Kyberturvallisuuden ja -turvattomuuden kilpajuoksu

Kyberturvallisuuden ja -turvattomuuden kilpajuoksu Digitalisaation pitää lisätä turvallisuutta eikä turvattomuutta. Siksi Suomen on huolehdittava turvallisuudesta, kun uutta innovoidaan. Jarmo Limnell Pääministeri Juha Sipilän hallitusohjelmassa on asetettu kunnianhimoinen tavoite: Suomi on maailman turvallisin maa asua, yrittää ja tehdä työtä. Tavoite pakottaa kysymään, mitä turvallisuus tämän päivän Suomessa ja maailmassa on, ja mitkä tekijät turvallisuuttamme uhkaavat? Vastaaminen ei ole helppoa, sillä elämme maailmassa, joka turvallisuuden näkökulmasta on monimutkaisempi, muutosalttiimpi ja kokonaisvaltaisempi kuin koskaan aikaisemmin ihmiskunnan historiassa. Yksi asia on kuitenkin tämän päivän turvallisuudessa selviö. Digitaalisen maailman turvallisuus, kyberturvallisuus, on erottamaton osa turvallisuutta ja se koskettaa meitä jokaista. Näin ei kuitenkaan ole aina ollut, vaan kyberturvallisuus on vasta viime aikoina noussut niin sanotun korkean politiikan sekä strategisen ajattelun piiriin. Myös sana kyberturvallisuus itsessään on suomen kielessä nuori, ja käsitteelle kuten koko kyberturvallisuudelle ollaan vasta luomassa niin teoreettisia kuin käytännön merkityssisältöjä. Miten kyberturvallisuudessa on nykyhetkeen matkattu ja miten tästä eteenpäin? Digitaalinen turvallisuus lähes kaikkialla Kybertoimintaympäristöllä tarkoitetaan ihmisten luomaa digitaalista rinnakkaistodellisuutta, joka maailmanlaajuisesti yhdistää informaatioteknologian, automatisoitujen ohjausjärjestelmien, internetin ja sosiaalisen median kautta toisiinsa ihmisiä ja laitteita valtioiden rajojen yli. Lyhyesti sanoen kyberturvallisuutta voi kutsua digitaalisen maailman turvallisuudeksi, erotuksena fyysisen maailman turvallisuudesta. 1

Toisaalta aikamme megatrendinä on fyysisen ja digitaalisen maailman yhteen kietoutuminen lähes kaikilla yhteiskunnan, yritystoiminnan ja ihmiselämän alueilla. Tämä on digitalisaatiossa syytä muistaa. Yhteiskuntamme jokapäiväiset elintärkeät toiminnot, kuten teollisuus, vesi- ja energiahuolto-, pankkijärjestelmä- ja liikenne ovat hyvin riippuvaisia digitaalisten verkkojen ja järjestelmien toimivuudesta. Toisaalta meistä jokainen alkaa jo olla hyvin riippuvainen omasta älypuhelimestaan ja erilaista sähköisistä palveluista, joita pidämme jo itsestään selvinä. Tietotekniikan nopea kehittyminen ja digitaaliset globaalit verkot, kuten internet ja siinä toimiva sosiaalinen media, ovat tuoneet mukanaan suuria mahdollisuuksia taloudelliseen kasvuun, innovaatioihin, yritysten luomiseen ja kasvamiseen. Ne myös edistävät sosiaalista osallistumista ja demokratiakehitystä. Digitaalinen kehitys on nähtävä positiivisena kehityksenä, mutta samalla alueena, jonka turvallisuudesta ja luotettavuudesta on osattava ja pystyttävä pitämään huolta. Tietoturvallisuudesta kohti kyberturvallisuutta Kyberturvallisuudesta ei vielä puhuttu vuonna 1980 Suomessa ilmestyneessä Teknologiakomitean mietinnössä, jossa kuvattiin suomalaisen yhteiskunnan siirtymistä informaatioyhteiskuntaan, teknologian mahdollisuuksia sekä teknologian arvioinnin merkitystä. Käsite tietotekniikka levisi Suomessa yleiseen tietoisuuteen 1980-luvun alussa, mutta tietotekniikan uhkista ei juuri puhuttu. Suomalaisen tietoyhteiskunnan mahdollisuuksien tarkastelua ja sitä koskevia linjauksia tehtiin 1990-luvulla useilla hallinnonaloilla. Samalla tietoyhteiskunnan käsite vakiintui valtionhallinnossa. 1990-luvulla kirjoitettiin kaksi tietoyhteiskuntastrategiaa, joissa luotiin visio Suomesta verkostomaisena tietoyhteiskuntana, joka kilpailisi maailman kärkimaiden kanssa. Strategioissa turvallisuus oli teemana esillä, ja puhuttiin tietoturvallisuuden ja tietosuojan tarpeellisuudesta. Myös Lipposen II hallituksen ohjelmassa vuonna 1999 todettiin, että julkisten palveluiden saumattomuutta ja kustannustehokkuutta tuli parantaa tieto- ja viestintätekniikan avulla huolehtien samalla tietoturvallisuudesta. 2

Ensimmäinen poikkiyhteiskunnallinen kansallinen tietoturvastrategia hyväksyttiin syksyllä 2003, ja jo itsessään strategian nimi Tietoturvalliseen tietoyhteiskuntaan loi vahvan turvallisuus-kontekstin tietoyhteiskunnan kehitykselle. Strategiassa puhuttiin laajasti tietoturvasta, tietoyhteiskunnasta ja tietoturvatietoisuudesta sekä muun muassa internet-kansalaisesta, palomuureista, verkkoterrorismista ja tietokoneviruksista. Turvallisuus oli kehityksessä erottamattomasti mukana. Tieto- ja viestintäteknologiaan perustavan yhteiskunnan lisääntyvä haavoittuvuus ja tietojärjestelmäriippuvuus kuvattiin vahvistuvina kehityssuuntina. Strategialla pyrittiin torjumaan tietoturvallisuuden uhkia sekä toisaalta hyödyntämään korkeatasoisen tietoturvallisuuden tarjoamia mahdollisuuksia. Tietoyhteiskuntaohjelman osana valmisteltiin ja julkaistiin vuonna 2006 tietoyhteiskuntastrategia vuosille 2007 2015. Strategiassa tietoyhteiskunnan yhdeksi uhkaksi nostettiin tietoyhteiskuntainfrastruktuurin haavoittuvuus. Tietoturva-asiat olivat varsin vahvasti strategiassa esillä ja uhkia kuvattiin seuraavasti: Keskeisiä uhkia ovat yksityisyyden loukkaukset, tietojärjestelmiin tunkeutuminen, tietokonevirukset, haittaohjelmat, erilaiset huijausyritykset (esimerkkinä verkkotunnusten kalastelu), teollisuusvakoilu, piratismi sekä ääritilanteissa verkkoterrorismi ja elektroninen sodankäynti. Samalla edellä mainitut digitaalisen maailman uhkat alkoivat muodostua konkreettisemmiksi ja levisivät hiljalleen laajempaan yhteiskunnalliseen turvallisuuskeskusteluun. Myös vaatimukset suomalaisten osaamisesta lisääntyivät, nimenomaan turvallisuusnäkökulmasta. Tästä hyvänä osoituksena on vuonna 2008 hyväksytty uusi kansallinen tietoturvastrategia vuosille 2009 2015. Strategiassa määritettiin kolme painopistealuetta; tietoturvallisuuden perustaidot arjen tietoyhteiskunnassa, tietoihin liittyvien riskien hallinta ja toimintavarmuus sekä kilpailukyky ja kansainvälinen verkostoyhteistyö. Sotilaallisesta näkökulmasta tietoverkkojen ja -järjestelmien turvallisuudesta on puhuttu varsin pitkään, ja erilaisiin häiriöihin on varauduttu sotilaallisella järjestelmällisyydellä. Teknologisten riskien ja tietojärjestelmiin kohdistuvien uhkien todettiin vuosien 2004 ja 2009 turvallisuus- 3

ja puolustuspoliittisissa selonteoissa lisääntyneen nopeasti. Nämä uhkat ja riskit nostettiin esille laajan turvallisuuskäsitteen ja uusien uhkien kontekstissa yhdistyen verkkorikollisuuteen, informaatiosodankäyntiin, riippuvuuteen sähköstä ja tietojärjestelmistä sekä yhteiskunnan ja maailman kasvavaan verkottumiseen. Molemmissa selonteoissa tietoverkko- ja informaatiohyökkäykset olivat esillä sotilaallisen voimankäytön uhkakuvan sekä harmaan alueen toiminnan yhteydessä. Digitaalisen toimintaympäristön uhkat alkoivat muodostua osaksi turvallisuus- ja puolustuspolitiikkaa. Digitaalinen turvallisuus ulottui 2000 2010 ajanjaksolla lisääntyvissä määrin myös sisäiseen turvallisuuteen. Esimerkiksi Vuoden 2008 Sisäisen turvallisuuden ohjelmassa nostettiin esille systeemisten riskien käsite, joilla tarkoitetaan laajalle levinneitä teknisten järjestelmien riskejä. Tietoverkkorikollisuus saa ohjelmassa vahvan painotuksen, ja ohjelmassa puhutaan bottiverkoista, tietoturvaloukkauksista, huijaussivustoista ja palvelunestohyökkäyksistä. Kansallinen kyberstrategia käännekohtana Vaikka käsite kyberturvallisuus esiintyi ensimmäisen kerran valtionhallinnon turvallisuusasiakirjoissa vuonna 2010 (Yhteiskunnan turvallisuusstrategiassa), ei kyberturvallisuus ole uusi yhteiskunnallinen ilmiö. Se on jatkumoa tieto- ja viestintäteknologian hyödyntämisen ja siihen liittyvien uhkien hallinnan pitkästä perinteestä, jossa suomalaiset ovat olleet monessakin mielessä edelläkävijöitä jo vuosikymmenten ajan. Informaatioyhteiskunnasta, tietoyhteiskunnasta, digitalisaatiosta, johtamis- ja tietojärjestelmistä ja tietotekniikasta on puhuttu vuosikymmeniä. Vastaavalla tavalla teknologian kehitykseen, tietoverkkoihin ja -järjestelmiin sekä digitaalisen toimivuuden varmistamiseen ja luotettavuuteen yhdistyvä turvallisuus on ollut esillä vuosikymmeniä. Turvallisuudesta on tässä kontekstissa puhuttu pääosin tietoturvallisuuden, tietoturvan ja tietosuojan käsittein. Yhtenä turvallisuuden trendinä viimeisen vuosikymmenen aikana on ollut näkemys siitä, että teknologia ulottaa lonkeronsa yhä laajemmalle ja kriittisempiin kohteisiin suomalaisessa yhteiskunnassa, joka on kasvavissa määrin haavoittuvai- 4

sempi erilaisia uhkatekijöitä ja häiriötilanteista kohtaan. Turvallisuuden teema tässä teknologisessa toimintaympäristössä on ajallisesti voimistunut 2000-luvun alusta alkaen. Turvallisuutta uhkaavat tekijät ovat niin vaikutuksiltaan kuin kehittyneisyyden asteeltaan esiintyneet valtionhallinnossa ja elinkeinoelämässä vuosien 2000 2015 välillä voimakkaasti lukumäärältään kasvavina sekä vaikutuksiltaan jatkuvasti yhä vakavammiksi muuttuvina. Kyse on ollut laajasta muutoksesta, mikä on koskettanut niin yhteiskuntaa ja yrityselämää kuin myös muun muassa sodankäyntiä. Strategisena yhteiskunnallisena asiana kyberturvallisuuden voi todeta tehneen Suomessa läpimurron vuonna 2013, jolloin ilmestyi Suomen kansallinen Kyberturvallisuusstrategia. Strategia taustamuistioineen sekä seuraavana vuonna ilmestynyt toimeenpano-ohjelma toivat digitaalisen turvallisuuden konkreettisesti hallinnolliseen turvallisuusajatteluun, julkiseen keskusteluun sekä myös käytännön toimenpiteisiin. Kuvaavaa kehityksessä myös on, että strategian jälkeen on Suomeen niin julkiselle kuin yksityiselle sektorille ilmestynyt useita kyberturvallisuus-tehtäviä, kuten kybersuurlähettiläs, kyberturvallisuusjohtaja ja kyberturvallisuuden professori. Kyberturvallisuusstrategian myötä Suomeen myös perustettiin Kyberturvallisuuskeskus. Turvallisuuden institutionalisoitumista ja vakiinnuttamista hallinnolliseen turvallisuusajatteluun ilmentää hyvin Kyberstrategian laaja toimeenpano-ohjelma, jossa laajalle joukolle ministeriöitä, virastoja ja laitoksia määritetään kyberturvallisuustehtäviä (sic!). Näissä tehtävissä huomioidaan kansallinen ja kansainvälinen yhteistyö, hallinnon eri tasot sekä elinkeinoelämän ja järjestöjen rooli. Kyberturvallisuusstrategian ja erityisesti sen toimeenpano-ohjelman voi nähdä sekä levittäneen digitaalisen turvallisuuden kehittämisen tietoutta laaja-alaisesti suomalaiseen yhteiskuntaan että luoneen tarkoituksellisesti yhteistyörakenteita ja käytännön toimenpiteitä digitaalisen turvallisuuden ympärille. On hyvä, että suomalaisessa yhteiskunnassa puhutaan kyber -käsitteestä. Kyberturvallisuutta ei tule pitää synonyymina tietoturvallisuudelle, tietosuojalle tai millekään muulle turvallisuustermille. Kyber kuvas- 5

taa tietynlaista ilmiötä ja kokonaisuutta, johon vanhat käsitteet ja kieli ei kykene. Kyberturvallisuus kuvastaa uudenlaista digitaalisen turvallisuusulottuvuuden holistisuutta kiihtyvää kehitystä, jonka keskellä nyt elämme. Kun kyber-käsitteellä ei ole vanhoja merkityssisältöjä, on käsite mahdollista määritellä alusta alkaen ilmiön kokonaisuutta kuvaavalla tavalla. Toisaalta on hyvä pitää mielessä, että käsitteet ja niiden merkityssisällöt muuttuvat ajan myötä. Kuten turvallisuuskin. Digitaalinen turvallisuus koskettaa meitä jokaista Kyberturvallisuuden merkityksen korostuminen 2000-luvun alussa on seurausta ensisijaisesti kahdesta asiasta. Ensinnäkin digitaalisuus on levinnyt lähes kaikkialle yhteiskuntaan, ja digitaalisesta toimintaympäristöstä on tullut strateginen asia niin yhteiskunnallisesti kuin yritystoiminnallisesti. Miten pystyisit hoitamaan työtehtäviäsi, jos siitä ottaisi kaiken digitaalisuuden pois? Riippuvuus digitaalisesta maailmasta ja sen toiminnasta on tänä päivänä syvällisempää kuin ehkä osaamme ymmärtääkään. Digitaalisuuden syvenemisen myötä myös haavoittuvuutemme erilaisia tahattomia tai tahallisesti aiheutettuja digitaalisen maailman häiriötilanteita kohtaan on lisääntynyt. Suomi on tietoyhteiskuntana riippuvainen tietoverkkojen ja -järjestelmien toiminnasta ja näin ollen myös erittäin haavoittuvainen niihin kohdistuville häiriöille. Voi vain kuvitella millaisen yhteiskunnallisen kriisitilanteen keskellä olisimme sähkön katketessa pidemmäksi aikaa. Elämme yhteiskunnassa, jossa kaksi samanaikaista merkittävää vikaa voi johtaa jopa koko maan laajuiseen sähkökatkoon. Kybertoimintaympäristössä tapahtuvat muutokset ovat myös nopeita ja vaikutuksiltaan vaikeasti ennakoitavia. Informaatioteknologian kehityssykli on lyhyt ja sama trendi koskee erilaisia kyberuhkia. Tämä asettaa kasvavan haasteen yhteiskunnan kyvylle varautua digitaalisen maailman häiriötilanteisiin.. Toimintojen siirtyessä lisääntyvässä määrin digitaaliseen maailmaan siirtyvät sinne myös erilaiset uhkatekijät. Esimerkiksi rikollisuus siirtyy yhä enemmän sinne missä rahat ovat verkkoon. Vastaavasti Suomen 6

keskusrikospoliisi perusti vuonna 2015 kyberrikostorjuntayksikön torjuakseen paremmin kasvavaa verkkorikollisuutta. Kun vielä pari vuosikymmentä sitten haittaohjelmia tekivät pääosin taitojaan toisilleen näyttävät teinihakkerit, on tämän päivän verkossa vaanivat uhkatekijät aivan toista luokkaa. Verkkorikollisuuden arvioidaan maksavan maailmantaloudelle vuosittain yli 300 miljardia dollaria, kybervakoilun kehittyneisyydestä olemme Edward Snowdenin tietovuotojen myötä voineet lukea jopa uskomattomilta tuntuvista seurantamenetelmistä ja myös terrorismi on siirtynyt lisääntyvissä määrin verkkoon. Jo tällä hetkellä maailmassa käynnissä olevissa kaikissa sodissa ja konflikteissa kybertoimintaympäristö on läsnä. Listaan voi vielä lisätä haktivismin ja informaatiolla vaikuttamisen digitaalisen maailman tavoitettavuutta ja rajattomuutta hyväksi käyttäen. Digitalisaation kehityksen myötä elämme maailmassa, jossa myös pahat asiat ovat siirtyneet yhä enemmän digitaaliseen maailmaan. On tärkeä ymmärtää, että kyberturvallisuus on tärkeä osa (ja jatkossa yhä keskeisempi) osa myös yksilön arjen turvallisuutta. Erilaisten älylaitteiden kiihtyvä ilmaantuminen elämäämme merkitsee samalla hyväksikäytettävien ja hakkeroitavien laitteiden lisääntymistä jollei turvallisuudesta huolehdita. Jo tällä hetkellä erilaiset sähköpostihuijaukset, tietojen kalastelut ja verkkorikollisuus alkavat olla ihmisten arkipäivässä yleisiä, ja ihmisten on tämä uhkakenttä tiedostettava. Samanaikaisesti digitaaliseen yksityisyyteen ja tiedon omistajuuteen ollaan vasta luomassa pelisääntöjä ja toimintalinjoja. Kun arvioi laajasti turvallisuuden kenttää, voi digitaalisten turvallisuustaitojen katsoa olevan välttämätön perustaito meille jokaiselle. Suomi ei ole kyberturvattomuudessa lintukoto, vaan suomalaisen yhteiskunnan, elinkeinoelämän ja meidän jokaisen on ollut välttämätöntä lisääntyvissä määrin varautua kyberuhkiin. Toistaiseksi merkittävin suomalaista yhteiskuntaa herättänyt tapahtuma oli vuonna 2013 paljastunut Ulkoasiainministeriöön kohdistunut verkkovakoilu, mikä osoittaa myös valtiollisen vakoilutoiminnan siirtyneen yhä enemmän sinne missä tieto on digitaalisessa maailmassa. 7

Digitaalisessa toimintaympäristössä on käynnissä jatkuva kilpajuoksu turvallisuuden ja uhkien välillä. Turvallisuuden tuottamisen keinot kehittyvät, mutta niin kehittyvät hyökkäysmenetelmätkin. Täysin turvallista paikkaa digitaalisesta maailmasta ei koskaan saada luotua (kuten ei fyysisestä maailmastakaan), mutta turvallisuutta voidaan parantaa, ja siihen asetettavien panosten merkitys erityisesti osaamisen kehittämisessä kasvaa. Samalla on syytä muistaa, ettei kyberturvallisuuden haasteita ratkaista ainoastaan teknologialla vaan muun muassa koulutuksella ja strategisella johtajuudella on tärkeä merkitys digitaalisen turvallisuuden ja siihen yhdistyvän kulttuurin luomisessa. Turvallisuudesta huolehtiminen välttämätöntä Digitalisaatio tai paremmin kaikkialle yhä laajemmin ja syvällisemmin ulottuva digitaalinen maailma on aikamme megatrendi. Esimerkiksi internet on jo nyt osoittanut millaisen muutoksen verkottunut maailma on lyhyessä ajassa saanut aikaiseksi niin yksittäisen ihmisen elämässä kuin maailmanpolitiikassa. Trendi on voimistuva. Trendi on myös positiivinen, sillä teknologia kaikkinensa avaa niin ihmiskunnalle kuin Suomelle uudenlaisia tapoja elää elämää, harjoittaa liiketoimintaa ja huolehtia maapallomme tulevaisuudesta. Tämän keskellä nyt elämme ja lapsemme vieläkin voimallisemmin. Digitalisaatiosta ei saa muodostua turvattomuutta edesauttavaa vaan turvallisuuttamme lisäävää. Tämän takia on digitalisaation kehityksessä ja uuden innovoimisessa huolehdittava turvallisuudesta. Turvallisuus on ihmiselämän ainakin onnellisen sellaisen perusedellytys. Turvallisuutta osaamme Suomessa tuottaa, itsellemme ja muille. Tällöin suomalaiset voivat olla eturintamassa rakennettaessa ei ainoastaan turvallista Suomea vaan globaalia turvallista tulevaisuutta. Jokaiselle. 8

Tiiviisti: Digitaalisen maailman turvallisuus, kyberturvallisuus, on erottamaton osa turvallisuutta ja se koskettaa meitä jokaista. Käsite tietotekniikka levisi Suomessa yleiseen tietoisuuteen 1980-luvun alussa, mutta tietotekniikan uhkista ei juuri puhuttu. 1990-luvulla kirjoitettiin kaksi tietoyhteiskuntastrategiaa, joissa puhuttiin tietoturvallisuuden ja tietosuojan tarpeellisuudesta. Ensimmäinen poikkiyhteiskunnallinen kansallinen tietoturvastrategia hyväksyttiin syksyllä 2003. Teknologisten riskien ja tietojärjestelmiin kohdistuvien uhkien todettiin vuosien 2004 ja 2009 turvallisuus- ja puolustuspoliittisissa selonteoissa lisääntyneen nopeasti. Käsite kyberturvallisuus esiintyi ensimmäisen kerran valtionhallinnon turvallisuusasiakirjoissa vuonna 2010. Vuonna 2013 ilmestyi Suomen kansallinen Kyberturvallisuusstrategia. Suomalaisen yhteiskunnan, elinkeinoelämän ja meidän jokaisen on ollut välttämätöntä lisääntyvissä määrin varautua kyberuhkiin. Kyberturvallisuuden haasteita ei ratkaista ainoastaan teknologialla, vaan muun muassa koulutuksella ja strategisella johtajuudella. 9