Maailmanlaajuisten geopoliittisten jännitteiden kasvaessa organisaatioiden on suojauduttava monenlaisilta kyberhyökkäyksiltä, joita tulee entistäkin aggressiivisemmista lähteistä, kuten kansallisvaltioiden edustajilta.
Tämä on erityisen ajankohtainen ongelma hallituksille. Pahantahtoiset hakkerit ovat jo pitkään ottaneet hallitusten jäseniä kohteikseen, koska näiden käsittelemät asiakirjat ovat yleensä erittäin luottamuksellisia.
Ei siis riitä, että hallitukset perehtyvät kyberturvallisuuteen osana yritysriskien hallintaohjelmaan – niiden on myös pohdittava, miten ne voivat turvata oma työskentely-ympäristönsä.
Tässä artikkelissa kerrotaan, miten voit varmistaa, että hallituksen asiakirjat tallennetaan hallitusportaaliin turvallisesti ja että ne ovat siellä suojassa. Kerromme myös, miten voit tarkistaa, ovatko käyttämäsi tai valitsemasi hallitusportaaliohjelmiston turvallisuus- ja tietosuojaominaisuudet asianmukaiset. Yleisesti ottaen artikkeli auttaa ymmärtämään
Näiden tietojen avulla voit tarkistaa käyttämäsi hallitusportaaliohjelmiston turvallisuuden, tunnistaa mahdolliset puutteet suojauksessa ja varmistaa mahdollisimman tehokkaasti, että tiedot ovat suojassa alati kasvavilta ja kehittyviltä riskeiltä.
Käsittelemme artikkelissa erityisesti seuraavia asioita:
Vuonna 2021 HP Wolf Security julkaisi merkittävän tutkimuksen, jossa kerrottiin, että geopoliittiset riskit vaikuttavat kyberturvallisuuteen jatkossa yhä enemmän. Tutkimusraportissa todettiin, että kansallisvaltioiden kyberhyökkäykset käyvät yhä yleisemmiksi, moninaisemmiksi ja avoimemmiksi. Siksi olemmekin nyt lähempänä edistyneen kyberkonfliktin syntymistä kuin koskaan aiemmin Internetin historiassa.
HP:n tutkimus osoitti, että kansallisvaltioihin yhdistettävissä olevat tietoturvaloukkaukset ovat kaksinkertaistuneet viime vuosina. Tutkimuksen lisäksi toteutettiin lisäanalyysi yli 200:sta vuoden 2008 jälkeen tapahtuneesta tietoturvaloukkauksesta, jotka olivat yhdistettävissä kansallisvaltioiden toimintaan. Analyysista kävi ilmi, että hyökkäysten yleisimpinä kohteina ovat nyt yritykset ja etenkin suuremmat organisaatiot (35 prosenttia kaikista hyökkäyksistä). Ne olivat jopa yleisempiä kohteita kuin puolustusjärjestöt, media- ja viestintäalan organisaatiot, julkishallinto sekä elintärkeiden infrastruktuurien tarjoajat.
Tutkimusraportin julkaisemisen ja vuoden 2021 jälkeen uhkataso on kohonnut Ukrainan sodan myötä entistäkin korkeammaksi. Sen lisäksi, että Ukrainaan kohdistuvat kyberhyökkäykset ovat lisääntyneet, myös keskitetyt hyökkäykset eurooppalaisia energiayhtiöitä, rahoituslaitoksia ja viestintäinfrastruktuuria vastaan ovat käyneet yleisemmiksi.
Organisaatioiden liiketoiminnoissa on nyt tasosta riippumatta esitettävä keskeinen kysymys: mitkä ovat valmiutemme suojata tietojamme ja toimintaamme geopoliittisiin jännitteisiin liittyviltä kasvavilta kyberriskeiltä?
Tämä koskee yhtä lailla myös hallituksia, joiden on nyt syytä tarkistaa, käyttävätkö ne tietojen ja sisällön turvalliseen säilyttämiseen ja jakamiseen parasta hallitusportaaliohjelmistoa. Jos organisaatiossasi ei vielä käytetä hallitusportaalia, tämä auttaa organisaatiotasi myös markkinoiden arvioinnissa, liiketoiminnan kehittämisessä ja turvallisimman, tarpeisiisi sopivan portaalin valitsemisessa.
Parhaan hallitusportaaliohjelmiston avulla hallitukset ja johtoryhmät saavat käyttöönsä digitaalisen alustan asiakirjojen jakamiseen, yhteistyön tekemiseen, historiatietojen digitaaliseen arkistointiin sekä hallituksen asiakirjojen käyttöön online- ja offline-tiloissa. Hallitusportaalien kautta voidaan jakaa ja käyttää esimerkiksi taloudellisia raportteja, budjetteja, henkilöstöhallinnon päivityksiä, yritysstrategioita, fuusioehdotuksia, turvallisuuspäivityksiä, käytäntölausuntoja ja muita asiakirjoja. Hallitusportaali on siis tärkeä viestinnän keskus. Se on myös tärkeä säilytyspaikka luottamuksellisille tiedoille, joista rikolliset ja tietyt maat saattaisivat olla hyvinkin kiinnostuneita ja joita organisaatioiden on suojattava aina hyökkäyksiltä.
Yrityksen hallinto, kuten hallituksen sihteerit ja jäsenet, käyttävät hallitusportaaliohjelmistoa ennen hallituksen kokouksia, niiden aikana, niiden jälkeen ja niiden välissä:
Ennen kokouksia: voit lähettää muistutuksia kokousajasta ja -paikasta, vahvistaa saatavuuden, luoda esityslistoja, koota luottamuksellisia ja usein myös arkaluonteisia tietoja sisältäviä hallituspaketteja sekä ladata aiempia pöytäkirjoja tai muita olennaisia päivityksiä edellisen kokouksen jälkeen.
Kokouksen aikana: voit pitää pöytäkirjaa portaalissa, kirjata äänestyksiä ja päätöksiä, määrittää tehtäviä sekä asettaa määräaikoja.
Kokouksen jälkeen: voit lähettää pöytäkirjat, nopeuttaa päätösten allekirjoittamista sähköisen allekirjoituksen avulla, asettaa muistutuksia tehtävistä, ilmoittaa hallituksen jäsenille uusista latauksista sekä luoda äänestyksiä avoimista tai hyväksyntää edellyttävistä asioista.
Kokousten välissä: Hallituksen jäsenet sekä sihteerit ja johtoryhmät voivat käyttää luottamuksellisia yritystietoja sijainnista riippumatta, mikä tehostaa osapuolten yhteydenpitoa ja yhteistyötä kokousten välillä. Portaalissa pitäisi pystyä myös koska tahansa viestimään turvallisesti muiden hallituksen jäsenten kanssa.
Nämä asiat mielessä pitäen sinun tulisi siis kiinnittää huomiota etenkin seuraaviin asioihin, kun tarkistat, onko organisaatiollasi käytössään turvallinen hallitusportaaliohjelmisto:
Yksi helppokäyttöisen hallitusportaaliohjelmiston tärkeimmistä eduista on, että sen avulla johtajat voivat käyttää luottamuksellisia asiakirjoja turvallisesti missä ja milloin tahansa. Tietojen tallennuspaikan on oltava ehdottoman turvallinen, joten ensimmäisenä kannattaa tarkistaa, käyttääkö valitsemasi hallitusportaaliohjelmiston tarjoaja ainoastaan erillisiä palvelimia ja tallennustiloja. Vain niiden avulla hallitusportaalikumppani voi varmistaa, että sen portaalissa säilytettävät ja käytettävät asiakirjat ovat täysin turvassa.
Sinun tulisi myös kysyä, miten tallennetut tiedot poistetaan. Me Admincontrolilla esimerkiksi takaamme, että kaikki tiedot poistetaan, ja käytämme sertifioitua palveluntarjoajaa tiedontallennusvälineiden tyhjentämiseen.
Samalla on myös ehdottoman tärkeää tarkistaa hallitusportaaliohjelmiston niin sanotut moniasiakasjärjestelyt, joiden avulla hallitusportaalin tarjoajat pitävät useiden asiakkaiden tiedot loogisesti erillään tietojen säilytysympäristössä. Teknisellä tasolla hallitusportaalin tietokannan ja sovelluslogiikan pitäisi sisältää tarvittavat turvamekanismit, joilla varmistetaan täydellinen erillisyys moniasiakasjärjestelyissä. Lisäksi moniasiakasjärjestelyt pitäisi tarkistaa säännöllisesti kolmannen osapuolen tietoturvatesteissä. Käytössä pitäisi myös olla tietojen salausmekanismeja, jotta täydellistä erillisyyttä voidaan tukea käyttämällä kunkin asiakkaan yksilöllisiä salausavaimia.
Pelkästään sen tietäminen ei riitä, miten ja minne tietoja tallennetaan. Myös se on varmistettava, että hallitusportaalin tarjoaja käyttää vankkoja suojausprosesseja, jotka kattavat sen koko liiketoiminnan sekä kaikki sen prosessit ja tuotteet. Erityisen tärkeää on se, että palveluntarjoaja sitoutuu kolmannen osapuolen testausmenettelyihin ja alan tunnustettuihin sertifikaatteihin.
Tärkein tähän liittyvä tarkistettava asia on säännölliset läpäisytestit, kuten SOC 2 ‑raportit ja ISO 27001-2103 ‑vaatimustenmukaisuus.
Kaikilla hallitusportaalin mobiili- ja verkkosovelluksilla tulisi olla vahva suoja hakkereita vastaan, ja suojauksen vahvuus tulisi varmistaa säännöllisissä läpäisy- ja tietoturvatesteissä. Tällaisia testejä tulisi suorittaa säännöllisesti siten, että kolmannen osapuolen tietoturva-asiantuntijat yrittävät järjestelmällisesti tunkeutua järjestelmään ja löytää tietoturva-aukkoja, joita hakkerit voisivat mahdollisesti hyödyntää. Kysy hallitusportaaliohjelmiston tarjoajalta, kuka tekee testit sen puolesta ja kuinka usein niitä tehdään. Myös se kannattaa tarkistaa, ovatko testit Open Web Application Security Project® ‑ohjeiden mukaisia. OWASP on voittoa tavoittelematon säätiö, joka pyrkii parantamaan ohjelmistojen turvallisuutta. Säätiö julkaisee joka vuosi OWASP Top 10 ‑listan eli standarditietoisuuden lisäämiseen tarkoitetun asiakirjan kehittäjille ja verkkosovellusten turvallisuudesta vastaaville henkilöille. Lista perustuu laajaan yhteisymmärrykseen verkkosovellusten kriittisimmistä turvallisuusriskeistä.
Esimerkiksi Admincontrol varmistaa, että sen kolmannen osapuolen testauskumppani suorittaa testejä OWASP-menetelmien ja OWASP Top 10 ‑kriteerien mukaisesti. Lisäksi tarkistamme palvelumme vuosittain OWASP ASVS L2:n pohjalta.
SOC 2 ‑raportin on kehittänyt AICPA (American Institute of Certified Public Accountants), ja siinä määritellään kriteerit käyttäjäorganisaatioiden tietojen hallinnalle Trust Service Criteria ‑vaatimusten perusteella. Nämä kriteerit liittyvät turvallisuuden, saatavuuden, luottamuksellisuuden ja yksityisyyden hallintaan.
Kysy aina, täyttääkö hallitusportaalin tarjoaja nämä kriteerit. SOC 2 ‑raportin avulla voit varmistaa, että hallitusportaaliohjelmiston tarjoaja suojaa tietoja käsittelyn ja säilytyksen aikana, pitää tiedot aina saatavilla sekä käyttää erityisiä tietojen luottamuksellisuuteen ja yksityisyyteen liittyviä valvontaratkaisuja.
ISO 27001- 2013 on kansainvälinen standardi, jossa kuvataan tietoturvan hallintajärjestelmien (Information Security Management System, ISMS) parhaita käytäntöjä.
ISMS on tehokas tapa varmistaa tietoturvan asianmukainen hallinta ja riittävä valvonta tietomurtoriskin pienentämiseksi. Se on vankka perusta, kun tietojen suojaamisessa halutaan varmistaa tietosuojaa koskevan lainsäädännön ja asetusten, kuten EU:n yleisen tietosuoja-asetuksen (GDPR:n), vaatimusten noudattaminen.
ISO 27001:2013 ‑sertifikaatti on ratkaiseva koetinkivi mille tahansa hallitusportaalin tarjoajalle, koska se kattaa koko liiketoiminnan sekä kaikki prosessit ja tuotteet ja osoittaa vankkaa sitoutumista erinomaisen tietoturvan varmistamiseen palvelun kaikilla osa-alueilla.
Admincontrolin ISO 27001- 2013 ‑arviointi- ja sertifiointiprosessin on suorittanut DNV GL, joka on maailman johtavia hallintajärjestelmien sertifiointilaitoksia.
Tietojen säilytykseen ja turvallisuuden hallintaan liittyvien sertifiointivaatimusten tarkastelun lisäksi on tärkeää tarkistaa, käyttääkö hallitusportaaliohjelmiston tarjoaja erityisiä menetelmiä siirrettävien tietojen suojaamiseen ja sen varmistamiseen, että vain valtuutetut käyttäjät pääsevät niihin käsiksi.
Siksi organisaatiosi hallitusportaalin tulisi sisältää vähintään seuraavat ominaisuudet:
Suojatuilla portaaleilla voidaan varmistaa, että kaikki viestintä pysyy portaalin turvallisten rajojen sisäpuolella, jotta viestit eivät koskaan kulje sähköpostin tai muiden epävarmojen ja haavoittuvien kanavien kautta.
Helppokäyttöisissä turvallisissa hallitusportaaliohjelmistoissa on mukautettavat käyttöoikeusasetukset, jotta vain tietyt käyttäjät voivat käyttää tietyillä luottamuksellisuustasoilla olevia asiakirjoja roolien mukaan.
Digitaalisten hallitusportaalien tärkeimpiin tehokkuusetuihin kuuluu se, että niitä voi käyttää mobiililaitteilla erillisessä sovelluksessa. Mobiililaitteisiinkin tosin liittyy tiettyjä riskitekijöitä, jotka kannattaa tiedostaa. Turvallisen portaalin tarjoajan pitäisi tarjota ominaisuus, jolla IT-järjestelmänvalvojat voivat etäpyyhkiä sovelluksen sisällön, jos laite katoaa tai varastetaan. Lisäksi asiakkaan pitäisi pystyä hallitsemaan, millä laitteilla käyttäjät voivat käyttää hallitusportaalia. Tekniikan pitäisi myös estää laitteen suojauksen purkaminen, jottei laitevalmistajan asettamia ohjelmistorajoituksia pysty poistamaan.
Toinen ongelma on se, että nykyään monet käyttävät useita laitteita yhdessä perheenjäsenten kanssa, joten käyttöoikeus on tärkeää rajoittaa vain tiettyyn määrään hyväksyttyjä laitteita.
Kaikissa näissä tapauksissa ja yleisesti turvallisuuteen liittyvässä lähestymistavassa on ratkaisevan tärkeää, että turvallisuustasoa valvoo ja hallitsee keskitetysti loppukäyttäjien sijasta organisaatio.
Sähköiset allekirjoitukset ovat erityisen tärkeä turvallisten portaalien ominaisuus. Niiden avulla hallituksen jäsenet voivat allekirjoittaa hallituksen kokousten pöytäkirjat ja muut yhtiön asiakirjat turvallisesti etänä noudattaen sekä yhtiön omia että virallisia ohjeita.
Jotta voit varmistaa, että hallitusportaaliohjelmistossa tapahtuva sähköinen allekirjoittaminen täysin turvallista, sinun tarkistettava, käyttääkö hallitusportaalin tarjoaja kolmannen osapuolen ratkaisua ja miten ratkaisun turvallisuus voidaan todistaa. Me Admincontrolilla olemme ryhtyneet yhteistyöhön Signicat AS:n kanssa, joten olemme yksi niistä harvoista yrityksistä, jotka voivat käyttää EU:n luotettavuusmerkkiä, ja olemme myös mukana EU:n luottamusluettelossa.
Kaikki Admincontrolin tietojenkäsittely tapahtuu Norjassa, ja sekä Signicat että käsittelyyn käytettävä datakeskus ovat ISO 27001 ‑sertifioituja.
EU:n ja Yhdistyneen kuningaskunnan GDPR-asetuksissa asetetaan yrityksille ja organisaatioille erityisiä vaatimuksia tietosuojaan liittyvien keskeisten tavoitteiden saavuttamiseksi. Niissä tietosuoja määritellään prosessiksi, jossa tärkeitä tietoja suojataan vioittumiselta, vaarantumiselta ja katoamiselta. Niissä asetetaan myös selkeät vaatimukset henkilötietojen turvallisuudelle. Kun tarkistat, onko valitsemasi hallitusportaaliratkaisu näiden vaatimusten mukainen, millä tahansa turvallisuussertifiointijärjestelmällä, kuten ISO 27001:llä, tai kolmannen osapuolen varmennusraporteilla, kuten SOC 2:lla, voidaan todistaa, että suojaus ja tietosuojan taso ovat riittävät.
Vuosien varrella on käynyt ilmi, että 90 prosenttia salasanoista on murrettavissa alle kuudessa tunnissa, kaksi kolmasosaa ihmisistä käyttää samaa salasanaa kaikkialla ja 57 prosenttia tietojenkalasteluhyökkäyksen uhriksi joutuneista ei vaihda salasanojaan vielä hyökkäyksen jälkeenkään.
Kaksivaiheinen tunnistautuminen auttaa ratkaisemaan tämän ongelman. Se on turvallisuutta parantava lisäominaisuus, jolla varmistetaan, että ainoastaan valtuutetut käyttäjät voivat päästä verkkotilille. Ensin käyttäjä antaa tavalliseen tapaan käyttäjänimensä ja salasanansa. Sitten hänen on annettava lisätietoja päästäkseen eteenpäin. Tämä toinen vaihe voi olla jokin seuraavista:
Kaksivaiheinen tunnistautuminen on keskeisen tärkeä tekijä minkä tahansa hallitusportaalin suojaamisessa. Kaikkien turvallisuuteen vakavasti suhtautuvien hallitusportaaliyritysten tulisi tarjota se vaihtoehtona hallitusportaalissaan. Jos vaihtoehto on tarjolla, suosittelemme vahvasti lisäämään sen tietoturvakäytäntöihin.
Nämä toimenpiteet on todettu tehokkaiksi, sillä Microsoft on todennut, että kaksivaiheinen tunnistautuminen estää tehokkaasti 99,9 prosenttia tileihin kohdistuvista hyökkäyksistä.
Sen lisäksi, että arvioit ratkaisuja ja teknisiä keinoja, joilla hallitusportaaliohjelmiston tarjoaja säilyttää tietoja ja suojaa järjestelmiä, suosittelemme tarkistamaan myös, miten palveluntarjoaja valikoi työntekijänsä ja suojaa fyysisiä resurssejaan.
Tekeekö palveluntarjoaja kaikille uusille työntekijöille turvallisuusselvityksen ennen työsuhteen tarjoamista? Selvityksen tulisi sisältää taustatietojen tarkistus työntekijän aiemmista työsuhteista ja julkisten tietojen tarkistaminen siitä, onko työntekijä laiminlyönyt määräysten noudattamista tai syyllistynyt rikoksiin.
Hallitusportaaliohjelmiston tarjoajan tuotantoympäristön on oltava rajoitettu, jotta valtuuttamattomat henkilöt eivät pääse käsiksi organisaation tietoihin ja tietojenkäsittelyjärjestelmiin eivätkä vaurioittamaan niitä. Näin estetään omaisuuden katoaminen, vaurioituminen, varastaminen tai vaarantuminen sekä organisaation toiminnan keskeytyminen.
Rajoitetut alueet on myös suojattava asianmukaisella kulunvalvonnalla sen varmistamiseksi, että vain valtuutetut henkilöt pääsevät alueelle.
Asianmukaisen palveluntarjoajan tulisi kertoa avoimesti kaikista fyysisistä ja muista turvatoimistaan, ottaa kysymyksiä vastaan ja pystyä takaamaan, että tietojesi turvallisuus ja suojaus varmistetaan kaikissa haavoittuvuuskohdissa kaikin mahdollisin keinoin.
Hallitusportaaliohjelmisto on ehdoton hankinta organisaatioille, jotka haluavat parantaa ylemmän tason viestinnän tehokkuutta ja laatua, säästää aikaa ja rahaa sekä sujuvoittaa päätöksentekoa.
Tässä artikkelissa esiteltyjen vinkkien avulla voit selvittää, täyttääkö valitsemasi palveluntarjoaja kaikki nämä vaatimukset ja pystyykö se pitämään luottamukselliset hallitustietosi varmasti turvassa.
Meillä Admincontrolilla turvallisuus on yksi tärkeimmistä painopisteistämme. Vastaamme mielellämme kaikkiin kysymyksiisi, joita sinulla voi herätä mistä tahansa turvallisuusjärjestelyistämme. Voit ottaa meihin yhteyttä täällä.