Älä vähättele kyberuhkaa

Tietotekniikka on kaikkialla. Olemme alttiina erilaisille kyberuhkille ollessamme yhteydessä tietoverkkoihin. Tämän me kaikki tiedämme ja tiedostamme. Ja luulemme, että olemme turvassa kunhan meillä on virustorjunta päällä. Emme ole.

Suomessa on tekeillä kansallisen kyberturvallisuusstrategian laatiminen. Katso Puolustusministeriön tiedote asiasta ja lisätietoa yhteiskuntamme turvallisuudesta.

Työn ylevänä tavoitteena on, että Suomi on maailmanlaajuinen edelläkävijä kyberuhkiin varautumisessa ja yhteiskunnan toimintakyvyn säilyttämisessä kaikissa oloissa vuonna 2016. Siis neljän vuoden päästä. Voisiko näin olla?

Strategiatyön taustalla on kyberuhkien jaottelu eri tasoihin - tasot ylhäältä alas ovat kybersota, kyberterrorismi, kybervakoilu, järjestäytynyt kyberrikollisuus ja kybervandalismi sekä hakkerointi.

Julkisuudessa esiintyvät kyberuhkien toteutumiset kuuluvat pääosin kahteen alimpaan ja tavallaan ”harmittomampaan” luokkaan.

Verkkosivujen sotkeminen tai niiden käyttämisen estäminen mielletään hakkeroinniksi tai kybervandalismiksi ja identiteettivarkaudet potentiaalisiksi kyberrikollisuuden muodoiksi.

Sähköiset identiteetin varkaudet ja niillä rikollista hyötyä tavoitteleminen ei juuri kiinnosta kansalaisia, elleivät ne satu omalle kohdalle.

Salasanojen suojaaminen, vahvojen salasanojen käyttö ja riittävän usein tapahtuva vaihtaminen, ajantasaisen virustorjunnan käyttö ja omien järjestelmien päivittäminen viimeisimpiin turvaversioihin kaikuvat kuuroille korville liian usein.

Yritysten turvallisuusohjeet ja -politiikat ovat ajan tasalla paperilla, mutta käytäntö on usein toinen.

Entäpä kyberuhkien korkeammat tasot: kybervakoilu, kyberterrorismi ja kybersota. Joitakin vakoilutapauksia on ollut julkisuudessa teollisuustietojen siirtyessä asiattomille tahoille.

Wikileaks on mielenkiintoinen ilmiö. Riittääkö vakoilun tunnusmerkeiksi, että tiedot on hankittu tuntemattomien kanavien kautta lähdesuojaan vedoten ja tiedot paljastetaan sellaisille asianosaisille, joille tietoa ei ollut alun perin tarkoitettu – tässä tapauksessa kaikelle kansalle.

Vai onko kyseessä julkisuuslain moderni ja kyberkansalaisen oikeuksiin liittyvä toimintamalli. Tätä varmaan puidaan pitkään oikeusistuimissa.

Joka tapauksessa Wikileaks osoittaa, että lainsäädäntömme ja oikeustajumme ei ole vielä muotoutunut kybermaailman tarpeisiin.

Kyberterrorismista, joka kohdistuu valtioihin tai sen toiminnan kannalta kriittisiin toimintoihin, ei puhuta paljoakaan.

Stuxnet sai melkoista huomiota lyhyen aikaa, mutta laajaa kansalaismielenkiintoa siihen ei kohdistunut. Siksi sen merkitystä ei näy poliitikotkaan ymmärtävän. Stuxnetin seuraavat versiotkin ovat olleet liikkeellä; ainakin ne, joista meillä on havaintoa.

Entäpä Stuxnetin jälkeinen sukupolvi – ovatko ne jo asettuneet tietojärjestelmiimme, tietoliikennelaitteisiin ja sulautettuihin järjestelmiimme valmiina toimimaan, kun aika koittaa.

Todennäköisesti – ja sitten kun ne alkavat toimia, niin olemmekin jo kybersodassa. Tosin voi olla, ettemme tiedä kenen kanssa sodimme – kiusallista, eikä totta?

Kansallisessa kyberturvallisuusstrategiassa mietityttää eri toimijoiden rooli.

Mikä rooli on puolustusvoimilla ja valtiohallinnon keskitetyillä turvallisuusyksiköillä, kun kyberuhkat syntyvät tietoliikenneverkoissa tapahtuvasta liikenteestä tai järjestelmiin tai laitteisiin rakennetuista loogisista pommeista ja takaporteista.

Nämä kaikki ovat yksityisen sektorin toimintaa, ja ne voidaan ehkäistä vain yksityisellä sektorilla. Riittääkö puolustusvoimien tai valtion resurssit puolustamaan meitä kaikkia, kun vihollinen on kotonamme ja yrityksissämme – ei valtakunnan rajalla tai ulkopuolella.

Nämä kysymykset varmasti mietityttävät kansallista kyberturvallisuusstrategiaa laadittaessa, ja uskon, että asiantuntemusta riittää. Mutta sitä en usko, että poliittista tahtoa ja ymmärrystä löytyy riittävästi vaadittavien resurssien osoittamiseen.

Poliittinen keskustelu käydään joukko-osastoissa ja materiaalihankinnoissa – tulevaisuudessa kyberpuolustus on kuitenkin yksittäistä joukko-osastoa tai varuskuntaa oleellisempi.

Lisäpohdintaa aiheesta kumpi on tärkeämpää kyberuhkilta vai ilmaohjuksilta suojautuminen, löytyy täältä.

Entäpä yrityksien tietohallintojohto? Ovatko järjestelmät kunnossa ja toimintavarmuus taattu kyberuhkien osalta? Missä kohtaa tietohallintostrategiaa kyberuhkiin varautuminen on määritelty, vai onko sitä siellä?

Mikäli jostain löytyy maininta ajantasaisesta virustorjunnasta ja tietoturvakäytännöistä, niin lukuisista tehtävistä kaksi ensimmäistä on tunnistettu ja loput uupuvat.

Niiden kohteiden tunnistaminen, joita ei tiedetä, on hyvä lähtökohta varautumisessa – sieltähän ne uhat lähtevät toteutumaan.

Lue lisää hyökkäyksen alla toimimisesta ja top5 kuumimmista tietoturvauhkista.

Asiasta saa asiantuntevia ja ammattimaisia ajatuksia myös Catharina Candolinin blogikirjoituksista. Vaikka hän kirjoittaa omia mielipiteitään ja vastaa niistä itse, hänen taustatyönsä puolustusvoimissa tietoverkkopuolustussektorin johtajana antaa lisäpontta teksteihin.

Ajatuksia saa myös kirjasta Cyber War. Kirjoittajana on toiminut Richard A. Clarke, joka on toiminut Yhdysvaltojen kyberturvallisuudesta vastaavana johtajana useamman presidentin aikana. Kirja on suorapuheinen, ja vaikka se keskittyykin Yhdysvaltojen tilanteeseen, sen kysymyksienasettelu on hyvin sovitettavissa Suomeen.

Yöunet menevät kirjasta Zero Day. Kirjoittaja, Mark Russinovich, toimii Microsoftilla kyberuhkien asiantuntijana. Onneksi kirjan tarina on mielikuvituksen tuotetta – ainakin toistaiseksi.

Lähetä

Tulosta

Jaa