Toimistoverkon tietoturva pk-yrityksessä — Microsoft 365 -perustaso kuntoon

Pk-yrityksen tietoturva ei vaadi monimutkaisia hankintoja. Useimmiten kaikki tarvittava on jo olemassa Microsoft 365:ssä — kunhan se on viritetty oikein. Tässä viisi konkreettista asiaa, jotka saa kuntoon viikon työllä.

Tietoturva tuntuu monessa yrityksessä joko abstraktilta velvollisuudelta tai kalliilta projektilta, joka vaatii konsultteja ja erillisen budjetin. Todellisuudessa se on usein paljon yksinkertaisempaa: ympäristö on jo olemassa Microsoft 365:n muodossa, ja kysymys on lähinnä siitä, onko se asetettu oikein.

Microsoftin oman selvityksen mukaan yli 99 prosenttia tilien kaappauksista voitaisiin estää käyttämällä monivaiheista kirjautumista (Microsoft, Digital Defense Report, 2024). Kansainvälisten tutkimusten mukaan myös valtaosassa muista tietomurroista on mukana inhimillinen tekijä — yleensä joku huijatuksi tullut tai liian heikko salasana. Toisin sanoen: pienen yrityksen suurimmat riskit voi hoitaa pois huolella tehdyllä asetustyöllä ja henkilöstön ohjeistuksella, ei kalliilla tuotteilla.

Viisi asiaa, jotka muodostavat perustason

Seuraavat viisi toimenpidettä kattavat valtaosan tilanteista, joissa pk-yritys joutuu tietoturvaongelmiin. Ne ovat samat asiat, joita Suomen Kyberturvallisuuskeskus ja EU:n tietoturvavirasto ENISA suosittelevat.

1. Kirjautumisen vahvistus puhelimella tai sovelluksella

Tämä on yksittäinen toimenpide, joka tuo selvästi suurimman hyödyn. Käytännössä se tarkoittaa, että salasanan lisäksi kirjautuessa pitää vahvistaa kirjautuminen puhelimeen tulevalla viestillä tai erillisellä sovelluksella. Tekninen nimi on monivaiheinen tunnistautuminen (engl. multi-factor authentication, MFA), mutta käytännössä riittää muistaa, että salasana yksin ei enää riitä kirjautumaan.

Microsoft 365:ssä ominaisuus sisältyy hintaan eikä vaadi mitään lisäostoa. Se on otettava käyttöön kaikille — myös toimitusjohtajalle, joka on hyökkääjille suosituin kohde. Microsoftin oletusturvasäädöt (Security Defaults) -valinta tekee tämän automaattisesti, mutta vanhemmissa tileissä se on usein jätetty pois päältä.

2. Kirjautumisen säännöt eri tilanteissa

Vahvistuksen päälle kannattaa rakentaa tarkemmat säännöt: kirjautumisen vahvistus pyydetään aina, kun kirjautuminen tulee tuntemattomalta laitteelta tai poikkeuksellisesta paikasta; kirjautuminen estetään kokonaan maista, joissa yrityksesi ei toimi; arkaluontoiseen tietoon pääsee vain hallinnoiduilta laitteilta. Microsoft kutsuu tätä ehdollisiksi käyttöoikeussäännöiksi (engl. Conditional Access).

Käyttäjälle muutos on minimaalinen — useimmissa kirjautumisissa ei tapahdu mitään ylimääräistä. Mutta hyökkääjälle ovi sulkeutuu lähes kokonaan.

3. Sähköpostin tunnistustiedot — ettei kukaan voi esiintyä yritykseksesi

Hyökkääjien yleisimpiä tapoja huijata pk-yritystä on lähettää viesti, joka näyttää tulevan toimitusjohtajalta tai luotetulta toimittajalta — esimerkiksi pyytää siirtämään palkanmaksun toiselle tilille. Tämän voi estää lisäämällä yrityksen verkkotunnukseen kolme tunnistustietoa, jotka todistavat vastaanottavalle palvelimelle, että viesti tulee oikeasti yrityksesi sähköpostipalvelimelta.

Tekniset nimet ovat SPF, DKIM ja DMARC. Sinun ei tarvitse muistaa niitä — riittää, että tilataan IT-kumppanilta tunnin työ, jossa nämä lisätään yrityksen verkkotunnuksen asetuksiin. Kertaluontoinen, ilmainen, mutta vaikuttaa kaikkiin tuleviin huijausviesteihin.

4. Tehostettu sähköpostin suojaus

Microsoftin paremmissa lisensseissä (Business Premium) on mukana lisäpalvelu, joka tarkistaa sähköpostien linkit klikatessa, suorittaa liitetiedostot eristetyssä ympäristössä ja antaa työkalut säännöllisille henkilöstöharjoituksille. Tekninen nimi on Defender for Office 365, mutta käytännössä se on Microsoftin oma sähköpostin tehosuoja. Tämä ei tee perusasetuksista turhia — se täydentää niitä.

5. Yrityslaitteiden hallinta ja kiintolevyjen suojaus

Microsoftin laitehallintapalvelu (Intune) hallitsee yrityslaitteita keskitetysti: kaikki tietokoneet kytketään pakotettuun kiintolevyn salaukseen (BitLocker), kadonneet laitteet voi tyhjentää etänä ja päivitykset asentuvat keskitetysti — ei käyttäjien itse pitämänä. Sama logiikka koskee puhelimia.

Ilman laitehallintaa yhden varastetun läppärin riski on koko yrityksen tietojen menettäminen. Salaamattomalta kiintolevyltä saa kaikki tiedostot ulos kymmenessä minuutissa.

Mitä tämä vaatii käytännössä

Kaikki yllä mainittu — vahvistettu kirjautuminen, ehdolliset käyttöoikeudet, sähköpostin tehosuoja ja laitehallinta — sisältyy Microsoft 365:n parempiin lisensseihin. Erillisostoja ei tarvita, vaan ne aktivoidaan olemassa olevassa ympäristössä.

Käyttöönoton työmäärä on maltillinen. Yhden viikon kalenteriaika riittää, kun työ jaetaan: ensimmäinen päivä vahvistettu kirjautuminen ja oletusturvasäädöt päälle, toinen päivä sähköpostin tunnistustiedot, kolmas päivä kirjautumisen säännöt, neljäs päivä sähköpostin tehosuoja ja laitteiden rekisteröinti, viides päivä henkilöstön ohjeistus.

Tyypilliset sudenkuopat

Käytännön työssä toistuvat samat ongelmakohdat:

Vahvistettu kirjautuminen on käytössä, mutta vain ylläpitäjillä. Hyökkääjät kohdentavat tavallisiin käyttäjiin, joiden kautta he pääsevät sisään.
Sähköpostin automaattiset välityssäännöt jäävät huomaamatta. Kun hyökkääjä murtautuu postilaatikkoon, hän asentaa usein säännön, joka kopioi viestit hänen omaan postilaatikkoonsa. Tällaiset säännöt pitää tarkistaa säännöllisesti.
Henkilöstön omat laitteet (Bring Your Own Device, BYOD) jäävät hallinnan ulkopuolelle. Käytännön ratkaisu: vaaditaan vähintään peruslaitesuojan tarkastus ennen kuin yrityksen sähköposti synkronoidaan puhelimeen.
Päivitykset jätetään käyttäjän vastuulle. Tämä ei toimi. Laitehallintapalvelu hoitaa päivitykset keskitetysti, jolloin laitteet pysyvät ajan tasalla ilman käyttäjän aktiivisuutta.

Mistä aloittaa

Jos yrityksesi tietoturvan perustaso ei ole vielä kunnossa, järjestys on selkeä.

Aktivoi Microsoftin oletusturvasäädöt heti. Yhdellä klikkauksella saat vahvistetun kirjautumisen koko organisaatiolle ja vanhentuneet kirjautumistavat estettyä. Microsoftin oman datan mukaan tämä yksin estää valtaosan tilihyökkäyksistä.
Lisää sähköpostin tunnistustiedot verkkotunnukseesi. Aloita varovaisesta tilasta (vain raportointi), seuraa kuukauden ajan, mitkä viestit tulisivat hylätyiksi, ja kun olet varma että kaikki yrityksesi viestit ovat kunnossa, kytke hylkäys päälle.
Päivitä lisenssit Microsoftin Business Premium -tasolle ja ota kirjautumisen perussäännöt käyttöön. Tämä on ainoa kohta, joka vaatii lisenssipäivityksen, mutta hyöty perustasoon nähden on suuri.

Pk-yrityksen tietoturva ei ole maraton vaan asianmukainen perusta. Kun perusta on kunnossa, edistyneemmät ratkaisut tulevat luonnollisena seuraavana askeleena vasta sitten, kun organisaatio kasvaa. Useimmille pk-yrityksille perustaso riittää pitkälle.

Toimistoverkon tietoturva pk-yrityksessä — Microsoft 365 -perustaso kuntoon