Kyberturvallisuudesta tuli loputon kilpajuoksu
Äskettäin Suomessa paljastunut Vastaamo-psykoterapiakeskuksen tietomurto on varoittava esimerkki siitä, kuinka tärkeää tietotekniikan suojaamisesta on tullut. Kyseessä on asianomistajien määrän perusteella maan historian suurin tietomurtorikos. Teknologia ohjaa jo nyt arkea ja muistaa muodossa tai toisessa kaiken tekemämme.
Myös kasvava osuus sodankäynnistä tapahtuu tietoverkoissa. Entisajan vakoilijat, kiristäjät ja sabotöörit saattoivat vain unelmoida samanlaisista mahdollisuuksista hyökätä yhteiskuntia vastaan.
Kyberuhilla valtavat mittasuhteet
Jotta kyberturvallisuudesta huolehtimisen todelliset mittasuhteet voisi ymmärtää, on ensin hahmotettava, kuinka keskeinen osa teollisen yhteiskunnan rakenteita sähköiset verkot tällä hetkellä ovat.
Teoriassa vain eläminen sähköttömässä mökissä lähdeveden ja luonnonantimien varassa ilman yhteyksiä ulkomaailmaan vapauttaisi meidät potentiaalisten kyberuhkien alta, mutta samalla väestön pitäisi supistua murto-osaan nykyisestä. Tämän hetken lähes kahdeksan miljardin yksilön ihmiskunta on selvitäkseen täysin riippuvainen sähköisistä verkoistaan. Niiden toiminta on nykyisin tuntemamme elämän ehto.
Käytännössä kaikki viestintä, rahaliikenne, ruokahuolto, energianhuolto, vesihuolto, rautatiet, laivaliikenne, lennonjohto, sairaanhoitopalvelut ja maanpuolustus ovat riippuvaisia sähköisistä verkoista ja niiden häiriöttömästä toiminnasta. Teknologian kehityksen myötä myös esimerkiksi autoliikenteen turvallisuus ja sujuvuus edellyttää lähes reaaliaikaista yhteyttä niin satelliitteihin kuin tietoverkkoihinkin.
Kyberhyökkäykset ovat voimakkaassa kasvussa
Heinäkuussa 2020 julkaistujen tilastojen mukaan 64 prosenttia maailman yrityksistä kertoo joutuneensa kyberhyökkäyksen kohteeksi. Hyökkäyksiä tapahtuu ympäri maailman joka päivä noin 30 000 kertaa.
Verkkoturvallisuusasiantuntijoiden mukaan yksin korona-aikana maaliskuun alusta lokakuun loppuun verkkohyökkäykset pankkeja vastaan ovat kasvaneet 238 prosenttia ja lisäksi erilaisten tietojen kalasteluyritysten määrä on kasvanut kuusinkertaiseksi aikaisempaan verrattuna.
Jos Suomessa Vastaamon potilasrekisterien hakkerointi ja niillä kiristäminen on noussut vuoden suurimmaksi rikosuutiseksi, myös muualla maailmassa terveydenhoitoalan yritysten kiristäminen vaikuttaa olevan meneillään oleva suuntaus.
Saksan toiseksi suurimmalta ohjelmistotalolta, Software AG:lta, kiristettiin lokakuussa 2020 yhteensä 20 miljoonan euron lunnaita.
Yhdysvaltain kansallisen kyberturvallisuuskeskuksen CISA:n lokakuun lopussa julkaistussa raportissa varoitetaan, että niin Yhdysvalloissa kuin muuallakin maailmassa satoihin sairaaloihin ja terveydenhoitoalan yrityksiin on tehty tai yritetty tehdä tietomurtoja viimeisten viikkojen aikana. Luku on lyhyessä ajassa merkittävästi kasvanut. Murtautujien keskeinen toimintatapa näyttää olevan potilastietojen varastaminen tai haittaohjelmien levittäminen. Molempia voidaan käyttää uhreiksi joutuneiden kiristämiseen.
Saksan toiseksi suurimmalta ohjelmistotalolta, Software AG:lta, kiristettiin lokakuussa 2020 yhteensä 20 miljoonan euron lunnaita Clop-nimisellä haittaohjelmalla, jolla rikolliset olivat onnistuneet saastuttamaan osan yrityksen sisäisistä tietoverkoista.
Samaan aikaan ranskalainen IT-jättiläinen Sopra Steria päätyi myöskin 20 miljoonan euron kiristyksen kohteeksi sen jälkeen, kun rikolliset olivat onnistuneet saastuttamaan osan yhtiön rahoitustietojärjestelmistä Ryuk-nimisen kiristysohjelmiston uusimmalla versiolla. Samaa ohjelmistoa on aikaisemmin käytetty myös muun muassa amerikkalaisen EWA-puolustusjärjestelmäyhtiön ja espanjalaisen Prosegus-logistiikkayhtiön kiristämiseen.
Myös maailman suurin risteilyvarustamo Carnival Corporation kertoi elokuussa joutuneensa tietomurron kohteeksi. Rikolliset olivat onnistuneet varastamaan yhtiön tietojärjestelmistä luottamuksellista dataa niin Carnivalin asiakkaista kuin sen työntekijöistäkin.
Muutamaa päivää myöhemmin varustamon turvallisuusasiantuntijat havaitsivat, että tietomurron yhteydessä hyökkääjät olivat onnistuneet ujuttamaan yhtiön tietojärjestelmiin kiristysohjelman, joka oli ilmeisesti tarkoitus ottaa käyttöön myöhemmin.
Kybersodankäynti avoimesti osa sotilasdoktriinia
Yksityisten rikollisten toiminta muodostaa vain yhden osan yhteiskuntia vastaan kohdistuvista tietoturvauhista. Yhä useammat valtiot ovat sisällyttäneet aivan avoimesti kybersodankäynnin osaksi virallista sotilasdoktriiniaan.
Valtioiden harjoittamaan kybersodankäyntiin sisältyvät muun muassa vakoilu ja verkon kautta tapahtuvat sabotaasit, joukkotiedotuksen häirintä, valheellisten uutisten levittäminen ja eri väestöryhmien usuttaminen toisiaan vastaan. Venäjän ja Kiinan erityisellä agendalla on ollut syöttää eri kanavien kautta länsimaisiin yhteiskuntiin valheita, joiden tarkoitus on horjuttaa uskoa demokratiaan toimivana yhteiskuntajärjestelmänä ja hajottaa länsimaiden yhteistyötä.
Myös vastapuolen informaatiotekniikan tekninen häirintä on keskeinen osa palettia. Venäjä julkaisi marraskuun alussa videon, jossa se esitteli erittäin tehokkaana pidetyn Murmansk BN -nimisen radiohäirintäjärjestelmän käyttöä. Venäjän mukaan se kykenee sotkemaan järjestelmällään koko Pohjois-Euroopan alueella niin vihollisen radioliikennettä, tutkia, satelliittipaikannusjärjestelmiä kuin täsmäaseitakin puhumattakaan tietokoneista, joiden välistä liikennettä se voi häiritä. On toinen asia, miten tehokkaasti venäläisten järjestelmä todellisuudessa toimii, mutta jo siitä kertominen on osa sotilaallista sapelinkalistelua, mikä kuuluu luonnollisesti myös kybersodankäynnin arsenaaliin.
Vaikka länsimaissa merkittävimpinä kyberuhkina pidetään tällä hetkellä Venäjää ja Kiinaa, myös lännessä nämä taidot osataan. Viime aikojen tunnetuimpia esimerkkejä lännen oletetuista verkkohyökkäyksistä on 2. heinäkuuta 2020 tapahtunut Iranin Natazanin ydinlaitoksen tulipalo, jonka epäillään olleen seurausta amerikkalaisten tai israelilaisten kyberhyökkäyksestä laitoksen järjestelmiin. Kumpikaan maa ei kuitenkaan ole julkisesti kertonut mahdollisesta osallisuudestaan.
Tapaus Huawei
Muun muassa Australia, Italia, Britannia, Ruotsi, Saksa ja Ranska ovat tänä vuonna kertoneet luopuvansa kokonaan tai osittain kiinalaisen teknologian ja erityisesti Huawein tuotteiden käytöstä 5G-verkkojen rakentamisessa. Syynä on huoli Kiinan mahdollisesta verkkovakoilusta sekä Yhdysvaltain painostus.
Suomessa Huawein laitteita ei ole erikseen kielletty eikä niitä ole liikenneministeri Timo Harakan (sd.) mukaan tarkoituskaan erikseen kieltää. Jos käytössä olevissa tai hankittaviksi suunnitelluissa laitteissa havaitaan turvallisuusuhkia, ne voidaan poistaa käytöstä tai niiden käyttöönotto voidaan estää jo nykyisen kansallisen lainsäädännön perusteella.
Britannian kansallista kyberturvallisuuskeskusta, Britain’s National Cyber Security Centrea vuodesta 2013 syyskuuhun 2020 johtaneen Ciaran Martinin varoitusten mukaan länsimaiden on ymmärrettävä, että Kiina pyrkii imuroimaan kaiken mahdollisen tiedon länsimaisesta teknologiasta, sen suunnittelijoista ja valmistajista.
Martinin mukaan kysymys on laajasta kokonaisuudesta, jossa Kiina kokoaa kaikkialta maailmasta koko ajan enenevässä määrin kaiken saatavilla olevan tiedon, jota se voi hyödyntää oman teknologiansa ja geopopiittisen etumatkansa rakentamiseen.
Martinin mukaan brittien havaintojen mukaan myöskään yksin Huawein 5G-teknologian kieltäminen ei ole kuin yksi komponentti kokonaisuudessa. Hänen mukaansa on aivan selvää, että Kiinan jo tähän mennessä länsimaihin rakentamia tiedonkeräysjärjestelmiä on erittäin vaikea paikallistaa ja purkaa.
Toisin kuin venäläiset, kiinalaiset myös osaavat käyttää esimerkiksi teollisuusvakoilulla keräämiään tietoja huomattavan tehokkaasti sellaisten tavaroiden ja palveluiden kehittämiseen, jotka kykenevät kilpailemaan länsiyritysten tuotteiden kanssa.
Martinin mukaan kiinalainen teknologia on läpäissyt koko maailman niin tehokkaasti, että sen kieltäminen kokonaisuudessaan ei ole enää mahdollista. Sen sijaan länsimaiden tulisi merkittävästi lisätä panostuksiaan tutkimukseen ja tuotekehitykseen, jolloin kiinalaista teknologiaa tarvittaisiin mahdollisimman vähän.
Robotiikka avaa väyliä kyberhyökkäyksille
Oman merkittävän haasteensa kyberturvallisuudesta huolehtimiseen tuo robotiikan ja tekoälyn käytön lisääntyminen teollisuudessa. Teollisuusrobottien määrä lisääntyy maailmassa noin 20 prosentin vuosivauhtia.
Elokuussa 2020 julkaistussa Rogue Automation – Vulnerable and Malicious Code in Industrial Programming –raportissa tutkijat Federico Maggi ja Marcello Pogliani varoittavat, että robottien käyttöjärjestelmäheikkoudet avaavat kehittyneille hakkereille suoran väylän päästä vakoilemaan robottien valmistamiin tuotteisiin liittyviä teollisia salaisuuksia tai suoraan vahingoittamaan robotteja käyttäviä tuotantolaitoksia.
Raportin mukaan mahdolliset kyberhyökkäyksiin käytettävät tietokonekoodit robotteja käyttävää teollisuutta vastaan voidaan ajoittaa tulevaisuuteen, jolloin esimerkiksi kokonaiset teollisuudenalat saadaan halvaannutettua samalla minuutilla vahinkojen maksimoimiseksi.
Italialaistutkijat olivat löytäneet merkittäviä turvallisuuspuutteita muun muassa ruotsalais-sveitsiläisen robottivalmistajan ABB:n tuotteista. Yhtiö on yksi maailman suurimmista teollisuusrobottien valmistajista. Bloombergin uutistoimiston mukaan ABB on ilmoittanut ainakin toistaiseksi tukkineensa sen käyttöjärjestelmissä havaitut turvallisuusaukot.
EU etsii keinoja kyberuhkien torjuntaan
Euroopan unionissa haetaan parhaillaan yhä tehokkaampia keinoja maanosan kyberturvallisuuden kehittämiseen. Keskeisesti taustalla ovat olleet Venäjän tunkeutumiset eri EU-maiden hallitusten, yritysten ja muun muassa sairaaloiden tietojärjestelmiin, mutta myös kasvava huoli siitä, mitä Kiina on tekemässä.
EU-maiden valtionpäämiehistä koostuva Eurooppa-neuvosto määräsi heinäkuussa 2020 ensimmäistä kertaa pakotteita kyberhyökkäyksistä vastuussa olevia henkilöitä ja organisaatioita vastaan. Näitä olivat muiden muassa Kemiallisten aseiden kieltojärjestöön OPCW:hen kohdistunut hyökkäysyritys sekä yleisesti nimillä Wannacry, NotPetya ja Operation Cloud Hopper tunnettujen haittaohjelmien levittäminen. Juridisesti pakotteet mahdollistanut lainsäädäntö oli hyväksytty jo toukokuussa 2019.
EU:n naiviuden aika on ohi.
EU:ta on viime vuosina kritisoitu välillä rajustikin siitä, ettei se ota kyberturvallisuusuhkia riittävän vakavasti. Europarlamentin ranskalaisjäsenen ja viime kesänä perustetun, kyberhyökkäysten torjuntaan tarkoitetun parlamentin erityisvaliokunnan puheenjohtajan Raphael Glucksmannin mukaan viimeistään nyt EU:n on perusteellisesti analysoitava perusteellisesti sitä vastaan kohdistetut uhat ja vastattava niihin riittävillä resursseilla.
”EU:n naiviuden aika on ohi”, Glucksmann sanoi Euobserver-verkkolehden haastattelussa syyskuussa.
Sitä mukaa kun verkkorikollisuus kasvaa, yritykset ja organisaatiot joutuvat panostamaan yhä enemmän tietojärjestelmiensä kyberuhkien monitorointiin ja torjuntaan. Loppuvuoden 2020 EU:n kiertävänä puheenjohtajamaana toimineen Saksan kaavailujen mukaan varautuminen kyberuhkiin on tulevaisuudessa huomioitava kaikessa siinä tekniikassa, mikä unionin alueella hyväksytään käyttöön. Vaatimukset koskisivat kaikkea viranomaisten ja yritysten käyttämää teknologiaa sekä kuluttajatekniikkaa.
On myös muutama yksinkertainen keino, joilla verkkohyökkäysten aiheuttamien vahinkojen riskiä voidaan pienentää jo nyt. Yksi niistä on käyttää aina viimeisimpiä ohjelmistoversiota, koska niissä on yleensä myös mahdollisimman ajan tasalla olevat virustorjuntaominaisuudet. Toinen on käyttää riittävän vahvoja salasanoja sekä monivaiheista tunnistautumistekniikkaa ja kolmas on huolehtia siitä, että kaikista tiedoista on tehty varakopiot turvalliseen paikkaan.
