Liiketoiminnan jatkuvuus ja varmuuskopiointi — käytännön opas pienyritykselle

Liiketoiminnan jatkuvuus ja varmuuskopiointi — käytännön opas pienyritykselle

Mitä jos yrityksen tärkein tiedosto häviää huomenna? Käytännön malli kevyeen jatkuvuussuunnitelmaan: kolme kopiota, kaksi tallennustapaa, yksi erillään. Plus selkeä testirutiini, jolla varmistat että suunnitelma toimii oikeasti.

Liiketoiminnan jatkuvuus on käsite, joka kuulostaa suurten yritysten tehtävältä. Käytännössä se on yksinkertaisesti vastaus kysymykseen: jos jokin tärkeä tiedosto tai järjestelmä katoaa tänään, kuinka kauan kestää ennen kuin toiminta on jälleen normaalia? Pienille yrityksille kysymys on usein yhtä tärkeä kuin suurille — mutta vastauksen saaminen vaatii vain murto-osan resursseista.

Tietomurron seurausten on toistuvasti todettu olevan merkittäviä myös pienemmissä yrityksissä: liikevaihto saattaa pysähtyä viikoiksi, asiakassuhteet kärsiä ja luottamus rapautua. Lisäksi suuri osa hyökkäyksistä ei pyri varastamaan tietoja, vaan keskeyttämään toiminnan kiristyshaittaohjelmilla, jotka salaavat tiedostot ja vaativat lunnaita.

Mitä jatkuvuussuunnitelma todella sisältää

Jatkuvuussuunnitelma ei ole 80-sivuinen dokumentti. Pienissä yrityksissä toimiva versio mahtuu kahteen sivuun ja vastaa neljään kysymykseen.

Mitä tietoja ja järjestelmiä yritys ei voi olla ilman? Käy läpi kaikki tiedot, järjestelmät ja palvelut, ja jaa ne kolmeen luokkaan: kriittiset (laskutus, asiakasrekisteri, kirjanpito), tärkeät (sisäiset dokumentit, projektidata) ja sivutason aineisto. Resurssit kohdennetaan kriittisten suojaamiseen.

Kuinka kauan toiminta voi olla pysähdyksissä? Tätä kutsutaan teknisesti palautusajaksi (engl. Recovery Time Objective, RTO). Jos kriittiset järjestelmät voivat olla offline neljä tuntia ilman merkittäviä vaikutuksia, varmuuskopioiden palautukseen on neljä tuntia aikaa. Jos toimintaa ei voi keskeyttää lainkaan, tarvitaan kalliimpi ratkaisu, jossa tiedot peilautuvat reaaliajassa toiselle palvelimelle.

Kuinka paljon dataa voi hävitä? Tämä on hyväksyttävä tietohukka (engl. Recovery Point Objective, RPO). Päivän vanhat varmuuskopiot tarkoittavat, että jopa 24 tuntia tietoa voidaan menettää. Tunnin välein otetut varmuuskopiot rajoittavat menetyksen tunneiksi.

Kuka tekee mitäkin, kun jotain menee pieleen? Yhteystiedot, vastuut ja aikataulu — kuka palauttaa varmuuskopion, kuka kommunikoi asiakkaille, kuka informoi viranomaisia jos tarpeen. EU:n NIS2-direktiivin alaiset yritykset ovat velvollisia ilmoittamaan merkittävän häiriön viranomaiselle 24 tunnin sisällä.

Kolme kopiota, kaksi tallennustapaa, yksi erillään

Tunnetuin ja yhä toimivin varmuuskopioinnin perusperiaate menee näin:

• Kolme kopiota tiedoista — alkuperäinen + 2 varmuuskopiota
• Kaksi eri tallennustapaa — esimerkiksi pilvi + paikallinen levyasema
• Yksi kopio fyysisesti erillään — pilveen tai eri toimipisteeseen

Tämä periaate tunnetaan kansainvälisesti nimellä 3-2-1, ja sitä suosittelevat mm. Yhdysvaltain teknologiavirasto NIST sekä kyberturvallisuusvirasto CISA.

Pienelle yritykselle käytännön toteutus on lähes triviaali, kun käytössä on Microsoft 365: tiedostojen pilvitallennuspalvelu (SharePoint Online ja OneDrive for Business) säilyttää tiedostot pilvessä versiohistorian kanssa, eli yksi kopio ja erillinen sijainti tulevat valmiina. Toinen kopio kannattaa varmistaa erillisellä varmuuskopiopalvelulla, joka kopioi Microsoft 365:n tiedot toiseen sijaintiin sen ulkopuolelle.

Tärkeä huomautus: oletusarvoisesti Microsoft 365 ei ole varmuuskopio. Microsoft vastaa palvelun saatavuudesta, mutta käyttäjän omasta datasta — joka on poistettavissa, ylikirjoitettavissa ja kiristettävissä — vastaa käyttäjäorganisaatio. Tästä syystä yrityksen on otettava huolehtiminen varmuuskopioinnista omiin käsiinsä erillisellä palvelulla.

Kiristyshaittaohjelmaskenaario — testaa tämän varalta

Jos varmuuskopiointistrategiaasi ei testata kiristyshaittaohjelman näkökulmasta, se ei ole oikeasti suoja kiristyshaittaohjelmaa vastaan. Kiristysohjelmat etsivät aktiivisesti varmuuskopiopalvelimia ja salaavat myös ne — siksi vähintään yhden kopion on oltava sellainen, jota ei voi muokata jälkikäteen.

Käytännössä tämä tarkoittaa varmuuskopiotallennusta, joka on lukittu kirjoitusta vastaan tietyn ajanjakson ajaksi (engl. immutable storage). Modernit pilvivarmuuskopiopalvelut tarjoavat tämän valmiina. Yhdistettynä vahvistettuun kirjautumiseen varmuuskopiokonsoliin pääsy on käytännössä mahdotonta hyökkääjälle, vaikka pääkäyttäjän tunnukset olisivat paljastuneet.

Käytännön kysymys IT-kumppanille on yksinkertainen: "onko varmuuskopiomme suojattu kiristysohjelmaa vastaan niin, ettei niitä voi salata edes pääkäyttäjän oikeuksilla?" Jos vastaus ei ole selkeä kyllä, suojaus pitää tarkistaa.

Palautusharjoitus — varmuuskopio jota ei testata, ei ole olemassa

Yleisin ja katastrofaalisin sudenkuoppa pk-yrityksissä on, että varmuuskopiointi on määritelty mutta sitä ei ole koskaan testattu. Tällöin paljastuu kriisitilanteessa, että varmuuskopiot eivät ole täydellisiä, palautus vie ennakoitua kauemmin tai joitakin kriittisiä järjestelmiä ei ole otettu mukaan lainkaan.

Käytännön suositus: tee palautusharjoitus puolen vuoden välein. Valitse satunnainen tiedosto vuoden takaa, palauta se ja mittaa kuinka kauan kesti. Kerran vuodessa testaa kokonaisen postilaatikon tai tiedostosijainnin palauttaminen. Kerran kahdessa vuodessa simuloi koko ympäristön palautus tyhjästä — uudet käyttäjätilit, tietojen palautus, sähköpostin tunnistustiedot, varmenteet. Tämä on raskasta, mutta paljastaa puutteet ennen kuin ne aiheuttavat haittaa.

---

Mistä aloittaa

Jatkuvuussuunnitelman rakentaminen on tehokkainta tehdä vaiheittain.

• Tee tärkeysluokittelu yhdessä iltapäivässä. Kerää avainhenkilöt yhteen ja käykää läpi yrityksen tiedot ja järjestelmät: mikä on kriittinen, mikä tärkeä, mikä sivuasia. Tulokseksi saadaan listattu inventaario, joka ohjaa kaiken loppuosan suunnittelua.
• Tarkista että kolmen kopion sääntö toteutuu kriittisille tiedoille. Jos käytössä on Microsoft 365 ja jokin pilvivarmuuskopiopalvelu, perustaso on yleensä lähellä. Varmista, että vähintään yksi kopio on lukittu kiristysohjelmaa vastaan.
• Dokumentoi kahden sivun jatkuvuussuunnitelma. Kuka tekee mitäkin, kuinka kauan saa kestää, kuinka paljon dataa saa hävitä. Liitä mukaan yhteystiedot ja asiakkaiden viestintämallinpohja.
• Aikatauluta puolivuosittainen palautusharjoitus. Lyhytkin (30 min) säännöllinen testi paljastaa ongelmat ennen oikeaa kriisiä.

Liiketoiminnan jatkuvuus ei ole yksittäinen tuote tai sertifiointi, vaan organisaation kyky toipua häiriötilanteista. Tämä kyky rakentuu suhteellisen pienillä, jatkuvilla toimenpiteillä — ei suurilla projekteilla.