F-Securen johtaja varoittaa digiriippuvuudesta

Sairaalan järjestelmät voivat olla omassa rakennuksessa, palvelimet Euroopassa ja tietoliikenneyhteydet kunnossa. Silti hoitohenkilöstö voi menettää pääsyn potilastietoihin, jos kirjautumista hallitseva ulkomainen palvelu ei enää päästä käyttäjiä sisään.

Tästä F-Securen toimitusjohtaja Timo Laaksonen varoitti Ylen haastattelussa. Euroopan digitaalinen haavoittuvuus ei aina näy kaatuneina palvelinkeskuksina tai katkaistuina kaapeleina. Usein kyse on hallinnasta: kuka päättää, kuka saa avata oven kriittisiin järjestelmiin (Yle).

Oven koodi ei ole Euroopassa

Haavoittuvuus alkaa usein ennen kuin käyttäjä näkee edes sähköpostinsa.

Kun työntekijä kirjautuu järjestelmään, organisaatio tarvitsee tunnistautumispalvelun, joka varmistaa käyttäjän oikeudet. Moni eurooppalainen organisaatio käyttää tähän yhdysvaltalaisten yhtiöiden palveluja. Microsoftin Entra ID on niistä yleisin. Jos palvelu kaatuu tai pääsy siihen katkaistaan, samalla sulkeutuvat kaikki sen takana olevat sovellukset (Hypergate).

Sama koskee pilvipalvelujen hallintaa. Potilastiedot voivat sijaita fyysisesti Frankfurtissa, mutta palvelinten hallintapaneeli, laskutustili ja salausavaimet voivat olla yhdysvaltalaisen emoyhtiön määräysvallassa. Silloin “Euroopassa sijaitseva” ei tarkoita samaa kuin “Euroopan hallitsema” (JRC).

Riippuvuus ulottuu sähköpostiin, tiedostojen tallennukseen, ohjelmistopäivityksiin ja DNS-järjestelmään, joka ohjaa selaimet oikeisiin verkkopalveluihin. Saksalaisen selvityksen mukaan noin 96 prosenttia saksalaisyrityksistä on riippuvaisia tuoduista digiteknologioista. Yhdysvaltalaisten pilviyhtiöiden osuus Euroopan markkinasta on yli 70 prosenttia (egovernment.de).

Kun lukko kääntyi

Kyse ei ole vain teoreettisesta riskistä. Viimeaikaiset tapaukset näyttävät, miten nopeasti pääsy voi muuttua poliittiseksi tai juridiseksi kysymykseksi.

Tekoäly-yhtiö Anthropic sulki osalta käyttäjistä pääsyn uusimpiin malleihinsa noudattaakseen Yhdysvaltain vientivalvontaa. Palvelinta ei tarvinnut irrottaa verkosta. Oikeudellinen velvoite riitti poistamaan digitaalisen kyvykkyyden tietyiltä käyttäjiltä (AP, Reuters).

Alankomaissa tuomioistuin esti yhdysvaltalaista Kyndryliä ostamasta Solvinitya, joka ylläpitää DigiD:tä. DigiD on kansalaisten digitaalinen tunnistusjärjestelmä vero- ja terveyspalveluihin. Perustelu oli Yhdysvaltain lainsäädäntö: CLOUD Act ja FISA voivat velvoittaa amerikkalaisomisteisen yhtiön luovuttamaan tietoja riippumatta siitä, missä ne fyysisesti sijaitsevat. Kansallinen tunnistusjärjestelmä ei voinut jäädä tällaisen oikeudellisen vallan alle (Ius Mentis).

Ranskassa kansalliskokouksen selvitys arvioi, että noin 80 prosenttia julkisen sektorin ohjelmistohankinnoista kulkee yhdysvaltalaisten toimijoiden kautta. Hankintojen arvo on noin 1,5 miljardia euroa vuodessa. Ministeriöt, energiayhtiöt ja liikenneverkot nojaavat toimittajiin, joiden pääsyä voitaisiin periaatteessa rajoittaa poliittisen tai oikeudellisen paineen vuoksi (Banque des Territoires, Clubic).

Varajärjestelmiä, ei kuvitelmia

Eurooppa ei pysty nopeasti rakentamaan omaa versiota koko Yhdysvaltain teknologiakerroksesta. Mittakaavaedut tekevät siitä lähivuosina epärealistista. Mahdollista on silti vähentää vahinkoa, joka syntyy yhden kirjautumiskerroksen, toimittajatilin tai päivityskanavan katkeamisesta.

Ranska vaatii jo, että arkaluonteiseen julkishallinnon käyttöön sertifioituja pilvipalveluja ei saa voida pakottaa luovuttamaan määräysvaltaa vieraan valtion lainsäädännön nojalla (CER). Saksa rakentaa openDesk-nimistä avoimen lähdekoodin työpöytäympäristöä. Euroopan komission teknologiasuvereniteettipaketti käsittelee samaa ongelmaa sirujen, tekoälyn, pilvipalvelujen ja avoimen lähdekoodin kautta (European Commission).

Kyberturvallisuustutkija Mikko Hyppönen muistuttaa, että myös puolustustyökalut voivat muuttua riippuvuuksiksi. Helsingissä asennettu palomuuri voi saada uhkatiedot, virustunnisteet ja ohjelmistopäivitykset ulkomailta. Jos yhteys katkeaa, suoja menettää näkökykynsä (YouTube / Hyppönen).

Käytännön testi on yksinkertainen. Jos sairaalan, kunnan tai ministeriön yksi toimittajatili, tunnistautumispalvelu tai päivitysvirta katoaa huomenna aamulla, pääsevätkö työntekijät yhä kirjautumaan, lukemaan tietoja ja viestimään keskenään? Jos vastaus on kyllä, organisaatiolla on digitaalista liikkumavaraa. Jos vastaus on ei, se ei vielä tiedä varmasti, kuka pitää avainta.