Andmeturveː tehnoloogia, koolitus ja reeglid

Analüüsin ühte tänapäeva suurimat IT-turvariski, milleks on õngitsemine ehk andmepüük (phishing). See on olukord, kus sulle saadetakse näiliselt usaldusväärne kiri (näiteks pangalt, Omnivalt või Netflixilt), mis meelitab sind oma paroole või pangakaardi andmeid kuhugi sisestama.

Selle riski maandamiseks tuleb vaadata Kevin Mitnicki valemit: tehnoloogia x koolitus x reeglid.

Tehnoloogia poolest on täna kõige olulisemaks abimeheks kaheastmeline autentimine (näiteks Smart-ID, Mobiil-ID või Google Authenticator). Isegi kui pätt saab su parooli teada, ei pääse ta sinu kontole ligi ilma teise kinnituseta, mis tuleb sinu telefoni. Samuti aitavad siin head rämpsposti filtrid, mis suurema osa nendest õngitsemiskirjadest juba eos prügikasti viskavad.

Koolitus on aga see koht, kus tehakse kõige rohkem vigu. Inimene peab õppima märkama ohumärke. Näiteks kui kiri on vigases eesti keeles, saatja e-posti aadress on kahtlane või kui sind hirmutatakse, et "konto suletakse kohe", kui sa lingile ei vajuta need on kõik ohumärgid. Inimestele tuleb selgeks teha, et ükski pank ega ametiasutus ei küsi mitte kunagi sinu paroole või kaardikoode e-kirja teel.

Reeglid aitavad organisatsioonides ja peredes asja kontrolli all hoida. Hea reegel on näiteks see, et tähtsaid makseid tehakse ainult läbi ametliku rakenduse või veebilehe, mitte kunagi meili sees oleva lingi kaudu. Ettevõtetes võiks olla reegel, et kui saabub ootamatu arve või palve raha kanda, helistatakse saatjale üle ja kontrollitakse asi üle.

Kui kõik need kolm osa on paigas, on andmepüügi ohvriks langeda väga raske. Tehnoloogia teeb pool tööd ära, inimene oskab olla tähelepanelik ja kindlad reeglid ei lase emotsiooni pealt vigu teha.