Directo infoturbejuht Toomas Oper: “Ole IT-vaatlik!”
Directo infoturbejuht
27. jaanuaril 2026 korraldasime veebiseminari, mis rääkis küberturvalisusest ja küberkindlustusest. Veebinaril osalejad esitasid meile mitmeid sisukaid küsimusi, millele andis vastused Directo infoturbejuht Toomas Oper. Siin toome Sinuni kõik Directot puudutanud küsimused ja vastused.
Küsimused ja vastused:
Toomas Oper:
Kuna digitaalselt allkirjastatud dokumenti on raske võltsida, siis oleks üks võimalus see, et IBANi muutmine oleks allkirjastamist nõudev tegevus (teine osapool peab digiallkirjastama lepingu). Allkirja tuleb kontrollida sertifitseeritud teenusepakkuja juures.
1-sendine/eurone ülekanne ei välista otseselt pettust. Alates aastast 2025 on kehtiv EU nõue Verification of Payee (VoP), kus kontrollitakse saaja nime ja IBANi kokkulangevust. Kindlasti tuleb kontrollida, et teil oleks pangas see teenus peal ning pank ei teeks ülekannet, kui saaja nimi ja IBAN kokku ei lange.
Veel turvalahendusi:
– Open Banking / PSD2 põhised kontrollteenused – KYC
– panga kinnituskiri/sertifikaat – eIDAS kvalifitseeritud sertifikaat/allkiri, mida kontrollida
– rahvusvahelised registrid (EU business register jms)
– e-arve ntx PEPPOL jne
– hankija digiallkirjastatud PDF – eIDAS kvalifitseeritud sertifikaat/allkiri, mida kontrollida
– finantsosakond helistab ametlikule numbrile, mitte arvel olevale
– soovitatavalt kombineeritud meetodid
Toomas Oper:
Need on kaks väga erinevat teemat ning lahendused on erinevad. Tarneahela rünnaku eest kaitsmiseks on väga oluline saada aru tarnija riskitasemest, teostada pidevalt tarnija DueDiligennce kontrolle ning kehtestada tarnijale infoturbe nõuded. Lisaks minimeerida õigusi ja ligipääse – võimalusel teha hankijale ka nn micro segmente.
Tippjuhi petuskeem: tüüpiliselt on ettevõtted juurutanud kõrgendatud riskiga tegevuste juures nn 4 silma reegli ning kokku on lepitud tegevused ja küsimused, mida mitte kunagi ei tehta e-kirja või Teamsi vahendusel, vaid alati otse silmast silma. Kui selliseid reegleid ei ole paika pandud, siis soovitame sellega kohe tegelema hakata.
Directos on arvete jm dokumentidega turvaliseks tegelemiseks väga hästi sobiv Menetluse kasutamine, kus kõik arved peavad läbima 8mitmetasandilise) menetluse protsessi vastavalt ettevõttes kehtestatud reeglitele.
Toomas Oper:
API liidestamisel peab pöörama tähelepanu mitmetele asjadele:
1. Autentimise ja saladuste haldus (kõige kriitilisem) – ära hardcode’i api võtit, vaheta võti koheselt, kui on kahtlus, et see on lekkinud. Kasuta IP piirangut.
2. Kontrolli sertifikaati, mida server esitab, et vältida man-in-the-middle rünnakuid. Man-in-the-Middle on rünnak, kus kurjategija sekkub salaja kahe süsteemi vahelisse suhtlusse, et andmeid pealt kuulata või neid omavoliliselt muuta.
3. Vastupidavus ja tõrketaluvus (inglise keeles Resilience) – kasuta lühikesi timeoute, ehita üles retry loogika – näiteks Exponential Backoff meetod (oota 1 sek, siis 2 sek, siis 4 sek jne). Kui saad ikka vea, siis peata protsess teatud ajaks automaatselt, et server saaks taastuda.
4. Valideeri sisendit ja väljundit ning väldi oma baasi koguinfo salvestamist, salvesta ainult seda, mis on tegelikult vajalik.
5. Ära kirjuta logisse tundlikku infot nagu API võti!
Toomas Oper:
Eestis on palju teenusepakkujaid, kes on antud valdkonnas väga pädevad. Tasub küsida testijate käest vajalikud referentsid ja koostada testi skoop, et saada võrreldavad pakkumised.
Toomas Oper:
Kindlasti tuleb kasutada paroolihalduse tarkvara. Tarkvarasid on palju ning tuleks uurida funktsionaalsusi, mida vajate, kas on olnud infoturbe intsidente ning milliseid. Brauserite sisse ehitatud vaikimisi seadistustes paroolihaldurid ei ole piisavad ning pahalastel on võimalik sealt parooli ikkagi varastada. Tasub rõhutada, et paroolihaldur üksi on haavatav, kui sellel pole tugevat 2FA-d (nt riistvaraline võti nagu YubiKey).
Toomas Oper:
E-kirjasid on võimalik nn kaaperdada ning lisada sinna pahatahtlik info. Digiallkirjastatud lepingute puhul tuleb dokumendil alati üle kontrollida allkirja õigsus.
Toomas Oper:
Directo kasutab mitmekihilist küberkaitset ning teeb pidevalt ja regulaarselt teste, et avastada turvaauke, ning jälgib küberturbes toimuvaid arenguid ning tegutseb vastavalt muutustele. AI’d saab kasutada nii küberründes aga õnneks ka küberkaitses. AI rünnakud põhinevad samadel põhimõtetel kui inimese tehtud, seetõttu on kaitse ka sarnane. AI võltsingud on aga väga head ning deepfake Teams kõned on täna reaalsus. Selleks on aga õnneks juba infoturbe teenuste pakkujatel lahendused olemas. Kuid parim kaitse on siiski sisemine kord, näiteks “me ei tee kunagi ülekandeid videokõne peale ilma täiendava kinnituseta teises kanalis”.
Toomas Oper:
Verifitseeri uued hankijad ametlikult panga kinnituskirja ja videokõne abil, et välistada meilivahetuse kaaperdamine ja kinnitada konto kuuluvus. Aasia turu puhul on kriitiline ka ettevõtte kehtivuse kontrollimine kohalikus äriregistris. Kui hankija teatab meili teel pangakonto muutusest, siis eira seda meili ja helista neile varem kokkulepitud (mitte uues meilis olevale) numbrile üle. Pangakontosid muudetakse harva – pettusi tehakse aga iga päev. Vaata ka kõige esimese küsimuse vastust.
Toomas Oper:
E-arved on PDF’dest tunduvalt turvalisemad, kuna need liiguvad manipuleerimiskindlalt süsteemist süsteemi, vältides ebaturvalist e-posti teel saatmist. Pettuse risk on nendega minimaalne ja eeldab tavaliselt hankija enda majandustarkvara otsest kompromiteerimist, mitte lihtsalt dokumendi võltsimist.
Toomas Oper:
Jah, Directo toetab kahefaktorilist autentimist: Smart-ID, ID kaart ja mobiilID.
Veebiseminari saad järelvaadata siin.
◆