Mikä neuvoksi, jos hakkeri pystyy murtautumaan toimistoon kuin toimistoon?
Viime viikolla Tekniikka ja Talous julkaisi artikkelin, jossa tietoturvayhtiö F-Securen edustaja kertoo hyökkäyssimulaatioihin erikoistuneen Red Teamin jäsenten murtautuvan mihin tahansa suomalaiseen toimistoon. Tietoturvayhtiö tekee tätä toki asiakkaidensa tilauksesta ja auditointimielessä. YLEn uutisesta käy ilmi, että myös muut tietoturva-alan yritykset ovat testeissään todenneet monien suomalaisten yritysten tietoturvatason puutteelliseksi.
Tiedossa on, että iäkkäämpien kulunvalvontajärjestelmien tunnisteteknologioissa on haavoittuvuuksia. Kulunvalvontajärjestelmien avainkortit toimivat RFID-tekniikalla, jossa oven avauskomennon antava lukija ja avainkortti keskustelevat radiotaajuudella. Tätä liikennettä voidaan manipuloida tai huijata.
Mikä on syy ongelmaan?
Vanhemman teknologian avainkortit ja kortinlukijat ovat alttiina huijausyrityksille. Helpoin tapa huijata kulunvalvontajärjestelmää on lukea avainkortin tiedot lähietäisyydeltä ja kopioida ne jälkeenpäin tyhjälle kortille. Tämän jälkeen epärehellinen henkilö voi kulkea ovista alkuperäisellä kortilla olleiden kulkuoikeuksien mukaan ja asia jää helposti huomaamatta.
Kulkuoikeuksien ja tietojen kopiointiin on useita muitakin tapoja. Paremmilla välineillä avainkorttien kopioimisen lukuetäisyyttä voidaan myös kasvattaa senttimetreistä aina metreihin. Myös seinissä ja ovissa olevia kortinlukijoita voidaan manipuloida monin eri tavoin.
Mikä neuvoksi?
Uutisoitu asia on kieltämättä totta, mutta riskiä voidaan pienentää monella eri tavalla. Ensinnäkin on syytä tutustua huolella kiinteistöjen tai toimitilojen turvallisuusjärjestelyihin kokonaisuudessaan. Tässä yhteydessä on myös syytä huomioida kulunvalvonnan lisäksi erityisesti mekaanisen lukituksen tilanne.
Listaamme tässä muutaman hyödyllisen vinkin:
- Säilytä omaa avainkorttiasi aina huolellisesti äläkä lainaa sitä kenellekään. Jos kulunvalvonta on vastuullasi, muistuta kaikkia käyttäjiä tästä tärkeästä asiasta.
- Selvitä nykyiset avainhallinnan käytännöt. Onko lukosto toteutettu suojatulla avainprofiililla, jolloin lisäavainten teettäminen onnistuu vain tunnuksilla? Onko kaikki laajemmat avausoikeudet omaavat avaimet kuitattu asianmukaisesti ja niiden sijainti tiedossa?
- Varusta kaikki kriittiset kulkureitit ja tilat kulunvalvonnan erillistä PIN-koodia vaativilla lukijoilla.
- Ota käyttöön järjestelmän PIN-koodikysely, vähintäänkin normaalin työajan ulkopuolella.
- Varmista, että kulunvalvonnan pääkäytöstä huolehtii ammattitaitoinen pääkäyttäjä. Älä tyydy jättämään tehtäviä ulkopuolisen palvelutuottajan oto-hommaksi, jossa henkilöstövaihtuvuus ja sijaiset ovat tyypillisiä.
- Milloin viimeksi kulunvalvontajärjestelmän kulkualueet ja kulkuoikeudet on tarkastettu? Poista turhat kulkualueet ja deaktivoi epäselvät avainkortit.
- Mitkä ovat ns. päiväkorttien, huoltokorttien ja huoltoavainten luovutuskäytännöt? Ovatko nämä avainkortit 24/7 aktiivisia ja vaativatko ne PIN-koodia? Vaikka toiminta olisikin muilta osin ammattimaista, lepsuilulla näissä asioissa vesitetään monesti hyväkin turvallisuustilanne.
- Onko käytössä kuvallisia henkilökortteja ja onko niissä huomioitu turvatekijät? Henkilökorttien säännöllinen uusiminen määrävälein nostaa turvatasoa.
- Onko kohteen kameravalvonta ja hälytysjärjestelmät ajan tasalla? Entä vartiointiliike ja sen ajovalmius? Jos jotain ei-toivottua on tapahtunut, on sen tallentaminen ja nopea havaitseminen tärkeää.
- Selvitä nykyisen järjestelmän kortinlukijoiden ja avainkorttien päivitysmahdollisuudet sekä tarve.
Mikäli sinulle heräsi aiheesta kysyttävää, keskustelemme mielellämme henkilökohtaisesti ja annamme muutaman lisävinkin aiheeseen liittyen! Meillä on vahvaa erityisosaamista kulunvalvontajärjestelmistä sekä pääkäyttäjä- ja avainhallintapalveluista.
