Kybervarautuminen on koko yhteiskunnan asia

Suomessa on viime päivinä keskusteltu kybersodankäynnistä ja siihen liittyvistä uhkista. Keskustelu ja uhkiin varautuminen on tarpeellista. Teknologisesti kehittyneet valtiot kykenevät käymään sotaa tänä päivänä fyysisen maailman rinnalla myös digitaalisessa ympäristössä, johon moderni yhteiskuntarakenne tarjoaa uusia sodankäynnin tapoja – ja haavoittuvuuksia. Kybersodankäynnissä ollaan niin kykyjen luomisessa kuin niiden käyttämisessä siirtymässä kehittyneempään vaiheeseen, ja siksi Ukrainan tapahtumia on eri maissa seurattu kybersodankäynnin näkökulmasta erityisen tarkoin. ”Puhdasta kybersotaa”, jota käytäisiin vain digitaalisessa ympäristössä, ei ole nähty ja tuskin tullaan koskaan missään näkemäänkään. Toisaalta kyberoperaatioilla on nykyisin erottamaton sijansa missä tahansa modernissa sodassa ja konfliktissa. Niin on tapahtunut Ukrainan sodassakin.

Epämääräiseen hybridisodankäynnin konseptiin kyberoperaatiot sopivat hyvin. Tekijää on yleensä vaikea osoittaa, poliittiset riskit ovat nykyhetkessä varsin pieniä, kansainvälisissä laeissa kyberoperaatiot näyttäytyvät edelleen harmaana alueena ja internet-maailma tarjoaa ”pienille vihreille biteille” uudenlaisia vaikutusmahdollisuuksia. Ukrainassa digitaalista toimintaympäristöä on käytetty monin tavoin sodan päämäärien saavuttamiseksi, osana muuta toimintaa. Suomen näkökulmasta on oleellista huomioida, että Venäjää voi pitää maailman yhtenä kolmesta kyberkyvykkäimmästä valtiosta.

Kybersodankäyntiin varautumisessa ja valmiuksia kehitettäessä on välttämätöntä – myös julkisessa keskustelussa – kiinnittää erityinen huomio kolmeen asiaan.

Ensinnäkin digitaalista toimintaympäristöä ei tule liiaksi erottaa omaksi ulottuvuudekseen, irrallisena fyysisestä maailmasta. Merkittävänä turvallisuustrendinä korostuu fyysisen ja digitaalisen maailman yhä tiiviimpi yhteenkietoutuminen. Esimerkiksi Yhdysvallat kertoo avoimesti pyrkimyksestään luoda kyberkykyjä, joilla tuotetaan fyysistä tuhoa (kineettinen kyber). Digitaalinen maailma on myös riippuvainen fyysisestä infrastruktuurista, kuten tietoliikennekaapeleista, ja joissain tilanteissa tietoliikenneyhteyksiä voidaan helpommin heikentää katkaisemalla fyysinen kaapeli. Näin Venäjä toimi Krimillä. On myös pidettävä mielessä, että osaava ihminen on paras ”kyberase”, ja heidän suojaamisestaan huolehtiminen on yksi osa kybervarautumista. Yhdysvallat on viimeisen puolen vuoden aikana eliminoinut useita ISIS:n hakkereita – fyysisesti tappamalla – jotta he eivät pystyisi tekemään aktiviteettejaan digitaalisessa toimintaympäristössä.

Toiseksi, Suomen kybervarautuminen ei ole yksinomaan puolustusvoimien vaan koko yhteiskunnan tehtävä. Puolustusvoimat, yhteistyössä osaavien reserviläisten kanssa, luo sotilaallista kyberpuolustuskykyä, mikä muodostuu tiedustelun, vaikuttamisen ja suojautumisen kyvyistä. Näitä kaikkia kolmea kykyä tarvitaan. Kyberpuolustusta harjoitellaan ja kehitetään yhdessä viranomaisten, järjestöjen ja elinkeinoelämän toimijoiden kanssa kansallisesti ja kansainvälisesti. Oleellista on kuitenkin koko yhteiskunnan varautuminen ja etenkin kriittisen infrastruktuurimme suojaaminen hyökkäyksiä vastaan. Kansainväliset esimerkit myös osoittavat, että yleensä heikoin (ja toisaalta parhaassa tapauksessa vahvin) lenkki on loppukäyttäjä – ihminen. Tämä edellyttää perustaitojen hallitsemista ja riittävää ymmärrystä jokaiselta suomalaiselta. Sama koskee informaatiovaikuttamiselta suojautumista. Kyberturvallisuus on malliesimerkki kokonaisturvallisuuden välttämättömyydestä.

Kolmanneksi, liian usein keskitymme kybervarautumisessa teknisiin yksityiskohtiin kokonaisuutta tarkastelematta. Kybertoimintaympäristöä käytettäneen todennäköisesti jatkossa luomaan suotuisia olosuhteita muulle voimankäytölle ja osana muuta voimankäyttöä, eikä niinkään ratkaisuun pyrkivinä itsenäisinä toimina. Teknisten asiantuntijoiden rinnalle tarvitsemme vahvaa strategista – ison kuvan ymmärryksen – osaamista. Ukrainan kokemusten valossa kybervarautumisen kokonaisymmärrykseen yhdistyvät muun muassa mahdollisimman varhainen kyberuhkien havaitsemisen merkityksien ymmärtäminen, torjuntatyön jatkuva ajanmukaistaminen, lainsäädännön kehittäminen, osaavien ihmisten koulutustarve, johtamissuhteiden selkeys päätöksenteon ja omien toimien perustana sekä yhteistyömuodot kansainvälisten kumppaneiden kanssa.

Ukrainan sota osoittaa, että kybersodankäyntiä ei tule erottaa omaksi alueekseen irrallisena laajemmasta poliittisesta, strategisesta ja geopoliittisesta kontekstista. Se miten valtiot pystyvät yhdistämään niin fyysiset kykynsä kuin kyberkykynsä mahdollisimman tehokkaasti yhdeksi kokonaisuudeksi, ja miten varautuminen kyetään tekemään koko yhteiskunnan voimin, on menestyksen avain.