Ikiysäri

Samoihin aikoihin tehtiin tietoturvaan liittyviä perusteknologian hankintoja. Palomuuri ja virustorjunta päätelaitteissa suojasivat meitä kaikelta pahalta. Vaikka musiikissa ”ikiysäri” saakin jatkua, niin tietoturvan kannalta tämä vuosikymmen saisi jo pikkuhiljaa loppua. 2010-luvulla maailma on pysyvästi muuttunut.

Tilallisten aika

1990-luvun kuumimpia keksintöjä oli tilallinen palomuuri. Stateful Packet Inspection (SPI) -palomuurissa määriteltiin, minkä verkkoliitynnän takaa liikenne on syntynyt ja tilataulun perusteella liikenteelle sallittiin paluuliikenne takaisin verkkolaitteelle.

Tämän nimeen vannottiin ja luotiin mielikuva, missä kaikkiin turvallinen syntyy verkon sisäpuolella ja kaikki turvaton on verkon ulkopuolella. Palomuurien verkkoliityntöjen nimet saattoivat jo oletuksena olla esim. Inside ja Outside. Muuten hyvä, mutta mitäpäs sitten, kun työntekijän kannettava tietokone saastuu kotona ja se tuodaan töihin. Se liitetään verkkoon kiinni. Nimenomaan siihen sisäverkkoon (Inside) ja nyt palomuuri iloisesti toivottaa haittaohjelman tervetulleeksi kommunikoimaan muihin verkkoihin (Outside). Ongelma tiedostettiin, mutta sen kanssa elettiin.

Muistan erityisen hyvin Microsoftin tietoturvastrategikko Katie Moussouriksen luennon, jossa hän loistavasti kritisoi asiaa seuraavasti: ”Internet is not out there, it´s here”. Tarkoittaen siis sitä, että kaikki laitteet on suojattava siten kuin niihin olisi suoraan suojaamaton Internet-yhteys. Minusta tämä on erinomainen periaate kaikessa tietoturvassa.

Me elämme hajautetun sovellusten aikakautta, jossa sovellusten osia toteutetaan eri paikoista eli voidaan sanoa, että tilallisten palomuurien aika on ohi. Nyt tarvitaan jotakin muuta suojaamaan meidän tietojamme.

Postimies tuo teille pörriäisen

1990-luvulla roskaposti löi itsensä näemmä pysyvästi läpi. Ongelma on varmasti koskettanut meitä jokaista joskus, mutta yksi asia on edelleenkin fakta. Tämä mekanismi on edelleen suosittu menetelmä tartuttaa haittaohjelmia.

Muistan itse naureskelleeni 1990-luvun lopussa saamilleni roskaposteille, joissa suomen kielen käyttäminen oli sangen värikästä. Mutta voi Army of Lovers sentään, miten tilanne on edelleenkin akuutti. Nyt olemme suurimmaksi osaksi jääneet taas 1990-luvun rakenteeseen tämänkin osalta. Nimittäin hyvin harva yritys hyödyntää sähköpostin tietoturvaominaisuuksia laajemmin kuin haittaohjelmasuodatuksen ja/tai mainesuodatuksen osalta. Tarjolla meinaan on vaikka mitä lisäominaisuuksia täydentämään näitä jo rippikouluiän täyttäneitä perusmekanismeja.

Näytteenoton ihanuus ja kurjuus

Virustorjunta on keksitty mekanismina 1980-luvulla, mutta se tuli ensimmäistä kertaa laajaan tietoisuuteen 1990-luvulla. Tällä vuosikymmeneltä löytyy havainnot esimerkiksi Norton Anti-Virus -tuotteesta, EICAR -testiviruksesta ja AV-Test-näytekannasta. Vuona 1994 AV-Test-näytekannassa oli 28613 näytettä. Vuonna 2017 F-Secure ilmoittaa ottavansa päivässä vastaan yli 500 000 uutta haittaohjelmanäytettä.

Tämä pistää miettimään mekanismin kestävyyttä ja sitä, kuinka nopeasti päivitykset tapahtuvat ja ennen kaikkea sitä, kuinka hyvän suojan virustorjunta mekanismina meille antaa, jos haittaohjelmat ovatkin tulevaisuudessa kertaluonteisia, suoraan kohdistettuun organisaatioon tai käyttäjään tehtyjä kokonaisuuksia. Täytyy muistaa, että tässä mekanismissa on olennaista kerätä näytteitä, testata niitä ja laittaa virustorjuntaohjelmille päivitykset uusista uhista.

Mitä, Missä, Milloin?

Vuonna 2017 on syytä oikeasti ravistella 1990-luvun tunkkaista tietoturva-arkkitehtuurin rakennetta. Ehkäpä pyhä kolminaisuus virustorjunta, palomuuri ja roskapostinsuodatus eivät olekaan organisaation kannalta riittäviä tietoturvaratkaisuja enää.

Minusta organisaatioitten tulisi oikeasti miettiä, mitä tietoturva tarkoittaa organisaatiolle ja millä mekanismeilla niitä suojataan. Elämme verkottumisen ja hajautettujen sovellusten aikaa, jossa käytämme jatkuvasti eri laitteita ja eri verkkoja. Tämä vaatii tietoturvan uudelleen ajattelemisen jossakin vaiheessa. Se ei tarkoita välttämättä kaikkien hyvien perusmekanismien purkamista, vaan pikemminkin täydentämistä. 

Nyt laitan Alannah Mylesin Black Velvet -kappaleen soimaan CD-soittimelta ja taannun hetkeksi 90-luvulle.