E-ITSPEA 14: Andmeturveː tehnoloogia, koolitus ja reeglid
Andmepüük: miks tulemüür ei aita, kui inimene vajutab valel lingil?
Andmepüük on minu meelest üks viimase aja kõige ebameeldivamaid IT-turvariske, mida nii tööl kui eraelus on pidevalt tunda ja on ka mul kuidagi väga südamel(nagu postituse pikkus võib ära näidata), kuna see ei sõltu ainult sellest, kas süsteemis on mõni turvaauk, vaid sellest, kas inimene jääb uskuma talle saadetud kirja, sõnumit või kõne. Piisab vaid sellest kui inimene on väsinud või teeb mõnd liigutust nö automaatrežiimil. Ka RIA 2026. aasta küberturvalisuse aastaraamatus on 2025. aastat nimetatud pettuste aastaks, kus hinnati kelmide pettuste kahjudeks kokku 29 miljonit eurot. See näitab päris hästi, et tegu ei ole mingi väikese "kahtlaste e-kirjade" probleemiga, vaid pigem igapäevase kelmide ründemudeliga. Näiteks võib töötaja saada M365 parooli aegumise teate, ülemuselt kiireloomulise maksekorralduse või panga klient panga nimel lingi, kuhu ta usalduslikult sisestab oma andmed. KAPO 2025-2026 aastaraamatus on samuti lugeda, et kontodele ligipääsu saamiseks kasutatakse muuhulgas õngitsust, salasõnade kogusid ja paroolipakkumisi ehk ründaja ei pea alati midagi väga keerulist tegema, kui inimene või protsess ise aitab kasvõi tahtmata sellele kaasa. Samuti võib sarnane loogika töötada ka füüsiliselt, näiteks kui keegi ründaja teeskleb kullerit, uut töötajat või jalutab rahvamassiga enesekindlalt ja lastakse lihtsalt kontorisse sisse.
Mitnicki valem
Mitnicki valemi järgi ei ole tehnoloogia, koolitus ja reeglid eraldi lisad, vaid pigem selline komplekt, kus ühe osa nõrkus võib kogu kaitse ära rikkuda. Nende komplekt kehtib nii suurettevõttes, koolis kui ka koduses arvutikasutuses. Tehnoloogia poolelt võiks see tähendada mitmefaktorilist autentimist, paroolihaldurit, meilifiltreid, kui ka linkide ja manuste kontrolli, õiguste piiramist ning logimist, et ebatavalised sisselogimised või tegevused välja paistaksid. Samas ei tasu tehnoloogiat üle hinnata, sest väga usutav e-kiri võib ikka läbi tulla, mida saaja võib väga kergekäeliselt uskuma jääda. Koolituse osas oleks vaja inimestele tutvustada, et rünnak ei pruugi näha välja kui vigases eesti keeles spämm nagu vanasti, vaid võib tulla täiesti loogilise tööülesande kujul, kuna tänapäeva tehisintellekt on võimeline väga usutavaid kirju kokku kirjutama. Samuti pole ka võimatu, et tööstus- või riigijulgeoleku huvidega seotud ründajad kasutavad sihitud pettusi, kus kiri on koostatud konkreetse inimese, asutuse või tööprotsessi järgi. Sellepärast tulekski õpetada märkama kiirustamist, ähvardamist, ootamatuid manuseid või kasvõi palvet tavaprotsessist mööda minna. Välisluureameti 2026. aasta raportis on ka otse öeldud, et vaenulikud riigid korraldavad Eesti tundlikule teabele ligipääsemiseks küberründeid, mistõttu ei ole selline risk ainult teoreetiline probleem, vaid päris asi, millega peavad arvestama nii riigiasutused kui ka ettevõtted.
Seetõttu kui reeglid võivad tunduda selle teema juures võibolla kõige igavama osana, jääb nendeta töötaja ebamugavasse ja raskesse olukorda, kus ta peab üksi ilma tihtipeale tervest pildist arusaamata kiirelt otsuseid vastu võtma. Minu meelest peaks seetõttu organisatsioonis olema väga lihtne põhimõte: ka juhi e-kiri ei tohi olla aluseks tegevuste(nt pangaülekande) alustamiseks ning kõik protsessid peaksid järgima ette määratud protsesse, kus tegevusi kooskõlastavad mitmed inimesed, et isegi kellegi konto kaaperdamisel või pahatahtliku tegevuse tulemusel ei saaks niisama protsesse ilma kinnitusteta ellu viia. Sama käib füüsilise ligipääsu kohta, ehk võõrast ei lasta enda järel uksest sisse ainult sellepärast, et ta näeb enesekindel välja, vaid kontrollitakse kellega tegu on ja kas tal on üldse seal viibimiseks põhjus. Seetõttu tahaks andmepüügi kohta öelda, et inimene ei ole lihtsalt "nõrgim lüli", vaid tihti viimane kaitsekiht, kellele ei tohiks kogu vastutust anda, kuna vastupidisel juhul on terve süsteem juba enne selle ühe inimese otsust ebaõnnestunud.
Comments
Post a Comment