Puheenjohtajan kynästä – Tomi Marttinen

Työntäyteistä loppukesää!

Koronapandemia on rajoittanut ja rajoittaa edelleen yhdistyksemme toimintaa.

Olemme joutuneet perumaan lukuisan määrän tapahtumia rajoitustoimien johdosta, mutta tälläkin hetkellä on valmistelun alla

Teknologia 21-messut, jossa Tietoturva ry:llä on lava aamupäivän 11.11.2021 ajan.

Tapahtumia on toki tulossa aiemminkin, yhteistyössä TIVIAn ja Sulava Oy:n kanssa tuotettu Cloud Security Summit -tapahtuma järjestetään tänäkin vuonna virtulaalitapahtumana, vaikka alkuperäinen suunnitelma oli tavata Messukeskuksessa. Virtuaalitoteutuksesta huolimatta sisältö on edelleen erittäin mielenkiintoista ja laadukasta – eikä pidä unohtaa, että virtuaalitoteutuksen johdosta osallistuminen on helppoa maan joka kolkasta.
Elo-Syyskuiden aikana tullaan myös julkistamaan lukuisa määrä erilaisia koulutustilaisuuksia, myös nämä pääsääntöisesti online-muotoisina, joten tarkkaile yhdistyksen kotisivuja, Twitteriä, LinkedIniä sekä Facebookia, niin saat ensimmäisenä tiedon koulutusten julkistuksesta.

Tietosuojaverkosto on saanut uuden energisen vetäjän; Hänen esittelynsä ja kirjoituksensa myöhemmin tässä kirjeessä ja tätä kautta myös Tietosuojaverkoston tapaamisia ja muuta jännittävääkin uutta kuultavaa on tuloillaan aivan lähiaikoina.
Kerrottakoon myös, että elättelemme kovasti toivoa fyysisestä tapaamisesta tulevan syyskokouksen yhteydessä ja tätä silmälläpitäen olemmekin valmistelemassa jotakin poikkeuksellisen mielenkiintoista ohjelmaa syyskokouksen yhteyteen.

Jos odottelu tuntuu pitkältä ja olisit itse valmis tarttumaan toimeen tietoturvayhteisön piristämiseksi, ota yhteyttä yhdistyksen hallitukseen, etsimme jatkuvasti henkilöitä toiminnan kehittämiseen, tapahtumajärjestelyihin sekä esiintymään erilaisiin tapahtumiin.

Kerro sähköpostissa kuka olet, millainen on taustasi ja mitä juuri sinä haluaisit tehdä

Vieraskynä: Henri Lindberg

Kyberturvallisuutta ei voi toteuttaa ilman teknistä tietoturvaosaamista

Mitä tarkoitan tällä käytännössä? Tekninen tietoturvaosaaminen on pohjimmiltaan ATK-ympäristön ja tietotekniikan perinpohjaista tuntemista, kykyä olla vuorovaikutuksessa järjestelmien kanssa, tieteen, taiteen ja kokemuksen keinoin. Se on työkalupakki, jolla organisaation johdolle saadaan vastauksia tai mielenrauhaa. Tämän osaamisen avulla liiketoimintajärjestelmät saadaan myös pidettyä tai otettua omaan hallintaan, palvelemaan organisaation tahtotilaa.

Liiketoimintalähtöisen ja kustannustehokkaan kokonaisturvallisuuden rakentaminen edellyttää hyvää ymmärrystä riskeistä. Ymmärryksen muodostaminen vaatii faktapohjaista analyysia, jota teknisen tietoturvan osaamisella voidaan tukea. Ymmärtämällä harmaan sävyt ja mahdolliset kehityskohteet prosesseissa, kumppanien maturiteetissa, käytössä olevissa järjestelmissä tai arkkitehtuurissa, voidaan resursseja kohdistaa tarpeellisiin kohteisiin, oikea-aikaisesti.

Tekninen tietoturva yhdistettynä riskienhallintaan auttaa siis optimoimaan kustannuksia ja fokusoimaan tekemisen vaikutukseltaan merkittävimpiin osa-alueisiin. Onnistumiseen vaikuttaa liiketoiminnan tarpeiden tunteminen, kyky esittää oikeita kysymyksiä ja kyseenalaistaa.

Julkisuudessa sovellushaavoittuvuus- tai tunkeutumistestaaminen esiintyy hyödyllisyyteensä nähden yliedustettuna, osin kiitos Hollywoodin, alan historian, ja tarkastus-/testausteollisuuden markkinointiponnistelujen. Modernien pilvipalvelujen aikakaudella turvalliseksi testaaminen ei ratkaisumallina pysy enää liiketoiminnan ja ohjelmistokehityksen vauhdissa. Perinteinen turvallisuustyö ja siihen liittyvä osaaminen on valitettavan aliarvostettua, vaikka oikein hyödynnettynä juurikin sillä saadaan turvallisuutta järjestelmäkehitykseen riittävän nopeasti ja kustannustehokkaasti. Hankinta, kumppaniohjaus, rakentaminen, ja ylläpito edellyttävät kaikki teknistä osaamista onnistuakseen.

Offensiivinen osaaminen on oleellinen osa teknistä turvallisuutta, mutta kulkee käsi kädessä defensiivisten taitojen kanssa – oli käyttötarkoitus sitten kummalla puolella aitaa tahansa. Kyky arvioida hyökkäyspinta-alaa, mallintaa uhkia ja riskejä, katselmoida arkkitehtuureja tai lähdekoodia, kirjoittaa omia työkaluja hyödyntämään ohjelmallisia rajapintoja, analysoida tietojärjestelmiä ja kommunikoida liiketoimintavaikutukset selkokielellä auttavat pääsemään tavoitteeseen kuin tavoitteeseen.

Suorituskyky on teoreettista ellei sitä päästä koeponnistamaan mahdollisimman realistisissa olosuhteissa. Tietoturvavalmistajan sijoittuminen Gartnerin nelikenttään tai pärjääminen itsejulkaisemassaan MITRE ATT&CK® -vertailussa ei vielä käytännön tasolla kerro kohdeorganisaation kokonaiskyvystä torjua kiristyshaittaohjelmia toimintaympäristössään yleiseurooppalaisena juhlapyhänä. Niin tärkeitä kuin riskienhallinnan ja hallinnollisen tietoturvan määrittämät viitekehykset ovatkin turvallisuustoiminnassa, eivät ne yksin suojaa organisaatiota. Tueksi tarvitaan teknisen turvallisuuden osaamista määrittämään, toteuttamaan ja kehittämään riittäviä teknisiä kontrolleja, sekä verifioimaan kumppanien antamia lupauksia.

Uudet teknologiat luovat niche-osaamista vaativia osa-alueita, samalla kun vuosikymmeniä vanhat ongelmat ovat edelleen ratkaisematta. Tarve tekniselle turvallisuusosaamiselle, ikään tai sukupuoleen katsomatta, on tänä päivänä suurempi kuin koskaan, eikä jokaisen tarvitse työskennellä täysipäiväisesti tietoturvan parissa voidakseen tuottaa taidoillaan ja tiedoillaan konkreettista arvoa.

Osaamisen kehittämiseen on tarjolla nykyisin valtava määrä materiaalia Internetissä, lukemattomia kursseja, verkkoyhteisöjä, ja tapahtumia – maksuttomia ja maksullisia. Pelkkään teoriaan uppoutumisen sijaan suosittelen aloittamaan oppimisen käytännön tekemisen kautta mahdollisimman varhain, verkostoitumista unohtamatta. Internet-toimintaympäristö on globaali, joten tavoitteet ja vertailupiste on hyödyllistä asettaa suoraan kansainväliselle tasolle.

Mielessä kannattaa pitää kirkkaana oikean maailman liiketoimintariskit, ja lähteä liikkeelle hyvästä ATK- ja Internet-osaamisesta – innokkuus ja oma motivaatio vievät pitkälle.

Kirjoittajasta: Olen päätoiminen hakkeri, Fraktal Oy:n hallituksen jäsen, t2 infosec conference advisory boardin jäsen, ja LähiTapiolan Hack Day tuomariston jäsen. Urallani olen hyödyntänyt offensiivista osaamista muun muassa verkkopankkien ja finanssijärjestelmien, sotilasteknologian, lentokoneiden, tietoturvayritysten, ja verkkokauppojen suojaamiseen Suomessa ja maailmalla. Helsingissä olen (ainakin kerran) joutunut ulkomaisen tiedustelupalvelun HUMINT-operaation kohteeksi. 5G Cyber Security Hack tapahtumassa kansainvälinen joukkueemme ”deep cuts” otti testiympäristön matkapuhelinverkon haltuun.