Kirjoittanut Teemu Kumpulainen, Kumpu Consulting Oy
Suomen ensimmäinen kansallinen turvallisuusstrategia 2026–2035 julkaistiin juuri. Luin sen – ja huomasin jotain, mitä ei ehkä heti tule ajatelleeksi.
Strategia ei puhu vain valtion rakenteista tai suurista geopoliittisista linjoista. Se kuvaa täsmälleen ne riskit, joita teollisuuden tuotantoympäristöissä kohdataan jo tänään. Jokaisessa tehtaassa, jossa pyörii automaatiojärjestelmiä, mahdollisesti vanhaa laitekantaa ja verkottuneita prosesseja.
Strategiasta tunnistin neljä teemaa, jotka resonoivat suoraan siihen työhön, jota teemme teollisuuden kyberturvallisuuden parissa: huoltovarmuuden, teknologiset riippuvuudet, luottamuksen ja kriisinsietokyvyn.
Nämä eivät ole abstrakteja kansallisen tason käsitteitä. Ne ovat käytännön kysymyksiä, joihin jokaisen tuotantoympäristöstä vastaavan on vastattava – viimeistään NIS2-direktiivin myötä, joka velvoittaa kriittiset toimijat kyberturvallisuusriskien hallintaan.
1. Huoltovarmuus on OT-järjestelmien jatkuvuutta
Strategia määrittelee huoltovarmuuden osaksi kokonaisturvallisuutta. Yhteiskunnan tasolla tämä tarkoittaa energian saatavuutta, elintarviketuotantoa ja kriittistä infrastruktuuria.
Tehtaan tuotannon tasolla kysymys on välitön ja konkreettinen: mitä tapahtuu, kun tuotantolinjasi pysähtyy – syystä riippumatta? Laitevika, inhimillinen virhe tai tietoturvapoikkeama. Seuraus on sama.
Kyse ei ole pelkästään taloudellisesta menetyksestä. Strategia nostaa esiin, että yhteiskunnan elintärkeät toiminnot ovat suoraan riippuvaisia teollisuuden jatkuvuudesta. Yksittäisen tehtaan OT-järjestelmien häiriö voi olla osa laajempaa yhteiskunnallista haavoittuvuutta – erityisesti energiantuotannossa, prosessiteollisuudessa tai elintarvikeketjussa.
NIS2-direktiivi vastaa tähän velvoittamalla kriittisten toimijoiden toiminnan jatkuvuuden hallintaan ja varautumissuunnitelmiin. Mutta velvoite yksin ei riitä. Jatkuvuus täytyy rakentaa oikeaan paikkaan – ja oikeassa järjestyksessä.
Siksi kyberturvallisuusriskien kartoitus tulee aina aloittaa liiketoiminnan vaikutuksista. Ei uhkalistoista.
Oikea kysymys ei ole ”mitä hyökkäyksiä meitä vastaan voidaan tehdä?” vaan ”mitä tapahtuu, jos tämä järjestelmä kaatuu – ja kuinka kauan se vaikutus kestää?”
Tähän kysymykseen vastaaminen kone- ja järjestelmäkohtaisesti on seuraamusperusteisen riskianalyysin ydin. Se kertoo, mihin toimenpiteet kannattaa kohdistaa – ja ennen kaikkea missä järjestyksessä.
2. Teknologinen riippuvuus elää jokaisessa tehtaassa – ei vain geopolitiikassa
Strategia nostaa teknologisen riippuvuuden yhdeksi keskeisimmistä kansallisen turvallisuuden riskeistä. Tavoitteena on vähentää taloudellista, teknologista ja teollista riippuvuutta yhteiskunnallisen resilienssin vahvistamiseksi.
Tämä kuulostaa suurelta linjaukselta. Mutta teollisuuden arjessa se on hyvin konkreettinen ongelma.
Tuotantoympäristöissä pyörii järjestelmiä, joita ei voi päivittää ilman tuotantokatkoja. Etähuoltoyhteydet ovat auki toimittajille, joiden taustat ja turvallisuuskäytännöt eivät aina ole tiedossa. Automaatiojärjestelmien komponentit voivat tulla maista, joiden geopoliittiset intressit eivät ole linjassa Suomen kansallisen turvallisuuden kanssa.
Strategia nostaa esiin myös valtiollisen kybervakoilun uhkan suomalaisten yritysten aineettomalle pääomalle – IPR:lle, tuotantodatalle ja prosessitiedolle. Tämä uhka ei kohdistu vain suuryrityksiin. Se kohdistuu kaikkiin, joilla on jotain suojattavaa: tuotantoreseptejä, prosessiparametreja, asiakastietoja, kehitysdataa.
NIS2 vastaa tähän toimitusketjun turvallisuuden hallinnalla ja alihankkijoiden riskien arvioinnilla. Mutta käytännössä harva organisaatio tietää tarkasti, kenellä on etäyhteys heidän tuotantojärjestelmiinsä – ja millä ehdoilla.
Teknologinen riippuvuus ei ole vain geopoliittinen kysymys. Se on kysymys, johon sinulla pitäisi olla vastaus jo tänään:
- Tiedätkö, mistä tuotantolinjasi kriittiset komponentit tulevat?
- Kenellä on etäyhteys järjestelmiisi?
- Mitä tapahtuu, jos yksi toimittajasuhde katkeaa tai vaarantuu?
3.Luottamus on turvallisuuskulttuurin perusta – myös tehtaalla
Strategia käsittelee luottamusta yhteiskunnallisena voimavarana. Kriisinsietokyky perustuu paitsi teknisiin rakenteisiin, myös ihmisten keskinäiseen luottamukseen ja yhteiseen tahtotilaan toimia.
Tämä pätee suoraan organisaatiotasolle.
Teollisuuden kyberturvallisuustyössä törmäämme toistuvasti tilanteisiin, joissa ongelma ei ole tekninen – se on kulttuurinen. Automaatiovastaava ei jaa tietoa IT-tiimille, koska pelkää menettävänsä hallinnan omaan ympäristöönsä. Johto ei ymmärrä OT-riskejä riittävästi tehdäkseen oikeita investointipäätöksiä. Kenttähenkilöstö kokee kyberturvan ulkoapäin tulevana pakkona, joka hidastaa työtä – eikä suojele sitä.
Kyberturvallisuusriskien kartoitusta ei monessa tuotantoympäristössä ole vielä edes tehty kunnolla. Ja kun syytä etsitään, se ei useimmiten ole tekninen – se on kulttuurinen. Eri toimijat eivät puhu samaa kieltä, eivätkä aina luota toistensa arvioon.
NIS2 edellyttää johdon vastuullisuutta kyberriskeistä. Se on oikea vaatimus – mutta johdon vastuullisuus syntyy vasta silloin, kun johto ymmärtää, mistä on kyse. Ja ymmärrys syntyy vasta silloin, kun kyberturvallisuus käännetään liiketoiminnan kielelle: mitä tämä tarkoittaa tuotannon jatkuvuuden, henkilöturvallisuuden, laadun ja kilpailukyvyn kannalta?
Turvallisuuskulttuuri ei rakennu pelkästään direktiiveistä. Se rakentuu yhteisestä ymmärryksestä siitä, mitä suojelemme ja miksi. Tämä on työ, joka tehdään ihmisten kanssa – ei järjestelmien.
4. Kriisinsietokyky tarkoittaa varautumista pahimpaan – ei vain todennäköisimpään
Strategia kirjaa kriisinsietokyvyn perustaksi kyvyn ylläpitää yhteiskunnan elintärkeät toiminnot kaikissa olosuhteissa. Se edellyttää riskien tunnistamista, arviointia ja ennakointia.
Tässä on kohta, jossa perinteinen todennäköisyyspohjainen riskianalyysi pettää teollisuuden tuotantoympäristöissä.
Todennäköisyyspohjainen ajattelu kysyy: ”Kuinka todennäköistä on, että tähän järjestelmään kohdistuu hyökkäys?” Vastaus on usein: ei kovin todennäköistä. Ja siksi toimenpiteet jäävät tekemättä.
Seuraamusperusteinen ajattelu kysyy toisin: mitä tapahtuu, jos pahin toteutuu – ja olemmeko siihen varautuneet?
Tämä on Kumpu Consultingin ”Varaudu pahimpaan” -menetelmän ydin. Se ei tarkoita pelottelua tai ylivarovaisuutta. Se tarkoittaa, että toimenpiteet kohdistetaan sinne, missä seuraukset ovat vakavimmat – henkilöturvallisuuteen, tuotannon jatkuvuuteen, tuotteen laatuun tai IPR-suojaan.
Vanha laitekanta tekee tästä erityisen ajankohtaisen haasteen. Järjestelmät, joita ei voi päivittää, eivät katoa tuotannosta – ne täytyy suojata muilla keinoilla. Geneerinen standardi kuten IEC 62443 antaa hyvän viitekehyksen, mutta se ei kerro, mitkä toimenpiteet ovat juuri sinun ympäristössäsi kriittisimpiä.
Seuraamusperusteinen riskianalyysi täydentää standardeja räätälöimällä toimenpiteet kone- ja järjestelmäkohtaisesti – liiketoiminnan vaikutusten perusteella. Se on tapa täyttää NIS2-vaatimukset tavalla, joka oikeasti toimii tuotantoympäristössä.
Strategia ja NIS2 sanovat saman asian eri tasolta
Kansallinen turvallisuusstrategia ja NIS2-direktiivi lähestyvät samaa ongelmaa eri suunnista. Strategia katsoo yhteiskunnan tasolta alas. NIS2 katsoo organisaation tasolta ylös. Mutta molemmat päätyvät samaan johtopäätökseen:
Turvallisuus ei rakennu pelkistä järjestelmistä, protokollista tai compliance-suorituksista. Se rakentuu siitä, että tunnistetaan oikeat riskit, ymmärretään niiden vaikutukset ja toimitaan sen mukaisesti – yhdessä.
Teollisuuden tuotantoympäristöissä tämä työ alkaa aina samasta paikasta: liiketoiminnan vaikutuksista.
Mitä me oikeasti suojelemme? Kenen turvallisuudesta vastaamme? Mitä tapahtuu, jos pahin toteutuu?
Kun nämä kysymykset on vastattu, myös tekniset toimenpiteet saavat oikean painoarvon.
Vastaa