KUSTANNUSTEHOKAS, TURVALLINEN JA VERKOTTUNUT VESIHUOLLON TIETOTEKNIIKKA MYYTTI VAI MAHDOLLISUUS Vesihuolto 2017 Raimo Rahkonen 11.5. 2017 SUOMEN KYBERTURVALLISUUDEN NYKYTILA Valtioneuvoston selvitys- ja tutkimustoiminta Helmikuu 2017 Valtioneuvoston selvitys- ja tutkimustoiminnan julkaisusarja 30/2017 Suomen kyberturvallisuusstrategian visiona on, että Suomi kykenee suojaamaan elintärkeät toimintonsa kaikissa tilanteissa kyberuhkaa vastaan Suomalaisen yhteiskunnan kaikkia elintärkeitä toimintoja sekä huoltovarmuuskriittisiä yrityksiä ei ole tällä hetkellä suojattu riittävällä tavalla erilaisia kyberuhkia vastaan ja myös häiriötilanteiden resilienssi (sietokyky) on edelleen osassa suojattavia kohteita heikolla tasolla. Oleellista on ymmärtää digitaalisen ja fyysisen toimintaympäristön yhä tiiviimpi yhteenkietoutuminen. Monilla digitaalisen toimintaympäristön tapahtumilla ja ilmiöillä on vaikutuksena suoraan tai epäsuorasti fyysiseen toimintaympäristöön, ja päinvastoin. Kehityssuuntauksena on, että digitaalista ja fyysistä turvallisuutta on jatkossa yhä hankalampi erottaa toisistaan. 2 1
KYBERFYYSISET JÄRJESTELMÄT Domains: toimialat Aspects: huomioon otettavia aspekteja mukaanlukien digitalisaatio Facets: hyvien käytäntöjen mukainen projektien laitosten elinkaari 3 KYBERFYYSISET JÄRJESTELMÄT Asiat Aspects: huomioon otettavaksi kaikissa laitoksen kehittämisvaiheissa Toiminnallinen - Functional Toiminta, mukaanlukien mittarointi, toimilaitteet, säätö, tietoliikenne, fyysisyys, jne Liiketoiminnallinen - Business yritystaso, käyttöönottoaika, ympäristö, regulaatio, kustannukset, jne Inhimillinen - Human Ihmisen toiminta kyberfyysisen järjestelmän osana ja kanssa Luotettavuus - Trustworthiness Mukaanlukien security/safety turvallisuus, yksityisyys, luotettavuus ja vikasietoisuus Aikariippuvuus - Timing Järjestelmän aika ja taajuus, aikanormaalin luonti ja välitys, aikaleimaus, viiveiden hallinta, ajoituksen muodostaminen, jne Tieto - Data Tiedon keskinäiskäytettävyys mukaan lukien yhdistäminen, metadata, tyyppi, identiteetti, jne Rajapinnat - Boundaries Rajapinnat koskien topologiaa, toimintoja, organisaatiota tai muuta keskinäiskäytettävyyttä Rakennettavuus - Composability Järjestelmän ominaisuudet muodostettuna sen komponenttien ominaisuuksista Elinkaari - Lifecycle Kyberfyysisen järjestelmien elinkaari, mukaanlukien järjestelmäkomponenttien elinkaari 4 2
DIGITALISAATIO TIE DIGITAALISEEN LIIKETOIMINTAAN Havaitsemiamme järjestelmiä ja palveluita (toistaiseksi) Tuotanto ja liiketoiminta Prosessi- ja koneautomaatio (Iiot) Tuotannonohjaus Laadunhallinta Lähetys, vastaanotto ja varastot Liiketoiminnan ohjaus (ERP) Kunnossapito Infrastruktuuripalvelut Sähkönjakelu Veden ja jäteveden käsittely Paineilma, höyry, kaasu ym. Ympäristön hallinta, viranomaisraportointi Rakennusautomaatio Valaistus Toimitilaturvallisuus Kulunvalvonta ml. liikenne Vierailijahallinta, tilavaraukset Rikosilmoitus Lukitus Videovalvonta Paloilmaisu Yhteydenpito ja tiedotus Ovi- ja porttipuhelimet IP-puhelut, yhdistetty viestintä Radiopuhelut Kuulutus Audiovisuaaliset Tietoverkotus Tietoverkon aktiivilaitteet Palomuurit ja anomalioiden ilmaisu Aikasynkronointi ja ajan ilmaisu 5 TELEKOMMUNIKAATIO OSI MALLI IT järjestelmä Automaatio tms. Application (7) Protokolla IT järjestelmä Automaatio tms. Application (7) SNMP, NTP, FTP, SMTP, HTTP, Telnet, Presentation (6) Presentation (6) Session (5) Session (5) Transport (4) Transport (4) TCP UDP Network (3) Tietoverkko Network Network (3) IP ARP Data link (2) Data link Data link (2) CSMA/CD Ethernet kehykset Physical (1) Physical Physical (1) Topologia Liittimet, media (kaapelit, radio) 6 3
VERKOT, JÄRJESTELMÄT JA JÄRJESTELMIEN JÄRJESTELMÄT Turvallisuus Puolustettavuus Tiedonkulun ja sisällön varmistaminen vieraiden laitteiden haasteet turvallisuudelle Rakenne suunniteltu? segmentointi yhdistä ja eristä lateraalihyökkäykset Kenttälaiteväylät ja verkot Mobiililaitteet WLAN Salaus Eristäminen Internet 7 KYSYMYKSIÄ KYBERISTÄ Kohdekohtaiset haavoittuvuusasiat Mikä on hyökkäyspinta-alasi, pystytäänkö laitostasi/yritystäsi puolustamaan? Miten tietoverkkosi on konfiguroitu Montako liitettyä laitetta Missä ne ovat, mitä ne tekevät, mikä on niiden arvo toiminnallesi Mitä ohjelmistoja ne sisältävät - mikä revisio Koska ohjelmat päivitettiin viimeeksi Mitä haavoittuvuuksia on löydetty ja julkaistu? Laitetoimittajien toimesta Tutkimuslaitoksilta Kyberturvallisuusalan toimijoiden toimesta Muualta Mitä pitäisi tehdä? Suunnitella tietoverkkosi Löytää laitteesi ja niiden ominaisuudet Löytää maailman haavoittuvuuksista ne jotka koskevat laitteitasi ja järjestelmiäsi Arvioida riskien kriittisyys Löytää / tarjota palvelut tilanteen korjaamiseksi Valvoa hanke 8 4
We observe cyber physical (security) issues in all our services, including management consulting, engineering, project implementation, operations support and environmental services. www.poyry.com 5