Anu Vehviläinen pitää tärkeänä, että Suomessa olisi hyvä kyberturvallisuuden koordinaatio. Kuva: Sanna RaViime syksynä eduskunnassa tapahtui vakava kybervakoiluyritys, jossa yritettiin tunkeutua eduskunnan tietojärjestelmiin. Hyökkäys havaittiin eduskunnan sisäisessä teknisessä valvonnassa, ja joidenkin kansanedustajien sähköpostitilien tietoturva vaarantui.
Eduskunnan puhemiehen Anu Vehviläisen mukaan tietomurrosta on keskusteltu erityisesti eduskunnan tietohallinnossa, mutta myös virkamieskunnassa ja edustajien kesken. Talvella ulkoasiainvaliokunta käsitteli ulko- ja turvallisuuspoliittista selontekoa. Vehviläinen arvelee, että kyberturvallisuus on saanut valiokunnassa erityishuomiota hyökkäyksen vuoksi.
Mikä oli ensireaktiosi tietoon?
Totta kai olin yllättynyt. Olin kuitenkin tietoinen Norjan parlamenttiin viime elo-syyskuussa tehdystä hyökkäyksestä. Ajattelin silloin, että jos täällä Pohjoismaissa voi sattua tällaista, sama voi tapahtua joskus Suomessakin. Kun sain tiedon murrosta, keskusrikospoliisi oli jo aloittanut esitutkinnan ja tietenkin eduskunnan johto antoi kaiken tukensa tutkintaan.
KRP tutkii tapausta rikosnimikkeillä törkeä tietomurto, törkeä vakoilu ja törkeä viestintäsalaisuuden loukkaus. Tiedetäänkö miten tunkeutuja pääsi sisään?
En voi mennä yksityiskohtiin, mutta supo on kertonut julkisuudessakin, että se havaitsi tämän tyyppistä liikehdintää jo varhain viime vuonna ja oli siitä yhteydessä eduskuntaan. Viime syksynä eduskunta teki itse varsinaiset havainnot. Tämä on erittäin vakava tapaus, mutta on tärkeää, että tehdään hyvää yhteistyötä eri tahojen välillä.
Millaista yhteistyötä eduskunta tekee kansallisten turvallisuusviranomaisten kanssa?
Tämän tapauksen osalta on selvää, että KRP on tutkiva organisaatio eli teemme poliisiviranomaisyhteistyötä. Muissa oloissa kyberturvallisuuskeskus on tärkeä sekä eduskunnalle että monelle muullekin taholle. On selvää, että eduskunnan tietoturvan yksityiskohtia ei voi käsitellä julkisuudessa.
Kybervakoilun takana oli niin sanottu APT31-operaatio, joka liittyy Kiinan valtiolliseen kybertoimintaan. Miten suurena uhkana näet autoritääristen valtioiden toteuttaman verkkovakoilun?
Kaikki vakoilu on erittäin vakavaa, olipa se julkisten, valtiollisten tai yksityisten tahojen tekemää. Mutta kieltämättä, jos taustalla on valtiollisia tahoja, on erityisen vakavaa mikäli vakoilu kohdistuu päätöksentekoon ja demokratiaan, jota eduskunta Suomessa ylimpänä päätöksentekoelimenä toteuttaa.
Vastasin viime vaalikaudella hallituksessa julkisen puolen digitalisaatiosta ja seurasin jonkin verran myös kyberturvallisuuskeskustelua. Aivan viime aikoina on nähty, miten tekoäly on tullut mukaan kyberturvallisuusuhkiin, vaikkapa deep fake -videoissa. Kun kybertoimintaa ja informaatiovaikuttamista käytetään yhdessä, se kertoo tämän päivän uhkien monimuotoisuudesta ja kekseliäisyydestä.
Keskusteliko supo attribuonnista eduskunnan kanssa?
En voi mennä yksityiskohtiin, mutta totta kai meidän tietoturva- asiantuntijamme ja tietohallinto keskustelevat supon kanssa.
Kybervakoilu on lisääntynyt erityisesti nyt, kun perinteinen henkilötiedustelu on pandemian matkustusrajoitteiden takia vähentynyt. Millaisia toimenpiteitä eduskunnassa on tehty tietomurron jälkeen?
Nyt on eletty jo yli vuosi korona-aikaa ja puhemiesaikanani kaikki kontaktointi muiden maiden puhemiesten kanssa on tapahtunut etäyhteyksillä. Totta kai tämä on lisännyt kyberturvallisuuden uhkia. Kun käymme keskusteluja kollegoiden kanssa, ymmärrämme hyvin, että esimerkiksi Teams [tiimiyhteistyökalu] ei ole tietoturvallinen.
En voi kuvailla yksityiskohtaisesti toimia, mutta eduskunnassa pitää olla riittävän hyvä resursointi tietoturvan tukemiseen, varmistamiseen ja uudistamiseen. Tarvitaan teknisiä valmiuksia sekä käyttäjien omaa kyberosaamista. Kyberturvallisuuskeskuksen tietoturva-asiantuntijat ovat antaneet kansanedustajille koulutusta eli uhkiin varaudutaan monitasoisesti.
Miten huomioit tietoturvan vapaa-ajallasi?
Kyberhyökkäys on herätellyt minuakin ja olen ottanut oman talon opastusta vastaan. Luulen, että olen aika peruskäyttäjä. Mutta tiedän, että monet ikäihmiset ovat todella huolissaan omasta tietoturvastaan. Kyberturvallisuuden kehittämisohjelmassa on ajatus viedä kyberturvallisuuskoulutusta kouluihin, mutta mielestäni myös ikäihmisten ja työelämän ulkopuolella olevan aikuisväestön kybertaitoja tulisi vahvistaa tavalla tai toisella. Ehkäpä tarjolla voisi olla eräänlaisia kansalaisen kyberkursseja.
