Puhuja 1 [00:00:00]: Tietoturvaa kannattaisi ehkä ylipäänsäkin tarkastella enempi sillä tavoin kokonaisvaltaisesti, eli perusasiat pitäisi olla kunnossa. Että ihan samalla kun aamulla pestään hampaat ja käydään suihkussa, niin samalla tavalla on turha miettiä mitään hirveitä teknisiä puolustuskeinoja, jos salasana on Kissa123.

Haastattelija 1 [00:00:29]: Jyväskylän yliopiston informaatioteknologian tiedekunta ja maanpuolustuskoulutus MPK toteuttavat yhteistyössä Kansalaisen kyberturvallisuus -verkkokurssin. Tavoitteena on tutustuttaa kaikki kiinnostuneet suomalaiset kyberturvallisuuteen, niin yksilön, yhteisöjen kuin yhteiskunnankin tasolla. Tämä haastattelu on tehty osana tätä kurssia. Haastateltavana tänään on herrasmieshakkerina tunnettu Tomi Tuominen. Puheenaiheina ovat mm. mitkä ovat internetin suurimmat vaarat tällä hetkellä ja ketä hakkerit oikeastaan ovat. Haastattelijana toimii Jemina Lakka-Kolari.

Haastattelija 1 [00:01:13]: Kuinka itse olet päätynyt alalle töihin?

Puhuja 1 [00:01:17]: Päädyin alalle töihin ihan käytännössä sattuman kautta. Että mä tajusin kyllä hyvin aikaisessa vaiheessa, varmaan joskus 12-vuotiaana, että mulla on ehkä hieman vinksahtanut tapa katsoa maailmaa ylipäänsäkin. Että taannoin silloin, kun huoltoasemilla oli vielä peliautomaatteja, niin siinä missä muut ajatteli, että miten ne saa pelattua DipDogissa uuden parhaan ennätyksen, niin mä mietin vaan, et miten mä saisin huijattua tuota rulettia. Ja tietysti siinä vaiheessa, kun on 12-vuotias, niin se temppusalkku on kovin erinäköinen. Mut mä mietin silloin, et mitäköhän tapahtuu, jos tuosta ottaa virrat pois tuosta laitteesta ja sen jälkeen ensimmäinen numero oli aina seitsemän. Ja  mulla kesti 20 vuotta tajuta, että miksi se numero on aina ensimmäisen kerran seitsemän. Mutta siitä se oikeastaan lähti, että mua kiinnosti hyvin aikaisesta vaiheesta ja tietokoneet kiinnosti aikaisessa vaiheessa, mutta me ollaan itseasiassa tehty taisteluparini Hyppösen Mikon kanssa tästä aiheesta kokonainen jakso meidän äänijulkaisuun eli Herrasmieshakkerit -podcastiin.

Haastattelija 1 [00:02:24]: Mitkä sun mielestä on tällä hetkellä internetin suurimmat vaarat?

Puhuja 1 [00:02:29]: Internetin suurimmat vaarat on yksityishenkilön näkökulmasta tietovuodot ja tietomurrot, missä voi paljastua henkilökohtaisia tietoja. Yritysten näkökulmasta toimitusjohtajahuijaukset ja kiristyshaittaohjelmat. Tämän päivän iskuissa käytetään tyypillisesti tällaisia kalastelutekniikoita eli fishing-tekniikoita, minkä lisäksi sovellushaavoittuvuudet on varmasti isoin tietoturvaongelma.

Haastattelija 1 [00:02:57]: Mitkä ovat ne ihmisten suurimmat tekniset virheet kyberturvallisuuden saralla?

Puhuja 1 [00:03:04]: Jos yksittäinen asia pitäisi nostaa tässä esille, niin päivitykset. Ajakaa aina uusinta ja viimeisintä versiota puhelimessa ja tietokoneessa. Tietoturvaa kannattaisi ehkä ylipäänsäkin tarkastella enempi sillä tavalla kokonaisvaltaisesti eli perusasiat pitäisi olla kunnossa.  Että ihan samalla kun aamulla pestään hampaat ja käydään suihkussa, niin samalla tavalla on turha miettiä mitään hirveitä teknisiä puolustuskeinoja, jos salasana on Kissa123. Hyökkääjät ylipäänsäkin toimii vähän samalla tavalla kuin vesi. Ne menee läpi sieltä, mistä on helpoin mennä läpi. Ja sen takia ehkä kannattaa katsoa semmosta isompaa kokonaiskuvaa. Eikä niinkään jotain yksittäistä suojauskeinoa.

Haastattelija 1 [00:03:55]: No mitä tai ketä hakkerit nyt sitten oikein ovat?

Puhuja 1 [00:04:00]: Lähtökohtaisesti hakkeri on mulle aina ollut arvonimi, jonka muut antaa sulle. Sä et voi välttämättä kutsua itseäsi hakkeriksi ja hakkeri on myös aika latautunut sana, se tarkoittaa eri asioita eri ihmisille. Mulle hakkeri on aina tarkoittanut ihmistä, joka on vaan kiinnostunut siitä, miten asiat toimii. Joillekin muille se tarkoittaa jotain ihan muuta. Kaikki yleistykset on vaarallisia. Tämäkin. Hakkereiden maailmassa ainoa asia, mikä erottaa hyvikset ja pahikset toisistaan, on käytännössä etiikan ja moraalin taju. Työkalutekniikat ja tekeminen on hyvin hyvin samanlaista riippumatta siitä kummalla puolella pöytää istuu.

Haastattelija 1 [00:04:42]: Ketkä tai mitkä tahot tekevät kyberiskuja?

Puhuja 1 [00:04:47]: Kyberiskujen tekijöiden profiili on muuttunut aika paljon viimeisen 10-20 vuoden aikana. Silloin vielä ehkä 20 vuotta sitten 2000-luvun alkupuolella oli aika paljon harrastelijahakkereita. Lasken itsenikin sellaiseksi. Ja tänä päivänä ne, jotka tekee minkäänasteisia kyberiskuja, niin ovat käytännössä joko järjestäytynyttä rikollisuutta tai valtiollisia toimijoita. Iskujen tekijät jää varsin harvoin kiinni, mutta se ei tarkoita sitä, etteikö tiedettäisi välttämättä, että ketä niiden iskujen takana on. Yleensä motivaatiot on aika helppo selvittää ja varsinkin, jos kyseessä on jonkunlainen tietomurto tai tietovuoto, niin voi aina katsoa, että ketä tämä tieto voisi hyödyttää. Eli tällainen attribuutio sen tietosisällön perusteella, niin on itseasiassa aika hyvä lähtökohta sille, että kuka tämän teon takana voisi olla. Iskujen kohteet määräytyy sen mielenkiinnon mukaan. Täytyy muistaa, että maailmassa on vain rajallinen määrä sellaisia kohteita, jotka on millään tavalla mielenkiintoisia. Ja yleensä ne kohteet, jotka on mielenkiintoisia, niin ne ovat mielenkiintoisia monen ihmisen tai monen tahon näkökulmasta. Jos mietitään jotain suurlähetystöä tai ministeriötä, niin yleensä useampaa valtiollista toimijaa kiinnostaa, että mitä siellä ajatellaan  jostain tietystä asiasta. Sitten taas vastaavasti se on hyvä uutinen meille yksityishenkilöille, että aika harvalla meistä on mitään niin mielenkiintoista, että ketään voisi oikeastaan kiinnostaa. Iskujen tekemisistähän Suomessa saa lähinnä nuhtelua ja soosoo-sanan, että älä viitsi enää ensi kerralla ihan noin kovasti tehdä. Ulkomailla rangaistukset on sitten kovempia, että jo vaikka jossain Yhdysvalloissa tai Kiinassa, niin istut todennäköisesti vankilassa loppuelämäsi.

Haastattelija 1 [00:06:50]: Minkälainen rooli elinkeinoelämällä on kyberturvallisuuden tuottamisessa Suomessa?

Puhuja 1 [00:06:56]: Elinkeinoelämällä on hyvin merkittävä rooli Suomessa. Itseasiassa Suomessa varsinaisesti ei ole tahoa, joka suojelisi informaatioyhteiskuntaa, muuta kuin elinkeinoelämä. Alan toimijat tekee todella paljon yhteistyötä keskenään. Tänä päivänä tietoturvaan ja informaatioyhteiskuntaan liittyvät ongelmat alkavat olla sen kokoluokan ongelmia, että ei siellä oikein enää yksittäiset toimijat pärjää. Että on oikeastaan pakkokin tehdä yhteistyötä. Mutta mä näkisin, että Suomi on ollut tässä kyllä edelläkävijä monella tavalla. Että pakko nostaa kyberturvallisuuskeskus erityisesti esille, että he ovat kyllä fasilitoineet tätä yhteistekemistä, niin ihan alusta asti jo parinkymmenen vuoden ajan ja Suomessa on merkittävästi parempi tilanne sen takia, että he ovat tehneet menestyksekästä työtä. Toimijoiden välinen yhteistyö on pääsääntöisesti tiedon vaihtoa ja toki myös jossain määrin koulutusta, mutta ennen kaikkea tiedon vaihtoa.

Haastattelija 1 [00:08:03]: Kuinka suomalaiset organisaatiot ovat varautuneet kyberuhkiin ja -iskuihin?

Puhuja 1 [00:08:09]: Suomalaiset organisaatiot on maailman mittakaavassa varmaan varautuneet ihan hyvin näihin uhkiin, mutta kyllä siellä tekemistä on aivan järjetön määrä. Että mulla on itsellä aika paljon taustaa tietomurtojen tutkinnan puolella, niin kyllä ne organisaatiot, jotka ovat oikeasti varautuneet jollain tavalla hyvin, ei pelkästään ottamalla varmuuskopioita, vaan myös pitämällä huolen siitä, että sellaiset perusasiat ovat kunnossa, niin kyllä ne ovat laskettavissa yhden käden sormilla.