Irlannin virastot ostivat FSB-kytköstyökalun

Kolme Irlannin valtion virastoa käytti hiljattain yhteensä 13 281 euroa Passwork-nimiseen salasananhallintaohjelmaan (Irish Times). Summa oli niin pieni, ettei se todennäköisesti herättänyt hankinnoissa erityistä huomiota. Vastineeksi virastot saivat järjestelmän, johon tallennetaan työntekijöiden salasanat sisäisiin järjestelmiin, pilvipalveluihin ja hallintatunnuksiin.

Kuka hallitsee avainnippua

OCCRP:n, Ylen, Le Monden ja The Irish Timesin rajat ylittävä selvitys jäljitti Passworkin yritysrakenteen venäläisiin perustajiin (Yle). Sisar-yhtiöllä oli lisenssejä Venäjän turvallisuuspalvelu FSB:ltä sekä FSTECiltä, joka valvoo muun muassa puolustukseen ja teknologian vientiin liittyviä kysymyksiä (Le Monde). Passwork markkinoi itseään eurooppalaisena ja suomalaisjuurisena yhtiönä. Sen suomalainen yhtiö toimi vuosina 2017–2024, minkä jälkeen myynti kulki espanjalaisen yhtiön kautta. Kaikki kolme irlantilaisvirastoa sanoivat uskoneensa ostavansa EU-toimittajalta (Irish Times).

Tutkinnassa ei löytynyt näyttöä siitä, että eurooppalaisessa versiossa olisi ollut takaportti eli piilotettu pääsy normaalien suojausten ohi, eikä siitä, että asiakkaiden tietoja olisi vaarantunut (Yle). Ero on olennainen. Salasananhallinnassa riski ei kuitenkaan rajoitu siihen, mitä on jo tapahtunut, vaan siihen, mitä järjestelmän kautta olisi mahdollista tehdä.

Salasananhallintaohjelma on pääavainnippu. Sähköposti, tietokannat, pilvipalvelut ja ylläpitopaneelit ovat ovia, joiden avaimia ohjelma säilyttää. Yhdysvaltain kyberturvavirasto CISA kuvaa salasananhallintaa keinoksi käyttää vahvoja ja yksilöllisiä salasanoja, mutta sama keskittäminen kokoaa riskin yhteen paikkaan (CISA). Jos taulukkolaskentaohjelma vaarantuu, yksi työprosessi häiriintyy. Jos tunnusvarasto vaarantuu, hyökkääjälle voi avautua reittejä kaikkeen, mitä se suojaa.

Yksi virasto valitsi Passworkin, koska sen pystyi asentamaan omalle palvelimelle pilvipalvelun sijaan. Paikallinen asennus rajoittaa osaa tiedonkulusta. Se ei poista toimittajariippuvuutta. Ohjelmakoodi päivittyy edelleen kanavista, joita toimittaja hallitsee. Sama koskee tukiyhteyksiä ja asetuksia, jotka jäävät luottamussuhteiksi myös käyttöönoton jälkeen (Le Monde). Jos jokin näistä kanavista vaarantuu, paikallinen palvelin ei yksin suojaa sen sisällä olevia salaisuuksia.

Euroopalla on säännöt, mutta niitä ei käytetty

“EU-pohjainen” kertoo yritysrekisteristä, ei tietoturvasta. Euroopalla on jo välineitä ohjelmistojen luotettavuuden arviointiin. EU:n kyberturvavirasto ENISAn sertifiointikehys tarjoaa mallin tuotteiden riippumattomaan arviointiin (ENISA). Vuonna 2024 hyväksytty kyberresilienssisäädös luokittelee salasananhallintaohjelmat tuotteiksi, joilta edellytetään dokumentoituja tietoturvakontrolleja ennen pääsyä EU-markkinoille (CRA). Ranskan kansallinen kyberturvavirasto suosittelee virallisesti tietoturvasertifioituja tuotteita. Passworkilla tällaista sertifikaattia ei ollut. NIS2-direktiivi taas velvoittaa sen piiriin kuuluvia organisaatioita arvioimaan toimittajiensa tietoturvakäytännöt, ei vain laskua ja sopimusehtoja (NIS2).

Virastojen tähänastisten julkisten vastausten perusteella eurooppalainen yritysidentiteetti painoi hankinnassa paljon. Hankintojen pitäisi kysyä toisia asioita: kuka hallitsee koodia, kuka voi työntää päivityksiä, kuka hoitaa tukikanavia ja millainen riippumaton tietoturva-arvio tuotteesta on tehty.

Suojelupoliisi ja sotilastiedustelu varoittivat heinäkuussa 2026, että Venäjän FSB:n verkkovakoilu kohdistuu aktiivisesti suomalaisiin yrityksiin heikosti suojattujen yritysverkkolaitteiden kautta (Supo, Kyberturvallisuuskeskus). Varoitukset eivät koske Passworkia erikseen, mutta ne selittävät, miksi FSB-lisenssin saaneen sisaryhtiön pitäisi nostaa ohjelmistotoimittaja tarkkaan riskinarvioon.

Ranskan parlamentti arvioi hiljattain, että noin 80 prosenttia maan keskitetyn hankintaviraston julkisista ohjelmisto-ostoista menee yhdysvaltalaisille kustantajille. Kyse on noin 1,5 miljardista eurosta vuodessa eurooppalaisen ohjelmistotarjonnan ulkopuolelle (Banque des Territoires). Passwork-tapaus näyttää toisen suvereniteettivajeen: eurooppalaisen etiketin taakse voi jäädä epäselvä omistus ja kontrolli. Saksassa NIS2-ohjeistus on jo nostanut toimittajariskit johdon vastuulle. Toimittajien pääsyä järjestelmiin ei voi enää käsitellä pelkkänä IT-ylläpitona (ComplyCheck).

Kun luottamus tunnusvarastoon murtuu, ohjelman poistaminen on vasta alku. Jokainen siihen tallennettu salasana, myös ylläpitotunnukset ja koneiden käyttämät tunnukset, on käsiteltävä mahdollisesti paljastuneena ja vaihdettava. NISTin nollaluottamusmalli varoittaa rakentamasta suojaa yhden luotetun kerroksen varaan (NIST SP 800-207).

Kolmetoista tuhatta euroa osti kolmelle irlantilaisvirastolle salasananhallinnan. Samalla Eurooppa sai esimerkin siitä, mitä tapahtuu, kun hankinnassa tarkistetaan hinta ja EU-merkintä, mutta ei ohjelmiston toimitusketjua, joka vartioi avaimia.