VIITE: Eduskunnan talousvaliokunnan kuuleminen koskien valtioneuvoston selontekoa sisäisestä turvallisuudesta (VNS 5/2016 vp)

Transkriptio

1 ASIANTUNTIJALAUSUNTO VIITE: Eduskunnan talousvaliokunnan kuuleminen koskien valtioneuvoston selontekoa sisäisestä turvallisuudesta (VNS 5/2016 vp) ASIANTUNTIJALAUSUNTO KYBERTURVALLISUUDESTA KULMASTA. HUOLTOVARMUUDEN NÄKÖ- Maanpuolustuskoulutusyhdistyksen kyberturvallisuuskoulutus Maanpuolustuskoulutusyhdistys (MPK) on perustettu vuonna 1993 valtakunnalliseksi organisaatioksi, joka kouluttaa kansalaisia selviytymään paremmin arjen vaaratilanteissa ja poikkeusoloissa. MPK:n koulutus parantaa puolustusvoimien, muiden viranomaisten ja kansalaisten valmiutta toimia normaali- ja poikkeusoloissa. MPK on julkisoikeudellinen yhdistys. Laki vapaaehtoisesta maanpuolustuksesta määrittelee MPK:n julkiset hallintotehtävät : 1. järjestää vapaaehtoiseen maanpuolustukseen kuuluvaa sotilaallista koulutusta ja sotilaallisia valmiuksia palvelevaa koulutusta sekä vapaaehtoista maanpuolustusta koskevaa tiedotusta ja valistusta; 2. kehittää naisten mahdollisuuksia osallistua vapaaehtoiseen maanpuolustukseen ja järjestää siihen liittyvää sotilaallista koulutusta ja sotilaallisia valmiuksia palvelevaa koulutusta; 3. ohjata, tukea ja sovittaa yhteen jäsenjärjestöjen maanpuolustuskoulutusta. Edellä säädettyjen tehtäviensä lisäksi yhdistys voi järjestää turvallisuus-, varautumis- sekä johtamis- ja kouluttajakoulutusta sekä tehdä aloitteita ja toimia muutoinkin maanpuolustuksen hyväksi siten kuin sen säännöissä määrätään. Maanpuolustuskoulutusyhdistyksen kyberturvallisuuden koulutuksen lähtökohtana on koulutuksen keinoin edistää Suomen kyberturvallisuusstrategian (KTS) mukaisen vision toteutumista (VN ): 1. Elintärkeiden toimintojen suojaaminen 2. Turvallinen toimintaympäristö ja osaamisen hyödyntäminen

2 2 3. Edelläkävijä varautumisessa ja häiriötilanteiden hallinnassa. Maanpuolustuskoulutusyhdistykselle on annettu kansallisen kyberstrategian toimenpideohjelmassa seuraava tehtävä (kohta 58): Maanpuolustuskoulutusyhdistys kehittää kyberturvallisuuskurssia kansalaisille sekä teknistä osaamista hallitseville henkilöille. MPK:ssa katsotaan, että uudessa valmisteilla olevassa kyberturvallisuusstrategian toimeenpano-ohjelmassa säilyisi edelleen MPK:lla tehtävä kyberturvallisuuden edistämiseksi ja kouluttajana. Kyberturvallisuuden merkitys yhteiskunnan kokonaisturvallisuuden kannalta kasvaa entisestään palveluiden digitalisaation myötä. Yhä useammasta yksityisestä ja julkisesta palvelusta pyritään kehittämään sähköinen versio ja lähes jokaisella yrityksellä on käytössään useita eri tietojärjestelmiä. MPK:ssa kyberturvallisuuden koulutusohjelma käsittää alleen hyvin monet eri osa-alueet: MPK:ssä on laadittu kyberturvallisuuden koulutusohjelma, jonka tarkoituksena on lisätä niin kansalaistason kyberturvatietämystä kuin jo pidemmälle edennyttä osaajien koulutusta. Koulutusohjelma pitää sisällään kaikille kansalaisille avoimia

3 3 peruskursseja, joita pidetään paikallisesti. Jatkokursseja järjestetään alueellisesti ja niille osallistuvilla tulee olla jo perustiedot hallinnassa. Lisäksi järjestetään valtakunnallisesti erikoiskurssi, jossa vapaaehtoiset ja viranomaiset harjoittelevat kyberturvallisuutta yhteisissä harjoituksissa. Lisäksi yllämainittuun kokonaisuuteen liittyy keskeisenä kouluttajakoulutus. MPK näkee lisäksi omana mahdollisena tehtävänä / toimenpiteinä seuraavat: 1. MPK varautuu poikkeusoloissa kyberkoulutuksen lisäämiseen annettujen vaatimusten ja resurssien mukaisesti ja varaa tarvittavan kouluttajahenkilöstön. Laki vapaaehtoisesta maanpuolustuksesta määrittää, että MPK:n tehtävät jatkuvat poikkeusoloissa. MPK on valtakunnallinen koulutusorganisaatio, joka kykenee muutamaan koulutustaan siten, että se toteuttaa varautumistehtäväänsä, mikäli sille sellainen annetaan. 2. Turvallisuuskomitean järjestöyhteistyöhön liittyen MPK voi koordinoida kyberjärjestötyöpajan, missä pohditaan järjestöjen roolia kyberturvallisuuden toimijoina. Järjestöt olivat 2016 mukana VALHA-harjoituksessa järjestötyöpajassa. Yhden työpäivän aikana saatiin merkittävästi selkeytettyä järjestöjen toimintamahdollisuuksia viranomaisten tukena. Vastaavanlainen työpaja olisi mahdollista järjestää myös kyberturvallisuuden osalta, mitä järjestöt voivat tällä kentällä tarjota. Kyberturvallisuuden koulutusohjelman vuosittaiset kulut tulisivat olemaan MPK:n arvion mukaan noin euroa, jotta koko koulutusohjelma voidaan vuosittain toteuttaa.

4 4 Yksittäisiä huomioita Kansalaisten kyberturvallisuuden tietoisuuden parantaminen ja sitä kautta kyberresilienssin kasvattaminen tulee olemaan merkittävä tehtävä. Esineiden internetin (IoT) ja autonomisten robottien voimakas tuleminen asettaa hyvin kovia vaatimuksia. Kybertoiminnoilla ei ole merkitystä etäisyydellä. Vaikka Suomen sisäinen turvallisuus on tiukasti sidoksissa muiden EU:n jäsenvaltioiden ja naapurimaiden turvallisuustilanteisiin 1, EU:n ulkopuoliset tapahtumat saattavat vaikuttaa kybermaailman välityksellä esimerkiksi kostona joihinkin epäoikeudenmukaisena pidettyihin asioihin. Terrorismin, väkivaltaisen ekstremismin ja laajan laittoman maahanmuuton toimintamahdollisuudet Suomessa ja ylipäätään EU:n alueella ovat huomattavasti helpottuneet kybermaailman tarjoamien kommunikaation, kauppapaikkojen (Dark Web) ja uusien ansaintamahdollisuuksien sekä erilaisten ideologioiden levittämisen mahdollistavien kanavien avulla. Kybermaailmassa on mahdollista ylläpitää johdettuja virtuaaliverkostoja jopa massamaisesti. Turvallisuudentunteen järkkyminen voi tapahtua hyvin lyhessä ajassa kyberoperaatioiden vaikutusten tai niiden aiheuttaman epävarmuuden seurauksena. Nykyiset informaatiovälityksen kanavat perustuvat yhä voimakkaammin kybervaikutuksille alttiisiin järjestelmiin kuten mobiiliverkkoihin ja niihin liittettyihin päätelaitteisiin (=tietokone). Kotitalouksissa alkaa olla tilanne, jossa kaikki informaatiokanavat ovat riippuvaisia internet-perusteisista tietojärjestelmistä. Näitä kanavia käyttävät puhelimet, televisiot ja muut kodinkoneet. Internetin lamauttamien johtaa em. koneiden ja laitteiden lamautumiseen. Kansalaisen kannalta tilanne voi johtaa nopeasti kriittiseksi, jos esim. kaupan maksujärjestelmät lamautuvat ja siten kaupan kyky palvella lakkaa. Hybridivaikuttamisen keinovalikoimien lisääntyminen on merkittävää. Vaikuttaminen voi olla laaja-alaista tai kohdistua vaikka tiettyyn yhteen kohdehenkilöön vaikkapa lähipiirin kautta. Vaikuttamisen pohjana voi olla esimerkiksi erilaisista some-alustoista saatavien kontaktiverkostojen sekä valokuviin liittyjen aika ja paikkainformaation avulla tehtävien analyysien perusteella tehtävät reittikuvaukset eri kohteiden liikkeistä. Klassinen tapaus nykyään saattaisi olla esim. arvokkaan lastin kuljettajan tai apukuskin Pokemon- Go pelin pelaaminen. Tässä tapauksessa aikaan ja paikkaan voidaan liittää myös suoraa kuvainformaatiota ympäristöstä. Vastaavan kaltaisten pelien aalto on tulossa. Resurssien saatavuus kriisitilanteissa voi olla ongelma. Sekä viranomaiset keskenään että huoltovarmuuskriittiset yritykset kilpailevat useissa tapauksissa samoista resursseista kybertoiminnoissa. Normaalioloissa tämä on varmaan kustannustehokasta toimintaa. Vakavan kybervaikutuksen alaisena toimittaessa 1 Valtioneuvoston selonteko sisäisestä turvallisuudesta, s. 6.

5 5 Huoltovarmuussektorit voi realisoitua merkittävä riski palvelusopimusten kohdistuessa samoihin toteuttaviin organisaatioihin ja jopa yksittäisiin henkilöihin. Tulisi kehittää kyberturvallisuuden palvelumalleja, joissa yksittäiselle viranomaiselle tai muille asiakkaalle toteutettu suojaus tai puolustava mekanismi olisi automaattisesti muiden hyödynnettävissä s.e. toiminta olisi liiketaloudellisesti edelleen järkevää normaalitilanteissa. Valtion ja kuntien viranomaisilla on lakisääteinen velvollisuus varautua mm. valmiussuunnitelmien avulla jatkamaan toimintaansa häiriö- ja poikkeusoloissa. Elinkeinoelämällä ei yleensä ole lakisääteistä velvollisuutta varautua. Yritysten varautumisen lähtökohtana ovat liiketoiminnalliset perusteet, asiakkaiden kanssa tehdyt sopimukset sekä näihin liittyvä riskienhallinta. Elinkeinoelämä ylläpitää merkittävää osaa yhteiskunnan toiminnalle elintärkeistä toiminnoista. Yksityisen sektorin toimijoiden osallistuminen huoltovarmuustyöhön onkin edellytys huoltovarmuuden turvaamiselle ja oman toiminnan jatkuvuudelle. Kaikkia yhdistää huolehtiminen tieto- ja kyberturvallisuudesta. Alan koulutustarve on merkittävä jotta kansallinen kyberstrategian tavoite saavutetaan. Erityisen huolestuttavaa on CGI:n tekemän kyselyyn perustuvan raportin mukaan kriittistä infrastruktuuria ylläpitävät, energia ja vesi- sekä terveys ja hyvinvointi - toimialat, joissa korostuvat kyberturvallisuuden organisoimattomuus, kohonnut koettu riski, suuret potentiaaliset vahingot yhdistettynä vain vähäisiin investointeihin tilanteen parantamiseksi. 2 Esimerkiksi 34 prosentilla kaikkien vastaajien organisaatioista ei ole erikseen nimettyä tietoturvajohtajaa tai - osastoa. Toimialoista parhaiten ovat järjestäytyneet Julkishallinto ja puolustus, Kauppa, palvelut ja kuljetus sekä IT ja viestintä. Huonoin tilanne on Energia ja vesi sekä Terveys ja hyvinvointi -toimialoilla. 2 CGI, Kyberturvallisuuden tila suomalaisissa organisaatioissa 2016.

6 6 CGI:n raportin mukaan 86 prosenttia organisaatioista on sitä mieltä, että uhka joutua kyberhyökkäyksen kohteeksi on kasvanut kuluvan vuoden aikana. Raporttissa kommentoidaan myös näkökulmien subjektiivisuutta eli 55 prosenttia tietomurroista ja -vuodoista havaittiin alle kuukaudessa sen alkamisesta. 1-6 kuukaudessa tietomurron- tai vuodon havaitsi 19 prosenttia vastaajista. Vain 6 prosenttia hyökkäyksistä oli vastausten perusteella kestänyt yli 7 kuukautta. Tulos on valtavassa ristiriidassa kansainvälisten tutkimusten kanssa joissa havainnon tekeminen hyökkäyksen alkamisesta sen paljastumiseen kestää keskimäärin useita satoja päiviä. 3 Seuraavassa on esitetty yksittäisiä kommentteja per eri huoltovarmuussektori. Elintarvikehuoltosektori Kaupan toiminnan lamauttamien voidaan toteuttaa kohdistamalla hyökkäys esim. maksujärjestelmiin tai kaupan tavaravirtojen logistiikkaan. Energiahuoltosektori Logistiikkasektori Energian tuotanto ja jakelu perustuu pitkälti saman kaltaisiin teollisuusautomaatiojärjestelmiin (SCADA) kuin Teollisuussektorinkin tuotanto. SCADA-järjestelmät. Energian tuotanto, siirto ja jakelu käyttävät runsaasti automaatiota ja, tietoliikennettä jolla valvotaan, ohjataan ja hallitaan yhteiskunnan toiminnalle kriittistä sähkön saantia. Tähän tarvitaan tietoliikenne, tietoturva- ja kyberturvallisuuskoulutusta oman prosessin osaamisen lisäksi. Kuten elintarvikehuoltosektorilla tavaravirtoihin vaikuttaminen voi merkittävästi haitata Suomen yhteikunnan toimintaa. Yksittäisissä tapauksissa rikolliset ovat kyenneet murtautumaan logistiikkalaitoksiin muuttaen samalla eri konttien tunnisteita ja sijainteja. Seurauksena on ollut lähes onnistuneita huumausaineiden salakuljetustapauksia. Terveydenhuoltosektori Terveydenhuollossa voidaan kohdistaa operaatioita esim. tiedon eheyteen ja sitä kautta sen käytettävyyteen. Käytettävyys on myös avain asemassa lääkeiden määräämisessä. Yleisesti ottaen terveydenhuolto sisältää merkittäviä riskejä kohdistuessaan suoraan ihmisten terveyteen. Tietoyhteiskuntasektori 3 CGI, Kyberturvallisuuden tila suomalaisissa organisaatioissa 2016: Forrester Research study on targeted threats, jossa keskimääräinen kyberhyökkäyksen kesto on 416 päivää.

7 7 Tietoliikenteen, tietojärjestelmien ja viestinnän toimintavarmuus on nykyaikaisen yhteiskunnan häiriöttömän toiminnan, turvallisuuden ja kansalaisten toimeentulon välttämätön edellytys. Merkittävä osa tietoyhteiskunta-alan parissa tehtävästä huoltovarmuustyöstä koostuu yritysten jatkuvuudenhallinnan kehittämisestä. Tähän tarvitaan media-, tieto- ja kyberkoulutusta. Tehokas ja optimoitu verkostotalous perustuu nopeasti kehittyvään tieto- ja viestintäteknologiaan, joka on erittäin häiriöherkkä monille uudenlaisille uhkille ja riskeille. Esimerkiksi kyberhyökkäykset, haittaohjelmat, palvelunestohyökkäykset ja muut verkkoterrorismin muodot lisääntyvät jatkuvasti. Tähän tarvitaan tietoturva- ja kybertekniikkakoulutusta. Tieto- ja viestintäjärjestelmien suojaamisen tarve teknisiä häiriöitä ja tahallista vahingoittamista vastaan on lisääntynyt. On lisättävä edelleen varautumista informaatiouhkiin ja häiriöihin, jotka vaarantavat yhteiskunnalle välttämättömien tietoteknisten järjestelmien ja rakenteiden toimivuutta jo normaalioloissa. Tähän tarvitaan tietoturvan johtamisen- ja hallinnoinnin koulutusta. Esimerkkinä joukkoviestinnästä on, että sen hetkellinenkin lamauttaminen voi johtaa disinformaation leviämiseen s.e. sen aiheuttamaa haittavaikutusta voi myöhemmin olla vaikeaa lieventää. Finanssialansektori Uusia kilpailevia maksujärjestelmiä tullaan jatkossa kehittämään varsinaisten perinteisten valuuttojen rinnalle. Suomessa tehtävien korttimaksutapahtumien välitys edellyttää toimivia yhteyksiä Keski-Eurooppaan. Tämä on merkittävä riski. Teollisuussektori Teollisuuden automaatiojärjestelmät (SCADA) ovat tutkimusten mukaan edelleen hyvin helposti saatavilla avoimessa internetissä. Teollisuuden tieto- ja kyberturvallisuuskyvykkyys tulisi ylläpitää ja kehittää yhteisesti vaikka yritykset toimivat avoimilla markkinoilla.

8 8 Tämä lausunto on lausunnon antajan henkilökohtainen kannanotto eikä se siis edusta sellaisenaan MPK:n virallista kantaa. Kunnioittavasti, Tero Oittinen Koulutuspäällikkö (kyberturvallisuus) Maanpuolustuskoulutusyhdistys (MPK) Helsingin koulutus- ja tukiyksikkö (HELKOTU) / )