Vakavimmat kyberuhkat Suomelle

Digitalisaatio tuo mukanaan paljon hyvää, mutta samalla on tunnistettava Suomen kaltaisen digitalisoituneen yhteiskunnan haavoittuvuudet uhkakuvineen – ja osattava oikealla tavalla varautua niihin. Teknologian kehittyminen tuo yhä uusia kyvykkäitä toimijoita turvallisuuden ja sodankäynnin areenoille. Vihamielisten toimijoiden joukon voi arvioida monipuolistuvan. Uhkaajien listaus laajenee valtioista terroristeihin, poliittisiin ja taloudellisiin vakoojiin, rikollisiin, yrityksiin, aktivisteihin, löyhiin aatteellisiin yhteenliittymiin ja yksilöihin. Tulevaisuudessa joudutaan huomioimaan suurempi joukko arvaamattomasti käyttäytyviä tahoja.

Kyberhyökkäykset saattavat tuottaa väärän vaikutelman siitä, ettei kysymys ole vakavasta tapahtumasta, koska ihmishenkiä ei välttämättä menetetä. Kuitenkin hyökkäykset yhteiskunnan kriittistä infrastruktuuria vastaan saattavat aiheuttaa aineellisten tappioiden lisäksi myös ihmishenkien menetyksiä. Esimerkiksi ihmisten terveystietoihin kohdistuvalla laajamittaisella tietomanipulaatiolla voi olla merkittäviä vaikutuksia yhteiskuntajärjestykseen. Suomeen tehtävä vakavampi sotilaallinen kyberisku kohdistuisi todennäköisesti puolustusjärjestelmien sijasta yhteiskunnan elintärkeää infrastruktuuria vastaan.

Vakavimpina suomalaisen yhteiskunnan kyberuhkina lähitulevaisuudessa voi pitää:
– Laajalle kriittiseen infrastruktuuriin (erityisesti finanssialaan, terveydenhuoltoon ja energiatuotantoon ja -jakeluun kohdistuva kyberhyökkäys)
– Laajamittainen datamanipulaatio
– Massiviinen tietovuoto valtionhallinnon organisaatiossa tai yhteiskunnan toimivuuden kannalta keskeisessä yrityksessä.

Suomi on pitkälle kehittyneenä tietoyhteiskuntana erittäin riippuvainen tietoverkkojen ja -järjestelmien toiminnasta, minkä johdosta kybertoimintaympäristön kautta tulevat uhkat ovat kokonaisturvallisuuden kannalta hyvin merkittävä tekijä. Valtaosa yhteiskuntamme elintärkeistä toiminnoista perustuu tiedonsiirtoon, sähköisten tietovarantojen käyttöön ja tietojärjestelmien toimintaan. Useimmat yhteiskunnan palveluista ovat sidoksissa sähköisiin palveluihin. Digitalisaation syventyessä ovat turvallisuuteen kohdistuvat uhkat monimuotoistuneet ja digitaalinen yhteiskunta on uudella tavalla myös haavoittuva. Uhkien potentiaaliset seuraukset ovat muuttuneet aiempaa vakavammiksi.

Kasvavan digitaalisen riippuvuuden ohella niin ei-valtiollisten kuin etenkin valtiollisten toimijoiden kehittyvä kyky vaikuttaa kybertoimintaympäristön kautta Suomen elintärkeisiin toimintoihin muodostaa suomalaiselle yhteiskunnalle yhä vakavammin otettavan uhkatekijän. Erityisesti kyberturvallisuuden kansalliseen johtamiseen, yhteistyön yhteensovittamiseen sekä energia-, sosiaali- ja terveydenhuolto- ja finanssialan kyberturvallisuuteen tulee kiinnittää erityistä huomiota. Niin henkisen kuin toiminnallisen sietokyvyn merkitys kasvaa myös kyberuhkiin varautumisessa lähivuosien aikana. Tällöin on osattava varautua myös ennalta odottamattomiin vaikutuskeinoihin.

Jo nyt on huomioitava viimeisimpien tutkimuksien perusteella, että suomalaiset yritykset ovat toimintakyvyttömiä jo yhden päivän sähkökatkoksen seurauksena. Vastaavasti internetyhteyksien katkeaminen tekee kolmasosasta suomalaisista yrityksistä toimintakyvyttömiä – yhdessä päivässä. Jatkuvuuden varmistaminen, toimintakyvyn säilyttäminen myös ilman sähköä ja internetiä, korostuu varautumisessa.

Kriittisen kybertoimintaympäristön tunnistamiseen yhdistyy myös harkinta kyberomavaraisuudesta, eli kuinka varmistetaan yhteiskuntamme kriittisten kybertoimintojen ylläpidon kannalta riittävä kansallisen omavaraisuuden aste? Tiivistäen sanoen tietyt kyberturvallisuuden osa-alueet tulee pitää ”omissa kansallisissa käsissä”. Omavaraisuus koskee niin teknologisia ratkaisuja kuin osaamista. Tarvitaan riittävä määrä huippuosaajia kyberturvallisuuden eri osa-alueille luomaan kansallista kyvykkyyttä. Osaamisen vahvistaminen on keskeinen osa kyberomavaraisuuttamme. Kyberomavaraisuuden
vahvistamiseen yhdistyy lisäksi kriittisten yritysten ja niiden teknologiaratkaisuiden ankkuroiminen Suomeen. Uskottava kyberturvallisuus ei toteudu ilman uskottavaa kansallista yrityskenttää. Samalla mahdollistetaan kansainvälisistä toimijoista riippumaton kyberturvallisuustuotteiden ja -palveluiden käyttö Suomessa erityisesti turvallisuusviranomaisilla. Toki myös kansainvälinen yhteisktyö samanmielisten valtioiden kanssa on välttämätöntä – Suomen on oltava aktiivinen eurooppalaisen kyberturvallisuusomavaraisuuden edistäjä.

Suurvallat ovat rinnastaneet kyberhyökkäykset sotilaallisiin toimiin, joihin voidaan vastata kaikin mahdollisin keinoin. Esimerkiksi Natossa on linjattu, että vakava kyberhyökkäys voi johtaa artikla viiden eli yhteisen puolustuksen aktivoimiseen. Toistaiseksi kyberoperaatiot on tulkittu sekä Natossa että EU:ssa niin sanotuiksi pehmeiksi toimiksi, minkä vuoksi niiden käyttökynnys on alempi kuin perinteisten sotilasoperaatioiden ja poliittiset riskit näyttäytyvät hyökkääjälle pienempinä. Oleellista on ymmärtää, että digitaalinen ympäristö näyttäytyy tulevaisuudessa yhä vahvemmin poliittisena ympäristönä. Tällöin kyberpelotteen luominen, poliittinen sitoutuminen asioiden edistämiseen ja kyberdiplomatian merkitys korostuvat.