Kotisivujen tietoturva pienyritykselle ennen kuin jotain sattuu

Pienen yrityksen sivusto ei yleensä joudu kohteeksi siksi, että joku haluaisi juuri sen. WordPressin oman tietoturvaohjeen mukaan monet hyökkäykset tehdään automaattisesti boteilla, ja Kyberturvallisuuskeskuksen mukaan rikolliset etsivät verkosta vuotaneita ja heikkoja salasanoja käyttäviä tunnuksia. Siksi kannattaa keskittyä perusasioihin, jotka sulkevat yleisimmät reitit.

Jos sivustollesi on jo murtauduttu, ohjeet ovat artikkelissa mitä tehdä, kun kotisivut on hakkeroitu.

Kuka pääsee sivustollesi

Aloita listasta. Moni yrittäjä ei tiedä tarkasti, kenellä on tunnukset sivuston hallintaan, webhotelliin ja verkkotunnuksen välittäjälle. Tunnuksia kertyy vuosien varrella sivujen tekijälle, markkinointitoimistolle, kesätyöntekijälle ja entiselle osakkaalle, eikä niitä poisteta, koska kukaan ei muista niiden olemassaoloa.

Kyberturvallisuuskeskuksen pienyritysten kyberturvallisuusopas mainitsee juuri verkkosivustojen ylläpitoyritykset esimerkkinä ulkoistetusta palvelusta ja neuvoo poistamaan käyttöoikeudet niiltä, jotka eivät niitä enää tarvitse, kuten entisiltä työntekijöiltä ja palveluntarjoajilta. Sama opas neuvoo olemaan jakamatta kirjautumistietoja ja välttämään yhteiskäyttötunnuksia.

Käy läpi ainakin nämä kolme paikkaa:

• Sivuston hallinta. Jos sivusto on tehty esimerkiksi WordPressillä, käyttäjälista löytyy hallintapaneelista. Poista tunnukset, joita kukaan ei enää käytä, ja tarkista kenellä on pääkäyttäjän oikeudet.
• Webhotelli tai palvelin. Kenellä on pääsy palvelimen hallintaan ja tiedostoihin? Se, joka pääsee palvelimen tiedostoihin, voi muuttaa sivustoa sen omista käyttäjätunnuksista riippumatta.
• Verkkotunnus. Kuka pystyy muuttamaan verkkotunnuksen asetuksia? Se, joka hallitsee verkkotunnusta, voi ohjata sekä sivuston että sähköpostin muualle.

Katso samalla, mihin sähköpostiosoitteeseen salasanan palautus menee. Jos pääkäyttäjän osoite on entisen työntekijän tai lopetetun palvelun osoite, et saa tunnusta takaisin silloin, kun sitä tarvitset. Verkkotunnuksen haltijuus on oma kysymyksensä, ja se on käyty läpi artikkelissa verkkotunnuksen haltijan vaihto yrityksen nimiin.

Salasanat ja kaksivaiheinen tunnistus

Kun tunnukset on karsittu, jäljelle jääville tarvitaan hyvät salasanat. Kyberturvallisuuskeskuksen ohje näin suojaudut tietomurroilta neuvoo käyttämään jokaisessa palvelussa eri salasanaa, jotta vuotanut tunnus ei avaa muita palveluita. Pienyritysten opas suosittelee lisäksi salasanojen hallintaohjelmaa, jolloin pitkiä salasanoja ei tarvitse muistaa itse.

Kaksivaiheinen tunnistus tarkoittaa, että salasanan lisäksi kirjautuminen vaatii esimerkiksi puhelimeen tulevan koodin. Silloin pelkkä vuotanut salasana ei riitä kirjautumiseen. Kyberturvallisuuskeskuksen WordPress-ohje kehottaa ottamaan sen käyttöön vähintään hallintatason tunnuksille. Ota se käyttöön myös webhotellissa ja verkkotunnuksen hallinnassa, jos palvelu tukee sitä.

Rajaa myös oikeudet. Saman WordPress-ohjeen mukaan pääkäyttäjän tunnusta ei kannata antaa käyttäjälle, joka käy vain kirjoittamassa blogimerkintöjä. Jos tällaisen tunnuksen salasana vuotaa, vahinko jää pienemmäksi. WordPressin oma tietoturvaohje neuvoo lisäksi välttämään helposti arvattavia käyttäjänimiä, kuten admin.

Päivitykset ja lisäosien määrä

Päivitykset korjaavat tunnettuja aukkoja. Kyberturvallisuuskeskuksen WordPress-ohjeen mukaan löytyneitä haavoittuvuuksia hyödynnetään erittäin nopeasti, jopa tunneissa, ja tämä koskee myös WordPressiä. Siksi päivitysten pitää olla jonkun nimetyn henkilön tehtävä eikä asia, joka hoidetaan, kun ehditään.

WordPressissä päivitettäviä osia on kolme, eli itse järjestelmä, teema ja lisäosat. Kyberturvallisuuskeskus huomauttaa, että automaattinen päivitys ei välttämättä koske lisäosia ja teemoja, joten niitä pitää seurata erikseen. Tarkemmin siitä, mikä päivittyy itsestään ja mikä ei, kerrotaan artikkelissa pelkkä webhotelli vai hoidettu ylläpito.

Jokainen lisäosa on uusi osa, joka voi sisältää aukon. Käy lisäosat läpi ja poista ne, joita sivusto ei käytä. WordPressin oma tietoturvaohje neuvoo poistamaan käyttämättömän lisäosan järjestelmästä. Kun valitset uutta lisäosaa, katso Kyberturvallisuuskeskuksen neuvon mukaisesti, kuinka paljon sillä on asennuksia ja päivittääkö julkaisija sitä aktiivisesti.

Päivityksen jälkeen kannattaa katsoa, että sivu näyttää samalta ja yhteydenottolomake toimii. Päivitys voi joskus rikkoa jotain, ja silloin tarvitaan varmuuskopio.

Varmuuskopio, jonka palautus on kokeiltu

Sivustosta otetaan usein varmuuskopioita, mutta palautusta ei ole välttämättä koskaan kokeiltu. Varmuuskopiosta on hyötyä vain, jos sivusto saadaan sen avulla takaisin.

Kyberturvallisuuskeskuksen ohje näin suojaudut tietomurroilta neuvoo säilyttämään varmuuskopiot erillään suojattavista järjestelmistä ja testaamaan palauttamista säännöllisesti, esimerkiksi vuosittain. Pienyritysten oppaassa esimerkkiväli on tiheämpi, neljännesvuosittain. Pienelle sivustolle tämä tarkoittaa käytännössä kolmea kysymystä, jotka voit esittää webhotellille tai ylläpitäjälle:

• Kuinka usein kopio otetaan ja kuinka kauan sitä säilytetään? Jos ongelma huomataan vasta viikkojen päästä, lyhyt säilytysaika ei riitä.
• Missä kopio on? Samalla palvelimella oleva kopio voi kadota samassa viassa tai murrossa kuin sivusto.
• Kuka palautuksen tekee ja kauanko se kestää? Pyydä, että palautus kokeillaan kerran, esimerkiksi erilliseen testiosoitteeseen.

Suojattu yhteys ja lomakkeen roskapostisuojaus

Sivuston osoitteen pitää alkaa https:llä, ja selaimen pitää näyttää yhteys suojattuna. SSL-varmenne salaa liikenteen kävijän ja sivuston välillä, myös hallintaan kirjauduttaessa. WordPressin tietoturvaohje neuvoo vaatimaan hallintaan salatun HTTPS-yhteyden, jotta kirjautumistiedot ja muu liikenne kulkevat salattuina. Jos selain varoittaa sivustostasi, syyt ja korjaukset ovat artikkelissa selain sanoo, ettei sivusi ole turvallinen.

Yhteydenottolomakkeeseen voi kuka tahansa lähettää tietoa, ja koneet lähettävät lomakkeisiin roskapostia automaattisesti. Suojaus erottaa ihmisen koneesta, ja usein siihen riittävät keinot, joista kävijä ei huomaa mitään. Vaihtoehdot on käyty läpi artikkelissa mitä yhteydenottolomakkeessa kysytään. Lähetä lomakkeella itsellesi testiviesti silloin tällöin, koska suojaus voi joskus hylätä myös oikean viestin.

Kuka vastaa mistäkin

Tietoturva jakautuu yleensä kolmelle taholle, ja ongelmat syntyvät usein rajoilla, joita kukaan ei ole ottanut omakseen. Webhotelli vastaa palvelimesta, mutta ei tavallisesti siitä, mitä sinun sivustollasi on. Ylläpitäjä vastaa siitä, mitä sopimukseen on kirjattu. Loput jäävät sinulle. Kyberturvallisuuskeskuksen WordPress-ohje muistuttaa, että jos sivusto on ostettu ulkopuoliselta tekijältä, ylläpito- ja päivitysvastuu siirtyy kokonaan ostajalle, ellei muuta ole sovittu.

Jos et tiedä, kuka jostain rivistä vastaa, kysy asiaa kirjallisesti nykyiseltä toimittajalta. Vastaus kertoo samalla, mitä palvelusi sisältää. Laajempi vertailu siitä, mitkä tehtävät jäävät sinulle pelkän webhotellin kanssa ja mitkä ylläpitäjälle, on artikkelissa pelkkä webhotelli vai hoidettu ylläpito. Verkkotunnuksen, webhotellin ja sähköpostin roolit on selitetty artikkelissa verkkotunnus, webhotelli ja sähköposti.

Tarkistuslista yrittäjälle

Nämä voit käydä läpi kerran vuodessa ja aina, kun henkilöstö tai toimittaja vaihtuu. Suurin osa vie muutaman minuutin.

• Sivuston, webhotellin ja verkkotunnuksen tunnukset on listattu, ja tarpeettomat on poistettu.
• Entisten työntekijöiden ja aiempien tekijöiden tunnukset on suljettu.
• Pääkäyttäjän oikeudet on vain niillä, jotka niitä tarvitsevat, ja heillä on kaksivaiheinen tunnistus.
• Salasanan palautus menee osoitteeseen, joka on yrityksen hallinnassa.
• Tiedät, kuka päivittää sivuston, ja viimeisin päivitys on tehty.
• Käyttämättömät lisäosat ja teemat on poistettu.
• Tiedät, missä varmuuskopiot ovat, ja palautus on kokeiltu.
• Osoite alkaa https:llä, eikä selain varoita.
• Lomakkeen testiviesti tulee perille.

Varaudu myös huijausviesteihin, jotka esiintyvät verkkotunnuksen välittäjänä tai webhotellina ja pyytävät kirjautumaan linkistä. Tunnistusmerkit on koottu artikkeliin näin tunnistat verkkotunnushuijaukset.

Näin me teemme sen

Ylläpitoomme kuuluvat suomalainen palvelin SSL-suojauksella, päivittäiset varmuuskopiot, valvonta, tietoturvapäivitykset ja tekninen tuki arkisin. WordPress-sivustoilla päivitämme myös teeman ja lisäosat, ja varmuuskopio on olemassa ennen päivityksiä.

Ylläpito on alkaen 25 €/kk (alv 0 %). Jos sivustosi on tehty muualla ja haluat sen ylläpitoomme, teemme ensin maksuttoman kuntotarkastuksen, jossa käydään läpi tekniikka, palvelin, verkkotunnuksen hallinta ja rästissä olevat päivitykset. Saat kirjallisen yhteenvedon, vaikka et jatkaisi kanssamme. Palvelun sisältö on sivulla kotisivujen ylläpito.