Takaisin
Kyberturvallisuuskoulutus ja -ohjelmistot yrityksille | MetaCompliance

Tuotteet

Tutustu yksilöllisiin tietoturvatietoisuuskoulutusratkaisuihimme, jotka on suunniteltu antamaan tiimillesi valtaa ja koulutusta nykyaikaisia verkkouhkia vastaan. Alustamme antaa henkilöstöllesi tiedot ja taidot, joita tarvitset organisaatiosi suojaamiseen, aina käytäntöjen hallinnasta phishing-simulaatioihin.

Kyberturvallisuuden eLearning

Cyber Security eLearning tutustua palkittu eLearning kirjasto, räätälöity joka osastolle

Tietoturvatietoisuuden automatisointi

Aikatauluta vuotuinen tiedotuskampanja muutamalla klikkauksella

Phishing-simulaatio

Pysäytä phishing-hyökkäykset niiden jäljiltä palkitun phishing-ohjelmiston avulla

Politiikan hallinta

Keskitä käytännöt yhteen paikkaan ja hallitse käytänteiden elinkaarta vaivattomasti.

Tietosuojan hallinta

Valvoa, seuraa ja hallitse vaatimustenmukaisuutta helposti

Tapahtumien hallinta

Ota sisäiset vaaratilanteet haltuun ja korjaa se, mikä on tärkeää.

Takaisin
Teollisuus

Toimialat

Tutustu ratkaisujemme monipuolisuuteen eri toimialoilla. Tutustu siihen, miten ratkaisumme vaikuttavat useilla eri aloilla dynaamisesta teknologiasektorista terveydenhuoltoon. 


Rahoituspalvelut

Ensimmäisen puolustuslinjan luominen rahoituspalveluorganisaatioille

Hallitukset

Turvallisuustietoisuusratkaisu hallituksille

Yritykset

Turvallisuustietoisuuden koulutusratkaisu suuryrityksille

Etätyöntekijät

Turvallisuustietoisuuden kulttuurin juurruttaminen - myös kotona

Koulutusala

Koulutuksen tietoturvatietoisuuskoulutus koulutusalalle

Terveydenhuollon työntekijät

Tutustu räätälöityyn tietoturvatietoisuuteen terveydenhuollon työntekijöille

Teknologiateollisuus

Tietoturvakoulutuksen muuttaminen teknologiateollisuudessa

NIS2-vaatimustenmukaisuus

Tukea Nis2-vaatimusten noudattamista kyberturvallisuuden tietoisuutta edistävillä aloitteilla

Takaisin
Resurssit

Resurssit

Maksuttomia tietoisuutta lisääviä aineistojamme voi käyttää organisaatiosi tietoisuuden parantamiseen tietoverkkoturvallisuuden osalta julisteista ja käytännöistä lopullisiin oppaisiin ja tapaustutkimuksiin.

Tietoturvatietoisuus Dummiesille

Välttämätön resurssi tietoverkkotietoisuuden kulttuurin luomiseksi.

Dummies-opas kyberturvallisuuteen Elearning

Perimmäinen opas tehokkaan kyberturvallisuuden sähköisen oppimisen toteuttamiseen

Perimmäinen opas phishingiin

Kouluta työntekijöitä siitä, miten phishing-hyökkäykset havaitaan ja estetään.

Ilmaiset tietoisuusjulisteet

Lataa nämä julisteet työntekijöiden valppauden lisäämiseksi.

Phishingin vastainen politiikka

Luo turvallisuustietoinen kulttuuri ja edistä tietoisuutta kyberturvallisuusuhkista.

Tapaustutkimukset

Kuuntele, miten autamme asiakkaitamme edistämään positiivista käyttäytymistä organisaatioissaan.

A-Z Kyberturvallisuuden terminologia

Sanasto tietoverkkoturvallisuuden termeistä, jotka on pakko tietää

Kyberturvallisuuden käyttäytymisen kypsyysmalli

Auditoi tietoisuuskoulutuksesi ja vertaile organisaatiosi parhaita käytäntöjä vastaan

Ilmaista tavaraa

Lataa ilmaiset tietoisuutta lisäävät aineistomme organisaatiosi kyberturvallisuustietoisuuden parantamiseksi.

Takaisin
MetaCompliance | Kyberturvallisuuskoulutus ja -ohjelmistot työntekijöille

Tietoja

MetaCompliancella on yli 18 vuoden kokemus kyberturvallisuuden ja vaatimustenmukaisuuden markkinoilta, ja se tarjoaa innovatiivisen ratkaisun henkilöstön tietoturvatietoisuuteen ja vaaratilanteiden hallinnan automatisointiin. MetaCompliance-alusta luotiin vastaamaan asiakkaiden tarpeisiin saada yksi kattava ratkaisu kyberturvallisuuteen, tietosuojaan ja vaatimustenmukaisuuteen liittyvien henkilöriskien hallintaan.

Miksi valita meidät

Lue, miksi Metacompliance on luotettu kumppani tietoturvatietoisuuskoulutuksessa.

Työntekijöiden sitouttamisen asiantuntijat

Helpotamme työntekijöiden sitouttamista ja kybertietoisuuden kulttuurin luomista.

Tietoturvatietoisuuden automatisointi

Automatisoi tietoturvatietoisuuskoulutus, tietojenkalastelukoulutukset ja -käytännöt helposti muutamassa minuutissa.

MetaBlogi

Pysy ajan tasalla tietoverkkotietoisuutta koskevista koulutusaiheista ja vähennä organisaatiosi riskejä.

Tärkeimmät vaiheet tehokkaaseen tietomurron hallintaan

Tietomurron hallinta

kirjoittajasta

Jaa tämä viesti

Tietoturvaloukkauksen hallintasuunnitelma varmistaa, että oikea henkilöstö ja oikeat menettelyt ovat käytettävissä uhan tehokasta käsittelyä varten.

Kuvittele paniikki, kun havaitaan massiivinen tietomurto, joka on saattanut jatkua jo kuukausia. Vuonna 2017 Equifax varoitti maailmaa useiden miljoonien sen valvonnassa olleiden tietueiden varastamisesta.

Varkaus sai alkunsa Apache Strutsin haavoittuvuudesta, joka on laajalti käytetty kehityskehys. Equifax tiesi haavoittuvuudesta, mutta työntekijä, jonka tehtävänä oli korjata se, ei tehnyt sitä. Seurauksena oli joukko valitettavia tapahtumia, kuten se, että korjausskannerit eivät löytäneet muita haavoittuvuuksia, joita pahensivat useat inhimilliset virheet.

Equifax on sittemmin käyttänyt noin 1,4 miljardia dollaria (1 miljardi puntaa ) tietoturvansa parantamiseen. Yhdistyneen kuningaskunnan tietosuojavaltuutetun toimisto (ICO) määräsi yhtiölle myös puolen miljoonan punnan sakon, ja Equifaxin entinen tietohallintojohtaja sai neljän kuukauden vankeustuomion tietomurron käyttämisestä henkilökohtaiseen hyötyyn. Equifaxin tietomurto oli yritysten painajaisten aihe.

Kävelemällä "mailin verran jonkun toisen kengissä" voimme ymmärtää, miten organisaation jokainen osa hoitaa tehokkaasti tietomurron hallinnan. Kun pohditaan, miten kukin osasto voi auttaa purkamaan tietomurtoon johtavaa tapahtumaketjua, voidaan tietomurtoa hallita tehokkaammin.

Tietomurtojen hallinnan miten ja miksi

Tietomurrot vaikuttavat kaikkiin organisaation työntekijöihin. Samoin jokainen voi auttaa estämään tai minimoimaan tietomurron vaikutukset. Seuraavassa tarkastellaan organisaation viiden keskeisen osa-alueen vastuualueita ja kunkin vastuualueen vastuita tietoturvaloukkauksen hallinnassa.

Tietoturvatapahtumaryhmä

Tietoturvaloukkausten hallinta ja estäminen on tietoturvatapahtumaryhmän tärkein tehtävä. Tätä ryhmää on pyydetty yhä useammin, kun tietomurtojen määrä ja voimakkuus ovat lisääntyneet. Ryhmän rooli on keskeinen tietomurron hallinnassa, ja ryhmä luottaa vankkaan prosessiin, joka auttaa heitä tässä tehtävässä. Tietoturvaryhmän olisi voitava käyttää apunaan tietoturvaloukkauksen torjuntasuunnitelmaa ja katastrofista toipumista koskevaa suunnitelmaa tietoturvaloukkauksen hillitsemiseksi. Nämä suunnitelmat auttavat tiedottamaan toimista, kun tietoturvaloukkaus on tapahtunut.

Rikkomuksen rajoittamisen ja hallinnan tyypillisiä vaiheita ovat:

Vahvista rikkomus

Se saattaa vaikuttaa itsestään selvältä, mutta varmista, että tietoturvaloukkaus on tapahtunut ja että se vaikuttaa luottamuksellisiin tai arkaluonteisiin tietoihin. Rikkomuksen analysoinnin aikana kerättyjä tietoja käytetään, jos rikkomus on niin paha, että siitä on ilmoitettava valvontaviranomaiselle. Kerättäviä ja dokumentoitavia tietoja ovat muun muassa seuraavat:

  • Miten tietoturvaloukkaus havaittiin
  • Missä se tapahtui
  • Ketä asia koskee (mukaan lukien mahdolliset ekosysteemitoimittajat).
  • Kuka ilmoitti rikkomuksesta
  • Päivä(t), jolloin rikkomukset tapahtuivat
  • Millaisen riskin tietoturvaloukkaus aiheuttaa organisaatiolle/asiakkaille jne.
  • Onko tietoturvaloukkaus nyt täysin hallinnassa?

Miten tietoturvaloukkaus tapahtui?

Tietomurron analysointi ei ole tarpeen ainoastaan säännösten noudattamisen vuoksi, vaan se voi myös auttaa lieventämään tulevaa tietoriskiä. Tietomurtojen dynamiikka on moninaista. Tietoja voi paljastua useiden eri mekanismien kautta sekä vahingossa että ilkivaltaisesti. Tunnista nämä mekanismit: oliko kyseessä työntekijän tahaton paljastuminen vai ilkeä hakkerointi? Käytettyjen vektorien ja taktiikoiden ymmärtäminen voi auttaa lieventämään altistumista ja lieventämään hyökkäystä.

Tietotyyppi, johon tiedot vaikuttavat

On ratkaisevan tärkeää pystyä tunnistamaan tietomurrosta ilmoittamisen ja sääntöjen noudattamisen kannalta, että pystytään tunnistamaan, minkälainen riskitaso tietoihin kohdistuu, sekä ymmärtämään kokonaisvaikutus liiketoimintaan. Dokumentoi tietoturvaloukkauksen kohteena olevien tietojen tyyppi ja riskitaso. Organisaatioilla pitäisi jo olla ISO 27001:n kaltaiseen standardiin perustuva luokittelujärjestelmä. Tässä standardissa määritellään neljä tietoluokkaa:

  1. Luottamuksellinen (vain ylimmällä johdolla on pääsy)
  2. Rajoitettu (useimmilla työntekijöillä on pääsy)
  3. Sisäinen (kaikilla työntekijöillä on pääsy)
  4. Julkinen tieto (kaikkien saatavilla)

Rajoittaminen ja talteenotto

Kun tietoturvaloukkaus on havaittu, on erittäin tärkeää, että tietoturvaloukkaus rajoitetaan mahdollisimman nopeasti. Rikkomuksen analysoinnin aikana toteutettujen toimien avulla voidaan laatia torjuntastrategia. Tietoturvaloukkaukset, joihin työntekijät ovat osallisina, saattavat edellyttää tietoturvatietoisuuskoulutuksen tarkistamista. Ulkopuolisten ilkivaltaisten hakkerien tekemät tietoturvaloukkaukset edellyttävät järjestelmien ja torjuntatoimenpiteiden tarkempaa tutkimista. Tietomurron vaikutusten minimoimiseksi on laadittava elvytyssuunnitelmat.

Lainsäädäntö ja vaatimustenmukaisuus

Oikeudelliset ja sääntöjen noudattamista valvovat osastot käyttävät kaikkia rikkomuksesta kerättyjä asiakirjoja rikkomuksen jälkihoitoon. Oikeudelliset ja compliance-tiimit päättävät, kuuluuko tietoturvaloukkaus tietoturvaloukkauksesta ilmoittamista koskevan vaatimuksen piiriin; esimerkiksi Yhdistyneen kuningaskunnan vuoden 2018 tietosuojalain (DPA 2108) 67 pykälän mukaan ilmoitus tietoturvaloukkauksesta on tehtävä ICO:lle 72 tunnin kuluessa siitä, kun yritys on saanut tiedon tietoturvaloukkauksesta. Kaikki tietoturvaryhmän keräämät dokumentoidut todisteet tietoturvaloukkauksesta, siitä, missä, miksi ja miten sitä on lievennetty, käytetään tässä ilmoituksessa. Voi myös olla vaatimus ilmoittaa tietoturvaloukkauksesta kaikille, joita asia koskee. Tämä voi edellyttää yrityksen verkkosivustolla julkaistavaa täydellistä julkista tiedonantokirjettä.

Ilmoittamista koskevat säännöt

Keskeistä tietoturvaloukkauksen oikeudellisessa käsittelyssä on tehdä tietoon perustuva päätös siitä, ilmoitetaanko tietoturvaloukkauksesta valvontaviranomaiselle ja milloin. Kysymyksiä, kuten onko tietoturvaloukkauksesta ilmoittaminen pakollista, voi tehdä vain pätevä ja asiantunteva henkilökunta. Tämä päätös voi edellyttää, että tietoturvaloukkaus julkistetaan: tällä on ilmeisesti pitkäaikaisia mainevaikutuksia, ja markkinointiosasto osallistuu todennäköisesti markkinointiin brändivaikutusten minimoimiseksi. Seuraavassa on muutamia esimerkkejä julkisista tietoturvaloukkausilmoituksista:

Equifaxin tietoturvaloukkaus

CapitalOne-murto

Twitterin tietoturvaloukkaus

Tietoturvaloukkauksista ilmoittamista koskevat säännöt vaihtelevat eri säädösten välillä. Esimerkiksi EU:n yleisen tietosuoja-asetuksen (GDPR) mukaan tietoturvaloukkauksesta on ilmoitettava 72 tunnin kuluessa siitä, kun tietoturvaloukkaus on havaittu. Yksityisyyden suojaa ja sähköistä viestintää koskevan asetuksen (Privacy and Electronic Communications Regulations, PECR, jota sovelletaan internet- ja televiestintäpalvelujen tarjoajiin) mukaan henkilötietojen tietoturvaloukkauksesta on kuitenkin ilmoitettava ICO:lle viimeistään 24 tunnin kuluttua sen havaitsemisesta.

Henkilökunta

Kun henkilöstöstä tehdään osa tietoturvaloukkausten hallintaprosessia, heistä tulee etulinjan voimavara tietoverkkohyökkäysten torjunnassa. Henkilöstö ja tietoturva kattavat laajan kirjon mahdollisia haavoittuvuuksia aina tahattomasta tietojen paljastumisesta tietojen kalasteluun ja yhteistoimintaan ulkopuolisten hakkerien kanssa.

Verizonin Data Breach Investigation Report 2020 (DBIR) -raportin mukaan noin 17 prosenttia tietomurroista voidaan jäljittää yksinkertaisesti virheisiin. Esimerkiksi työntekijöiden salasanojen jakaminen tai salasanojen käyttäminen uudelleen useissa eri sovelluksissa on huono turvallisuuskäytäntö.

Phishing on edelleen verkkorikollisten suosima ase; phisherit jäljittelevät mielellään Microsoftin kaltaisia tuotemerkkejä huijatakseen käyttäjiä luovuttamaan yritystunnuksia. Tietoturvakoulutuksessa työntekijöille opetetaan monia myönteisiä tapoja, joilla he voivat auttaa ylläpitämään yrityksen hyvää tietoturva-asennetta.

Rikkomusten hallinnan osalta henkilöstön tietoisuuden on ulotuttava siihen, että he ymmärtävät vastuunsa eri säädösten puitteissa, kuten sen varmistaminen, että asiakastietoja kunnioitetaan ja käytetään DPA 2018:n ja GDPR:n kaltaisen lainsäädännön rajoissa. Ymmärtämällä, missä tietoturvaloukkaus voi tapahtua, sekä eri asiaankuuluvien säännösten mukaiset vastuut organisaatio voi ottaa henkilöstön mukaan tietoturvaloukkausten hallintaprosessiin.

On kuitenkin tärkeää kouluttaa henkilöstö asianmukaiselle tasolle. Jotkut työntekijät, kuten tekniset työntekijät, saattavat tarvita erityistä turvallisuuskoulutusta ja/tai sertifiointia.

Uudet työntekijät on otettava mukaan organisaation tietoturvatietoisuuden koulutusohjelmiin heti ensimmäisestä päivästä lähtien. Henkilöstön tietoturvatietoisuuskoulutuksen säännölliset tarkistukset esimerkiksi seuraavilla aloilla:

  • Phishing
  • Turvallisuushygienia
  • Tietoisuus tietoturvavastuusta

...pitäisi olla jatkuvaa, jotta se pysyisi tehokkaana.

Tietoturvatietoisuuskoulutus olisi sisällytettävä yrityksen turvallisuuspolitiikkaan osana tietoturvaloukkausten hallintaprosessia.

Kolmannen osapuolen myyjät

Toimittajien ekosysteemit voivat olla monimutkaisia, ja niihin voi liittyä neljänsiä ja viidentiä osapuolia. Accenturen hiljattain julkaisemassa raportissa "State of Cyber Resilience 2020" todetaan, että 40 prosenttia tietoturvaloukkauksista alkaa epäsuorista hyökkäyksistä toimitusketjun tasolla. Toimittajariskien hallinta on osa tietomurron tehokasta hallintaa. Toimittajiin liittyvät tietomurrot ovat kaksisuuntainen asia. Sen lisäksi, että toimittajalinkkien haavoittuvuusanalyysi tehdään verkkohyökkäysten lieventämiseksi, on tietomurron tapahtuessa analysoitava toimittajien ekosysteemi sen selvittämiseksi, onko tietomurrolla vaikutusta myyjään.

Hallitus

Yhdistyneen kuningaskunnan hallituksen raportissa "Cyber Security Breaches Survey 2021" todettiin, että 77 prosenttia yrityksistä uskoo, että kyberturvallisuus on johtajiensa tai ylempien johtajiensa tärkeä prioriteetti. Tietoturvaloukkausten korkean profiilin vuoksi yhä useammassa hallituksessa on nyt tietoturva-asiantuntijoita. Kun tietomurto tapahtuu, koulutettu hallitus voi tukea muuta organisaatiota tietomurron käsittelyssä, varmistaa, että sääntelyvaatimukset täyttyvät, ja varmistaa, että tietomurron hallintaan ja uusien hyökkäysten torjuntaan on käytettävissä budjetti.

Tietävätkö työntekijät, mitä tehdä tietomurron yhteydessä?

Tietoturvaloukkausten hallintatoimenpiteiden käyttöönotto on koko liiketoiminnan tehtävä. Yksi tehokkaan tietomurron hallinnan keskeisistä osatekijöistä on se, miten koulutat henkilöstöäsi. Merkityksellisyys on avainasemassa varmistettaessa, että tietoturvaloukkausten hallinta toimii organisaatiossasi. Jokaisen organisaation on kehitettävä oma relevantti ja ainutlaatuinen lähestymistapansa tietoturvaloukkauksen raportointiin ja hallintaan.

Tietoisuuden optimointi alkaa ihmisten ja prosessien tasolla. Kaikkien osa-alueiden, pienimmistä yksityiskohdista kokonaiskuvaan, on oltava riittävän perusteellisia, jotta varmistetaan, että häiriötilanteisiin reagoimista koskeva toimintatapasi on vankka ja koko henkilöstön ymmärrettävissä. Tähän on sisällyttävä:

Viestintä: Käytetyistä puhelinnumeroista sähköpostiosoitteisiin tai muihin järjestelmiin, joita käytetään rikkomuksen ilmoittamiseen.

Roolit ja vastuualueet: Asianomaisten häiriötilanteiden johtajien ja heidän vastuualueidensa korostaminen

Toimet: Kuka tekee mitä ja milloin ja miten he hoitavat tehtävänsä tietoturvaloukkauksen hallinnassa.

Korjaaminen: Miten tietoturvaloukkaus korjataan ja mitä siitä on opittu, mukaan lukien tietoturvatietoisuuskoulutuksen mahdollinen päivittäminen.

Suuremmissa monikansallisissa yrityksissä näiden viestintäyhteyksien on heijastuttava koko organisaatioon, jolloin yrityksen osastot ja toimistot yhdistyvät.

Kaikkien on hyväksyttävä tämä suunnitelma työntekijöistä johtajiin ja hallituksen jäseniin.

Tietoturvatietoisuus Dummiesille

Muita artikkeleita aiheesta Cyber Security Awareness Training, jotka saattavat kiinnostaa sinua.

duckduckgo vs google FI

DuckDuckGo vs. Google - 5 syytä, miksi sinun kannattaa luopua Googlen käytöstä!

Etkö tiennyt, että DuckDuckGo on hakukone? No, nyt tiedät. Vuonna 2008 tapahtuneesta perustamisestaan lähtien DuckDuckGo on ottanut tavoitteekseen kehittää hakukone, joka ei tallenna tai jaa henkilötietoja, toisin kuin Google. Googlen liiketoimintamalli ei perustu niinkään tietosuojaan kuin henkilökohtaiseen mainontaan. Ilman henkilötietojen tallentamista Google menettäisi käytännössä hengitysilmansa. Google on kuitenkin edelleen käytetyin hakukone, ja siihen on syynsä. Googlella on kuitenkin yksi heikkous, ja se on tietosuoja.
Lue lisää "
tietosuoja vs. tietoturva FI

Tietoturva vs. tietosuoja

Koskeeko tämä ISO- vai tietosuojavastaavaamme, vai onko asia sama kummassakin tapauksessa? Kuka tarkalleen ottaen on vastuussa tästä tapauksesta, ja onko siitä ylipäätään tarpeen ilmoittaa? Jotta voimme keskustella tietoturvan ja tietosuojan yhtäläisyyksistä ja eroista, on ensin määriteltävä nämä kaksi alaa.
Lue lisää "