Salasanojen turvallinen käyttö ja hallinta voivat vaikuttaa sellaisilta perustaidoilta, joihin ei enää tarvitse kiinnittää huomiota. Jos perusasioita ei kuitenkaan pidetä esillä henkilöstölle, voi organisaation tietoturvan yleinen taso heikentyä. Tässä kirjoituksessa tarkastelen salasanojen hallintakäytänteitä oppilaitoksissa pohjaten kokemuksiimme Suomalaisten oppilaitosten valmius kohdata kyberkriisejä -projektissa.
Oppilaitoksissa on käytössä erilaisia tietojärjestelmiä, joiden tarkoitus on tehostaa toimintaa. Järjestelmillä on laaja käyttäjäjoukko, sillä niiden tehtävänä on esimerkiksi:
- säilöä opiskelijarekistereitä,
- opintoihin etenemiseen liittyvää tietoa ja
- välittää viestejä opettajien, oppilaiden tai vanhempien kesken.
Yleinen keino kirjautua sisään tällaisiin järjestelmiin on käyttää käyttäjätunnusta ja salasanaa. Käyttäjätunnusta käytetään tunnistamiseen ja salasanaa todentamiseen. Käyttäjätunnus on usein julkista tietoa, mutta salasanan tulisi olla vain käyttäjän itsensä tiedossa (Adams ym., 1997; Kyberturvallisuuskeskus, n.d.).
Ihminen on usein tietoturvan heikoin lenkki. Vaikka salasanat ovatkin yleinen tapa todentaa käyttäjä, on salasanojen muistaminen vaikeaa. Samaa salasanaa ei saisi käyttää useassa palvelussa. Ur ym. (2016) havaitsivat käyttäjien ymmärtävän, millainen vahvan salasanan tulisi olla, mutta käyttäjillä ei ollut ymmärrystä salasanoja vastaan tehtävien hyökkäysten laajuudesta. Salasanan arvaus käy nopeasti tietokoneavusteisilla hyökkäysohjelmilla, minkä vuoksi vain yhtä salasanaa kaikissa palveluissa käyttävä käyttäjä on haavoittuvainen. Käyttäjät myös luulivat, että arvaaminen vaatisi henkilökohtaista tietoa kohteesta.
Havaintoja ammatillisen koulutuksen tilanteesta
Suomalaisten oppilaitosten valmius kohdata kyberkriisejä -projekti on tutkinut ammatillisten oppilaitosten kyberturvariskien luonnetta ja työyhteisöjen valmiutta toimia kyberkriiseissä. Tutkimusryhmämme (Anna-Liisa Ojala, Tuomo Sipola, Karo Saharinen) pyrki laadullisten haastattelujen analyysin kautta kartoittamaan tilannetta ammattikouluissa.
Aineiston perusteella nousi kysymys, että ohjeistetaanko henkilökuntaa enää luomaan turvallisia salasanoja. Tätä asiaa on voitu pitää itsestäänselvyytenä, mutta on liian toiveikasta odottaa taitoja kaikilta työntekijöiltä. Yksi syy huomion vähentymiselle voi olla monivaiheisen tunnistautumisen arkipäiväistyminen, mutta se ei poista salasanojen merkitystä.
Toisaalta havaitsimme myös, että ainakin jotkut käyttäjät hyödyntävät selainten salasananhallintaa, mikä mahdollistaa useiden erilaisten pitkien salasanojen tallentamisen jokaista käytettyä palvelua varten. Sen sijaan organisaatiotason kiinnostus salasanojen hallintaan pitäisi myös saada lisääntymään, jotta ne tarjoaisivat ohjelmistoja ja koulutusta aiheeseen. Ilman organisaation tukea käyttäjät harvoin aktivoituvat tietoturva-asioissa. Kyse on hyödyllisten käytäntöjen jalkauttamisesta henkilöstölle.
Kaksivaiheinen tunnistautuminen
Nykymaailmassa monivaiheinen tunnistautuminen on arkipäivää myös oppilaitoksissa käytettävissä järjestelmissä (ks. Kuva 1). Monivaiheinen tunnistautuminen tarkoittaa, että järjestelmään sisään kirjautuessa käyttäjä joutuu todentamaan itsensä useilla tavoilla tunnuksen ja salasanan lisäksi (Ometov ym., 2018). Tällaisia tapoja ovat esimerkiksi tekstiviestit ja tunnusluvun antavat kännykkäsovellukset. Näistä tosin ensin mainittu ei ole itsessään vahva tunnistautumistapa (Lei ym., 2021).
On kuitenkin huomattava, että kaksivaiheinen tunnistautuminen ei poista salasanojen huolellisen käytön tarvetta. Ensimmäinen vaihe on salasanan antaminen. Monivaiheisuuden perusajatus on, että jokainen vaihe tehdään turvallisesti, joten salasanoja koskevat käytänteet ovat yhä ajankohtaisia.
Salasanojen hallinta
Kyberturvallisuuskeskuksen (n.d.) määritelmän mukaan salasanojen hallintaan käytettävän sovelluksen avulla voi tallentaa salasanoja yhden pääsalasanan taakse. Tämä mahdollistaa monimutkaisten ja pitkien salasanojen käytön jokaisessa järjestelmässä. Sovelluksen pääsalasanasta täytyy kuitenkin pitää huolta, sillä sen paljastuessa hyökkääjä pääsee käsiksi kaikkiin salasanoihin. Sovelluksia on erilaisia, jotkut tallentavat salasanat pilveen, jolloin niitä voi käyttää eri laitteilla. Toiset taas tallentavat ne käyttäjän tietokoneelle, jolloin ne ovat saatavilla vain sieltä.
Mayer ym. (2022) ovat tutkineet salasananhallintaohjelmistojen käyttöä yliopistossa, ja ehdottavat mm. seuraavia suosituksia organisaatioille:
- Salasananhallintaohjelmistojen tarjoaminen ilmaiseksi johtaa niiden käyttöön.
- Tiedon levittäminen esimerkiksi työpajojen avulla parantaa käyttöönottoa.
- Luottamuksen kasvattaminen salasananhallintaohjelmistoja kohtaan.
- Yhteensopivuusongelmien dokumentointi ja niistä eroon pääseminen.
Mitä oppilaitosten tulisi tehdä?
Olisi tärkeää, että salasanojen käyttöön kiinnitettäisiin huomiota henkilökuntaa ohjeistettaessa. Vaikka monivaiheinen tunnistautuminen on käytössä useissa järjestelmissä, toimivat useat niistä kuitenkin pelkän salasanan varassa. Sellaisia ovat esimerkiksi erikseen yhdelle henkilölle hankitut järjestelmät, joita ei ole integroitu kertakirjautumiseen. Tällöin perinteiset salasanakäytänteet ovat yhä välttämättömiä: salasanojen täytyy olla tarpeeksi pitkiä, vaikeasti arvattavia eikä samaa salasanaa saa käyttää useissa palveluissa. Toisaalta pahantahtoiset toimijat voivat hyökätä myös monivaiheista tunnistautumista vaativaan järjestelmään. Tällöin tehtävä helpottuu heikkojen tai pitkään voimassa olleiden yksinkertaisten salasanojen takia. Hyökkääjä voi esimerkiksi lähettää valheellisen kirjautumispyynnön ja asettua palvelun ja käyttäjän väliin, jolloin käyttäjä antaa erheellisesti kirjautumistietonsa hyökkääjälle.
Loppusuosituksina on helppo toistaa se, mitä muutkin ovat havainneet. Esimerkiksi sekä Mänttäri (2020) että Avoine & Leblanc-Albarel (2023) suosittelevat kahta toimenpidettä:
- Salasanojen tulee olla pitkiä. Pituus on tärkein vahvan salasanan tunnusmerkki (ks. esim. Dell’Amico ym., 2010; Bošnjak ym., 2018). Yhdysvaltojen kyber- ja infrastruktuuriturvallisuuden viranomainen suosittelee vähintään 16 merkkiä pitkiä salasanoja (CISA, n.d.).
- Salasananhallintaohjelmat ovat käytettävyydeltään hyvä kompromissi, jotta eri palveluissa käytetään eri salasanoja vaikka käyttäjän tarvitsee muistaa vain yksi pääsalasana (ks. esim. Bonneau ym., 2015).
Ylipäänsä salasanojen tärkeyden esille tuominen oppilaitoksissa lisää käyttäjien ymmärrystä parhaista käytänteistä. Perusteiden kertaaminen Kyberturvallisuuskeskuksen (n.d.) ohjeista on suositeltavaa oppilaitosten henkilökunnalle.
Suomalaisten oppilaitosten valmius kohdata kyberkriisejä
Tutkimuksessa tarkastellaan ammatillisten oppilaitosten kyberturvariskien luonnetta ja oppilaitostyöyhteisöjen valmiutta toimia kyberkriiseissä ja luodaan alalle harjoittelu- ja toimintasuosituksia.
