Miten tietoturva liittyy rakennusautomaatioon?

Viime aikoina on ollut paljon puhetta tietoturvasta liittyen sekä yksityisen ihmisen että valtion suojautumiseen ulkoisilta uhilta. Uhkakuvia on maalailtu erilaisilla skenaarioilla verkossa käytävään sotaan, yksityisyyden menettämiseen ja koneen tietojen kryptaamiseen kiristyksen uhrina.

Miten tietoturva sitten liittyy rakennusautomaatioon?

Tänä päivänä kiinteistöjen ohjaus ja valvonta tapahtuu paljon myös ulkoisten toimijoiden suorittamana, eikä enää pelkästään paikan päällä. Tällöin yhteys kohteen rakennusautomaatiojärjestelmään otetaan yleensä internetin yli. Kohteessa olevat säätimet käyttävät aina niin sanottuja sulautettuja järjestelmiä, mutta järjestelmän käyttöpääte on yleensä PC, jossa käyttöjärjestelmänä on todennäköisesti jokin Windows- versio.

Tietoturva

Rakennusautomaation tietoturva koostuu oikeastaan useasta eri osa-alueesta, eikä pelkästään verkossa olevasta uhasta, kuten usein ajatellaan.

Oikeastaan tietoturvan voisi jaotella seuraavasti:

  1. Valvomo PC:n liitäntä verkon yli tietoturvallisesti
  2. Valvomo PC:n tietoturva, Windows-päivitykset ja virusturva
  3. Rakennusautomaatiojärjestelmän valvomo-ohjelmiston tietoturva
  4. Rakennusautomaatiojärjestelmän valvomo-ohjelmiston käyttäjäpolitiikka

PC:n liittäminen verkkoon turvallisesti on helposti ratkaistavissa useallakin erilaisella ratkaisulla, aina operaattorien tarjoamista suljetuista/suojatuista verkoista joko salattuihin tai laitetasolla tehtäviin suojattuihin verkkoihin, kuten VPN-tunneleihin. Tämä vain valitettavasti puuttuu useista kohteista ja PC:t on liitetty julkiseen Internetiin jopa ilman palomuuria.

Jos järjestelmän valvomokone on Windows -pohjainen, tulisi jonkun myös huolehtia koneen Windows –päivityksistä, samoin kuin mahdollisesta virusturvasta. Valitettavasti valvomo PC:t jäävät usein rakennuksen luovutuksen jälkeen oman onnensa nojaan, ilman minkäänlaista ylläpitoa. Ne kun eivät ole osana rakennuksessa mahdollisesti toimivan yrityksen IT -infraa.

Rakennusautomaatiojärjestelmän ohjelmisto on myös alttiina mahdollisille hyökkäyksille, mikäli siitä löytyy tietoturva-aukko. Tällaisia esimerkkejä löytyy aivan lähivuosilta, joissa ohjelmistossa oleva turva-aukko on mahdollistanut järjestelmän käytön luvatta. Ongelman korjaaminen ei ole yksinkertaista, koska järjestelmän toimittaja ei välttämättä edes tiedä, että heidän ohjelmistostaansaattaa löytyä tietoturva-aukko. Mikäli tällainen ongelma ilmenee, järjestelmän toimittaja ei voi päivittää kohteen ohjelmistoa ilman, että saa siihen kiinteistön omistajan luvan ja omistaja on halukas maksamaan asiasta takuuajan umpeuduttua.

Heikoimpana lenkkinä tietoturvan osalta pitäisin kuitenkin rakennusautomaatiojärjestelmien käyttäjätunnuksiin liittyvä toimintatapaa, joka on jäänyt samalle tasolle kun ensimmäiset PC-pohjaiset järjestelmät otettiin käyttöön.

Lähes kaikissa kohteissa, toimittajasta riippumatta, on käytössä toimittajan järjestelmänvalvojan käyttäjätunnukset samoilla salasanoilla kuin kaikissa muissakin kohteissa. Siis tunnukset, joilla on täydet oikeudet tehdä muutoksia täysin ilman rajoituksia. Nämä tunnukset, jotka usein ovat olleet vuosia samoja, ovat lukuisten henkilöiden tiedossa, jopa sellaisten, joilla ei ole oikeuksia kyseiseen kohteeseen. Kun tunnukset ovat samoja kohteesta toiseen, tulee tästä ongelma varsinkin silloin, kun kohde on käytettävissä julkisessa Internet-verkossa. Tällaisia tiloja on Suomessa paljon.

hursti_rami
Kirjoittaja on Granlundin Rakennusautomaatio-osaston johtava asiantuntija

Kuinka tämä ongelma sitten voidaan ratkaista? Vaikka ratkaisut tuntuvat työläiltä ja vaativat ylimääräisiä ponnisteluja, pitää näiden järjestelmän PC-koneiden tietoturvassa ottaa oppia IT-alan ratkaisuista. PC:n ylläpito niin Windows- kuin virusturvapäivitysten osalta tulee olla jonkun vastuulla. Järjestelmänvalvojan tasoiset tunnukset pitää olla kohdekohtaisia, vaikka se vaatiikin hieman ylimääräistä työtä kun jonkun pitää nuo tunnukset dokumentoida ja hallita jatkossa.

Tietoturva-asioissa yleinen ilmapiiri näyttää valitettavasti olevan se, ettei tähänkään mennessä ole mitään tapahtunut tai etteivät nämä järjestelmän tiedot kuitenkaan ketään kiinnosta.

Valitettavasti maailma muuttuu ja parempi varautua asioihin etukäteen kuin vasta vahingon jo satuttua. Silloin ei ole enää aikaa miettiä, vaan on jo tulenpalava kiire.

Teksti: Rami Hursti, Granlund Oy

Kyberturvallisuus vaatii kipinävartijoita

Helsingin Sanomat uutisoi kesäkuun lopulla otsikolla: ”Kyberturvallisuus­keskus: Rikolliset voivat päästä käsiksi jopa vankiloiden lukituksiin” (HS 30.6.2015). Artikkeli koski kiinteistöautomaatiojärjestelmien kyberturvallisuutta. Raflaavasta otsikosta huolimatta HS, tai tässä tapauksessa Kyberturvallisuuskeskus, on oikeassa varoittaessaan kiinteistöautomaation tietoturvallisuusriskeistä.

Janne Helenius
Janne Helenius

Harvemmin korviin on kantautunut tietoa siitä, että kiinteistöjen lukitusten ohjauksia olisi johdettu kiinteistöautomaation kautta suojaamatta suoraan yleiseen verkkoon. Verkottuneessa ympäristössä yksittäinen järjestelmä on kuitenkin mahdollisesti kokonaisuuden heikoin lenkki.

Viimeaikaisen kybermyllytyksen alla on ollut ilo huomata ihmisten kasvava kiinnostus turvallisuusasioihin. Myös viimeaikaiset poliittiset tapahtumat ja jännitteet maailmalla ovat omiaan luomaan turvattomuuden tunnetta ja sitä kautta lisäämään keskustelua turvallisuudesta yleisestikin.

Käsitteenä turvallisuus on laaja ja monelle jopa hyvin subjektiivinen. Useasti turvallisuuskeskustelu polarisoituu tietyn osa-alueen ympärille, jättäen muut alueet varjoonsa. Näin näyttääkin käyneen kyberturvallisuuden osalla.  Toiset ovat sitä mieltä, että nykyisin ei muuta tunnu turvallisuuden saralla olevankaan kuin ”kyberiä”.

Itse en näe meneillään olevaa pöhinää pelkästään huonona asiana vaan koko turvallisuusala, laajasta käsitteestään huolimatta, on saanut ja saa uutta nostetta valloillaan olevasta keskustelusta. Nyt vain kaiken ylitsevuotavan kuhinan ja ylireagoimisen saralla pitää löytää ne oikeat, järkevät ja kustannustehokkaat keinot turvallisuushaasteiden hallitsemiseen.

Kyberiä talotekniikassa

Talotekniikan osalta huoli tietoturvallisuuden riittämättömyydestä on aiheellista. IoT (The Internet of Things) luo järisyttäviä mahdollisuuksia liiketoiminnassa, varsinkin talotekniikan saralla, mutta samalla se tuo merkittäviä haasteita tekniikan ja järjestelmien tietoturvallisuuden hallinnalle. Kriittisten laitteiden ja teknisten järjestelmien alkaessa aktiivisemmin ”keskustella” keskenään julkisen verkon yli, voidaan törmätä nopeasti vakaviin tietoturvaongelmiin ja häiriöihin toimintaprosesseissa.

Pensaaseen ei suinkaan kannata päätä laittaa ja kieltää kehityksen kulku, vaikka se saattaisi altistaa turvallisuusmielessä uusille riskeille. Riskien hallinnan ja turvallisuuden tarkoituksena ei saisi lähtökohtaisesti olla asioiden estäminen, vaan ennen kaikkea mahdollistaminen tiettyjen rajojen puitteissa.

Omalta osaltaan lusikkansa soppaan on ansiokkaasti työntänyt Sähkötieto ry., joka on juuri julkaissut Verkottuneen talotekniikan tietoturva -ohjeiston (ST 22). Ohjeiston tarkoituksena on toimia apuna verkottuneen AV-, turvallisuus- ja rakennusautomaatiojärjestelmän tietoturvan varmistamiseksi. On hyvä, että ohjeisto on saatu kasaan avuksi taloteknistenjärjestelmien suunnittelijoille ja rakentajille, vaikkakaan se ei tarjoa yksiselitteisiä, yleismaallisia, joka tilanteeseen sopivia pakettiratkaisuja. Päinvastoin, ohjeisto pyrkii enemmän painottamaan riskien hallintaa, ennakointia ja varautumista, ja sitä myöten oikeiden suojaustoimenpiteiden löytymistä ja ylläpitämistä.

Tämä luo haasteita sille, miten suunnittelijat ja konsultit sekä järjestelmien rakentajat ja toimittajat saavat paketoitua nämä uudet tiedot ja ohjeet järkeviksi kokonaisuuksiksi tarjoamiinsa palveluihin tai tuotteisiin. Ja vielä siten, että asiakas ymmärtää saamansa lisäarvon.  Asiakas uskoo ja luottaa ostavansa turvallisen tuotteen tai palvelun, joten se pitää myös asiakkaalle pystyä tarjoamaan.

Riskialtis ”ei meillä ennenkään…” -ajattelu

Ongelma usein on, että on vaikea löytää maksajaa etukäteen tehtävälle riskienhallintatyölle ja -suunnittelulle. Turvallisuus, varsinkin siihen liittyvät suunnittelu- ja riskienhallintatyöt, nähdään usein vain kulueränä. ”Kun ei ole ennen tapahtunut, ei tule myöskään tulevaisuudessa tapahtumaan” -ajattelutapa on usein yleinen, puhuttaessa liiketoiminnan eri osa-alueiden riskien hallinnasta.

Riippumatta filosofisesta maailmankatsomuksesta, tulevaisuutta on aina vaikea ennustaa. Turvallisuuteen ja riskien hallintaan tähtäävät toimet eivät ole tae tai vakuutus siitä, että prosesseissa ei voisi tapahtua häiriöitä ja ongelmia. Tai siitä, että kriisejä ei syntyisi.

Riskien hallintaan ja turvallisuuteen satsattuja toimia voisi enemmänkin ajatella samalla tavoin kuin teltan kipinävartiointia: pääsääntöisesti palonalut saadaan ehkäistyä ja pienemmät tulipalonalut sammutettua, mutta on mahdollista myös, että tuli ottaa hetkellisesti vallan kipinävartijan nukahtaessa päivystysvuorollaan. Hyvän varautumisen johdosta apu on kuitenkin jo lähellä ja nopeasti saatavilla, jolloin pahimmat tuhot saadaan ehkäistyä ja pystytään nopeammin toipumaan kriisistä kohti normaalia toimintaa.

Vaikka hyökkäykset automaatiojärjestelmien kautta eivät tiettävästi ole vielä kovin yleisiä, on nyt viimeistään oikea hetki reagoida niiden tietoturvallisuusheikkouksiin. Tämä onnistuu vain hyvällä yhteistyöllä automaatiojärjestelmän tilaajan, suunnittelijan, rakennuttajan ja valmistajan välillä.

Kenelle vastuu automaatiojärjestelmien tietoturvallisuudesta lopulta kuuluu? Mitkä ovat riskien hallinnallisesti riittävät toimet kyseisiä järjestelmiä suunniteltaessa ja rakentaessa? Näihin kysymyksiin tulisi aina löytää vastaukset. Alkuun päästää jo sillä, että tiedostamme järjestelmiin sisältyvän turvallisuusriskejä, jotka voivat vaikuttaa oleellisesti liiketoimintaamme.

Kirjoittaja Janne Helenius on Granlundin turvallisuuskonsultti. Lisää yritys- ja toimialaturvallisuudesta Granlundin sivuilta.