Mitä TCS kertoo tapahtuneen ja minkä se kiistää

Tata Consultancy Services (TCS) kertoi pörssille maanantaina saaneensa uhkatiedusteluhälytyksiä, jotka viittasivat tiettyjen työntekijätietojen mahdolliseen paljastumiseen. Yhtiö kertoi käynnistäneensä tämän vuoksi sisäisen tutkinnan, eikä tutkinnassa löytynyt uskottavaa näyttöä tietomurrosta, joka olisi vaikuttanut sen omiin järjestelmiin tai asiakasympäristöihin.

Kyseessä on huomattavan kapea kiistämisen muoto. TCS ei väitä, etteikö mitään olisi tapahtunut lainkaan; se sanoo, etteivät saadut hälytykset johtaneet vahvistettuun luvattomaan pääsyyn sen infrastruktuuriin tai asiakastietoihin. TCS:n kokoiselle yritykselle, jolla on satoja tuhansia työntekijöitä ja sopimuksia pankki-, vähittäiskauppa- ja julkishallinnon asiakkaiden kanssa ympäri maailman, tällä erottelulla on merkitystä. TCS:n tietovuotoväitteet keskittyvät yhtiön oman lausunnon mukaan työntekijöihin liittyviin tietoihin, eivät asiakasjärjestelmiin.

Miten uhkatiedusteluhälytykset eroavat vahvistetuista tietomurroista

On syytä ymmärtää, mikä ”uhkatiedusteluhälytys” oikeastaan on, sillä se poikkeaa vahvistetusta tietomurtoilmoituksesta. Nämä hälytykset tulevat tyypillisesti kolmannen osapuolen tietoturvayrityksiltä, pimeän verkon seurantapalveluilta tai tutkijoilta, jotka havaitsevat dataotoksia, foorumikirjoituksia tai kiristysvaatimuksia, joissa yritys mainitaan nimeltä. Hälytys itsessään on merkki siitä, että jotain väitetään tai tarjotaan, ei todiste siitä, että yrityksen verkko olisi tosiasiassa vaarantunut.

Yritykset saavat tällaisia hälytyksiä rutiininomaisesti, ja niiden täytyy arvioida tilanne: onko data aitoa, onko se tuoretta, vastaako se todellisiin työntekijätietoihin ja onko se peräisin yrityksen omista järjestelmistä vai jostain aivan muualta (kolmannelta osapuolelta, kierrätetystä ja uudelleennimetystä vanhasta vuodosta vai täysin ulkopuolisesta lähteestä)? TCS:n toteamus, ettei se löytänyt ”uskottavaa näyttöä”, viittaa siihen, että tutkinnan perusteella väitetty data ei pitänyt paikkaansa, ei ollut ajankohtaista tai ei ollut peräisin sen omasta ympäristöstä. Tämä johtopäätös kuitenkin perustuu TCS:n sisäiseen selvitykseen, eikä ulkopuolisilla tahoilla yleensä ole mahdollisuutta varmentaa sitä riippumattomasti, ennen kuin uusia yksityiskohtia mahdollisesti tulee julki.

Miksi kiristysryhmät kohdistavat iskunsa suuriin IT-palveluntarjoajiin

Suuret IT-palveluyritykset ovat houkuttelevia kohteita juuri kokonsa ja laajojen asiakassuhteidensa vuoksi. Yksittäinen toimittaja, kuten TCS, on kymmenien suurten yritysten järjestelmien risteyskohdassa, mikä tekee jokaisesta tietomurtoväitteestä – olipa se totta tai liioiteltu – arvokasta kiristysryhmille. Jopa vahvistamaton väite voi tuottaa otsikoita, painaa yrityksen osakekurssia ja luoda epäilyksiä asiakkaiden keskuudessa heidän omien dataputkiensa turvallisuudesta.

Tämä dynamiikka ei koske vain TCS:ää. Suuria organisaatioita koskevat tietovuotoväitteet noudattavat usein tuttua kaavaa: uhkatoimija tai pimeän verkon listaus nostaa esiin väitteen, organisaatio tutkii asiaa, ja yleisö jää odottamaan ratkaisua, jota ei aina koskaan tule täysin. Intian puolustustutkimus- ja kehitysorganisaatio kohtasi samankaltaisen tilanteen, kun raportit kertoivat, että arkaluonteista dataa tarjottiin myyntiin pimeässä verkossa. Väitteen todentaminen vei aikaa, ja tapaus laajeni entisestään, kun 31 gigatavua väitettyjä puolustustiedostoja listattiin julkisesti. Molemmat tapaukset havainnollistavat, miten väitteet ja vahvistukset voivat edetä täysin eri aikatauluilla ja miksi pelkästään yrityksen alkuperäiseen lausuntoon luottaminen ilman jatkoseurantaa voi jättää todelliset kysymykset auki.

Mitä TCS:n työntekijöiden ja asiakasyritysten tulisi tarkistaa nyt

TCS:n nykyisten ja entisten työntekijöiden kannattaa suhtautua yrityksen ilmoitukseen ”ei uskottavaa näyttöä tietomurrosta” rauhoittavana, mutta ei henkilökohtaisen valppauden korvikkeena. Kannattaa tarkistaa, esiintyvätkö työsähköpostiosoite tai henkilökohtaiset tunnistetiedot julkisesti indeksoiduissa vuototietokannoissa, seurata työpaikkaan liittyvien tilien epätavallisia kirjautumisyrityksiä ja varoa kalasteluviestejä, joissa mainitaan työnantaja nimeltä, sillä vuodettuja tai väitetysti vuodettuja työntekijätietoja käytetään usein tekemään huijaussähköposteista vakuuttavamman näköisiä.

TCS:ää IT-palveluissa käyttävien asiakasyritysten tulisi pyytää toimittajariskien hallintatiimeiltään tarkkoja tietoja: mitä tietoja väitetysti paljastui, kuinka vanhaa data on ja millaista seurantaa on käytössä jatkossa. ”Ei todisteita tietomurrosta asiakasympäristöissä” on hyödyllinen lähtökohta, mutta yritysasiakkailla on yleensä sopimuksellinen oikeus pyytää tarkempia tietoja, ja tämän oikeuden käyttäminen on perusteltua ottaen huomioon, kuinka paljon operatiivista ja taloudellista dataa kulkee suurten IT-toimittajien kautta.

Mitä tämä tarkoittaa sinulle

Olitpa sitten työntekijä tai asiakas, turvallisin tapa suhtautua TCS:n tietovuotoväitteisiin on pitää yrityksen lausuntoa yhtenä tietopisteenä, ei lopullisena sanana. Uhkatiedusteluhälytykset voivat olla virheellisiä, vanhentuneita tai perustua kierrätettyyn dataan, mutta ne voivat olla myös varhaisia varoituksia jostain vakavammasta, jonka vahvistaminen vie viikkoja. Passiivinen päivitysten odottelu ei ole strategia; oman altistumisen itsenäinen tarkistaminen on.

Käytännön toimenpiteet

  • Etsi työ- ja henkilökohtaiset sähköpostiosoitteesi luotettavista vuodonvalvontatyökaluista nähdäksesi, esiintyvätkö ne tunnetuissa tietovuodoissa.
  • Ota monivaiheinen todennus käyttöön kaikilla työhön liittyvillä tileillä, mikäli et ole jo tehnyt niin.
  • Suhtaudu erityisen varovasti sähköposteihin tai puheluihin, joissa viitataan työnantajaasi, varsinkin jos niissä pyydetään vahvistamaan tunnistetietoja tai napsauttamaan linkkejä.
  • Jos työskentelet yrityksessä, jolla on sopimus TCS:n kanssa, kysy turvallisuus- tai hankintatiimiltäsi, mitä konkreettisia vakuutuksia toimittaja on antanut julkisen lausunnon lisäksi.
  • Seuraa jatkoraportointia, sillä suurten toimittajien alkuperäiset ”ei todisteita tietomurrosta” -lausunnot eivät aina tarkoita tarinan päättymistä.