Kyberrikollisuus on liian helppoa

Uusi turvallisuus -foorumi matkusti 1.-5.12. 2013 Kööpenhaminaan katsomaan, minkälaisia uuden turvallisuuden ratkaisuja Tanskassa on keksitty. Tässä sarjassa osallistujat blogaavat matkalta itseään inspiroineesta aiheesta.

Bittien maailman uhkista kyberrikollisuus on se, joka koskettaa meidän jokaisen arkipäivää – valitettavasti. Rikolliset ovat enenevissä siellä missä rahatkin, kybermaailmassa. Niin yksilö, yritys, järjestö kuin valtio voi joutua kyberrikoksen uhriksi. Yksittäisten tekijöiden tunnistaminen ja kiinni saaminen on haastavaa, ja samalla kyberrikollisus muuttuu yhä järjestäytyneemmäksi. Hyökkäystekniikat ovat kehittyneet viime vuosina, kun niiden takana olevat rikollistahot ovat alkaneet erikoistua ja jakaa tietoa keskenään. Varautuminen ja suojautuminen kyberrikollisuutta vastaan alkaa ‒ jälleen kerran ‒ omista toimintatavoistamme ja perusasioiden kuntoonlaittamisesta.

Uuden turvallisuuden foorumin yksi vierailukohde Kööpenhaminassa oli tanskalainen kyberrikollisuuden torjuntaan erikoistunut yritys, CSIS Security Group. Kyberrikollisuuden ymmärtäminen ja sen mahdollisimman tehokas estäminen on yksi osa uutta turvallisuutta.

Kyberrikoksen käsitettä käytetään yleensä kuvaamaan niin perinteisiä tietokoneisiin kohdistuvia rikoksia kuin verkkorikollisuutta. Kyberrikos on tapahtuma, jossa tietokoneet ja/tai -verkot ovat rikollisen toiminnan välineitä, kohteita tai rikoksen tekemisen paikka. Kyberrikollisuus on moniulotteinen ilmiö eikä rajanveto perinteisempään rikollisuuteen ole aina yksiselitteistä. Se, milloin on kyse kyberrikollisuudesta ja milloin ei, on harkittava aina tapauskohtaisesti. Kybermaailma joka tapauksessa tuottaa ilmiöitä, jotka ovat enemmän kuin pelkkää tieto- ja kommunikaatioteknologiaa ja siihen suoraan kohdistuvaa rikollisuutta. Bittien maailma ei välitä fyysisen maailman rajoitteista ja saa ihmiset käyttäytymään eri tavalla kuin he ehkä fyysisessä maailmassa käyttäytyisivät. Esimerkiksi musiikin tai elokuvien luvatonta internet-lataamista ei monikaan miellä varkaudeksi samalla tavalla kuin CD:n tai DVD:n viemistä kaupasta tai vuokraamosta. Netti-identiteetin häilyvyys, (näennäinen) anonymiteetti ja kiinni jäämisen pieni riski vaikuttavat yksilöiden harkintaan.

Kyberrikosten tekijät vaihtelevat yksittäisistä hakkereista ja aktivistiryhmittymistä yritysten ja valtioiden suorittamaan tai sponsoroimaan vakoiluun sekä järjestäytyneen rikollisuuden toimintaan. Kohteina voivat olla niin yksilöt ja pienyritykset kuin monikansalliset yritykset ja valtiolliset organisaatiot. Kybermaailmassa rikoksen uhriksi joutumisen todennäköisyys on suurempi kuin fyysisessä maailmassa. Kyberrikosten yleisyyttä koskevat tilastot ovat kuitenkin vain suuntaa-antavia, sillä osaa rikoksista ei huomata tai tunnisteta. Tällöin niitä ei myöskään raportoida. Isona ongelmana voi pitää kyberrikollisuuden ”turvallisuuden illuusiota”, jossa turvallisuuden todellisuus ja tunne eivät kohtaa. Monet yritykset pysyvät hijaa kyberrikoksen kohteeksi jouduttuaan, pääasiassa siksi, ettei yritys menettäisi mainettaa ja uskottavuuttaan asiakkaidensa silmissä. Tällöin turvallisuuden (tai paremminkin turvattomuuden) todellisuus ja turvallisuuden tunne eivät kulje käsi kädessä. Turvallisuuden luullaan olevan parempi kuin mitä se todellisuudessa on.

Arvioiden mukaan noin 80 prosenttia kyberrikollisuudesta on jollakin tapaa järjestäytynyttä. Vakavimmasta kyberrikollisuudesta on tullut monimutkainen, globaali hierarkkinen rakennelma, jolla on omat johtajansa, insinöörinsä, työmyyränsä ja palkatut rahan vastaanottajat ja välittäjät. Organisoitunut kyberrikollisorganisaatio siis muistuttaa laillisen monikansallisen yrityksen rakennetta.

Kaikkia kyberhyökkäyksen aiheuttamia vahinkoja tai kerrannaisvaikutuksia ei pystytä arvioimaan ja muuttamaan menetetyn rahan arvoksi. Miten lasketaan tietomurron myötä menetetyn teknologisen etulyöntiaseman kustannukset, tai kuinka arvioidaan menetettyjen tulevaisuuden työpaikkojen määrä, kun kasvuyritys onnistuneen kyberhyökkäyksen vuoksi ajautuu taloudellisiin vaikeuksiin? Kyberrikollisuuden kokonaiskustannus on joka tapauksessa merkittävä ja kehityssuunta on huolestuttava. Esimerkiksi tietoturvayhtiö Symantec arvioi vuonna 2012 tietomurtojen keskimääräisen kustannuksen henkilöä kohden olleen 194 dollaria Yhdysvalloissa, 191  dollaria Tanskassa ja 159 dollaria Ranskassa. Tietoturvayhtiö McAfee arvioi puolestaan kyberrikollisuuden ja -vakoilun aiheuttamien globaalien kustannusten olevan 300 miljardin ja triljoonan dollarin välimaastossa. Tämä tarkoittaa 0,4‒1,4 prosenttia globaalista bruttokansantuotteesta.

Kyberrikollisuuden torjunta edellyttää laajaa kansainvälistä yhteistyötä, sillä tämäkään kyberuhka ei välitä valtioiden maantieteellisistä rajoista. Hyvä esimerkkinä yhteistyön tiivistämisestä on pohjoismaiden poliisiylijohtajien syksyinen päätös tehostaa tiedustelutietojen vaihtoa, perustaa yhteisiä tutkintaryhmiä sekä tiivistää yhteistyötä kyberrikollisuuteen liittyvien ilmiöiden analysoinnissa ja torjunnassa.

Kyberrikollisuus ja sen aiheuttamat vahingot ja menetykset vähenisivät oleellisesti, jos sen todennäköiset kohteet ‒ erityisesti yritykset ja yksilöt ‒ olisivat tietoisempia kybertoimintaympäristöstä ja sen sisältämistä uhkista. Yleisen tietoisuuden lisääminen ja perusasioiden kuntoonlaittaminen ovat hyvin tärkeitä keinoja kyberrikollisuuden torjunnassa. Taloudellista hyötyä tavoittelevilla kyberrikollisilla on tapana mennä sieltä missä aita on matalin, ja aidat ovat usein hyvin matalalla – ihan turhaan.

Kyberrikollisuus ei ole katoamassa minnekään; päinvastoin, se järjestäytyy ja muuttuu tehokkaammaksi. Tämän vuoksi on tärkeää kehittää myös lainsäädäntöä, todisteiden keräämisen ja analysoimisen menetelmiä, lainvalvojien ja palveluntarjoajien koulutusta, sekä luoda erikoisosaamista kyberrikollisuuden tutkimukseen ja kansainväliseen yhteistyöhön. Yhtä tärkeää on huolehtia siitä, ettei turvallisuuden tuottamisen nimissä tehdä ylilyöntejä.