Kommentti: Eduskunnan kyber­iskun jälkeen jokaisen tulisi kysyä itseltään nämä kysymykset - Tietoturva - Ilta-Sanomat

Kommentti: Eduskunnan kyber­iskun jälkeen jokaisen tulisi kysyä itseltään nämä kysymykset

Tietomurrot ja salaisten aineistojen päätyminen vääriin käsiin ovat uusi normaali. Kyseessä on kissa-hiiri-leikki, joka ei ole tuolla jossain, vaan myös meidän käsissämme, kirjoittaa Ilta-Sanomien digitoimittaja Henrik Kärkkäinen.

28.12.2020 17:23

Tietoturva-asiantuntijoiden vanhan viisauden mukaan on olemassa kahdenlaisia firmoja: sellaisia, joihin on tehty tietomurto ja sellaisia, jotka eivät tiedä tämän tapahtuneen.

Sama pätee kansanedustuslaitoksiin. Näihin liittyi myös Suomen eduskunta, joka tiedotti tänään sähköpostijärjestelmiinsä kohdistuneesta tietomurrosta.

Isoja kysymyksiä on kaksi: kuka sen teki ja saadaanko tahoa kiinni?

Todennäköiset vastaukset kysymyksiin ovat masentavia. Asiansa osaavaa murtautujaa on vaikea saada kiinni ja tämän saaminen vastuuseen on melkein mahdotonta.

Taitava murtautuja tai tiedusteluorganisaatio peittää jälkensä taitavasti eikä koskaan jää kiinni. Tai vaihtoehtoisesti kohdistaa epäilyt toiselle tasolle. Kybermaailmassa se on helppoa.

Ja jos murtautuja kuin ihmeen kaupalla jäisi kiinni, kaikki, aivan kaikki, on kiistettävissä niin oikeudessa kuin julkisessa keskustelussa. Syyllinen jää tietomurroissa usein uskonkysymykseksi, koska harvalla riittää tietotaitoa tapausten analysointiin.

On oikeastaan ihme, että murtautujia saadaan joskus kiinni. Ammattimiesten ja -naisten työkalupakkiin kuuluu muun muassa järjestelmissä lymyileminen pitkään ennen aktiivisen toiminnan aloittamista, liikenteen reitittämien kaapattujen palvelimien ja salattujen verkkojen kautta, varastettujen murtotyökalujen käyttö, lavastetut ”todisteet” ja monet muut savuverhot.

Täydelliset rikokset tehdäänkin nykyisin verkossa. Ota siinä sitten murtautuja kiinni.

Hakkeriromantiikka antaa tietomurroista väärän kuvan. Niiden tekeminen on aikaa ja kärsivällisyyttä vaativaa puuhaa. Niiden selvittäminen on sitä vielä enemmän.

Tutkinta on hidasta ja hankalaa. Aineistoa on kerättävä valtavat määrät ja sen perkaaminen on työlästä. Sitä voisi luonnehtia neulan etsimiseksi heinäsuovasta – paitsi että heinäsuovassa on vähemmän heinää kuin mitä tietomurtojen esitutkinta-aineistoissa dataa.

Masentavaa on myös se, että mikä tahansa organisaatio on murrolle altis. Vaikka järjestelmät olisivatkin (lähes) vedenpitäviä, ihmiset ovat aina erehdytettävissä. Ihminen voi oppia olemaan klikkaamatta ilmeistä kalasteluviestiä, mutta harva varoo tuttavan hänelle henkilökohtaisesti lähettämää viestiä, joka onkin todellisuudessa jotain muuta.

Irvileuka voisi sanoa, että nyt eletään yhteiskunnan todellista avoimuuden aikaa. Salaista tietoa ei juuri ole. Syksyllä julkisuuteen tullut Vastaamo-tapaus teki tämän harvinaisen näkyväksi ja kosketeltavaksi.

Silti tietomurtojen tekijöitä jää kiinni koko ajan. Usein kiinnijäämisen syy on sama kuin tietomurron onnistumisen syy: inhimillinen virhe.

Samaan aikaan tutkijat saavat aika ajoin ajoittaisia voittoja myös teknisin keinoin murtautujien kanssa käytävässä kissa-hiiri-leikissä.

Toivoa siis on. Hengitystä ei kuitenkaan kannata pidättää syyllisten löytymistä odotellessa.

Odotellessa jokainen voi sen sijaan kysyä itseltään, voisinko olla tietoturvan heikko lenkki vaikken kansanedustaja olekaan.

Millaisia tietoja tallennan digitaalisesti ja miten niitä säilytän? Millaisia viestejä lähetän millaisellakin välineellä? Keneltä saamiini viesteihin luotan? Vaikken itse olisi merkkihenkilö, pääseekö minun kauttani käsiksi johonkin muuhun?

Tietoturva ei ole ”siellä jossakin”. Se on meissä.

Jos tämän myötä joku sisäistää, että tietoturvan perusteet ovat kansalaistaito siinä missä ensiavun antaminen, sekin on pieni voitto.

Osion tuoreimmat

Luitko jo nämä?