Geopoliittisten jännitteiden jatkaessa kasvuaan maailmanlaajuisesti, vuonna 2025 dramaattinen kasvu puolustusmenoissa, jollaista ei ole nähty kylmän sodan jälkeen.
Viime viikkoina Naton jäsenmaat sovittu käyttää 5 % bruttokansantuotteestaan sotilasmenoihin vuoteen 2035 mennessä. Monet maat, mukaan lukien Iso-Britannia, käyttävät jo yli 2 % armeijaansa. Naton uusi tavoite on jaettu kahteen osaan: 3.5 % tavanomaiseen sotilaalliseen toimintaan ja loput muihin kansallisen turvallisuuden vahvistamiseen tähtääviin aloitteisiin, kuten kyberturvallisuuteen.
Vaikka nämä epävarmat ajat ovat pelottavia, puolustusmenojen lisääminen voi olla hyvä asia, koska se lisää rahaa yksityiselle sektorille ja parantaa taloudellista tilannetta. Erityisesti kyberturvallisuusyritykset hyötyvät Naton uudesta menotavoitteesta. Mutta mitä muuta on tehtävä kyberpuolustuksemme parantamiseksi kasvavia kansallisvaltioiden uhkia vastaan?
Yritykset ovat sivullisia vahinkoja
Kiristyneiden geopoliittisten jännitteiden ja kasvavien kansallisvaltioiden kyberuhkien keskellä IT-turvallisuus on nyt "eturinjakysymys" Nato-maille, niiden liittolaisille ja kriittisille infrastruktuuriorganisaatioille.
Näin väittää James Lei, sovellusten tietoturvatestausyritys Sparrow'n operatiivinen johtaja. Hän väittää, että yritykset, jotka tarjoavat kriittisiä palveluita ja resursseja, jotka ovat ratkaisevan tärkeitä nykyaikaisten yhteiskuntien toiminnalle – kuten televiestintä, rahoitus ja energia – ovat nyt Naton vihollisten suoria kohteita.
Lei selittää, että hyökkäämällä tällaisiin organisaatioihin Naton vastustajat eivät yritä vain varastaa arkaluonteisia tietoja myydäkseen niitä korkeimman tarjouksen tehneelle. He pyrkivät myös "häiritsemään talouksia" ja "heikentämään yleisön luottamusta" pyrkiessään aiheuttamaan kohteilleen mahdollisimman paljon vahinkoa. Hän lisää: "Tämä tekee yrityksistä sekä suoria kohteita että sivuvahinkoja."
Nämä riskit mielessä pitäen Lei kehottaa kansallisia hallituksia kohdentamaan "merkittävän osan" kasvaneista puolustusbudjeteistaan pienten ja keskisuurten yritysten auttamiseen torjumaan kasvavaa kansallisten kyberhyökkäysten riskiä.
Lein mukaan pk-yrityksillä, erityisesti kriittisiksi kansallisiksi infrastruktuurin tarjoajiksi luokitelluilla, ei välttämättä ole budjetteja panostaa hienoihin kyberturvallisuusjärjestelmiin tai sisäisiin kyberturvallisuusasiantuntijoihin, mikä luo ”heikkouksia kansalliseen kyberekosysteemiin”. Hän kertoo ISMS.online-sivustolle: ”Rahoitus voisi auttaa pk-yrityksiä saamaan parempia tietoturvatyökaluja, koulutusta ja uhkatietoja, mikä hyödyttää koko maan selviytymiskykyä.”
Näitä huolenaiheita jakaa Adam Brown, sovellustietoturvayrityksen johtava tietoturvakonsultti. Musta ankkaHän selittää, että 30 vuotta sitten kyberhyökkäyksillä olisi ollut minimaalinen vaikutus väestöön.
Mutta koska digitaalisella infrastruktuurilla on olennainen rooli nykyaikaisessa elämässä, hän sanoo, että kyberhyökkäykset voivat olla erittäin vahingollisia. Ja koska digitaaliset palvelut ja infrastruktuuri, joista olemme riippuvaisia, ovat pääasiassa kaupallisten yritysten luomia ja myymiä, niistä on tullut "ensisijaisia kohteita" kansallisvaltioiden kyberhyökkäyksille.
Sodan raivotessa Ukrainassa ja Lähi-idässä Chris Binnie – pilvinatiivi tietoturvakonsultti – odottaa kansallisvaltioiden käynnistämien kyberhyökkäysten lisääntyvän edelleen. Hän on erityisen huolissaan toimitusketjuhyökkäysten lisääntymisestä.
Hän sanoo, että kansallisvaltiot saattavat pitää tätä "helpompana" tapana murtautua kriittisten infrastruktuurien tarjoajien järjestelmiin, koska niiden IT-toimittajilla ei välttämättä ole "samanlaisia tiukkoja turvallisuuskäytäntöjä".
Näiden riskien torjunta
Kansallisvaltioiden hyödyntäessä yhä enemmän toimitusketjujen heikkouksia kriittisen infrastruktuurin vaarantamiseen, hallitus ja teollisuusyritykset ovat ottaneet tämän huomioon.
Erityisesti Euroopan unioni ottaa vahvan kannan toimitusketjujen kyberturvallisuustoimiin esimerkiksi seuraavien lakien kautta: Digital Operational Resilience Act, kyberturvallisuuslaki ja Verkko- ja tietoturvadirektiivi 2.
Brown selittää, että tällaisten lakien nojalla kriittisille kansallisille infrastruktuuriorganisaatioille kyberpalveluita tarjoavat yritykset ovat velvollisia korjaamaan kaikki kyberturvallisuusheikkoudet noudattamalla tiukkoja kyberturvallisuusmenettelyjä.
Alan standardit, kuten ISO 27001, ISO 22301 ja ISO 42001 tarjoavat yrityksille myös lähtökohdan, jota ne voivat seurata suojautuakseen geopoliittisilta kyberuhilta ja viime kädessä pitääkseen toimintansa, tietonsa ja toimitusketjunsa turvassa kansallisvaltioiden hakkereilta.
TSG Trainingin Young selittää, että ISO 27001 kattaa tietoturvan, ISO 22301 liiketoiminnan jatkuvuuden ja viime aikoina on otettu käyttöön ISO 42001 tekoälyn hyödyntämien kyberuhkien torjumiseksi.
Hän ehdottaa, että noudattamalla tällaisia standardeja kolmannen osapuolen IT-palveluntarjoajat, jotka haluavat saada sopimuksia kriittisiltä kansallisilta infrastruktuuriorganisaatioilta, voivat osoittaa suhtautuvansa kyberturvallisuuteen vakavasti ja että heillä on käytössä vankat toimenpiteet toimitusketjun riskien lieventämiseksi.
Mahdollisuus yrityksille
Vaikka monet yritykset ovat joutuneet sivuvahinkojen uhreiksi kansallisvaltioiden tekemien kyberhyökkäysten seurauksena, jotkut saattavat itse asiassa hyötyä lisääntyneistä puolustusmenoista maiden pyrkiessä lieventämään tätä riskiä.
Kansalliset hallitukset luottavat yrityksiin digitaalisen resilienssin ylläpitämisessä, ja osana puolustusbudjettejaan ne epäilemättä panostavat enemmän rahaa kyberpuolustuksensa parantamiseen. Tämä tarkoittaa runsaasti mahdollisuuksia yksityiselle sektorille.
IT-koulutusyritys TSG Trainingin pääkonsultti John Young sanoo, että yksityisen sektorin yrityksillä on keskeinen rooli Naton jäsenmaiden kyberturvallisuuden ja viime kädessä kansallisen turvallisuuden vahvistamisessa.
Hän kertoo ISMS.onlinelle: ”Uhkatietojen jakaminen yritysten, viranomaistahojen ja kansainvälisten kumppaneiden välillä vahvistaa yleistä tietoisuutta ja mahdollistaa nopeamman reagoinnin uusiin uhkiin.”
Kuten Young, myös Sparrow'n Lei on sitä mieltä, että NATO ei voi vastata nykypäivän lukuisiin kyberuhkiin ilman yhteistyötä yksityisen sektorin kanssa. Hän huomauttaa, että yksityiset yritykset omistavat ja ylläpitävät monia hallitusten käyttämiä kriittisiä palveluita. Tämän vuoksi hän sanoo hallitusten kääntyvän yksityisen sektorin puoleen uhkatietojen ja tapahtumiin reagoinnin osalta.
Chris Henderson, Huntressin kyberturvallisuusalustayrityksen tietoturvajohtaja, on toinen vankkumaton julkisen ja yksityisen sektorin yhteistyön kannattaja kansallisvaltioiden kyberuhkien torjunnassa.
Hän sanoo, että näiden kumppanuuksien kautta hallitukset voivat hyödyntää yksityisen sektorin organisaatioiden tarjoamaa reaaliaikaista uhkatietoa pysyäkseen nopeasti kehittyvän kyberuhkakentän vauhdissa.
Jotta tällaiset kumppanuudet olisivat menestyksekkäitä, Henderson kehottaa yksityisen sektorin organisaatioita varmistamaan, että niiden valtion elinten kanssa jakamat tiedustelutiedot muotoillaan siten, että valtion ylläpitämät tietokonejärjestelmät voivat analysoida tietoja ja saada niistä nopeasti käyttökelpoisia näkemyksiä.
Myös hallitusten on tehtävä osansa näiden kumppanuuksien tehokkuuden varmistamisessa. Hendersonin mukaan yksityisen sektorin organisaatioiden on kyettävä levittämään kyberuhkien tiedustelutietoa ilman, että sääntelybyrokratia hidastaa niitä. Hänen mukaansa tämä on olennaista "oikea-aikaisen toiminnan" varmistamiseksi "uusien ja kriittisten uhkien" torjumiseksi.
Yhteenveto
Hallitusten puolustusmenojen kasvattamisen seuraaminen on pelottavaa, sillä herää kysymys, mitä ne tietävät ja mitä nurkan takana voi olla. Mutta se on ehdottoman välttämätöntä maiden turvallisuuden varmistamiseksi nopeasti muuttuvien aikojen keskellä. Puolustusmenot eivät kuitenkaan tarkoita vain uusien panssarivaunujen tai ohjusten ostamista – vihollisemme voivat aiheuttaa aivan yhtä paljon vahinkoa kyberhyökkäyksillä kriittiseen infrastruktuuriin.
On siis rohkaisevaa nähdä Naton jäsenten sopivan osoittavan merkittävän osan kasvaneista puolustusbudjeteistaan kyberpuolustuksen vahvistamiseen. Samalla tämä avaa mahdollisuuksia kyberturvallisuusyrityksille yksityisellä sektorilla. Kyberpuolustukseen käytettävien varojen lisäämisen lisäksi julkisen ja yksityisen sektorin tiivis yhteistyö on kuitenkin välttämätöntä sen varmistamiseksi, että nämä hankkeet ovat pitkällä aikavälillä tehokkaita. Eikä pidä unohtaa, että monet yritykset ovat nyt sivullisia vahinkoja geopoliittisen turbulenssin keskellä, mikä tarkoittaa, että nekin tarvitsevat tukea.
