Kas sisekontroll suudab näha sotsiaalmeedia ohtusid?

„Ettevõtted kasutavad tihti infotehnoloogiat pimesi, aru saamata kõigist implikatsioonidest ja turvaaspektidest. Eriti Eestis, kus infotehnoloogia kasutuse omaksvõtt on kiirem kui mujal, tuleks kaasnevaid turvaaspekte olulisemalt ning kiiremini enda jaoks lahti mõtestada,” sõnas Hakkaja. „Ettevõtete sisekontrolli ja turvalisuse eest vastutajad peaks hästi mõistma teema olulisust ja andma ettevõtte kontekstis töötajatele ka selged juhised, sest nende puudumisel on probleemid paratamatud.”

Blogimine, säutsumine ja Facebook'is hängimine on vaid mõned näited  tänapäeva noorte sotsiaalmeediaga läbipõimunud eluviisist, sõltumata sellest, kas tööandajal on sotsiaalmeedia kasutuse kohta juhised olemas või mitte. Samas võib olla sotisaalmeedia ka äärmiselt oluline PR- äri- ja kõlapinna võimendaja kõikidele, kes seda õigesti kasutada osakavad. Hea Facebook kampaania võib olla ülimalt kasulik nii pisi- kui suurfirmale ja  kuumal teemal säutsumine panna kõik meediaväljaanded poliitiku sõnavõttu üle terve maailma võimendama. 

Turvariskide maandamiseks on oluline, et ettevõttes kehtestatakse reeglid, nii töötajatele isiklikus plaanis, samas ettevõtte vajadusi ja nõudeid arvestades. Ettevõtte riske kaardistav isik peab enda jaoks lahti mõtestama mis on need positiivsed ja negatiivsed aspektid, usub Hakkaja. „Muidu võib ettevõtte juht sotsiaalmeedias sõnavõttes tekitada suure kahju, kasvõi mõne sõna vääratusega ning see levib kulutulena üle maailma, kui see on piisavalt põnev vääratus,” lisas Hakkaja. Sama olukorra võib tekitada ettevõtte reatöötaja, kes avalikustab säutsudes koostööpartneri-  või ärisaladuse. Lisaks kogemata ja ka tahtlikult toimuvatele infoleketele on ohuks ka sotsiaalmeedia usalduslik olemus (masside kontroll ja kuritegevuse võimendaja). See võimaldab palju lihtsamini ja suunatult teostada pahavara ja pettuste kampaaniaid, korraldada massirahutusi või teha hacktivistlike üleskutseid nagu me nägime Wikileaks'i rahakraanide kinnikeeramise puhul (PayPal, Mastercard, Visa ründed).

Infoturbes rõhutaks pigem, et ettevõtte peab kõik olulised ja mitteolulised aspektid eelnevalt selgeks tegema ning lihtsate reeglitega ära määratlema soovitud ja soovimatu käitumise. „Kusjuures reeglite juures on oluline meeles pidada, et reegleid liiga karmiks tehes tekkib inimestel trots ja nad hakkavad neid lihtsalt eirama,” rõhutas Hakkaja. „Reeglid peavad olema mõistliku ja selged.”

Aina olulisemaks läheb üldine info turvamine. Alati on kõige olulisem inimfaktor, kas ta on piisavalt teadlik ettevõtte nõudmistest. Sageli tegutsevad töötajad oma parema sisetunde järgi aga infotehnoloogia muutub nii kiiresti, et mobiiltelefonis olevad uued võimalused loovad meile riskikohtasid ja uued infotehnoloogia pakutavad võimalused panevad piire hägustama.

Kui varasemalt oli ettevõtte andmed tulemüüri taha kaitstud, siis tänapäeval on inimestel kasutada näiteks iPad, mobiiltelefonid, e-posti saab lugeda erinevatest kohtadest, kõik see tõstab turvalisuse riski. Pole enam kindlaid piire kelle andmed ja kus kohas asuvad. Kui ettevõttes sellele eelnevalt pole mõeldud, siis võiks nüüd kokku leppida, näiteks et soovi korra blogides kirjutades avalikustatakse teatud piirini ettevõtte tegevust. „Tsäutsudes twitteris riigihanke võitmisest tuleb eelnevalt saada kinnitus, et hanke võitmine on reeglite järgi ka kinnitatud või millal börsiettevõte oma teateid avalikustab, sellised lihtsad asjad tuleb eelnevalt sätestada aga nende vastu pidevalt eksitakse,” ütles Hakkaja.

Ettevõtte juhtkonnale on sageli raske selgitada infoturbe vajalikkust ning miks on senisest rohkem vaja it-osakonnale testimisteks aega ning raha panustada. „Pigem tundub, et kulude optimeerimist osatakse küll teha makro tasandil aga it-poole haavatavus ning küberkuritegude toimumine meie ümber jääb hoomamata,” arutles Hakkaja.

„Pangandussektor on hästi arendanud oma infoturbe poolt, seda nõuab kehtiv seadusandlus ja karmimad nõuded. Paljud muud sektorid ja ka riigile olulised infrastruktuurid võiksid olla aga küll paremini turvatud küberkuritegevuse eest,” sõnas Hakkaja lõpetuseks.

Põhjalikumalt räägib Mehis Hakkaja sotsiaalmeedia ohtudest 23. augustil toimuval Sisekontrolli Aastakonverentsil. Konverentsi kava näeb SIIT.

Mehis Hakkaja on lõpetanud U.S. Military Academy, West Point arvutiteaduse bakalaureuse kraadiga kübersõja erisuunitluses ning tegelenud praktilise turvalisuse, turvatestimise ning koolitamisega 12 aastat. Clarified Security OÜ tegeleb peamiselt turva- ja sissemurdmistestimisega ning praktiliste infoturbe koolitustega.