Teollisuusvakoilun torjunta

Yritysturvallisuus > Vakoilu

Teollisuusvakoilun torjunta edellyttää suunnitelmallisuutta. Vakoilun torjumiseksi ei ole olemassa mitään yksittäistä menetelmää tai ratkaisua (kontrollia). Esimerkiksi FBI:n mukaan ja palomuurit ja salasanat eivät riitä estämään teollisuusvakoilua.

Ensimmäinen askel tehokkaassa torjunnassa on tunnistaa ja arvioida riskit. Yrityksen tulee kartoittaa, mitkä tiedot ovat kriittisiä liikesalaisuuksia ja missä ne sijaitsevat. On arvioitava, ketkä työntekijöistä, alihankkijoista tai yhteistyökumppaneista pääsevät käsiksi arkaluontoiseen tietoon, ja missä määrin heidän toimintansa on valvottavissa.

Teollisuusvakoilun torjunta alkaa konkreettisilla suojauskeinoilla. Fyysisiä turvatoimia ovat mm. kulunvalvonta, valvontakamerat, lukitut arkistot ja tietoturvalliset tilat. Tekninen suojaus puolestaan kattaa esimerkiksi palomuurit, tiedon salaamisen, käyttäjätunnistuksen ja verkkoliikenteen valvonnan. Kybervakoilu on noussut keskeiseksi uhkaksi, ja siksi tietoturvallisuusratkaisujen ajantasaisuus ja testaus ovat kriittisiä.

Ihminen on usein turvallisuuden heikoin lenkki. Siksi henkilöstön koulutus on ensiarvoisen tärkeää. Työntekijöille on annettava selkeät ohjeet siitä, mitä tietoa saa jakaa ja kenelle, miten liikesalaisuuksia käsitellään, ja miten mahdolliset epäilyttävät tilanteet tulee raportoida. Lisäksi salassapitosopimukset ja kilpailukieltosopimukset voivat toimia ennaltaehkäisevänä suojana luottamuksellisten tietojen vuotamista vastaan.

Yrityksillä on oltava valmius reagoida nopeasti, jos epäillään teollisuusvakoilua. Tämä tarkoittaa muun muassa sisäisen tutkinnan aloittamista, tietovuotojen selvittämistä sekä tarvittaessa oikeudellisten toimien käynnistämistä. Ennalta laaditut toimintasuunnitelmat ja vastuuhenkilöt nopeuttavat ja tehostavat kriisitilanteen hallintaa.

Teollisuusvakoilua torjutaan myös lainsäädännön keinoin. Suomessa liikesalaisuuksien suojaa säädellään mm. liikesalaisuuslaissa ja rikoslaissa. Yrityksen on tärkeää olla tietoinen siitä, miten se voi suojautua oikeusteitse ja millaisia rangaistuksia vakoilusta voi seurata. Myös kansainväliset sopimukset ja EU-lainsäädäntö tarjoavat välineitä teollisuusvakoilun torjumiseksi rajat ylittävissä tapauksissa.

Torjunta ei ole vain yksittäisen yrityksen tehtävä, vaan vaatii myös yhteistyötä viranomaisten, alan toimijoiden ja turvallisuusalan asiantuntijoiden välillä. Tiedonvaihto uhkista, parhaista käytännöistä ja uusista teknologisista ratkaisuista vahvistaa koko elinkeinoelämän valmiutta estää vakoilua.

Tehtävälista

Riskien kartoitus ja arviointi

Tee inventaario kaikista liikesalaisuuksista ja luottamuksellisista tiedoista.
Tunnista tärkeimmät prosessit ja tiedostot, jotka ovat alttiita vakoilulle.
Arvioi ketkä henkilöt ja sidosryhmät pääsevät käsiksi arkaluonteiseen tietoon.
Tee riskianalyysi, missä on suurimmat vuodot tai heikot kohdat?
Huomioi riskianalyysissä droonitiedustelun mahdollisuus.
Laadi vierailijakäytännöt, jotka sulkevat pois vakoilun mahdollisuuden.

Fyysinen turvallisuus

Varmista kulunvalvonta (kortit, avainhallinta, vierailijakäytännöt).
Asenna valvontakamerat kriittisiin alueisiin.
Käytä lukittuja kaappeja ja arkistoja salaisille dokumenteille.
Rajaa pääsy tuotantotiloihin vain niille, joilla on siihen tarve.

Tietoturva ja kyberturvallisuus

Käytä vahvoja salasanoja ja kaksivaiheista tunnistautumista.
Salaa luottamuksellinen data ja varmuuskopiot.
Päivitä tietoturvaohjelmistot ja palomuurit säännöllisesti.
Varmista, että USB-portit ja siirrettävät muistilaitteet ovat hallinnassa.
Toteuta lokitietojen seuranta (kuka pääsee tietoihin ja milloin).

Henkilöstön koulutus ja ohjeistus

Järjestä säännöllisiä koulutuksia salassapidosta ja vakoilun riskeistä.
Laadi selkeät ohjeet luottamuksellisen tiedon käsittelystä.
Sopimuksiin mukaan salassapito- ja kilpailukieltolausekkeet.
Korosta ilmoitusvelvollisuutta epäilyttävistä havainnoista.

Toimittaja- ja alihankintaketjun hallinta

Tarkasta kumppanien turvallisuuskäytännöt ennen sopimuksia.
Sisällytä salassapitosopimus alihankintasopimuksiin.
Varmista tiedon jakaminen vain “tarpeen mukaan” -periaatteella.
Auditoinnit ja tietoturvatarkastukset kriittisille toimittajille.

Valvonta ja seuranta

Seuraa käyttäjien pääsyoikeuksia ja käyttöä järjestelmissä.
Monitoroi sisäverkkoa epätavallisen tiedonsiirron varalta.
Toteuta säännöllisiä sisäisiä tarkastuksia ja auditointeja.
Pidä yllä hälytysjärjestelmiä fyysisille ja digitaalisille murroille.

Reagointi- ja kriisinhallintasuunnitelma

Laadi toimintasuunnitelma epäillyn vakoilutapauksen varalle.
Määrittele vastuuhenkilöt ja yhteyshenkilöt.
Sisällytä todisteiden keräys ja säilytys (oikeudellisia toimia varten).
Harjoittele suunnitelman toteutusta säännöllisesti.

Johtamisen ja hallinnon sitouttaminen

Nimeä tietoturvavastaava / turvallisuuspäällikkö.
Sisällytä turvallisuusstrategia yrityksen johtamiseen.
Budjetoi riittävästi turvallisuustoimiin.
Raportoi turvallisuusasioista johdolle ja hallitukselle säännöllisesti.

Lainsäädännön ja vaatimusten noudattaminen

Selvitä kansallinen ja kansainvälinen liikesalaisuuslainsäädäntö.
Varmista GDPR:n, liikesalaisuuslain ja muiden säädösten noudattaminen.
Käytä tarvittaessa lakimies- tai asiantuntija-apua sopimuksissa ja riitatilanteissa.

Tehokkaista kontrolleista huolimatta liikesalaisuuksien suojaamisessa ei voida saavuttaa täydellistä varmuutta salaisuuksien säilymisestä, koska riittävän isolla "vasaralla" voidaan rikkoa mitkä tahansa turvallisuuskontrollit.

Olennaista on toteuttaa liikesalaisuuksien turvaamisen kannalta kustannustehokkaat (panos/tuotos) kontrollit, jotta tavoitteeksi asetettu liiketaloudellinen tulos ei tältä osin vaarannu. Teollisuusvakoilun torjuntasuunnitelman laadinnassa huomioitavia seikkoja ovat mm.

yrityssalaisuuksien tunnistaminen
yrityssalaisuuksia käsittelevien prosessien ja niihin osallistuvien henkilöiden tunnistaminen
yrityssalaisuuden suojaa uhkaavien potentiaalisten toimijoiden tunnistaminen
kontrollien valinta
kontrollien sisällyttäminen yrityksen riskienhallintasuunnitelmaan
kontrollien ulottaminen kaikille liiketoiminnan osa-alueille, joissa liikesalaisuuksia käsitellään.