Digitaalinen korjausvelka ei katoa paikkaamalla sieltä täältä
Tuoreet tietoturvahaavoittuvuudet muistuttavat julkisen sektorin digitaalisen infrastruktuurin uudistamistarpeesta. Digitaalinen peruskorjaus voisi vahvistaa julkisten palvelujen turvallisuutta ja tuottavuutta sekä luoda edellytyksiä uusien teknologioiden hyödyntämiselle.
Viime viikolla PHP-ohjelmointikielestä löytyi haavoittuvuuspari, joka pakotti ajamaan alas verkkopalveluja niin Suomessa kuin maailmalla. Kirjoitin tammikuussa, että digitaalinen korjausvelka on kuin huomaamaton kosteusvaurio. Nyt se ei enää ole huomaamaton.
PHP2Shell-nimen saaneet haavoittuvuudet mahdollistavat verkkopalvelimen kaappaamisen etänä, ja ne koskevat lähes kaikkia vuoden 2012 jälkeen julkaistuja PHP-versioita – eli noin 70:tä prosenttia maailman verkkosivuista. Suomessa alasajon vaikutukset näkyivät päiviä muun muassa Maanmittauslaitoksen ja oikeus.fi:n palveluissa. Myös Teknologiateollisuuden omat sivut olivat haavoittuvuuden piirissä, ja ajoimme ne alas korjauksen ajaksi.
Haavoittuvuus tunnettiin vuosia, mutta sitä ei korjattu, koska toimivaa hyökkäystä ei pidetty mahdollisena. Se, mikä teki hyökkäyksestä nyt mahdollisen, oli tekoäly. Löytäjät kaivoivat haavoittuvuudet esiin uusimpien kielimallien avulla. Tekoäly on laskenut haavoittuvuuksien löytämisen hinnan murto-osaan – sekä puolustajille että hyökkääjille.
Tekoälyn vaikutuksiin kyberturvallisuudessa on syytä varautua koko yhteiskunnassa. PHP2Shell ei tule olemaan poikkeus: vastaavia tulee löytymään lisää. Ensimmäisenä haavoittuvuudet osuvat sinne, missä koodi on usein vanhinta, eli julkisen sektorin perusjärjestelmiin.
Kosteusvaurioisessa talossa voi vaihtaa tapetit, mutta home ei lähde. Vuosikymmenen ikäistä järjestelmää ei saada tietoturvalliseksi kerros kerrokselta, koska sen perusta on ajalta ennen nykyisiä uhkia ja jokainen paikka lisää monimutkaisuutta, jota kukaan ei enää hallitse. Siksi modernisointi puhtaalta pöydältä on monessa tapauksessa ainoa realistinen tie: tuettu alusta, pienempi hyökkäyspinta ja arkkitehtuuri, joka olettaa, että haavoittuvuuksia löytyy jatkuvasti ja ne korjataan tunneissa, ei kuukausissa.
Pelkkien tietojärjestelmien sijaan kyse on julkisten palvelujen toimivuudesta, turvallisuudesta ja siitä, miten tehokkaasti yhteisiä varoja käytetään.
Julkinen sektori käytti vuonna 2023 ICT-palveluihin yli 3,4 miljardia euroa, ja arviolta jopa yli 80 prosenttia IT-menoista kuluu vanhojen järjestelmien ylläpitoon. Yksi tehokkaimmista keinoista olisi rahoittaa uudet ohjelmistoinvestoinnit ajamalla alas vanhoja järjestelmiä, joiden ylläpito on kallista ja tuottamatonta. Tällainen peruskorjaus ja modernisointi ei vain vähentäisi vanhojen järjestelmien haavoittuvuuksia, vaan voisi myös mahdollistaa julkisen sektorin tekoälymuutoksen hyötyjen ulosmittauksen.
Digitaalinen korjausvelka on koko yhteiskuntaa koskeva ongelma ja esimerkki siitä, miksi teknologiapolitiikka tarvitsee nykyistä vahvempaa johtamista. Pelkkien tietojärjestelmien sijaan kyse on julkisten palvelujen toimivuudesta, turvallisuudesta ja siitä, miten tehokkaasti yhteisiä varoja käytetään.
Teknologiateollisuus esittää seuraavalle hallitukselle valtion digitaalista peruskorjausta. Sen perustaksi tarvitaan hallituskausien yli ulottuva investointisuunnitelma, jolla valtionhallinnon digitaalista korjausvelkaa vähennetään järjestelmällisesti. Digitaalista infrastruktuuria pitäisi kehittää yhtä pitkäjänteisesti kuin liikenneverkkoja.
Myös rahoituksen painopistettä tulee muuttaa: esitämme, että jatkuvien ICT-palvelujen ylläpitokustannuksista siirretään 15 prosenttia tuottavuutta parantaviin digitalisaatioinvestointeihin. Lisäksi hallinnon yhteisten digitalisaatiohankkeiden rahoitus on saatava toimimaan niin, etteivät hallinnonalojen rajat estä järkeviä uudistuksia.
Esitimme lokakuun alussa teknologiapoliittiset linjauksemme, joissa vaadimme teknologiapolitiikan nostamista valtion strategisen päätöksenteon ytimeen. Digitaalinen peruskorjaus on konkreettinen esimerkki siitä, mitä määrätietoisella johtamisella pitäisi saada aikaan.
Kosteusvaurio ei korjaannu tapetteja vaihtamalla. Myöskään digitaalinen korjausvelka ei katoa paikkaamalla vanhoja järjestelmiä loputtomiin. Seuraavan hallituksen on käynnistettävä peruskorjaus, ennen kuin lasku kasvaa entisestään.
Lisätietoja
Peltola Ville
Päällikkö, tekoäly ja data – Teknologiat, tieto ja innovaatiot Teknologiateollisuus ryDigitalisaatio ja datatalous
Digitalisaatio ja data ovat keskeisiä tekijöitä talouskasvussa, kilpailukyvyssä ja julkisten palveluiden uudistamisessa. Suomen ja Euroopan on luotava parhaat mahdolliset puitteet datan ja digitaalisten ratkaisujen hyödyntämiselle kaikilla sektoreilla.
- Vauhditetaan teollisuuden digitalisaatiota. Kehitetään datan hyödyntämistä, datan jakamisen mahdollisuuksia ja teollisen datan ratkaisuja sekä varmistetaan, että yritykset hyödyntävät EU-sääntelyn avaamat mahdollisuudet.
- Edistetään tekoälyn kehitystä ja käyttöönottoa. Panostetaan tekoälyinnovaatioihin, laajennetaan käyttöönottoa eri sektoreilla ja puretaan sääntelyn esteitä erityisesti julkishallinnossa.
- Uudistetaan julkinen sektori digiaikaan. Parannetaan ICT-hankintoja, vahvistetaan datan jakamisen edellytyksiä ja kehitetään julkisia digipalveluja sekä teknologista osaamista pitkäjänteisesti.
- Panostetaan Suomen digiteknologisten vahvuuksien kasvuun. Esim. puolijohteiden, kyberturvallisuuden ja kvanttiteknologian kasvua vahvistettava panostamalla T&K-toimintaan, osaamiseen ja EU-tason toimintaympäristön tukeen.