Intro [00:00:11]: Jyväskylän yliopiston informaatioteknologian tiedekunta ja maanpuolustuskoulutus MPK toteuttavat yhteistyössä kansalaisen kyberturvallisuus verkkokurssin. Kurssin tavoitteena on tutustuttaa kaikki kiinnostuneet suomalaiset kyberturvallisuuteen niin yksilön, yhteisön kuin yhteiskunnankin tasolla. Tämä haastattelu on tehty osana tätä kurssia. Haastateltavana tänään on kyberturvallisuuden kolmannen sektorin edustajat Anu Laitila ja Ossi Väänänen. Puheenaiheena tänään on muun muassa tekoälyn rooli kyberturvallisuudessa ja kybermaailman muut tämän hetkiset trendit. Haastattelijana toimii Pekka Pirinen.

Haastattelija [00:00:52]: No niin, tähän alkuun voitte esitellä itsenne eli kuka olette ja mitä teette?

Puhuja 1 [00:00:58]: No niin, aloita sinä.

Puhuja 2 [00:01:00]: Mä oon Väänäsen osku. Mä teen forensiikkaa Elisalla. Forensiikkaa tarkoittaa tietomurtojen tutkintaa ja tietoturvapoikkeamien selvittelyä.

Puhuja 1 [00:01:14]: Ja mun nimi on Laitilan Anu. Aloittelin ihan hiljattain SensorFu:lla. Pieni startup vielä Oulusta, kohta toivottavasti vähän isompi ja siellä vastuulla on sitten asiakkuudet.

Haastattelija [00:01:25]: Joo, mennä sitten eteenpäin. Mitäs uutta kyber VPK:ssa?

Puhuja 1 [00:01:33]: No KyberVPK:ssa ehkä semmoinen asia on uudistunut, tai oikeastaan yleisön pyynnöstä, että ennen me autettiin enemmänkin organisaatioita. Nyt ne pikkuhiljaa se on valunut sitten se auttaminen sinne yksityishenkilöiden puolelle ja saadaan siis ihan käytännössä sähköposteja, että hei, meillä on tämmöinen ja tämmöinen ongelma. Voisitteko jeesaailla meitä ja ollaan sitten välillä ihan kasvokkain tapailtu ihmisiä ja yritetty auttaa. On ollut kaikennäköisiä keissejä. Mikähän mulle tulisi ensimmäisenä mieleen. Epäilty esimerkiksi, että joku vakoilee puhelinta tai tai sitten ollut tämmöisiä ikäviä tapauksia, että joku on saattanut tota menehtyä ja sitten ei pääse laitteelle. Toki me ei pystytä sellaiseen hirveästi auttaa, että me pystytään etsimään sitten niinku niitä auttavia käsiä esimerkiksi Applelta tai näin että me ei voida laitteita hakkeroida. ja tota tässä itse asiassa tavattiin kyberVPK:laisten kanssa viikko sitten ja sovittiin, että tässä jatkossa voisimme tavata vähän useammin. sen lisäksi tosiaan ollaan pidetty puheenvuoroja. Muutama meistä käy silloin tällöin pitämässä puheenvuoroja esimerkiksi organisaatioissa, kuten nää maanpuolustuskillat. Siellä on ollut osallistujia lähestulkoon vauvasta vaariin. Ollaan yleensä käsitelty tämmöisiä niinku perusskyberhygieniaan liittyviä asioita ja vähän tästä maailman meiningistä, että mitä tää geopoliittinen tilanne sitten tarkoittaa tietoturvan kannalta. ja sitten ollaan pidetty puheenvuoroja muun muassa kouluissa, yliopistoissa, joissa sitten on ollut muun muassa, että miten voi päästä tietoturvan pariin ja millaisiin eri rooleja tietoturvan parissa on, että minkälaisia töitä voisi esimerkiksi tehdä. Niin semmoisia on tehty.

Haastattelija [00:03:23]: Joo, mennääns sitten seuraavaan aiheeseen eli mites tekoäly vaikuttaa kyberturvallisuuteen?

Puhuja 1 [00:03:33]: No tekoäly vaikuttaa paljonkin. Tekoäly on vähän samanlainen semmoinen kun voisi sanoa kaksiteräinen miekka. Siitä on hyötyä sekä siellä puolustavalla taholla, mutta sitten myöskin hyökkäävällä taholla. Ja ja tota jos mietitään niitä ikäviä puolia niin tietenkin se rikollinen on saanut uuden työkalun, jolla se pystyy esimerkiksi nopeuttamaan omia prosessejaan, pystyy tekemään tosi paljon, vaikka todella oikean näköisiä ja tuntuisia huijausviestejä. Ei pelkästään niitä perinteisiä sähköpostiviestejä tai vaikka tekstiviestejä, mutta sitten voi tehdä tämmöisiä syvää väärennöksiä, joista ehkä englanninkielinen. Termi deepfake saattaa olla myös tuttu, mutta voi ottaa vaikka äänen ja ja sitten löytää jostain jonkun klipin ja ottaa siitä pienen pienen pätkän ja tehdä sitten siitä huijausviesti ja sitten se tuleekin puheluna tai tai tota niin jonain videoviestinä. Minä nyt sitten ikinä tulisikaan ja ja tota tietenkin sitten kaikki kuvamanipulaatiota ja tämmöiset jos katsotaan erilaisia somekanavia nykypäivänä Instagramit, TikTokit, Snapchatit niin kyllä alkaa olla aika vaikeaa erottaa että mikä siellä on niin kun oikeaa ja mikä väärää sisältö että tämmöinen ehkä Medialukutaito on semmoisia tärkeitä taitoja, joka varmasti niinku korostuu Ja nyt vielä geopoliittinen tilanne huomioiden niin niin tää informaatioympäristö mikä on niin on tosi tärkeää että että niinku tiedettäisiin ja toki puolustavalla puolella sitten voidaan isoista datamääristä löytää poikkeavuuksia. Tulee mieleen esimerkiksi pankkipuolella on tekoälyä hyödynnetty pitkään siinä, että että voi esimerkiksi tunnistaa, jos jotain korttia käytetään. Sieltä nousee niin sanotusti punainen lippu heti, että heitä ei kuulu tänne henkilön normaaliin käyttäytymiseen ja sitten ne saattaa lähestyä puhelulla, tekstiviestillä. Mutta mitäs Ossi sä näät varmaan työssä myös paljon tekoälyn niin kun aiheuttamia asioita tai trendejä mitä sulle tulee mieleen.

Puhuja 2 [00:05:38]: Joo niin mä näenkin ja täytyy tosin tosin niinku alkuun todeta, että kun se oma kulma on hyvinkin tekninen. Sitten taas mun oma tausta on ohjelmistokehityksestä mitä on pari parisenkymmentä vuotta takana niin nää toki niinku siltä kulmalta sitä tekoälyn vaikutusta. Mutta. Niinku sanoitkin tekoäly tavallaan kiihdyttää kaikkea mahdollista mitä tapahtuu että niinku, omissa töissämme sen tietomurtojen tutkimisen lisäksi ihan teen ohjelmistokehitystä elikkä duunaa siihen siihen työkaluja. Sekä niiden niinku tietomurtojen tutkintaa mitä siihen tarvitsee työkaluja, että myöskin jonkun verran hyökkääviä työkaluja ynnä muuta ja siinä niinku huomaa että se tuottavuuden loikka on huikea sen tekoälyn ansiosta. Mutta kun kaikilla on käytössä sitten taas se sama niinku tuottavuusloikka myös siellä hyökkäävällä kuin puolella ja pahisten puolella niin, sen ehkä huomaa sitten siinä, että nykyään niinku ihan kaikkea mahdollista mitä ennen tapahtui jonkun verran ne tapahtuu ehkä niinku 10 kertaa enemmän tai tai, paljon enemmän, että sen sen ehkä niinku lähinnä huomaa siinä, että hirveästi tapahtuu kaikenlaista. Ja sitten taas sekin tekninen puoli sitten siinä tekoälykin kiihdytyksessä, että jos pohtii vaikka teknisiä tietoturvahaavoittuvuuksia mitä on ollut, niin se että tekoäly generoi nykyään koodia tosi paljon, niin tarkoittaa sitä, että tietyssä mielessä semmoinen niinku ohjelmisto on kypsyysaste mikä on vaikka kehittynyt ylöspäin viime vuosina, niin se on ottanut niinku jonkunlaista takapakkia sit siinä, että jos kone kykenee tuottamaan hirvittäviä määriä koodia enemmän mihin ihmiset kykeni joku aika sitten, niin siitä kuitenkin ehkä puuttuu sitten se samanlainen niin kun lopputulosten kypsyys, mikä siinä sitten tekoälygeneroidussa koodissa on, että tavallaan niinku ehkä tekoäly saa ihmisen kiinnikin jossain välissä, mutta niinku. Voi ehkä ajatella että. Asiat tapahtuu enemmän ja ehkä hiukan ikävämpiä asioita myöskin kuin ennen sitten tän niinku teknisen kulman kannalta.

Puhuja 1 [00:07:29]: Ja mulle tulee Itse asiassa mä oon itse aika hyvä esimerkki tästä, että mä mä en ole koskaan tykännyt hirveästi koodaamisesta, mutta mä oon sitä opintojen takia joutunut tekemään. Ja nyt mä oon sitten meillä on itse asiassa tässä KyberVPK:ssa muuan Kosken Tomi, joka on tekoälytyökaluihin tutustunut ja hän harrastaa tämmöisiä Bug Bounty -ohjelmia eli käytännössä hän menee mukaan tämmöiseen ohjelmaan jossa sitten niinku luvan kanssa etsitään ohjelmistoista haavoittuvuuksia. Ja hän on ruvennut hyödyntämään tosi paljon tekoälyä siellä ja Tomi on vähän niinku inspiroinut sitten muakin tässä, että hei mitäs kaikkea tällä tekoälyllä voi tehdä ja mä itse asiassa tässä pyörittelin justiinsa nettisivuja ja mitä kaikkea se rupesi tekemään mulle sovelluksia kun mä pyysin sitä tekemään jotain ja se kysyy, että no hei tehdäänkö sulle sovellus. Minä sanoin, no tehdään niinku tehdään ihmeessä, mutta samaan aikaan koska mä oon tällä alalla töissä niin mulla on tavallaan niinku täysin selkeätä että niitä ei ikinä voisi laittaa niinku tuotantoon, että niistä ihan varmaan löytää. Ja mä en mä en tavallaan itse pysty sitä koodia verifioimaan, että onko se tietoturvallista. Mutta miettikää kun siellä on miljoonia muita jotka on innostunut tästä käyttää näitä helppoja työkaluja niin tota sieltä tulee varmaan just Ossin mainitsemia ilmiöitä esille että kukaan ei tee niitä riskiarvioita ja käykää niitä läpi ja varmaan mä voisin veikata että Applen ja Googlen storet kärsii siitä, että sinne tulee aika heikkolaatuisia sovelluksia tällä hetkellä. Ja silleen niinku hyökkääjät saa entistä enemmän niinku isompaa pinta-alaa sitten hyökätä ja moni keräilee vaikka henkilötietoja tai ilmottaa sitten että minkälaisia velvollisuuksia se tuo tullessaan.

Puhuja 2 [00:09:08]: joo, siis sehän siinä on tosiaan niinku se kiihdyttävä puoli, että se niinku tavallaan kiihdyttää laadukasta ohjelmistokehitystä ja sitten niinku heikompaa. Että toki kun itsellä on se parinkymmenen vuoden tausta, niin jos itse niinku teen koodigeneroituu tai siis generoitua koodia niin pohdin siinä ihan sama juttuja kuin sitten taas muutama vuosi sitten ennen tekoälyä pohdin niinku ohjelmistojen arkkitehtuureja niistä tulee järkeviä rajapintoja ynnä muita ja silleen niinku ainakin omasta mielestäni softat että mitä sitten itse laadin tekoälyllä on niin kun parempaa mitä ehkä itse pystyisin kirjoittamaan, syntyy sitten nopeammin. Mutta sitten siinä on taas toisaalta sekin, että kaikki pystyy generoimaan koodia. Mä veikkaan että me ollaan ehkä semmoisessa välivaiheessa, että nyt tietyssä mielessä tekoäly pystyy tekemään hirveän paljon koodia aivan niin kuin kaikille mahdollisille tyypille, mutta tietyssä mielessä sitten tavallaan se niinku kehityksen laadullinen kypsyys seuraa ehkä vuoden tai kahden tai muutaman muutaman päästä, että semmoinen välivaihe.

Puhuja 1 [00:10:04]: Joo ja ehkä semmoinen joka ei vielä ole näitä työkaluja kokeillut niin käytännössä enää ei tarvitse osata kirjoittaa koodia, vaan sä voit antaa vaan ohjeita sille työkalulle, että teet tällaista ja tällaista ja sitten se kirjoittelee niitä koodinpätkiä ja jos ei niitä osaa itse yhtään tarkistaa, niin suohan on sitten valmis.

Puhuja 2 [00:10:24]: Niinhän se on ja sitten taas toisaalta ohjelmistokehityksessä se on ihan siis niin kun oma ammattinsa erikoistumisensa pelkästään se että lukee koodia ja katselmoi sitä ja katsoo, että se on niinku teknisesti ja turvallisesti. Ok. Että se on sitten toki eri juttu, että jos miettii tekoälytyökalujen koodigeneroinnin kehitystä niin tavallaan onko se koodin tietoturvallisen kypsyyden arviointi, onko se semmoinen niinku asia, joka tavallaan sitten vie sitä tekoälykehitystä sinne päin, että niinku tarvitseeko sitä kukaan? Eli siis onko se bisnestä että tehdään laadukkaampaa koodia vai riittääkö se, että ylipäätään tehdään koodia paljon?

Puhuja 1 [00:10:57]: Kyllä. Mutta elämme mielenkiintoisia aikoja. Tulevaisuus näyttää mihin mennään.

Haastattelija [00:11:04]: Kyllä, no sitten, mitkä on muita ajankohtaisia kybermaailman trendejä tällä hetkellä?


Puhuja 1 [00:11:12]: No ehkä siellä trendimaailmassa edelleen niitä samoja vanhoja juttuja. Tietojen kalastelu. Ehkä sen voisin kertoa, että semmoinen niinku monikanavaistuminen. Eli jos se ennen pääsääntöisesti oli se sähköposti ja sitten korona-aikana nähtiin, että tekstarihuijaukset kiihtyi. Niin nykypäivänä sitten tehdään entistä enemmän puheluita ja ne saattaa olla niitä niinku robottipuheluita ja siellä nyt ensi esimerkkinä tässä viime aikoina on on ollut tota huijauksia, puhelu huijauksia nimenomaan niin viranomaisten ja verohallinnon nimissä ja on ollut muitakin muitakin tota viranomaisia. Ja sitten tietenkin nää erilaiset kännykässä olevat sovellukset Whatsapp, Telegrammit, Wire ja ja vastaavat niin se kännykkä on se niinku aika tärkeä meille jokaisella ja siellä on aika paljon tärkeetä tietoa niin yllättäen sitten, tai no ei mikään yllätys, mutta ne hyökkääjät on sitten myös löytänyt sen ja ja alkanut targetoimaan muun muassa näiden pikaviestimien kautta. Ja selkeä trendi on menossa tällä hetkellä ei pelkästään niinku Suomessa, mutta myös muuallakin Euroopassa eli esimerkiksi Italiassa ja Saksassa on muun muassa näitä pikaviestimiä sitten targetoitu siellä on ollut tiettyjä kohderyhmiä, muun muassa poliitikot, julkkikset, puolustusalalla toimivat henkilöt ja on epäilty, että saattaa olla niin kun osa tästä sitten niinku joku valtiollinen toimija joka tätä on tehnyt. Sitten mielenkiintoinen, en tiedä leviääkö tämä trendiksi niin niin tota yhdysvalloissa kiellettiin, että ei saa tuoda enää ulkomaalaisia reitittimiä ja tota muutaman vuoden takaa muistelen että supokin varoitteli suomessa, että hei että muistakaas kaikki päivitellä niitä kotireitittimiä ja nyt ihan hiljattain oli uutinen siitä, että siellä oli itse asiassa paljastunut että venäläiset oli hyödyntänyt niitä kotireitittimiä aika laajassa skaalassa ympäri maailmaa, joten tämmöiset niinku varoitukset kannattaa kyllä ottaa niinku tosissaan ettei niitä niinku viranomaiset huvikseen tee. Ja täähän tulee mieleen semmoinen vinkki, että se oman kotireitittimen päivittäminen saattaa olla pikkuisen haastavaa, jos se ei niinku automaattisesti sieltä operaattorin kautta toimi. Niin F-secure on tehnyt semmoisen työkalun, vitsi kun muistais, se oli joku Router Checker -niminen työkalu, niin sen kun löytää niin sinne kun laittaa sen sen oman reitittimen tiedot niin se antaa heti ohjeistuksen että miten tää ja sieltä saattaa kuulkaa yllärinä tulla että se reititin on vanhentunut, osta uusi. Eli eli tämmöistäkin tapahtuu. Siinä nyt muutama, tuleeko sulla mieleen jos mietit varsinkin niinku yritysmaailmaa. Että mitäs Ossi sulla tulisi mieleen sieltä puolen.

Puhuja 2 [00:14:13]: Siitä vähän tavallaan äsken sivuttiin kun puhuttiin tekoälystä, mutta tota trendejä toki siis niin kun kaikenlaisia on ja ehkä semmoinen itselle niinku päälle, päällepäin jäänyt fiilis on se, että niinku kovasti kaikenlainen epämääräinen aktiviteetti on kyllä niinku lisääntynyt viime vuosina. Ehkä justiin sitten taas niinku tekoälyn takia tai sitten niinku muista syistä, mutta niinku tuntuu että niinku jatkuvasti kun kaikenlaista tulipaloa kyllä niin pitkin maailmaa. Että, Jos viimeisen puolen vuoden tai vuoden trendejä pohtii firmapuolella niin noita erilaisia internetin reunalaitteita on kovasti korkkailtu, eli siis härveleitä mitkä mitkä istuu sitten tota firman sisäisen infran internetin välillä. Niistä löytyy ihan niinku tämän tästä tosi pahojakin ohjelmistohaavoittuvuuksia. En sinänsä tiedä syytä, mikä siihen että onko niin kun valmistajat tekemään edelleen kehnoa koodia vai hyökkääjät on niinku tuottavampia. Tää on yksi juttu. Tota. Sitten jos pohtii taas näitä tietojenkalasteluasioita ynnä muuta, mistä niinku mainittiin että ne on niinku jonkunlainen keissikategoria mikä meillä sitten forensiikkapuolella näkyy. Siihen ei mulla oikeastaan sen kummemmin ole mitään erityistä sanottavaa, että jos pohtii vaikka että joitakin vuosia sitten kaksivaiheinen tunnistautuminen ylipäätään yleistyi. Suositusten mukaan sitä alettiin ottaa käyttöön, niin se vaan lähinnä huomas sitten siitä, että nää erilaiset tietojenkalastelu ynnä muut hyökkäykset vaan pikkaisen muutti sitten muotoonsa. Mutta tota. Eipä nyt oikeastaan, siitä ehkä tulee vaan semmoinen nihilistinen fiilis, kun toisaalta itselläkin tavallaan siinä niinku turtuu kun muutaman vuoden tätä niinku duunia tekee, että koko ajan jossakin on hirveä tulipalo tai joskus niinku kaikkialla että no niinku mitäs, mitäs sitten?

Puhuja 1 [00:16:01]: Kyllä. Ja mul tulee mieleen, että geopoliittinen tilannehan on kiihdyttänyt tota rikollisten ja valtiollisten toimijoiden tekemistä. Että ollaan nähty paljon niitä palvelunestohyökkäyksiä, niin sitten on ollut pikkuisen rauhallisempaa, mutta jossain vaiheessa meidän pankkeja kohti hyökättiin ja siellähän on se huono puoli, että kun se Suomi, tai meidän toi se tunnistautuminen on se pankkitunnistautuminen semmoinen joka käy niinku moneen muuhunkin paikkaan. Niin tavallaan siellä lamaannuttaa sitten että sä et voi kirjautua mihinkään muuhunkaan, niin niin se on. Ja sitten geopoliittinen tilanne maailmalla on nähty kaikenlaista, että yleensä ne kyberriin liittyvät iskut on siellä tukena, että että tota Iranissa muun muassa verkkoja häirittiin vahvasti ja siellä oli yks sovellus, joka joka tota noin niin meni väärien henkilöiden käsiin ja sinne alkoi tulla informaatiota ja ehkä se niinku mainitsin jo siitä medialukutaidosta, niin se informaatiokenttä on aika monipuolinen tällä hetkellä. Että pitää olla aika niinku tarkkana mitä mitä lukee ja ehkä voisin mainita sen, että kyllä nää niinku rikolliset tahot niin on aika hyvin kartalla erilaisista ajankohtaisista aiheista ja jos vaikka miettii mobiilivarmennetta niin me tosi vahvasti suositeltiin jossain vaiheessa että se kannattaa ottaa käyttöön, mutta rikolliset on jo keksinyt siihenkin niin kun tavan millä sitä voi ottaa haltuun ja ja kun uusia palveluita tulee. Niin tota aika nopeasti sinne sitten se hyökkääjä löytää niin kun keinoin ja tekee ehkä jonkun huijauskampanjan siihen sitten tueksi ja saattaakin tulla vaikka sähköpostilla, että liity nyt tähän ja näin. Mä oon paljon mun äidille tulee jonkun verran tämmöisiä niin kun Suomi.fi / DVV liitännäisiä huijauksia, niin niitä on ollut mielenkiintoista vähän perataan, että jaaha, mihinkäs tää nyt tää tähän taas liittyy. Ja sitten nää meidän suosituimmat sovellukset. Postit kaikki tällaiset niin kyllä ja ja suosituimmat brändit ylipäätänsä, niin ne saa kyllä oiman annoksen sitten näistä näistä huijauksista aina.

Puhuja 2 [00:18:14]: Niitä huijauksia jos pohtii Itse asiassa sama sama homma, että äidille niin niitä saapuessa aina välillä lähettelee mulle niinku kuvia, että kato mä löysin taas tällasen huijausviestin. Mutta sitten taas jos sitä niinku huijaus skeneen tietyssä mielessä niinku pohtii, niin Jokunen vuosi sitten tavallaan se kansalais tai työntekijä tai mikä tahansa on valistus mikä niinku pohti vaikka huijaussähköposteja niin se oli ehkä kovin niinku kaavamaista, että kiinnitettiin huomiota sellaisiin niinku kohtuu triviaaleihin teknisiin yksityiskohtiin niin niinku vaikka se, että niinku katso, että onko se se ehkä postissa kirjoitusvirheitä tai onko siinä jotenkin tää layoutti tai vastaava pikkaisen pielessä ja niinku katso just näitä ja jos jos niinku nää on pielessä niin hahaa, se on huijausviesti. Mikä on tavallaan silleen hassua, että se ehkä vie sitten huomio pois tavallaan sitten ehkä siitä kokonaisuudesta, että niinku mikä vaan voi olla huijaus. Että tavallaan ehkä semmoinen parempi ohje nykyään se että niinku epäilee aivan kaikkea, miettii sitä kokonaisuutta ylipäätään, että onko siinä mitään niinku järkeä, että juuri nyt minulle tulee viesti vaikka joltain poliisilta, että kohta tulee sakoille et maksa. Että silleen ehkä muuttanut muotoonsa se.

Puhuja 1 [00:19:18]: On ja sitten tää mulle tulee mieleen Itse asiassa hyvä keissiesimerkki. Mä oon vaihtanut kaksi kuukautta sitä työpaikkaa ja ensimmäisellä viikolla mä aloin saada meidän toimitusjohtajan nimissä huijausviestejä. Ne tuli mun työsähköpostiin ja niissä oli meidän toimitusjohtajan nimi allekirjoittajana. Ne tietenkin, mä tota niin oli englannin kielellä, kun me puhutaan tietenkin suomea ja tota mä kävin sitten katsomaan heti että, jaaha mikäs tää on. Ja tota kävin katsomaan sitten lähettäjää ja ne oli aika niitä oli useampi osoite mistä niitä samankaltaisia viestejä tuli. Mä lähettelin niitä sitten kyberturvallisuuskeskukselle, että nyt on ihan hyvin targetoitu ja mä yritin miettiä, että mikä on ollut se kanava, mistä tässä on niinku eniten puhe, että mä epäilin että se on Linkkarista lähtöisin niinku että sieltä sieltä se vuoto on tapahtunut. Ja tota sitten oli mielenkiintoista nähdä, että ensimmäisen parin viikon jälkeen niin ne viestit kääntyi suomeksi. Ja tää on ehkä mun tulee mieleen, sanoin tuossa esimerkin siitä, että oli niitä tiettyjä elementtejä, että seuraa näitä. Mehän aina jossain vaiheessa ajateltiin sitä, että suomen kieli on kyllä niin vaikeaa, että kukaan ei pysty kirjoittelemaan suomea, niinku täydellistä suomea. No se tekoäly osaa. Se on osannut jo pitkään kirjoittaa täydellistä suomea ja jos jos niinku lähdet kyselemään niiltä tekoälyiltä, että hei kirjoita tämmöinen huijausviesti niin sehän on kohtelias ja sanoi että tällaista viestiä ei voi kirjoittaa, mutta kun sen osaat oikealla tavalla kysyä, niin sieltä tulee täydellinen huijausviesti, että oon itsekin käyttänyt näitä esimerkkeinä, että että tota se osaa hyvää suomea ja nää kaikki niinku vanhat esimerkit ja tää mihin sä sanoit että epäile kaikkea niin Jos ihmiset suhtautuisi arkeen samalla tavalla, kun meillä on tää tota ensimmäinen neljättä aprillipäivä, niin mun mielestä siinä olisi aika hyvä lähtökohta tälle tälle niinku kaikelle tekemiselle että epäile kaikkea. Ja mä muuten altistun. Mä kuulun kirppisryhmiin facebookissa. Mä itse asiassa tarkoituksella oon liittynyt niihin ja siellä on kaikennäköisiä facebookissa tämmöisiä tota jos sä vähän niinku paljastellaankin näitä tota huijareita. Mutta ihan jäätävä määrä mitä ihmiset niinku tulee huijatuksi erilaisissa facebook marketplaceissa Torissa, tällaisessa. Ja mua ei ikinä huijattu, mutta toisaalta en ole tehnyt varmaan ikinä kauppaa niin että mä olisin tehnyt sitä kasvokkain tai näin. Ja mä tiedän niitäkin keissejä jossa kasvokkain on huijattu niin, että tota niin siellä on ollut joku Danske Bankin demosovellus tai sitten on vaan photoshopattu niitä että katso, tai sitten tehdään niin, että maksetaan MobilePaylla tai jollain vastaavalla sitten käydään peruuttaa se tota noin niin, se toimenpide mitä sieltä mobiiliapista on tehnyt? Että kyllä niillä huijareilla on niinku monet keinot ja ja sitten monella on vaan epätoivo myöskin sitten elää ja hengittää. Kaikki kallistuu niin niin tota tässä nähdään sitten semmoista, että hei, et voisiko tästä saada nopeasti generoituu rahaa ja toimeentuloa itselle.

Puhuja 2 [00:22:20]: joo siihenkin sitten tavallaan se nurja puoli, että se on näppärä ja pärjätä ilman käteistä pelkästään kännykällään, mutta niinku meneppä sitten tekemään tuntemattomien ihmisten kanssa kauppoja, käteinen tähän ja tavara sulle.

Puhuja 1 [00:22:30]: Kyllä, kyllä, just näin. Tässä on aina, molemmissa on niinku puhuttiin, että tekoäly on kaksi tota teräinen miekka niin kaikki on vähän tässä meidän alalla tämmöistä samanlaista että on hyvät ja sitten pitää miettiä missä vaiheessa foliohattu kiristää liikaa. haha, sekään ei ole hyvä, koska sitten ei voi tehdä mitään.

Haastattelija [00:22:50]: Joo. No tota mites sitten kansalaiset ja heidän tämän hetkinen digi- ja kyberturvallisuustaitojen taso?


Puhuja 1 [00:22:59]: Mä sanoisin, että Suomessa me ollaan jos verrataan vaikka muihin Euroopan maihin, niin me ollaan suhteellisen valveutuneita, mutta aina voi parantaa. Me jokainen meistä voi aina parantaa sitä Juoksuaan ja ja ehkä isona syynä se, että teknologia kehittyy nyt se tekoäly. Niin se on tullut niin nopeasti uusia asioita ja otetaan esimerkkinä ne yritykset niin kun mä oon tuolla konsulttipuolella ollut niin siellä ne ensimmäiset yritykset lähti, se oli se valitettavasti mullistus varmaan lähti edelleen siitä, että ChatGPT kun julkaistiin niin se lähti iso buumi siitä ja Tekoäly tuli kaikkien huulille. Ja edelleen aika moni kirjoittaa, tekoäly on yhtä kuin ChatGPT, että tavallaan ymmärretään, että se voi tehdä monenmoista muutakin: prosesseja, nopeuttaa ja datan louhimista, mitä kaikkea. Mutta tota ehdottomasti jokainen meistä voi parantaa ja ja tota ne peruskäytännöt edelleen toimii. Tässä tullut jo esiin, että hyökkääjät käyttää niitä haavoittuvuuksia suhteellisen nopeasti, koska ne pystyy tietenkin etsimään niitä nopeammin näitten tekoälytyökalujen avulla niin niin tärkeetä pitää laitteet päivitettynä ja esimerkiksi monella on se tilanne, että vaikka se yritys pitää ne läppärit ne työläpparit niinku huolehtii niistä ja kaikista päivityksistä niin välttämättä mobiiliin ei pystytäkään esimerkiksi automatisoimaan niitä tai ei yksinkertaisesti riitä resurssit siihen, että automatisoidaan myös sitä mobiilipuolta, että että monessa yrityksessä on se tilanne, että se tavallaan mobiililaite jää sitten niin kun omien tota noin niin taitojen ja tota tavallaan niin kun viitseliäisyys varaan, eli ne päivitykset oikeasti kannattaa ajaa heti kun niitä tulee tarjolle. Ja no sä voisit mainita kertoa meille vähän niistä salasana-asioista Ossi, me juteltiin niistä niistä, että mikä tilanne.

Puhuja 2 [00:24:55]: Joo, niistäkin voin puhua, mutta pikkaisen tartun tohon mitä sanoit. Parikin juttua tosiaan mitä mainitsit vaikka teknologian kehityksessä. Miten se ottaa kansalaisia sitten yrityksiä niin toki sekin sekin pohditaan vaikka että jos vuosia, joitakin vuosia sitten vaikkapa pankkiasiat hoidettiin ehkä pääsääntöisesti vaikka tietokoneella, läppärillä tai sellaisella ja toissijaisesti kännykällä. niin sitten tavallaan se että nyt tuollaiset, tuollaiset asiat niinku pankki ynnä muu mikä vaatii ihan oikeasti vahvaa henkilökohtaista tunnistautumista, kun ne on siirtynyt mobiililaitteisiin niin siinä se teknologia on auttanut ihmisten tietoturvaa sikäli, että yleensä, tai siis nykyään mobiililaitteet pääsääntöisesti tukee biometristä tunnistautumista elikkä sormenjälki, sormenjälkilukija tai kasvot tai vastaava. Ja ne on niinku tunnistautumisen kannalta ne on merkittävästi vahvempia kuin pelkästään salasana muistaminen tai kirjoittaminen ylös. Silläkin lailla siis vahvempia, että kun se mobiililaite vahvasti tunnistaa sen niinku fyysisen ihmisen, joka sitä laitetta käyttää. Niin siihen on kovasti hankalempi. Sitten taas teknisesti pääsette hyökkääjän väliin. Mikä sitten taas oli mahdollista tota nettisivujen, tietokannan käyttävien nettisivujen kautta joitakin vuosia sitten. Ja mitä kommentoit, miten se ehkä voisi liittyä firmoihin. Yritysten tietoturva on sitten vastaavasti sanoit, että mobiililaitteet niille välttämättä ei ole ehkä niin hyvin ylläpidettyä, kun ne työläpparit. Mutta oman duunin puolesta täytyy toki todeta, että kyllä siihenkin työkalut sinänsä on olemassa.

Puhuja 1 [00:26:30]: Olemassa on kyllä.

Puhuja 2 [00:26:32]: On on joo ja jos pohtii pohtii niitä keikkoja miten itse oon tehnyt töissä, niitä on tosiaan laidasta laitaan myöskin myöskin näitä tota yrityksiä, joiden keissejä tutkinut et on toisessa laidassa tavallaan ne joilla on niinku kaikki asiat kunnossa, kaikki mahdolliset turvaportit lisenssipalvelut ynnä muut käytössä. Sellaisia keissejä on kovin erilaista tai helpompaa tutkia sikäli että jos joku niinku käry pääsee käymään niin sitten löytyy tietoturvaologeja, auditointilogeja ynnä muuta pitkältä aikaa, mutta sitten on taas toisaalta niitäkin firmoja missä on tietyssä mielessä ehkä menty tuurilla tähän asti, että se kohde ei ole sinänsä ollut sellainen, että se on ollut niin kun kohdistettujen hyökkäysten kohteena vaan sitten sattunut joku vahinkohyökkäys firman kohdalle. Sitten tavallaan jos se lähtökohta on se, että ei oikein valvonta eikä yhtään mitään muuta, niin se keissin selvittäminen on vaikeampaa ja se vahingon määrä saattaa olla isompi.


Puhuja 1 [00:27:22]: Tuli mieleen hei mitä mieltä sä oot Passkeysta?


Puhuja 2 [00:27:27]: En mä nyt ulkoo osaa sitten ihan hirveästi kertoa. Kyllä, mutta siis eikö sitä ole tää Microsoftin Windows -laitteen autentikointi?

Puhuja 1 [00:27:36]: Joo, joo kyllä. Ja se on nyt tullut tarjolle niin, että tavallaan se korvaisi sitä sitä salasanoja, jolloin sitten ehkä se oli puhetta sun kanssa myös niistä salasana tai puhutaan slangikieli "passumanageri" eli salasanojen hallintaohjelma.


Puhuja 2 [00:27:52]: Joo, joo, Kyllä kyllä, eli mitä sanoin noista kännyköistä, että ne tukee biometristä tunnistautumista. Niin sinänsä kyllä niin kun uudet Windows- ja Mac-läppärit, niissä on myös teknologiaa sisällä minkä mahdollistaa sen, että se laite todella vahvasti ja autentikointi sitten siihen palveluun mitä käytetään. Että, että tietyssä mielessä se ei ole pelkästään kännykkä, mikä tukee vahvaa tunnistautumista, mutta tavallaan se niinku homman pointti on se, että se laite itsessään on yksi linkistä tunnistautumista sen salasanan lisäksi. Ja no ehkä niinku käyttäjälle samalla lailla näy silleen, että normaali käyttäjä ei välttämättä mieti, että hetkonen mun tunnistautuminen on nytten tämä salasana ja sitten tää tietoturvapiiri mikä on läppärissä että se niin kun tavoite on se, että käyttäjä ei pohdi asiaa hirveästi. Miten tää tunnistautuminen oikeasti tapahtuu, vaikka se niinku todellisuudessa on paljon enemmän vaiheita kuin ennen? Passumanagereista mainitsit, että niistä voidaan jutella pikkaisen. Eli salasanan hallintaohjelma. Näitä on vuosia vuosia ollut ja oikeastaan kyse on siitä, että on jokin ohjelmista tai menetelmä tai härveli mikä tallentaa salasanoja. Siten, että voidaan, voidaan tai käyttäjällä voi olla hyvinkin pitkiä mutkikkaita salasanoja että mitä ei pysty arvaamaan ja sitten tää ohjelmisto pitää ne niin kun jossain jemmassa käyttäjän tarvitsee ainoastaan tietää salasana tähän hallintaratkaisuun. Näitä on nettiselaimet tarjonnut pitkän aikaa Google, chrome, mitä näitä nyt on. Ja sitten on näitä niin kun erillisiä salasanan hallintaohjelmistoja ja pikkaisen asiaa tutkin tässä joskus viimeisen vuoden aikana, että miten nää ratkaisut teknisesti eroaa toisistaan ja kävi ilmi, että nää selainten ratkaisut sinänsä ei ole teknisesti ihan hirveän vahvoja. Elikkä jos tää tietokone jossa tää selain on ajossa, jos se niin kun vaarantuu hyökkääjä pääsee siihen käsiksi, niin, mikäli käytetään pelkästään selainta siihen hallintaan, se on hirveän paljon huonompi homma ja nää sellaisena että saattaa päättyä hyökkääjille. Kun sitten taas toisaalta nää vartavasten salasanojen hallintaa tehdyt ohjelmistot niinku 1Password tai KeePass. Mitä näitä nyt on. Ne on sitten niinku parempia. Että silleen tuotesuositukset että kannattaa, kannattaa käyttää.

Puhuja 1 [00:30:07]: Joo, oikein hyvä. Ja ehkäpä vinkkaan siihen, että ylipäänsä sinne selaimeenkaan ei kannata tallentaa niitä koska tota tosiaan jos se hyökkääjä pääsee siihen koneelle se avaa selaimen ja sieltä jos se on saanut jo salasanoja haltuun ja varsinkin jos kierrättää niitä salasanoja, niin se pystyy sieltä asetuksista käydä, käydä, palauttaa. Mä oon joskus kollegoiden tota kun mä olin markkinointi tota toimistoissa töissä, niin mä muistan kun ne pähkäilee. Mä oon unohtanut mun salasanan jonnekin. No muistatko sä tallentanut sitä johonkin? Joo on, se on varmaan selaimessa silleen. No laita tuohon, niin katsotaan sieltä ja sieltähän niitä sitten löys. Ne oli ihan mistä sä tiesit mikä mun salasana? Niin. Että tota aika helpolla ne sitten pystyy kaivaa, että lämmin suositus näihin. Ja mä ainakin sitä mulla on niinku satoja palveluita käytössä ja mulla on ollut semmoinen siivousoperaatio, että mä vaihdoin salasanamanageria niin niin tota mä oon sitten siivonnut niitä palveluita samalla ja mä en muista. Mä aina laitan sinne, arvon niinku arvon sen salasanan ja ei mitään toivoa, että mä muistan sen, niissä on yli 30 merkkiä ja erikoismerkkejä. Ne ei ei välttämättä tarkoita yhtään mitään, että tota hyvin on toiminut.

Puhuja 2 [00:31:13]: Joo, sama homma ja se on käyttäjälle helpompaa että riittää, että muistaa sen pari salasanaa että niinku se Google-tilin tunnus Apple-tilin tunnus salasanahallintasoftan tunnus. Joo, niissä toki niitäkin näppäriä puolia sitten, että jos tarvitsee jakaa joku salaisuus kaverille tai muulle niin sitten sieltä löytyy se ominaisuus, että niinku tee tämä ja jaa se. Sitten voi lähettää kaverille linkin mikä toimii tasan kerran.

Puhuja 1 [00:31:34]: Kyllä. Joku haluaa kysyä nyt, että mä tiedän yksi yleisökysymykseen mikä on aina tässä vaiheessa kysytään. No hei, voiko näihin luottaa? Onko näitä koskaan hakkeroitu näitä salasanahallintaohjelmia?


Puhuja 2 [00:31:46]Teknisesti ei. Ne pari mitä oon yhtään katsonut niin ne on kyllä silleesti hyvin vahvoja että tota. Vaikka 1Password mitä joskus katsoin niin muistaakseni on ihan niinku julkaissut hyvinkin teknistä tietoa, että miten se krypto on rakennettu. Eli jos jos niinku kiinnostaa jos osaa diskreettiä matikkaa ja kryptografiaa, kannattaa lukea ja käydä pohtimaan että niinku vähän hankala homma on niin kun hakkeroida. Ja joku oikeasti mainitsi tosiaan nää Bug bounty -ohjelmat. Elikkä ohjelmat, missä luvan kanssa se ajettiin ohjelmiston haavoittuvuuksia. Muistaakseni noilla salasanan hallintaohjelmilla ainakin jollakin niistä muistan nähneen niillä on niillä on semmoinen julkinen Bug bounty -ohjelma, että jos niin kun onnistut teknisesti hakkeroimaan tän tän tietokannan niin siitä tulee tosi iso raha ja kukaan ei ole onnistunut. Että kyllä ne on on sillä sitten siellä on vuosikausien ajattelua ja tiedätte sitten takana, että ne oikeasti on turvallisia.

Puhuja 1 [00:32:40]: Kyllä. täähän on riskienhallintaa. Nyt pitää sitten miettiä että onko se oma excel jonka laitat vielä sinne pilvipalveluun, vai onko se salasanahallintaohjelma, vai onko se paperi, niin pitää miettiä mikä on itselle ja mä oon ainakin todennut että mulle tää tää tota passumanageri on se paras vaihtoehto. Suosittelen muillekin.

Puhuja 2 [00:32:58]: On joo. jos sitten riskinhallintakulmaa sitten pohtii, että mikä tietoturva-aukot tavallaan kohtaa ihmistä tai yritystä. Niin se salasanan hallintaohjelma ei ole se aita mistä missä on sitten aita matalin tai portti auki, että en muista nähneeni yhtään keissiä missään, että salasanaohjelma on korkattu ja sitten sitä kautta edetty eteenpäin, vaan juuri tästä syystä on kalasteluhyökkäyksiä ja kaikkea muuta. Että se salasanan hallintaohjelma ei, ei vaan ole se niinku tavallaan konsti millä hyökkääjä pääsee yhtään mihinkään.

Puhuja 1 [00:33:28]: Mä muistan itse asiassa nähneeni uutisen, että joku näistä on korkattu, mutta tota mä en muista niitä keissejä, ja niistä oli useampia vuosia aikaa ja tota en muista, että kuinka syvälle siellä on niinku päästy, mutta niin kuin sanottu kaikki on hakkeroitavissa niin kauan kun me ihmiset näitä näitä tehdään molemmilla puolilla pöytää. Että tota noin niin, mutta kun riskejä hallitaan, että tää on meidän vaihtoehto. Mutta olisiko siinä, tuleeko sulle vielä jotain vai oliko siinä kaikki hyvät vinkit. Perus hygienia-asiat niin niillä pääsee jo pitkälle.

Puhuja 2 [00:33:57]: Öö. Tää ei ehkä välttämättä ole kyberhygieniavinkki välttämättä, mutta kannattaa pohtia siitäkin, että elämä on muuallakin kuin somessa, että kannattaa lukea vaikka kirjaa tai mennä ulos tai metsään tai tavata ihmisiä.

Puhuja 1 [00:34:10]: Erinomainen vinkki. Kyllä. Mä mä yhdyn myös tuohon, että tota noin niin kannattaa joskus laittaa digilaitteet alas ja lähtee pihalle nauttimaan auringosta ja luonnosta.

Puhuja 2 [00:34:22]: Juuri näin.

Puhuja 1 [00:34:23]: Ja sitten sillä saa ehkä sitä keskittymiskykyä myös takaisin, että tota noin niin se auttaa myös näiden tota huijausten tunnistamisessa kun jaksaa keskittyä ja on rauhallinen. No mut hei siinä kaikki meiltä.


Haastattelija [00:34:38]: Kiitos.