Uuden ajan kyberaseet ovat digitaalisia ja näkymättömiä, joten kukaan ei tiedä, kuinka paljon ja kuinka tehokkaita aseita kukin valtio rakentaa.

Se kuitenkin tiedetään, että suurval­tojen ja sellaiseksi havittelevien raken­telemat kyberaseet ovat valtavia koodi­ryppäitä, joilla voitaisiin kaataa esimer­kiksi vieraiden valtioiden sähköverkkoja, verkkopankkeja tai öljykuljetusten logis­tiikkaa sääteleviä tietoverkkoja. Aseilla voitaisiin iskeä valtioiden elintärkeisiin toimintoihin ja kriittiseen infrastruktuu­riin siten, että valtiot lamautuisivat ilman laukaustakaan.

”Pandoran lipas on nyt avattu, ja sitä on vaikea sulkea. Varsinaista kybersotaa ei ole vielä käyty, mutta yksittäisiä kyberiskuja on jo nähty”, sanoo Jyväskylän yliopiston tietotekniikan laitoksen tut­kija, sotatieteiden tohtori Martti Lehto.

Lehto viittaa esimerkiksi vuonna 2010 Iranin Natanzin uraaninrikasta mosta löydettyyn Stuxnet-virukseen, jol­la Yhdysvallat onnistui viivästyttämään Iranin ydinohjelmaa muutaman vuoden.

Muistitikulla Iranin ydinlaitokseen ujutettu Stuxnet sormeili uraania rikas­taneiden sentrifugien pyörimisnopeuksia, ja laitteet hajottivat lopulta itsensä.

Ilmiö on kuitenkin paljon vanhempi: Yhdysvallat teki yhden ensimmäisistä kyberiskuistaan jo vuonna 1982.

Yhdysvaltalaisviranomaisten mukaan Neuvostoliitto varasti tuolloin kanada­laisyritykseltä öljyputkiston hallintaohjelman, johon oli varkaiden tietämät­tä ohjelmoitu haitallista koodia. Kun Neuvostoliitto käytti ohjelmaa Siperian halki kulkeneessa öljyputkistossa, haitta­ohjelma aktivoitui putkiston painetestin aikana, nosti paineen yli putkiston kesto­kyvyn ja aiheutti räjähdyksen. Neuvosto­liiton öljytulot kärsivät jopa vuoden ajan.

Viimeaikaisista verkkohyökkäyksistä julkisuuteen ovat nousseet esimerkiksi Is­raeliin kohdistuneet iskut Gazan pom­mitusten aikana. Hakkeriryhmä Anony­mous on ilmoittautunut olleensa iskujen takana.

Lokakuun lopulla kohuttiin Saudi-Arabian valtiolliseen öljy-yhtiöön Aramcoon tehdystä kyberiskusta, jonka aiheutti Shamooniksi ristitty virus. Se pyyhki tiedot kolmesta neljänneksestä Aramcon tietokoneista. Öljyntuotanto ei häiriintynyt, mutta yhtiö joutui sul­kemaan sisäisen tietoverkkonsa. Iskua pidettiin toistaiseksi tuhoisimpana yri­tykseen kohdistuneena kyberilkivallan­tekona, ja Yhdysvallat syytti siitä Irania.

”Bittiparaateja tuskin nähdään tule­vaisuudessakaan”, Jarno Limnéll toteaa.

Limnéllin mukaan valtiot saattavat joutua tekemään aiempaa enemmän kyberiskuja todellisiin kohteisiin, esi­merkiksi terroristi- tai aktivistijärjestöjä tai ”roistovaltioita” vastaan, ja otta­maan iskuista julkisen vastuun. Siten ne osoittavat kyberkyvykkyyttään ja luovat pelotetta.

Kyberiskuihin kuitenkin pätee osit­tain sama logiikka kuin ydinpelotteen rakentamiseen aikanaan: sekä kyber- ettäydinaseita voidaan teoriassa käyt­tää strategisiin iskuihin esimerkiksi estämään vihollisen toimintaa, mutta odottamattomien seurausten ja hallit­semattomien vaikutusten riski on suuri.

Ongelmaksi tulee, kuinka osoittaa iskuilla kykyä ja voimaa mutta iskeä siten, ettei tilanne pääse eskaloitumaan. Esimerkiksi Yhdysvallat toteaa kyber­puolustusstrategiassaan, että valtiolla on oikeus vastata kohtaamaansa kyber­hyökkäykseen sekä kyberasein että ta­vanomaisin keinoin: tankein, hävittäjin ja ohjuksin.

Siksi esimerkiksi tutkija Martti Lehto suhtautuu kriittisesti oletukseen kyberiskujen kiihtymisestä. ”Valtiot tyytynevät myös tulevaisuudessa uhkailemaan kyberaseillaan enimmäkseen sanoin”, hän toteaa.

Lehdon mukaan suurvallat voisivat esitellä kyberhyökkäämisen kykyjään turvallisesti vain kahden pienen mutta eri suurvaltojen leiriin kuuluvan maan konfliktissa. Jos esimerkiksi Pohjois- ja Etelä-Korea ajautuisivat avoimeen kon­fliktiin, Kiina ja Yhdysvallat voisivat osallistua kiistaan häiritsemällä vasta­puolen suojattivaltion kriittisiä digitaa­lisia verkostoja.

Kiina aikoo iskeä ennalta

Valtioista etenkin Kiina kehittää kyberaseita kilpaa Yhdysvaltain kanssa. Tois­taiseksi Yhdysvallat näyttää johtavan kilpailua Stuxnetin ansiosta.

”Stuxnet oli voimakas poliittinen viesti”, Jarno Limnéll sanoo. ”Yhdys­vallat osoitti, että sillä oli ainutlaatuista kyberhyökkäyskapasiteettia jo muutama vuosi sitten.”

Yhdysvaltain mukaan maassa ei kuitenkaan ole tarpeeksi kyberavaruu­den asiantuntijoita suurvallan nykyisiin tarpeisiin. Pentagon on ilmoittanut, että sillä on käytössään tuhatkunta maailmanluokan kyberammattilaisia, kun todellinentarve on 20 000–30 000.

Kiina puolestaan julisti jo vuonna 2007 aikovansa rakentaa kyberpuolus­tuksesta ydinpuolustukseen verrattavan kyvyn. Asiantuntijoiden mukaan kyber­kyvyt ovat Kiinalle tärkein niin sanottu asymmetrinen keino, jolla tasapainottaa Yhdysvaltain perinteistä sotilaallista yli­valtaa.

Kybermaailman rauhanvälitykselle on tilausta. Se voisiolla mahdollisuus Suomen kaltaiselle maalle.

Asymmetrisyydellä tarkoitetaan sotatieteissä tilannetta, jossa mahdollisen sodan osapuolten sotilaallinen vahvuus, taktiikat tai strategiat eroavat toisistaan merkittävästi.

Kiinan kybersotajoukkojen koosta on vain arvauksia, ja nykyinen arvio on noin 180 000 henkeä. Lisäksi Kiinassa on tuhansien aktiivisten hakkereiden yhtei­sö, joka osallistuu myös valtiojohtoisiin iskuihin. Vuonna 2009 kiinalaishakkerit onnistuivat murtautumaan sekä Yhdys­valtain sähköverkkoon että asevoimien hävittäjäohjelmaan. Pentagon myönsi, että kiinalaishakkereiden onnistui kopi­oida tietoja hävittäjäohjelmasta – ja jos niitä saatiin tarpeeksi, Kiina voi raken­taa itselleen vastavoimaa tai kopioida samanlaista teknologiaa itselleen.

Nyt Kiinan kyberstrategia perustuu ajatukseen ennaltaehkäisevistä iskuista, joilla mahdollista vihollista estettäisiin käyttämästä fyysistä voimaa. Siten Kiina voisi teoriassa estää Yhdysvaltoja puut­tumasta esimerkiksi konfliktiin Taiwa­nin asemasta. Merkittävää on, että isku­ja voitaisiin Kiinan strategian mukaan käyttää myös rauhan aikana.

Töitä kyberrauhanvälittäjille

Lisäksi kyberkilvassa ovat asiantuntijoi­den mukaan aktivoituneet ainakin Venä­jä ja Japani sekä Nato-maista Britannia ja Saksa. EU:n turvallisuusstrategiaan kyberuhat liitettiin vuonna 2008.

Natossa kukin jäsenmaa on vas­tuussa omasta kyberpuolustuksestaan, mutta jäsenmaat toimivat myös yhdes­sä. Kuluvan vuoden loppuun mennessä puolustusliitolla on määrä olla käytös­sään kyberavaruudessa toimiva nope­an toiminnan joukko, vuorokauden varoitusajalla operoiva kuuden asiantun­tijan ryhmä. Se on jäsenmaiden apuna, jos ne joutuvat kyberiskujen kohteeksi.

Lisäksi Natolla on Tallinnassa toi­miva kyberkeskus, joka kerää tietoa ja kouluttaa Naton jäsen- ja kumppanimai­ta esimerkiksi kriittisen infrastruktuurin suojelemisessa. Keskus ei ole osa Naton komentoketjua. Suomi osallistui keskuk­sen kyberharjoitukseen viime keväänä.

Puolustusliiton turvatakuut pätevät teoriassa myös kyberhyökkäyksissä. Siitä ei kuitenkaan ole Naton-laajuista yhteis­ymmärrystä, millainen kyberisku määritel­lään varsinaiseksi aseelliseksi hyökkäyk­seksi ja kuinka kyberiskuihin vastataan. Kun Venäjältä kohdistettiin kyberiskuja Viroon patsaskiistan yhteydessä vuonna 2007, turvatakuita ei käytetty, koska is­kujen tekijää ei pystytty tunnistamaan.

Kyberkonflikteihin eivät myöskään puutu erikseen mitkään kansainväliset sopimukset. Perinteistä sodankäyntiä säätelevien Geneven sopimusten mu­kaan voimaa saa konfliktissa kohdistaa vain taisteluihin osallistuviin sotilaisiin. Siviileitä on suojeltava, ja sodan sivuvaikutukset on minimoitava. Kybersotaan humanitaarisen oikeuden säännöt soveltuvat vain osittain.

”Kybermaailmassa esimerkiksi soti­laan ja siviilin määrittäminen on vaikeaa. Jos isku kohdistuu esimerkiksi sähkö­verkkoon, todennäköisesti etenkin siviilit kärsivät”, Martti Lehto toteaa.

Jarno Limnéll puolestaan kuvailee kyberavaruutta ”villiksi länneksi”. Hä­nen mukaansa kansainvälisen yhteisön pitäisi pikimmiten aloittaa keskustelu kybermaailman kansainvälisen normis­ton luomiseksi.

”Kybermaailman rauhanvälitykselle on tilausta. Se voisi olla mahdollisuus Suomen kaltaiselle maalle.”

Juttua varten on haastateltu myös virolaistakyberturvallisuuden tutkijaa Häly Laasmea.