Pohjois-Suomen tietoturvallisuusverkosto

• tietoturvallisuutta ei johdeta organisaatioiden todellisten liiketoimintatarpeiden mukaisesti
• tietoturvallisuuden hallinta nähdään vain reaktiivisena, ongelmia ehkäisevänä ja joidenkin yleisten standardivaatimusten – tai vieläpä vain ns. minimivaatimusten – täyttämisenä, jolloin myös toteutuksista puuttuu aito organisaatiokohtainen innovatiivisuus
• organisaatiot puuhastelevat erillisten ja rajattujen, esim. vain teknisluonteisten, aiheiden parissa
• organisaatioissa tehdään ”kosmeettisia” ja pinnallisia ratkaisuja tai ei itse asiassa tehdä mitään vaan toivotaan vain ettei mitään vakavaa sattuisi
• organisaatiot pysyvät ja kärsivät hiljaa ongelmistaan ja osaamattomuudestaan

1. Tietoturvallisuus integroidaan saumattomasti johdon päätöksiin sekä strategisiin ja operatiivisiin johtamistoimintoihin.
2. Vahvistetaan organisaation yleistä tietoturvallisuustietoisuutta ja –kulttuuria.

# posted by Juhani Anttila @ 20:16 0 comments

Jo seitsemännen kerran toteutui 26.10.2006 Rovaniemellä Tietoturva ja laki –tilaisuus. Tilaisuuden järjestivät Lapin yliopiston oikeusinformatiikan ja menetelmätieteiden laitokset sekä Pohjan viestikilta. Lisäksi tärkeinä vaikuttajina on ollut useita Pohjois-Suomen organisaatioita. Tapahtumapaikkana oli Lääninhallituksen sali.

Tämänkertaisen tietoturvallisuuspäivän otsikko oli tehty kysymyksen muotoon: Mihin ulottuu tietoturva? Aihetta tarkasteltiin seuraavien puheenvuorojen kautta:

• Seminaarin avaus: Ahti Saarenpää / Lapin yliopisto ja Juhani Peltoluoma / Pohjan Viestikilta
  
• Mihin ulottuu tietoturva?: Ahti Saarenpää / Lapin yliopisto
• Pohjoisuus ja tietoturva: Jorma Kajava / Lapin yliopisto
• Poliisin tietoturvatyö Rovaniemellä: Aarno Hallikainen / Poliisin tietohallintokeskus
• Haittaohjelmat: Seppo Sundberg / Valtiokonttori
• Rajavartiolaitos ja Pohjois-Suomen tietoturvaverkosto: Jaakko Ritola / Rajavartiolaitos
• Muuttunut johtamisympäristö ja tietoturva: Juha Mattila / Puolustuslaitos
• Yhteenveto: Ahti Saarenpää / Lapin yliopisto

Tilaisuuden päätteeksi oli cocktail-tilaisuus ja sen yhteydessä osallistujien välistä verkottumista.

# posted by Juhani Anttila @ 08:39 0 comments

On hyvin merkittävää, että verkostoomme on liittyneenä monenlaisia toimijoita. Aiheemme esille saamisen kannalta on lehdistö tärkeä yhteistoimintakumppani. Sähkö & Tele (ISSN 0789-676X) on sähkötekniikan ja elektroniikan teknistieteellinen ammattilehti, jonka julkaisijana on Sähköinsinööriliitto ry. Tähän lehteen verkkomme jäsenillä on ollut läheiset yhteydet jo vuosia, ja viime vuosina lehti on julkaissut monia kirjoituksiamme. Erityisesti voimme huomioida lehdessä sen korkeatasoisen ja tehokkaan kirjoitusten toimitustavan.

Sähkö & Tele -lehdessä olemme viime aikoina julkaisseet seuraavia kirjoituksia:

• "Tietoturvallisuus – Tietoturvallisuus on arkipäiväisen luonnollinen mutta ei mikään yksinkertainen asia" (Juhani Anttila, Jorma Kajava). Sähkö & Tele, Vol. 77 nro 8/2004, ss. 31 – 33
• "Tietotekniikan ja -palvelujen ulkoistaminen ja innovaatiot" (Jorma Kajava, Juhani Anttila). Sähkö & Tele, Vol. 78 nro 1/2005, ss.33 - 35
• “Varautuminen yhteiskunnan kriittisiin perusrakenteisiin kohdistuviin uhkiin” (Jorma Kajava, Reijo Savola). Sähkö & Tele, Vol. 78 nro 4/2005, ss. 45 - 46
• “Mitä heikot signaalit sanovat tietoturvallisuudesta” (Jorma Kajava, Juhani Anttila, Reijo Savola). Sähkö & Tele, Vol. 78 nro 6/2005, ss.10 - 13. ISSN 0789-676X.
• “Kriisien hallinta” (Jorma Kajava, Juhani Anttila, Reijo Savola, Juha Röning). Sähkö & Tele, Vol. 79 nro 1/2006, ss.49 - 55. ISSN 0789-676X.
• “Ylimmän johdon sitoutuminen tietoturvaan – motivaatiota ja vastuuntuntoa” (Jorma Kajava, Juhani Anttila, Reijo Savola, Juha Röning). Sähkö & Tele, Vol. 79 nro 2/2006, ss. 13-16.
• “RFID – mahdollisuuksia ja uhkia” (Jorma Kajava, Juhani Anttila). Sähkö & Tele, Vol. 79 nro 3/2006, ss. 9-13
• “Tietotyötä pohjoisessa – verkottumisen ja Barentsin alueen mahdollisuudet Pohjois-Suomen tietotyön kehittämisessä” (Jorma Kajava, Ilkka Kamaja, Juhani Anttila, Mikko Ilkko). Sähkö & Tele, Vol. 79 nro 5/2006, ss.55 - 60

# posted by Juhani Anttila @ 19:36 0 comments

Seminaarin ohjelma oli jälleen antoisan monipuolinen ja myös osanottajia oli runsaasti 50 henkeä:

• Seminaarin avaus, Pauli Korpi-Tassi, PPO
• Pohjan Viestikilta - yhteyksien rakentaja, Juhani Peltoluoma, Pohjan Viestikilta
• Ohjelmistohaavoittuvuuksien hallinta, Juha Röning, OUSPG
• Haittaohjelmat, Jari Pirnes, Verohallitus
• RFID ja tietoturva, Jorma Kajava, Lapin yliopisto
• Kriittiset perusrakenteet ja turvallisuus, Heimo Pentikäinen, VTT
• Tietoaineistoturvallisuuden hallinta: PPOn tallennus- ja varmistuspalvelut, Sami Tiinanen, PPO
• PPOn tietoturvapalvelut, Pasi Korhonen, PPO

# posted by Juhani Anttila @ 18:33 0 comments

Tämä blogi on erityisesti Pohjois-Suomen tietoturvallisuusverkoston toimintaa tarkasteleva foorumi. Verkostomme asia-aiheena on tietoturvallisuus ymmärrettynä laajasti, mutta mitä se sitten tarkoittaa, että toimimme verkostona. Myös tietoturvallisuusverkosto toimii yleisten verkostoperiaatteiden mukaisesti.

Käsitykseni on, että aito verkosto on aina itsestään syntynyt ja kehittyy sekä sitten myös joskus kuolee itsestään. Verkosto on myös osiltaan jatkuvassa uusiutumisen tilassa. Toisin sanoen mikään yksittäinen toimija ei voi johtaa verkostoa – jos ei nyt oteta huomioon jotain jumalallisia vaikuttajia. Myöskään tällainen verkosto kokonaisuudessaan ei ole kokonaisuutena tarkkaan määriteltävissä. Yleisesti tarkastellen verkostolla ei siis ole määriteltyä tai sovittua johtajaa eikä myöskään johtamisjärjestelmää sanan varsinaisessa merkityksessä. Tästä seuraa, että verkostolla ei myöskään voi olla yhteisesti jaettuja arvoja tai normeja, sovittuja toimintaperiaatteita, -politiikkaa, tai –strategiaa. Verkostossamme voi olla mukana aina myös sellaisia, jotka eivät ole kaikkien muiden mielestä toivottuja tai haluttuja. Itse asiassa verkossamme voi olla myös jopa joidenkin mielestä tyhmiä tai vihamielisiä, eikä näiden vaikutuksia voi täysin estää.

Johtamisaihe on ollut vahvasti esillä kaikissa verkostoaihetta käsitelleissä tilaisuuksissa ja kirjoituksissa. On esitetty kysymyksiä: Eikö ongelmana ole juuri verkostojen johtaminen, ja mitä tietoa sitä varten on saatavissa? Miten kannattaisi mitata verkostojen kustannus-hyöty-suhdetta? Miten verkostoitumista voisi edistää XXX-alueella? Miten voitaisiin vaikuttaa julkisen sektorin verkostotaitoihin ja muutosvastarintaan? Mitä kriteerejä olisi priorisoitava, kun puhutaan tuottavista verkostoista? Mikä on kriteeri sille, että kaksi verkoston osapuolta voidaan katsoa ”verkottuneeksi”?

Johtaminen verkostossa palautuu verkoston kunkin yksittäisen toimijan (organisaation tai yksilön) omaksi sisäiseksi johtamiseksi. Mikä vaikutus tällä sitten on koko verkoston rakenteeseen ja toimintaan, riippuu erityisesti voimasuhteista ja kommunikoinnin tehokkuudesta verkostotoimijoiden kesken. Valdis Krebs on määritellyt toimijan verkostossa vaikuttamista kuvaavia tunnussuureita:

• Aktiivisuus (activity)= tehokas toimiminen verkossa
• Pääsy (access) = pääsy verkoston resursseihin
• Tavoittavuus (reach)= vaikutusulottuvuus, kytkeytymiskyky toisiin toimijoihin ja sen nopeus
• Ohjaus (control) = ohjausvoima verkoston resursseihin
• Valta (power) = vaikutusvalta saada asiat tehdyksi

Koska kaikki verkostotoimijat ovat itsenäisiä, heillä on myös jokaisella omat intressinsä olla mukana tai pyrkiä pysymään verkostossa. Entistä enemmän verkostotoimijoina ovat yritysten ja organisaatioiden sijasta yksilöt. Verkostossa on aina olemassa eri intressien välillä ristiriitoja. Kunkin toimijan ja myös koko verkoston kannalta on hyödyllistä monenvälinen Win / Win –toiminta ja toimijoiden jatkuva oppiminen. Millaiseksi verkoston toiminta muodostuu, riippuu paljon toimijoille koituvista transaktiokustannuksista.

Yleisesti arvostetuissa yritystoimintaa koskevissa verkostotutkimuksissa ja kehityshankkeissa tarkastellaan pääasiallisesti esim. tiettyjen vahvojen yritysten tai muiden organisaatioiden ympärille luotuja toimittaja-, asiakas- tai partneriverkostoja. Näissä myös normaalisti tuodaan esille yhteisiä arvoja, strategioita ja kehitysohjelmia. Tällaiset verkostot ovat kuitenkin verkostomielessä hyvin erikoistapauksia tai suorastaan surkastuneita, ja ne voidaan nähdä monesti yritysten ulkoistettuina jatkeina tai suorastaan ”orjaverkostoina”. Helposti tulee mieleen, että bisnesmielessä hyödyllisintä olisi paradoksaalinen tilanne, missä toimijat tietoisesti hyödyntävät verkostoissaan sekä tiettyä systemaattisuutta että ”verkostovallattomuutta”. Ja sitä paitsi tämähän juuri vastaakin luonnollisia realiteetteja ympärillämme. Paitsi että miten tietoisia olemme asian suhteen?

# posted by Juhani Anttila @ 10:40 0 comments

Käsittelimme Pohjoisen Tutkimusfoorumissa Pohjois-Suomen tietotyön kehittämisen haasteita ja mahdollisuuksia. Samaa teemaa sivutaan myös laajemmalti koko EU:n puitteissa. Valtion korkeimmalla tasolla globalisaatioaihe on ollut näyttävästi esillä, ja on luvassa, että aiheen tarkastelu tulee samalla tavoin vielä jatkumaankin. Pääministeri Vanhasen amerikkalaiselta professori Richard Baldwinilta tilaaman globalisaatioselvitys Globalisation: the great unbundling(s) julkistettiin 20.9.2006.

Raportti korostaa, että globalisaatio muuttuu entistä arvaamattomammaksi. Äkilliset ja vaikeasti ennakoitavat muutokset kuuluvat globalisaation uusiin pelisääntöihin. Tähän sisältyy, että on vaikea ennustaa voittajia ja häviäjiä. Ennakoimattomuutta lisää toimijoiden väliset kompleksiset vuorovaikutukset liiketoiminnoissa. Maailmanlaajuinen kilpailu voi viedä myös Suomesta koulutetun väen töitä, ei vain teollisuustöitä. Kilpailu muuttuu yritysten välisestä kilpailusta osaamisryhmien ja yksilöiden väliseksi. Eivät perinteistenkään turvattujen ammattien edustajat eivät ole erossa globalisaatiolta. Kansainvälisen yrityksen ekonomi tai insinööri voi huomata työnsä siirtyvän Kiinaan tai Venäjälle. Turvallisuuspalvelutkin voidaan toteuttaa etätyönä Intiasta.

Globalisaatiotilanteeseen sisältyy kriisien aineksia, joihin pitäisi suhtautua päättäväisesti.

Baldwinin raportti järkyttää myös suomalaista koulutusajattelua. Pitkä koulutus tai esim. tietotekninen osaaminen ei suojaakaan Suomen työvoimaa. Nyt ei ole it-insinööreistä pulaa, mutta metalliteollisuus ja rakennusala kaipaavat kipeästi hitsaajia ja asentajia. Yleisesti viestitään, että nuorien ei kannatakaan mennä yliopistoon, vaan mieluummin ammattikoulun putkiasentajalinjalle. Alipalkattuja akateemisia on jo nyt suuri joukko.

Jos esimerkiksi tuotekehitys, tietohallinto ja rahoitus voidaan hoitaa Intiasta käsin, niin aina kuitenkin tarvitaan paikallistuntemusta. Oma kieli ja oma lainsäädäntö voivat suojata ulkomaiselta kilpailulta. Vaikeasti korvattavia ovat myös henkilökohtaiset kontaktit. Nämä seikat korostavat varmasti toimivien ja monipuolisten palvelujen sekä verkostojen merkitystä.

# posted by Juhani Anttila @ 16:30 0 comments

Pohjoisen tutkimusfoorumin neljäs avoin tapaaminen järjestettiin tunnuksella Rajaton Pohjola "Perämerenkaarella" Oulussa, Torniossa, Haaparannalla ja Luulajassa 4.–8.10.2006. Tilaisuudessa olivat avainpuhujina mm. Suomen presidentti Tarja Halonen ja Islannin presidentti Olafur Ragnar Grimsson. Osanottajia oli laajasti pohjoisen alueen maista ympäri maapalloa. Northern Research Forumin yleisenä tarkoituksena on edistää dialogia tutkimusyhteisön ja muiden arktisten alueiden toimijoiden välillä. Käsiteltävät kysymykset liittyvät ”sirkumpolaarisiin” ongelmiin ja mahdollisuuksiin koskien mm. kestävää kehitystä, rauhaa ja turvallisuutta, sosiaali- ja ympäristöpolitiikkaa sekä globaalimuutoksia.

Tässä tilaisuudessa ryhmämme, Jorma Kajava, Ilkka Kamaja, Juhani Anttila ja Mikko Ilkko, esitelmä käsitteli aihetta Verkottumisen ja Barentsin alueen mahdollisuudet Pohjois-Suomen tietotyön kehittämisessä, jossa nostimme esille keskeisiä kysymyksinä: Miten toiminnan laajeneminen Barentsin alueella heijastuu tiedon ja osaamisen kysyntään Pohjois-Suomessa ja onko siihen voimavaroja vastata niin yhteistyökyvykkyyden kuin tuotannon volyymin kannalta? Miten palvelutoiminnan ulkoistuksessa tulsi varautua tietoturvallisuuden kysymyksiin? Miten tässä tilanteessa voitaisiin ottaa esille monitieteisyyden toimintamallien ja tieteenteoreettisten tutkimusten hyödyntäminen?

Nyt Suomen koillisella lähialueella ollaan käynnistämässä laajoja hankkeita energian ja raaka-aineiden hyödyntämiseksi. Barentsinmerellä arvioidaan olevan 25 prosenttia maailman öljy- ja kaasuesiintymistä. Niistä suurin osa sijaitsee Venäjän alueella. Venäjän arvioidaan omistavan maailman suurimmat maakaasuresurssit. Suomen pohjoispuolella sijaitsevat merialueet ovat muuttumassa kylmän sodan aikaisesta sotilaallisstrategisesti merkittävästä alueesta energiastrategisen kilpailun näyttämöksi. Lähi-idän tilanteen jatkuessa epävarmana kansainvälinen huomio tullee kiinnittymään yhä voimakkaammin Barentsin alueelle. Ei siis ole vaikeata arvata, että tuotannon ja palvelujen ulkoistamisen suunta tulee muuttumaan meille edullisemmaksi. Yllättäen kaukaisesta sijainnista onkin etua, olemme suhteellisen lähellä suuria ”apajia”.

Kun palveluja siirretään yrityksen ulkopuolelle, niin toiminnan luonteesta, laajuudesta ja monipuolisuudesta riippuu, miten ja missä määrin tietoja tulee suojata. Kun suunnittelua siirretään yrityksen ulkopuolelle, niin silloin on paljon suurempia uhkia siitä, että yrityksen strategisesti tärkeiden tietojen luottamuksellisuus tulee uhatuksi. Kuitenkin modernissa liiketoimintaympäristössä toimiva joutuu yhteistyön nimissä paljastamaan yhteistyökumppaneille ja tärkeimmille asiakkaillekin merkittävässä määrin luottamuksellisia suunnittelutietoja. Silloinkin on pidettävä huoli siitä, ettei strategisia tietoja joudu asiattomille.

Palvelutoiminta on toimintakenttä, jossa on laaja kehittämispotentiaali ja jonka vaatima suunnittelu- ja toteutustyö edellyttää asiantuntijuutta ja läsnäoloa käyttäjien tai tutkimus- ja kehittämiskohteen suhteen. Se voidaan lisäksi ymmärtää laaja-alaisesti, jolloin siihen sisältyvät julkinen ja yksityinen sektori sekä tutkimus-, kehitys-, suunnittelu- ja toteutustehtävät. Tuekseen tämän toiminnan kehittyminen tarvitsee ainakin innovaatiotoiminnan kehittämistä siten, että se tukee tehokkaasti sekä sosiaalisia että teknologiainnovaatioita.

Kaukomailta on tullut viestejä, joiden mukaan tietoturvaan liittyvät ongelmat ovat vaikeita. Ulkomaiset työntekijät eivät ymmärrä esimerkiksi luottamuksellisuussopimuksen sitovuutta. Monet laajat organisaatiot tekivät aikoinaan ulkoistamissopimuksia liian pikaisen kartoituksen perusteella ja esillä on ollut ulkoistamisen lopettamisia (insourcing), joissa toiminnot palautetaan alkuperäiselle yritykselle tai uusi yhteistyökumppani alkaa tuottaa palvelujja.

Ulkoistamisen yhteydessä oleellista on, että asiakkaita koskevat tietoaineistot täyttävät tietoturvan perusvaatimukset; tietojen luottamuksellisuuden, tietojen oikeellisuuden ja tarkkuuden ja tietojen saatavuuden. Tällöin luottamuksellisuuden menettäminen olisi palveluntarjoajalle katastrofaalista. Ulkoistamisen yhteydessä korostuu ihmisten luotettavuus.

Kun kumpikin ulkoistamisen osapuoli tuntee tarkoin toiminta-alueen, tietotekniikan erityiskysymykset ja sopimusjuridiikan, ulkoistamisella ovat onnistumisen edellytykset. Jos on kyseessä laaja ulkoistaminen, johon sisältyy esimerkiksi merkittävä tietotekniikan ulkoistaminen, on vaarana menettää myös yrityksen kannalta strategista osaamista. Jos sitä menetetään, yrityksen kehittyminen voi vakavasti häiriintyä ja vinoutua.

Tietoturvamenettelyjen ja -tavoitteiden määrittely ulkoistamisen yhteydessä on tärkeää. Tämä edellyttää, että tietoturvatietoisuus on asiallisesti hallinnassa ja että tietoturvan hallinta organisaatiossa on ammattitaitoista.

Yritystemme koko Pohjois-Suomessa on pieni. Samoin jokaisella yrityksellä on ”oma menestystarinansa”. Kuinka hajallaan olevat yritykset saataisiin suunnatuksi samansuuntaisesti yhteisiä päämääriä tavoittelemaan, ei kilpailemaan toisiaan hengiltä? Yksittäisten yritysten tuotantokapasiteetti ei riitä tarvittavan volyymin saavuttamiseen. Tarvitaan laajaa ja tehokasta verkostomaista yhteistyötä nimenomaan pk –sektorilla, jotta myös Pohjois-Suomessa työnteko olisi arvossaan ja laajuudeltaan riittävää.

Tulevien vuosien aikana Pohjois-Suomen pk –sektorin tehokas verkostoituminen on yksi tärkeimmistä kansantalouteemme vaikuttavista tekijöistä. Esitämme jo alkaneeseen tutkimus- ja kehitystyöhön verkostokyvykkyyden edistämistä, jolla tarkoitamme verkostoon kuuluvan yrityksen tai organisaation kykyä toimia verkostossa 1) prosessipohjaisesti, verkostossa suoritettavien toimintojen tehokkaana suorittajana, 2) hallitulla ja ammattimaisella tavalla, mm. sovittuja standardeja ja toimintatapoja käyttäen, 3) tietoturvatietoisena verkostokumppanina. Tämä tarkoittaa kunkin yksittäisen verkostossa toimivan organisaation oman johtamissystematiikan ja myös yhteistoimintaosaamisen kehittymistä. On syytä rakentaa toimialakohtaisia yritysten verkostoja, joita aluksi voidaan käyttää koulutuksessa, valmennuksessa ja nykyaikaisen verkostotoiminnan oppimisessa. Yhteistoimintaverkoilla on kasvava merkitys, kun varsinaisen tuotannon volyymi kasvaa.

Turvallisuus ja osaaminen ovat avaimet Pohjois-Suomen menestykseen tulevaisuudessa.

Foorumin esitelmäjulkaisu

# posted by Juhani Anttila @ 09:58 1 comments

Turvallisuusalan tapahtumia on Suomen EU:n puheenjohtajakauden aikana runsaasti, myös jopa päällekkäisesti. Pohjois-Suomen tietoturvallisuusverkoston puitteissa toteutettiin Rovaniemellä kansainvälinen kriisien hallinnan tilaisuus The Second Crisis Management Workshop syyskuun 28. päivänä 2006. Vastaavalla tavalla järjestettiin myös Suomen toimesta vuoden 2005 ensimmäinen vastaava workshop Brysselissä hyvin lyhyellä varoitusajalla. Koska olemme toimineet jo vuosikymmenen aktiivisesti kansallisessa ja kansainvälisessä asiantuntijaverkostossa, niin workshopien nopea kokoaminen onnistui hyvin.

Kriisien hallinta liittyy EU:n seitsemännen puiteohjelman valmisteluun ja siellä turvallisuusasioiden ryhmään kuuluvaan PASR –hankekokonaisuuteen (Preparatory Action for Security Research). EU arvioi kaikki ohjelman kuusi rinnakkaisina toteutettua workshopia ja palkitsi suomalaisten Brysselissä järjestämän tilaisuuden parhaaksi. Brysselissä järjestettiin syksyllä 2005 samanaikaisesti kaksi suomalaista kriisienhallinnan seminaaria. Toisen tilaisuuden järjesti CMI presidentti Martti Ahtisaaren johdolla 400 tärkeimmälle kansainvälisen politiikan edustajalle aiheena siviilikriisien hallinta. Yhteensattumasta johtuen meidän tilaisuutemme osallistujat saivat kutsun presidentiltä osallistua toisena päivänä hänen johtamaansa tilaisuuteen.

Turvallisuuteen ja tietoturvaan liittyvistä monista erilaisista tapahtumista valtaosa on kaupallisten yritysten tarjoamia tuote-esittelyyn liittyviä ”ilmaisia” tilaisuuksia. Tietoa on myös alettu myydä varsin korkeaan hintaan erilaisten kurssien muodossa. Myös tieteellisellä puolella on tullut tavaksi, että sponsorien tuen lisäksi osallistujilta ja esitelmien pitäjiltä peritään suhteellisen korkeita osallistumismaksuja. Rovaniemen tietoturvaverkoston nimissä pystyimme kuitenkin tarjoamaan syyskuun 28. päivän tilaisuuden ilman mitään maksuja. Tilaisuuden kieli oli englanti. Tilaisuus oli tarkoitettu niin asiantuntijoille kuin alaa opiskeleville sekä kaikille aiheesta kiinnostuneille.

Rovaniemen workshopin pääpuhuja oli professori Gerald Quirchmayr. Hän toimii Wienin yliopiston hajautettujen ja multimediapohjaisten järjestelmien laitoksen johtajana ja samalla myös professorina Etelä-Australian yliopistossa Adelaidessa. Hänen aiheensa lähti riskianalyyseistä ja päättyi liiketoiminnan jatkuvuuden suunnitteluun. Toinen tunnettu asiantuntija oli englantilainen Christopher C. Wills. Hän toimii Kingstonin yliopistossa teknologiakeskuksen johtajana. Hän on toiminut myös vuosia yhteistyössä Britannian poliisin kanssa terrorisminvastaisessa työssä, jossa pyritään ennalta ehkäisemään ja torjumaan vakavia iskuja.

28.9.2006 worshopin kokopäiväinen ohjelma oli kokonaisuudessaan seuraava:

• Opening: Mauri Ylä-Kotola
• Juha Röning: Vulnerability management of the information infrastructure from the protocol dependence point of view
• Jorma Kajava: Weak Signals in Crisis Prevention
• Jari Aalto: Barents Rescue’2007 Exercise
• Gerald Quirchmayr: From Risk Analysis to Continuity Management
• Gregoire Soukiassian: Security, Risk Control & Crisis Managment in eXtreme situations : The Disaster Recovery Plan
• Christopher C. Wills: Threat and Risk Assessment, A Soft Systems Approach
• Juhani Anttila: Business crisis, A turning point with a decisive change - Viewpoints for business management
• Veikko Rouhiainen: VTT´s security research supporting crisis management
• Timo Nuutinen: Crisis Management Current Affairs
• Conclusions: Jorma Kajava

Kriisien hallinta on varsin laaja alue. Edellä mainittiin jo siviilikriisien ja sotilaskriisien hallinta. Myös liiketoimintoihin liittyy vakavia kriisejä. Lapin yliopisto julkaisi juuri omat toimintaohjeensa kriisitilanteisiin. Ohjeet koskevat sellaisia tilanteita, jolloin tietoon tulee henkilökuntaa, opiskelijoita tai työ/opiskeluyhteisöä koskeva traumaattinen tapahtuma. Luonnonkatastrofit ovat aiheuttaneet kaikkein suurimmat ei-sotilaalliset kriisit. Terroriteot ja niiden ennalta torjuminen on yhä vakavampi asia koko yhteiskunnan toiminnan kannalta ja niihin varautuminen aiheuttaa erittäin huomattavat kustannukset yhteiskunnille.

Kriisien hallinnan yhteydessä on oleellista pyrkiä ennalta estämään ja torjumaan mahdolliset uhkat. Modernia tieto- ja tietoliikennetekniikkaa käyttäen voidaan riskejä lieventää huomattavasti, mutta täyttä varmuutta ei koskaan saavuteta. Jos kriisi pääsee puhkeamaan, niin organisaatioilla on oltava valmiina palautumis- ja toipumissuunnitelmat. Mitä varhaisemmassa vaiheessa kriisiin päästään tarttumaan, sitä pienemmillä vahingoilla on mahdollista selviytyä. Laatu ja sen hallinnan ymmärtäminen on erittäin keskeinen liike-elämän osa-alue, jolla toimintaa saadaan parannettua. Tietoturvan merkitys koko laajuudessaan on myös tulossa ihmisten tietoisuuteen. Enää ei puhuta pelkästään teknisistä suojauksista, vaan ymmärretään, että niiden rinnalla yhä tärkeämpää on tietotekniikan käyttäjien tietoturvatietoisuus ja organisaatioiden ylimmän johdon sitoutuminen tietoturvatyöhön.

Kriisien torjunta modernia tieto- ja viestintätekniikkaa käyttäen on myös EU:n seitsemännen puiteohjelman keskeinen turvallisuuskysymys. Tärkeät turva-asiat uudessa puiteohjelmassa ovat SeNTRE (Security Network for Technological Research in Europe) työryhmän viidennessä työohjelmassa, jossa esillä on paitsi tietoverkkojen turvallisuus myös tuotteiden ja ihmisten liikkuvuudesta aiheutuvat turvallisuuskysymykset mukaan lukien konttikuljetukset; kemialliset ja biologiset aseet mukaan lukien tautien levittämiseen liittyvät kriisit; tunnistaminen ja biometria sekä kriittisten perusrakenteiden ja verkkojen turvaaminen.

Kriisien hallinnan yhteydessä oleellista on, että onnistuneella työllä pystytään pelastamaan ihmishenkiä. Kriisien hallinnalla pystytään myös lieventämään inhimillisiä kärsimyksiä. Esimerkiksi Libanonissa kriisien hallinnassa lähdetään sodan aiheuttamien tilanteiden, kuten räjähtämättömien ammusten eliminoinnista. Raivaustyön jälkeen vuorossa on jälleenrakennus ja toiminnan palauttaminen. Toiminnan rinnalla ihmisten fyysinen ja humanitäärinen auttaminen ja tukeminen ovat erittäin tärkeitä. Tästä työstä kylmä bisnes on kaukana.

Rovaniemen tietoturvaverkoston toiminnan kannalta on erittäin tärkeää rakentaa koulutukseen liittyvää yhteistyötä. Tästä esimerkkinä on täällä järjestettävä tietoturva-alan erikoistumisopinnot, jotka pyörivät jo toista vuottaan. Myös erilaisten turva-alan tilaisuuksien järjestäminen on oleellinen osa kokonaisuutta. Jo perinteikkääksi muodostunut Tietoturva ja Laki toteutetaan jo seitsemännen kerran lokakuun 26 päivänä 2006 Rovaniemellä. Rovaniemellä tietoturvaverkosto on ollut kokoava tekijä myös turvallisuusalueen määrätietoisessa kansainvälistymisessä. Tätä suuntausta tukee myös yhtenä esimerkkinä Rovaniemellä marraskuussa 2006 järjestettävä kaupallinen MISTI –tietoturvatapahtuma.

Mainituista tilaisuuksista ja niiden materiaaleista voi saada tietoa Jorma Kajavalta (jorma.kajava@ulapland.fi)

Kriisien hallintaa olemme käsitelleet joidenkin ajankohtaisten teemojen osalta myös Sähkö&Tele-lehden artikkelissamme.

# posted by Juhani Anttila @ 21:48 0 comments

Tämän vuotinen seitsemäs tietoturvallisuuden talvikoulu, European Intensive Programme on Information Security Management and Technology, IPICS 2006, toteutettiin 3 – 10.3.2006 Talvalkosken Maijanlammella, puolustusvoimien harjoitusalueella. Jälleen osanottaja- ja puhujajoukko oli edustava.

Talvikoulussa oli seuraavat esitykset, joissa monipuolisesti käsiteltiin tietoturvallisuuden aiheita:

• Anttila, Juhani / Quality Integration, Helsinki (FI): General managerial tools for business-integrated information security management
• Häyrynen, Antti / Nokia, Oulu (FI): Information security standardization in Mobile Communication
• Kaila, Urpo / CSC, Espoo (FI): Challenges for Information Security Management in NREN's
• Kajava, Jorma / University of Lapland (FI): Information Security Management
• Kajava, Jorma / University of Lapland (FI): New Challenges for Information Security Management
• Kajava, Jorma / University of Lapland (FI): Balanced Integration of Information Security into Business Management.
• Kajava, Jorma / University of Lapland (FI): Weak Signals in Crisis Prevention
• Kajava, Jorma / University of Lapland (FI): Significance of Information Security Management Standards for Global Business and Industry
• Kamaja Ilkka / University of Lapland (FI): Multidisciplinary Research
• Muschall, Bjoern / University of Regensburg (DE): Database Security
• Posch,Karl / Graz Technical University (AT): Technical Realisations of Crypto Algorithms
• Preneel, Bart / Katholieke Universiteit Leuven BE): An Introduction to Cryptology
• Quirchmayr, Gerald / University of Vienna (AT) and University of South Australia, Adelaide): Business Continuity Management
• Röning, Juha / University of Oulu (FI): From Frontier to Frontier Combat
• Råman, Jari / University of Lapland, Rovaniemi (FI): Trends in the Regulation of Information security
• Savola, Reijo / VTT Electronics, Oulu (FI): Can we measure information security
• Savola, Reijo / VTT Electronics, Oulu (FI): Measuring Information Security
• Savola, Reijo / VTT Electronics, Oulu (FI): Introduction to IS Challenges in Industrial Automation Systems
• Tuikkala Ilkka / University of Lapland (FI): Integrated Business Networks.

Tilaisuuden luentomateriaalia voi tiedustella Jorma Kajavalta (jorma.kajava@ulapland.fi)

# posted by Juhani Anttila @ 19:31 0 comments