Mikä on tietomurto?

Tietomurtojen ymmärtäminen edellyttää tarkastelua yhden tapahtuman sijaan laajemmasta näkökulmasta. Useimmat tietomurrot ovat seurausta haavoittuvuuksien, virheiden tai huomiotta jääneiden riskien ketjusta, jota uhkatoimijat voivat hyödyntää.

Kyberhyökkääjät saavat yleensä pääsyn etsimällä helpoimman sisääntulokohdan, usein ihmisten toimintaan tai prosesseihin liittyvien puutteiden kautta eikä pelkästään teknisten heikkouksien vuoksi. Yleisiä esimerkkejä ovat seuraavat:

• Tietojen kalastelu ja käyttäjän manipulointi. Tietojenkalastelu on edelleen yksi yleisimmistä sisääntulokohdista. Huijaajat esiintyvät luotettuina tahoina, kuten IT-tiimeinä tai toimittajina, ja yrittävät saada käyttäjät jakamaan tunnistetietoja tai hyväksymään käyttöoikeuspyyntöjä. Samanlaisissa hyökkäyksissä, kuten huijauspuhelussa, käytetään puheluita samaan tarkoitukseen.
• Vaarantuneet tunnistetiedot. Heikot tai uudelleenkäytetyt salasanat ovat edelleen merkittävä riski. Ilman vahvoja todentamisen toimintoja, kuten monivaiheista todennusta (MFA), kyberhyökkääjät voivat saada pääsyn ilman, että hälytykset laukeavat heti.
• Korjaamattomat haavoittuvuudet. Vanhentuneet järjestelmät ja ohjelmistot voivat altistaa tunnetuille haavoittuvuuksille. Uhkaavat toimijat etsivät aktiivisesti näitä heikkouksia ja hyödyntävät niitä päästäkseen sisään.
• Virheellisesti määritetyt palvelut. Pilviympäristöt tuovat riskejä, kun tallennus tai palvelut on määritetty väärin. Julkisesti käytettävissä olevat tietovarannot ovat usein tietomurtojen lähde.
• Kolmannen osapuolen altistuminen. Toimittajilla ja kumppaneilla on usein pääsy sisäisiin järjestelmiin ja jaettuihin alustoihin, kuten asiakkuudenhallintatyökaluihin (CRM). Jos heidän suojaustasonsa on heikompi, heistä voi tulla epäsuora sisääntulokohta.
• Sisäisten käyttäjien toimet. Kaikki murrot eivät ole ulkoisia. Työntekijät tai alihankkijat voivat paljastaa tietoja tahattomasti tai joissakin tapauksissa toimia pahantahtoisesti.

Useimmat kyberhyökkääjät etenevät määrätietoisesti useiden vaiheiden kautta, joiden tarkoitus on maksimoida vaikutus ja välttää havaitseminen. Näitä ovat esimerkiksi seuraavat:

• Tutkiminen ja tiedustelu –Uhkaavat toimijat keräävät tietoja järjestelmistä, käyttäjistä ja mahdollisista haavoittuvuuksista löytääkseen arvokkaita kohteita.

• Alkuperäinen pääsy –Kyberhyökkääjät pääsevät sisään vaarantuneiden tunnistetietojen, tietojenkalastelun tai muiden haavoittuvuuksien kautta.

• Pysyvyys –He luovat keinoja säilyttää pääsy ajan mittaan, vaikka aiottu kohde löytäisi alkuperäisen sisääntulokohdan.

• Sivuttaisliike –Yhdestä vaarantuneesta tilistä huijarit yrittävät laajentaa pääsyä eri järjestelmiin ja kohdistavat usein hyökkäyksiä korotettuihin käyttöoikeustileihin aina kun mahdollista.

• Tietojen luvaton siirto –Arkaluonteiset tiedot kerätään ja siirretään pois ympäristöstä, joskus pienissä erissä havaitsemisen välttämiseksi.

• Rahaksi muuttaminen tai kiristys –Varastetut tiedot voidaan myydä, vuotaa julkisuuteen tai käyttää kiristysohjelmissa.

Tietomurtojen elinkaari korostaa sitä, miksi vahva käyttäjätietojen hallinta ja varhainen tunnistaminen ovat erittäin tärkeitä vahinkojen rajoittamiseksi.

Organisaatiot kohtaavat useita erilaisia tietomurtoja, joilla jokaisella on omat riskinsä ja lieventämiskeinonsa. Vaikka nämä luokat usein menevät päällekkäin, niiden tarkastelu yksittäisinä tapahtumina auttaa tiimejä priorisoimaan kyberpuolustusta.

Ulkopuoliset kyberhyökkääjät käyttävät tekniikoita, kuten haittaohjelmia, kiristysohjelmia tai tunnistetietojen täyttöhyökkäyksiä, saadakseen pääsyn. Tunnistetietojen täyttöhyökkäyksessä huijarit käyttävät varastettuja käyttäjänimi- ja salasana-yhdistelmiä yrittääkseen päästä useille tileille. Nämä kyberhyökkäykset ovat usein automatisoituja ja kohdistuvat yleisiin haavoittuvuuksiin.

Sisäisten käyttäjien tietomurrot voivat olla joko tahallisia tai vahingossa tapahtuvia. Esimerkiksi työntekijä voi tarkoituksella viedä tietoja henkilökohtaisen hyödyn vuoksi tai paljastaa arkaluonteisia tietoja tahattomasti virheellisten jakamisasetusten vuoksi tai joutumalla käyttäjän manipuloinnin uhriksi.

Kannettavat tietokoneet, ulkoiset asemat tai jopa paperitulosteet voivat kadota tai ne voidaan varastaa. Jos niitä ei suojata asianmukaisesti, ne voivat paljastaa arkaluontoisia tietoja organisaation hallinnan ulkopuolella.

Kun organisaatiot ottavat käyttöön pilvipalveluja, virheellisesti määritetyt tallennustilat tai käyttöoikeudet voivat jättää tiedot julkisesti saataville. Näitä ongelmia on usein vaikea havaita ilman jatkuvaa valvontaa.

Organisaatiot tukeutuvat yhä enemmän kumppaneihin ja toimittajiin. Kolmatta osapuolta koskeva tietomurto voi paljastaa jaetut tiedot, vaikka organisaation omat järjestelmät pysyisivät turvassa.

Tunnistetietojen vaarantuminen (tietojenkalastelun, salasanan uudelleenkäytön tai väsytyshyökkäysten kautta) on yksi yleisimmistä identiteettiin kohdistuvien tietomurtojen syistä. Se antaa kyberhyökkääjille mahdollisuuden käyttää järjestelmiä ja tietoja voimassa olevilla tunnistetiedoilla.

Tietomurrolla voi olla laajoja seurauksia, jotka ulottuvat pidemmälle kuin välitön tekninen korjaus. Monille organisaatioille merkittävin vaikutus ei ole itse tietomurto, vaan sen jälkivaikutukset.

Tietomurron kustannuksiin sisältyy useita reagoinnin ja palauttamisen tasoja. Kun tietomurto johtaa tietovuotoon, organisaatioiden on tutkittava tapaus, estettävä uhka, ilmoitettava siitä vaikutuksen kohteena oleville henkilöille ja usein tarjottava korjaavia palveluja, kuten luottotietojen seurantaa.

Toiminnallisesti tietomurrot voivat häiritä liiketoimintaprosesseja, viivästyttää projekteja ja viedä resursseja pois strategisista tavoitteista.

Organisaatioiden on täytettävä myös sääntelyn vaatimukset, jotka vaihtelevat alueen ja toimialan mukaan. Niihin kuuluvat tiukat ilmoitusajat tietomurroille sekä tietojenkäsittelytoimien ja tietokarttojen ylläpito.

Yleisiä säädöksiä ovat esimerkiksi seuraavat:

• Yleinen tietosuoja-asetus (GDPR) edellyttää oikea-aikaista ilmoittamista tietomurroista ja tiukkoja tietojen käsittelykäytäntöjä.
• California Consumer Privacy Act (CCPA)/California Privacy Rights Act (CPRA) keskittyy kuluttajien yksityisyydensuojaan ja läpinäkyvyyteen.
• Health Insurance Portability Accountability Act (HIPAA) säätelee terveystietojen suojaamista.
• Payment Card Industry Data Security Standards (PCI DSS) koskee maksukorttitietojen tietoturvaa.

Noudattamatta jättäminen voi johtaa sakkoihin, oikeustoimiin ja lisääntyneeseen viranomaisten valvontaan.

Taloudellisten ja oikeudellisten seurausten lisäksi tietomurrot voivat heikentää luottamusta. Asiakkaat, kumppanit ja sidosryhmät voivat menettää luottamuksensa organisaation kykyyn suojata arkaluonteisia tietoja – erityisesti silloin, kun riskit, kuten varjotiedot, identiteettiin perustuvat hyökkäykset tai sisäisten käyttäjien uhat, laajentavat tietomurron laajuutta ja vaikutuksia. Tämän vaikutuksen arviointi on usein vaikeaa, mutta ajan myötä se voi olla merkittävä.

Vaikka ennaltaehkäisevät toimet olisivat vahvoja, organisaatioiden on oletettava, että tietomurtoja voi tapahtua. Kyky havaita ja reagoida nopeasti on ratkaisevan tärkeää vaikutusten vähentämiseksi.

Nykyaikainen havaitseminen perustuu signaalien yhdistämiseen järjestelmien, käyttäjien ja tietojen välillä, mukaan lukien:

• Toiminnan valvonta suojauksen hallinnan automaattinen vastaus (SIEM)- ja suojauksen hallinnan automaattinen vastaus (SOAR) -alustojen avulla.
• Päätepisteiden ja identiteetin telemetrian käyttäminen poikkeamien havaitsemiseen.
• Tietojen menetyksen eston (DLP) käytäntöjen soveltaminen epätavallisen tietoliikenteen tunnistamiseen.

Nämä ominaisuudet ovat usein osa laajempaa IT-tietoturvastrategiaa, joka yhdistää useita työkaluja ja tietolähteitä.

Tehokas tapausten käsittelysuunnitelma auttaa varmistamaan, että tietoturvatiimit voivat toimia nopeasti ja johdonmukaisesti.

Tärkeimpiä osia ovat seuraavat:

• Selkeästi määritetyt roolit ja eskalointipolut
• Valmiit toimintamallit yleisiin tilanteisiin
• Oikeudelliset ja vaatimustenmukaisuuteen liittyvät työnkulut
• Viestintäsuunnitelmat sisäisille tiimeille, asiakkaille ja ulkoisille sidosryhmille

Kun tietomurto havaitaan, sen leviämisen rajoittamiseksi tarvitaan välittömiä toimia.

Organisaatiot tekevät yleensä seuraavat toimet:

• Eristävät vahingoittuneet järjestelmät tai tunnukset.
• Peruuttavat käyttöoikeudet ja vaihda tunnistetiedot.
• Säilyttävät todisteet tutkintaa varten.

Eristämisen jälkeen tiimit keskittyvät järjestelmien palauttamiseen ja uusiutumisen riskin vähentämiseen. Palauttamiseen kuuluu usein:

• Palautetaan toimintoja puhtaista varmuuskopioista.
• Vahvistetaan järjestelmän eheys ja käyttöoikeusvalvonta.
• Tunnistetaan puutteet ja vahvistetaan suojausta.
• Paranna reagointia säännöllisellä testauksella.

Tietomurron estämiseksi organisaatiot tarvitsevat ennakoivan ja kerroksittaisen lähestymistavan, joka kattaa identiteetin, tiedot, infrastruktuurin ja ihmisten toiminnan. Harkitse näiden tietoturvan parhaiden käytäntöjen käyttöönottoa:

• Ota käyttöön Zero Trust -suojausmalli: Zero Trust -suojausmalli perustuu ”Älä luota kehenkään – vaadi aina vahvistusta” -periaatteeseen. Tämä tarkoittaa, että käyttöpyyntöjä vahvistetaan jatkuvasti, vähimpien oikeuksien periaatetta noudatetaan ja oletetaan, että tietomurto voi tapahtua milloin tahansa.
• Vahvista käyttäjätietojen suojausta: Käyttäjätiedot ovat usein ensisijainen hyökkäysvektori. Organisaatioiden pitäisi ottaa käyttöön MFA, valvoa identiteettiriskiä, rajoittaa etuoikeutettuja käyttöoikeuksia ja kierrättää salaisuuksia säännöllisesti altistumisen vähentämiseksi.
• Suojaa tiedot hallinnan avulla: Tiedot pitäisi luokitella luottamuksellisuustason mukaan, ja käytössä pitäisi olla valvontakeinot, jotka estävät luvattoman käytön tai jakamisen. Tietojen suojaustason hallinnan (DSPM) mukaiset ratkaisut auttavat organisaatioita ymmärtämään, missä arkaluontoiset tiedot sijaitsevat ja miten niitä käytetään.
• Suojaa pilviympäristöt: Pilven käyttöönotto tuo mukanaan uusia riskejä. Ratkaisut, kuten pilvipalvelujen suojaustason hallinta (CSPM), pilvipalvelujen kuormituksen suojausympäristö (CWPP) ja pilvipohjainen sovellusten suojaus (CNAPP), auttavat tunnistamaan virheelliset määritykset ja haavoittuvuudet ennen kuin niitä voidaan hyödyntää.
• Hallitse haavoittuvuuksia ja pienennä hyökkäyspinta-alaa: Säännöllinen tiedostojen korjaaminen ja haavoittuvuuksien hallinta auttavat korjaamaan tunnetut heikkoudet ennen kuin niitä voidaan hyödyntää.
• Vähennä inhimillisiä riskejä: Työntekijät ovat edelleen tärkeä puolustuslinja. Säännöllinen koulutus auttaa käyttäjiä tunnistamaan käyttäjän manipuloinnin menetelmiä (kuten tietojenkalastelua tai huijauspuheluita) ja välttämään yleisiä virheitä, jotka johtavat tietomurtoihin.
• Vähennä kolmannen osapuolen riskiä: Toimittajat ja kumppanit pitäisi arvioida säännöllisesti, jotta varmistetaan, että ne täyttävät tietoturvavaatimukset eivätkä aiheuta lisäaltistusta.
• Valmistaudu poikkeamiin: Vahvimmatkin suojaukset voivat pettää. Organisaatioiden pitäisi testata tapausten käsittelyn suunnitelmia säännöllisesti simulaatioiden ja pöytäharjoitusten avulla, jotta valmius voidaan varmistaa.

Tietovuotoriskin torjuminen vaatii enemmän kuin vain tietojen suojaamista. Se edellyttää koordinoitua näkyvyyttä ja hallintaa identiteetin, tietojen, päätepisteiden, pilviympäristöjen ja suojausratkaisujen välillä. Microsoft Security -ratkaisut on suunniteltu toimimaan yhdessä tämän lähestymistavan tukemiseksi.

Keskeisiä ratkaisukokonaisuuksia ovat:

• Käyttäjätietojen suojaus–Microsoft Entra auttaa suojaamaan tunnistetietoihin perustuvilta hyökkäyksiltä MFA:n, ehdollisten käyttöoikeuksien ja identiteettiriskien tunnistamisen avulla.
• Tietojen suojaus ja hallinta—Microsoft Purview on suunniteltu auttamaan organisaatioita luokittelemaan, suojaamaan ja hallitsemaan luottamuksellisia tietoja koko elinkaaren ajan.
• Uhilta suojautuminen—Microsoft Defender tarjoaa laajennetun havaitsemisen ja reagoinnin päätepisteisiin, sähköpostiin ja pilvisovelluksiin.
• Pilvipalvelun suojaustaso—Microsoft Defender for Cloud auttaa suojaamaan pilvikuormituksia ja tunnistamaan virheelliset määritykset CSPM- ja CNAPP-ominaisuuksien avulla.
• Suojaustoimet—Microsoft Sentinel tukee kehittynyttä uhkien havaitsemista, tutkimista ja automaattista reagointia.