Küberturvalisus puudutab tänapäeval igaüht – nii suurettevõtet, riigiasutust kui ka tavalist internetikasutajat. Pangaülekanded, e-teenused, töömeilid ja nutiseadmed on kõik potentsiaalsed rünnakusihtmärgid. Selles artiklis selgitame, mida küberturvalisus tähendab, millised on levinumad ohud ja kuidas end lihtsate sammudega kaitsta.
Mis on küberturvalisus?
Eestikeelse Vikipeedia järgi määratleb küberjulgeoleku strateegia 2014–2017 valdkondlik metoodika küberturvalisuse kui seisundi, mis hõlmab (a) kübervahendite turvalisust ja (b) turvalisust kübervahendite talitluse kaudu tekkivate ohtude suhtes. Turvalisuse all mõistetakse tavaliselt seisundit, kus riskid ei realiseeru.
Eesti keeles eristatakse mitut lähedast mõistet:
- Küberturvalisus – seisund, olukord.
- Küberturve – tegevus, mille abil turvalisust tagatakse.
- Küberjulgeolek – riiklikult oluliste kübervahendite julgeolek, mida tagavad enamasti julgeoleku-, korrakaitse- ja riigikaitseasutused.
Ingliskeelne „security“ tõlgitakse kontekstist sõltuvalt kas julgeolekuks või turvalisuseks. Lähedased mõisted on ka infoturve, IT-süsteemide turvalisus ja isikuandmete kaitse.
Levinumad küberohud
Ingliskeelse Vikipeedia järgi puudutavad koduseid internetikasutajaid kõige tõenäolisemalt sihtimata rünnakud, kus ründajad püüavad tabada võimalikult palju seadmeid ja kasutajaid. Levinumad meetodid on õngitsus, lunavara ja skaneerimine.
Õngitsus (phishing)
Õngitsus on katse saada kasutajalt petmise teel tundlikku teavet, näiteks kasutajanimesid, paroole või kaardiandmeid. Seda tehakse võltsitud e-kirjade, sõnumite või telefonikõnede kaudu, mis suunavad sisestama andmeid võltsveebilehele, mis näeb välja peaaegu nagu päris. Levinud skeem on võltsarve, mis väidab, et ostsite midagi, ja palub klõpsata lingil, kui ost polnud teie tehtud.
Lunavara
Lunavara on pahavara, mis paigaldab end ohvri arvutisse, krüpteerib failid ja nõuab nende tagastamise eest lunaraha, tavaliselt krüptorahas.
Tagauks
Tagauks on salajane viis süsteemi tavapärasest autentimisest või turvakontrollist mööda pääseda. See võib tekkida halva disaini või seadistuse tõttu või paigaldada ründaja pahavara abil, saades nii süsteemile kaughalduse ligipääsu. Tagauksi on raske avastada, sest need peituvad sageli lähtekoodis või püsivaras.
Teenusetõkestusrünnak (DoS)
Teenusetõkestusrünnaku eesmärk on muuta masin või võrguressurss kasutajatele kättesaamatuks – näiteks ülekoormates süsteemi või sisestades korduvalt vale parooli, et ohvri konto lukustuks. Väikesed ja keskmise suurusega ettevõtted on muutunud üha haavatavamaks, sest neil puuduvad sageli täiustatud kaitsevahendid; neid tabavad enim pahavara, lunavara, õngitsus, vahendajarünnakud ja DoS-rünnakud.
Inimlik eksimus
Lõppkasutajat peetakse turvaahela nõrgimaks lüliks: hinnanguliselt üle 90% turvaintsidentidest on seotud mingi inimliku eksimusega. Levinumad vead on halb paroolihaldus, tundlike andmete saatmine valele adressaadile ning suutmatus ära tunda eksitavaid URL-e, võltsveebilehti ja ohtlikke manuseid.
Kuidas end kaitsta?
- Kasuta kaheastmelist autentimist. Vikipeedia järgi vähendab see riski, mis tekib näiteks siis, kui paroolid on salvestatud brauserisse ja ründaja pääseb seadmele ligi.
- Kasuta tugevaid ja erinevaid paroole ning paroolihaldurit.
- Uuenda tarkvara – operatsioonisüsteemi, brauserit ja rakendusi.
- Kontrolli linke ja saatjaid enne klõpsamist; ametlik asutus ei küsi paroole e-kirjaga.
- Tee varukoopiaid – lunavararünnaku korral on värske varukoopia parim kaitse.
- Õpi ja harjuta: teadlikkus on parim kaitse inimliku eksimuse vastu.
Küberturvalisus Eestis
Eesti on tuntud digiriigina, mistõttu on küberturvalisus siin eriti oluline. 2017. aastal valmis Riigi Infosüsteemi Ameti (RIA) ja ettevõtte CybExer Technologies koostöös keskkond Digitest, kus inimesed saavad päriselust pärit juhtumite põhjal testida oma teadlikkust internetiohtudest. Eesti Perearstide Selts, Tervise ja Heaolu Infosüsteemide Keskus ning RIA on võtnud eesmärgiks parandada perearstide küberturvalisust.
2018. aastal võttis Riigikogu vastu küberturvalisuse seaduse (KüTS). Selle alusel valmis ka määrus võrgu- ja infosüsteemide riskianalüüsi nõuete ja turvameetmete kohta, mille järgi seaduses määratud teenuseosutajad pidid oma riskianalüüsid nõuetega vastavusse viima.
Seega puudutab küberturvalisuse seadus eelkõige elutähtsate teenuste osutajaid ja teisi seaduses nimetatud asutusi, kuid head tavad sobivad kõigile.
Ettevõtte kontrollnimekiri
- Kas töötajad on läbinud küberhügieeni koolituse?
- Kas kriitilistel kontodel on kaheastmeline autentimine?
- Kas varukoopiad on olemas ja kas nende taastamist on testitud?
- Kas on olemas plaan, mida teha intsidendi korral, ja kas teate, kuhu sellest teada anda?
Kokkuvõte
Küberturvalisus on seisund, kus küberriskid ei realiseeru, ja selle saavutamine nõuab nii tehnilisi meetmeid kui ka teadlikke kasutajaid. Kuna enamik intsidente on seotud inimliku eksimusega, on kaheastmeline autentimine, tugevad paroolid, varukoopiad ja tähelepanelikkus õngitsuskirjade suhtes iga kasutaja parimad relvad.