Pääkaupungin liikennevalot sekaisin kesken perjantairuuhkan? Sähköt tai vesi poikki joulunpyhinä? Näppärä sabotööri voi tehdä isoakin kiusaa ja aiheuttaa jopa onnettomuuksia automaatiojärjestelmien puutteellisen suojauksen vuoksi.
Aalto-yliopiston tutkijat löysivät hiljattain tehdyssä kartoituksessaan netistä lähes 3 000 Suomessa sijaitsevaa automaatiolaitetta, joihin kuka tahansa pystyy ottamaan yhteyden. Kartoituksessa etsityt automaatiolaitteet ohjaavat esimerkiksi voimalaitoksia, hälytyksiä ja ovien lukitusta. Monien löytyneiden laitteiden ei todennäköisesti kuuluisi olla julkisesti näkyvillä netissä.
– Meidän analyysimme osoittaa, että olemme paljon huonommassa kunnossa kuin naapurimaat, sanoo professori Jukka Manner Aalto-yliopiston Tietoliikenne- ja tietoverkkotekniikan laitokselta.
Mannerin mukaan vakavan onnettomuudenkin aiheuttaminen tietomurrolla on täysin mahdollista. Jossittelun varaan jää kuitenkin, mitkä netistä löytyneistä laitteista ovat mahdollisesti kriittisiä ja mitkä eivät. Asiaa ei voi edes lähteä penkomaan itse tietomurtoon syyllistymättä.
Yhteiskunnan toiminnan kannalta kriittisiä ovat esimerkiksi energia- ja vedenjakelu. Automaatiojärjestelmiä ei uusita yhtä nopeassa syklissä kuin muuta tietotekniikkaa, ja vaikkapa 1990-luvun tekniikka voi olla sabotööreille helppoa riistaa.
Ainakin teoriassa mahdollista olisi vaikkapa vankilan lukkojen avaaminen netistä käsin. Se edellyttää, että vankilassa on sähköiset lukot ja järjestelmä joka ohjaa niitä, Manner selvittää.
Iranin ydinohjelma on tunnetuin kohde
Viime vuosien ehkä tunnetuin sabotaasi on Iranin ydinohjelman sekoittaminen ilmeisesti muistitikulla järjestelmään ujutetulla Stuxnet-madolla. Kyse on Siemensin Simatic -laitteista, joita löytyi Aalto-yliopiston kartoituksessa suojaamattomina myös suomalaisista automaation kontrollijärjestelmistä.
Mannerin mukaan netin kautta pääsee näin suoraan järjestelmään, johon Iranissa tarvittiin muistitikku.
Ongelmaan on kuitenkin Mannerin mukaan olemassa myös lääkkeitä. Sellainen voisi olla kansallinen järjestelmä, joka käy vaikkapa kerran päivässä läpi kaikki Suomen automaatiojärjestelmät ja raportoi kriittisiksi luokittelemistaan havainnoista tietoturvaviranomaiselle.