Kolmandale sektorile

Organisatsiooni küberturbe ülesehitamisel on esimene samm ülevaate saamine andmetest, infosüsteemidest ja info liikumisest. Selleks kaardistage:

• milliseid andmeid kogutakse ja töödeldakse. See on igas organisatsioonis unikaalne, varieerudes vaid organisatsiooni töötajate või vabatahtlike kontaktandmetest kuni väga tundlike isikuandmeteni;
• milliseid infosüsteeme organisatsioonis kasutatakse, mis andmeid neis salvestatakse ja töödeldakse;
• milliste teenusepakkujatega ja mis andmeid vahetatakse (näiteks finantsandmed raamatupidamisteenuse pakkujaga, klientide terviseandmed sotsiaalabi osutamiseks vm). Kuidas on andmevahetus tehniliselt korraldatud?
• millised on küberturbega seotud ohud organisatsioonile, näiteks õngitsused, arvepettused, pahavara levik või turvanõrkuste ärakasutamine. Juhul kui organisatsioon tegeleb poliitiliselt või sotsiaalselt tundlike teemadega, võivad kolmanda sektori organisatsioonidele olla ohuks riiklike sidemetega ohustajate või huvigruppide (häkitivistide) poolsed sihitud ründed.

Organisatsioonis töödeldavaid andmeid ja infosüsteeme tuleb hallata teadlikult, hoiustades vaid vajalikke andmeid ja kasutades ainult ajakohaseid ja uuendatud infosüsteeme.

Mõelge läbi, milliseid andmeid organisatsioon peab töötlema ja kui pikalt neid hoiustama:

• kas kõik kogutavad ja hoiustatavad andmed on vajalikud? Kui leidub andmeid, mida tegelikult ei ole vaja koguda ja talletada, tasub need kustutada, et vähendada andmelekke riski ja kaitstavate andmete hulka.
• oluline on planeerida ka aegunud andmete regulaarne kustutamine.

Kasutusel olevad info– ja andmeedastussüsteemid tuleb regulaarselt üle vaadata:

• kas kõik infosüsteemid, kus andmeid töödeldakse ja hoiustatakse, on vajalikud? Kui mõni neist enam vajalik ei ole, on mõistlik see sulgeda ja andmed viia üle kasutuses olevasse süsteemi.
• kas kõikidele kasutusel olevatele infosüsteemidele pakutakse tootjapoolset tuge ja turvauuendusi? Kui ei, tuleks infosüsteemi kasutamise riskid täiendavalt läbi mõelda ja vajadusel võtta kasutusele ajakohane infosüsteem.

Pange paika info edastamise reeglid (näiteks nõuded, et isikuandmeid sisaldavaid dokumente tohib e-kirja teel edastada vaid krüpteerituna või organisatsiooni dokumente isiklikesse pilvkeskkondadesse salvestada ei tohi). Tutvustage reegleid ka töötajatele ja infot töötlevatele vabatahtlikele.

Rääkige küberturvalisusest ka partneritega. Vajadusel tuleb küberturvalisuse nõuded sätestada lepingus.

Seda, kuidas IT teenuseid turvaliselt väljast tellida, saab teada osaledes RIA loodud e-koolitusel.

Planeerige organisatsiooni IT taristu (võrgu ja seadmete) haldus ja turvalisuse tagamine:

• kaardistage ja korrastage organisatsiooni seadmed ja võrk. Kontrollige, et avatud on vaid vajalikud teenused ja kasutuses vaid vajalikud rakendused. Kontrollige, et internetis ei oleks avatud teenuseid, mis ei peaks avatud olema (näiteks kaugtöölaua (remote desktop) teenused või mõni vana unustatud FTP server);
• kaardistage ja hallake teadlikult, milliste isiklike seadmetega töötajad kasutavad organisatsiooni infosüsteeme;
• hoidke tarkvara IT-taristus ja kasutajate seadmetes ajakohasena. Uuenduste kiire paigaldamine aitab kaasa sellele, et ründajad ei saa süsteemidesse pääsemiseks haavatavusi ära kasutada.

Koolitage küberhügieeni teemadel töötajaid ja vabatahtlikke.

• RIA pakub kõikidele organisatsioonidele tasuta enda loodud kübertesti, mis asub paljudele tuttaval Moodle’i platvormil. Kübertesti eesmärk on tõsta organisatsiooni töötajate ja vabatahtlike küberteadlikkust. 

Töötage välja intsidendile reageerimise ja intsidendist taastumise plaanid ning rakendage neid:

• veenduge, et intisidendist taastumise plaanid hõlmavad vähemalt nende süsteemide taastamist, mis on organisatsioonile kriitilised ja olulised. Lisaks peaksid plaanid sisaldama nende isikute andmeid, kellega abi saamiseks ühendust võtta või keda intsidendist teavitada;
• küberintsidendi korral saate abi CERT-EE-st aadressil cert@cert.ee või helistades telefonil +372 663 0299.

Oluline on omada ülevaadet inimestest ja kontodest, kes süsteemidele ja andmetele ligi saavad

• Vaadake regulaarselt üle süsteemides olevad kontod ja eemaldage need, mida ei kasutata või mis ei ole vältimatult vajalikud. See aitab vähendada kontode hulka, mida on vaja kaitsta ja mida ründajad saavad süsteemi pääsemiseks kasutada;
• Töötaja või vabatahtliku lahkumisel blokeerige koheselt tema kasutajakontod ja ligipääs organisatsiooni ressurssidele.

Ligipääsude andmisel rakendage minimaalõiguste põhimõtet: andke kasutajatele õigusi nii vähe kui võimalik ja nii palju kui vältimatult vajalik.

• pöörake erilist tähelepanu kontodele, millel on ulatuslikud või suure mõjuga õigused (administraatori ligipääs). Vähendage selliste kontode hulk süsteemis minimaalse võimalikuni, arvestades siiski ka varuligipääsude (back-up) vajadusega;
• vältige administraatorikontode kasutamist igapäevaste ülesannete täitmiseks;
• pange paika süsteem administraatorikontode kasutuse regulaarseks jälgimiseks, et avastada volitamata ja kuritahtlik tegevus.

Pange paika organisatsiooni kontode kaitsmise reeglid, mis kehtivad ka organisatsiooniga seotud vabatahtlikele:

• kasutage tugevaid unikaalseid paroole ja mitmikautentimist (loe lähemalt);
• kui mõni süsteem ei võimalda mitmikautentimist, kaaluge alternatiivse lahenduse kasutamist;
• kasutage paroolihaldurit vajalike paroolide haldamiseks.

Kui organisatsiooni kommunikatsioonis on tähtis koht sotsiaalmeedial, pöörake tähelepanu ka sotsiaalmeedia turvalisusele:

• omage ülevaadet organisatsiooni kasutuses olevatest kontodest;
• kaitske sotsiaalmeedia kontosid (tugevad paroolid, mitmikautentimine, verifitseerimine);
• sotsiaalmeediakanalite haldajate täiendav koolitamine turvalisuse teemal;
• Loe lähemalt RIA blogi-st.

Riiklike sidemetega ohustajad või ideoloogiliselt meelestatud ründajad (häkitivistid) võivad sihtida ka  organisatsioonidega seotud eraisikuid, näiteks vabatahtlikke. Sedalaadi rünnakud võivad olla järjepidevad, hästi koordineeritud ja läbi viidud korraga nii organisatsiooni kui eraisiku vastu. Oluline on teadvustada , et eraisiku, näiteks vabatahtliku, suunal tehtavad rünnakud võivad avaldada mõju ka organisatsioonile.

Piira võimalusel enda kohta avalikult kättesaadavat infot, et vähendada ründeks vajalikku teavet:

• Sotsiaalmeedia kasutamisel tuleb arvestada, et jagatud infot või teiste poolt sinu kohta avaldatud teavet võidakse kasutada sihitud rünnakuks;

Kontrolli oma kontakte ja ole tähelepanelik sotsiaalse manipulatsiooni osas:

• veendu sotsiaalmeedias loodud kontaktide tegelikkuses (mis on kontakti tegelik identiteet);
• ole valvas matkimiskatsete (impersonation) osas, näiteks võiv võõras isik väita end olevat ajakirjanik või kanda mõnda muud sotsiaalset rolli;
• ole ettevaatlik e-kirjades, tekstisõnumites või muudel suhtlusplatvormidel olevatel linkidel või manustel klõpsates ja QR-koode skanneerides;
• ole ettevaatlik tundmatust allikast pärinevatel linkidel või manustel klõpsates;
• võimalusel väldi irdmäluseadmete (näiteks USB pulgad) kasutamist. Kui siiski tekib vajadus kasutada välist andmekandjat, ole äärmiselt ettevaatlik, et vältida pahavara alla laadimist seadmesse.
• Taga ka oma seadmete, veebikasutuse, võrguliikluse ja andmeedastuse turvalisus:
• tundlike andmete edastamisel kasuta alati krüpteerimist.
• jälgi, et sinu kasutatavad suhtlus-, sotsiaalmeedia ja muud rakendused edastavad andmeid turvaliselt (kasutavad krüpteeritud andmesidet) ja vaata ka üle, kus rakendused andmeid hoiustavad.
• kui veebilehitseja hoiatab, et soovitud leht ei kasuta turvalist andmesidet, loobu võimalusel selle veebilehe kasutamisest. Oluline on veenduda, et veebilehtede andmeedastus toimuks üle krüpteeritud https protokolli. Krüpteerimata http protokolli kasutavad veebilehtedel saab ründaja kasutajale kuvada oma soovitud sisu või varastada sisestatud andmeid. Seetõttu tuleks vältida taolistele veebilehtedele isikuandmete sisestamist.
• kasuta avalikus ruumis oma telefonioperaatori pakutavat mobiilset internetiühendust, mida saad jagada ka arvutisse. Väldi avalikku WiFi võrku;
• kui töötad avalikus ruumis, ole teadlik ümbritseva suhtes, et teised (sh valvekaamerad) ei näeks seadmes tehtavaid tegevusi (sh paroolide sisestamine) või ei kuuleks pealt vestluseid. Järgi turvalise kaugtöö üldisi juhiseid;

• Tutvu väikestele- ja keskmise suurusega ettevõtetele ja organisatsioonidele mõeldud küberturvalisuse lühijuhendiga – https://www.itvaatlik.ee/wp-content/uploads/2024/12/Ettevotte-kuberturvalisuse-luhijuhend.pdf
• IT-süsteemide ohutusnõuded on koondatud Eesti infoturbestandardisse (E-ITS). See on justkui küberturbe kasutusjuhend, mille järgimisel peaks suuremad organisatsioonid olema enamike küberohtude eest kaitstud – EITS
• USA kontekstist lähtuvad inglisekeelsed juhendid suure riskiga kogukondade ja kolmanda sektori organisatsioonidele küberturvalisuse tagamiseks – Project Upskill