Tilitoimiston tietoturva on myös sinun tietoturvaasi

Tilitoimisto käsittelee yrityksesi kirjanpidon, palkat ja henkilötiedot. Saimme hiljattain päätökseen laajan tietoturva-auditoinnin ja otamme tietoturvakumppanin mukaan säännöllisiin tarkastuksiin. Kerromme tässä artikkelissa, miten tietoturva on Viviassa hoidettu, kuka näkee yrityksesi tiedot ja mitä sinä voit yrittäjänä tehdä oman tietoturvasi eteen.

Miksi tietoturva on tilitoimistossa eri asia kuin muualla?

Tilitoimistoon kertyy poikkeuksellisen tiivis paketti yrityksen tietoa. Kirjanpito kertoo, mistä raha tulee ja mihin se menee. Palkanlaskennassa ja HR-asioissa käsitellään henkilötietoja. Reskontrassa ovat asiakas- ja toimittajatiedot, taloyhtiöissä osakasluettelot. Lisäksi rahanpesulaki velvoittaa meitä keräämään ja säilyttämään tuntemistiedot, eli tiedon yrityksen tosiasiallisista edunsaajista. Kirjoitimme siitä aiemmin oman artikkelinsa. Yksikään näistä ei ole tietoa, jonka haluaisi päätyvän väärään paikkaan.

Teimme laajan tietoturva-auditoinnin

Saimme hiljattain päätökseen laajan tietoturva-auditoinnin. Siinä käytiin läpi laitehallinta, tietoliikenneyhteydet ja käyttäjähallinta, ja tunnistettiin ne kohdat joissa riski on suurin sekä toimenpiteet joilla ne hoidetaan. Otamme mukaan tietoturvakumppanin, jonka kanssa tarkastukset tehdään jatkossa säännöllisesti. Tietoturva ei ole meille kertaluontoinen projekti vaan taso, jota nostetaan askel kerrallaan.  

Suurin tietoturvariski ei ole ohjelmisto

Yleisin uhka arjessamme on tietojenkalastelu, ja yrityksiä tulee todella paljon. Sähköpostin suodatus pysäyttää suurimman osan ennen kuin ne näkyvät kenellekään, ja siihen on panostettu. Suurin yksittäinen riski on silti käyttäjä. Työtä tehdään monessa paikassa, joten henkilöstön koulutus ja tiedottaminen on jatkuvaa, ei kerran vuodessa pidettävä tilaisuus.

Näin tietoturva on hoidettu Viviassa

• Sähköpostin suodatus. Kalasteluviestit pysäytetään ennen kuin ne saapuvat perille.
• Kaksivaiheinen tunnistautuminen kaikkialla. Ulkopuolinen ei pääse järjestelmiin, vaikka tunnus vuotaisi.
• Rajatut käyttöoikeudet. Kaikki eivät pääse kaikkiin tietoihin, vaan vain niihin joita työ edellyttää.
• Ajantasaiset laitteet ja päivitykset. Laitehallinta ja päivitykset pidetään kunnossa.
• Säännöllinen varmuuskopiointi. Jos järjestelmään tulee katkos, aineisto on palautettavissa.
• Vain tunnetut ohjelmistotoimittajat. Teemme yhteistyötä toimittajien kanssa, joilla tietoturva-asiat ovat kunnossa.
• Fyysinen turvallisuus. Toimitiloissa on kulunvalvonta, ja paperinen mappiaineisto on suojattu.

Kuka näkee yrityksesi tiedot?

Kirjanpidon tietoihin pääsee vain kirjanpitäjäsi ja palkanlaskennan tietoihin vain palkanlaskija. Kaikki eivät näe kaikkea. Haluamme rajoittaa asiakastiedon vain niiden henkilöiden tai henkilöryhmien käyttöön, joille se on palvelun tuottamisen vuoksi olennaista. Pyrimme myös välttämään lähipiiriasiakkuuksia.

Miten aineisto kannattaa toimittaa?

Sähköisten asiakkuuksien määrä on lisääntynyt valtavasti, ja jonkin verran on vielä paperiaineistoa tuovia asiakkaita. Sähköinen kirjanpitoaineisto on aina tietoturvallisempaa kuin paperiaineisto. Syksyn aikana teemme ohjelmistomuutoksen, jonka jälkeen käytännössä kaikki paperiasiakkaat voivat siirtyä sähköiseen. Yksi ohje pätee joka tapauksessa: henkilötietoja ei lähetetä tavallisella sähköpostilla.

Mitä kannattaa kysyä omalta tilitoimistolta?

• Kenellä on pääsy yritykseni tietoihin ja palkkatietoihin?
• Onko kaksivaiheinen tunnistautuminen käytössä kaikissa järjestelmissä?
• Miten varmuuskopiointi on hoidettu, jos järjestelmään tulee katkos?
• Onko tietoturva auditoitu, ja kuinka usein se tarkastetaan?