukset omana tietonaan, ja tietokanta näkee käyttäjänään vain edustasovelluksen. Tarvitaan koko järjestelmän kattava tietojen käytön monitorointi.

Yrityksen tietoturvapolitiikkaan voi kuulua, että tilinumeroita tai henkilötunnuksia ei lähetetä sähköpostilla yrityksen ulkopuolelle. Politiikan vahvistamiseksi voidaan monitoroida sähköposti- ja pikaviestiliikennettä, ja estää laittomia tietoja sisältävien viestien lähettäminen.

Kehittyneemmillä ohjelmilla voidaan havaita jopa sormenjäljillä tunnistettavia tietoja ja tietojoukkoja liitetiedostoina kulkevista taulukkolaskentamalleista tai pdf-asiakirjoista.

Suojaa tieto päätelaitteessa

Työasemaan tallennetut tiedot ovat usein verkkoon rakennettujen suojausten ulottumattomissa. Jos arkaluontoisia tietoja voi tallentaa omalle kiintolevylle, työasemat on suojattava myös fyysisesti. Varmennepiirien ja salakirjoituksen avulla voidaan taata, ettei työasemasta irrotettua kiintolevyä voida lukea muilla laitteistoilla.

Siirrettävät tietovälineet kuten cd- ja dvd-levyt sekä usb-muistit ovat taivaan lahja yritysvakoilijalle. Ongelmaan on alettu puuttua, ja monenlaisia apuvälineitä onkin jo tarjolla. Kannettaviinkin voi asentaa agentteja, jotka estävät kirjoittamisen muille kuin yrityksen hankkimille, sarjanumeroin tunnistettaville ja käyttäjätunnukseen liitetyille usb-muisteille.
Hienojakoisimmillaan järjestelyt voidaan jälleen ulottaa tieto-, käyttäjä- ja käyttötilannekohtaisiksi. Esimerkiksi palkkasovelluksen käyttöoikeudet on perinteisesti rajoitettu henkilöstöhallintoon. Tietokohtaisilla rajoituksilla voidaan estää tulostaminen vieraalle kirjoittimelle tai käsittely matkamikrossa yrityksen tilojen ulkopuolella.

Eroon turhista estoista

Mielikuvituksellisten estojen rakentaminen on kuitenkin väärä tapa aloittaa. Harvalla tietohallinto-osastolla on kovin syvällistä käsitystä siitä, mitä käyttäjät sovelluksillaan ja tiedoillaan viime kädessä tekevät. Tietojen rajoittaminen vain ajateltuun käyttöön voi halvaannuttaa monien käytännössä muotoutuneiden mutta virallisesti tunnistamattomien liiketoimintaprosessien toiminnan.
Parempi lähtökohta on tunnistaa liiketoiminnassa käsiteltävät arkaluontoiset tiedot ja rakentaa ensin niiden käytön seuranta ja hälytykset poikkeavasta käytöstä. Väärinkäytöksiin pystytään puuttumaan nopeasti ja pahimmassakin tapauksessa ne voidaan selvittää jälkikäteen. Lokeja analysoimalla voidaan tunnistaa tietojen todelliset käyttötavat, viilata käytäntöjä ja ohjata käyttäjiä tietoturvallisempiin rutiineihin.