|
Ulkoistaminen tarkoittaa tässä työvoiman eli resurssien vuokraamista ulkopuoliselta yritykseltä. Teet siis jonkun toimittajan kanssa sopimuksen siitä, että joku tai jotkut tulevat työskentelemään sinun tiimissäsi sovitulla tavalla, sovittuun hintaan ja sovitun ajan. Sopimus voi kattaa vain yhden henkilön tai vaikka kokonaisen tiimiorganisaation, mitään rajaa tässä ei ole.  Ulkoistamisen suosio on kasvanut merkittävästi Suomessa ja tähän on monia syitä. Pari suosituinta lienee kustannussäästöjen hakeminen ja ammattilaispula kotimaisten toimijoiden keskuudessa, mutta tähän on vaikuttanut myös etätyön suosion kasvu. On huomattu, että ihan kaikkea ei tarvitse tulla tekemään yrityksen konttorille, vaan työt voidaan tehdä melkein missä vaan, kunhan prosessit on kunnossa.
Ulkoistamiseen on toki muitakin syitä, se on toimiva tapa säädellä nopeasti tiimisi kokoa ja osaamista sekä vähentää kustannuksia. Saatat esim. tarvita jonkun alan erikoisosaajan tiettyyn projektiin ja tietyksi ajaksi, eikä tällä erikoisosaamisella ole sen jälkeen ainakaan jatkuvaa käyttöä -> ulkoista. Tai saatat tarvita lisävoimaa tietyn tavoitteen saavuttamiseksi nopeasti mutta et ehdi tai halua käydä läpi koko perinteistä rekrytointiprosessia ->ulkoista. Sitten tulemme taas tähän kustannussäästöasiaan eli sinulla voi myös olla paineita saada aikaiseksi enemmän samalla tai jopa pienemmällä budjetilla kuin aikaisemmin -> ulkoista. Ulkoistaminen siis kannattaa monessakin tapauksessa. Tässä muutama vinkki, joiden avulla se voi onnistua vieläkin paremmin. Ulkoistaminen edellyttää luottamusta, etenkin jos et ole koskaan toiminut valitsemasi toimittajan kanssa. Tämä on ihan perusedellytys, ilman luottamusta homma ei toimi. Oletusarvona on, että toimittajalla ja sinulla asiakkaana on yhteinen tavoite eli projektin saattaminen sovitusti maaliin ja sopimuksen ehtojen täyttäminen. Sinä saat projektin tuotoksen liiketoimintaasi tehostamaan ja toimittaja saa sovitun korvauksen ja ehkä hyvän asiakasreferenssin, joten molemmilla osapuolilla on oikeita syitä pitää sopimuksesta kiinni ja hoitaa homma kunnialla loppuun saakka. Palaan toimittajan valintaprosessiin ja kriteereihin tarkemmin seuraavassa blogissa. Tee kunnon sopimus ja pidä siitä kiinni. Vaikka luottamus on hyvä asia, toimii kunnon kirjallinen sopimus vielä lisäkannustimena. Varmista, että keskinäinen sopimuksenne kattaa kaikki huolenaiheesi ja on tavoitteidesi mukainen. Esimerkiksi jos projektin kesken jääminen vuokratun työntekijän häipyessä parempiin hommiin huolettaa, riskiä voi pienentää lisäämällä sopimukseen tuntuvan sakon, jos työ jää toimittajasta johtuvasta syystä kesken. Keskustelkaa toistenne kanssa. Varsinkin virtuaalitiimeissä keskustelu on erittäin tärkeää, kun toista osapuolta ei koskaan tapaa kasvotusten. Ole kohtelias mutta rehellinen ja sano suoraan, jos joku asia ei toimi tai jos haluat muuttaa jotain. Kuuntele myös toimittajaa ja erityisesti vuokraamiasi henkilöitä, onko kaikki kunnossa vai pitäisikö jollekin asialle tehdä jotain. Virtuaalitiimeissä joskus triviaalitkin pikkujutut – varsinkin tahattomat väärinymmärtämiset - saattavat paisua ongelmiksi, jos niitä ei hoideta ajoissa. Pidä huolta, että vuokrattu henkilö integroidaan omaan tiimiisi heti ja kunnolla. Pidä vaikka erillinen vapaamuotoinen virtuaalitapaaminen, jotta tiimisi tutustuu uuteen jäseneen ja päinvastoin. Varmista, että hän osaa käyttää kaikkia työnseurannan / tiimityöskentelyn työkaluja, ja että hänellä on niihin kaikkiin heti pääsy. Ota hänet mukaan myös tiimin epämuodolliseen toimintaan aina kun mahdollista, kysele kuulumisia ja anna hänen aina tuntea olevansa osa tiimiä. Valitse toimittaja huolella, ota myös sijainti ja paikallinen kulttuuri huomioon. Jos omat sääntösi tai GDPR-lainsäädännön soveltaminen edellyttävät, että henkilötietoja käsitellään vaan EU:n alueella, valitse silloin toimittaja EU:n alueelta. Jos em. tyyppisiä esteitä ei ole, kannattaa ehdottomasti katsastaa tarjonta myös EU:n ulkopuolelta. Tosin mitä kauemmas kotimaasta mennään, sitä suurempia kulttuurisia eroavaisuuksia tulee vastaan ja nämä voivat haitata yhteistyötä, jos niitä ei tiedosta ja ota huomioon. Myös ylipääsemättömissä kiistatapauksissa oikeusprosessit kaukomailla sijaitsevaa toimittajaa vastaan voivat olla seikkailu sinänsä. Kaikkein paras tilanne on, jos ulkomaisen toimittajan edustaja, jonka kanssa teet sopimuksen, sijaitsee Suomessa ja noudattaa Suomen lainsäädäntöä ja suomalaisia yleissopimuksia, kuten esim. IT2018 sopimusta. Pidä kirjaa vuokratuista henkilöistä, ketkä ovat työskennelleet projekteissasi, jos käytät paljon vuokratyövoimaa. Kysy muilta tiimiläisiltä arvioita henkilöistä ja jaa arviot toimittajan kanssa. Luonnollisesti niitä tekijöitä, joiden kanssa tulet toimeen parhaimmin kannattaa kysyä nimeltä, jos ja kun tarvitset tekijöitä uuteen projektiin. Ja lopuksi, tiedosta myös inhimilliset tekijät. Vuokrattu työntekijä voi olla vaikka kuinka lahjakas ja fiksu kaveri, mutta jos esimerkiksi henkilökemiassa jokin tökkii niin sille ei yleensä voi mitään. Ja jos sinä asiakkaana niin vaadit, toimittajan pitää yrittää korjata asia mahdollisimman nopeasti ja vähin äänin, jos toimittaja pystyy vaihtamaan henkilön toiseen vähintään samantasoiseen ilman isompia järjestelyitä. Luonnollisesti tästä ei tule merkintää vaihdetun henkilön arviontitietoihin, kun kyseessä ei ole mikään asenne- tms. ongelma. Sitten tilanne on toinen, jos vuokratun henkilön asenteessa, osaamisessa jne. on ongelma; jo sopimuksessa pitää lukea, että tällaiset henkilöt vaihdetaan vähintään vastaavan tasoisiin ilman eri kustannusta ja näistä pitää aina laittaa merkintä henkilön arviointiin, jotta jatkossa ei tule yllätyksiä. Seuraavassa ulkoistukseen liittyvässä blogissa tutkin hieman tarkemmin, miten toimittaja kannattaa valita. Netect Oy tarjoaa laadukasta sovelluskehitystä ja ulkoistuspalveluja. Lisätietoja: https://www.netect.fi/ulkoistuspalvelut.html BusinessWeek julkaisi 2018 artikkelin amerikkalaisen SuperMicro yhtiön palvelinemolevyiltä löytyneestä ylimääräisestä mikropiiristä. Artikkelissa kerrottiin, että yhtiön laajasti käytössä olleilta palvelinemolevyiltä oli löydetty vastuksen näköinen mikropiiri, josta oli tarkemmassa analyysissä löytynytkin enemmän kontakteja kuin normaalit kaksi. Kyseinen piiri mahdollisti yhteyden avaamisen ja tiedonsiirron suojatusta sisäverkosta ulos piirin asentaneille tahoille. BusinessWeek kertoi haastatelleensa artikkeliin kymmeniä henkilöitä, joiden kaikkien kertomukset tukivat tarinaa. Virallisesti kukaan ei kuitenkaan halunnut sanoa mitään. Artikkelia tuki myös se, että kyseisiä emolevyjä datakeskuksissaan käyttäneet tahot (muun muassa Apple ja Amazon) hankkiutuivat niistä vähin äänin eroon, joko yritysjärjestelyiden kautta tai muutoin.  Todennäköisen implantin sijainti vuonna 2018 raportoidussa tietomurrossa. (Trammell Hudson) Bloomberg julkaisi 12.1. täydennyksen BusinessWeekin 2018 artikkeliin. Uudessa artikkelissa kerrotaan, että USA:n puolustusministeriön tietoturvaorganisaatio oli huomannut jo vuonna 2010 Supermicron valmistamien serverien lähettävän tietoa verkkoinfrasta ulkopuoliselle taholle Kiinaan. Tästä käynnistyi vuosia kestänyt vastavakoilutoiminta, jolla pyrittiin selvittämään hyökkääjän kykyjä ja samalla alettiin analysoida, kuinka tietomurto on toteutettu. Emolevyjen BIOS:in eprommin suojatusta osasta löytyi ylimääräistä koodia, joka konetta käynnistettäessä luettiin muistiin suoritettavaksi. SuperMicro oli ostanut merkittäviä osia BIOS koodista suoraan alihankkijalta, eikä todennäköisesti ollut tietoinen kaikista saamistaan ominaisuuksista. Alkuperäisen BusinessWeekin artikkelin mukaan Apple ja Amazon löysivät ylimääräisen mikropiirin SuperMicron palvelinemolevyltä 2015. Kaikki artikkelissa mainitut yritykset kiistivät tuolloin tiedot ja kertoivat olevansa täysin tietämättömiä asiasta. Tarkemmissa tutkimuksissa selvisi, että piiri ei ole pelkästään emolevyjä alihankintana valmistaneen kiinalaisen sopimusvalmistajan tekosia, vaan sen paikka on jo alun perin suunniteltu osaksi monikerroksista piirilevyä. FBI:ltä saadun tiedon mukaan pientä joukkoa valmistajan työntekijöitä kohtaan käynnistettiin jo vuonna 2012 vastavakoilu ja seurantaoperaatio. Lisäksi päivitetyssä artikkelissa kerrotaan että 2014 siruvalmistaja Intel tiedotti, että he olivat saaneet takaoven sisältävän päivityksen SuperMicron päivityspalvelimelta. Tällöin tietomurto havaittiin välittömästi ja sen seuraukset saatiin minimoitua. Mitä tästä pitäisi ajatella Jos kiinalaiset pystyvät tekemään tämän yhdelle amerikkalaisvalmistajalle, niin miksi he eivät pystyisi tekemään sitä muille? Kuinka paljon takaovilla varustettua tietotekniikkaa on maailmalla? Tähän kysymykseen ei varmasti osaa vastata kukaan, mutta todennäköisesti sitä on paljon enemmän kuin nämä pari tapausta, josta olemme kuulleet. Jos tämä tapahtuu globaalia hankintaketjua hyödyntävälle amerikkalaiselle yritykselle heidän tietämättään, niin mitä voimme olettaa kiinalaisyrityksistä? SuperMicron palvelinemolevy on loppujen lopuksi triviaali laite, jossa on kourallinen komponentteja ja vähän ohjelmistoa. Ylimääräisten toimintojen piilottaminen sinne ei ole hirveän helppoa ja ylimääräisestä kommunikoinnista sisäverkosta ulospäin jää näkyviä jälkiä todennäköiseen verkon valvontajärjestelmään. Palvelinemolevyyn verrattuna 5G verkossa on paljon erilaisia verkkoelementtejä, joissa on yhteensä kymmeniä miljoonia rivejä ohjelmistoja ja verkon rajapinnoista julkiseen internettiin kulkee kymmeniä tuhansia yhtäaikaisia datayhteyksiä. Kuinka tällaisen kokonaisuuden integriteetti varmistetaan ja kuinka havaitaan, jos se ”soittaa kotiin”? On käytännössä mahdotonta varmistaa, että näin monimutkaisessa järjestelmässä ei olisi jonkinlaista takaovea tai muuta ylimääräistä reittiä ulkopuoliseen kontrolliin. Ja joka tapauksessa niissä jonkintasoinen yhteys valmistajalle ongelmien selvittelyä ym toimintaa varten. Tähän samaan ajatukseen on päätynyt myös suojelupoliisin päällikkö Antti Pelttari. Hän varoittaa voimakkaasti avaamasta yhteiskunnan toiminnan kannalta kriittiseen infraan paraatiovia potentiaalisesti vihamieliselle toimijalle. Artikkelissa mainituissa tapauksissa yhteisenä tekijänä on hankintaketjun hallinta. Varmistaaksesi tuotteesi turvallisuuden on sinun varmistettava, että henkilökuntasi, kaikki käyttämäsi rauta ja ohjelmistot ovat turvallisia. Samankaltaista teemaa käsiteltiin jo viime vuoden lopulla tapahtuneen SolarWinds yhtiön verkonhallintaohjelmiston Orionin päivityksen mukana tuhansiin yrityksiin levitetyn takaoven yhteydessä. Ja lopuksi vastaus blogikirjoituksen otsikkoon - Ei ole olemassa täydellistä tietoturvaa Jos vastapuolella on riittävästi aikaa ja ison valtiollisen toimijan resurssit, on erittäin todennäköistä, että he pääsevät järjestelmiisi ennemmin tai myöhemmin. Tästä on esimerkkejä puolin ja toisin. Edward Snowdenin paljastusten myötä tiedämme, että NSA ja CIA käyttävät vastaavia tekniikoita kuin Kiina ja muut suuret valtiot. Tämän tason toiminta on erittäin kallista ja hankalaa toteuttaa. Implantin järjestäminen palvelinemolevylle, oikealle asiakkaalle ja oikeaan konesaliin voi olla parin vuoden projekti, ehkä pidempikin, jos se edellyttää ensin omien työntekijöiden saamista valmistajan palkkalistoille. Yrityksellesi löytyvät pätevät tietoturvaratkaisut tavanomaisia hyökkääjiä vastaan NCC Groupin Managed Detection & Response palvelulla. Lähteet:
NCC Group PLC tarjoaa yrityksen tietoturvan ulkoistettuna palveluna joko kokonaan tai osittain asiakkaan tarpeen mukaan. Netect Oy edustaa NCC Groupin tietoturvatuotteita ja -ratkaisuja Suomessa. Lisätietoja: https://www.netect.fi/tietoturva.html Aikaisemmin mainittu FireEyehin kohdistunut murto on osoittautunut vain pieneksi osaksi globaalia kampanjaa  Tietoturvayhtiö FireEyehin kohdistuneet tietomurron yksityiskohdat ovat tarkentuneet. Yhtiöön murtauduttiin SolarWinds yhtiön Orion ohjelmiston kautta. Murtautujat olivat lisänneet Orioniin takaoven, jota FireEye kutsuu nimellä SUNBURST ja muutettu ohjelmisto jaeltiin asiakkaille normaalin päivityskanavan kautta. SolarWinds yhtiön Orion on isoissa organisaatioissa käytetty verkonhallintaohjelmisto. Yhdysvaltojen valtiollisista laitoksista sitä käyttävät muun muassa:
Solarwindsin yritys- / yhteisöasiakkaita ovat mm:  Edellä mainittujen lisäksi Orionia käyttää esimerkiksi Dominion software, jonka äänestysjärjestelmät olivat laajasti käytössä USA:n presidentinvaaleissa. FireEyen mukaan heidän toistaiseksi nimellä UNC2452 kutsumansa ryhmä on hyökännyt globaalisti valtiollisiin ja yksityisiin organisaatioihin. Lähdelistasta löytyvä linkki kuvaa SUNBURSTin toimintaa ja sisältää ohjeita sen havaitsemiseksi sekä torjumiseksi. Hyökkääjillä oli siis avoimet ovet satoihin organisaatioihin ja puoli vuotta aikaa toimia murretuissa järjestelmissä ennen kuin hyökkäys huomattiin. Heillä oli siis hyvin aikaa hakea haluamansa ja mahdollisuus esimerkiksi vaikuttaa USA:n presidentin vaalin tuloksiin näin halutessaan. On kuitenkin muistettava, että vaikka takaoven asentaminen saatiin automatisoitua, niin varsinainen kohdejärjestelmissä liikkuminen, tarvittavien käyttöoikeuksien hankkiminen ja tiedon etsintä on käytännössä käsityötä. Tämä rajoittaa rinnakkaista toimintaa, joten toistaiseksi voimme vain arvailla kuinka suuri on oikeasti varastetun tiedon määrä. Tämä saattaa hyvinkin olla maailman suurin tietomurto. Lähteet:
Mitä hyökkäyksen torjumiseksi olisi voitu tehdä? Orion ohjelmiston käyttäjät luottivat SolarWindsin turvajärjestelyihin ja siihen että heidän käyttämänsä ohjelma on turvallinen. Heidän näkökulmastaan Orionin takaovellisen version asentuminen oli järjestelmäpäivitys siinä missä muutkin, tätä siis ei ollut mahdollista torjua edes teoriassa. Järjestelmään pääsyn jälkeen murtautujat toimivat erittäin varovasti ja poistivat tekemänsä järjestelmämuutokset sekä työkalut käytön jälkeen. Heidän menetelmänsä kuitenkin jättivät jonkin verran jälkiä, jotka olisivat olleet havaittavissa, jos etukäteen olisi tiedetty mitä etsiä. Kampanja oli poikkeuksellinen, koska luotetun ohjelmistotoimittajan jakelutien hyödyntäminen antoi hyökkääjälle pääsyn satoihin kohteisiin kerralla. Tavallinen kohde kerrallaan etenevä tietomurtaja jää kiinni ennemmin tai myöhemmin ja hänen käyttämänsä menetelmien jäljet saadaan osaksi havainnointijärjestelmää, joten kampanjan jatkaminen samoilla menetelmillä vaikeutuu merkittävästi. FireEye listaa blogipäivityksessään murron aikana käytettyjä tekniikoita MITRE ATT&CK viitekehyksessä. Tarkkailemalla näitä tapahtumia tietojärjestelmässä olisi käynnissä oleva tietomurto saatettu havaita aikaisemmin:  https://attack.mitre.org/
NCC Group PLC tarjoaa yrityksen tietoturvan ulkoistettuna palveluna joko kokonaan tai osittain asiakkaan tarpeen mukaan. Netect Oy edustaa NCC Groupin tietoturvatuotteita ja -ratkaisuja Suomessa. Lisätietoja: https://www.netect.fi/tietoturva.html  Tietoturvayhtiö FireEye on ilmoittanut, että osaamiselta ja kyvyiltään valtiollisen toimijan tasoinen murtautuja on päässyt heidän järjestelmiinsä. Yhtiö julkaisi tiedotteen murrosta 8.12. Tiedotteessa FireEyen toimitusjohtaja Kevin Mandia kertoo, että murtautujat olivat räätälöineet huippuluokan murtautumistekniikoistaan erityisesti FireEyen järjestelmiä vastaan suunnatun hyökkäyksen. He toteuttivat murron pystyen kiertämään vastatoimet ja välttämään jälkien jättämisen järjestelmiin. Murtautujat käyttävät tietoturva-alalla aikaisemmin tuntematonta murtautumistekniikkojen yhdistelmää. Murtautujat onnistuivat saamaan yrityksen Red Teamien käyttämät ohjelmat. Näitä ohjelmia käytetään asiakkaan turvallisuuden analysointiin rikollisten toimintaa matkimalla, eli on siis mahdollista, että tulemme tulevaisuudessa näkemään tietomurtoja, joissa hyödynnetään FireEyeltä varastettuja ohjelmistoja. Tämän vuoksi FireEye onkin julkaissut kuvauksen vastatoimenpiteistä varastettujen ohjelmien varalta:
FBI ja FireEye tutkivat asiaa edelleen. Lähteet:
Ei ole olemassa täydellistä tietoturvaa. Jos murtautujilla on käytössään lähes rajattomat resurssit ja riittävästi aikaa, niin he todennäköisesti pääsevät päämääräänsä. Yleensä on kuitenkin mahdollista tehdä järjestelmästä riittävän turvallinen kaikkein todennäköisintä tunkeutujaa silmällä pitäen. Kannattaa siis aloittaa analysoimalla minkä tasoinen on todennäköinen hyökkääjä ja mitoittaa vastatoimet sen mukaan. Kyvyiltään valtiollisen tason toimijoita tai vastaavia ei ole paljon ja niiden kiinnostuksen kohteet ovat yleensä hyvin rajattuja.  Netect Oy edustaa NCC Groupin tietoturvaratkaisuja ja auttaa mielellään sopivan tasoisen tietoturvaratkaisun valinnassa.
Lisätietoja: https://www.netect.fi/tietoturva.html  Netect Oy aloittaa yhteistyön NCC Groupin kanssa palveluntarjonnan parantamiseksi
Netect Oy on aloittanut yhteistyön maailmanlaajuisen tietoturvan ja riskienhallinnan asiantuntijan NCC Groupin kanssa vahvistaakseen tietoturvatarjontaansa suomalaisille yrityksille. Vuonna 2019 perustettu Netect Oy tarjoaa ohjelmistokehitys- ja tietoturvapalveluja yrityksille kaikilla sektoreilla ja kaikilla toimialoilla. Yhdessä NCC Groupin kanssa Netect Oy pystyy nyt tarjoamaan suomalaisille organisaatioille maailmanlaajuisesti luotettuja tietoturvaratkaisuja ja -palveluita hyödyntäen samalla paikallisia tuki- ja hallintopalveluja. Netect Oy:n toimitusjohtaja Harry Hyttinen kommentoi kumppanuutta näin: "Tietoturvan ja sen vaalimisen tulisi kuulua jokaisen yrityksen perustoimintoihin Usein ei ole kovinkaan järkevää yrittää tehdä kaikkea itse, koska tietoturvan edes osittainen ulkoistaminen alan luotetuille asiantuntijoille on sekä kustannustehokasta että vapauttaa omat resurssit keskittymään omaan liiketoimintaan.” "Tavoitteenamme on yhdessä maailmanluokan tietoturva-asiantuntijayrityksen NCC Groupin kanssa tarjota suomalaisille yrityksille juuri heidän tarpeisiinsa ja budjettiinsa sopivat tietoturvaratkaisut, jotta viime aikojen kaltaisia tietomurtouutisia tulisi jatkossa mahdollisimman vähän." NCC Groupin Euroopan kaupallinen johtaja Jesper Sobol lisäsi: "Netect Oy:n intohimo tietoturvaa ja organisaatioiden auttamista tietomurtojen vastustuskyvyn saavuttamista kohtaan on selvästi nähtävissä. Meillä on ilo toivottaa yritys tervetulleeksi kumppaniksemme ja auttaa tiimiä toimittamaan ratkaisuja, jotka vahvistavat yritysten tietoturvaa eri puolilla Suomea." Tämä lehdistötiedote lähti tiedotusvälineille tänään. Koko tiedote on ladattavissa täältä (PDF, 93kt). NCC Group PLC tarjoaa yrityksen tietoturvan ulkoistettuna palveluna joko kokonaan tai osittain asiakkaan tarpeen mukaan. Netect Oy edustaa NCC Groupin tietoturvatuotteita ja -ratkaisuja Suomessa. Lisätietoja: https://www.netect.fi/tietoturva.html |
RSS Feed
