Etätyön tietoturva: laitteet, verkot ja mitä tehdä, kun kiristysohjelma iskee

Lyhyesti

Etätyö siirsi organisaation verkon reunan jokaisen työntekijän keittiönpöydälle. Työkone, puhelin ja kotiverkko ovat nyt osa sitä kokonaisuutta, jonka turvallisuudesta kyberturvallisuuslaki vaatii huolehtimaan, ja kiristysohjelma, joka lukitsee organisaation tiedot ja vaatii maksua, alkaa useimmin yhdestä laitteesta ja yhdestä klikkauksesta. Työntekijän osuus on pieni ja tarkka: käyttää vain sallittuja laitteita ja verkkoja, pitää laite päivitettynä, ilmoittaa kadonneesta laitteesta heti ja toimia tartunnan ensimmäisinä minuutteina oikein. Organisaation osuus on se, että nämä on ohjeistettu, harjoiteltu ja että varmuuskopiot ovat olemassa.

Mitä laki vaatii

Kyberturvallisuuslaki (124/2025) toi NIS2-direktiivin Suomeen. Lain 9 § velvoittaa toimijan toteuttamaan riskienhallinnan toimintamallin mukaiset tekniset, operatiiviset ja organisatoriset hallintatoimenpiteet, ja luettelee, mitä mallissa on ainakin otettava huomioon ja pidettävä ajan tasalla. Etätyön ja laitteiden kannalta keskeiset kohdat ovat omaisuudenhallinta ja turvallisuuden kannalta tärkeiden toimintojen tunnistaminen, pääsynhallinnan ja todentamisen menettelyt, poikkeamien havainnointi ja käsittely, varmuuskopiointi, palautumissuunnittelu ja kriisinhallinta sekä perustason tietoturvakäytännöt laitteisto-, ohjelmisto- ja tietoaineistoturvallisuuden varmistamiseksi. NIS2-direktiivin 21 artiklan 2 kohta nimeää samat asiat: poikkeamien käsittely, toiminnan jatkuvuus varmuuskopiointi mukaan lukien, henkilöstöturvallisuus, pääsynhallinta ja omaisuudenhallinta sekä tarvittaessa monivaiheinen todennus.

Laki ei sano, mikä VPN hankitaan tai kuinka usein päivitykset asennetaan. Se sanoo, että toimenpiteet suhteutetaan riskeihin ja pidetään ajan tasalla. Kenelle laki soveltuu, kerrotaan artikkelissa Koskeeko NIS2 ja kyberturvallisuuslaki organisaatiota?.

Laite ja verkko: mitä työntekijä tekee

Taitokatalogimme kuvaa päätelaitteiden ja etätyön turvallisuuden tason 2 näin: työskentelee turvallisesti etänä, pitää laitteensa päivitettynä ja tietää, miten toimia epäillyssä tartunnassa. Se jakautuu muutamaan arkiseen tapaan.

Tilanne	Mitä tehdään	Miksi
Työ tehdään työnantajan laitteella	Omaa konetta tai puhelinta ei käytetä työhön, ellei organisaatio ole sitä nimenomaisesti sallinut ja hallinnoinut	Omaisuudenhallinta: organisaatio voi suojata, päivittää ja tyhjentää vain laitteen, jonka se tuntee
Päivitykset	Asennetaan, kun laite pyytää, eikä siirretä viikkoja	Suurin osa haittaohjelmista käyttää aukkoa, johon korjaus on jo julkaistu
Julkinen tai vieras verkko	Suojattu yhteys päälle ennen työn aloittamista, tai käytetään puhelimen jakoyhteyttä	Avoimessa verkossa liikenne on muiden luettavissa
Kotiverkko	Reitittimen oletussalasana vaihdettu, laiteohjelmisto päivitetty	Kotireititin on osa työympäristöä
Laite julkisella paikalla	Näyttö lukkoon aina, kun laite jää yksin; näkösuoja junassa	Fyysinen pääsy ohittaa monen suojauksen
Kadonnut tai varastettu laite	Ilmoitus heti, myös iltana ja viikonloppuna	Etälukitus ja tunnusten sulkeminen toimivat vain, jos ilmoitus tulee

Kadonnut laite on myös tietosuoja-asia. Jos laitteella on henkilötietoja, katoaminen voi olla henkilötietojen tietoturvaloukkaus, ja tietosuoja-asetuksen 34 artiklan 3 kohta kertoo, miksi levyn salaus on niin tärkeä: jos tiedot on suojattu niin, etteivät ne ole ulkopuolisen ymmärrettävissä, rekisteröidyille ei tarvitse ilmoittaa. Siitä kerrotaan artikkelissa Henkilötietojen tietoturvaloukkaus.

Kiristysohjelma: ensimmäiset minuutit

Kiristysohjelma on haittaohjelma, joka salaa laitteen ja usein koko verkon tiedostot ja vaatii maksua niiden palauttamisesta. Se leviää laitteesta toiseen verkon kautta, ja siksi ensimmäiset minuutit ratkaisevat, onko kyse yhdestä koneesta vai koko organisaatiosta.

Työntekijän ohje on lyhyt. Irrota laite verkosta välittömästi: verkkojohto irti, wifi pois. Älä sammuta laitetta, ellei organisaation ohje sitä sano, koska muistissa voi olla tutkinnalle tarpeellista tietoa. Älä maksa, älä neuvottele äläkä yritä puhdistaa konetta itse. Ilmoita tietoturvasta vastaavalle heti ja kerro, mitä teit juuri ennen oireita: minkä liitteen avasit, minkä linkin klikkasit, mihin kirjauduit. Tämä tieto on se, jolla selvitys alkaa, ja sen kertominen rehellisesti on arvokkaampaa kuin mikään muu, mitä työntekijä voi tilanteessa tehdä.

Siitä, miten tartunta tavallisesti alkaa, kerrotaan artikkelissa Tietojenkalastelu ja tekoälyhuijaukset. Siitä, mitä organisaation on ilmoitettava ja missä ajassa, kun poikkeama on merkittävä, kerrotaan artikkelissa Mitä tietoturvapoikkeamasta pitää ilmoittaa ja milloin?.

Varmuuskopio on se, mikä pelastaa

Kiristysohjelmaan ei ole teknistä vastalääkettä, joka toimisi aina. On vain kaksi asiaa, jotka tekevät hyökkäyksestä selviämisen mahdolliseksi: nopea eristäminen ja varmuuskopiot, jotka ovat erillään tuotantoverkosta niin, ettei sama haittaohjelma salaa myös niitä. Kyberturvallisuuslain 9 § nimeää varmuuskopioinnin, palautumissuunnittelun ja kriisinhallinnan riskienhallinnan osiksi, ja NIS2:n 21 artiklan 2 kohdan c alakohta sanoo saman.

Varmuuskopio, jota ei ole koskaan palautettu, on oletus, ei suoja. Siksi taitokatalogimme tasolla 4 tietoturvavastaavan tehtävä on määritellä laitehallinnan ja haittaohjelmasuojauksen vaatimukset ja varautuminen kiristysohjelmatilanteeseen, ja siihen kuuluu palautumisen harjoittelu. Tietoturvavastaavan osaamisesta kokonaisuutena kerrotaan artikkelissa Mitä tietoturvavastaavan pitää osata.

Mitä tämä ei tarkoita

Etätyön tietoturva ei tarkoita, että työntekijä vastaa organisaation suojauksesta. Laitteiden hallinta, päivitysten jakelu, salaus, monivaiheinen tunnistus ja varmuuskopiot ovat organisaation tehtäviä, ja työntekijän osuus on toimia niin, ettei hän kierrä niitä. Se ei tarkoita myöskään, että kotona saisi vähemmän aikaan: suojattu yhteys ja päivitetty laite eivät hidasta työtä, kun ne on tehty oikein. Ja se ei vaadi teknistä osaamista. Se vaatii, että muutama tapa on opittu niin hyvin, että ne toimivat myös kiireessä.

Siitä, miten henkilöstön kyberhygieniaosaaminen todennetaan kokeella ja osoitetaan valvojalle, kerrotaan artikkelissa Mitä kyberturvallisuuslaki vaatii henkilöstön koulutukselta?.