# Teollisuusautomaation tietoturva, vieraana Jari Seppälä | 0x18 An episode of [Herrasmieshakkerit](https://invisiblenetwork.ai/podcast/1479000931), 14 Dec 2021, 44 min. Audio: https://anchor.fm/s/11701d3b8/podcast/play/125386832/https%3A%2F%2Fd3ctxlq1ktw2nl.cloudfront.net%2Fstaging%2F2026-8-8%2F431429046-48000-2-f86adfbc3798e221.mp3 Ylämuistialan kartanolla vieraili teollisuusautomaation tietoturvakonkari Jari Seppälä. Modernit yhteiskunnat toimivat tietokoneiden ohjaamien tehtaiden ja laitosten varassa ja Jarilla on niiden tietoturvasta vuosien kokemus. Keskustelimme automaatioympäristöjen suojaamisesta, tunnetuimmista hyökkäyksistä automaatioympäristöjä kohtaan ja kysyimme Jarilta mikä hänen mielestään on automaatioympäristöjen tietoturvan taso tällä hetkellä Suomessa. Vieras: Jari Seppälä https://www.linkedin.com/in/jari-sepp%C3%A4l%C3%A4-29a1886/ Didi Global vastaan Kiinan Kansantasavalta https://www.reuters.com/world/china/china-asks-didi-delist-us-security-fears-bloomberg-news-2021-11-26/ Apple sues NSO Group to curb the abuse of state-sponsored spyware https://www.apple.com/newsroom/2021/11/apple-sues-nso-group-to-curb-the-abuse-of-state-sponsored-spyware/ Apple Details How It Will Warn Victims Of State-Sponsored Attacks https://www.forbes.com/sites/emmawoollacott/2021/11/25/apple-details-how-it-will-warn-victims-of-state-sponsored-attacks/?sh=3606c9d23950 Apple vs. Corellium https://www.washingtonpost.com/technology/2020/12/29/apple-corellium-lawsuit/ Security researcher Stefan Esser releases iPhone & iPad jailbreak detection tool in iOS App Store https://9to5mac.com/2016/05/10/security-research-stefan-esser-releases-iphone-ipad-jailbreak-detection-tool-in-ios-app-store/ Israel restricts cyberweapons export list by two-thirds, from 102 to 37 countries https://therecord.media/israel-restricts-cyberweapons-export-list-by-two-thirds-from-102-to-37-countries/ Raportti - Surveillance Technology at the Fair: Proliferation of Cyber Capabilities in International Arms Markets https://www.atlanticcouncil.org/in-depth-research-reports/issue-brief/surveillance-technology-at-the-fair/ DeepL Translator -käännöspalvelu https://www.deepl.com/translator https://www.deepl.com/translator#fi/en/Herrasmies%20hakkerit%20ovat%20vaikuttuneita%20uuden%20teko%C3%A4ly%C3%A4%20k%C3%A4ytt%C3%A4v%C3%A4n%20k%C3%A4%C3%A4nn%C3%B6skoneen%20sujuvasta%20toiminnasta.%20%0A Kirja: Automaation tietoturva – Kriittisen tuotannon turvaaminen https://www.automaatioseura.fi/julkaisut-kirjakauppa/automaation-tietoturva-julkaisut/ Mobile Phone Museum https://www.mobilephonemuseum.com/ FSMCs https://fsmcs.com/ Poets of the Fall https://poetsofthefall.com/ Captain - Space Debris \[SpaceSynth Remix\] https://youtu.be/n04s64IYI_M ## Transcript [0:06] Tervetuloa herrasmiesreiden vieraaksi ylämuistialan [0:09] kartanolle. Tässä ohjelmasarjassa [0:09] käsittelemme tietoturvaan ja vääjäämättömään kybertuhoon [0:13] liittyviä asioita ja ilmiöitä oppaana ne verkon alamaailmassa [0:16] toimivat suomen tietoturvakentän viralliset vanhukset, mikko [0:19] hyppönen hyvää iltaa ja tomi tuominen. [0:22] Oikein hyvää iltaa ja suoraan asiaan. [0:27] Meillä on jälleen taskuliina uutisia samalla tavoin kuin [0:31] viime vuonna, niin julkaistaan fat cloth kanssa. [0:37] Yhteistyönä tehty rajoitettu erä herrasmies hakkeri taskuliina. [0:43] Kyseessä on hyväntekeväisyysprojektin ja [0:45] viime vuonna meillä oli aiheena herrasmies hakkerit aiheesta [0:48] grafiikkaa. Tällä kertaa meillä on aiheena [0:51] ansi grafiikka. Me ollaan molemmat sen ikäpolven [0:54] kasvattaja, että tän niin sanottu bs eli purkki maailma [0:58] tuli tutuksi ja siellä anssi grafiikka eli oikeastaan [1:02] kukoistus aikaansa saimme välistä tuo projektiin mukaan [1:05] kansainvälisesti arvostetun anssitaiteilija hoo seiskan eli [1:09] antti Kiurun ja täytyy sanoa, että nyt lopputulos kyllä [1:12] näyttää todella hyvältä. Nää on hienon näköisiä. [1:14] Taskuliina ja taskullinen tuotto menee hyväntekeväisyyteen [1:18] kohteena kaikille konetoiminta, jonka tarkoituksena on luoda [1:21] tasa arvoiset mahdollisuudet opiskeluun niin ettei kukaan jää [1:24] opinnoissaan jälkeen tietokoneen puutteen vuoksi. [1:27] Tästä saatte lisää tietoa osoitteesta kaikille konepiste [1:30] fi meidän kainon toiveena tietysti on se, että saataisiin [1:33] luotua seuraavan sukupolven ansitaiteilija. [1:36] No mitäs muuta mikko mä oon tässä katsellut kuulumisia [1:39] liittyen tämmöiseen kansainväliseen Kiinasta [1:41] lähtöisin olevaan suuryrityksen kun diklobal diklobal ei [1:46] välttämättä ole kaikille tuttu. Kyseessä on siis kiinalainen [1:50] tekoälyyn ja kyydinjakopalveluihin. [1:54] Erikoistunut yritys. Kyllä tätä joskus on kutsuttu [1:57] nimellä kiinan uber jättimäinen yritys viidentoistatuhannen [2:01] työntekijän ja kolmenkymmenenneljän miljardin [2:03] euron markkina arvollaan. Itse asiassa didi omistaa osan [2:07] uberista ja uber omistaa osan diilistä. [2:11] Mielenkiintoista kyllä didi on nyt ollut vähän vastatuulessa. [2:15] Kyseinen yritys listautui yhdysvaltoihin new yorkin [2:18] pörssiin kesäkuussa 2000. Kakskytyks ja nyt kiinan cyber [2:23] space administration of china on ryhtynyt painostamaan. [2:27] Pidin ylintä johtoa poistamaan yrityksensä new yorkin [2:31] pörssistä. Minkä takia virallinen syy on [2:34] se, että CAC eli tämä sir space administration of china on [2:38] huolissaan din tietoturvasta ja tietosuojasta? [2:43] Tää on kyllä hurja käänne. Tässä yritys on vastavalmistunut [2:46] pörssiin ja nyt sen pitäisi poistua sieltä kyllä joo ja nämä [2:50] muutamat kuukaudet mitä didi on ehtinyt nyse pörssissä olemaan [2:54] niin sen arvo on romahtanut noin puoleen siitä mikä se oli [2:57] lähteissä ja nyt jos se yhtäkkiä poistetaan pörssistä niin on [3:00] hieman epäselvää että mihin hintansa sieltä mahdutetaan [3:02] lunastaa ja lisätäänkö se uudelleen jonnekin muualle kuten [3:04] vaikkapa shanghain pörssiin erittäin poikkeuksellista ja [3:08] erittäin. Kumman kuuloiset syyt kun [3:10] puhutaan tietoturvasta ja tietosuojasta. [3:12] Mutta kyllä tää viimeistään on aika konkreettinen osoitus [3:15] siitä, että tämmöiset kybertuhoon liittyvät asiat ja [3:18] kansallinen turvallisuus kulkee yhä enemmän käsikädessä. [3:21] Maailmanpolitiikasta ei enää voida välttyä. [3:24] Tää näkyy muissakin ajankohtaisissa kehityksessä. [3:26] Viime aikoina on ollut paljon esillä valtiolliset [3:30] vakoiluohjelmat, erityisesti israelista lähtöisin ohjelmat [3:34] johtuen siitä, että NSO niminen israelilainen yritys on ollut [3:37] paljon länsimaisten jättiyritysten hampaissa. [3:39] Viimeisimpänä esimerkkinä tästä apple hanna sota on käsitelty [3:44] aikaisemminkin herrasmies hakkereiden. [3:47] Ääni julkaisussa, mutta nyt tää viimeisin käänne eli apple on [3:51] antanut lausunnon, että he haastavat nso, n oikeuteen on [3:55] jotain mitä mekään ei osattu odottaa. [3:57] Aina se tunnetaan parhaiten pegasus vakoiluohjelmaastaan, [4:01] josta on versioita tietokoneelle ja aivan erityisesti kännyköille [4:04] mukaan lukien iphonelle ja Android puhelimille. [4:07] Ja nyt apple on siis haastamassa NSA oikeuteen ja erikseen [4:12] kieltämässä, että NSO yritys ei saa enää jatkossa käyttää mitään [4:16] applen tuotteita eikä teknologioita mihinkään. [4:19] Eli siis hakevat oikeuden päätöstä, että yritys ei saisi [4:23] käyttää esimerkiksi iphone. Ja tosiaan tää kanne määrittelee [4:27] erikseen laitteet, ohjelmistot palvelut käytännössä kaiken mitä [4:33] apple yrityksenä valmistaa. Apple siis on todennut, että he [4:36] eivät halua että tän tyyppiset organisaatiot kohdistavat [4:40] hyökkäyksensä applen asiakkaisiin ja yrittivät nyt [4:43] keinolla millä hyvänsä huolehtia siitä, että aina soo jatkossa ei [4:47] pystyisi enää näin tekemään. Apple on myöskin pyrkinyt [4:51] vähentämään tätä tuhoa mitä näillä vakoilutyökaluilla on [4:54] tehty ottamalla yhteyttä uhreihin ja näihin uhreihin [4:56] lukeutuu aika kirjava joukko ihmisiä eli journalisteja. [5:01] Aktivisti ja toisinajattelijoita ja akateemikot kaikille [5:05] kuitenkin yhtenäistä se, että lähtökohtaisesti mikään näistä [5:09] ryhmistä niin ei pitäisi olla uhka kansalliselle [5:12] turvallisuudelle. Apple ei ole tässä ihan [5:14] ensimmäinen yritys. Esimerkiksi google ja microsoft [5:17] ovat jo aikaisemmin samalla tavalla selvittäneet [5:20] valtiollisten hyökkäysten toimintaa ja varoittaneet uhria, [5:23] joista he ovat olleet tietoisia. Apple on myöskin kuvannut [5:25] yksityiskohtaisesti, että millä tavoin näihin uhreihin ollaan [5:29] yhteydessä, minkä takia tää on tärkeätä? [5:32] Se on siinä mielessä aika olennaista, että jos sitä ei ole [5:36] kuvattu. Niin milloin tai miten uhri voi [5:39] tietää, että onko tämä yhteydenotto oikeasti legitiimi. [5:43] Eli tämä estää myös sen, ettei hyökkääjä pystyy naamioitumaan [5:47] ikään kuin applen ja kertomaan, että hei että nyt on tämmöinen [5:50] tilanne vaan siellä on kuvattu hyvin tarkasti että mitkä on ne [5:53] keinot ja millä tavoin niihin otetaan yhteyttä. [5:56] Esimerkiks kirjautumalla omaan icloud tilinsä, niin siellä ne [6:00] tulee suoraan ilmoitus, että olet tämmöisen kampanjan [6:02] kohteena myös kuvataan se, että miten tai muuta tämmöistä [6:07] yhteydenpitokanavaa voidaan käyttää. [6:08] Täytyy muistaa, että näissä hyökkäyksissä kohteena olevat [6:12] uhrit eivät ole mitenkään teoreettisia uhreja. [6:15] Vaan he oikeasti ja aidosti ovat valtiollisten hyökkäysten [6:18] kohteena eli niitten kaikkein kovimpien hyökkäysten kohteena [6:22] ja tän takia on hyvä nähdä myöskin se että apple ilmoitti [6:25] myöskin jatkossa tukevansa ihan suoraan rahallisesti [6:28] tietoturvatutkimusta. Kyseessä ei ole ihan pikkurahat [6:30] vaan 10 miljoonan dollarin lahjoitukset [6:32] tietoturvatutkimuksen plus mahdolliset saatavat mitä tää [6:37] lakijuttu ns. Ota vastaan saattaa tuottaa [6:39] todennäköinen kohden näille lahjoituksille tulee olemaan [6:42] torontossa toimiva sinisen lab ja amnesty internationalin [6:45] tietoturvatutkimukseen erikoistunut yksikkö. [6:51] Nämä kohteet on varmastikin valikoitunut sen perusteella, [6:54] että molemmilla on aiempaa historiaa tämmöisten [6:57] kohdistettujen kampanjoiden tutkimisesta, erityisesti nso, n [7:01] kampanjoiden tutkimisesta. No mitä mieltä sä oot [7:04] tämmöisestä applen suorasta tuesta tietoturvakentälle? [7:07] Tää kuulostaa todella hyvältä, mutta uskon vasta kun näin. [7:11] Miksi näin? Applella on ollut [7:14] historiallisesti suorastaan vihamielinen suhtautuminen [7:17] kaikkiin tietoturvatutkijaoihin, jotka olivat millään tavalla [7:20] koskeneet iossa eli iphonen käyttöjärjestelmää. [7:23] No onko tästä jotain esimerkkejä? [7:25] Parhaimpana esimerkkinä varmaan stefan esser julkaisema system [7:29] and security info niminen sovellususa app store [7:33] sovelluskaupassa, joka mahdollisti muun muassa prosessi [7:36] listauksen näyttämisen ja ylipäänsäkin jonkun asteisen [7:39] diagnostiikan tekemisen ios käyttöjärjestelmälle ja apple [7:43] poisti tän sovelluskaupasta vaan sillä perusteella, että se [7:47] heidän mielestään rikkoi sovelluskaupan. [8:26] Ostaako borelius kun borelius kieltäytyy tästä tarjouksesta [8:30] niin sen jälkeen apple haastoi oikeuteen patenttirikkomuksista. [8:35] No kuulostaa aika ikävältä. Miten apple sitten muuten [8:39] applella on myös hyvin kyseenalainen maine tässä [8:41] haavoittuvuuspalkinto ohjelman käsittelyssä eli vasteajat ja [8:46] kommunikaatio on ollut täysin surkeeta jopa kriittisten [8:49] haavoittuvuuksien osalta. Kommunikointi näiden [8:52] tietoturvatutkijoiden kanssa on ollut erittäin hiljaista ja [8:55] puutteellista ja monesti niihin ei ole kommentoitu millään [8:58] tavalla. Sen lisäksi on tullut hyvin [9:00] epämääräisiä tulkintoja näistä. Haavoittuvuuksista ja silloinkin [9:04] kun niistä on maksettu jotain järjettömällä viiveellä, niin [9:07] niistä ei ole maksettu kunnollista rahaa ja tämä on [9:10] kyllä todella kummallista käytöstä yritykseltä, jolla on [9:14] tämmöinen valuaatio niin applella on yli [9:16] kahdeksankymmenen miljardin vuositulot. [9:18] Varmasti he voisivat background jotain maksaa ja tosiaan apple [9:22] on lähettänyt lakiosaston NSON perään kuten on tehnyt myöskin [9:25] whatsapp ja microsoftin. Täällä on toivottavasti [9:28] lamauttava vaikutus muihinkin yrityksiin, jotka tehtailee [9:32] näitä vakoiluohjelmia ammatikseen. [9:34] Yks esimerkki tämmöisestä lamauttava vaikutuksesta on ehkä [9:38] jo nähty. Israel on nimittäin rajoittanut [9:41] niiden maiden määrää, minne israelilaiset yritykset voivat [9:45] jatkossa toimittaa kyberhyökkäystä, työkaluja tai [9:48] kyberaseita. Tän rajoituksen uskotaan [9:50] liittyvän vahvasti nso on liiketoimintaan, joka on siis [9:53] israelilainen yritys ja tämä rajoitus on aika merkittävä, [9:57] koska ennen tätä niin israelin lain mukaan oli määritelty [10:01] satakaksi maata, minne voitiin toimittaa vakoiluohjelmista. [10:04] Nykyään niitä on enää kolmekymmentäseitsemän joo ja [10:10] listalle jäi aika vähän maita tai alueita. [10:12] Siellä on käytännössä EU, maat ja sveitsi. [10:16] Sitten niin sanotut five maat eli yhdysvallat, englanti, [10:20] kanada, australia ja uusi seelanti. [10:22] Ja sitten vielä 3 maata aasiasta etelä korea, japani ja ehkä [10:27] vähän yllättäen intia. Toki kannattaa muistaa, että [10:30] näitä firmoja on lukuisia muitakin NSN. [10:33] Lisäksi tästä saadaan hyvä näkyvyyttä selaamalla uusinta [10:37] atlantic councilin julkaisemaa raporttia. [10:40] Otsikolla on swans teknologiat the fire pro liberation of fiber [10:45] capabilities in international arms markets, jossa läpi käydään [10:49] eri puolilta maailmaa löytyviä alan yrityksiä. [10:52] Semmoisia yritin ainoana bisneksenä on tehdä [10:55] kyberhyökkäys, työkaluja tai yrityksiä, joilla se on vain [10:58] yksi toiminta alue muitten seassa. [11:01] Mut lista on todella laaja ja kattaa kyllä koko maapallo. [11:04] Tän lista on koostettu alan messujen näytteilleasettajista [11:08] vuosien saatossa ja siellä on kyllä yrityksiä joita voisi [11:12] olettaakin kuten vaikkapa selle bright israelilainen yritys, [11:15] joka on tehnyt muun muassa poliisien käyttöön jo vuosien [11:18] ohjelmistoja ja työkaluja, millä saa ottaa forensiikkaa, [11:21] näytteitä kännyköistä, mutta sitten siellä on esimerkiksi [11:24] ruotsista MSAB, joka ei nyt ihan ensimmäisenä tulisi mieleen, [11:28] että ruotsi olisi merkittävä tekijä. [11:30] Tämmöisten työkalujen saralla ja vaikkapa tämmöinen firma kun 3 [11:33] m, joka nyt ehkä yleensä tunnetaan teippien ja liimojen [11:36] tai postit lappujen valmistajana niin hekin ovat tämän alan [11:39] yrittäjiä. Tässä nyt tuli mainittua [11:41] muutamia nimiä, mutta tää koko lista on kyllä aivan järjettömän [11:45] pitkä. Huomionarvoista on toki se, että [11:47] listalla ei ole yhtäkään suomalaista toimijaa. [11:50] Näin se on ja nyt on varmaan aika kutsua meidän vieraamme [11:53] sisään. Tervetuloa herrasmies [11:56] hakkereiden vieraaksi teollisuusautomaatio, [11:59] tietoturvan konkari jari seppälä, kiitos. [12:02] Me haluttiin kutsua jari meille vieraaksi, koska modernit [12:06] yhteiskunnat toimivat. Tietokoneiden ohjaaminen [12:08] tehtaiden ja laitosten varassa ja jari on työskennellyt näiden [12:12] asioiden parissa vuosia. Haluaisitko vähän kertoa [12:14] itsestäsi ja miten miten päädyit alalle? [12:17] Mulle on ollut tavallaan alusta asti selvää, että haluan. [12:20] Haluan niinku tutkimusmatkalle tavalla tai toisella, oli se [12:23] sitten yliopistoa tai oli se yritysten tutkimuskeskuksia ja [12:27] se oli mulle ala asteikäisenä jo niinku tavallaan selkeätä että [12:30] se on se mitä mä haluan tehdä. Ja niinku sitä kautta päädyin [12:34] sitten Tampereen tekniseen korkeakouluun opiskelemaan ja [12:36] valmistuinvaiheen häämöttäessä. Sitten sinne myöskin myöskin [12:39] töihin ja sillä sillä niin kun polulla olen tavallaan edelleen [12:44] että ainoa mikä erottaa mut niinku tämmöisestä perinteisestä [12:47] yliopistotutkijasta ehkä on se, että oma tutkimusura on [12:51] tämmöistä monitieteellistä ja soveltavaa ja. [12:55] Lähes poikkeuksetta niinku yritysten kanssa koko ajan [12:58] yhteistyössä tehtävää tehtävää tekemästä kuin jotain tämmöistä [13:02] syvällistä. Yksi akateemisen asian kimpussa [13:05] olemista. Miten päädyit sitten automaation [13:08] pariin? No automaatioalalle päädyin [13:10] varmaankin alitajuisen kiinnostuksen koneisiin ja [13:13] tekniikkaan johdattelemana, johon sitten myöhemmin [13:16] kytkeytyy. Myöskin myöskin tietokoneet ja [13:19] tähän tuleekin mieleen lapsuudesta kerrottu tarina [13:22] siitä kuinka äiti niin kun rannekello on purettua. [13:25] Minun hankki sitten niinku erinäköisiä rikkinäisiä [13:27] laitteita niinku purettavaksi, jottei tarvinnut purkaa niitä [13:31] perheelle niinku tärkeitä laitteita sitten enää. [13:34] Tää yhdistettynä sitten tuohon tutkimus haaveeseen niin tuotti [13:38] automaatiotekniikan diplomi insinööri, joka pääaineet oli [13:42] tietokonesäätiö tuotantotekniikka ja vahingossa [13:45] myöskin systeemiteoria, joista viimeisin on ollut sitten niinku [13:48] nykyuraa ajatellen tärkein, koska se opetti, ajattelee ja [13:51] mallintaa systeemeitä ja monimutkaisia järjestelmiä. [13:53] No miten tietoturva liittyy tähän? [13:56] Tietoturva on kytkös tulee opiskeluaika sitten töiden [13:59] kautta jossa pääsin työstökoneet ohjelmia erinäköisestä [14:01] malleista, tietokonemalleista tekevän ohjelmiston [14:05] tukitehtäviin silloisen nordberg lokomon. [14:10] Alihankinta werstaalla ja ja tuolloin yhdeksänkymmentäneljä [14:14] niin internetin alku oli nähtävissä myös [14:16] metalliteollisuuteen kuuluvalla tehtaalla ja päädyinkin sitten [14:20] tekemään koulutusmateriaalia toimistoverkkoihin ja sen [14:22] aikaiseen internetiin liittyen ja tietoverkot ja tietoturva oli [14:26] jo tuolloin osana sitä materiaalia vaikkakin [14:29] sivuroolissa mutta mukana kuitenkin. [14:31] Eli jonkinlainen haju tietoturvan merkityksestä [14:33] automaatio organisaatiossa taisi olla jo tuolloin. [14:36] Tästä tulikin mieleen että että niin tota kaikille nörteille [14:39] niin onnistuin kääntämään emäksiä IPMI ympäristöön eräänä [14:43] viikonloppuna kun kyllästyin siihen. [14:46] Pelkkään VIN, joka sieltä järjestelmästä silloin löytyi. [14:50] Tosin nykyään käytän silti vei tai enimmäkseen. [14:53] No miten sinusta tuli sitten yhdistelmä automaatio, osaaja ja [14:57] tietoturvaosaa. Tämä nykyinen yhdistelmä syntyi [15:00] tuossa vuosituhannen vaihteessa, kun silloisella säätötekniikan [15:02] laitoksella professori hannu koivisto perusti automaatio ja [15:06] informaatioverkkojen tutkimusryhmä ja kysyi sinne [15:08] töihin ja tää on niin siinä ryhmän yksi näitä ydin [15:12] tutkimusaiheesta oli nimenomaan automaatioon liittyvä tietoturva [15:16] ja ensimmäinen yhdeksänkymmentäyhdeksän [15:18] valmistunut opinnäyte käsittelikin globaalin [15:21] kunnossapitojärjestelmän tietoturvaa ja niistä päivistä [15:24] alkaen olenkin toiminut tietotekniikan tutkimus ja [15:26] opetustehtävissä pääasiallisena tutkimus ja opetusala. [15:31] On automaation, tietoliikenne ja tietoturva. [15:33] Miltä se sun ihan käytännön työpäivä yleensä näyttää? [15:37] Mulla on talossa 2 hattua eli toinen on toi yliopiston [15:40] tietoturva asiantuntija ja toinen on sitten tää automaation [15:43] tietoturva asiantuntija homma ja se vähän riippuu siitä, että [15:46] kummalla hatulla se päivä niinku siitä käynnistyy että joskus se [15:49] saattaa olla poikkeama hallintaa yliopistojärjestelmiin liittyen [15:52] tai sitten se saattaa olla opetustehtäviä tai [15:55] tutkimustehtäviä, että kaikki päivät on vähän erilaisia ja [15:58] alkaa hieman hieman eri tavalla kun ajatellaan ihan tavallisen [16:02] kuluttajan ja kansalaisen kannalta niin niin mitä [16:04] käytännön esimerkkejä automaatiosta. [16:07] Ja teollisuusautomaatio, josta tulee mieleen. [16:10] No jos lähtee sieltä kodista liikenteeseen, niin kodin [16:13] automaatiojärjestelmiä on esimerkiksi ja kahvinkeitin, [16:17] jossa jossa niin tota mitataan veden lämpötilaa ja tai [16:21] lämmitetään sillä vastuksella, joka on se toimilaite niin sen [16:25] sen vettä niin tota sen mittauksen perusteella jääkaapin [16:29] kylmyyden säätö tai pesukoneen niin tota pesuaineen annostelu [16:34] pohjautuen siihen, että minkälaista ensimmäinen [16:36] huuhteluvesi kuinka sakeata se on, niin tätä tehdään niin kun [16:39] automaation keinoin tai yksinkertainen vedenkeitin on [16:43] automaatiolaite joka käytännössä mittaa veden lämpötila ja sitten [16:47] kun se kiehuu niin tota. Niin siinä vaiheessa katkaistaan [16:50] sitten lämmitys. Ja se miten niin kun tää eroaa [16:53] teollisuusautomaatio josta on se, että siellä kaikki on vähän [16:55] isompaa, että niinku vedenkeitin on esimerkiksi ydinvoimala jolla [16:59] on joka on niin kun käytännössä vedenkeitin jolla on vain paha [17:02] jälkilämpö ongelma. Muita esimerkkejä [17:05] teollisuusautomaatioosta on sitten esimerkiksi lämmön ja [17:09] sähköntuotanto tai rakennusten elementtien tuotanto tai [17:13] jätevesi linjasto tai juomaveden tekeminen. [17:17] Kaikkea näitä niin tota hoidetaan teollisuusautomaation [17:20] keinoin tai sitten se jokaisesta kodista löytyvä tai lähes [17:25] jokaisesta kodista löytyvä auto on tuotettu myöskin automaation [17:28] linjaston avulla. Eli siis käytännössä eilen [17:34] epäonnisen riistakaverini syömä einesateria on kulkenut [17:38] teollisuusautomaation läpi. Kyllä puhutaan siis [17:42] tietokoneista, jotka ohjaavat teollisuutta tai tarkemmin [17:46] ohjaavat tehtaita ja muita automaatiojärjestelmiä. [17:48] Kyllä näin juuri. No tällä alalla on paljon. [17:53] Kryptisiä lyhenteitä, joita tulee vastaan heti kun täällä [17:56] vähänkin rupeaa rapisemaan. Voisitko sä laittaa kuulijoille [17:59] muutaman lyhenteen ensimmäisenä tämmöinen kun ICS. [18:02] No ICCL industrial control system suora suomennos olisi [18:06] teollisuuden ohjausjärjestelmä, mutta itse mä käännän sen [18:09] yleensä niin tota automaatiojärjestelmäksi noin [18:12] niinku geneerisesti se on tämmöinen termi sotien aikanaan [18:15] aiheuttama kattotermi näille muille erityyppisille. [18:19] Silloin vakiintuneelle automaatiojärjestelmä termeille [18:23] kuten scada tai PLC tai PCS tai muut vastaavat. [18:28] Kaikilla on siis kaikki on lyhenteitä jostain, mutta [18:31] yleensä kaikilla niillä lyhenteillä niin tarkoitetaan [18:34] automaatiojärjestelmä. Tämä se on vähän erinäköinen eri [18:38] kokoinen erilaisella historialla ja siitä johtuu eri [18:41] terminologia. Eli isäs on semmoinen [18:43] kattotermi, jota voi käyttää kaikista eli vähän niinku joku [18:47] haittaohjelma on kattotermi jonka alla olisi viruksia ja [18:50] matoja ja troijalaisia ja takaportteja juuri näin. [18:53] No sä mainitsit tän skaban tai skeidan mikä se sitten on, no [18:57] skeidaa on tämmöinen yleensä hajautettuihin [19:00] maantieteellisesti hajautettuihin sähköverkkoihin [19:02] liitetty termi, jonka suomennos voisi olla vaikka asetusarvo [19:06] säätö. Eli siis sen tehtävä on viedä [19:09] kentälle asetusarvo ja monitoroida sen. [19:12] Sen niin kun asetusarvon aiheuttavan muutoksen tilaa ja [19:16] ja niin tota se on tosiaan historiallisesti tuolta [19:19] sähköverkkopuolelta, mutta nykyään kun näitä termejä on [19:22] ruvettu enemmän käyttämään. Käyttää ristiin muun muassa [19:26] tietoturvapuolella niin scada tai skeidaa, niin alkaa nää [19:30] kaikki alkaa niin kun yhdistymään toisiinsa tavalla [19:34] tai toisella, koska viime kädessä kyse on [19:36] automaatiojärjestelmistä. Se, että mikä se historian ne [19:38] aiheuttaa sen, että mistä termistä tai mitä termiä silloin [19:41] käytetään. Nykyään on myös ollut paljon [19:43] puhetta OT ympäristöt. Voitko avata niitä pikkaisen ote [19:47] tarkoittaa niin kun operational technology eli se on niin kun [19:51] vastapari tuolle information technology termille ja [19:54] tarkoittaa siis niitä tuotantojärjestelmiä tai [19:56] tuotantoon liittyviä tietoteknisiä järjestelmiä. [20:02] Kun taas IT tarkoittaa enemmän niitä niin kun toimistoon ja [20:05] muuhun yrityksen infrastruktuuriin liittyvien [20:07] järjestelmien eli se on niinku vastinpari, joka tarkoittaa [20:10] jälleen kerran automaatioympäristöjä. [20:12] Eli kun konttorilla on windows tietokoneita niin se on IT ja [20:16] kun tehtaassa on tietokoneita niin se on OT no niin no [20:20] viimeinen lyhenne ja sen määritelmä PLC. [20:23] PLC ohjelmoitava logiikka. Se on tämmöinen pieni [20:27] rajoitetuilla resursseilla yleensä rajoitetuilla [20:30] resursseilla toteutettu tietokone, joka on suunniteltu [20:33] toteuttamaan erilaisia mittaus säätö ja ohjaus ohjaustehtäviä [20:36] ja pihviin on tavallaan se, että se on se on suunniteltu tekemään [20:40] syklisesti asioita eli siellä voi olla vaikka tämmöinen [20:43] kahdenkymmenen millisekunnin sykli, jossa se niin kun ottaa [20:46] lukuarvon sisään tekee laskentaa ja välittää sen. [20:49] Sitten taas taas eteenpäin ja kaikkia niitä yhdistää lähes [20:52] poikkeuksetta se, että ne on koteloitu niin että ne toimii [20:56] tuolla teollisuuden niin kun tämmöisissä haastavissa ja [21:00] likaisissa ympäristöissä. Eli PLC on siis tietokone jossa [21:04] yleensä ei ole näyttöä eikä näppistä. [21:06] Juu ei että siellä usein saattaa olla jopa reikä näille sillä [21:10] että siihen voidaan laittaa näppäimistö ja näyttö [21:12] tarvittaessa, mutta usein siinä on vaan muutama valo, josta yksi [21:15] kertoo että virrat on päällä. Toinen että se suorittaa sille [21:18] tarkoitettua tehtävää ja kolmas se että se on niinku [21:21] ohjelmointitilassa ja ja niinku tällä mennään PLCN niinku [21:25] käyttäjän rajapinnassa. No aina joku esimerkki mitä [21:28] tämmöinen PLC saattaisi tehtaassa ohjata tai [21:31] kontrolloida esimerkiksi putkilinjaston virtauksen määrää [21:34] sillä että se kääntää jotain venttiiliä siellä ja ja siitä [21:38] venttiiliä ohjaava. Tietokone on se PLC just niin ja [21:43] ehkä kuulijoille saattaa olla tuttu esimerkki siemens s 7 400 [21:47] sarjan PLC jotka oli juuri niitä jotka Iranissa ohjasivat sentry [21:51] joihin hyökkäys aikanaan kohdista. [21:54] Automaatioympäristö ja rakentamisessa on perinteisesti [21:57] ollut käytössä tämmöinen niin sanottu purduemalli. [21:59] Voisitko lyhyesti avata, että mikä sen tarkoitus on? [22:02] No purkua mä olen. Alkuperä tulee sieltä [22:05] yhdeksänkymmentäluvun alusta, jossa niin tota sen aikaisen [22:09] tuotantoa tekevän yrityksen niin tämmöiset loogiset [22:12] toiminnallisuudet jaettiin erinäköisiin. [22:17] Toiminnallisuus laatikoihin tai kokonaisuuksiin ja niin tota [22:20] niin sen mallin alkuperäinen tarkoitus on määritellä selkeät [22:23] rajapinnat näiden eri toiminnallisuuksien välille, [22:26] jotta integraatioiden tekeminen olisi olisi mahdollisimman [22:30] helppoa. Ja siellä niin kun yks [22:32] laatikkona esimerkiksi on toiminnan suunnittelu, yksi [22:34] laatikkoa on tuotannonhallinta ja operointi. [22:36] Yksi laatikkona on säätö ja ohjaus ja kun sitä myöhemmin [22:40] laajennettiin niin tota. Tänne internetmaailmaan niin [22:44] siihen ilmestyi päälle yksi laatikko lisää, joka oli [22:47] tavallaan sen yrityksen internet rajapinta eli puhutaan niin [22:50] sanotusta TMC vyöhykkeestä. Ja sitten niin tota siitä kun [22:55] tietoturva tuli mukaan niin sinne vyöhykkeiden 3 ja 4 väliin [22:59] eli siellä oli tavallaan tuotannonohjaus ja [23:01] toiminnanohjaus niin siihen väliin tuli vielä oma DMC [23:04] hyödykkeenä joka tarkoitti sitä että se tieto integraatio sieltä [23:09] tuotannosta sinne toiminnanohjaukseen ei mene [23:11] suoraan vaan siinä on tämmöinen välimuistikerros jolla sitten [23:15] voidaan reagoida näihin tietoturva tietoturvaongelmiin. [23:19] Tuleeko purdue mallin nimi purduen yliopistosta? [23:23] Enpä osaa sanoa en muista. En mä kysymyksen voi menettää [23:26] kuuntelijoille. Palatkaa aiheeseen, osoitteet, [23:28] hakkerit piste fi kautta, tämmöisiä arkkitehtuurimalleja. [23:31] Nyt on IT puolella ollut olemassa kautta aikojen, mikä [23:35] sun mielestä erottaa tän purduen mallin tämmöisestä perinteisestä [23:39] it rajapinta määrittelystä tai mikroarkkitehtuuri. [23:42] No, purduemallilla on niinku selkeä automaatiokytkös sitä [23:45] kautta, että jos niinku mietitään normaalia yrityksen [23:49] toimintaa puhutaan toiminnan suunnittelusta niin sen laatikon [23:52] sisällä niin tota. Aa se suunnitteluperiaate on [23:57] luottamuksellisuuden säilyttäminen ja rajapinnoissa [24:00] pyritään luottamuksellisen säilyttämiseen, kun taas sitten [24:03] siellä automaatio laatikoissa niin siellä puhutaan niin kun [24:08] suunnitteluperiaatteet luotettavuuden säilyttämisestä [24:11] ja sitten myöskin näiden rajapintojen välillä pyritään se [24:15] luotettavuus säilyttämään mahdollisimman tehokkaasti. [24:18] Eli eli tämä tämä idea on niin kun se mikä ei välttämättä [24:22] purduemallissa alkuperäisessä mielessä ole se se pihvi mikä [24:26] siinä mallissa on vaan ne integraatio rajapintojen niin [24:29] kun formaali määrittely. Mutta tietoturvamielessä, niin [24:33] tässä on iso ero näiden niin kun mallien tai laatikoiden välillä. [24:37] No mitkä ne on ne tärkeimmät tekijät joilla varmistetaan [24:40] automaatio ympäristöjen tietoturvaa? [24:42] Tää on varmaan vähän erilainen maailma kun perinteisten [24:45] konttoriverkkojen tietoturvan kanssa kyllä ja ei, että kyllä [24:49] se niinku lähtee mun nähdäkseni siitä, että että pitäisi niinku [24:54] ensin ymmärtää että se tietoturva on niinku oleellinen [24:56] osa automaatio ja sitä kautta sen tuotannon luotettavuutta ja [25:00] liiketoiminnan jatkuvuutta. Eli tavallaan kun ymmärretään [25:03] miksi sitä automaation tietoturvaa tehdään niin siitä [25:07] niinku pitäisi lähteä liikkeelle. [25:11] No toinen, mikä tietysti automaatiossa on haastavaa, on [25:14] ne pitkät elinkaaret että kun puhutaan useista kymmenistä [25:17] vuosista joka niin kun IT, ssä on muutama vuosi ja sitten [25:21] heitetään roskakoriin, niin tavallaan tämän asian [25:23] huomioiminen jo siinä suunnitteluvaiheessa eli on [25:27] tavallaan kyky reagoida siihen maailman muutokseen muutenkin [25:32] kuin vaihtamalla jotain tai päivittämällä jotain niin tää on [25:35] ehkä semmoinen tärkeä asia ja sitten on ihan ne tietoturvan [25:39] niinku perusasiat segmentoinnin komennukset muutoshaninnat [25:43] auditoinnit monitoroinnin. Niin nää on sitten taas ihan [25:48] samoja asioita mitä voidaan tehdä automaatioympäristöissä, [25:50] joskin niiden toteuttaminen vaatii vähän enemmän [25:54] mielikuvitusta kuin perinteisessä IT ympäristössä. [25:56] Miten näette, että mikä on yleinen teollisuusautomaatio [25:59] tietoturvan taso tällä hetkellä? Tuohon kun tietäisi semmoisen [26:05] niin kun kaiken katsomaan vastauksen ensinnäkin, että [26:07] miten se määritellään niin olisi varmaan aika rikas tällä [26:10] hetkellä. Mutta mä sanoisin että se [26:12] riippuu täysin toimialasta ja toimialaa edustavan [26:16] organisaation kriittisistä henkilöistä. [26:18] Eli yksi henkilö oikeassa paikassa. [26:20] Organisaatio voi mahdollistaa paljon paremman tietoturvan [26:23] tason kuin mitä sillä toimialalla niin kun normaalisti [26:26] on tai paremman kypsyystason. Valitettavasti myöskin [26:29] päinvastainen on totta. Jos miettii mikä suomessa on [26:33] niin kun tilanne, niin kyllä mä sanoisin että energiatoimialan [26:37] on parhaalla kypsyystasolla ainakin niiden toimijoiden [26:41] osalta jotka on niin kun käyttäneet sen kohta 20 vuotta [26:46] sen asian kehittämiseen, mutta tietenkin energiatoimialan on [26:50] ihan samalla lailla erilaisia organisaatioita eri kypsyystason [26:52] organisaatioita, että heikoimmalla tasolla suomessa [26:56] ehkä on varmasti tämmöiset pitkien alihankintaketjujen [26:59] rakennusala tai kunnallisten toimijoiden vähän resurssit [27:03] toimialat, niin nää on varmaan heikoimmilla ihan vaan [27:06] resurssisyistä. Tai sitten sen [27:09] alihankintaketjun. Vastuiden haasteellisuuden [27:13] toteuttaminen, että se on oikeasti vaikeaa, että kun on 5 [27:17] ketjutettua toimia, niin kuka vastaa mistä ja kuka tekee mitä [27:20] niin siinä? Luenko oikein että sä et näe [27:23] tätä itse asiassa millään tavalla teknologia ongelmana ei [27:26] missään tapauksessa ole teknologia ongelma. [27:28] Onko se sitten teknologiaongelma, että [27:30] säännöllisesti kun verkkoa skannataan niin sieltä löytyy? [27:35] Tehtaitten tai teollisuuslaitosten kontrolli [27:37] käyttöliittymiä ihan suoraan julkisesta verkosta, usein jopa [27:40] ilman mitään autenttistaatiota se jaksaa ihmetyttää miten miten [27:43] tämmöiset järjestelmät? Miten selvästi ei pitäisi olla [27:46] julkisessa verkossa, miten ne oikein sinne päätyy? [27:50] No tota ehkä se kaikkein suurin haaste on se, että niin kun [27:53] puuttuu selkeät taloudelliset sanktiot siitä, että onko sillä [27:58] sillä niin kun vastuulla jotain merkitystä siellä päättävien [28:02] henkilöiden budjetissa vai ei. Tää on ehkä varmaan se kaikkein [28:06] tärkein asia, koska sillä ei välttämättä kukaan halua tehdä [28:08] mitään, ellei siitä ole jotain taloudellisia seuraamuksia. [28:12] Sitten tietenkin ymmärryksen puute, eli osaaminen ei [28:15] välttämättä ymmärretä riskiä. Ja kun on paljon näitä [28:18] alihankintaketjujen muita, niin ei oikeastaan tiedetä kenen [28:21] vastuulla on sen asian kuntoon laittaminen. [28:24] Ehkä siinä on ne tärkeimmät tärkeimmät asiat niinku minkä [28:27] takia niitä edelleen sieltä löytyy ja ja se mitä olen niin [28:31] tota jutellut tuossa asiaan reagoivien henkilöiden kanssa [28:35] niin tota niin kyllähän se se vastuu. [28:38] Ongelma näkyy myös siitä, että tavallaan on hyvin hankala edes [28:41] kontaktoida tällaisia toimijoita, että kenen kenen [28:45] laite se on ja missä se on, koska se murtautuminen ei [28:47] kuitenkaan ei lain mukaan ole. Sallittua automaatiopuolella nää [28:51] mahdolliset vikatilanteet pahimmillaan vaarantaa [28:53] ihmishenkiä. Miten sä näet, että [28:57] työturvallisuus eli englantilainen termi lienee [29:00] sille safety niin miten se on huomioitu suunnitteluosaaminen [29:04] ja ymmärrys on varmaan ensisijainen turvallisuustekijä. [29:06] Eli turvallisuushan tehdään. Se ei synny vahingossa [29:10] suunnitteluvirheitä on hyvin vaikea korjata tai havaita [29:14] jälkikäteen automaatiossa on tyypillisesti erotetaan niin [29:18] kutsuttu käyttöä automaatio eli se millä sitä prosessia [29:21] normaalisti hallitaan ja turva automaatiota, jonka tehtävä on [29:25] sitten hoitaa nää turvallisuusasiat sillain [29:26] kuntoon, että jos vaikka. Ihminen katkaisee jonkun [29:31] valoverhot tai jonkun tämmöisen niin tota niin se järjestelmä [29:34] menee turvalliseen tilaan tai tai joku niin tota venttiili [29:38] pettää jostain tai tulee ylipainetta tai muuta niin. [29:42] Niin sitten se turva automaatio on se joka reagoi siihen asiaan. [29:46] Turva automaation reagoiminen tietysti lähes poikkeuksetta [29:50] aiheuttaa tuotantokatkoksen, että sitä ei harvemmin niinku [29:53] haluta, että se siellä aktivoituu. [29:54] Sitten se mitä automaatiossa on paljon tehdään juuri sen [29:59] suunnittelun kautta on se, että prosessit on rakennetaan niin, [30:01] että esimerkiksi joku räjähdystä estetään mekaanisin [30:04] turvatoimiin, vaikka juuri niin tota ylipaine venttiilillä tai [30:08] jossain putkilinjatöissä niin tehdään sopivaan paikkaan [30:11] putkilinjaostoa vähän heikompi kohta, että jos se linjasto [30:15] rikkoutuu niin se rikkoutuu niin että se neste ohjataan niin kun. [30:20] Tavallaan hallittavalla alueelle ja tässä työturvallisuudessa eli [30:23] setissä täytyy pitää mielessä se, että kysymys ei välttämättä [30:27] ole hyökkäyksestä vaan koska kyseessä on [30:29] tietokonejärjestelmät, niin se voi olla ihan ohjelmointivirhe, [30:32] joka vaarantaa ihmishenkiä. Eikö näin? [30:34] Kyllä ja turvallisuudessa niin kuin se safety mielessä niinku [30:37] safety termin takana niin on semmoinen pieni ongelma, että [30:40] turvajärjestelmien suunnitteluperiaatteet on [30:43] suunniteltu tämmöisiä satunnaisia toisistaan [30:45] riippumattomien niinku tilanteiden varalta. [30:49] Ja sehän ei päde niin kun tietoturvaongelmiin sen takia [30:51] että tietoturva on yleensä tahallista toimintaa joka on [30:54] kohdennettu tavalla tai toisella. [30:57] Niin tota siihen ympäristöön ja safety järjestelmät eivät kykene [31:00] tällaiseen reagoimaan, koska ne on suunniteltu eri [31:03] periaatteista. Nyt kun ajatellaan näitä [31:05] tunnettuja tapauksia missä automaatiojärjestelmiin tai [31:08] tehtäisiin, on osunut joku tietoturvahyökkäys aika vähän [31:12] tunnetaan semmoisia tapauksia, joissa se on ollut nimenomaan [31:13] suunnattu automaatioympäristöjä vastaan, että joku tapaus [31:17] stuxnet nyt tunnetaan hyvin tai ukrainan sähköverkko, hyökkäys [31:20] tai tapaus trains tai triton. Mutta sitten aika moni tapaus ei [31:26] ole ollutkaan mikään teollisuusautomaatio on [31:28] kohdistuvaa, kuten vaikka norsk hydron alumiini tehtaiden [31:31] kaatuminen, joka oli ihan normaali. [31:33] Windows lunasta se vaan onnistui haittaamaan näitä [31:36] automaatiojärjestelmiä. Kannattaako siis automaation [31:40] tietoturvasta olla huolissaan vai ei? [31:42] Automaatiojärjestelmät on lähes poikkeuksetta yksilöitä, eli [31:46] niitä hyökkäyksiä on hyvin vaikea monistaa ja yleensä se [31:49] tarkoittaa sitä, että niin tota niin sen hyökkäyksen [31:52] kohdentaminen automaatioympäristöön vaatii [31:54] merkittävää panostusta ja yleensä sitä kautta myöskin [31:58] motivaatiota silleen, että miksi se hyökkäys tehdään jos miettii [32:02] vaikka sitä ukrainan tapausta, niin siellähän oli hyökkääjän [32:05] toimesta niin tota monistettu sitä kohdeympäristöä. [32:09] Jotta voidaan testata niitä hyökkäysmenetelmiä, että [32:12] toimiiko ne vai eikö niin. Ei tällaisen tekeminen rahan [32:15] ansainta mielessä ole kauhean niin kun kustannustehokasta ja [32:19] tästä johtuen niin tota automaation kohdennettuja [32:22] hyökkäyksiä ei kovin paljon tuon enempää ole kuin noi, jossa [32:25] motivaatiot ehkä jotain muuta kuin rahan ansaitseminen. [32:28] Toisaalta tämmöinen kaveri showisi tuolta amerikasta, joka [32:33] on niin kun pitkään toiminut siellä niin tota automaation [32:35] tietoturva alalla niin yhä 2019 sanoi blogikirjoituksessaan, [32:38] että hänen oma kyber poikkeama tietokantansa sisältää noin [32:43] tuhatkaksisataa tapausta, jossa on kuollut yli 1500 henkeä [32:46] aiheutunut seitsemänkymmenen miljardin suorat tappiot. [32:50] Automaatioon kohdistuneista hyökkäyksistä, mutta se ei [32:55] tarkoita samaa kuin ne olisi automaation kohdistettuja [32:58] hyökkäyksiä, vaan ne on vaan niin kun juuri näitä sivullisia, [33:02] jotka tavallaan on osunut tavalla tai toisella [33:05] automaatioympäristöön tai siihen liittyvään niin kun IT [33:09] infrastruktuuriin anteeksi kuinka paljon kuolleet [33:11] tuhatviisisataa? Pidätkö lukua uskottavan? [33:14] No laajasti ajatellen voi sanoa, että voihan se pitääkin. [33:18] Riippuu siitä mitä hänen tietokantansa sijaitsee, mutta [33:21] olen tavannut tämän kaverin niin tota aikanaan konferenssissa [33:24] jutellut sen kanssa niin. Uskon siihen, että hän on sitä [33:29] mieltä, että niitä on noin paljon, mutta se, että miten [33:31] hänen tietokantansa on niinku mietitty noin että mikä [33:34] lasketaan automaation kohdistuneeksi hyökkäykseksi, [33:36] että onko esimerkiksi se, että lämmitys tai sähköt katkeaa [33:42] joltain tietyltä alueelta ja ihmiset kuolevat niin kun [33:45] kylmyyteen tai tämmöiseen, niin onko se sitten automaation [33:48] kohdistettu hyökkäys vai ei, niin tämmöisen tilastoinnin [33:51] tekeminen on oikeasti aika lailla mahdotonta. [33:53] Alalla toimii aika paljon tämmöisiä isoja pelaajia kuten [33:58] mitsubishi. Siemens rockwell ja snider ja [34:02] niin edelleen. Onko joku näistä merkittävästi [34:05] parempi kuin muut? Jos mietitään [34:07] tietoturvanäkökulmasta, sanoisin että yritykset, jotka on [34:11] lähtenyt toteuttamaan tämmöistä turvallisen kehityksen mallia [34:15] esimerkiksi IC 6 2, 4 4 3 standardin mukaisesti niin tota [34:19] niin ne on varmasti kypsyystasolla paremmalla [34:23] tasolla kuin kilpailijansa, mutta teollisuusautomaation [34:28] kannalta on hieman haastavaa se, että se on vähän sama kuin [34:31] microsoftin sanoi IT puolella aika hyvin pilveensä liittyen, [34:34] että että niinku microsoftin tehtävä on tuottaa työkalut. [34:38] Pilviympäristön tietoturvaamiseen ja asiakkaan [34:41] tehtävä on ottaa ne hallitusti käyttöön ja tässä on ihan sama [34:44] juttu noiden automaatiotoimijoiden kanssa, [34:46] että ne voivat tarjota mekanismeja sen asian kuntoon [34:49] laittamiseen. Mutta asiakas on viime kädessä [34:52] se, joka päättää paljonko mistäkin turvamekanismi [34:54] maksetaan. Eli käytännössä nää toimijat [34:57] tarjoaa säkillisen legoja ja se on sitten itsestä kiinni, että [35:02] miten niissä rakennetaan aika hyvin ja osuvasti kuvattu ja [35:05] legojen kasaaminen vaatii osaajia tietoturvan osaajista on [35:09] tunnetusti huutava pula tarinoiden mukaan tätä osaamista [35:14] puuttuu. Ihan erityisesti [35:17] automaatioympäristöjen tietoturvan puolelta. [35:20] Miten tätä voisi parantaa? No itse olen sitä mieltä, että [35:22] on paljon helpompaa kouluttaa automaatioosaamista, [35:24] tietoturvaosaa ja automaatioympäristöön [35:26] erityisesti kuin taas tietoturvaosaamista, automaatio [35:30] osaajia ja se johtuu ihan siitä, että jos miettii niin kun mitä [35:36] eroa niinku koulutuksessa näillä eri toimialoilla on niin [35:40] automaatio ihmisille niin kun iskostetaan systeemiajattelu [35:42] prosessiviivet fyysisen maailman kanssa toimiminen [35:46] ristivaikutukset, prosessivirrat, kaikki tämmöiset [35:49] asiat niin kun iskostetaan sinne niinku selkärangan jatkeena. 4 [35:58] viiva 5 vuoden koulutusputken aikana ja taas it se ajattelu [36:01] horisontti on paljon lyhyempi ja tää on semmoinen että niinku [36:06] tavallaan viive joka saattaa realisoitua vaikka viikon päästä [36:12] jossain prosessissa niin IT ihmiset on hyvin vaikea ymmärtää [36:15] sitä asiaa vaan he edelleen käynnistävät sen kytkimen [36:19] uusiksi. Vaikka viikon päästä, se voi [36:21] aiheuttaa tuotantokatkoksen ja taas automaatio ihmisille. [36:23] Tää ajattelu on niinku luontaista sen takia niin kun [36:27] mun mielestä sen tietoturvan opettaminen automaatio ihmisille [36:30] on helpompaa kuin toistepäin. Mä oon monesti puhunut sitä, [36:34] että tietoturvan pitäisi olla nimenomaan niin, että ensin osa [36:39] tai jotain muuta ja sen jälkeen erikoistutaan tietoturvaa. [36:41] Eli tähän nähtävästi tässä pätee hyvin pitkälti sama ajatusmalli. [36:48] Joo että niinku tietoturva on hyvä sivuaine mutta huono [36:51] pääaine että niinku totta kai tarvitaan ihmisiä jotka on niin [36:55] kun tietoturva hyvin syvällä ja niinku ymmärtää miten niitä [36:59] menetelmiä siellä kehitetään ja osaavat niin kun krypto [37:04] analyysiä ja tämmöisiä asioita, mutta suurimmalle osalle [37:07] toimijoista erityisesti kriittisen infran kanssa, niin [37:10] kyllä se niinku se sivuaine rooli on se oikea tietoturvan [37:14] näkökulmasta. Tai sitten mielellään mieluummin [37:16] niin, että se on integroitu siihen siihen koulutukseen jo [37:19] sisälle sillä että tietoturvaa käsitellään siellä missä se on [37:23] niin kun merkittävässä roolissa ja sitten. [37:26] Sitten muuten ei että kun 4 5 vuotta toitotetaan että tässä [37:30] kohtaa tietoturvalla on rooli niin todennäköisesti he [37:32] muistavat sen myöskin työpaikallaan. [37:33] Kuulostaa erittäin hyvältä. Onko jotain, mitä haluaisit [37:38] kysyä meiltä eli tietoturvakentän virallisilta [37:41] vanhuksilta? No koska tuossa päästiin aika [37:44] hyvin siihen, että tietoturva alalla on niinku pulaa pulaa [37:46] osaajista ja ja kun on katsellut tätä keskustelua siitä, että [37:51] Suomessa on liian vähän tietoturvaosaajia. [37:53] Itse kuitenkin sitä mieltä, että sen pitäisi olla niinku [37:55] sivuaine, niin miten niinku tietoturvayritykset voisi niin [37:58] kun tuottaa toimialakohtaisia osaajia tähän suomen maahan [38:03] silleen että tää ongelma niinku ratkeaisi hyvä kysymys johon [38:06] tuskin löytyy yksi vastausta, mutta täytyy muistaa se, että [38:11] tietoturva on todella aina. Ja kaikkialla tukeva toiminto. [38:17] Sehän ei ole koskaan semmoinen toiminto. [38:20] Mitä yritys tekisi niin kun päätoiminen, että niinku [38:23] yritykset eivät osta tietokoneita ajaakseen [38:25] tietoturva softia, yritykset ostaa tietokoneita tehdäkseen [38:28] jotain tuottavaa työtä ja tää pitäisi aina pitää mielessä. [38:31] Tietoturva on siis se mahdollista ja se on se osuus [38:34] organisaatioiden mukaan lukijan automaatiopuolen toiminnoista, [38:37] joka on mahdollistaa sen varsinaisen toiminnon, joka [38:40] mahdollistaa että työntekijät voivat olla tuottavia ja luovia. [38:44] Se vaan on se osa jonka aina pitää olla siellä ja musta [38:47] tuntuu että tää ajatusmalli aika usein unohtuu että sitä vaan [38:51] niinku mielletään että se on tämmöinen. [38:53] Pakko nakki ja tietoturva ihmiset on ne jotka aina sanoo [38:55] ei ja sitä ei niin kun osata mieltää tukevaksi toiminnaksi [38:59] mahdollistavaksi toiminnoksi ja väittäisin että tää näkyy [39:01] myöskin tällä puolella ihan suoraan siinä että miten [39:04] minkälaisia osaajia me oikein alalle luodaan ja täytyy siinä [39:07] mielessä kyllä kompata tätä näin, että eihän kukaan tee [39:09] tietoturvaa tietoturvan takia. Mä oon keksinyt urani aikana 2 [39:13] syytä minkä takia tietoturvaa tehdään. [39:15] Sitä tehdään joko nykyisen liiketoiminnan suojaamiseksi tai [39:18] tulevan liiketoiminnan suojaamiseksi. [39:20] Me itse asiassa luulen että sä vastasit itse kaikkein parhaiten [39:24] tuohon kysymykseen, kyllähän se pitäisi olla nimenomaan sillä [39:26] tavalla, että se integroidaan siihen koulutusohjelmaan. [39:30] Osana mä en myöskään näe hirveän järkevänä sitä, että opetetaan [39:35] tietoturvaa tietoturvan takia. Totta kai tän niin kun [39:39] syväosaajille on aina käyttöä, mutta valtaosa teollisuuden tai [39:42] liiketoiminnan tarpeista liittyy kuitenkin jollain tavalla aina [39:46] siihen toimialakohtaiseen osaamiseen. [39:47] Ehkä meidänkin kannattaisikin miettiä sitä, että miten [39:52] suomalainen koulutusjärjestelmä voitaisiin valjastaa sillä [39:55] tavalla, että se olisi kiinteä osa tätä opetuskokonaisuutta. [39:57] Et jos opetellaan esimerkiksi automaatiojärjestelmiä, niin se [40:00] integroidaan ikään kuin osaksi sitä ja tehtäisi tämmöisiä [40:04] osaamiskeskuksia. Mä en usko, että kovin monella [40:09] kaupallisella toimijalla on itse asiassa hirveän isoja [40:12] mahdollisuuksia vaikuttaa tähän. Olis mielenkiintoinen nähdä, [40:15] että niin tota olisi tämmöinen työpaikkailmoitus, jossa [40:19] tietoturvayritys etsisi hyvää automaatiostasaajaa, raakileet [40:23] ja uudelleen koulutettavaksi tietoturvan saralle, että se [40:27] voisi olla ihan mielenkiintoinen. [40:27] Ideana kyllä voisi kiitoksia vierailusta, [40:31] teollisuusautomaatio, tietoturvan konkari jari seppälä [40:35] kiitoksia. Sitten on aika hovimestarin [40:39] suosituksille tässä ohjelmaosiossa käydään läpi [40:42] hyödyllisiä ajanvietteestä ilmiöitä, tapahtumia, paikkoja, [40:46] palveluita ja kikkoja. Ensimmäisenä suosituksena tällä [40:50] kertaa on automaation tietoturva kriittisen tuotannon [40:53] turvaaminen, niminen kirja tekijöinä koko liuta suomalaisen [40:58] automaatio tietoturvan parissa työskenteleviä ihmisiä, mukaan [41:03] lukien jari seppälä hinta on viisikymmentäviisi euroa ja sen [41:07] voi tilata osoitteesta automaatioseurapiste fi ja [41:09] minulla puolestaan ensimmäisenä hovimestarin suosituksena on se, [41:13] että me kaikki voimme nyt juhlistaa. [41:17] Enable content eli ota sisältö käyttöön. [41:20] Napin kaksikymmentäviisi vuotispäivää. [41:22] Avatkaa siis office tuotteenne ja klikatkaa sieltä ylärivillä [41:25] löytyvää nappia. Uskomatonta, mutta tämä [41:27] ominaisuus tuli jo vuonna tuhatyhdeksänsataayhdeksänkymmentäkuusi [41:31] microsoft office 9 kutosen mukana ja kun ajattelin että [41:35] miksi tämmöinen nappi joka siis on osa nykyään melkein jokaista [41:39] haittaohjelma hyökkäystä on edelleen riesanamme niin tämä [41:42] napin historia lähtee siis siitä, että microsoft oli [41:45] suurella vaivalla kehittänyt visual basic for applications [41:48] nimisen ohjelmointikielen office tuotteisiin, jota juuri kukaan [41:52] ei käyttänyt mihinkään hyvään. Mutta sitä käytettiin kyllä [41:55] sitten paljon haittaohjelmia ja he eivät oikeastaan halunneet [41:57] luovuttaa ja poistaa tätä ominaisuutta office tuotteista. [42:01] Niinpä se pantiin erityisen napin taakse ja nyt [42:04] kaksikymmentäviisi vuotta myöhemmin me edelleen tappelemme [42:06] tämän saman ongelman kanssa. Käy tiet ympäri maailmaa, saavat [42:10] päivittäin wordin tai excelin tiedostoja, joissa itse sisältö [42:14] antaa ymmärtää, että jotta tämän tiedoston voi lukea, niin sinun [42:17] pitää painaa tuolla ylärivillä olevaa nappia. [42:20] Hyvät ystävät, älkää painako enable content nappia. [42:23] Hyvää syntymäpäivää. Ota sisältö käyttöön ja nyt kun [42:27] ollaan yhdeksänkymmentäluvulla niin on ehkä kenties syytä [42:30] ylistää myös yksi suurinta vientituotetta suomesta eli [42:34] future crown caption markus carlosta, joka on julkaissut [42:39] legendaarisesta kappaleestaan space debre remixin. [43:15] Kuulostaapa hyvältä. Markus tunnetaan skene [43:17] muusikkona, mutta päätoimisesti hän on oikeasti FM. [43:20] Siirsin tuottajana ja myöskin sivutoimisena toimii poisolin [43:23] kosketinsoittajana ja viimeisenä vinkkinä mobile phonemuseum.com. [43:28] Kyseessä on sivusto, joka kerää yksi kännyköiden historian tähän [43:32] asti englantilaiset keräilijät ovat tehneet aikamoisen työn [43:35] kerätessään erittäin näyttävän kokoelman kännyköitä ympäri [43:39] maailman. Näitä voi nyt ihastella [43:40] verkkosivustoilla ja tulevaisuudessa. [43:42] Myöskin ihan fyysisessä museossa. [43:46] Kas. Takkatuli alkaa hiipua ja lienee [43:49] aika sammuttaa kynttilät. Kiitos seurasta, kommentit, [43:52] palautteet ja toiveet voi jättää osoitteeseen herrasmies hakkerit [43:56] piste fi isäntinä ne olivat mikko hyppönen ja tomi tuominen. [44:00] Herrasmies hakkerit toivottavat hyvää onnea ja hyvää yötä. Shows are listed from Apple Podcasts' charts and directory, and Podcast Index where it is used. Every show and episode belongs to its publisher and plays from the publisher's own feed; this site hosts none of them.