Tietomanipulaatio ja suomalaisten turvallisuus

Arvioidessani lähitulevaisuuden turvallisuutta ja uhkakuvia, pohdin yhä enemmän digitalisaatiota ja terveydenhuoltoalaa. Digitalisaatio ja ylipäänsä teknologian edistäminen on tasapainottelua hyötyjen ja uhkien välillä. Saatavien hyötyjen ohella myös riskit on tiedostettava, erityisesti hybridivaikuttamisen ja ”kaiken digitalisoinnin” aikakaudella.

Päädyimme viime vuonna tekemässämme Suomen kyberturvallisuuden nykytilaa ja tulevaisuutta koskevassa tutkimuksessa johtopäätökseen, että terveydenhuoltoala on lähitulevaisuudessa kyberhyökkäysten todennäköisimpien kohteiden kärkisijalla. Rikolliset ovat siirtäneet huomiotaan terveydenhuoltoon, muun muassa internetin pimeillä markkinoilla arvokkaiden potilastietojen vuoksi. Valtiollisia toimijoita puolestaan kiinnostavat yhteiskunnan avainhenkilöiden terveystiedot, joita voidaan hyödyntää esimerkiksi poliittisessa vaikuttamisessa. Kiristyshaittaohjelmien vaikutukset tuntuvat puolestaan nopeasti, mikäli pääsy potilastietoihin tai sähköisiin resepteihin estyy. Viime vuosina myös sairaaloihin kohdistuneet kiristyshaittaohjelmahyökkäykset ovat nostaneet hyvin esiin kuinka elintärkeitä potilastietojärjestelmät ovat niiden toiminnalle.

Lääkintälaitteiden yhdistäminen verkkoon tuo myös mukanaan omia turvallisuushaasteita. Laitekanta lisääntyy ja monipuolistuu lähivuosina merkittävästi, kun terveydenhuolto ja sen laitteet siirtyvät yhä enemmän sairaaloista ihmisten koteihin. Kaiken kaikkiaan terveydenhuoltoala nähdään usein ”pehmeänä” kohteena, jonka varautumisen erilaisiin kyberhyökkäyksiin koetaan olevan heikkoa. Myös tämä selittää osaltaan terveydenhuoltoalan nousua ykköskohteeksi. Onneksi Suomessa nämä uhkat on viime vuosina otettu varautumisessa yhä vakavammin ja huomioitu myös harjoittelussa.

Terveydenhuollon toimivuus ja luotettavuus on yksi yhteiskuntamme toiminnan kulmakivistä. Se on asia, joka koskettaa jokaista suomalaista. Luottamuksen säilyminen terveydenhuollon tietojärjestelmien toimivuuteen sekä niissä käsiteltävien tietojen oikeellisuuteen on jatkossa yhä merkityksellisempää suomalaisten turvallisuuden kannalta.

Kun lähes kaikki tieto on tänä päivänä digitaalisessa muodossa, nousee kysymys tiedon turvaamisesta yhä keskeisemmin esille. Merkittävin haaste ei kuitenkaan jatkossa välttämättä liity siihen, että tietoa varastetaan tai hävitetään. Sen sijaan tavoitteena voi olla tiedon sisällön tarkoituksellinen muuttaminen, eli sen manipulointi. Tiedon sisällön oikeellisuudesta huolehtimisen, erityisesti terveydenhuollon alalla, voidaan arvioida nousevan jatkossa yhä tärkeämmäksi asiaksi. Sillä on oleellinen vaikutus koko yhteiskunnan toimintaan ja turvallisuuteen. Potilastietojen eheys ja saatavuus ovat hyvin tärkeitä potilaiden turvallisen hoidon kannalta.

Tietomanipulaatio ilmiönä on noussut vahvasti esille myös kansainvälisesti. Yhdysvaltojen tiedusteluviranomaiset ovat varoittaneet tietomanipulaation nousevan yhdeksi keskeiseksi kansallista turvallisuutta uhkaavaksi tekijäksi. Kansainvälisesti terveystietoihin kohdistuvat hyökkäykset ovat yleistyneet ja viranomaisten huoli lisääntynyt eri puolilla maailmaa.

Tietomanipulaatiolla pyritään vaikuttamaan luottamukseen, joka on yhteiskuntamme toimivuuden keskiössä. Tieto voidaan varastaa ilman välittömiä vaikutuksia sen hyödyntämisestä riippuvaiselle toiminnalle. Pääsy tietoon voidaan hetkellisesti evätä, mutta tähän voidaan varautua esimerkiksi varmuuskopioinnilla. Tiedon eheyden ja luotettavuuden murtuminen, tai jopa pelkkä epäily siitä, voi kuitenkin olla ylipääsemätön toiminnan este. Esimerkiksi terveydenhuoltoalalla kyse voi olla siitä, että emme voisi enää luottaa että tietojärjestelmissä olevat veriryhmätietomme tai laboratoriotuluksemme ovat oikein. Tällainen tilanne olisi yhteiskunnallisesti vakava ja todennäköisesti pitkäkestoinen. Erityisesti hybridivaikuttamisen kontekstissa, jossa tavoitteena on luoda epäluottamusta ja horjuttaa yhteiskuntarauhaa, tällainen toimintatapa voisi vaikutuksiltaan olla valitettavan tehokas.

Tietomanipulaatioon pyrkivän tunkeutujan näkökulmasta tietoa olisi tarkoituksenmukaista muuttaa hienovaraisesti pidemmän ajan kuluessa. Tällöin tehdyt muutokset ehtisivät saastuttaa myös varmennukset ja varmuuskopiot. Hyökkäystä voidaan hyödyntää myös varastamalla tietoa ja julkaisemalla sitä, osin myös väärennettynä, osana laajamittaisempaa informaatiovaikuttamista. Luonnollisesti uhka ei tällöin koskisi vain terveydenhuoltoalaa, vaan laajemminkin niin julkishallinnossa kuin yrityselämässä sähköisesti käsiteltäviä tietoja.

Vaikka tarpeetonta turvattomuuden ilmapiirin luomista tulee välttää, on ajoittain hyvä miettiä asioita hyökkääjän ja vaikuttajan näkökulmasta. Sensitiivinen tietosisältö ja potentiaalisesti laajat vaikutukset tekevät terveydenhuollosta toimialana kiinnostavan kyberhyökkäyksiä tekeville toimijoille. Moderneissa tietoyhteiskunnissa tietomanipulaatio on nousemassa yhä vakavammin otettavaksi uhkatekijäksi. Tulevissa sosiaali- ja terveydenhuoltoalan uudistuksissa – ja toki muuallakin yhteiskunnassamme – asiaan kannattaakin kiinnittää eritystä huomiota.