Paikkatietoalan kyberturvallisuus on lapsenkengissä
Otsikko lienee raflaava, mutta sille on hyvä syy:
Kyberturvallisuus on heikoilla kantimilla silloin kun sille ei uhrata ajatusta ja uhkien mahdollisuutta ei tiedosteta tai oteta huomioon palveluita suunniteltaessa ja dataa käsiteltäessä. Tietoturva-asiat ovat olleet IT -alan arkea jo pitkään, ja tavalliset tekniikan käyttäjätkin ovat ymmärtäneet tietoturvan merkityksen. Kyberturvallisuuden huomiointi ja vakiintuminen osaksi normaaleja käytänteitä ei kuitenkaan syystä tai toisesta ole saanut tarvitsemaansa huomiota paikkatietoalalla. Meidän paikkatietoalan asiantuntijoiden tulee huolehtia oman tietoturvaosaamisemme pitämisestä ajan tasalla, sekä ymmärtää sen merkitys omassa työssämme.
Viime aikoina paikkatiedon turvallisuus on kirvoittanut paljon julkista keskustelua ja alalla on havahduttu useisiin turvallisuuskysymyksiin, joihin nyt etsitään kuumeisesti vastauksia. Sillä välin kun keskustelua käydään, on kuitenkin paljon asioita joita voimme asiantuntijoina tehdä parantaaksemme koko paikkatietoalan kyberturvallisuuskäytänteitä. Alle on listattu keinoja sisällyttää hyviä tietoturvakäytänteitä osaksi jokapäiväistä paikkatietotyötämme.
Paikkatietopalveluissa on mahdollista hyödyntää roolipohjaista pääsyoikeuksien hallintaa, ja se on tyypillistä erityisesti lisenssipohjaisissa palveluissa. Oleellista on muistaa pitää sekä käyttöoikeudet että data ajantasaisina. Palveluihin on mahdollista sisällyttää myös vahvaa tunnistautumista tai multifactor todennusta vaativa kirjautuminen, vaikka tämä suojausmuoto ei olekaan vielä rantautunut paikkatietorintamalle. Data on muistettava suojata käyttämällä kryptattuja siirtoväyliä ja säilityspaikkoja, sekä hyödyntämällä tunnettuja ja suojattuja verkkoja.
On oleellista perehtyä alan parhaisiin käytänteisiin ja toimia niiden mukaisesti. Erityisen merkityksellistä on tiedostaa hyödyntämiensä palveluiden ja työkalujen haavoittuvuudet ja kyetä reagoimaan mahdollisiin muutoksiin nopeasti. Tämä edellyttää tietoturva-arvion sisällyttämistä kaikkien toteutettujen palveluiden osaksi. Kun käytettyjen teknologioiden elinkaari, päivityssykli ja tunnetut haavoittuvuudet on tiedossa, on niihin varautuminen ja mahdollisiin uhkiin reagoiminen helpompaa ja tehokkaampaa. Lisäksi arvio auttaa valitsemaan palveluun parhaiten soveltuvat, vakaimmat ja turvallisimmat teknologiat ja muistuttaa pitämään käytetyt järjestelmät ajan tasalla.
Tässä paikkatietoalan tulisi parantaa! Säännölliset tietoturva-auditoinnit, penetraatiotestaukset ja palvelun käytön seuranta auttavat tunnistamaan haavoittuvuuksia ja parantamaan vakautta. Poikkeuksellisen toiminnan havaitseminen voidaan tehdä automaattisesti monitoroimalla palvelun käyttöä ja ilmoittamalla siitä palvelun ylläpitäjälle, näin pystytään nopeasti reagoimaan ja tarvittaessa sulkemaan palvelu jossa uhka on havaittu. Uhkien ehkäisyyn ja monitorointiin sisältyy asianmukainen tunnistautuminen, valtuutus, syötteen tarkistus ja epätavallisten tai haitallisten kutsujen tunnistaminen ja seuranta. Lisäksi tulisi käyttää tarkkoja tietojen tarkistuksia, jotta voidaan ehkäistä mahdollisia datan sekaan piilotettuja injektioita jotka voivat johtaa laajoihin haavoittuvuuksiin.
Tärkein asia paikkatiedon kyberturvallisuuden edistämisessä ja toteuttamisessa on kuitenkin potentiaalisten riskien tunnistaminen ja tiedostaminen. Siksi meidän tulisi pitää myös paikkatietoalalla kovempaa ääntä tietoturva-asioista, kouluttautua kyberturvallisuuden saralla, keskustella keskenämme yleisestä turvallisuustilanteesta ja huolehtia omien palveluidemme tietoturva-aukkojen sulkemisesta.
Riskien ollessa tiedossa, muistissa ja keskustelussa, on ne myös helpompi huomioida osana jokapäiväistä työtä!
Stay safe!
– Suffa
