Onko kiinteistösi kybersään kestävä?

Kiinteistöt mahdollistavat jopa kaiken liiketoiminnan, mutta!: “KIRA-alaa (kiinteistö- ja rakentamisalaa) ei ole listattu mukaan kriittisenä toimialana NIS2- (Network and Information Security Directive) eikä CER-direktiiveissä (Critical Entities Resilience Directive), vaikkakin mm. kriittisiksi listatut sähkön- ja lämmöntuotanto, vesihuolto ja jätehuolto kohtaavat nimenomaan kiinteistöissä”, totesi maaliskuisessa webinaarissa Huoltovarmuuskeskuksen Antti Nyqvist. Aihe on ajankohtainen, koska samaan aikaan Venäjä jatkaa hyökkäyssotaansa Ukrainassa tuhoten samalla naapurivaltionsa kriittistä infrastruktuuria. 

Kiinteistö on se, jossa pyöritetään pankkien palvelimia, henkilötietoja ja sairaalapalveluita, tuotantolaitoksia, kouluja, hakukoneita, tekoälykkäitä ratkaisuja jne. Kiinteistö on se, jossa vietämme ison osan vapaa-ajastamme, jossa asumme ja jossa teemme töitä. Eiköhän kiinnostusta kiinteistöön olisi jo aika hiukan herätellä ja ottaa samalla kiinteistön kyberturvallisuudesta kiinni? Perinteisen IT:n ulkopuolelle jää ehkä enemmän täysiverisiä tietojärjestelmiä kuin mitä IT on koskaan käsitellyt. Tosin, ne ovat OT-järjestelmiä (operational technology) eikä monikaan huomaa kohtaavansa niitä arjessa - vaikka ne näkyvät avaruuteen saakka. 

OT on digitalisoitunut varkain - huomaamatta ja omissa monissa siiloissaan. APIt ovat uutta (fake it till you make it), identiteetin- ja pääsynhallinnasta puhumattakaan, hyödyntämätöntä dataa on valtavasti ja yli 15 vuotta sitten pohditut ITILin alkuvaiheen askeleet alkavat vähitellen herättää keskustelua ja kiinnostusta. Osataanko järjestelmiä omistaa, tavoitteita linjata tai kehityksen kaaria budjetoida, huolehditaanko transitiovaiheesta ja tietoturvasta? Vastaako kukaan jatkuvasta palvelusta - tai muistettiinko sitä itse asiassa edes suunnitella ja tilata, kun päätettiin hankkia järjestelmä parin vuoden takuulla? Johtaako tätä kokonaisuutta kukaan? Näissä ja monessa muussa on meillä KIRA-alalla vielä paljon opittavaa ja kehitettävää. Keskustelu on onneksi avattu. Kyberturvallisuuden osalta isompi näkyvyys vaati sodan syttymisen, mutta usein kriisien kautta syntyykin hyviä uusia innovaatioita.  

Älkäämme siis enää sulkeutuko tuttuihin ja turvallisiin siiloihin, vaan avatkaamme ovet uusille näkökulmille. Keskustelu on jo - ja vihdoin - käynnissä. Kuitenkaan Kybersää ei kerro kaikkea, vaan antaa suunnan ajatuksille. Seuraavaksi on katsottava pintaa syvemmälle, käärittävä hihat ja ryhdyttävä toimenpiteisiin. Jokaisella on oma tehtävänsä kyberturvallisuuden varmistamisessa, koska kyberturvallisuus on osa prosesseja - ei vain osa riskienhallinnan raportointivastuita. 

‍

‍

Aineistoa aiheeseen liittyen:  

Groothuis, B., Maydell, E., Kaili, E., Andersen, R., Mariani, T., Tošenovský, E. & Matias, M. 2021. The NIS2 Directive A high common level of cybersecurity in the EU. European Parliament. 16.12.2021. Linked 7.4.2022. PDF document.  

https://www.europarl.europa.eu/RegData/etudes/BRIE/2021/689333/EPRS_BRI(2021)689333_EN.pdf

European Comm<ssion. 2020. Proposal for a directive of the European Parliament and of the council on the resilience of critical entities. 16.12.2020. European Commission. Linked 7.4.2022. PDF document. https://ec.europa.eu/home-affairs/system/files/2020-12/15122020_proposal_directive_resilience_critical_entities_com-2020-829_en.pdf

European Commission Migration and Home Affairs. 2020. The Commission proposes a new directive to enhance the resilience of critical entities providing essential services in the EU. 16.12.2020. European Commission Migration and Home Affairs. Linked 7.4.2022. HTML document.

https://ec.europa.eu/home-affairs/news/commission-proposes-new-directive-enhance-resilience-critical-entities-providing-essential-services-2020-12-16_en

European Parliament. 2021. The NIS2 Directive: A high common level of cybersecurity in the EU. Think Tank European Parliament. 1.12.2021. Linked 7.4.2022. HTML document. https://www.europarl.europa.eu/thinktank/en/document/EPRS_BRI(2021)689333

Nyqvist, A. 2022. Huoltovarmuuden ja digitaalisen turvallisuuden vahvistaminen KIRA-alalla. 18.3.2022. KIINKO. Linked 7.4.2022. Video / webinaaritallenne. https://studioannak.fi/kyberturvallisuus-kiinteistoalalla-tallenteet-katsottavissa/

TRAFICOM. 2022. Kybersää. 18.3.2022. Kyberturvallisuuskeskus. Linked 7.4.2022. HTML document.

https://www.kyberturvallisuuskeskus.fi/en/ncsc-news/cyber-weather