Küberturvalisuse võimekuse tõstmine

Majandus- ja Kommunikatsiooniministeeriumi teadaanne:

Seoses sagenenud rünnakutega küberruumis ja sooviga mistahes kujul segadust külvata on tõusnud kõikide ettevõtete jaoks risk sattuda küberründe ohvriks. Peame oluliseks pöörata suuremat tähelepanu ettevõtjate võrgu- ja infosüsteemide (edaspidi süsteem) küberturvalisuse tagamise valmiduse ning küberintsidentidele reageerimise võimekuse tõstmisele.
Küberrünnaku ohvriks langemise riski vähendamiseks soovitame:

•  üle kontrollida, kuidas ettevõttes on ettevõtte süsteemide küberturvalisuse tagamine korraldatud ning vajadusel ajakohastada selle korraldust ja rakendatavaid meetmeid;
•  kontrollida, et arvutite, serverite ja telefonide automaatne tarkvara uuendamine oleks rakendatud kogu ettevõttes ning need on uuendatud viimasele ametlikule versioonile;
• installeerida ning uuendada viiruse ja pahavara kaitse tarkvara viimasele ametlikule versioonile;
• pöörata erilist tähelepanu Ukraina, Venemaa Föderatsiooni ja Valgevene Vabariigi päritolu ettevõtete tarkvara uuendustesse; siinjuures on oluline automaatseid uuendusi pigem vältida ning olla väga kindel, et saadetud uuendus on vajalik ja ka autoriseeritud tootja poolt;
• kontrollida üle ning vajadusel uuendada tegevusplaan olukorraks, kui ettevõtte süsteemi ei ole võimalik kübeintsidendi tõttu kasutada (nt on serverid krüpteeritud lunavara tõttu);
• teha vähemalt igal nädalal kõigist vähegi vajalikest andmetest varukoopia välisele kõvakettale, mis ei ole internetiga ühendatud;
• paroolihalduse puhul loobuge mugavusest: kaotage paroolita ligipääsud ettevõtte arvutis või oma töö-/isiklikus telefonis, kaotage ka ühiskasutatavad lihtsa parooliga kontod; kasutage tugevaid paroole ning perioodiliselt vahetage neid; võtke kasutusele mitmikautentimine või võimaluse korral biomeetria põhised ligipääsu mehhanismid ning kus süsteemid võimaldavad, kasutage Smart-ID-d, ID-kaarti või Mobiil-ID’d;
• pöörake tähelepanu lisaks eeltoodule ka muudele küberhügieeni baasnõuetele: näiteks võrguliikluse seire ja kaitse, logide olemasolu jne;
• tutvuda Riigi Infosüsteemi Ameti koostatud ohuhinnangute ning nendes antud soovitustega (https://www.ria.ee/et/kuberturvalisus/ohuhinnangud.html);
• rääkida ettevõtte töötajatega, et kirjalikke korraldusi mistahes kanalil, mis ei tundu mõistlikud (nt kiiremas korras mingi arve ära maksmine) EI TOHI ellu viia ilma mõistlikku selgituseta ja üle küsimine ei ole asjatu (nt kirja saatjale üle helistades);
• kasutada internetti turvaliselt – jääge teile tuntud teenuse pakkujate ja uudiskanalite juurde ning vältige „huvitavate“ videote, piltide, dokumentide alla laadimist ning piirduge nendega, mida on võimalik otse veebis vaadata.

Ülaltoodud reeglid kehtivad sõltumata töövahendi omanikust ja lähtuma peab sellest, kas seadmega pääseb ligi ettevõtte andmetele (sh ettevõtte nimel kirjad, arved, tellimused). Erandiks võivad olla serverid, mille kohta on olemas spetsialistide poolne objektiivne põhjendus konkreetse seadistuse tegemata jätmiseks.

Soovitame tutvuda veebilehel www.kriis.ee oleva teabega, kus on avaldatud erinevat teavet kriiside teemal, sh ka esmased küberohutusalased soovitused ettevõtjale.
Praktiline ja tehnilisem info küberturvalisuse valdkonna kohta on leitav Riigi Infosüsteemi Ameti kodulehelt (https://www.ria.ee/et/kuberturvalisus.html), kus on mh erinevat teavet olukorra kohta küberruumis, abistav info küberintsidentidest teavitamise kohta ning muud nõuanded ja juhendid.
Samuti on soovitatav tutvuda ka veebilehel www.itvaatlik.ee olevate selgituste ja õpetustega.