Veebipoe turvalisuse tagamiseks ei ole alati vaja suuri investeeringuid. Sageli saavad probleemid alguse lihtsatest vigadest, näiteks uuendamata tarkvarast, liiga laiadest ligipääsuõigustest või sellest, et kogutakse rohkem andmeid, kui tegelikult vaja. E-poodide turvalisusest ja klientide andmete kaitsmisest räägivad Andmehäälingu uues osas Andmekaitse Inspektsiooni tehnoloogia valdkonna juht Urmo Parm ja saatejuht jurist Geili Keppi.
Kuigi sageli arvatakse, et küberkurjategijaid huvitavad eelkõige suured ettevõtted, ei jää ka väiksemad e-poed tähelepanuta. Väiksemad ettevõtted kasutavad sageli valmisplatvorme ja pilvelahendusi, mille nõrkused võivad olla ründajatele teada. Ettevõtte suurus ei kaitse rünnaku eest. Eestis on olnud juhtumeid, kus küberrünnak on suure ettevõtte töö nädalateks häirinud.
Kurjategijate eesmärk on enamasti raha. Selleks püütakse petta ettevõtet ennast või saada ligi klientide andmetele, mida saab omakorda kasutada inimeste petmiseks. Näiteks võivad varastatud andmed aidata koostada usutavamaid petukirju või sõnumeid, millega meelitatakse inimesi tegema makseid või avaldama oma kontoandmeid.
Koguge ainult neid andmeid, mida päriselt vajate
E-poel tasub regulaarselt üle vaadata, milliseid andmeid klientidelt tegelikult vaja on. Kui inimene soovib tellida paki pakiautomaati, ei pruugi olla vaja küsida näiteks tema täielikku elukoha aadressi. Mida rohkem isikuandmeid ettevõte kogub, seda rohkem on tal ka andmeid, mida tuleb kaitsta.
Tähelepanu tasub pöörata ka sellele, kuidas veebileht külastaja tegevust jälgib. Näiteks võib veebileht kasutada lahendusi, mis reageerivad sellele, kui inimene soovib lehelt lahkuda, ning kuvavad talle seepeale hüpikakna. Selliste lahenduste puhul tasub läbi mõelda, milliseid andmeid kasutaja tegevuse kohta kogutakse ja kas neid on tegelikult vaja.
Uuendamata tarkvara on üks levinumaid riske
Üks sagedasemaid probleeme on uuendamata tarkvara. Turvanõrkuste parandused võivad olla kiiresti kättesaadavad, kuid nende paigaldamisega viivitamine annab ründajatele võimaluse nõrkust ära kasutada. Inspektsiooni töölauale on jõudnud juhtum, kus organisatsioon jäi turvaparanduse paigaldamisega hiljaks vähem kui ühe päeva ning selle ajaga jõudsid ründajad süsteemi sisse tungida.
Oluline on kasutada ka mitmeastmelist autentimist. Üksnes paroolist ei pruugi konto kaitsmiseks piisata. Teine turvakiht, näiteks autentimisrakendus või ühekordne kood, teeb kontole ligipääsemise ründaja jaoks keerulisemaks.
Turvalisus ei puuduta ainult e-poodi ennast
E-pood kasutab tavaliselt mitmeid teisi teenuseid, näiteks makselahendusi, logistikapartnereid, klienditoe teenuseid ja turundusplatvorme. See tähendab, et klientide andmed võivad liikuda mitme ettevõtte vahel. Seetõttu peab e-pood teadma, milliste partneritega andmeid jagatakse ja kuidas neid kaitstakse. Teenusepakkujatega tasub läbi rääkida ka andmekaitse ja turvalisuse küsimused, mitte piirduda ainult tüüptingimustega.
Kui midagi juhtub, tuleb kiiresti tegutseda
Andmelekkest või küberintsidendist teada saades tuleb kõigepealt piirata võimaliku kahju tekkimist. Vajadusel võib olla tarvis e-pood ajutiselt sulgeda, selgitada välja juhtunu ulatus ja kaasata asjatundjaid. Seejärel saab hinnata, millised andmed võisid sattuda ohtu ja keda tuleb juhtunust teavitada. Kui rikkumine võib ohustada inimeste õigusi ja vabadusi, tuleb teavitada ka inimesi, kelle andmeid juhtum puudutab. Teavitamine annab neile võimaluse oma kontodel tähelepanelikum olla ning võimalike pettuste või andmete kuritarvitamise korral kiiremini reageerida.
E-poe turvalisus ei sõltu ühest suurest sammust. Oluline on hoida tarkvara ajakohasena, kasutada tugevaid autentimisviise, koguda ainult vajalikke andmeid, anda ligipääs neile, kes seda tööks vajavad, ning teada, kuidas tegutseda siis, kui midagi läheb valesti.
Kuula põnevat arutelu Andmehäälingu värskest episoodist.
Episood valmis Euroopa Liidu programmi CERV (Citizens, Equality, Rights and Values) toetusel. Programm toetab privaatsuse ja andmekaitse teadlikkuse suurendamist ning põhiõiguste edendamist Eestis.
