Leijonien menestys Sotshissa on organisaatioille tietoturvariski

Leijonien menestys Sotshissa on organisaatioille tietoturvariski

Viime viikon torstaina käynnistyivät pitkään odotetut olympialaiset Suomen jääkiekon osalta. Viimeaikaisten urheilutapahtumien myötä olemme törmänneet aivan uudenlaisiin tietoturvallisuuden haasteisiin.

Tietoturvallisuuden kannalta haasteellinen tilanne aiheutui Tampereen kaupungin työntekijöiden seuratessa YLE Areena -palvelun välittämää suoratoistolähetystä Suomen Leijonien avausottelusta. Ottelua katsoessaan työntekijät saattoivat huomaamattaan häiritä potilastietojärjestelmien käyttöä. Luultavasti vähintään 100 000 suomalaista seurasi samaista ottelua internetistä työpaikoillaan ja eri oppilaitosten verkoissa. Se on tietysti sinänsä hyvä uutinen ja toimii erinomaisena esimerkkinä tekniikan hyötypotentiaalin käyttöönotosta ja siitä, miten eri mediaratkaisut kehittyvät käyttäjäläheisemmiksi.

Suoratoistoon liittyy monenlaisia uhkia

Aihetta olisi mahdollista lähestyä kysymällä, onko tällainen työajan käyttö sallittua ja sopivaa? Jättämällä humoristiseksi tarkoitetut viisastelut sikseen, voimme syventyä itse ongelmaan ja kysyä miten julkishallinnon, eri yhtiöiden ja kansallisen koulutusjärjestelmämme tietohallinnot ovat varautuneet tämän kaltaiseen toimintaa haittaavaan liikenteeseen? Ilmiöhän voitaisiin määritellä myös aivan uudenlaiseksi hyökkäystavaksi – nimetään se tässä tapauksessa vaikkapa ”Internal Distributed Denial of Services” (IDDS), jossa hajautetusti organisaation sisältä pyritään estämään oman verkon palveluiden saatavuus.

Tämän kaltaisessa yleisen massan omavaltaisessa toiminnassa, joka luultavasti rikkoo organisaation tietoturvapolitiikkaa, on myös muita suuria riskejä. Tässä tapauksessa YLE tarjoaa luotettavan palvelunsa kautta suoratoistoa olympiakisoista, mutta kuinka moni suomalainen etsii internetistä hakuammunnalla erilaisia suoratoistosivustoja nähdäkseen maksullisten kanavien lähetyksiä paikallisten urheilusarjojemme finaaleista tai formulasankarimme suorituksista? Ei tarvitse olla suurikaan skeptikko epäilläkseen Googlen ja sosiaalisten medioiden kautta löytyvien sivustojen turvallisuutta erilaisten haittaohjelmien välittäjinä.

Monissa tapauksissa verkkojen käyttö on jo valmiiksi niin äärirajoilla, että tahattomasti aikaansaatu ”IDDS” on lähellä. Kuinka monessa organisaatiossa tänä päivänä varaudutaan juuri tällaisiin yllättäviin piikkeihin tietoliikenneverkon käytössä? Tulisiko organisaatioiden suunnitella jatkossa IT-arkkitehtuuriaan entistä tarkemmin liiketoimintakriittisten järjestelmien ja sovellusten tietoliikennetarpeiden mukaan? Eli luoda periaatteet sille, mihin tarkoitukseen, millä prioriteetilla ja millä aikavälillä tietoliikenneverkkoa saa käyttää – ja kuka tai mikä sitä saa käyttää?

Bring your own network!

Mikäli paniikkinappulaa on jo painettu, on olemassa myös eräs nopea ja kustannustehokas ensiratkaisu. Jos organisaatiolla on toimiva Bring your own device (BYOD) -politiikka ja olympialaisten seuraaminen on virallisesti sallittua työajalla, tulisi työntekijöiden hoitaa mahdollinen suoratoisto omien mobiililaitteidensa kautta käyttäen muita kuin organisaation verkkoa. Näin poistettaisiin riski (liike)toimintakriittisten järjestelmien hidastumisesta sekä uhka mahdollisista haittaohjelmista. Asian voisi myös ilmaista kauniisti toteamalla: Bring your own network!

Suomen Leijonien seuraava peli on keskiviikkona Norja vs. Venäjä -pelin voittajaa vastaan. Pelin tarkkaa ajankohta ei ole vielä tiedossa, mutta kisasivuston mukaan se alkaa joko 10.00, 14.30 tai 19.00. Kahden aikaisemman ajankohdan osuessa Suomen ja Venäjän otteluajaksi, organisaatioiden verkot tulevat olemaan kovilla. Yrityksillä ja julkishallinnon organisaatioilla on siis keskiviikkoaamuun asti aikaa reagoida asiaan tai sitten vain toivoa, että pelin ajankohdaksi tulee iltaohjelman mukainen 19.00. Suomen kyberturvallisuuden seuraavan haasteen määrittelee siis Häkämiestä mukaillen kolme asiaa: 1) ajankohta, 2) oma toimintamme ja 3) Venäjä.

Näissä tunnelmissa toivomme peukut pystyssä sekä Suomen menestystä että elintärkeiden ja liiketoimintakriittisten järjestelmien toimivuutta!

Blogin on kirjoittanut olympiatunnelmissa
Partner Harri Wihuri, joka vastaa liikkeenjohdon konsultoinnin palveluista,
Kristian Backman, joka on tietoturvan ja kokonaisarkkitehtuurin asiantuntija sekä
Olli Knuuti, joka toimii asiantuntijana tietoturvan ja liiketoiminnan jatkuvuuden alueilla.