Pienyrityksen verkkosivut kaatuvat harvoin näyttävästi. Yleisempi tilanne on paljon arkisempi: yhteydenottolomake alkaa lähettää roskapostia, sivuille ilmestyy outoja linkkejä tai Google varoittaa kävijää mahdollisesta haitasta. Siinä kohtaa yrityksen verkkosivujen tietoturva ei ole enää tekninen yksityiskohta vaan suoraan myyntiin, maineeseen ja asiakassuhteisiin vaikuttava asia.
Moni yrittäjä ajattelee, ettei oma yritys ole hakkeroinnin kohde. Ajatus on ymmärrettävä, mutta käytännössä hyökkäykset eivät useimmiten kohdistu juuri sinun yritykseesi vaan suojaamattomiin sivustoihin yleensä. Automaattiset bottiverkot etsivät vanhentuneita lisäosia, heikkoja salasanoja ja huonosti ylläpidettyjä WordPress-asennuksia. Siksi pieni paikallinen yritys voi olla aivan yhtä altis ongelmille kuin isompikin toimija.
Miksi yrityksen verkkosivujen tietoturva on liiketoiminta-asia
Tietoturvasta puhutaan usein liian teknisesti. Pienyrittäjän näkökulmasta oleellisempi kysymys on tämä: mitä tapahtuu, jos sivusto ei toimi tai siihen ei voi luottaa?
Ensimmäinen seuraus on usein menetetty yhteydenotto. Jos lomake ei toimi, sähköpostit eivät tule perille tai sivusto on alhaalla juuri silloin kun asiakas etsii palvelua, kauppa voi mennä kilpailijalle saman tien. Toinen seuraus on luottamuksen mureneminen. Jos sivulla näkyy selainvaroitus, epäilyttävä ponnahdusikkuna tai rikkinäinen sisältö, asiakas ei jää selvittelemään tilannetta.
Kolmas vaikutus liittyy näkyvyyteen. Hakukoneet eivät katso hyvällä haitallista tai hakkeroitua sisältöä. Jos sivustolle päätyy roskapostisivuja tai haittakoodia, seurauksena voi olla sijoitusten lasku tai pahimmillaan varoitus hakutuloksissa. Tietoturva ei siis ole erillinen tekninen lisäpalikka, vaan osa sitä samaa kokonaisuutta, jolla verkkosivut tuovat yhteydenottoja ja myyntiä.
Yleisimmät riskit pienyrityksen sivustolla
Useimmat ongelmat eivät johdu yhdestä suuresta virheestä vaan usean pienen asian yhdistelmästä. WordPress itsessään on hyvä ja laajasti käytetty alusta, mutta juuri siksi sen ympärille rakennettu ylläpito ratkaisee paljon.
Vanhentuneet lisäosat ja teemat
Yksi tavallisimmista reiteistä ongelmiin on päivittämätön lisäosa. Sivustolla voi olla vuosia sitten asennettu lomake, kuvagalleria tai varauskalenteri, jota ei enää ylläpidetä kunnolla. Jos lisäosassa löytyy haavoittuvuus eikä sitä päivitetä, botti löytää sen nopeasti.
Tämä on myös hyvä esimerkki siitä, miksi verkkosivujen halpa kertatoimitus voi tulla myöhemmin kalliiksi. Sivusto voidaan kyllä rakentaa edullisesti, mutta jos jatkuva ylläpito jää yrittäjän omalle vastuulle, turvallisuus riippuu helposti siitä, ehtiikö joku muistaa päivitykset oikeaan aikaan.
Heikot salasanat ja puutteellinen käyttäjähallinta
Toinen tavallinen ongelma on liian yksinkertainen kirjautuminen. Jos sivustolla käytetään heikkoa salasanaa tai samaa salasanaa useassa palvelussa, riski kasvaa nopeasti. Lisäksi monella sivustolla on vanhoja käyttäjätunnuksia, joita ei enää tarvita mutta joita ei ole poistettu.
Tietoturvassa ei ole kyse vain siitä, pääseekö joku sisään. Kyse on myös siitä, kenellä oikeasti pitää olla pääsy sivustolle ja millä oikeuksilla. Kaikille ei tarvitse antaa ylläpitäjän tunnuksia.
Heikko hosting ja puuttuvat varmuuskopiot
Kaikki palvelintilat eivät ole samanlaisia. Jos hosting-ympäristö on hidas, huonosti valvottu tai varmuuskopiointi on epäselvä, pienestäkin ongelmasta voi tulla iso. Varmuuskopio on vähän kuin yrityksen vakuutus: sen arvo huomataan vasta silloin, kun sitä tarvitaan.
Tässäkin on kuitenkin nyanssi. Pelkkä varmuuskopio ei riitä, jos kukaan ei seuraa, toimiiko palautus käytännössä. On eri asia sanoa, että kopiot otetaan, kuin tietää, että sivusto saadaan oikeasti takaisin nopeasti.
Mitä hyvä tietoturva käytännössä tarkoittaa
Yrityksen verkkosivujen tietoturva ei tarkoita sitä, että sivustosta tehdään monimutkainen tai vaikeasti hallittava. Hyvä toteutus on yleensä käyttäjälle näkymätön. Sivut toimivat normaalisti, mutta taustalla perusasiat on hoidettu kunnolla.
SSL ja suojattu yhteys ovat lähtötaso
Jos verkkosivun osoite ei käytä suojattua yhteyttä, asia pitää korjata heti. SSL-sertifikaatti on nykyisin perusvaatimus, ei lisäominaisuus. Se suojaa sivuston ja käyttäjän välistä liikennettä ja vaikuttaa myös luotettavuuden kokemukseen.
Asiakkaalle tämä näkyy yksinkertaisesti niin, että selain ei varoittele. Samalla esimerkiksi yhteydenottolomakkeella lähetetyt tiedot liikkuvat turvallisemmin.
Päivitykset kuuluvat ylläpitoon, eivät muistilistalle
WordPress-ydin, lisäosat, teemat ja palvelinympäristö tarvitsevat säännöllistä ylläpitoa. Olennaista ei ole vain päivitysten määrä vaan tapa, jolla ne tehdään. Jos päivityksiä tehdään huolimattomasti, jokin toiminto voi rikkoutua. Jos niitä ei tehdä lainkaan, riski kasvaa ajan myötä.
Siksi järkevässä mallissa ylläpito ei ole yrittäjän oma sivutyö, vaan osa jatkuvaa palvelua. Kun joku seuraa sivustoa aktiivisesti, reagointi on nopeampaa eikä ongelmia huomata vasta asiakkaan ilmoituksesta.
Rajatut lisäosat ovat usein turvallisempi valinta
Moni sivusto paisuu vuosien aikana. Sinne asennetaan vähän kaikkea, koska jokainen lisäosa ratkaisee yhden pienen tarpeen. Lopputulos voi olla hidas, vaikeasti ylläpidettävä ja turhaan altis ongelmille.
Turvallisempi ratkaisu on käyttää vain tarpeellisia, luotettavia ja hyvin ylläpidettyjä lisäosia. Kaikkea ei kannata rakentaa lisäosilla vain siksi, että niin voi tehdä. Mitä vähemmän turhaa tavaraa sivustolla on, sitä helpompi sitä on pitää kunnossa.
Miten pienyrittäjä tunnistaa riskit ajoissa
Tietoturvaongelma ei aina ilmoita itsestään selvästi. Siksi kannattaa seurata muutamaa käytännön merkkiä. Jos sivusto hidastuu yllättäen, hallintapaneeliin kirjautuminen muuttuu oudoksi, lomakkeista alkaa tulla tavallista enemmän roskaa tai sivuille ilmestyy sisältöä, jota et ole itse lisännyt, jotain voi olla vialla.
Myös hakutuloksissa näkyvät oudot sivuotsikot, vieraat kieliversiot tai epäilyttävät tuotesivut ovat hälytysmerkkejä. Hakkeroitu sivusto ei aina mene kokonaan nurin. Joskus se näyttää päällisin puolin normaalilta, mutta taustalle on lisätty roskasisältöä hakukoneita varten.
Tästä syystä säännöllinen seuranta on tärkeä osa kokonaisuutta. Mitä aiemmin poikkeama huomataan, sitä pienemmällä työllä siitä yleensä selvitään.
Kannattaako tietoturva hoitaa itse vai palveluna?
Vastaus riippuu resursseista. Jos yrityksessä on oma tekninen osaaja, tietoturvaa voidaan hoitaa myös sisäisesti. Useimmilla pienyrityksillä tilanne on kuitenkin toinen. Verkkosivut ovat tärkeät, mutta niiden ylläpito ei ole ydinliiketoimintaa.
Silloin ulkoistettu malli on usein käytännöllisin. Etu ei ole vain siinä, että joku päivittää sivustoa puolestasi. Tärkeämpää on vastuun selkeys. Kun sama taho vastaa toteutuksesta, hostingista, ylläpidosta ja tuesta, ongelmatilanteessa ei tarvitse arvailla, kenen vuoro on toimia.
Tämä on juuri se kohta, jossa moni pienyritys säästää aikaa ja hermoja. Kun kokonaisuus on rakennettu valmiiksi niin, että tietoturva kuuluu jatkuvaan ylläpitoon, yrittäjän ei tarvitse opetella jokaista teknistä yksityiskohtaa itse.
Mitä kannattaa kysyä ennen kuin verkkosivut tilaa
Jos verkkosivuprojekti on ajankohtainen, tietoturvasta kannattaa kysyä ennen ostopäätöstä eikä vasta myöhemmin. Oleellisia kysymyksiä ovat esimerkiksi se, kuuluuko ylläpito hintaan, miten päivitykset hoidetaan, otetaanko varmuuskopioita säännöllisesti ja mitä tapahtuu, jos sivustolla ilmenee ongelma.
Kannattaa kysyä myös, kuka vastaa hostingista, kuinka nopeasti tukea saa ja jääkö sivusto lopulta yrityksen omistukseen. Nämä eivät ole pelkkiä sopimusteknisiä yksityiskohtia, vaan ne kertovat, kuinka huoleton ratkaisu oikeasti on.
Kotisivut Pienyritykselle -tyyppisessä palvelumallissa etu on juuri siinä, että kokonaisuus on valmiiksi mietitty pienyrittäjän arkeen sopivaksi. Kun suunnittelu, tekninen toteutus, hosting ja jatkuva ylläpito tulevat samasta paikasta, tietoturva ei jää irralliseksi lisäpalveluksi.
Yrityksen verkkosivujen tietoturva on ennen kaikkea jatkuvaa työtä
Yksi yleinen harhaluulo on se, että tietoturva tehdään kerran valmiiksi. Todellisuudessa turvallinen sivusto on aina ajan tasalla pidetty sivusto. Uusia haavoittuvuuksia löytyy, ohjelmistot muuttuvat ja myös yrityksen omat tarpeet elävät.
Siksi paras ratkaisu ei yleensä ole näyttävin tai teknisesti hienoin, vaan sellainen, joka pysyy kunnossa arjessa. Pienyritykselle tämä tarkoittaa useimmiten selkeää palvelumallia, ennakoitavia kustannuksia ja sitä, että joku oikeasti vastaa sivuston toimivuudesta myös julkaisun jälkeen.
Kun verkkosivut ovat kunnossa, yrittäjä voi käyttää aikansa siihen, mistä liikevaihto syntyy. Se on usein paras mahdollinen tietoturvapäätös.
