Terrorismi vaihtuu bitteihin – tarvitaan suomalaista osaamista

Naton Kyberpuolustuskeskuksen (CCDCOE) käynnissä olevassa seminaarissa viimeviikkoiset tapahtumat herättävät vilkasta keskustelua. Ensimmäiseksi ”kyberydinaseeksi” (liioitellusti) kutsutun Flame:n paljastumisen ohella mielipiteitä vaihdetaan muun muassa Kiinassa valmistettujen mikrosirujen takaporteista, räjähdysmäisesti kasvaneesta verkkorikollisuudesta sekä Lontoon Olympialaisten tietoturvauhkista. Keskustelua ei käydä ”it-kielellä”, vaan poliittisesti ja vakavalla mielellä. ”There is now a lot of politics in Cyber”, kuten eräs Nato-edustaja asian oivallisesti tiivisti.

Kyberturvallisuus voidaan ajatella digitaalisen maailman turvallisuutena (”bittien maailma”), erotuksena fyysiseen maailmaan (”atomien maailma”). Olemme jatkuvasti koko maailmassa, suomalaisessa yhteiskunnassa ja meidän jokaisen elämässä yhä riippuvaisempia bittien maailman toimivuudesta, siis kyberturvallisuudesta. Koko länsimainen elämäntapamme rakentuu tänä päivänä pitkälti bittien varaan.

Riippuvuuden kääntöpuolena on haavoittuvuus eli bittimaailman kautta pystytään tänä päivänä tuottamaan merkittävää haittaa, taloudellisia menetyksiä, yhteiskunnallista epäjärjestystä, mielipahaa sekä myös fyysistä tuhoa. Toisaalta bittien maailma tarjoaa uuden ulottuvuuden esimerkiksi valtioille tehdä turvallisuuspolitiikkaa ja asevoimien kehittää suorituskykyjään, teollisuusvakoilusta tai järjestäytyneestä verkkorikollisuudesta puhumattakaan.

Kyrberturvallisuuden ja -uhkien painoarvon nousua kansainvälisessä politiikassa ja politiikassa ylipäänsä on helpompi ymmärtää, kun katsoo mitä Yhdysvalloissa on viime aikoina asiasta linjattu. Nämä linjaukset ovat jääneet Suomessa yllättävän vähälle julkiselle huomiolle.

Presidentti Barack Obama, puolustusministeri Leon Panetta ja FBI:n johtaja Rober Mueller ovat kaikki todenneet, että kyberuhkat tulevat jo lähivuosina olemaan vakavin uhka Yhdysvaltain kansalliselle turvallisuudelle ja taloudelle. Yhdysvaltalaista turvallisuusajattelua reilun vuosikymmenen hallinnut ja ulkopolitiikkaa ohjannut terrorismi on menettämässä kärkisijansa. Kansalaismielipiteessä kyberuhkat vievät Yhdysvalloissa jo kaksi ensimmäistä sijaa, terrorismin jäädessä kolmanneksi. Tässä yhteydessä on hyvä tiedostaa se, miten vahva vaikutus Yhdysvaltojen määrittämillä uhkakuvilla perinteisesti on Naton uhkakuvakuvasisältöön, ja siten Naton käytännön toimintaan.

Yhdysvallat on myös päättänyt toimia aktiivisesti kyberrintamalla. Kyberstategiassa julistetaan ennaltaehkäisevän iskun mahdollisuutta eli kyberuhka luokitellaan sellaiseksi, jossa ensi-iskua ei odoteta vaan mahdollisesti isketään ennakoivasti itse ensin. Yhdysvallat on lisäksi todennut, että kyberhyökkäyksiin ei välttämättä vastata kyberaseilla vaan fyysisellä sotilaallisella voimalla. Puolustusbudjetissa puolestaan osoitetaan kybersodankäyntiin mittavia lisäresursseja ja esimerkiksi Utahiin ensi vuonna valmistuva ”tietokeskus” kuvaa Yhdysvaltojen halua hallita bittimaailmaa.

Kyse ei ole vain Yhdysvalloista vaan samansuuntaista kehitystä tapahtuu voimallisesti esimerkiksi Kiinassa, Venäjällä, Israelissa, Ranskassa ja Saksassa. Kyberaseiden varustelukilpailu on käynnissä.

Samalla on syytä pitää mielessä, ettei kyberturvallisudessa ole kyse vain sodankäynnistä. Erilaisia kyberuhkia ja eri motiiveilla toimivia osaavia tahoja on lukuisia. Suurin ongelma kyberturvallisuudessa on tänä päivänä kyberrikollisuus, joka Interpolin mukaan aiheuttaa Euroopalle 750 miljardin euron vahingot joka vuosi! EU:ssa puolestaan arvioidaan, että noin miljoona EU-kansalaista joutuu päivittäin kyberrikollisuuden kohteeksi. Jos nämä luvut pitävät edes puoliksi paikkansa, voidaan puhua todella mittavasta ongelmasta, kun lukuja suhteuttaa esimerkiksi Suomen talousarvion vuotuisiin menoihin.

Oleelliseksi ja hyvin ongelmalliseksi asiaksi nykytilanteessa nousee kyberturvallisuuden kansainvälisten pelisääntöjen, ”digitaalisen maailman liikennesääntöjen”, puute. Nykytilanne muistuttaa uutta Villiä länttä, jossa valtiot kehittävät ja jo käyttävät kyberaseita kiihtyvällä vauhdilla ja bittimaailman sovelluksissa (kuten internetissä) käyttäydytään ilman yhteisesti sovittuja sääntöjä. Erityisen haasteellista on kyetä luotettavasti tunnistamaan tekijät kyberhyökkäysten takaa, jotta vastatoimet voidaan kohdistaa oikeaan osoitteeseen. Tunnistamisen ongelman ratkaisemiksi tarvitaan sekä teknologisia että diplomaattisia innovaatioita.

Asia on nyt poikkeuksellisen ajankohtainen. Yhdysvallat myönsi epävirallisesti viime viikolla kehittäneensä haittaohjelmia (yhdenlaisia kyberaseita) ja hyökänneensä niillä Irania vastaan. Stuxnet-, Duqu- ja Flame-episodit pakottavat nostamaan kissan pöydälle, ja avaamaan kansainvälisen keskustelun kyberturvallisuuden pelisäännöistä. Osa asiantuntijoista on jo päätynyt johtopäätökseen, että Yhdysvaltojen kyberhyökkäykset Iraniin voidaan rinnastaa sodanjulistukseen. Toki esimerkiksi Yhdysvallat ja Venäjä ovat käyneet neuvotteluja kyberaseiden käyttörajoituksista, mutta toistaiseksi maiden välillä ollaan päätymässä sopimukseen ”kuuman linjan” käyttämisestä kyberturvallisuusasioissa.

Kahdenvälisten ja etenkin kansainvälisten keskustelujen lisäksi tarvitaan nyt käytännön toimia. Toiminnalle digitaalisessa maailmassa on tarpeellista luoda sekä kansainvälinen normisto että määritellä turvallisuudelle eri tavoitetasot, kuten on tehty myös fyysiseen maailmaan. Helppo tehtävä tämä ei ole, mutta jo nykytilanteessa hyvin tarpeellinen – ja lähitulevaisuudessa väistämätön.

Kansainvälisesti varsin neutraalina pidetyllä Suomella olisi nyt mahdollisuus lähteä aloitteellisesti ajamaan digitaalisen maailman normiston rakentamista, siis toimimaan ”Kyber-rauhanvälityksen edistämisen suurvaltana.” Tällainen rooli sopisi meille. Olemme teknologiamyönteisiä ja osaamiseltamme korkealle arvostettu maa, olemme profiloituneet menestyksellisesti kansainvälisessä välitystoiminnassa ja siihen haluamme hallitusohjelman mukaan panostaa jatkossakin, ja kokonaisturvallisuusajattelussa olemme maailman kärkimaita. Meillä on kaikkinensa vahva pääomarakenne; niin kansainvälisen luottamuspääoman, kansallisen osaamispääoman sekä yritysten ja ihmisten sosiaalisen pääoman kautta. Uskon, että meistä löytyy lisäksi tarvittavaa innovatiivisuutta, pragmaattisuutta ja rohkeutta, jota tämä tehtävä edellyttää. Yrittää ainakin kannattaisi.

Samalla on pidettävä mielessä, ettei digitaaliseen maailmaan ole edes mahdollista soveltaa suoraan fyysisen maailman sääntöjä. Pelisääntöjen ohella tarvitaan uudenlaista turvallisuusajattelua – ja uudenlaisia ratkaisuja. Bittimaailmassa sodan ja rauhan välinen raja hämärtynee entisestään, oma turvallisuuden tunteemme rakentuu uudella tavalla ja erilaiset kansainväliset tai yhteiskunnalliset kriisitilanteet muuttunevat hyvin epämääräisiksi, ilman selkeää alkua tai loppua oleviksi.

Hyvin oleellista on muuttaa nykyinen lähestymistapamme turvallisuuteen bittimaailmassa. Fyysisessä maailmassa turvallisuusnäkökohdat osataan ottaa lähes kaikessa toiminnassa huomioon melkein itsestään selvinä asioina. Digitaalisessa maailmassa näin ei ole. Bittimaailmassa valmistetaan, ostetaan ja käytetään ”autoja ilman jarruja” ja ”pidetään kotiovea avonaisena ilman minkäänlaisia turvalaitteita.” Kun turvallisuusnäkökohdat jätetään huomioimatta, houkuttelevuus väärinkäytöksiin luonnollisesti esimerkiksi kyberrikollisuudessa lisäääntyy. Turvallisuusasioihin tulisi digitaalisessa maailmassa toimittaessa suhtautua aivan uudenlaisella vakavuudella ja ottaa turvallisuus koko kehityksen lähtökohdaksi. Muussa tapauksessa ajaudumme ”kertarysäykseen”, jolloin meidän on pakko palata digitaalisen maailman rakentamisessa useampi askel taaksepäin.

Keskeisin kysymys kyberturvallisuudessa on tällä hetkellä: Mitä yllättävää ilmenee seuraavaksi? Bittimaailman turvallisuuskysymyksiin on suhtauduttava huomattavasti nykyistä vakavammin, sillä kyberuhkat lisääntyvät ja niiden vaikutukset muuttuvat mittavammiksi. Tästä kehityssuunnasta ollaan täällä Naton kyber-seminaarissa liikuttavan yksimielisiä.