Millainen on hyvä salasana?
Yrityksen tietoturva voi kaatua yhteen salasanaan, sillä yksikin vuotanut tunnus voi avata oven koko IT-ympäristöön. Millainen on siis hyvä salasana, ja miten usein salasana pitäisi vahtaa?
Kirjoittaja
Tuomas Karhula
Ensisilmäyksellä
Yksikin vuotanut tunnus voi avata oven koko IT-ympäristöön. Uniikki, riittävän pitkä ja hyvin suojattu salasana auttaa turvaamaan IT-ympäristön. Nykyään se vaatii rinnalleen muitakin suojauksia, mutta hyvällä salasanalla luodaan perusta.
Hyvä salasana ei ole käytetyimpien tai murrettujen salasanojen listalla
Lähdetään liikkeelle itsestäänselvyydestä: älä käytä ilmiselviä salasanoja.
Arviolta yli 90 % murretuista salasanoista löytyy yleisesti käytettyjen salasanojen listoista. Rikolliset kokeilevat näitä ensin. Sama pätee sanakirjasanoihin ja niiden ilmiselviin muutoksiin, jossa tiettyjä kirjaimia korvataan numeroilla.
Jos oma salasanasi on esimerkiksi 123456, qwerty tai salasana1, olet riskilistalla.
Katso Suomen yleisimmät salasanat 2025 – löytyykö omasi listalta?
Voit myös tarkistaa haveibeenpwned.com -palvelusta, onko tunnuksesi vuotanut jossain tietomurrossa.
Sääntö numero 1: Ei ilmiselviä eikä vuodettuja salasanoja.
Hyvä salasana on pitkä
Moni ajattelee vielä, että monimutkaisuus lisää salasanaturvallisuutta merkittävästi.
Todellisuudessa turvallisuus ei synny vain erikoismerkkien määrästä, vaan salasanan pituudesta ja ennustamattomuudesta.
Huono esimerkki: Rki&€ja1
Parempi esimerkki: MaaPitkäKuusikkoKukko12!
Mihin tämä perustuu? Tietokone murtaa lyhyen ja monimutkaisen salasanan lähes yhtä nopeasti kuin pitkän ja yksinkertaisen yhteen sanaan perustuvan salasanan. Kun merkkien määrä kasvaa yli 15:n, murtoaika kasvaa eksponentiaalisesti.
Sääntö numero 2: Hyvä salasana on vähintään 15–18 merkkiä pitkä.
Hyvä salasana on muistettava
Aiemmissa esimerkeissä on toinenkin tärkeä ero: ensimmäinen on vaikea muistaa, toisen taas muistaa helposti. Vaikeasti muistettavan salasanan kohdalla on kiusaus kirjoittaa se ylös muistilapulle ja vaikeuttaa arkea.
Satunnaiset sanat esimerkiksi tutusta lastenlaulusta yhdistettynä numeroihin tai erikoismerkkeihin ovat muistamisen kannalta huomattavasti parempi valinta kuin satunnaiset kirjaimet ja merkit.
Sääntö numero 3: Valitse muistettava salasana.
Hyvä salasana pähkinänkuoressa
- Vähintään 15–18 merkkiä
- Kirjaimia, numeroita ja erikoismerkkejä
- Uniikki joka palvelussa
- Helppo muistaa, vaikea arvata
Näin suojaat salasanasi tehokkaasti
Pelkkä hyvä salasana ei riitä, jos tunnuksia käytetään huolimattomasti.
Seuraavat käytännöt parantavat salasanaturvallisuutta:
Valitse yksilöllinen salasana joka palveluun
Älä käytä samaa salasanaa eri järjestelmissä. Luo muistisääntö, jossa lisäät palvelun nimen alkuun tai loppuun, esim. MaaPitkäKuusikkoKukko12!_ilt (Iltalehti) → MaaPitkäKuusikkoKukko12!_pos (Posti).
Mieluummin käytä salasanahallintaohjelmistoa luodaksesi monimutkaiset ja uniikit salasanat joka järjestelmään.
Käytä salasananhallintaohjelmaa
Ohjelmat kuten KeePass tai SecretServer säilyttävät salasanat turvallisesti ja auttavat luomaan pitkiä, uniikkeja salasanoja ilman muistikuormaa.
Ota käyttöön monivaiheinen tunnistautuminen (MFA)
Jos salasana joutuu vääriin käsiin, MFA pysäyttää hyökkääjän. Tämä on ehdoton suoja Microsoft 365-, pankki- ja pilvipalveluissa. Ja oikeastaan kaikissa muissakin palveluissa, missä sen pystyy kytkemään päälle. Vaikka nykyään monivaiheinen tunnistautuminen voidaan ohittaa, on se ehdoton perusvaatimus.
Mene salasanattomaksi
Useat järjestelmät tukevat nykyisin salasanattomia vaihtoehtoja. Tällöin käytetään joko fyysistä avainta (esim. FIDO2) tai laitteeseen tallennettavaa tunnistetta. Tällöin järjestelmään pääsy vaatii kyseisen laitteen hallinnan. Yritystasolla tämä vaatii keskitetyn käyttöönoton.
Käytä vain henkilökohtaisia tunnuksia
Ryhmätunnukset ovat tietoturvan heikko lenkki. Henkilökohtaisilla tunnuksilla voidaan jäljittää toiminta ja sulkea poistuneiden käyttäjien oikeudet nopeasti.
Ota käyttöön luotetut laitteet
Tämä on yritystasolla tapahtuva asetus, jossa yrityksen järjestelmiin kirjautumisessa vaaditaan käyttäjätunnuksen ja salasanan lisäksi myös luotetun laitteen käyttäminen. Lisää merkittävästi suojausta varsinkin nykypäivänä, kun monivaiheinen tunnistautuminen voidaan ohittaa kalasteluhyökkäyksissä.
Ota käyttöön verkkotason estotoiminnot
Verkkotasolla tapahtuva esto, kuten DNS-suodatus, estää pääsyn haitallisille sivustoille ja vähentää riskiä, että käyttäjä vahingossa luovuttaa tunnuksensa huijaussivustolle.
Entä milloin salasana pitäisi vaihtaa?
Salasanojen säännöllinen vaihtaminen on monessa yrityksessä edelleen arkea.
Kolmen kuukauden vaihtoväli on yleinen, ja joissain paikoissa salasanoja vaihdetaan jopa kuukausittain.
Sekä Microsoft että NIST (National Institute of Standards and Technology) ovat todenneet, että salasanoja ei tulisi vaihtaa säännöllisesti ilman syytä.
Tutkimusten mukaan tiheät pakolliset vaihdot eivät paranna tietoturvaa – päinvastoin ne voivat heikentää sitä, koska käyttäjät turhautuvat ja valitsevat helpommin muistettavia, mutta heikompia salasanoja. Tällöin kuitenkin suositellaan käytettäväksi muita suojauskeinoja, kuten identiteetin käyttäytymisen analysoimista, luotettujen laitteiden vaatimista tai vastaavia.
Hyväkin salasana tulee vaihtaa, jos:
- jos salasana on vuotanut
- jos epäilet väärinkäyttöä
- jos järjestelmä sitä vaatii turvallisuussyistä
Onko järjestelmän ehdottama salasana turvallinen?
Voiko salasanoja tallentaa selaimeen turvallisin mielin?
Mitä voi salasanan vuotamisesta seurata?
Psst. Kiinnostaako tietoturva-aiheiset sisällöt? Ota IT-kaverin somekanavat seurantaan!
Julkaisemme somessa tietoiskuja ja mielenkiintoisia tietoturvauutisia.
Paranna yrityksesi tietoturvatasoa
Ota yhteyttä Frendyn asiantuntijoihin, jos haluat varmistaa, että yrityksesi salasanakäytännöt ja tunnistautumisen suoja ovat ajan tasalla.
