Kello on kaksi yöllä ja kohdeorganisaation toimisto on tyhjillään. Hyökkääjä ei lähesty rakennusta ovelta, vaan istuu kotisohvallaan kannettavan tietokoneen ääressä. Hän on jo sisällä.
Viikkoja aiemmin hän oli skannannut julkisesta internetistä näkyviä laitteita ja löytänyt useita osoitteita, joissa turvatekniikan hallintajärjestelmä oli suoraan saavutettavissa. Salasana murtui automaattisella työkalulla alle 20 sekunnissa. Kohdeorganisaation järjestelmän ohjelmistoversio oli kolme vuotta vanha ja tunnettu haavoittuvuus julkaistu jo vuosi sitten, mutta päivitystä ei ollut asennettu. Sisäänpääsy ei vaatinut erityistä osaamista, ainoastaan kärsivällisyyttä ja oikeat työkalut.
Turvatekniikan tietoverkosta avautui näkymä kameravalvontaan, kulunvalvontaan ja kiinteistöautomaatioon, mutta hyökkääjä ei jäänyt sinne. Hän huomasi, että turvatekniikan tietoverkko ja organisaation toimistoverkko olivat yhteydessä toisiinsa, sillä tietoverkon segmentointi oli tehty puutteellisesti vuosia sitten eikä sitä ollut koskaan tarkastettu. Siirtyminen toimistoverkkoon ja sieltä kiinnostaville palvelimille kävi nopeasti.
Seuraavien tuntien aikana hän kartoitti ympäristön ja asensi haittaohjelman, joka aktivoituisi myöhemmin. Ennen poistumistaan hän teki vielä yhden asian: kulunvalvontajärjestelmään lisättiin tuntematon käyttäjätunnus, jolle myönnettiin pääsyoikeus rakennuksen kaikkiin tiloihin. Seuraavana yönä joku käveli sisään fyysisesti, kävi palvelinhuoneessa ja poistui jälkiä jättämättä.
Kun kryptolockeri aktivoitui kolme päivää myöhemmin ja palvelimet lakkasivat toimimasta, organisaatio ei aluksi ymmärtänyt mistä oli kyse. Turvatekniikka toimi normaalisti, kamerat tallensivat ja ovet avautuivat, eikä kukaan ollut seurannut turvatekniikan verkkoliikennettä tai vertaillut kulunvalvonnan käyttäjätietoja henkilöstöhallinnon rekisteriin. Poikkeama oli ollut käynnissä yli viikon ennen kuin se havaittiin.
Skenaario kuvaa hyökkäyslogiikkaa, joka hyödyntää nimenomaan turvatekniikan ja tietoverkon rajapintaa, aluetta, jota perinteinen IT-tietoturva ei valvo ja jota turvaurakoitsija ei sopimuksensa perusteella hyvinään usein ylläpidä. Katvealue ei synny huolimattomuudesta vaan rakenteellisesti, eikä se ole harvinainen. Kansainvälisesti arvostetun tietoturvatoimijan suomalaisille suurille ja keskisuurille organisaatioille teettämässä tutkimuksessa 90 prosenttia vastaajista nimesi suurimmaksi tietoturvan kehityskohteekseen juuri digitalisoituvien turvajärjestelmien aiheuttamien tietoturvariskien hallinnan. Samassa tutkimuksessa todettiin, että fyysisen ja digitaalisen turvallisuuden hallinta toisistaan erillään ei enää ole optimaalista, vaikka enemmistö organisaatioista toimii edelleen juuri näin.
Ratkaisu ei ole uusien järjestelmien hankkiminen vaan näkyvyyden rakentaminen niihin joita jo on. Se edellyttää, että turvatekniikan verkkoliikennettä seurataan aktiivisesti, tietoverkkojen poikkeamat kytkeytyvät samaan valvontaan ja kulunvalvonnan tapahtumat voidaan verrata muuhun dataan reaaliajassa. Kun nämä toimivat yhdessä ympäri vuorokauden, aukot alkavat sulkeutua ja tilannekuva syntyy koko ympäristöstä eikä vain sen osista.
Mitä tämä tarkoittaa turvaurakoitsijalle käytännössä? Se tarkoittaa, että kyberturvallisuusosaaminen on nousemassa osaksi alan ammatillista perustaa. Osalle toimijoista se merkitsee oman osaamisen vahvistamista ja tietoturva-asiantuntijuuden tuomista osaksi palvelutarjoomaa. Osalle se tarkoittaa luotettavan kumppaniverkoston rakentamista, jotta asiakkaan kysymyksiin pystytään vastaamaan kokonaisuutena. Kumpikin tie on mahdollinen, mutta paikallaan jääminen ei enää ole. Asiakkaat, joiden toimintaan sääntely ja jatkuvuusvaatimukset yhä tiukemmin puuttuvat, alkavat esittää konkreettisia kysymyksiä: onko asennettu järjestelmä tietoturvallinen, kuka vastaa päivityksistä ja kenelle ylläpito kuuluu. Se turvaurakoitsija, joka on miettinyt vastauksensa valmiiksi, ei ainoastaan säilytä asiakkuuttaan vaan vahvistaa asemaansa kokonaisturvallisuuden luotettavana kumppanina.
Jarno Karvonen, Loihde
