Retoriikasta motoriikaksi
Kollaboraatiota tukevia toimintamalleja pitää kehittää harjoituksissa, jotta niitä voitaisiin voitaisin käyttää todellisissa tilanteissa.
TIETO-harjoituskokonaisuus on merkittävä palanen kansallisen digitaalisen turvallisuuden strategiaa. Millaiseen suuntaan sitä kehitetään?
Huoltovarmuuskeskus on panostanut kahdella suunnalla digitaalisen turvallisuuden kehittämiseen: on rakennettu kaikille digitaalista turvallisuutta tarvitsijoille tarkoitettuja yhtenäisiä palveluja ja edistetty toimialojen kyberturvallisuutta.
Sauli SavisaloInfrastruktuuriosaston johtaja Sauli Savisalo kertoo, että palveluja kehitetään yhdessä Kyberturvallisuuskeskuksen ja valikoitujen tietoturvayritysten kanssa.
”Vanhin tällainen palvelu on tietoturvaloukkauksia ehkäisevä ja torjuva CERT-toiminta. Sen rinnalle ovat tulleet hyökkäysten havainnointikykyä parantanut tiedon sensorointijäjestelmä HAVARO 2.0 sekä ISAC-yhteistoimintaverkostot, joissa Kyberturvallisuuskekuksen ja eri toimialojen edustajat keskustelevat hyvin teknisellä tasoilla tietoturvahaavoittuvuuksista ja operatiivisista tilanteista. Yhteistyö tuottaa tilannetietoa ja ymmärrystä kumpaankin suuntaan.”
Toimialojen kyberturvallisuutta kehitettäessä toimiala on ymmärretty aika laajasti. Terveyden- ja energiahuollon ja median kaltaisten toimialojen rinnalla puhumme esimerkiksi Helsingin keskeistä infraa ylläpitävien toimijoiden ryhmästä.
Osaaminen muuttuu harjoituksissa retoriikasta motoriikaksi.
”Olemme kehittäneet toimialojen kyberkyvykkyyksiä ja rakenteellista resilienssiä häiriöitä vastaan. Nämä valmiudet pitää kuitenkin muuttaa verkostoissa tapahtuvaksi operatiiviseksi toiminnaksi, jossa luodut valmiudet otetaan käyttöön. Se tehdään harjoituksissa, joissa osaaminen muuttuu retoriikasta motoriikaksi.”
Digitaalisen turvallisuuden harjoituksista tärkein on joka toinen vuosi järjestettävä TIETO-harjoituskokonaisuus.
”Valmisteilla on vuoteen 2030 yltävä uusi digitaalisen turvallisuuden ohjelma, jonka myötä resurssimme ovat merkittävästi lisääntymässä. Jatkossa olemme tärkeä kansallisen strategian toimeenpanija. Ja TIETO-harjoituskokonaisuus on yksi siinä palanen.”
Kuka varautuu sotaan?
TIETO-harjoituksiin koottava osallistujajoukko edustaa eri toimialoja, joilla on vahvoja keskinäisiä kytkentöjä ja riippuvuuksia. Siinäkin suhteessa harjoituksen täytyy muistuttaa ympäröivää yhteiskuntaa.
”Ilman sähköä ei ole tietoliikenneyhteyksiä ja päin vastoin, ja vastaavia riippuvuuksia voisi listata äärettömiin. TIETO-harjoitukseen yritetään aina haukata joku tällainen palanen, jonka kanssa kybervalmiuksia harjoitellaan ja otetaan haltuun.”
Harjoituksissa testataan varautumista myös sellaisissa tilanteissa, jotka eivät normaalisti sisälly yritysten varautumissuunnitelmiin.
”Huoltovarmuuden ja harjoitustoiminnan perustaa on, että uskomme hyväntahtoisesti tiettyyn rajaan saakka, että toimijat ovat varautuneet tunnistamiaan itselleen relevantteja uhkia vastaan”, Savisalo selittää.
”Esimerkiksi sotaan varautuminen ei ole yhdenkään siviilipuolen toimijan intresseissä eikä uhkakartalla. Simuloidussa tilanteessa heille voidaan kuitenkin antaa herätteitä riskeillä, jotka ovat yhteiskunnan kannalta keskeisiä ja jotka eivät heitä normaalisti kosketa.”
Harjoituksessa testataan, miten yritysten omista lähtökohdistaan tekemä varautumistyö tukee näiden yhteiskunnan kannalta merkittävien riskien hallintaa.
”Joissain tapauksissa se tukee sitä jopa erittäin hyvin. Joskus on myös mahdollista siirtyä hallitsemaan yrityksen riskejä toisella tavalla, joka ei maksa enempää mutta joka turvaa paremmin yhteiskunnan tarpeita.”
Yhteiskunnan resilienssin turvaaminen
Yrityskohtaisiin oppimispolkuihin
Uusi ja pitkälti vielä toteutumaton harjoitusten tavoite on kannustaa yrityksiä rakentamaan oppimispolkuja itselleen ja etenemään siinä TIETO-harjoituksen tavoin portaittaisesti: ensin ne hankkisivat sisällään tietyn kypsyyden häiriöiden ja muiden tilanteiden hallinnassa, sitten ne siirtyisivät seuraavalle tasolle toimialojensa kanssa ja lopulta saisivat laajan valtakunnallisen näkemyksen intensiivisessä TIETO-yhteisharjoituksessa.
On kuitenkin vielä kaukaista tavoitetilaa, että yritykset saisivat rakennettua omat yrityskohtaiset oppimispolkunsa ja pystyisivät järjestämään sisäisiä harjoituksia.
”Toivoisimme, että yritykset harjoittelisivat valtakunnallisten intensiiviharjoitusten välillä itsekseen. Tähän tarkoitukseen kehitämme parhaillaan yhteishankkeessa Jyväskylän ammattikorkekoulun tietoturvalaboratorion kanssa TIETO-harjoitusta valmistavia ja yrityksen omaa toimintaa vahvasti edistäviä mikroharjoituksia, jotka olisivat helposti monistettavissa ja joiden toteuttamiseen ei tarvittaisi ulkopuolista tukea.”
Uusia kerroksia mukaan harjoituksiin
Valmisteilla olevassa uudessa digitaalisen turvallisuuden ohjelmassa yhteisten palvelujen, toimialojen valmiuksien ja harjoittelutoiminnan rinnalle tulee uusia kokonaisuuksia.
”Raja kyberin ja fyysisen maailman välillä on veteen piirretty viiva. Tärkeä peruspilari ovat asiat, jotka ovat välttämättömiä kyberturvallisuustoimintojen oikeaan rakentumiseen, mutta joita ei mielletä ihan suoraan kyberturvallisuudeksi, kuten kansallinen ja kansainvälinen tietoliikenteen turvallisuus ja satelliittipaikantamisen varmuus”, Savisalo kertoo.
”Tätä tasoa kannattelevat fyysiset rakenteet – kaapelit, muuntoasemat, mastot ja konesalit – jotka täytyy suojata fyysiseltä väkivallalta. Edistämme myös niihin liittyvää tilannekuvaa ja tuomme niitä myös jatkossa mukaan TETO-harjoituksiin. ”
Sotaan varautuminen ei ole yhdenkään siviilipuolen toimijan intresseissä eikä uhkakartalla. Simuloidussa tilanteessa heille voidaan antaa herätteitä riskeillä, jotka eivät heitä normaalisti kosketa.
Kokonaisuuteen liittyy vielä informaatiovaikuttamisen kerros: medioiden ja sosiaalisen median toiminta ja niihin kohdistuvat informaatiovaikuttamiset.
”Niiden tunnistaminen ja paljastaminen on meillä myös kartalla, sillä ne liittyvät ainakin osaltaan kyberturvallisuuteen. Vaikuttamista tapahtuu myös liiketoiminnallis-taloudellisella puolella, kuten omistusten, IPR:n hallinnan ja kansainvälisten suhteiden, kautta. Se näkyy esimerkiksi taloudellisina interventioina ja vihamielisinä omistuksina. Näitäkin tuomme hyvin ohuesti mukaan TIETO-harjoitukseen.”
TIETO2022: mitä uutta tulossa?
Sauli Savisalo lupaa, että vuoden 2022 harjoituksessa on tarkoitus syventää vanhoja kytköksiä mutta tarjolla on myös uusia eväitä.
”Etätyön osuutta tullaan lisäämään, sillä etätyö – tai paremmin ilmaistuna kollaboraatio – on se malli, joilla näitä asioita todellisessa tilanteessakin hoidettaisiin. Se pitää kuitenkin pystyä toteuttamaan luotettavalla ja tietoturvallisella alustalla”, Savisalo muistuttaa.
”Yhteisharjoitusta varten tarvitaan lisää ja parempia kollaboraatiotyökaluja, missä meillä on iso sarka kyntämättä. Olemme käyttäneet koronapandemian aikana yleisesti saatavilla olevia yhteystyökaluja, jotka eivät ole tarpeeksi turvallisia.”
Kollaboratiivinen malli menee lisäksi paljon syvemmälle kuin pelkkä etätyö, jossa käytännössä vain toimiston työaseman piuhat pitenevät. Työtapojen, työkalujen ja alustojen ohella tarvitaan myös palveluja, joilla toiminta olennaisesti tehostuu: analyysipalveluja sekä tiedon esittämisen, louhimisen ja jakamisen palveluja.
”Työkalujen kehittämisen pitää edetä käsi kädessä uusien toimintamallien kehittämisen kanssa. Tässä haastaisin vuosien 2022 ja 2024 harjoituksia edistämään näitä asioita, kirkastamaan tarpeita ja toimimaan markkinoinnin ja testauksen alustana.”
Kollaboraatiota tukevia toimintamalleja pitää kehittää harjoituksissa, jotta niitä voitaisiin voitaisin käyttää todellisissa tilanteissa.
”Tositilanteessa ihmiset eivät kokoonnu leirikeskuksiin torjumaan uhkia, vaan he työskentelevät kukin omissa toimistoissaan ja työpisteissään. Tärkeästä mahdollisuudesta tutustua ja verkostoitua harjoituksissa muiden toimijoiden kanssa täytyy kuitenkin pitää huolta”, Savisalo muistuttaa.
”Sen vuoksi pidän tärkeänä Tieto-harjoituksen intensiivijakson järjestämistä perinteiseen tapaan myös jatkossa. Suomalaiset ovat äärettömän nopeita ja hyviä ryhmäytymään, ja sen tuoma luottamus ja näkemys ovat tärkeitä resilienssin vahvistajia.”
Savisalolla on vielä ehdotus harjoituksen laajentamisesta suomalaisten kansainvälisiin kumppaneihin.
”Entäpä jos seuraava harjoitus järjestettäisiin englanninkielellä? Silloin harjoitukseen voisi osallistua pohjoismaisia osapuolia. Vuoden 2024 harjoituksessa voisi olla jo kumppaneita Keski-Euroopasta.”
Kuvat: avauskuvassa Wikimedian servereitä, kuvaaja Victor Grigas, Yhteiskunnan resilienssin turvaamiskaavio, Sauli Savisalo HVK, TIETO-harjoituskuvat JPA.
