Ajankohtaista

Tuotannon digitalisaatio ja kyberturvallisuus

keskiviikko 06. syyskuu 2017

Kaikki me olemme haasteiden edessä, kun uusien teknologioiden sykli koko ajan kiihtyy. Automaatiopuolella on käytetty hyvän aikaa TCP/IP-pohjaista tiedonsiirtoa vanhojen kenttäväylien asemesta, mutta organisaatioiden ajattelu on tietyiltä osin edelleen menneessä maailmassa. Nyt on tulossa uusi mullistus: digitalisoituminen ja erilaiset IoT-pohjaiset ratkaisut. Niissä on käytössä uusia teknologioita ja käytäntöjä, joiden kaikki kerrannaisvaikutukset ovat vielä tuntemattomia.
IoT-laitteiden perinteisempiä teollisuuslaitteita halvempi hinta perustuu niissä käytettyyn kuluttajatekniikkaan sekä ohjelmistojen että komponenttien osalta. Samalla eri toimijat ovat entistä riippuvaisempia toisistaan, varastot pienenevät tai keskittyvät, ja toimitusketjut ovat hyvin pitkiä. Tietoverkkojen ja -järjestelmien sekä toimitusten ja logistiikan kansainvälistyminen vaatii suurempien ja monimutkaisempien kokonaisuuksien hallintaa esimerkiksi riskienarvioinnissa. Pilvipalvelut ja virtualisointi hyvin toteutettuina lisäävät toimintavarmuutta, kunhan arvioi niiden etuja ja rajoituksia kylmäpäisesti.

Uhkia elintarvikealalle aiheuttavat esimerkiksi erilaiset kiristykset. Tiedot salakirjoittavia haittaohjelmia on jatkuvasti liikkeellä, eikä niiltä voi suojautua aukottomasti. Myös tuotteiden ominaisuuksien pilaaminen ja esimerkiksi allergeenien päätyminen tuotteisiin voisi johtaa kalliisiin takaisinvetoihin. Bitcoin-virtuaalivaluutta mahdollistaa kiristyksen vähäisellä kiinnijäämisen riskillä. Ensimmäiset pyysivät kirityshaittaohjelma-aalloissa yrityksiltä saman verran kuin tavallisten ihmisten lomakuvista. Nykyään kiristäjät ovat tietoisempia ympäristöistä, joissa he ovat, ja sitä myötä vaaditut lunnassummat ovat kasvaneet moninkertaisiksi.
Tietoja voidaan myös varastaa haittaohjelmien avulla, vaikkapa reseptiikkaa erityistuotteisiin. Epärehellinen kilpailija mistä maasta hyvänsä voi ostaa joko tietoja tai pääsyn yrityksen järjestelmiin kyberrikollisilta. Verkon hämärällä puolella on myös myynnissä kaikenlaisia palveluja haittaohjelmista kokonaiseen haittaohjelman keräämiä tietoja vastaanottavaan ja päivityksiä tarjoavaan infrastruktuuriin. Joskus kuulee, ettei yrityksellä ole mitään tietoa, jonka ulkopuolinen haluaisi saada käsiinsä. Herää kysymys, miksi yritys on ylipäänsä olemassa, jos sillä ei ole muka mitään kilpailuetua?

Moneen kyberturvallisuusuhkaan auttaa onneksi perusasioiden kunnollinen hoitaminen. Verkkojen eriyttäminen auttaa myös muissa verkkojen virhetilanteissa, ja estää niiden vaikutusten leviämistä. Etäyhteydet tarjoavat usein suoran yhteyden alimman tason laitteisiin. Koska automaatioprotokollat ovat pääosin todentamattomia eli viestin lähettäjää ei tunnisteta, pääsy näihin verkkoihin on suojattava huolella.
USB-tikut ja siirrettävät kovalevyt ovat olleet usein haittaohjelmatartuntojen lähteitä, joten niiden tulisi käydä puhdistusaseman kautta ennen liittämistä laitteisiin. Oikein asetetut tiedostojen ja järjestelmien käyttöoikeudet voivat estää hyökkäyksen kokonaan tai johtaa sen havaitsemiseen. Varmuuskopioiden on syytä olla kunnossa, jos ja kun esimerkiksi salakirjoittava haittaohjelma on suojakeinoista huolimatta päässyt tarttumaan ympäristöön.

Automaatioverkoissa on mahdollista toteuttaa monia sellaisia tietoturvaratkaisuja, jotka toimistoverkoissa olisivat liian työläitä. Järjestelmien kovennukset, vain sallittujen sovellusten ajon salliminen ja epätavallisen liikenteen valvonta ovat huomattavasti helpompia automaatioverkoissa, joissa ei tapahdu niin paljon muutoksia ja joiden liikenne on ennustettavampaa. Tietoturvatuotteiden toimittajat valitettavasti vielä harvoin tuntevat automaatioverkkojen erityispiirteitä ja tarjoavat näihin toimistoverkkoihin suunniteltuja ratkaisuja.
Onko digitalisaatio sitten mörkö, jota pitäisi pelätä? Hyvin suunniteltuna se antaa joustavuutta toimintaan, mutta voi samalla myös parantaa jatkuvuutta. Jos ei ole selvää, mistä aloittaa, voi vyyhtiä alkaa purkaa esimerkiksi tunnistamalla tärkeimmät tiedot ja järjestelmät ja suojata ne. Uusia ratkaisuja käyttöönotettaessa kyberturvallisuus pitää ottaa huomioon heti kättelyssä, koska sen toteuttaminen jälkikäteen on vähintäänkin työlästä ja kallista ja joskus jopa mahdotonta. Kyberturvallisuus tulisi riisua turhasta mystiikasta osaksi normaalia toimintaa ja riskienarviointia ja -hallintaa.

Erika Suortti-Myyry
tietoturva-asiantuntija
Kyberturvallisuuskeskus
Viestintävirasto