Tietoverkkopuolustuksen kehittämisen näkökulmia

Vierailin viime viikon aikana ilmavoimien järjestämässä kaksipäiväisessä seminaarissa aiheesta ”Global Air Power”, jossa käsiteltiin eri maiden ilmavoimien kehittymistä kautta historian sekä niiden tämänhetkistä tilannetta. Seminaarissa käsiteltiin Iso-Britannian, Yhdysvaltojen, Kiinan, Venäjän, Intian ja tottakai myös Suomen ilmavoimien taipaletta. Tämän lisäksi seminaarissa oli puheenvuoro eurooppalaisesta ilmavoimapolitiikasta. Yllätyin muuten, että Suomen ilmavoimat on itse asiassa hiukan vanhempi, kuin Iso-Britannian kuuluisa Royal Air Force!!

Siirtyäkseni otsikon aiheeseen; seminaarin yhdessä paneelikeskustelussa aihe ”kybersodankäynti” nousi erittäin vahvasti esille, ja sekä amerikkalainen että brittiläinen puhuja korosti uuden kyberelementin merkitystä. Tästä innostuin kirjoittamaan blogipostin jo pitkään viljelemistäni ajatuksistani ilmapuolustuksen ja tietoverkkopuolustuksen kehittymisen samankaltaisuudesta sekä niiden keskinäisvaikutuksista muutenkin. Tarkoituksena on korostaa, että vaikka tietoverkkopuolustus on niin sanotusti ”uusi suorituskyky” perinteisten rinnalla, ei se kuitenkaan ole niitä erikoisemmassa asemassa – tai ei ainakaan pitäisi olla.

Ilmavoimien historiasta kyberelementin kasvamiseen

Vuosisatoja sitten, kun ihminen kiinnostui mahdollisuudesta lentää, hän kehitti ensin kuumailmapallon ja myöhemmin lentokoneen. Jo varhaisessa vaiheessa syntyi keskustelua ilma-alusten käyttömahdollisuuksista sodankäynnissä. Keskustelu jakoi mielipiteet: osa näki siinä potentiaalia, kun taas osa pitivät koko lentotouhua hölynpölynä. Syntyi keskustelua ilmaelementin käytöstä myös moraalisesta ja juridisesta näkökulmasta. Pohdittiin ilmaelementin hyödyntämisen mahdollisuuksia ja rajauksia. Saako tiedustella? Saako pommittaa? Pitääkö rajoittua ilmataisteluihin? Mitä saa ja mitä ei saa tehdä? Ajan myötä ilma-alusten käyttö sodankäynnissä kuitenkin lisääntyi ja ilmaelementin merkitys korostui. Tänä päivänä lähes jokaisella valtiolla on omat ilmavoimansa, joka on puolustushaarana rinnastettavissa maa- ja merivoimiin, eikä kukaan kyseenalaista sen tarpeellisuutta, olemassaolon oikeutta tai käyttömahdollisuutta niissä tilanteissa, joissa sotilaallista voimaa tarvitaan ja käytetään.

Muutama sata vuotta sen jälkeen, kun ihminen oppi lentämään, hän keksi myös tietokoneen. Tai laajemmin voisi todeta, että teknologia kehittyi ja toiminta siirtyi enemmän ja enemmän tietoverkkojen ja niissä toimivien komponenttien päälle. Aika aikaisessa vaiheessa osa ennusti, että tässä uudessa kehittyvässä virtuaalisessa  toimintaympäristössä olisi sotilaallinen ulottuvuus, tosin jotkut pitivät asiaa hölynpölynä ja finninaamaisten pizzaa syövien ja cola-juomia nauttivien nörttien puuhasteluna. Aihetta kuitenkin tutkittiin myös sotilaallisesta näkökulmasta vähintäänkin akateemisella tasolla ja usein osana informaatiosodankäyntiä. Eikä mennyt kauan, kun harrastuspohjainen hakkerointi alkoi muuttaa muotoaan kohti tavoitteellisempaa rikollista toimintaa. Tänä päivänä uhka on kasvanut sellaiseksi, että puhutaan jo valtiollisista ja ei-valtiollisista uhkista: asevoimista, tiedusteluorganisaatioista sekä valtioiden tukemista ryhmittymistä rikollisiin, terroristeihin ja haktivisteihin.

Maanpuolustuksellisissa ympyröissä kyberavaruus on noussut toimintaympäristöksi, joka rinnastetaan maahan, mereen, ilmaan ja avaruuteen. Vaikka se ei ole varsinaisesti missään muodostunut uudeksi puolustushaaraksi, se rinnastetaan ajatuksellisesti perinteisiin puolustushaaroihin. Kuten ilmapuolustuksen kehitystaipaleella on myös kyberin ympärillä käyty moraalista ja juridista keskustelua, ja hyvä niin! Moraalisella tasolla on kyseenalaistettu sen käytön oikeudeellisuutta, käytön kohteita sekä oheisvaikutuksia. Moraaliseen keskusteluun on kuitenkin vaikuttanut se, että kyberpuolustusta on verrattu perinteisiin suorituskykyihin: vaikka kyberin avulla onkin mahdollista aiheuttaa fyysistä tuhoa/sabotaasia, kuten Stuxnet osoitti, sen aiheuttamat ihmishenkien menetykset ovat todennäköisesti pienemmät ja sen aiheuttama vaikutus ei välttämättä ole yhtä lopullinen kuin perinteisiä kineettisiä aseita käyttäessä. Ongelma tässä vaiheessa kehitystä on kuitenkin vielä se, että sivuvaikutusten analysointi ennalta on vaikeata, koska halutun kohteeseen vaikuttaminen voi aikaansaada odottamattomia vaikutuksia muualle. Lainsäädännöllinen tarkastelu jatkuu myös kokonaisvaltaisesti, vaikka tässäkin viitekehyksessä on päästy isoja askelia eteenpäin.

Viime aikaisissa aseellisissa konflikteissa kyberelementti on ollut esillä tai vähintäänkin suunnitelmissa. Tietoverkkopuolustus ei ole vielä saavuttanut samanlaista asemaa, kuin perinteisillä puolustushaaroilla – sen tarpeellisuutta, olemassa olon oikeutta ja käyttömahdollisuuksia kyseenalaistetaan edelleen, joskin huomattavan paljon vähemmän kuin ennen. Tietoverkkopuolustus on kuitenkin nostettu yhdeksi maanpuolustukselliseksi kehityskohteeksi monessa maassa, vaikka panostuksen määrä ja laatu vaihtelee maittain.

Tietoverkkopuolustuksen ja ilmapuolustuksen rinnakkaisuuksista

Tietoverkkopuolustuksella ja ilmapuolustuksella on paljon yhteistä, joskin erojakin on.

Sekä tietoverkko- että ilmapuolustus toimivat taktisella tasolla ajallisesti hyvin nopeatempoisesti ja niiden oikea-aikainen käyttö edellyttää korkeata valmiutta. Kummankin toiminta perustuu vahvasti modernin teknologian hyväksikäyttöön. Kummatkin tarvitsevat toimiakseen erikoisosaamista. Molempia sorrutaan usein käsittelemään enemmän tekniikan (tietokoneet ja lentokoneet sensori- ja asejärjestelmineen) ja taktiikan (häkkäämisen ja ilma-operaatioden toteuttamisen) näkökulmasta kuin siitä, miten tietoverkkoja ja ilma-asetta tulisi käyttää operatiivisen ja strategisen tason toiminnan tukemiseen, osana muita yhteiskäyttöisiä suorituskykyjä, perustuvatpa ne sitten ”kovaan ja kineettiseen” (aseelliseen) vaikuttamiseen tai ”pehmeään ja ei-kineettiseen” (asenteelliseen) vaikuttamiseen. Kummatkin ovat suhteellisen nuoria, jos verrataan maa- ja meripuolustukseen, joilla on tuhansien vuosien historia takana.

Toki erojakin on. Siinä missä tietoverkkopuolustus verrattuna perinteisiin puolustushaaroihin on hyvinkin pienikustanteinen, on ehkä ilmapuolustus kustannuksien toisessa ääripäässä. Tietoverkkopuolustuksella ei myöskään ole samanlaisia maantieteellisiä rajoituksia; toiminta ei tunnista valtiollisia rajoja tai maantieteellistä etäisyyttä; uhka voi tulla mistä päin tahansa ja tekijä voi periaattessa olla kuka tahansa, jolla on riittävästi osaamista, vaikkakaan resurssitarvetta ei missään tapauksessa tule tässäkään vähätellä. Tietoverkkopuolustuksella ei myöskään ole samalla tavalla ajallisia rajoituksia; siinä missä perinteisiä suorituskykyjä käytetään vasta konfliktivaiheessa, on kybertoiminta arkipäivää jo syvässä rauhan tilassa – ja tämä on tärkeätä ymmärtää! Lisäksi, vaikka tietoverkkopuolustus saattaakin aiheuttaa fyysistä tuhoa välillisesti, sillä ei kuitenkaan ole samanlaista suoraa kineettistä vaikutusta, kuin ilmavoimilla tai muillakaan puolustushaaroilla.

Kaikilla puolustushaaroilla ja tietoverkkopuolustuksella on paljon opittavaa toisistaan. Ehkä aika-aspektit ja teknologiakeskeisyys ovat ne, jotka yhdistävät erityisesti ilmapuolustusta ja tietoverkkopuolustusta, monessa asiassa?

Miksi verrata perinteisiin puolustushaaroihin?

Miksi on mielenkiintoista verrata tietoverkkopuolustusta muihin puolustushaaroihin?

Tietoverkkopuolustuksen ympärillä liikkuu valtava ”hype”. Mielikuvat ovat usein kuin  jostain Matrix-elokuvasta tms otettua. Kuitenkin täytyy ymmärtää, että kun puhutaan tietoverkkopuolustuksesta osana demokraattisesti toimivan valtion maanpuolustuksellista suorituskykyä, pätee sen käyttöön pitkälti samankaltaiset lainalaisuudet kuin perinteistenkin suorituskykyjen kohdalla. Se ei ole omaa irrallista huvin vuoksi tehtävää puuhastelua, vaan selkeästi säädeltyä ja valtuutettua toimintaa, jota johdetaan samalla tavalla kuin muitakin suorituskykyjä voimankäyttötilanteissa.

Lisäksi on tunnistettava se tosiasia, että monet länsimaalaiset asevoimat ovat kehittäneet niin kutsutun verkostoavusteisen puolustuskonseptin, ja niiden puolustushaarat perustuvat vahvasti teknologiaan. Siellä missä on teknologiaa, on myös haavoittuvuuksia, jotka ovat saavutettavissa kyberavaruuden kautta. Tietoverkkopuolustukseen liittyy vahva suojautumisen komponentti; tietoverkkopuolustuksen tulee myös tältä osin varmistaa muiden puolustushaarojen toimintakykyä.

Näin ollen tietoverkkopuolustus ei ole mikään oma irrallinen kupla, ja sitä pitää sen takia nimenomaan käsitellä kontekstissa, osana muuta maanpuolustusta ja perinteisten puolustushaarojen rinnalla.

Kyberturvallisuusmietintöjä Ruotsissa

Ruotsalainen politikko Håkan Juholt piti painavan puheenvuoron kyberuhkista julkisen sektorin tietoturvallisuuskonferenssilla elokuussa 2011. Puhe löytyy täältä, mutta koska se on ruotsiksi arvelen sen jäävän monelta kuuntelematta. Päätin sen takia kirjoittaa blogipostin Juholtin puheesta ja tuoda esille hänen viestinsä, sillä se on mitä suuremmassa määrin relevantti myös Suomen kannalta.

Juholtin puheenvuoron alussa hän ottaa esille Utöyan tapahtumat ja toteaa, että vaikka kyseinen tapahtuma ei tulisi liittää tähän viitekehykseen, niin se oli kuitenkin hyökkäys arvomaailmamme kohtaan.  Toisin kuin esim. Libyassa, niin meihin ei kohdistu niinkään alueellisia uhkia, vaan ne kohdistuvat meille tärkeisiin asioihin, kuten arvoihin ja toiminnallisuuteen. Meitä on mahdollista kyykyttää vahingoittamalla arvomaailmanne ja toiminnallisuutemme. Tässä tietoturvallisuus ja kyberturvallisuus astuvat kehiin.

Juholt näkee kyberuhkan turvallisuuspoliittisena asiana ja peräänkuuluttaa poliittista keskustelua painopisteen muuttamisesta sekä eri toimijoiden tehtävistä, resurssoinnista ja lainsäädännön muutostarpeista. Uhka ei enää sijaitse Kremlin muurien sisällä, vaan maailmassa on paljon enemmän tahoja, jotka mahdollisesti haluavat vahingoittaa yhteiskunnan ja käyttää yhteiskunnan haavoittuvuudet hyväkseen. Painostuskeinojen ja vallankäytön menetelmien lukumäärä ovat lisääntyneet. Kokonaismaanpuolustuksesta pitäisi siirtyä välittömään kriisinhallintaan, jossa kaikki ovat mukana, eikä niin kuin ennen, että kaikki ovat olemassa enemmän tai vähemmän vain puolustusvoimien tukemiseen, kun tämä vastaa uhkaan. Yhteistoiminta on välttämättömyys.

Juholt kertoi vierailleensa Yhdysvalloissa noin 1999-2000 paikkeilla tarkoituksena tavata alan amerikkalaisia tutkijoita. Hän kuvitteli, että tapaisi joukon vanhempaa väkeä, mutta vastassa olikin puolustusministeriön palkkaamia 17-23 –vuotiatia fiksuja nuoria ihmisiä, joille oli annettu tehtävä penkoa läpi puolustushallinnon järjestelmiä osoittaakseen, mikä olisi mahdollista. He näyttivät, miten kääntäisivät tiedustelusatelliitin tai ottaisivat ison 200 lentokonetta kuljettavan sotalaivan haltuunsa; kun kapteeni käänsi laivan vasemmalle, käänsivät nuoret laivan oikealle. Kahlattuaan puolustushallinnon järjestelmiä läpi he kääntyivät tarkastelemaan yhteiskunnan järjestelmiä, jotka olivat vielä haavoittuvampia; olihan kuitenkin sotilaspuolen turvallisuusajattelu vähän edistyneemmällä tasolla. He aloittivat sairaaloista ja osoittivat, että 7 minuutissa oli mahdollista vaihtaa kaikkien veripussien identiteetit 10 suurimman kaupungin sairaaloissa.

Juholt jäikin pohtimaan kysymystä, miten suojata veripusseja. Kyseltyään asiaa paikalliselta sairaalalta, jossa hän yleensä luovuttaa verta, sai hän vastauksen, että veripussit ovat kaikki suljettujen ovien takana ja kaikki on hyvin. Mutta kysehän ei olekaan siitä, että joku tulisi varastamaan sata veripussia yhtäkkiä, vaan siitä, että joku voisi saada aikaan kaaoksen sairaalassa, kun esim. hetki terrori-iskun jälkeen ihmiset päästyään sairaalaan saavat väärää verta. Ja kuka ruotsalaisessa politiikassa on vastuussa siitä, että kansalaiset saavat sitä oikeata verta? Onko se terveysministeri? Puolustusministeri? IT-ministeri? Oikeusministeri? Vai onko se jonkun sairaalassa osa-aikatyötä tekevän turvallisuusvastaavapoloisen? Kansalliseen turvallisuusajatteluun kuuluu huolehtia, että kansalaiset saavat oikeanlaista verta. Tämä ei kuitenkaan sovi nykyiseen vanhanaikaiseen ja siilomaiseen ministeriöjakoon.

Seuraavaksi esimerkiksi Juholt nostaa sähkönsaannin. Kuinka pitkään sairaala pyörisi, jos siltä häviäisi sähköt? Sairaalan vastuuhenkilö osasi tarkasti kertoa, kuinka pitkään sairaala kestäisi, ja kertoi sairaalan sopineensa vastapäätä olevan huoltoaseman kanssa mahdollisuudesta saada dieseliä. Käytyään huoltoasemalla kävi kuitenkin ilmi, että huoltoasema ei kykene pumppaamaan dieseliä ilman sähköjä eikä käsipumppua ollut. Ratkaisuksi kuviteltu kuvio olikin yhtä vahva kuin sen heikoin lenkki. Mutta kenen vika se olisi ollut, jos jotain olisi sattunut? Sairaalan vai huoltoaseman? Pääviestinä lienee, että vaikka kaikki omillaan tekevät täysin oikein, voi lopputulos silti olla täysin väärä.

Juholt jatkaa puheensa kertomalla uhkakuvan muutoksesta nuorten poikien ja tyttöjen tekemistä tihutöistä järjestäytyneeseen rikollisuuteen ja valtioihin kohdistuvaan toimintaan. Hän mainitsee, että järjestäytynyt kyberrikollisuus on ohittanut järjestäytyneen huumekaupan mitä taloudelliseen kannattavuuteen tulee. Tämä on mahdollista, koska järjestelmiä ei ole kehitetty ottan huomioon turvallisuusnäkökulmia, vaan pelkästään kaupallisten intressien pohjalta. Samaan aikaan järjestelmien riippuivaisuus toisistaan ovat kasvaneet.

Varautuaakseen vaaditaan sekä osaamista alhaaltapäin että ärsykkeitä ylhäältä päin: rahoitusta, direktiivejä, regulointia, priorisointia ja kompetenssiä. Juholt toteaa, että lähestulkoon kaikki muut asiat ovat reguloitua; meriliikenne, lentoliikenne, jne. Jokainen saa rakentaa laivan ja kulkea merellä, mutta kaikki ovat samaa mieltä siitä, että piratismiä ei tule sallia. Olemme tottuneita siihen, että tiedämme miltä uhka näyttää, miten siihen pitää vastata ja kuka sen uhkan muodostaa. Mutta nykyään kuka tahansa voi muodostaa uhkan, kuka tahansa voi olla kohteena ja tekijä voi sijaita missä vaan. On mahdotonta varautua kaikkeen ja suojautua täysimittaisesti, mutta varautumiseen on osoitettava resursseja, yhteistoimintaan on panostettava ja on ymmärrettävä, miten maailma on muuttunut.

Juholt esittää muutamia ratkaisuvaihtoehtoja:

•  Tulee perustaa kyberturvallisuusministeriö ja –ministeri. Matkalla sinne asia tulee poliittisesti koordinoida valtioneuvostotasolla, koska tämä asia leikkaa läpi kaikkia toimintoja. Siilot on rikottava ja on annettava poikkihallinnollista vastuuta yhden johdon alle. Samaa tulee tehdä viranomaistasolla. Viranomaisten välinen yhteistyö on erinomaisen tärkeä, mutta on kuitenkin oltava yksi selkeä taho, joka johtaa, ja tämä tehtävä on osoitettava kyseiselle taholle etukäteen. Yhteistyö viranomaisten sivutehtävänä tai opintopiirien avulla ei riitä. 
• On tehtävä poliittinen selvitys, joka tarkastaa omien offensiivisten kykyjen kehittämisen tarpeet, säännöt, periaatteet ja vastuut. Maailmassa on olemassa valtioita, jotka esim. kehittävät haittaohjelmia kohdistaakseen niitä muita valtioita vastaan. Juholt ei halua, että yksittäiset asiantuntijat, pankit, organisaatiot jne. ottavat asian omiin käsiinsä koska politikot eivät halua koskea asiaan. Hän haluaa poliittisen, hallitun, demokraattisen ja kattavan selvityksen miten Ruotsi voi puolustaa itseään offensiivisin keinoin.
• Avainhenkilöt eri organisaatioissa on saatava verkostoitumaan ja organisoitumaan.
• Lainsäädäntö on kehitettävä siten, että se ottaa kyberturvallisuusasiat huomioon. Sen pitää tukea uutta ruotsalaista puolustuspolitiikkaa. Juholt korostaa, että Ruotsi olisi asiassa edelläkävijämaa jos vaan jaksaisi tarttua asiaan.

Juholt päättää puheensa toteamalla, että tämä ei ole mikään puolueita erottava kysymys. Tarvitaan vain vähän rohkeutta, sitkeyttä ja päättäväisyyttä ja tästä voi tulla ihan hyvä juttu.

Herättäisin keskustelua Juholtin puheesta. Miten tätä pitäisi nähdä Suomessa? Miltä osin kohtaamme samat haasteet? Onko Suomessa jokin paremmin tai huonommin toteutettu mitä kyberuhkaan ja siihen varautumiseen liittyy? Miten näette Juholtin esittämät ratkaisut? Löytyisikö meiltä rohkeutta, sitkeyttä ja päättäväisyyttä tehdä tästä hyvä juttu?

Verkostoavusteinen puolustus ja tietoverkkopuolustus - mitä eroa?

Kesäloman jälkeen on aika palata blogin kirjoittamiseen. Tällä kertaa ajattelin ottaa aiheeksi kaksi ilmiötä, jotka kuulostavat samanlaisilta ja sen takia käytetään ristiin. Tarkoitus on kirjoittaa niiden eroista ja missä ne kohtaavat. Kummatkin ilmiöt lienevät rakkaita lapsia, silä kummallakin on monta nimeä, mutta ei anneta sen häiritä.

Toinen ilmiö on verkostoavusteinen puolustus, jolle löytyy synonyymejä vähän tarkastelukulmasta riippuen: verkostosodankäynti, verkostokeskeinen puolustus, verkston mahdollistamat suorituskyvyt,... Englanniksi on esiintynyt termejä kuten network centric warfare, network based defence ja network enabled capabilities.

Toinen ilmiö on blogini aiheeseen liittyvä, eli tietoverkkopuolustus, jolle myös löytyy synonyymejä vähän tarkastelukulmasta riippuen: tietoverkkosodankäynti, kybersodankäynti, kyberpuolustus, verkkosodankäynti,... Englanniksi on esiintynyt termejä kuten net warfare, cyber warfare, cyber defence, jne.

Verkostoavusteisen puolustuksen perusidea on, että taistelukykyä kasvatetaan verkottamalla päätöksentekijät, asejärjestelmät ja sensorit saavuttaakseen jaettu tilannekuva, nopeampi päätöksenteko ja sitä myöten toiminnan nopeus sekä itsesynkronointi. Länsimaalaiset asevoimat ovat varsinkin viime vuosikymmenenä panostaneet vahvasti verkostoavusteisen puolustuksen kehittämiseen.

Tietoverkkopuolustuksella taas tarkoitetaan "kyberavaruudessa" tapahtuvaa toimintaa, joka on rinnastettavissa perinteisissä toimintaympäristöissä (maa, meri, ilma ja avaruus) tapahtuvaan toimintaan. Tällöin keinovalikoimaan kuuluu vaikuttaminen kyberavaruuden kautta haluttuihin kohteisiin tietyn tavoitteen saavuttamiseksi, mutta myös suojautuminen vastaavanlaista toimintaa vastaan.

Ilmiöinä verkostoavusteinen puolustus ja tietoverkkopuolustus ovat erilaisia. Keskinäisriippuvuuksia kuitenkin löytyy. Verkostoavusteinen puolustus perustuu kolmeen tasoon: fyysinen taso, informaatiotaso ja kognitiivinen taso. Fyysisellä tasolla tarkoitetaan niitä fyysisiä infrastruktuureja, jotka ylipäänsä mahdollistavat verkostoavusteisen toiminnan. Informaatiotasolla tarkoitetaan tässä virtuaalisessa ympäristössä olevaa tietoa, mitä tarvitaan esimerkiksi päätöksentekoon. Kognitiivisella tasolla tarkoitetaan tässä ympäristössä toimivien ihmisten tietämystä ja tilannetietoa. Tietoverkkopuolustuksen menetelmin on mahdollista vaikuttaa verkostoavusteiseen puolustukseen sen fyysisellä tasolla sekä sen informaatiotasolla kohdentamalla hyökkäys infrastruktuuriin ja/tai tietoon. Näin ollen näiden tasojen suojaaminen kyberhyökkäyksiltä on perusedellytys verkostoavusteisen puolustuksen toimintaan. Toisaalta on mahdollista johtaa tietoverkkopuolustusta verkostoavusteisen puolustuksen menetelmin perinteisten suorituskykyjen rinnalla.

Tämä kirjoitus on totta kai räikeä yksinkertaistus kummastakin ilmiöstä, mutta tavoitteena oli korostaa niiden erot unohtamatta niiden liittyminen toisiinsa. Kehottaisin lukijoitani taas aktivoimaan keskustelemaan ilmiöiden keskinäisriippuvuuksista! Ehkä löydämme taas uusia näkökulmia asiaan!

Kyber toimintaympäristönä?

Viime kevään aikana keskustelu siitä, mitä kuuluu "kybertoimintaympäristöön" ja mitä ei, on ollut vilkasta. Näkemyksiä on laidasta laitaan.

Osa ovat sitä mieltä, että kybertoimintaympäristö on sama kuin Internet. Mielestäni tämä näkemys on kuitenkin liian rajoittunut. On paljon muitakin verkkoja, verkostoja ja järjestelmiä, jotka ovat merkittäviä toiminnan kannalta, mutta jotka eivät olet kytköksessä Internettiin millään tavalla. Tällä määritelmällä myös historian ehkä toistaiseksi merkittävin ja tunnetuin kybertapahtuma, eli Stuxnet, jäisi kybertoimintaympäristöstä pois.

Toinen näkemys on se, että käytännössä kaikki ICT-teknologia ovat osa kybertoimintaympäristöä. Sinänsä verkkoteoria tukisi tätä näkemystä siltä osin, että verkko voi koostua vain yhdestä solmusta, tai verkko voi koostua useammasta solmusta, jotka eivät ole toisiinsa kytkettyinä; verkko on tässä jälkimmäisessä tapauksessa vain epäyhtenäinen. Tästä teoriasta ei mielestäni ole käytännön tason hyötyä; syntyy inflaatio, jonka mukaan kaikki on kyberiä, jonka jälkeen mikään ei ole kyberia. Ehkä kyberavaruus voisi olla tämä kaikkea kattavaa ICT:tä, mutta toimintaympäristö lienee se osa avaruutta, jossa de fakto toimitaan?

Samalla minua häiritsee se, että kyberin määritelmiä yritetään sitoa liian vahvasti teknologiaan, eikä niinkään vaikuttavuuteen toimintaan.

Ehkä mitään kiveen hakattua matemaattisesti tarkkaa määritelmää ei ole, vaan toimintaympäristö on joitakin kriteereitä täyttävä kokonaisuus, jota pitää ymmärtää tapauskohtaisesti? Esim. ei ehkä ole kovinkaan mielekästä miettiä yksittäistä kotitietokonetta merkittävänä toimintaympäristön osana, mutta kun tämä sama kotitietokone yhdessä tuhansien muiden, samankaltaisten tietokoneiden kanssa muodostaa bottiverkon, jolla tehdään vaikutukseltaan tuhoisan palvelunestohyökkäyksen johonkin kohteeseen, joka aiheuttaa useampien miljoonien eurojen menetykset tai jopa ihmishenkien menetyksiä, on tilanne toinen.

Mielestäni toimintaympäristön kriteereihin pitäisi kuulua ainakin seuraavat asiat:
1) Toimintaympäristöön kuuluu ne laitteet/ohjelmistot, joiden kautta on mahdollista saada aikaan vaikutus johonkin "merkittävään" toimintaan. Vaikutus voi olla fyysinen (esim. sabotaasi, niinkuin Stuxnetin tapauksessa), toiminnallinen (rahaliikenne), sosiaalinen (vaikuttaa päätöksentekoon tai maineeseen), tai jotain muuta vastaavaa.

2) Koska vaikutus saadaan aikaan näiden laitteiden/ohjelmistojen kautta, tulee niillä olla rajapintoja (I/O), jonka kautta ne kommunikoivat toisten laitteiden tai käyttäjien kautta. Tämä ei siis tarkoita, että rajapinnat ovat aina auki ja käytössä; pointtina on lähinnä se, että niiden toimintaan voidaan vaikuttaa niiden ulkopuolelta.

3) Pitää olla olemassa taho, jolla on riittävä kyky ja motivaatio vaikuttaa ko ympäristössä. Tai vähintään pitää olla realistisesti mahdollista, että tällainen taho voi ilmestyä jostain.

Nämä kriteerit eivät ehkä vie eteenpäin kybertoimintaympäristön määrittämisessä, mutta ehkä ne auttaa analysoimaan yhteiskunnan ja elinkeinoelämän kannalta ne kohteet, jotka ovat jollain tavalla mielenkiintoisia. Herättäisinkin lukijoitani, mikäli kesälomiltanne ehditte, kirjoittamaan omia näkemyksiänne! Mikä on kybertoimintaympäristöä ja mikä ei, onko se aina yksi ja sama, vai onko tarkasteltava tapauskohtaisesti,... ?

Hallitusohjelma tunnusti kyberturvallisuuden merkityksen

Uusi hallitusohjelma on vihdoin valmis. Kyberturvallisuuskin nousi osaksi turvallisuus- ja puolustuspolitiikkaa, jossa todetaan seuraavaa:

Keskinäisriippuvaisessa maailmassa uudet turvallisuushaasteet, kuten ilmastonmuutos, hallitsemattomat muuttoliikkeet, köyhyys ja eriarvoisuus, epidemiat, kansainvälinen rikollisuus, joukkotuhoaseiden leviäminen, terrorismi ja tietoverkkoihin kohdistuvat hyökkäykset, vaativat laajan turvallisuuskäsityksen mukaista johdonmukaista varautumista.

Tietoverkkojen toimintavarmuus on välttämätöntä modernin tietoyhteiskunnan toiminnalle. Hallitus laatii kansallista tietoverkkoturvallisuutta koskevan kyberstrategian ja osallistuu aktiivisesti alan kansainväliseen yhteistyöhön. Tavoitteena on, että Suomi on yksi johtavista maista kyberturvallisuuden kehittämisessä.

On erittäin myönteistä, että "kyberuhka" on tunnistettu yhtenä merkittävänä turvallisuushaasteena ja että kansallinen kyberturvallisuusstrategia on nostettu esille! Myös kansainvälisen yhteistyön korostaminen on myönteistä, sillä kansainvälinen yhteistyö on kyberturvallisuuden perusedellytys; verkko toimintaympäristönä ei tunnista valtion rajoja. Yhteistoiminnasta ja tiedon vaihdosta on sovittava ennalta riittävän toimintakyvyn saavuttamiseksi. Toimintakyvyllä tarkoitan tässä muun muassa CERT-yhteistyötä sekä valvonta- ja reagointikykyä jne. Lisäksi on tarpeen saavuttaa yhteismitallisuutta politiikka- (policy) ja lainsäädäntötasolla. Töitä saralla kyllä riittää, sillä sellaisistakin perusasioista, kuten kyberkäsitteen määrittelystä ja laajuudesta, ei ole toistaiseksi yhteistä näkemystä.

Kyberturvallisuuden kehittäminen vaatii kuitenkin resursseja. Nähtäväksi jää, miten se kiristyvässä säästöohjelmassa tulee toteutumaan. Viestintäviraston "Verkot- ja turvallisuus"-tulosalueen johtaja Timo Lehtimäki on usein osuvasti todennut, että hän osaa kertoa, mitä nollalla eurolla saa. Se pätee tässäkin asiassa. Toivottavasti tavoitteeseen siis halutaan panostaa, sillä kustannukset tietoverkkohyökkäykseltä toipumisesta saattavat nousta korkeiksi, ellei varautumisesta ole asianmukaisesti huolehdittu.

Todettakoon kuitenkin, että maininta hallitusohjelmassa on kyberturvallisuuden kehittämisen kannalta valo tunnelin päässä, eikä se tällä kertaa taida olla se vastaan tuleva pikajuna...

Kyberturvallisuutta ja koulutuksen & tietämyksen kasvattamisen tarve

Monesti kyberturvallisuuskeskusteluissa nousee esille tarve alan koulutukseen sekä tietämyksen kasvattamiseen. Nostaisin tämän seuraavan blogipostaukseni aiheeksi ja toivon, että tämäkin aihe herättää keskustelua ja ideointia! Olen itse aina suhtautunut skeptisesti jonkun aihepiirin teemapäiviin; vaikka ne voi olla kuinka hyvin järjestettyjä tahansa, niin ne tavoittaa käytännössä niitä, jotka jo tietävät asiasta jotain sekä joitakin valittuja kohderyhmiä. Tämä ei välttämättä aina riitä!

Mieleeni tulee muutama mahdollisuus, miten koulutusta ja tietämystä voidaan lisätä:

Turvallisuusvalistusta peruskoulussa: peruskoulussa annetaan opetusta liikenneturvallisuudesta sekä varoitetaan "vaarallisista sedistä" jne. Jos miettii peruskoulutusta nykypäivänä, niin miksei tietokoneen ja Internetin turvallisen käytön perusteet voisi pitää jokaisen kansalaisen perustaitona, jota opetetaan jo peruskoulusta asti? Tällä en tarkoita sitä, että jokaisesta lapsesta tehdään tekninen nörtti, mutta lapsia voitaisiin hyvinkin valistaa verkossa vaanivista vaaroista sekä opettaa tietokoneen turvaamisen perusteet. Se, mitä tällä saavutettaisiin olisi paremmin suojattuja kotikoneita, joita olisi vaikeampi kaapata rikolliseen toimintaan sekä valistuneita netin käyttäjiä, jotka eivät lankea nigerialaiskirjeisiin tai muihin, ammattimaisemmin toteutettuihin huijausyrityksiin. Niinkuin liikennevalistus ei poista liikenneonnettomuuksia ei tämäkään poistaisi varsinaista ongelmaa, mutta tietämys asiasta vaikuttaisi asenteisiin ja monet ongelmat voidaan ennaltaehkäistä.

Alan koulutusta ammattikorkeakouluissa ja yliopistoissa: alan koulutusta tulisi antaa ammattikorkeakouluissa ja yliopistoissa. Teknillinen korkeakoulu (nykyään Aalto-yliopisto) järjesti aikoinaan (ehkä järjestää vieläkin) nk "hakkerikurssin". Perusfilosofia oli se, että jos et tunne yleisimmät hyökkäysperiaatteet etkä osaa niitä suorittaa, niin et osaa myöskään suojautua asianmukaisesti. Mielestäni tämä ajatusperiaate on aivan oikea. Silloinkin oli tahoja, jotka kauhistelivat kurssia ja ihmettelivät, opettaako TKK opiskelijoita rikolliseen toimintaan. Mediaankin noussut keskustelu oli varsin liioiteltu: kurssilla opetetut asiat eivät olleet ydintiedettä eikä ketään kannustettu mihinkään tihutyöhön; päinvastoin. Vastuullisesti koulutettiin opiskelijoita, joista suuri osa sittemmin on sijoutunut töihin erinäisiin tietoturvallisuustehtäviin. Yhdestäkään gangsterista en ole vielä kuullut.

Välijohtoportaan koulutus: monesti välijohtoporras on puun ja kuoren välissä: toisaalta pitää saavuttaa ylimmän johdon antamia tavoitteita, toisaalta pysyä budjetissa ja aikataulussa ja pitää asiakkaat tyytyväisinä. Kun joku turvallisuusihminen sitten tulee puhumaan uhkakuvista ja riskitekijöistä, saattaa tämä alussa kuulostaa ärsyttävältä itikalta, jota haluaisi liiskata seinään. Tämä johtoporras on kuitenkin tärkeässä roolissa turvallisuuden toteuttamisen kannalta ja heitä pitäisi saada näkemään turvallisuuden osana liiketoimintaa, eikä lisävelvoitteena, joka vain maksaa. Tämä voi olla vaikea pähkinä; ideoita?

Ylimmän johdon sekä poliittisen johdon tietämyksen parantaminen: myös ylimmän johdon sekä poliittisen johdon tietämyksen parantaminen aiheesta olisi tärkeätä. Heitä pitäisi saada näkemään kokonaisuuksia sekä sitä, miten kyberuhat voivat olla uhka valtion taloudelle ja turvallisuudelle. Kansallisen kyberturvallisuuden rakentamiseksi tarvitaan ehdottomasti tämän portaan tuki, jonka takia tietämystä aiheesta tulisi lisätä kokonaisvaltaisesti. Ei riitä, että uhka on tunnistettu siellä täällä, hajanaisesti. Tähän ehkä hyvin järjestetty teemapäivä, johon on kerätty edellä mainitusta kohderyhmästä edustajia, voisi olla paikallaan.

Avaan keskustelua siitä, mitä kohderyhmiä tulisi kouluttaa ja miten se voitaisiin tehdä! Olisi kiinnostavaa kuulla tämän blogin lukijoiden ajatuksia ja ideoita - keskustelu on toistaiseksi ollut todella mielenkiintoinen, joten odotan innolla kommenttejanne!

Kyberterrorismi - onko sitä?

Seuraavaksi nostaisin keskustelupöydälle kyberterrorismin (cyber terrorism) ja kyseenalaistaisin, onko sellaista?

Perinteisesti kun puhutaan kyberterrorismista voidaan tarkoittaa kahta asiaa: miten terroristijärjestöt käyttävät Internettiä oman toiminnan kehittämiseen sekä miten terrori-iskuja voitaisiin toteuttaa kyberavaruuden (= Internetin lisäksi kriittiset infrastruktuurit jne jne) kautta. Käytännössä tästäkään termistä ei ole yksiselitteistä määritelmää.

Terroristijärjestöt ovat jo vuosia sitten keksineet, miten Internettiä voidaan hyödyntää siten, että se tukee järjestön toimintaa. Nettiä on hyödynnetty tehokkaasti propagandaan, rekrytointiin, koulutukseen, peitetoimintaan, rahansiirtoon sekä viestintään ja iskujen suunnitteluun. Erilaisten verkkosivustojen kautta on levitetty voimakkaitakin viestejä, esim. videokuvia iskuista ja niiden aikaan saamista tuhoista, samalla painottaen järjestön omaa aatetta ja teon oikeutusta. Verkkokeskusteluiden ja tsättien kautta on tavoiteltu "tavallisia" ihmisiä ja saatu heidät liittymään järjestöön ja sen toimintaan. Koulutusta on annettu ja myös maaleja kyetty osoittamaan. Verkottunut toiminta on ollut hyvin tehokasta monessakin mielessä.

Mutta onko tämä "kyberterrorismia", vai pelkstään vihamielisten järjestöjen tapa käyttää Internettiä "kutakuinkin" samalla tavalla, kuin kaikki muutkin? Laillisetkin organisaatiot suunnittelevat, miten hyödyntävät netin tiedottamiseen, rekrytointiin, johtamiseen, tiedonvaihtoon jne. eikä silloin puhuta "kyberviestinnästä" tai "kyber-rekrytoinnista". Onko laiton toimintaperiaate yhtäkkiä peruste sille, että toiminnasta tulee "kybertoimintaa", jopa "kyberterrorismia"? Minun mielestäni ei. Aihepiiristä voi lukea lisää esim. Dr. Maura Conwayn tai Dr. Itamara Lochardin kirjoituksista.

Toinen määritelmä puolestaan liittyy ajatukseen, miten terroristijärjestöt voisivat toteuttaa terrori-iskun hyödyntämällä kyberavaruuden perinteisten fyysisten iskujen tilalla tai rinnalla. Tämä on varmaan ajatuksellisesti lähempänä sellaista toimintaa, mitä voitaisiin kuvata termillä kyberterrorismi. Tällaista ei olla (onneksi) toistaiseksi vielä koettu. Sinänsä on hyvinkin mahdollista, että esimerkiksi kriittiseen infrastruktuuriin kohdistuva verkkohyökkäys voisi saada aikaan sellaista tuhoa, jossa kuolee ihmisiä samalla laajuudella, kuin perinteisenkin iskun jäljiltä. Mitä eroa on sitten siinä, kuolevatko ihmiset räjähdykseen vai verkkohyökkäyksen aiheuttamaan tapahtumaan, jonka seurannaisvaikutus on samankaltainen?

Ero tulee EHKÄ siinä - ja nyt korostan sanaa EHKÄ, koska minulla ei ole psykologista taustaa enkä sinänsä ole terrorismin tutkija (toivottavasti joku lukijoistani on ja voi ottaa asiaan kantaa) - että terrori-iskuun liittyy vahva viestinnällinen komponentti; jotain, mikä herättää kansan riveissä pelkoa ja epävarmuutta, jotain mikä näyttää telkkarista tai nettivideosta katsottuna kamalalta ja herättää tunteita, jotain, mikä koskettaa. Näyttävä räjähdys fyysisessä maailmassa, jota me kaikki jollain tasolla ymmärrämme ja käsitämme, voi saada aikaan tällaisen tunnereaktion. Mutta voiko virtuaalisen maailman kautta tullut verkkohyökkäys, joka ei tavalliselle ihmiselle näy, kuulu, haise tai tunnu, aiheuttaa samanlaisen pelon tunteen? Tästä en ole niinkään varma!

Ja jos tämä pelon komponentti jää yhtälöstä pois, niin onko kyberympäristö terroristijärjestöille se  "tarkoituksenmukaisin" toimintaympäristö? Jääkö termi kyberterrorismi vain hypoteettiseksi ajatukseksi?

En osaa vastata. Toistaiseksi kuitenkin kyseenalaistan "kyberterrorismi" -käsityksen, joskaan en todellakaan vähättele ongelmaa, joka muodostuu terroristijärjestöjen tavasta hyödyntää Internettiä omiin tarkoituksiin. Mutta tulisiko sitä toimintaa kuitenkin käsitellä kyberrikollisuuden tavoin?