Ilmainen e-kirja: NIS2 haltuun hyödyntäen ISO 27001 -käytäntöjä
Lataa e-kirja
Akatemian etusivu
Blogit
Helsingin tietomurto, AI:n vaikutukset sek√§ NIS2-edistyminen: Digiturvamallin tuote- ja uutiskooste 5/2024 ūüõ°ÔłŹ

Tämä on toukokuun uutis- ja tuotekatsaus Digiturvamallilta. Seuraava pääkäyttäjäwebinaarimme, jossa käymme asiat läpi livenä, järjestetään syksyllä 2024. Voit ilmoittautua webinaariin Webinaarit-sivullamme lähempänä ajankohtaa.

Tärkeimmät digiturvauutiset 5/2024

Vakava tietomurto Helsingin kaupunkiin: Koskee yli 120 000 ihmisen tietoja

Artikkeli osoitteessa yle.fi

Helsingin kaupungin kasvatuksen ja koulutuksen toimialaan kohdistui toukokuussa tietomurto, joka koskee yli 120 000 henkilön tietoja. Tietomurrossa on kaapattu kaupungin työntekijöiden käyttäjätunnukset ja sähköpostiosoitteet sekä kasvatuksen ja koulutuksen toimialan oppilaiden, huoltajien ja henkilöstön henkilötunnuksia sekä osoitetietoja.

Juurisyynä tietomurtoon on ollut päivittämätön etäyhteyspalvelin. Haavoittuvuuteen oli olemassa korjauspäivitys, mutta sitä ei oltu tehty syystä tai toisesta. Tietomurtojen ja haavoittuvuuksien varalta on erittäin tärkeää tunnistaa kriittiset päivitettävät järjestelmät sekä laitteet.

Tapahtuneesta tietomurrosta on tiedotettu suhteellisen hyvin. Viestintä tietomurrosta on ollut nopeaa ja korostaa tapahtuman vakavuutta, ja Helsingin kaupunki on myöntänyt omat virheensä ja puutteensa tietoturvapäivitysten ja laitteiden ylläpitoon liittyvistä kontrolleista ja toimintatavoista.

Kuinka nopeasti teknisiä haavoittuvuuksia hyödynnetään?

Artikkeli osoitteessa helpnetsecurity.com

Fortinetin puolivuotiskatsauksesta käy ilmi, että haavoittuvuuksien hyödyntäminen nopeutuu, kohdistuen erityisesti uusiin haavoittuvuuksiin. Katsauksen mukaan hyökkäykset alkavat keskimäärin 4,76 päivää julkaisun jälkeen

Analyysissa toimittajan vastuu asetetaan avainasemaan. Toimittajien on löydettävä ja korjattava haavoittuvuudet nopeasti välttääkseen 0-day hyväksikäytöt ja auttaakseen asiakkaita suojaamaan itseään tehokkaasti.

Vaikka Fortinetin katsauksessa keskitytään erityisesti uusiin haavoittuvuuksiin, on tieto relevantti myös vanhemmille haavoittuvuuksille. Jopa 41% organisaatioista havaitsi yrityksiä hyödyntää yli 30 päivää vanhoja haavoittuvuuksia. Lisäksi FortiGuard Labs havaitsee globaalisti edelleen myös yli 15 vuotta vanhojen haavoittuvuuksien hyödyntämisyrityksiä. Tämän vuoksi organisaatioiden kannattaa pitää huolta kyberhygieniastaan ja ylläpitää päivityksiä ja korjaustoimenpiteitä.

How AI is making phishing attacks better?

Artikkeli osoitteessa helpnetsecurity.com

AI-avusteiset tietojenkalasteluyritykset ovat nousussa. Tekoäly automatisoi ja personoi hyökkäysprosessin eri osa-alueita, edistäen hyvää kieltä ja minimoiden kirjoitusvirheiden määrää. Tekoälyn avulla voidaan helposti tehdä vakuuttavia tietojenkalasteluviestejä millä tahansa kielellä, ja generatiivinen AI pystyy jopa matkimaan tarkasti oikean henkilön viestintätyyliä.

Eniten tietojenkalasteluyrityksiä on ilmennyt Yhdysvalloissa (55,9%) Iso-Britanniassa (5,6%) sekä Intiassa (3,9%). Tutkimuksessa myös selviää, että Microsoft on yksi imitoiduimmista brädeistä tieetojenkalasteluyrityksissä.

AiTM-hyökkäykset (Adversary-in-the-middle) ovat edelleen merkittävä uhka, ja BiTB-hyökkäysten (Browser-in-the-Browser) yleistyminen pahentaa ongelmaa. Nämä menetelmät kohdistuvat erityisesti käyttäjiin verkkoselaimissa, mikä vaikeuttaa havaitsemista ja torjuntaa.

How is AI affecting cyber offense / defence?

Artikkeli osoitteessa paloaltonetworks.com

Palo Alton artikkelissa keskustellaan, kuinka tekoälyn ympärillä pyörivä jatkuva hype hankaloittaa autenttisten hyökkäysten tunnistamista. Erilaisia AI:n hyökkäysmenetelmiä ovat esimerkiksi:

Tehostettu tietojenkalastelu
  • Autenttisemmat hy√∂kk√§ykset, joita on vaikeampi havaita
Haittaohjelmien kehitys
  • Uusien haittaohjelmien luonti yhdistelem√§ll√§ olemassa olevien haittaohjelmien elementtej√§
  • haitallisia koodeja, jotka saattavat kiert√§√§ nykyiset suojaukset.
Datamyrkytys
  • Hy√∂kk√§√§j√§t hy√∂kk√§√§v√§t teko√§lyj√§rjestelmiin itse myrkytt√§m√§ll√§ harjoitusdataa tulosten manipuloimiseksi.
Automatisoidut hyökkäykset
  • Teko√§ly voi tarjota eritt√§in skaalautuvia, itsen√§isi√§ hy√∂kk√§yksi√§ useita kohteita vastaan samanaikaisesti.

Optimististinen puoli on, että tekoäly voi parantaa puolustuksellisia kyberturvallisuusvalmiuksia. Tekoälyn ja multimodaalisen logiikan kehitys voi jopa vähentää ohjelmistojen haavoittuvuuksien kokonaismäärää, kun ohjelmistoja testataan ja korjataan entistä paremmin automatisoidusti ja laajamittaisesti kehityksen aikana.

Cannes Hospital Cancels Medical Procedures Following Cyberattack

Artikkeli osoitteessa securityweek.com

‚Äć

Huhtikuussa 2024 Ranskan Cannes Hospital joutui kyberhyökkäyksen kohteeksi. Tämän seurauksena organisaatio päätti ajaa järjestelmät alas hyökkäyksen rajaamiseksi. Sairaalan henkilöstö joutui turvautumaan manuaalisten prosessien käyttöön, tuloksena hidastunut työ ja peruuntuneita operaatioita.

Cannes Hospital on aloittanut hitaat palautumisprosessit, sairaala pyrkii tällä hetkellä palauttamaan kriittisimpiä järjestelmiä potilaiden hoitoon liittyen. Cannes on ilmoittanut hyökkäyksestä asiaankuuluville viranomaisille, ja hyökäystä analysoidaan tarkasti. Sairaala ei ole vastaanottanut lunnasvaatimuksia kyberhyökkäykseen liittyen, eikä todisteita datan varastamisesta ole ilmennyt.

NIS2-direktiivi ‚Äď Kansallisen lains√§√§d√§nn√∂n seuranta

Artikkeli osoitteessa twobirds.com

NIS2-direktiivi astui voimaan 16. tammikuuta 2023 ja EU:n jäsenmaiden on nyt tarkoitus sisällyttää tämä keskeinen kyberturvallisuutta koskeva lainsäädäntö osaksi kansallista lainsäädäntöään. Prosessi on saatava päätökseen 17. lokakuuta 2024 mennessä. Lokakuun 18. päivästä 2024 alkaen nykyinen NIS -direktiivi kumotaan, ja jäsenvaltiot alkavat soveltamaan päivitettyjä toimenpiteita. Jäsenvaltioilla on myös mahdollisuus laajentaa NIS2-direktiivin soveltamisalaa ja ottaa käyttöön kansallisia lisävaatimuksia.

Olemme julkaisseet avuksi ilmaisen NIS2 haltuun hyödyntäen ISO 27001 parhaita käytäntöjä -ekirjan.  Ilmaisessa e-kirjassamme opastamme sinut NIS2-maailmaan ja näytämme, miten voit hyödyntää ISO 27001:n parhaita käytäntöjä vaatimustenmukaisuuden saavuttamisessa. Nappaa omasi täältä: https://digiturvamalli.fi/ekirja

‚Äć

How is Paris 2024 handling cyber security?

Artikkeli osoitteessa hackread.com

Kesällä 2024 Pariisissa järjestetään kesäolympialaiset, joiden tietoturvaa on pidetty kyseenalaisena erityisesti Outpost24:n tekemän tietoturva-arvion jälkeen.

Tietoturva-arvio on paljastanut monia haavoittuvuuksia, kuten:

  • Avoimia portteja
  • V√§√§ri√§ SSL-konfiguraatioita
  • V√§√§rin ker√§ttyj√§ ev√§stesuosituksia
  • Domain squatting

Nämä haavoittuvuudet voivat kompromisoida esimerkiksi henkilöstön ja urheilijoiden henkilökohtaisia tietoja,  aiheuttaen yksityisyyden suojaan ja turvallisuuteen liittyviä riskejä.  

Raportissa kuitenkin myös mainittiin, että järjestäjät ovat ottaneet käyttöön vahvoja turvatoimia ja heidän yleinen tietoturvalähestymisensä ansaitsee tunnustusta. Tietoturvan parissa kohdataan harvoin täydellisyyttä, ja Pariisin Olympialaisia voidaan katsoa hyvänä esimerkkinä hyökkäyspinnan hallinnassa.  

Tärkeimmät teemat Digiturvamallin kehityksestä

Uusi Tietoturvamittarit-sivu

Julkaisimme uuden Mittarit-sivun. Löydät sen jatkossa vasemmasta valikosta -oletuksena "Lisää" painikkeen alta, mutta voit halutessasi kiinnittää sivun vasemman valikon yläosioon.

Mittarit-sivulla voit määritellä ne tietoturvan hallinnan avainmittarit, jotka ovat teidän organisaation työskentelylle kaikkein oleellisimmat. Mittareita löytyy yhteensä 20+ käyttämistäsi vaatimuskehikoista riippuen. Voit itse muokata tavoitearvoja eri mittareille.

Kuukausittaiset ISMS-raportit (johdon viestintään)

Olemme julkaisseet uuden, automaattisen kuukausiraportin, joka on suunniteltu tukemaan viestintää omalle johdolle. Raportissa näkyvät tilillänne aktivoidut mittarit, yhteenveto kuukauden aikana saavutetusta edistyksestä sekä tiettyjä avaintietoja kohdista, joita on edistetty viimeisen kuukauden aikana. Tämä raportti ei ole liian pitkä ja sen avulla on helppo esitellä tekemäänne digiturvatyötä positiivisella tavalla.

Raporttien jakaminen Ohjekirjan kautta

Tämän ominaisuuden avulla raportti näytetään Ohjekirjassa valituille työntekijöille. Työntekijöiden tulee avata raportti ja kuitata se luetuksi - samaan tapaan kuin ohjeet.

Uusi vaatimuskehikko: DORA

The Digital Operational Resilience Act (DORA) on EU:n laki digitaalisen toiminnan resilienssistä. Sen tarkoitus on vahvistaa rahoituslaitosten resilienssiä kaikilla sen osa-alueilla. Aloita työ kohti DORA-vaatimuskehikkoa ennen sen soveltamista 1/2025 Digiturvamallissa!  Voit aktivoida ja muokata vaatimuskehikkoja Digiturvamallissa. organisaation työpöydältä.

Lisäksi pian tulossa Digiturvamalliin: ISO 9001

Tutustu saatavilla oleviin sekä tuleviin vaatimuskehikkoihin Digiturvamallin sovelluksessa tai Vaatimuskehikot-sivustolta.

Sisältö

Jaa artikkeli