Ensin kielto, sitten perääntyminen

Kudankulamin ydinvoimalan tietomurto nousi kansalliseksi puheenaiheeksi tällä viikolla, kun Intian Nuclear Power Corporation (NPCIL) ensin kiisti, että maan suurimmassa ydinvoimahankkeessa olisi tapahtunut "arkaluontoista tietomurtoa", mutta myönsi myöhemmin, että kyberhyökkäys oli todellakin tapahtunut. The Hindu -lehden mukaan tapaus aiheutti lähteiden mukaan "täyden sekasorron" hankkeen ylimmän johdon keskuudessa, kun virkamiehet pyrkivät kiireesti selvittämään, mitä kiristysohjelmaryhmä oli päässyt käsiksi ja kuinka vakavasta tietovuodosta oikeasti oli kyse.

Tällä edestakaisella viestinnällä on merkitystä, sillä se pureutuu kriittisen infrastruktuurin toimijoiden tapaan viestiä yleisölle turvallisuuspoikkeaman aikana. Alun jyrkkä kieltäminen ja sitä päiviä myöhemmin seurannut vivahteikkaampi vahvistus rapauttavat yleensä yleisön luottamusta, vaikka taustalla olevat tosiasiat osoittautuisivatkin vähemmän hälyttäviksi kuin aluksi pelättiin. Kuten kerroimme aiemmassa uutisoinnissamme, NPCIL vahvisti myöhemmin vuodon käsittävän noin 19 000 tiedostoa mutta vakuutti, ettei ydinturvallisuuteen tai -turvajärjestelmiin ollut kajottu.

Mitä todellisuudessa paljastui

Kiistan keskiössä olevat tiedostot näyttävät liittyvän pikemminkin Kudankulam-hankkeessa työskentelevään alihankkijaan kuin NPCIL:n varsinaisiin reaktorinohjaus- tai turvallisuusinfrastruktuuriin. Tällä erottelulla on valtava merkitys kyberturvallisuuden näkökulmasta. Ydinlaitoksissa turvallisuuden kannalta kriittiset järjestelmät toimivat tyypillisesti täysin eristetyissä operatiivisissa teknologiaverkoissa (OT), jotka on erotettu hallinnollisista ja tavanomaisista IT-verkoista, joita käytetään hankintoihin, henkilöstöhallintoon, sopimuksiin ja yleisiin liiketoimintatoimintoihin. Kiristysohjelmaryhmän pääsy alihankkijan tiedostoihin on täysin erilainen skenaario kuin reaktorinohjausjärjestelmiin tunkeutuminen, vaikka kumpikin voi ymmärrettävästi huolestuttaa yleisöä, kun sanat "ydinvoima" ja "tietomurto" esiintyvät samassa otsikossa.

On kuitenkin syytä huomata, ettei poikkeaman vähätteleminen vain "tavanomaisiin järjestelmiin" kohdistuvana tarkoita, etteikö huolta olisi. Kuten aiemmassa raportissamme vahvistetusta vuodosta totesimme, lähes 19 000 tiedostoon kerrottiin päässeen käsiksi, ja ydinlaitoksen alihankkijoihin liittyvät tiedostot voivat silti sisältää arkaluonteisia operatiivisia yksityiskohtia, työntekijöiden ja toimittajien henkilötietoja, taloustietoja ja sisäistä kirjeenvaihtoa, joita vastustajat voivat käyttää vakoiluun, sosiaaliseen manipulointiin tai uusiin tunkeutumisyrityksiin myöhemmin.

Yksityisyydensuojaan kohdistuvat vaikutukset alihankkijoiden ja työntekijöiden kannalta

Kudankulamin ydinvoimalan tietomurto nostaa esiin yksityisyysriskin, joka usein jää kansallisen turvallisuuden näkökulman varjoon: ihmisillä, joiden henkilötiedot sijaitsevat alihankkijoiden järjestelmissä, on harvoin sananvaltaa siihen, miten hyvin kyseiset järjestelmät on suojattu. Kriittisen infrastruktuurin hankkeissa työskentelevät työntekijät, toimittajat ja alihankkijat luovuttavat rutiininomaisesti henkilöllisyystodistuksia, pankkitietoja ja työsuhteeseen liittyviä asiakirjoja kolmansille osapuolille, joilla ei välttämättä ole samanlaista tietoturvabudjettia tai valvontaa kuin ensisijaisella toimijalla.

Kun kiristysohjelmaryhmä väittää päässeensä käsiksi tuhansiin tiedostoihin, vaakalaudalla eivät ole ainoastaan yrityssalaisuudet. Kyse on tavallisten työntekijöiden henkilötiedoista, joilla ei ollut suoraa suhdetta ydinvoimalaitoksen toimijaan, mutta joiden tiedot kerättiin osana hankkeen liiketoimintaa. Tämä on toistuva teema toimitusketjuun kohdistuvissa tietomurroissa eri toimialoilla: heikoin lenkki ei useinkaan ole näkyvin organisaatio, vaan jokin sen monista alihankkijoista.

Mitä tämä tarkoittaa sinulle

Useimmat lukijat eivät ole NPCIL:n alihankkijoita, mutta tässä toistuva kaava on tuttu jatkuvasti eri toimialoilla. Jos olet joskus toimittanut henkilökohtaisia asiakirjoja myyjälle, urakoitsijalle tai alihankkijalle, joka työskentelee suuremman organisaation kanssa, tietojesi turvallisuus riippuu suuresti tämän pienemmän yrityksen tietoturvakäytännöistä, ei pelkästään tunnetun brändin maineesta.

Muutama käytännön askel, joita kannattaa harkita:

  • Jos työskentelet kriittiseen infrastruktuuriin liittyvän alihankkijan palveluksessa tai sen kanssa, kysy, mitä tietojen säilytys- ja turvakäytäntöjä henkilötietoihisi sovelletaan.
  • Tarkkaile työpaikan yksityiskohtiin viittaavia tietojenkalastelu- tai sosiaalisen manipuloinnin yrityksiä, sillä vuotaneista alihankkijoiden tiedostoista löytyy usein riittävästi kontekstia, jotta huijaussähköpostit näyttävät vakuuttavilta.
  • Käytä yksilöllisiä salasanoja ja ota käyttöön monivaiheinen tunnistautuminen kaikilla tileillä, jotka liittyvät työnantajan tai toimittajan portaaleihin, sillä kirjautumistietojen uudelleenkäyttö on yksi yleisimmistä tavoista, joilla alkuperäiset tietomurrot laajenevat suuremmiksi ongelmiksi.

Laajempi kokonaiskuva

Riippumatta siitä, mitä lopullinen tekninen arvio paljastaa, Kudankulamin ydinvoimalan tietomurto muistuttaa, ettei kriittisen infrastruktuurin turvallisuus tarkoita pelkästään reaktoreiden ja valvomoiden suojaamista. Se kattaa myös niitä ympäröivän laajan alihankkijoiden, toimittajien ja hallinnollisten järjestelmien verkoston, joista jokainen on mahdollinen sisäänpääsykohta ja joista jokainen sisältää oikeiden ihmisten oikeita henkilötietoja. Virallisten lausuntojen edelleen tarkentuessa lukijoiden kannattaa suhtautua alkuvaiheen kiistoihin terveellä skeptisyydellä ja odottaa todennettuja teknisiä yksityiskohtia sen sijaan, että olettaisivat pahinta – tai parasta – yhden lehdistötiedotteen perusteella.

Pysymällä ajan tasalla siitä, miten tällaiset poikkeamat etenevät, ja ymmärtämällä ero operatiivisen teknologian ja hallinnollisen IT-infrastruktuurin vaarantumisen välillä, on yksi yksinkertaisimmista tavoista erottaa todellinen riski otsikkoahdistuksesta.