Tämä on toukokuun uutis- ja tuotekatsaus Digiturvamallilta. Seuraava pääkäyttäjäwebinaarimme, jossa käymme asiat läpi livenä, järjestetään syksyllä 2024. Voit ilmoittautua webinaariin Webinaarit-sivullamme lähempänä ajankohtaa.
Helsingin kaupungin kasvatuksen ja koulutuksen toimialaan kohdistui toukokuussa tietomurto, joka koskee yli 120 000 henkilön tietoja. Tietomurrossa on kaapattu kaupungin työntekijöiden käyttäjätunnukset ja sähköpostiosoitteet sekä kasvatuksen ja koulutuksen toimialan oppilaiden, huoltajien ja henkilöstön henkilötunnuksia sekä osoitetietoja.
Juurisyynä tietomurtoon on ollut päivittämätön etäyhteyspalvelin. Haavoittuvuuteen oli olemassa korjauspäivitys, mutta sitä ei oltu tehty syystä tai toisesta. Tietomurtojen ja haavoittuvuuksien varalta on erittäin tärkeää tunnistaa kriittiset päivitettävät järjestelmät sekä laitteet.
Tapahtuneesta tietomurrosta on tiedotettu suhteellisen hyvin. Viestintä tietomurrosta on ollut nopeaa ja korostaa tapahtuman vakavuutta, ja Helsingin kaupunki on myöntänyt omat virheensä ja puutteensa tietoturvapäivitysten ja laitteiden ylläpitoon liittyvistä kontrolleista ja toimintatavoista.
Fortinetin puolivuotiskatsauksesta käy ilmi, että haavoittuvuuksien hyödyntäminen nopeutuu, kohdistuen erityisesti uusiin haavoittuvuuksiin. Katsauksen mukaan hyökkäykset alkavat keskimäärin 4,76 päivää julkaisun jälkeen
Analyysissa toimittajan vastuu asetetaan avainasemaan. Toimittajien on löydettävä ja korjattava haavoittuvuudet nopeasti välttääkseen 0-day hyväksikäytöt ja auttaakseen asiakkaita suojaamaan itseään tehokkaasti.
Vaikka Fortinetin katsauksessa keskitytään erityisesti uusiin haavoittuvuuksiin, on tieto relevantti myös vanhemmille haavoittuvuuksille. Jopa 41% organisaatioista havaitsi yrityksiä hyödyntää yli 30 päivää vanhoja haavoittuvuuksia. Lisäksi FortiGuard Labs havaitsee globaalisti edelleen myös yli 15 vuotta vanhojen haavoittuvuuksien hyödyntämisyrityksiä. Tämän vuoksi organisaatioiden kannattaa pitää huolta kyberhygieniastaan ja ylläpitää päivityksiä ja korjaustoimenpiteitä.
AI-avusteiset tietojenkalasteluyritykset ovat nousussa. Tekoäly automatisoi ja personoi hyökkäysprosessin eri osa-alueita, edistäen hyvää kieltä ja minimoiden kirjoitusvirheiden määrää. Tekoälyn avulla voidaan helposti tehdä vakuuttavia tietojenkalasteluviestejä millä tahansa kielellä, ja generatiivinen AI pystyy jopa matkimaan tarkasti oikean henkilön viestintätyyliä.
Eniten tietojenkalasteluyrityksiä on ilmennyt Yhdysvalloissa (55,9%) Iso-Britanniassa (5,6%) sekä Intiassa (3,9%). Tutkimuksessa myös selviää, että Microsoft on yksi imitoiduimmista brädeistä tieetojenkalasteluyrityksissä.
AiTM-hyökkäykset (Adversary-in-the-middle) ovat edelleen merkittävä uhka, ja BiTB-hyökkäysten (Browser-in-the-Browser) yleistyminen pahentaa ongelmaa. Nämä menetelmät kohdistuvat erityisesti käyttäjiin verkkoselaimissa, mikä vaikeuttaa havaitsemista ja torjuntaa.
Palo Alton artikkelissa keskustellaan, kuinka tekoälyn ympärillä pyörivä jatkuva hype hankaloittaa autenttisten hyökkäysten tunnistamista. Erilaisia AI:n hyökkäysmenetelmiä ovat esimerkiksi:
Optimististinen puoli on, että tekoäly voi parantaa puolustuksellisia kyberturvallisuusvalmiuksia. Tekoälyn ja multimodaalisen logiikan kehitys voi jopa vähentää ohjelmistojen haavoittuvuuksien kokonaismäärää, kun ohjelmistoja testataan ja korjataan entistä paremmin automatisoidusti ja laajamittaisesti kehityksen aikana.
Huhtikuussa 2024 Ranskan Cannes Hospital joutui kyberhyökkäyksen kohteeksi. Tämän seurauksena organisaatio päätti ajaa järjestelmät alas hyökkäyksen rajaamiseksi. Sairaalan henkilöstö joutui turvautumaan manuaalisten prosessien käyttöön, tuloksena hidastunut työ ja peruuntuneita operaatioita.
Cannes Hospital on aloittanut hitaat palautumisprosessit, sairaala pyrkii tällä hetkellä palauttamaan kriittisimpiä järjestelmiä potilaiden hoitoon liittyen. Cannes on ilmoittanut hyökkäyksestä asiaankuuluville viranomaisille, ja hyökäystä analysoidaan tarkasti. Sairaala ei ole vastaanottanut lunnasvaatimuksia kyberhyökkäykseen liittyen, eikä todisteita datan varastamisesta ole ilmennyt.
NIS2-direktiivi astui voimaan 16. tammikuuta 2023 ja EU:n jäsenmaiden on nyt tarkoitus sisällyttää tämä keskeinen kyberturvallisuutta koskeva lainsäädäntö osaksi kansallista lainsäädäntöään. Prosessi on saatava päätökseen 17. lokakuuta 2024 mennessä. Lokakuun 18. päivästä 2024 alkaen nykyinen NIS -direktiivi kumotaan, ja jäsenvaltiot alkavat soveltamaan päivitettyjä toimenpiteita. Jäsenvaltioilla on myös mahdollisuus laajentaa NIS2-direktiivin soveltamisalaa ja ottaa käyttöön kansallisia lisävaatimuksia.
Olemme julkaisseet avuksi ilmaisen NIS2 haltuun hyödyntäen ISO 27001 parhaita käytäntöjä -ekirjan. Ilmaisessa e-kirjassamme opastamme sinut NIS2-maailmaan ja näytämme, miten voit hyödyntää ISO 27001:n parhaita käytäntöjä vaatimustenmukaisuuden saavuttamisessa. Nappaa omasi täältä: https://digiturvamalli.fi/ekirja
.png)
Kesällä 2024 Pariisissa järjestetään kesäolympialaiset, joiden tietoturvaa on pidetty kyseenalaisena erityisesti Outpost24:n tekemän tietoturva-arvion jälkeen.
Tietoturva-arvio on paljastanut monia haavoittuvuuksia, kuten:
Nämä haavoittuvuudet voivat kompromisoida esimerkiksi henkilöstön ja urheilijoiden henkilökohtaisia tietoja, aiheuttaen yksityisyyden suojaan ja turvallisuuteen liittyviä riskejä.
Raportissa kuitenkin myös mainittiin, että järjestäjät ovat ottaneet käyttöön vahvoja turvatoimia ja heidän yleinen tietoturvalähestymisensä ansaitsee tunnustusta. Tietoturvan parissa kohdataan harvoin täydellisyyttä, ja Pariisin Olympialaisia voidaan katsoa hyvänä esimerkkinä hyökkäyspinnan hallinnassa.
Julkaisimme uuden Mittarit-sivun. Löydät sen jatkossa vasemmasta valikosta -oletuksena "Lisää" painikkeen alta, mutta voit halutessasi kiinnittää sivun vasemman valikon yläosioon.
Mittarit-sivulla voit määritellä ne tietoturvan hallinnan avainmittarit, jotka ovat teidän organisaation työskentelylle kaikkein oleellisimmat. Mittareita löytyy yhteensä 20+ käyttämistäsi vaatimuskehikoista riippuen. Voit itse muokata tavoitearvoja eri mittareille.
Olemme julkaisseet uuden, automaattisen kuukausiraportin, joka on suunniteltu tukemaan viestintää omalle johdolle. Raportissa näkyvät tilillänne aktivoidut mittarit, yhteenveto kuukauden aikana saavutetusta edistyksestä sekä tiettyjä avaintietoja kohdista, joita on edistetty viimeisen kuukauden aikana. Tämä raportti ei ole liian pitkä ja sen avulla on helppo esitellä tekemäänne digiturvatyötä positiivisella tavalla.
Tämän ominaisuuden avulla raportti näytetään Ohjekirjassa valituille työntekijöille. Työntekijöiden tulee avata raportti ja kuitata se luetuksi - samaan tapaan kuin ohjeet.
The Digital Operational Resilience Act (DORA) on EU:n laki digitaalisen toiminnan resilienssistä. Sen tarkoitus on vahvistaa rahoituslaitosten resilienssiä kaikilla sen osa-alueilla. Aloita työ kohti DORA-vaatimuskehikkoa ennen sen soveltamista 1/2025 Digiturvamallissa! Voit aktivoida ja muokata vaatimuskehikkoja Digiturvamallissa. organisaation työpöydältä.
Lisäksi pian tulossa Digiturvamalliin: ISO 9001
Tutustu saatavilla oleviin sekä tuleviin vaatimuskehikkoihin Digiturvamallin sovelluksessa tai Vaatimuskehikot-sivustolta.
Paranna osaamistasi viikoittaisten webinaarien, videokurssien, artikkeleiden ja blogien avulla.
