Cyberwatch-kvartaalikatsaus Q1 / 2018

Transkriptio

1 Cyberwatch-kvartaalikatsaus Q1 / Kybertapahtumat osana poliittisen ilmapiirin kiristymistä. 2. Kyberturvallisuuden strateginen johtaminen Suomessa. 3. Facebook ja Cambridge Analytica - tiedonkeruun realiteetit julki. 4. Tietovuotojen yhteiskunnallinen ulottuvuus Suomessa. 5. EU panostamassa jopa 1.5 miljardia euroa vuosittain kyberturvallisuuden kehittämiseen. Cyberwatch - trust beyond horizon 1

2 Cyberwatch-kvartaalikatsaus Q1 / 2018 Tässä kvartaalikatsauksessa tarkastellaan kybertilannekuvaa hieman laajemmalla perspektiivillä ja yleisemmällä tasolla. Tilannekuvan fokus on alkuvuoden tapahtumissa, mutta tarkastelussa otetaan huomioon myös aikaisempia ja huhtikuun alun tapahtumia. Tilannekuva Alkuvuoden tapahtumien valossa maailmanpoliittiset jännitteet näyttävät kiristyvän entisestään. Polttopiste siirtyi Pohjois-Koreasta Syyriaan, mutta valtapolitiikan suurvallat Yhdysvallat, Venäjä ja Kiina jatkavat valtataisteluaan useammalla rintamalla. Tämän hetken kehitystä ei voi kovin diplomaattiseksi kehua. Protektionismi lisääntyy ja kauppasota uhkaa. Merkillistä on, että Yhdysvallat käytännössä ajaa talouspakotteidensa kautta Kiinaa entistä itsenäisemmäksi ja omavaraisemmaksi, edesauttaen Kiinan kehittymistä seuraavaksi talousmahdiksi. Yhdysvalloilla on selvästi enemmän hävittävää kuin voitettavaa tässä kauppasodassa. Informaatiovaikuttamista, kyberhyökkäyksiä ja niistä syyttämistä käytetään entistä enemmän poliittisina vaikutuskeinoina. On yhä vaikeampi hahmottaa, onko kyseessä kyberhyökkäys itsessään syy vai poliittisen päätöksen seuraus. Huolestuttava suunta on, että syylliset etsitään ja nimetään entistä rohkeammin ja nopeammin. Enää ei "epäillä" vaan syytetään kyberhyökkäyksistä virallisesti valtiotasolla. Tällä halutaan antaa vahva poliittinen viesti, että "tiedetään mitä verkossa tapahtuu", vaikka täyttä varmuutta ei olisikaan. Näitä syytöksiä on mahdollista käyttää myös informaatiovaikuttamisen välineenä ja harhautuskeinoina. Hybridivaikuttamisesta on tullut jokapäiväistä toimintaa ja uusia toimintatapoja kokeillaan ja kehitetään jatkuvasti. Näyttää siltä, että poliittiset tavoitteet ohjaavat entistä enemmän hybridivaikuttamisen kehitystä. Moderneilla kyberhyökkäyksillä on tässä merkittävä rooli. Siksi myös kyberturvallisuuden johtamiselta vaaditaan strategista otetta. Suomen ensimmäiseksi hybridisuurlähettilääksi nimettiin ulkoasiainneuvos Mikko Kinnunen. Hänen tehtävänsä on vahvistaa ulkoministeriön työtä hybridikysymyksissä ja auttaa luomaan Suomen profiilia kansainvälisessä toiminnassa. 1 Muuttunut turvallisuustilanne on vaikuttanut myös Suomen uhkakuvaan. Suojelupoliisin vuosikirjassa nostetaan esille yritysvakoilun ja kyberturvallisuuden uhkakuvat. Kybervakoilun tarjoamat mahdollisuudet ovat muuttaneet tiedustelumaailman toimintatapoja. Ulkoministeriön näkökulmasta hybridikysymykset saattavat kytkeytyä ulko- ja turvallisuuspolitiikkaan, oikeudellisiin ja kaupallisiin kysymyksiin, strategiseen viestintään tai vaikkapa kansainväliseen kyberyhteistyöhön eli käytännössä kaikkeen, mitä ministeriö edustustoverkkoineen tekee - Mikko Kinnunen, UM Suomen tiedustelulain käsittely etenee ja paineet sen voimaansaattamiseksi kasvavat. Facebookin tapaus nosti esiin tietojen keräämisen ja hyödyntämisen globaalit realiteetit. Tämä tapaus nostanee esiin vihdoin tietosuojalakien kehittämistarpeet myös Yhdysvalloissa. EU panostaa merkittävästi kyberturvallisuuden kehittämiseen. Koulutustarjonta kehittyy ja yhteistyö eri toimijoiden kesken vie asioita oikeaan suuntaan. EU:n yleinen tietosuoja-asetus (GDPR) astuu voimaan , jonka jälkeen sitä sovelletaan kaikissa EU maissa. Tähän on aikaa enää reilu kuukausi! 1 2

3 1. Kybertapahtumat osana poliittisen ilmapiirin kiristymisestä. Yhdysvaltojen ja Kiinan välinen kauppasota on käynnistymässä ja osoittaa pahaenteisesti laajentumisen merkkejä. Yhdysvaltojen ja Venäjän välit ovat kiristyneet entisestään Englannissa tapahtuneen Skripalin myrkytystapauksen ja Syyrian myrkkykaasuiskujen jälkeen. Venäjä on ottanut vahvan roolin Syyrian puolustamisessa kiistäen hermokaasuiskut ja estäen niiden tutkinnan mandatoinnin YK:n turvallisuusneuvostossa. Venäjä on myös uhannut vakavilla vastatoimilla Yhdysvaltoja, Britanniaa ja Ranskaa. Tämä saattaa tarkoittaa myös kyberoperaatioita. 2 Samanaikaisesti Yhdysvaltojen turvallisuusviranomainen US-CERT 3 on julkaissut varoituksen Venäjän ilkeämielisitä kyberoperaatioista Yhdysvaltojen kriittistä infraa vastaan. Suuntana tämä on huolestuttava, sillä tässä kiristyneessä tilanteessa, mikä tahansa "riittävät todisteet" omaava kyberhyökkäys voidaan tulkita sotatoimeksi tai siihen rinnastettavaksi operaatioksi aiheuttaen vakavamman tilanteen eskaloitumisen. Valtio Yritykset ja organisaatiot Kansalaiset Poliittinen - Kyberoperaatiot poliittisten päämäärien tukena - Vakoilu, tiedustelu - Vaalit, vaikuttaminen - Yritysten joutuminen poliittiseen valtapeliin (Kaspersky, Fortum) - Uusia liiketoimintamahdollisuuksia - Yritysvakoilu - Valeuutiset - Sosiaalinen media - Informaatiovaikuttaminen - Epävarmuuden lisääminen Ekonominen - Kauppasota - Talouspakotteet - Vienti- ja tuontirajoitteet - Vienti- ja tuontirajoitteet kohdistuvat yrityksiin - Lisää epävakautta - Saattaa aiheuttaa pulaa materiaaleista - Saattaa vaikuttaa joidenkin tuotteiden saatavuutta ja nostaa hintoja pidemmällä aikavälillä Sosiaalinen - Kiristää valtioiden arvomaailmaa - Lisää protektionismia - Vaikeuttaa yritysten liiketoimintaa - Saattaa luoda jännitteitä organisaatiokulttuuriin - Informaatiovaikuttaminen - Yleisen mielipiteen muovaaminen Tekninen - Valtiollinen vakoilu - Kohdennetut hyökkäykset - Tietojen kalastelu - Kiristyshaittaohjelmat - Virtuaalivaluuttoja louhivat haittaohjelmat - Palvelunestohyökkäykset - Henkilöillä vastuu omien laitteiden ja salasanojen suojaamisesta - Haasteena teknologisen osaamisen puute Juridinen - Harmaalla alueella - Hyökkäyksien tekijää vaikea todentaa - Organisaatiot vastuussa omasta suojautumisestaan - Lähes mahdotonta saada hyökkääjiä vastuuseen - Viranomaisten resurssit riittävät vain vakavien rikosten selvittämiseen Taulukko 1: Kybertapahtumat osana poliittisen ilmapiirin kiristymistä

4 2. Kyberturvallisuuden strateginen johtaminen Suomessa. Valtioneuvoston kanslian tilaaman tutkimushankkeen 4 tavoitteena oli määritellä mitä kyberturvallisuuden strateginen johtajuus on ja miten sitä toteutetaan osana kokonaisturvallisuuden vastuumallia. Lisäksi tarkasteltiin, miten häiriötilanteiden hallinta toteutetaan laajoissa kyberturvallisuuden häiriötilanteissa sekä miten kyberturvallisuuden strateginen johtaminen on organisoitava ja millainen on valtionhallinnon kyberturvallisuuden johtamisen rakenne. Tutkimuksen tavoitteet ovat varsin kunnianhimoiset mitä on pidettävä hyvänä, koska kybermaailman muutokset ovat olleet nopeita ja haastavat Suomenkin perinteiset toimintatavat. Tämän tutkimushankeen suositukset ja analyysit antavat varmasti hyvät lähtökohdat tänä vuonna käynnistyvälle kansallisen kyberstrategiamme päivitystyölle. Valtio Yritykset ja organisaatiot Kansalaiset Poliittinen - Kybertilannekuva valtiojohdon päätöksenteon tukena päämäärien - Kyberturvallisuuden johtaminen osaksi valtiojohtoa - Parantaa suomalaisten yritysten kilpailukykyä ja kiinnostavuutta globaaleilla markkinoilla - Riskinä yritysten leimautuminen "valtiollisiksi toimijoiksi" - Suomesta turvallinen paikka elää ja yrittää - Luottamus viranomaisiin Ekonominen - Parantaa Suomen omavaraisuutta kyberturvallisuudessa - Luo työpaikkoja - Luo uusia liiketoimintamahdollisuuksia - Parantaa kilpailukykyä - Yhteistyö PPP-sektorilla - Lisää kansalaisten luottamusta digitalisiin palveluihin - Lisää koulutustarpeita ja -mahdollisuuksia Sosiaalinen - Yhtenäistää käytänteitä valtiohallinnossa - Parantaa tiedonkulkua ja vuorovaikutusta eri toimijoiden kesken - Parantaa tietoturvakulttuuria - Auttaa luomaan yhteistä toimintamallia ja kyberturvallisuuden mittaristoa - Kansallinen kybertietoisuuden ja koulutuksen parantaminen Tekninen - Nopeampi reagointi uusin uhkiin ja hyökkäyksiin - Prosessit, tekniikka ja ihmiset - Parempi toipumiskyky kyberhyökkäyksistä - Tekoälyn hyödyntäminen - Yritysten toipumiskyky - Kiristyshaittaohjelmat - palvelunestohyökkäykset - Tietojen kalastelu - Turvallisuusratkaisut kehittyvät ja niiden käytettävyys paranee - Haasteena teknologisen osaamisen puute Juridinen - Lainsäädäntö vastamaan kyberajan haasteita - Selvät pelisäännöt ja vastuut yritysten ja toimijoiden kesken Taulukko 2: Kyberturvallisuuden strateginen johtaminen Suomessa. - Laki kansalaisten ja heidän yksityisyyden suojan puolella 4 4

5 Tutkimuksessa korostuu, että kyberturvallisuus on koko yhteiskunnan asia. Tämän kehityksen vuoksi varautumista yhteiskunnalle välttämättömien tietoteknisten järjestelmien ja rakenteiden toimivuuteen kyberuhka ja -häiriötilanteissa tulee tehostaa jo normaalioloissa. On erityisesti otettava huomioon, että suomalaisen yhteiskunnan ja yritysten riippuvuus kybertoimintaympäristöstä kasvaa entisestään tulevina vuosina. Kyberturvallisuuden johtaminen sisältää erityispiirteitä, jotka poikkeavat muista normaaliaikojen ja poikkeusolojen häiriötilanteista. Keskeisin tekijä on aika. Kyberhyökkäyksen valmistelu on mahdollista toteuttaa salassa ja pitkän ajan kuluessa, mutta itse hyökkäys voidaan toteuttaa erittäin lyhyessä ajassa. Kyberuhkien lisäksi tutkimuksessa korostuu, että kyberturvallisuus on myös suuri mahdollisuus parantaa koko yhteiskuntamme kilpailukykyä - jos digitalisaatiota ja sähköisiä palveluja rakennetaan käsi kädessä kyberturvallisuuden kanssa. Suomi tavoittelee johtajuutta kybermaailmassa, tämä tavoitteen saavuttaminen edellyttää tämän tyyppisten tutkimusten tarjoamien itsearvioiden ottamista vakavasti ja kaikkien yhteiskuntamme avainpelaajien yhteisiä ponnistuksia asioiden parantamiseksi. 3. Facebook ja Cambridge Analytica - tiedonkeruun realiteetit. Yhdysvaltojen ja eräiden muidenkin maiden vaalituloksiin vaikuttaminen on ollut näkyvästi esillä jo parin vuoden ajan aiheuttaen laajaa epäluottamusta sähköistä äänestystä ja sosiaalista mediaa kohtaan. Käyttäjätietoihin perustuvaa kohdennettua markkinointia on tehty vuosikaudet. Se on ollut Facebookin, Googlen ja monien muun yritysten toiminnan kivijalka. Myös sosiaalisen median kanavia, erityisesti Facebookia, on ennenkin käytetty menestyksekkäästi poliittiseen kampanjointiin. Facebook myönsi maaliskuussa 87 miljoonan käyttäjän tietojen vuotamisen Cambridge Analyticalle (CA) 5, joka puolestaan on käyttänyt tietoja mm. Yhdysvaltojen vaalikampanjassa. CA hyödynsi tiedonkeruuseen mm. Aleksandr Koganin 6 "tutkimustarkoitukseen" kehittämää Facebook-sovellusta "This Is Your Digital Life". Muodostettujen profiilien perustella toteutettiin tarkkaan kohdennettu Facebook-kampanja, ns. microtargetting. On hyvin todennäköistä, että muitakin vastaavia tiedonkeruu testejä ja sovelluksia on käytetty tiedon keräämiseen. 7 Tiedot on kerätty Facebookin silloisten käyttöehtojen puitteissa laillisesti. Se että tiedot on päätyneet kaupalliseen käyttöön CA:lle on jo kyseenalaista. Kuten myös se, ettei Kogan ollut tuhonnut tietoja toisin kuin oli luvannut ja että sovellus mahdollisti myös Facebook käyttäjien yksityisviestien lataamisen

6 Toki voi epäillä, onko Kogan tai hänen perustama yritys Global Science Research (GSR) luovuttanut tietoja myös muille toimijoille tai toiminut jopa linkkinä Venäjän hallintoon. Kogan itse toimii professorina sekä Cambridgessä että Pietarin ylipistossa, jossa hän luennoi mm. Facebookin mahdollisuuksista tiedonlouhintaan 8. Huomioitavaa kuitenkin on, että CA:n taustalla ovat yhdysvaltalaismiljardööri Robert Mercer 9, jota tituleerataan mieheksi Trumpin voiton takana, sekä Trumpin entinen neuvonantaja Steve Bannon. Valtio Yritykset ja organisaatiot Kansalaiset Poliittinen - Poliittisten päämäärien ohjaaminen - Oleellisena osana vaalikampanjoita - Vakoilu ja tiedustelukanava - Asiakassegmentointi tärkeä osa markkinointia - Uusia liiketoimintamahdollisuuksia - Suuri yritysvakoilun ja tietovuotojen riski - Mielipidevaikuttaminen - Tarkkaan kohdennetut poliittiset kampanjat (micro-targetting) - Luottamus politiikkaan murenee Ekonominen - Valtio menettää verotuloja mainosrahojen valuessa ulkomaille - Merkittävä viestintä- ja markkinointikanava - Yrityksillä ei ole todellisia vaihtoehtoja Facebookille - Facebookin muutokset saattavat vaikuttaa yritysten prosesseihin ja palveluihin - Facebook saattaa parantaa palvelua ja yksityisyydensuojaa yksityishenkilöiden näkökulmasta Sosiaalinen - Valtioiden ja ulkomaisten yritysten vaikutusmahdollisuudet toisen maan arvomaailmaan ja kulttuuriin - Yrityssalaisuuksia ja tietoa yhteistyöverkostoista - Suuri yritysvakoilun ja tietovuotojen riski - Tarkkaan kohdennettua viestintää ja mainontaa - Käytettiin jopa ihmisten pelkoja ja unelmia viestin kohdistamisessa Tekninen - Valtiollinen vakoilu - Kohdennetut hyökkäykset - Tietojen kalastelu - Toimii tiedustelukanavana ja kiristyshaittaohjelmien jakelun kohdistamisessa - Facebook-sovellusten käyttömahdollisuuksien rajoitukset - Tekoäly hoitaa viestinnän ja oppii ihmisten tyylin - Ihmisten vaikea tunnistaa palveleeko häntä ihminen vai kone Juridinen - Harmaalla jopa laittomalla alueella - Hyökkäyksien tekijää vaikea todentaa - Yritysten tiedot ulkomaisten toimijoiden hallussa - Tietoista väärinkäyttöä vaikea osoittaa - Yksityisyyden suoja heikko, mutta paranee Facebookin muutosten myötä - GDPR vaikuttaa myös Facebookiin Taulukko 3: Facebook ja Cambridge Analytica - tiedonkeruun realiteetit julki

7 Facebookin (FB) ja Cambridge Analytican (CA) tapaus nosti esiin sen uhkakuvan ja todellisuuden, mitä on usein vähätelty - kaupallinen ja markkinointitarkoitukseen tiedonkerääminen, profilointi ja siihen perustuva tarkoin kohdennettu viestintä muodostaa uhkan länsimaiselle demokratialle, yhteiskuntamallille ja yksityisyydensuojalle. CA-tapaamisissa salaa kuvatut videot 10 paljastivat, kuinka röyhkeästi eri kanavia kerättyjä tietoja hyödynnetään, ja kuinka kyseenalaisia keinoja käytetään esimerkiksi presidentinvaalien kampanjoinnissa. Odotettavissa on myös uusia toimintatapoja, joilla kyberrikolliset pyrkivät hyödyntämään kaupallisten toimijoiden keräämiä tietoja. Sosiaalisen median palvelut globaaleina tiedustelukanavina Meihin vaikutetaan jatkuvasti monin eri tavoin. Pahinta on, että usein emme sitä itse edes huomaa. Juuri tähän perustuu Cambridge Analytican ja monen muun vastaavan yrityksen toiminta. Lisääntyvä uutissyötteiden ja lööppien tietotulva muodostaa toimintaympäristön, jossa ihmisten on rajattava tietolähteet vain heitä kiinnostaviin uutisiin ja foorumeihin, mikä puolestaan luo ennennäkemättömät informaatiovaikuttamisen mahdollisuudet digitaalisessa maailmassa - kokonaisvaltaisen asiakaskokemuksen, sanoisi markkinointivastaava. Mutta missä menevät uutisoinnin, markkinoinnin ja mainonnan sekä mielipidevaikuttamisen moraaliset rajat digitaalisella aikakaudella? On Yhdysvaltojen etu, että Facebook, Google, Microsoft ja muut teknologiajätit keräävät tietoa globaalisti. Tämä tuo merkittävät kanavat Yhdysvaltojen tiedustelupalveluiden käyttöön ja antaa konkreettisen edun suhteessa muihin valtioihin. Määrätietoinen ja johdonmukainen valtiollinen vakoilu on jatkuvaa. Sosiaalisen median kanavat tarjoavat tietomassoineen ja ihmissuhdeverkostoineen ennennäkemättömät mahdollisuudet tiedusteluun. Kybermaailma mahdollistaa entistä tehokkaammat keinot monipuoliseen vakoiluun sekä mahdollistaa tiedusteluorganisaatioiden uudet ja entistä aggressiivisemmat toimintatavat. Kyberhyökkäysten ja tiedustelun näkökulmasta huomioitavaa on, että kriittisen tiedon lähteenä onkin kolmas osapuoli, yhteistyökumppani tai palveluntarjoaja. Tietomurtojen kohdalla tulisikin pohtia, keihin tai mihin varastetun tiedon avulla voidaan vaikuttaa tai yrittää murtautua seuraavaksi. Yritysten tulisi kyberturvallisuuden kehittämisessä ottaa huomioon entistä paremmin koko heidän toimintansa ekosysteemi ei vain oma yrityksensä

8 4. Tietovuotojen yhteiskunnallinen ulottuvuus Suomessa. Maailman tapahtumat näkyvät myös Suomen turvallisuusympäristön muutoksissa. Tämä tulee esiin myös Suojelupoliisin 2017 vuosikirjassa. 11 Suomen tiedustelulain käsittely etenee valiokuntakäsittelyssä ja sen käyttöönottoon kohdistuvat paineet kasvavat. Helmikuisessa lähetekeskustelussa oli vain kaksi puheenvuoroa, jossa edes mainittiin Facebookin ja vastaavien ulkomaisten palveluiden merkitys myös suomalaisten tietosuojasta puhuttaessa. Tämä kertoo osittain myös siitä, ettei digitaalisen aikakauden todellisia vaikutuksia ymmärretä tai osata tulkita. Facebookin tapaus nosti esiin tietojen keräämisen globaalit realiteetit myös täällä Suomessa. Eräiden arvioiden mukaan Cambridge Analyticalle saattoi päätyä myös suomalaisen tiedot. 12 Käytännössä ei ole mitään takeita sille, mitä kolmannet tai neljännet osapuolet tekevät kerätyllä datalla. Tietojen anonymisoinnin kautta datasta poistetaan yksilöivät henkilötiedot, jonka jälkeen datasta tulee laillista tilasto- ja profilointitietoa, johon ei enää sovelleta henkilötietolakia. Käytännössä henkilöt saattavat olla kuitenkin tunnistettavissa esimerkiksi neljännen osapuolen hallussa olevan datan perusteella tai tietoja analysoivan tekoälyn avulla. Onneksi GDPR tuo tilanteeseen hieman parannusta, vaikkei suojaakaan meitä rikolliselta tai valtiolliselta tiedustelutoiminnalta. Terveys- ja potilastiedot syynissä Alkuvuoden aikana olemme nähneet huolestuttavia uutisia terveyssektorille kohdistuneista tietomurroista. Tammikuussa tietomurron kohteena oli 2,8 miljoonan norjalaisen terveystiedot, maaliskuussa 150 miljoonan käyttäjän MyFitnessPal -käyttäjätunnukset. Tämän lisäksi Suomessa tuli esiin Lifecarepotilastietojärjestelmän ohjelmistovirheistä aiheutuneita toistuvia ongelmia 13, sekä Helsingin ja Uudenmaan sairaanhoitopiirin (HUS) potilaiden sairaskertomuksia päätyi väärille ihmisille ulkopuolisen palveluntarjoajan virheen vuoksi. Sairaala- ja hoitopalveluihin liittyvää terveysdataa voidaan pitää erityisen arkaluonteisena ja myös valtiollisia toimijoita kiinnostavana tietona. Terveystietojen päätyminen vääriin käsiin olisi monin verroin vakavampi tilanne kuin pelkkä henkilötietojen vuoto. Siksi potilas- ja terveystietojärjestelmät sekä niihin liittyvät prosessit tulisi nostaa entistä korkealle turvallisuuspriorisoinnissa. Myös potilaan näkökulma tulisi ottaa huomioon. Mitä esimerkiksi tehdään, kun potilaan terveystiedot ovat vuotaneet? Kuinka potilaan, eli yksittäisen kansalaisen tulisi siinä tilanteessa toimia? Kaupungit ja kaupunkien palvelut alttiita kyberhyökkäyksille Kaupungit ja kaupunkien palvelut ovat alttiita kyberhyökkäyksille siinä missä kaupalliset yritykset tai suuret kansainväliset jätitkin. Kaupungit ovat harvoin varautuneet laajamittaisiin hyökkäyksiin. Kunnilla ja kaupungeilla voi olla haasteita rakentaa toimintamalleja, jotka kattaisivat myös vanhat järjestelmät, sekä muuttaisivat organisaation turvallisuuskulttuurin. Yksi syy kaupunkien nouseminen potentiaalisiksi kohteiksi on, että kyberrikolliset näyttävät siirtyneen kiristyshaittaohjelmien levittämisen sijaan kryptovaluuttojen louhintaan. Tämän sai kokea helmikuussa

9 Lahden kaupunki, jonka tietojärjestelmät joutuivat Monero-kryptovaluuttaa louhivan WannaMine 14 haittaohjelmahyökkäyksen kohteeksi 15. Vaikka haittaohjelmien kiristyssummat eivät olisi suuria tai louhintahaittaohjelma kuluttaa lähinnä prosessoriaikaa ja sähköä, voi järjestelmien ja tietojen palauttamisen kustannukset nousta hyvinkin suuriksi, puhumattakaan mahdollisista palvelukatkoksista aiheutuvasta haitasta. 16 Helsingin uusiyrityskeskuksen käyttäjätunnuksen ja salasanan varkaus 17 tulisi viimeistään herättää jokaisen suomalaisyrityksen ja organisaation tarkistamaan oman organisaationsa tietoturvan tila ja tehdä uusi riskianalyysi tämän hetken muuttuneessa turvallisuustilanteessa. 5. EU panostamassa jopa 1.5 miljardia euroa vuosittain kyberturvallisuuden kehittämiseen. Kyberalan kilpajuoksu jatkuu kovana maailmalla. Satsaukset kyberturvallisuuden kyvykkyyksien kehittämiseen vaativat yhä suurempia investointeja ja nopeampaa reagointikykyä. USA:n investoinnit ovat nyt yli 20 Mrd dollaria vuodessa ja UK:ssa lähennellään kolmea miljardia puntaa. Euroopan Unioni sekä pääosa EU:n jäsenmaista ovat UK:ta lukuun ottamatta jääneet lähtökuoppiinsa ja samalla eurooppalaista alkuperää olevien kyberturvatuotteiden maailman markkinaosuus on alle viidessä vuodessa pudonnut kolmestatoista prosentista seitsemään. Dynaaminen markkina ja varsin hidas EU byrokratia eivät ole olleet ihan yhteensopivia, mutta nyt EU:ssa puhaltaa muutosten tuuli. Syyskuussa 2017 julkistettiin ensimmäinen ehdotus EU Kyberturva-asetuksesta, joka alkaa nyt saada päälinjauksia. Vuoden 2018 aikana käynnistetään kolme pilottihanketta, joiden tarkoituksena on kehittää uudentyyppisiä innovaatioverkostoja sekä luoda EU:n digitaaliselle sisämarkkinalle uusia tapoja vahvistaa sisästä kyberturvaa mutta unohtamatta myös EU:n globaalia kilpailukykyä. Pilottivaiheessa investoidaan kolmeen pilottihankkeeseen 50 miljoonaa euroa, mikä kuulostaa globaalissa mittakaavassa vielä hyvin kosmeettiselta. Tämä on kuitenkin hidasliikkeisen EU:n tunnustelua huomattavasti suuremmalle panostukselle

10 EU aikoo uuden asetuksen myötä panostaa miljardia euroa vuodessa kyberturvan kehittämiseen, vuodesta 2021 eteenpäin. Investoinnit sisältävät sekä kilpailukykyä parantavia, tutkimusta ja koulutusta edistäviä sekä myös kokonaan uutena yhteistyösektorina kyberpuolustukseen tähtääviä koko EU:n kattavia suuria hankkeita. Jos tämän lisäksi jäsenvaltiot tekevät myös omia suoria investointeja maidensa kyberturvan kehittämiseen, on EU:llakin mahdollisuus päästä takaisin globaaliin kyberalan kilpajuoksuun mukaan, ehkei heti keulille mutta ainakin mukaan parantelemaan asemiaan. EU joutuu muuttumaan ja sopeutumaan hyvin uudenlaisiin tilanteisiin. Suurvallat ovat aloittaneet kauppasodan, jossa Venäjän ja muun maailman välillä on kauppapakotteita, USA:n ja muun maailman välillä on rakentumassa kauppamuuri ja Kiina on alkanut hiljalleen ottaa johtajuutta omiin käsiinsä maailman politiikassa. Luottamuksesta on muodostunut uutta pääomaa politiikkaan, ja sitä on nyt hyvin vähän ollut viime aikoina jaossa. EU:lla on tässäkin mielessä huomattava näytön paikka. Sisämarkkinat on saatava kehittymään ja samalla on kyettävä luomaan uusia mekanismeja suojata Euroopan kilpailukykyä. EU:lla on varsin mittava ohjelma uudistuksia käynnissä, jolla pyritään luomaan sisäistä kilpailukykyä ja horjuttamaan globaalia kilpailuasetelmia digitalisaation ympärillä. GDPR on ensimmäinen askel erottautua digitalisilla markkinoilla. Henkilötietoon liittyvän tiedon omistajuus määritellään nyt ensimmäistä kertaa maailmassa ja se liitetään fyysiseen identiteettiin. Toistaiseksi henkilötiedon omistajuus on ollut varsin vahvasti globaaleilla digijäteillä mutta EU:ssa toimittaessa ihminen voi ottaa itseensä liittyvän data omistajuuden GDPR omaan haltuunsa. Mikäli yhtiöt eivät noudata säännöksiä, on koko EU:ssa olemassa vahvat sanktiot sääntörikkomuksista. Onko GDPR askel menestykseen EU:ssa ja tuleeko tämä leviämään globaalisti? Vai jääkö tämä viimeiseksi oikeustaisteluksi digitaalisen identiteetin puolesta? Tämä jää nähtäväksi. GDPR on alkanut saada vahvasti kannatusta Aasiassa. Kaakkois-Aasian maissa ollaan kopioimassa EU:n säännöksiä ja Filippiineillä on jo ehditty saattamaan GDPR voimaan - etuajassa vähän ennen EU:ta. 18 GDPR:n vanavedessä on syntymässä eprivacy Act 19, joka tulee rajoittamaan tiedon keräämistä. Henkilöihin liittyvää dataa ei saa kerätä ilman vahvoja perusteluja ja sen säilyttämiselle on tiukat aikarajat. Tähän sisältyy myös tietoturvaan liittyviä ristiriitaisia rajoitteita. Tietoturvan yksi perusteista on metadatan kerääminen ja analysointi, jolla pyritään selvittämään hyökkääjän alkuperä sekä eliminoimaan uhat. Uuden määritelmän mukaan eprivacy tulisi kieltämään myös tässä tarkoituksessa kerättävän tiedon. eprivacy tulee saamaan GDPR:n kanssa yhtäläiset sanktiomallit sääntöjen rikkojille. eprivacy tulee myös laittamaan huomattavia rajoitteita puhelinmyynnille, markkinointitoimille sekä asettamaan jopa IoTlaitteille huomattavia rajoitteita siitä, mitä dataa saa kerätä ja tallettaa. eprivacy on herättänyt kritiikkiä ja siihen ollaan tekemässä vielä tarkennuksia ja sen voimaantulo on siirtynyt toukokuusta 2018 ainakin tämän vuoden loppuun. eprivacy Act Euroopan parlamentin ja neuvoston asetus yksityiselämän kunnioittamisesta ja henkilötietojen suojasta viestinnässä ja direktiivin 2002/58/EY kumoamisesta (sähköisen viestinnän tietosuoja-asetus)

11 EU on kuitenkin aloittanut omat investointitoimet kyberturvallisuuden kehittämiseksi sekä rakentanut omia uutta suuntaa näyttäviä vastaiskuja lainsäädännöllisillä toimilla muokaten digimarkkinoita voimakkaasti. Tämä tulee johtamaan varmasti pysyviin muutoksiin EU:n sisällä ja myös EU:n ulkopuolella. Samalla globaali digitalisaatio sekä siihen liittyvä kyberturva saa uusia suuntaviivoja, jotka tulevat muuttamaan globaaleja valtasuhteita sekä teknologisten ratkaisujen leviämistä. Yritysten on oltava valmiina reagoimaan yhä nopeammin jatkuviin muutoksiin. Pelkkä reagointi ei riitä vaan nyt on oltava mieluimmin askel edellä kuin jäljessä. GDPR on jatkuvan parantamisen prosessi. Yrityksille ja organisaatioille tulee yhä keskeisemmäksi ylläpitää kybertilannekuva huomioiden riskit sekä mahdollisuudet yhä reaaliaikaisemmin pysyäkseen kilpailukykyisenä. Cyberwatch - trust beyond horizon 11