“Luottamusta ei voi rakentaa keskellä kriisiä” – Digitaalinen varautuminen Itämerellä vaatii teknologian lisäksi byrokratian purkamista
Kriisi ei pysähdy rajalle, eivätkä sitä tee myöskään yritysten toimitusketjut. Vaikka Pohjoismaat ja Baltian maat rakentavat parhaillaan yhteisiä valmiuksia kyberuhkien havaitsemiseen ja torjuntaan, tositilanteessa ratkaisee se, tunnetko kollegan naapurimaassa, ja sujuuko kriittisen tiedon jakaminen yli rajojen ilman byrokraattisia esteitä.
”Luottamusta tai kontakteja ei voi alkaa etsiä keskellä kriisiä. Sen eteen on tehtävä töitä etukäteen”, tiivistää Viron oikeus- ja digitaaliministeriön kansainvälisen kyberturvallisuusyhteistyön johtaja Carmen Raal. Hän oli mukana seuraamassa TIETO26-valmiusharjoitusta syyskuun lopussa.
Suomi ja Viro jakavat saman uhkakuvan Itämeren alueella, samat arvot ja pitkän yhteistyöhistorian. Raalin mukaan poliittinen tahto alueellisen kyberturvallisuuden ja kriittisen infrastruktuurin suojaamiseen on jo olemassa. Nyt sen on muututtava käytännön operatiiviseksi toiminnaksi ja yhteisiksi teknisiksi työkaluiksi.
Teknologisten kyvykkyyksien rinnalla Raal korostaa inhimillistä tekijää ja säännöllisiä kasvokkain tapahtuvia tapaamisia.
”Emme voi aliarvioida sen voimaa, että tuntee tietokoneen takana olevan henkilön. Kun kriisi iskee, on tärkeää tietää, kenelle soittaa.” Hänen mukaansa tärkeitä kyberturvahankkeita suunniteltaessa ei voi jäädä kotimaahan, vaan on tavattava kasvokkain.
Poliittisesta tahdosta operatiiviseen yhteistyöhön
Konkreettinen esimerkki operatiivisesta yhteistyöstä on Nordic-Baltic Cyber Consortium (NBCC). Kyseessä Pohjoismaiden ja Baltian maiden yhteishanke, jota johtaa Tanska. Maat ovat päättäneet investoida yhdessä teknisiin valmiuksiin, jotta ne voivat vaihtaa tietoa kyberuhista, parantaa havainnointia ja ehkäistä hyökkäyksiä. Raalin mukaan laaja yhteinen tilannekuva auttaa kehittämään analyysikykyä, jotta kyberturvallisuuden kuva ei olisi tulevaisuudessa yhtä pirstaleinen aiemmin. Hankkeen avulla maat keräävät tietoa yhdessä, tulkitsevat uhkia tehokkaammin ja reagoivat nopeammin sekä kyber- että hybridiuhkiin.
Luottamus on ulotettava myös yrityksiin
Viranomaisten välinen luottamus ei yksin riitä, koska iso osa kriittisestä infrastruktuurista, kuten valokuitukaapelit, on yksityisen sektorin käsissä. Raal mainitsee hyvänä esimerkkinä Huoltovarmuuskeskuksen koordinoiman Merikarhu-hankkeen, jossa Suomen, Ruotsin ja Viron toimijat parantavat valmiutta korjata Itämeren merikaapeleita nopeasti yhdessä yksityisen sektorin kanssa.
”Merikarhu on hyvä esimerkki alueellisesta julkisen ja yksityisen sektorin yhteistyöstä. Juuri tämänkaltainen käytännönläheinen tekeminen on tulevaisuuden suunta”, Raal sanoo.
TIETO26-harjoituksessa yritykset nostivat kuitenkin esiin ongelman, johon Raalin mukaan ei vielä ole hyvää vastausta. Kun yritys korjaa häiriötä, joka vaikuttaa koko alueeseen, sen pitäisi samaan aikaan viestiä usean maan viranomaisille. Lisäksi luottamuksellisen tiedon jakaminen voi edellyttää erillisiä turvaselvityksiä jokaisessa maassa.
”Jääkö tieto jumiin byrokratian vuoksi, kun tilanne on kiireellinen?” Raal kysyy. Paneelissa hän kuvasi tilannetta yrityksen näkökulmasta: jos Viro, Suomi, Ruotsi ja Latvia kysyvät kaikki samoja kysymyksiä samaan aikaan, yhteistyö viranomaisten kanssa voi tuntua Pandoran lippaan avaamiselta. Raalin mukaan Pohjoismaiden ja Baltian maiden pitäisi ratkaista tämä ensin alueellisesti, ja yksityinen sektori on tarkoitus ottaa mukaan myös NBCC:n työhön.
Seuraavaksi tarvitaan alueellinen rajat ylittävä suurharjoitus
Raalin mukaan juuri harjoituksissa luottamus muuttuu paperilta käytännöksi. Niissä opitaan tuntemaan ihmiset, joille kriisissä soitetaan, ja löydetään kohdat, joissa tieto ei kulje.
TIETO26-harjoitus teki häneen vaikutuksen. Raalin mukaan on merkittävää, että yksityinen ja julkinen sektori saadaan yhteisharjoitukseen useaksi päiväksi.
Raal katsoo jo tulevaisuuteen: kansallisten harjoitusten rinnalle tarvitaan aidosti monikansallisia skenaarioita. Virossa järjestettiin kesäkuussa laaja, lähes 4 000 osallistujan ILVES-harjoitus, jossa testattiin viranomaisten ja huoltovarmuuskriittisten toimijoiden kykyä vastata laajoihin hybridiuhkiin.
”Tulevaisuudessa meidän pitäisi pohtia TIETO- ja ILVES-harjoitusten yhdistämistä. Toimitusketjut ovat monimutkaisia, ja häiriö yhdessä maassa ei todennäköisesti jää paikalliseksi. Tarvitsemme yhteisiä rajat ylittäviä skenaarioita, joissa yritykset ja useiden maiden viranomaiset harjoittelevat yhteistä päätöksentekoa ja tiedonkulkua.”
Turvallisia tiedonvaihtokanavia ei Raalin mukaan voi rakentaa pelkästään asiakirjoilla.
”Jos emme kokeile tätä käytännössä, saatamme menettää arvokasta aikaa ja tietoa silloin, kun yrityksen on tavoitettava usean maan toimijoita samanaikaisesti.”
Teksti: Matti Lintulahti Kuvat: Meeri Utti
Carmen Raal toimi lokakuuhun 2026 asti Viron oikeus- ja digitaaliministeriön kansainvälisen kyberturvallisuusyhteistyön johtajana.
Hän osallistui TIETO26-harjoitukseen ja sen yhteydessä järjestettyyn paneeliin Pohjoismaiden ja Baltian kyberturvallisuusyhteistyöstä.
Raal siirtyi lokakuun lopussa Viron talous- ja viestintäministeriöön johtamaan talouspoliittisia kokonaisuuksia.