Mikä yrityksiä uhkaa? Kyberturvallisuuden perhosvaikutus - Tosibox blogi
Ota yhteyttä Tilaa uutiskirje

Mikä yrityksiä uhkaa? Kyberturvallisuuden perhosvaikutus

Pekka Sillanpää, CTO, Tosibox

Kuinka ottaa käyttöön ja käyttää laitteita tietoturvallisesti – niin, että ne ovat oletuksena suojattuja alan tyypillisiltä uhkilta? Kuinka tehdä yhteyksistä niin läpinäkyvää, että kuka tahansa voi milloin tahansa todentaa ne? Tai tarpeeksi yksinkertaisia käyttää, estäen konfiguroinnin tietoturvaheikkoudet? Nämä ovat oleellisia kysymyksiä IoT-maailmassa toimiville yrityksille.

Olemme siirtymässä aikakauteen, jossa kaikki digitalisoituu. Tällä on iso merkitys jokapäiväiselle elämällemme. Emme ole enää riippuvaisia vain tietokoneista – ne ympäröivät meitä ja hallitsevat kaikkea, mikä tekee elämämme mahdolliseksi tällä planeetalla. Kaikki nämä “esineet” ovat yhteydessä Internetiin, jotta voimme kommunikoida niiden kanssa mistä tahansa, muodostaen esineiden internetin tai, itse asiassa, kaiken Internetin (Internet of Everything, IoE). Monet näistä esineistä suunniteltiin alun perin toimimaan tiukasti eristetyissä ympäristöissä, mutta tilanne on muuttunut.

Tässä maailmassa on ratkaisevan tärkeää, että viestintä toimii aina, ja että vain oikeat ihmiset voivat hallita ja kommunikoida esineiden kanssa. Jotta voidaan olla varmoja siitä, että pääsy on mahdollista vain valtuutetuille osapuolille, on näiden liitettyjen esineiden tietoturvan oltava asianmukaisella tasolla. Liian usein nähdään, että kyseiset laitteet ja verkot ovat liian heikkoja; pahansuovat osapuolet voivat helposti hallita niitä ilman lupaa, mitä on tapahtunut paljon viime vuosina.

Näitä esineitä kehittäneet ja konfiguroineet ihmiset eivät olleet tietoisia kaikista niistä uhkista tai riskeistä, joita he ottivat, ja siksi he eivät pystyneet niiltä suojautumaan – lisäksi laitteiston tietoturvan testaaminen vie melko paljon aikaa.

Haittaohjelma pistää polvilleen yrityksen kuin yrityksen

Tietoturva muistuttaa joskus kaaosteorian perhosvaikutusta. Tämän suositun ja kekseliään teorian mukaan perhosen siivenisku vaikkapa Yhdysvalloissa voi aiheuttaa tsunamin Japanissa. Kyberturvallisuuden maailmassa yksi väärä klikkaus voi samalla tavalla johtaa karmaisevaan katastrofiin.

Yksi karmaisevimpia esimerkkejä on tanskalaisen monialayhtiö Maerskin kokemus kiristyshaittaohjelma Petyan kanssa. Kirjanpito-ohjelman kautta Maerskin pääkonttorin sisäverkkoon levinnyt haittaohjelma aiheutti yhtiölle jopa 300 miljoonan euron tappiot. Petya ehti vaikuttaa kolmeen yhtiön yhdeksästä segmentistä, ja lähinnä rahtiliiketoimintaan. Yhtiö joutui kuitenkin sulkemaan osan logistiikkajärjestelmistään, mistä seurasi huomattavia kerrannaisvaikutuksia koko liiketoiminnalle. Neljä tuhatta palvelinta ja 45 000 työasemaa jouduttiin asentamaan uudelleen.

Kun teollisia järjestelmiä rakennettiin, tietoturvan puutetta ei pidetty realistisena uhkana. Silloin kukaan ei tullut edes ajatelleeksi, että tietoturvattomuutta voitaisiin käyttää väärin, sillä tietoturvaa ei käsitteenä edes juuri tunnettu. Vanhoissa järjestelmissä ei ole koskaan ollut sellaista tietoturvaa, mikä nykyään mielletään perusasioiksi. Siksi näiden järjestelmien muuntaminen nykyaikaan ja integrointi uudempiin järjestelmiin on avannut ne lukuisista suunnista tuleville hyökkäyksille.

Politiikkaa vai surullisia sattumia?

Loppuvuodesta 2015 1,4 miljoonaa ukrainalaista kotia oli ilman sähköä. Syyksi paljastui sähköverkkoon ujuttautunut haittaohjelma. Kyseessä ei ollut mikä tahansa rikollisten kiristyshaittaohjelma, vaan nimellä Blackenergy tunnettu troijalainen. Eräs Blackenergyn komponenteista oli nimenomaan suunniteltu tuhoamaan käyttöjärjestelmän kannalta välttämättömiä tiedostoja. Jokainen tietokoneiden kanssa tekemisissä ollut tietää, että jos käyttöjärjestelmä sekoaa, koneella ei tee mitään. Sellaisella koneella ei voi myöskään palauttaa sähköjä asiakkaiden koteihin. Ukrainalaiseen sähköyhtiöön kohdistui järjestelmällinen sabotaasi, jota useat tietoturvayhtiöt luonnehtivat poliittiseksi.

Ukrainalaisten ihmisten sähkönsaanti ei onneksi häiriytynyt kuin muutamaksi tunniksi, mutta pahempaakin tuhoa on jo saatu aikaan. Vuonna 2014 Saksan tietoturvaviranomainen kertoi tapauksesta, jossa saksalainen terästehdas oli sabotoitu verkkohyökkäyksellä. Tietojenkalastelusähköpostista käynnistynyt hyökkäys eteni vaiheittain tehtaan työntekijöiden sisäverkosta tuotantoympäristöön. Lopulta tehtaan masuunia ei saatu suljettua, ja se tuhoutui.

Vastaavaa oli nähty aiemmin vain eräässä luonteeltaan erittäin poliittisessa kybersabotaasissa, kun Iranin uraaninrikastamon sentrifugit hajosivat. Se oli tahallinen pyrkimys haitata Iranin ydinohjelmaa. Maailmaa peruuttamattomasti säikäyttänyt tapaus tunnetaan nimellä Stuxnet.

Saksalaisen terästehtaan tapauksesta ei tiedetä, oliko masuunin tärveleminen verkkohyökkääjien alkuperäinen tarkoitus. Niin kuitenkin kävi. Se on opettavainen muistutus paitsi verkkojemme hauraudesta, myös tietoturvan perhosvaikutuksesta.

Turvaamme niin uudet kuin vanhat teolliset järjestelmät

Elämme epävarmassa maailmassa. Siinä hankaluuksia aiheuttavat maailmanpolitiikan vaikutukset yrityksien arkipäivään, inhimilliset erehdykset ja tietojärjestelmien integraatioiden yllättävät puutteet. Verkon toimintakyky, turvallisuus ja erotus ovat tärkeitä ominaisuuksia, jotka voivat väärin toteutettuina altistaa koko liiketoiminnan niin hirvittäville tapahtumille, että vain mielikuvitus on rajana.

Vaikka täydellistä turvallisuutta ei ole olemassa, monta kallista ja tuhoisaa erehdystä voi onneksi estää etukäteen. TOSIBOX® pystyy moneen, ja vaikka perhosvaikutusta ei voi ennustaa, olemme nähneet paljon vaivaa yhteyksien turvallisuutta miettiessämme. Ratkaisun konfigurointi on nopeaa, ja koneet saa kiinni verkkoon minuuteissa.

TOSIBOX® skaalautuu rajattomasti, mikä tarjoaa kustannustehokkaan ratkaisun, joka venyy juuri sinun tarpeidesi mukaan, olipa toimialana sitten terästehdas, kiinteistöautomaatio, toimistoverkko tai mikä tahansa, missä yrityksen bisneskriittinen tieto liikkuu ja järjestelmät tarvitsevat suojaa.

TOSIBOX®-ratkaisussa koko viestintäketju on alusta loppuun asti salattu, eikä kukaan pääse siihen väliin. Lue lisää ratkaisun turvallisuudesta >

“Kun teollisia järjestelmiä rakennettiin, kukaan ei tullut edes ajatelleeksi, että tietoturvattomuutta voitaisiin käyttää väärin, sillä tietoturvaa ei käsitteenä edes juuri tunnettu.”

Pekka Sillanpää, CTO, Tosibox