Huoltovarmuuskeskuksen 10-vuotisjuhlaseminaari Helsinki, 26.2.2003 Tietoyhteiskunnan haavoittuvuus kuinka voimme hallita sitä? TkT Arto Karila Karila A. & E. Oy E-mail: arto.karila@karila.com HVK, 26.2.2003-1
Suuria teknologisia murroksia Suurten murrosten lyhyen aikavälin vaikutukset yliarvioidaan ja pitkän aikavälin vaikutukset aliarvioidaan systemaattisesti Höyryvoima keksittiin 1700-luvulla levisi laajaan käyttöön 1800-luvulla Sähkö keksittiin 1800-luvulla levisi kaikkialle 1900-luvulla Tieto- ja tietoliikennetekniikka (TTT) syntyi 1900-luvulla tulee 2000-luvun aikana leviämään kaikkialle Tietojenkäsittely ja tietoliikenne ovat jo yhdentyneet TTT:ksi Seuraavassa vaiheessa TTT sulautuu huomaamattomaksi osaksi kaikkea inhimillistä toimintaa (vrt. sähkö) HVK, 26.2.2003-2
Tietoyhteiskunnan haavoittuvuudesta Ote raportista TIETOYHTEISKUNTAKEHITYKSESTÄ LIPPOSEN II HALLITUKSEN KAUDELLA, Tietoyhteiskuntaasiain neuvottelukunnan raportti hallitukselle, 11.12.2002: Yhteiskunnan häiriökestävyyden vahvistaminen Yhteiskunta, sen talous sekä yritykset ja kotitaloudet ovat yhä riippuvaisempia tietotekniikasta ja tietoverkoista. Tietoturvallisuus, verkkorikollisuuden torjunta ja erilaisten riskien hallinta tulevat yhä olennaisimmiksi ja osin elintärkeimmiksi osaksi eri organisaatioiden toimintaa. Tietoverkot ovat puolestaan riippuvaisia perusinfrastruktuurista, erityisesti sähkönsaannista. Neuvottelukunta katsoo, että kaikkien toimijoiden on panostettava tietoturvallisuuden jatkuvaan kehittämiseen sekä toimintansa jatkuvuussuunnitteluun ja normaaliolojen häiriötilanteisiin varautumiseen. Muuten raportti ei käsittele tietoyhteiskunnan haavoittuvuutta HVK, 26.2.2003-3
Riippuvuus TTT:stä kasvaa edelleen Suomi on jo nyt erittäin riippuvainen tietoverkoista (pankkitoiminta, tiedotusvälineet, teollisuustuotanto, liikenne, energiahuolto jne.) Perinteiset manuaaliset prosessit on suurelta osin korvattu tietojärjestelmillä eikä niihin ole mahdollista palata Tietoverkkojen turvallisuus on tietoyhteiskunnan elinehto Tietoturvalla tarkoitetaan niitä hallinnollisia ja teknisiä toimenpiteitä, joilla varmistetaan tiedon luottamuksellisuus, eheys ja käytettävyys Kriittisten toimintojen perustuessa tietojärjestelmiin on näiden käytettävyys yhä keskeisempi vaatimus Hallinnollinen vastuu tietoliikenneturvallisuudesta ja tietoturvaloukkausten käsittely on vuoden 2002 alusta keskitetty Viestintävirastolle HVK, 26.2.2003-4
Kaikki tietoliikenne siirtyy IP-pohjaiseksi Internet-teknologian ydin IP on riippumaton sekä verkoista että sovelluksista mahdollistaen uusien verkkoteknologioiden ja sovellusten nopean ja helpon käyttöönoton Tästä syystä Internet-teknologia kehittyy merkittävästi nopeammin kuin perinteinen teletekniikka Lähitulevaisuudessa kaikki edulliset tietoliikenneratkaisut tulevat olemaan IP-pohjaisia (kts. seuraavan sivun kuva) Tämä koskee myös mobiilitietoliikennettä IP muodostaa nähtävissä olevassa tulevaisuudessa ainoan pitävän pohjan TTT-järjestelmille Internetissä tulee olemaan enemmän laitteita kuin maailmassa ihmisiä - sen turvallisuus on kasvava haaste Olemme siirtymässä all-ip aikaan! HVK, 26.2.2003-5
All-IP -kehitys Tietoliikenteen liikevaihto Euroopassa kehittyy oheisen kuvan mukaisesti (lähde FT Olli Martikainen) Martikaisen tutkimusten mukaan vuoteen 2015 mennessä käytännössä kaikki tietoliikenne Euroopassa on IP-pohjaista 350 300 BUSD 250 200 150 100 IP High Priority IP Low Priority ISDN Voice ISDN Data 50 0 1995 2000 2005 2010 2015 HVK, 26.2.2003-6
Internet-teknologian turvallisuudesta Eräs tämän hetken merkittävä kehitystrendi on puheen siirtyminen IP-verkkoihin (Voice over IP, VoIP) Tämänhetkisiin VoIP-toteutuksiin liittyy vielä merkittäviä skaalautuvuus-, luotettavuus- ja tietoturvaongelmia Myös IP-verkkoja pidetään perinteisesti turvattomina Kuitenkin Internet-teknologia mahdollistaa erittäin luotettavien verkkojen rakentamisen edullisin kustannuksin IP on tehokas tapa siirtää tietoa käyttäen apuna kaikenlaisia fyysisiä verkkoja (käytettävyys) Tiedonsiirron eheys ja luottamuksellisuus taas hoidetaan käyttäen vahvaa salausta Internetin suuri vahvuus on sen horisontaalisuus tiedon siirto ja sovellukset on erotettu toisistaan alusta lähtien Tämä mahdollistaa kaikki sovellukset samassa verkossa HVK, 26.2.2003-7
Operaattoriliiketoiminnan muutos Sisällöt ja Media Puhelin Mobiili Data Maksaminen ja tapahtumat Sovelluspalvelut Verkkopalvelut HVK, 26.2.2003-8
Ad-hoc verkot Ad-hoc verkot muodostuvat spontaanisti ilman keskitettyä suunnittelua tai verkonhallintaa Ad-hoc verkkoja voidaan käyttää myös runkoverkkoina erityisesti poikkeusoloissa Lisäksi tarvitaan salausratkaisu ja liikenteen priorisointi Perinteisesti runkoverkot on suojattu kaivamalla ne syvälle kallioon tämä on erittäin kallis (eikä kuitenkaan varma) tapa Ad-hoc tekniikoilla voidaan nopeasti rakentaa verkko jopa täysin tuhoutuneen runkoverkon tilalle Niillä voidaan myös rakentaa verkko, joka on niin redundantti, ettei siitä voida käytännössä tuhota kuin pieniä osia Tällaisten verkkojen tulee perustua halpoihin massatuotteisiin joita voidaan tarvittaessa ottaa käyttöön vaikkapa yrityksistä Ad-hoc verkkojen käyttöä sotilaallisiin tarkoituksiin tutkitaan TKK:ssa ja niillä on runsaasti myös siviilisovelluksia HVK, 26.2.2003-9
Luotettu toiminnallisuus Tietojärjestelmän turvallisuus edellyttää aina tiettyä luotettua toiminnallisuutta joka sisältää laitteistoa ja ohjelmistoa Kriittisten komponenttien, jotka saattavat vaarantaa koko järjestelmän toiminnan, määrä on minimoitava Ainakin näiden komponenttien tulee perustua avoimeen suunnitteluun ja niiden turvallisuus on voitava tarkastaa Tietoverkoissa on kaikki matalan turvatoiminnallisuuden tai luottamustason järjestelmät on suojattava hyökkääjiltä sijoittamalla ne vahvojen puolustuslinjojen taakse Kriittisiin järjestelmiin tulee suunnitella ja rakentaa riittävästi redundanssia ja teknistä monimuotoisuutta jotta ne eivät kohtuudella voi täysin pettää Koko maailman kriittiset tietojärjestelmät perustuvat teknologioille, jotka tuottaa maailman ainoa supervalta ja joiden tiedetään sisältävän tuntemattomia ja ei-toivottuja piirteitä HVK, 26.2.2003-10
Johtopäätöksiä Riippuvuus TTT:stä on jo suuri ja kasvaa edelleen Yhteiskunnan on turvattava toimintansa jatkuvuus sekä poikkeusoloissa että normaaliolojen häiriötilanteissa Tätä varten tarvitaan IP-verkkoja, jotka ovat vikasietoisia ja tarvittaessa nopeasti pystytettävissä minne tahansa Ad-hoc tekniikat tarjoavat mahdollisuuden rakentaa nopeasti luotettavia verkkoja halvoista massakomponenteista Nykyaikaisilla salaustekniikoilla voidaan hoitaa tiedonsiirron eheys ja luottamuksellisuus Lisäksi tarvitaan priorisointi, lähettäjän todennus ja context-aware management Suomen on tärkeää irtautua suurvallan kontrollista TTT:ssä Tarvitaan yhteistoimintaa julkisen vallan ja elinkeinoelämän välillä HVK ja PTS ovat tässä työssä keskeisiä elimiä HVK, 26.2.2003-11