Turvallista tietoympäristöä hahmottamassa
Tiedonhallinnan ratkaisuissa on pyrkimyksenä päästä sekä kansallisella tasolla että kansainvälisessä vuorovaikutuksessa enenevässä määrin toimintaprosessien ja niitä tukevien tietojärjestelmien yhteentoimivuuteen. Toimintoja ja palveluja digitalisoitaessa on otettava huomioon erilaisia hallinnallisia tarpeita, joista yksi keskeisimmistä on tarve turvallisuuteen. Kuten lukuisissa viime aikoina havaituissa tiedon turvallisuuden vaarantumiseen liittyvissä tapauksissa on saatu havaita, luottamuksen hävitessä yritykseen, voi seurauksena olla koko liiketoiminnan loppuminen. Hallinnon ratkaisuissa ei luonnollisesti myös ole varaa löysäilyyn. Vaikka kyse ei ole yritystoiminnasta, luottamus digitaalisiin palveluihin on kyettävä saavuttamaan tai ne jäävät käyttämättä.
Suomessa virastot ja hallinnonalat ovat perinteisesti olleet toiminnassaan hyvin itsenäisiä. On puhuttu siilomaisuudesta. Digitalisaatiokehityksen myötä liiallisia rajapintoja on toki pyritty purkamaan. On asetettu tavoitteita hallinnon perustietovarantojen käytön laajentamisesta ja tiedon avaamisesta laajemmin hyödynnettäväksi sekä tallentamisesta vain kertaalleen yhteen paikkaan. Tiedon eheyden kannalta tämä onkin luontevaa – on yksiselitteinen asia, mikäli tieto on säilytettynä ainoastaan yhteen kertaan. Näin vältytään eri versioiden mahdollisesti aiheuttamilta tulkinnallisilta erimielisyyksiltä. Toisaalta kun tieto on vain yhdessä paikassa, sen on oltava myös tarvitsijoiden saavutettavissa säällisillä vasteajoilla. Usein kyse on ennen muuta kustannuksista. Aikanaan hallinnossa maksuperusteasetus määritti tiedon hinnan sitä muille luovutettaessa. Syntyi tapauksia, jolloin oli halvempaa pitää yllä omaa tietovarantoa kuin maksaa siitä muulle taholle.
Kuva: Google.
Keskittäminen on trendinä ollut vallitseva viime vuosien julkishallinnon kehittämisessä. On toteutettu erilaisia palvelukeskusratkaisuja jotka hoitavat talouteen, henkilöstöön ja tiedon hallintaan liittyviä asioita virastojen puolesta. Toiminnalla on siten tavoiteltu toimintaprosessien yhtenäistämistä ja säästöjä. Keskittäminen tarkoittaa käytännössä myös yhtenäistämistä. Yhtenäistetyt palvelut on yhtäältä helpompaa hallita ja turvata, mutta toisaalta turvaamisen mekanismit yhtenäistyvät myös. Tämä tarkoittaa sitä, että sama hyökkääjän avain sopii jokaiseen turvaajan lukkoon. Tasapainottamisen paikka siis.
Hajauttaminen on ollut perinteinen turvaamisen metodi, kun puhutaan analogisen maailman turvallisuusratkaisusta. Yhden kohteen olleessa käyttökelvoton, kokonaisuus ei hajautetussa mallissa vaarannu. Myös tietojen hallinnassa hajautetaan. Keskitettykin ratkaisu voi olla kahdennettuna tai monennettuna useaan maantieteelliseen paikkaan. Uhkatekijöitä kuitenkin on. Yhden samankaltaisen monennetun kohteen saastuttaminen esimerkiksi haittaohjelmalla, johtaa ajan myötä kokonaisuuden saastumiseen. Toisaalta tietomurtotoiminta on myös sen harjoittajan puolelta investointi. Mikäli yleisavain ei johonkin lukkoon suoraan sovikaan tulee pohdittavaksi, onko odotettavissa oleva vaiva hyödyn arvoinen.
Erityisen kriittiset ja turvaamista edellyttävät järjestelmät on perinteisesti eriytetty täysin muista tietoteknisistä järjestelmäympäristöistä. Ratkaisu on kyllä turvallinen, mutta sen kustannukset ja hankalampi ylläpidettävyys ovat keskeisiä käyttöä hankaloittavia tekijöitä. Usein onkin toteutettu osittainen eriyttäminen, jossa kokonaisuus on yhteydessä muuhun digimaailmaan hyvin hallitun ja valvotun väyläratkaisun kautta. Järjestelmäkokonaisuuden sisälle on mahdollista tuoda ainoastaan koodisisällöltään läpinäkyviä ja siten tarkastettavissa olevia ratkaisuja. Muiden järjestelmien käyttö suljetun kokonaisuuden sisältä on mahdollista ainoastaan virtualisoidusti.
Keskittäessä kaikki munat ovat vertauksilla puhuttaessa siis samassa korissa. Teknologisen kehityksen vietyä pilvipalvelujen suuntaan ei edes mainittu kori ole enää oma. Julkisissa pilvipalveluissa ei asiakkaalla ole juuri käsitystä siitä missä tallennettu tietovaranto käytännössä sijaitsee. Pilviteknologia on kuitenkin vallannut markkinat nopeasti ja turvallisuustoiminnoissa on kyettävä löytämään malli, jota vastaan pilvipalvelujen turvallisuutta on mahdollista arvioida. Ensimmäinen kansallinen askel tässä on ollut Liikenne- ja viestintävirasto Traficomin kokoama pilven turvallisuutta määrittelevä kriteeristö Pitukri. Olisi myös arvioitava, mitä mahdollisuuksia olisi luoda eurooppalainen tai kansallinen turvallinen pilvialusta. Eurooppa-tasolla ongelmana on, että tietoteknologiassa suuret palvelutoimittajat tälläkin sektorilla ovat lähinnä yhdysvaltalaisia. Kehittämisen ja käytön kustannukset ovat myös suuremmat kuin jo valmiina olevilla globaaleilla pelureilla. Kansallisesti pilvipalvelujen luominen valmiilla teknologioilla edellyttää dedikoitujen ratkaisujen sulkemista ja turvaamista ulkopuolisia uhkia vastaan. Tällöin on jälleen kysymys siitä, kuinka tiivis pullo on syytä, mahdollista tai tarpeen rakentaa, jotta se kuitenkin edelleen on ylläpidettävissä ja kustannuksiltaan siedettävällä tasolla.
Digitalisaatioon liittyvien turvallisuusuhkien kasvu tulee tekijänä ottaa vakavasti niin keskitetyissä, hajautetuissa kuin jopa eriytetyissäkin ratkaisuissa. Ohjelmistoissa on aina ollut puutteita ja ongelmia, jotka osaltaan mahdollistavat vihamielisen toiminnan. Yhtenä hyvänä esimerkkinä tästä on Microsoftin tuottaman laajakäyttöisen Exchange-sähköpostijärjestelmässä havaittu haavoittuvuus. Järjestelmiä sinänsä on lähes mahdotonta avoimissa ympäristöissä rakentaa täysin turvallisiksi. Edelleen – vaikka turvataso niissä olisikin huipputasoa – inhimillinen tekijä muodostaa aina arvaamattoman elementin. Vaikka case Vastaamossa järjestelmien turvallisuus ei sinänsä varmasti ollut huipputasoa, niistä huolehtimisen taso oli vieläkin heikompi. Alkeellisetkin turvaamiseen liittyvät konfigurointi- ja valvontatoimet oli jätetty hoitamatta.
Mikä siis neuvoksi? Digitalisaation suhteen tieto- ja kyberturvallisuus on otettava tekijänä huomioon vielä entistä vakavammin. Valtiovarainministeriö käyttää asiasta puhuttaessa termiä digitaalinen turvallisuus. Siihen panostamisen tulee olla resurssimielessä samassa suhteessa kuin yleensä panostaminen digitaalisiin ratkaisuihin ja palveluihin. Hallinnon tulee myös toimia yhteistyössä alan yritysten kanssa. Asia onkin huomioitu yhtenä keskeisenä tekijänä kansallisen kyberturvallisuuden kehittämisohjelmassa. Keskittämisen ja hajauttamisen välillä on löydettävä tasapaino. Yhteensovittaminen kasvattaa väistämättä keskinäisriippuvuuden määrää, johon liittyvät uhkatekijät tulee tunnistaa ja reagoida niihin etupainotteisesti. Eikä pidä unohtaa ihmistä. Osaaminen on perustava elementti, jonka varassa kokonaisuus lopultakin joko seisoo tai kaatuu.
Kirjoittaja
Ari Uusikartano on työskennellyt ulkoministeriön tietohallintojohtajana vuodesta 2005. Hän on mukana lukuisissa kansallisissa ja EU-tason tieto- ja kyberturvallisuuden kehittämishankkeissa. Uusikartano on suorittanut 178. maanpuolustuskurssin.
