Viranomaisselvitys: Vesihuoltolaitosten kyberturvallisuudessa puutteita

Selvityksen on laatinut Etelä-Savon ely-keskuksen alaisuudessa toimiva valtakunnallinen vesihuoltopalvelut-yksikkö. 

Sen viime lokakuussa julkaiseman raportin mukaan osassa siinä tarkastelluista vesihuoltolaitoksista ei esimerkiksi kerätty lokitietoja tietojärjestelmistä.

– Monet kyberturvallisuuden parantamiseksi vaadittavat toimet, myös tekniseltä kalskahtavat, edellyttävät koko vesihuoltolaitoksen toiminnan systemaattisuuden parantamista, todetaan selvityksessä.

Etenkin johdolle tarvittaisiin lisää koulutusta

Selvityksen haastatteluissa ilmeni, että eräs vastaaja ymmärsi riskin sähkökatkolle muttei sitä, että kyberhäiriö voisi aiheuttaa sähkökatkoa vastaavan tilanteen.

– Etenkin johdolle tarvittaisiin lisää koulutusta erilaisten kyberhäiriöiden ja -hyökkäysten vaikutuksesta toiminnan jatkuvuuteen, selvityksessä sanotaan.

Myös Huoltovarmuuskeskus on toissa vuonna julkaisemassa katsauksessaan arvioinut, että vesihuoltoalalla olisi it-turvallisuudessa parannettavaa.

Vesihuoltopäällikkö Jyrki Lammila Etelä-Savon ely-keskuksesta kertoo, että laitosten kyberturvallisuutta on sittemmin yritetty parantaa muun muassa hankerahoituksella.

– Koko ajan digitalisointi nousee laitoksilla ja siinä pitää myös turvallisuuden pysyä mukana, Lammila sanoo.

Lue myös: KRP tutkii: Jo kolmas murto vesihuollon kohteisiin Pirkanmaalla – "Ovesta murtauduttiin läpi väkivalloin"

KRP tutkii murtoja

Keskusrikospoliisi (KRP) tutkii parhaillaan muun muassa kolmea kesäkuussa Pirkanmaalla tapahtunutta murtoa. 

Poliisi selvittää parhaillaan motiivia ja sitä, onko tapauksilla yhteyttä toisiinsa. Julkisuudessa on raportoitu myös murtoyrityksistä muualla Etelä-Suomessa. 

Suojelupoliisi (supo) kertoo STT:lle toimittamassaan sähköpostivastauksessa, ettei se spekuloi sillä, mitä tekojen takana on.

Lammila Etelä-Savon ely-keskuksesta kertoo, että Venäjän Ukrainaan käynnistämän sodan jälkeen vesihuoltolaitoksissa on valpastuttu arvioimaan turvallisuusjärjestelyjä ja tekemään myös ilmoituksia epäilyttävästä toiminnasta. 

Laki ei velvoita tekemään epäilyttävistä tapahtumista ilmoituksia, mutta niitä on Lammilan tietoon tullut noin kymmenkunta vuodessa.

– On voitu yrittää murtautua johonkin, sitten on tullut drooni-ilmoituksia tai vastaavia, hän sanoo.

Sen sijaan ely-keskukselle pitää Lammilan mukaan ilmoittaa, kun vedenjakelussa ilmenee häiriö.

Suomen Kansallisen riskiarvion mukaan vakavia häiriöitä Suomen vesihuollolle voivat aiheuttaa esimerkiksi erilaisten kriittisten kemikaalien saatavuushäiriöt tai sähkö- tai tietoliikennekatkokset. 

Sähkön jakeluhäiriöt ovat riskiarvion mukaan merkittävin uhka vesihuollolle. Myös putkirikot voivat aiheuttaa häiriötä vedenjakelulle tai sen puhdistamiselle.

Lue myös: Tätä kaikkea talousveden keittokehotus koskee: Saako lemmikille juottaa hanavettä keittämättä?

"On lukittu paikkoja"

Vedenjakelu ja -puhdistus on Suomessa osa kriittistä infrastruktuuria, jonka pitäisi toimia vuorokauden ympäri vuoden jokaisena päivänä. 

Lammila arvioi, että vesihuoltolaitosten turvallisuustilanne on Suomessa kohtuullisen hyvä. Maassa on kaikkiaan yli 1 100 vesihuoltolaitosta.

– Nykyisin ja nyt viimeisten vuosien aikana siihen on selvästi kiinnitetty huomioon enemmän. On lukittu paikkoja, tehty aitaamista ja asennettu kameroita, sanoo Lammila.

Hän arvioi tilanteen hyväksi varsinkin suurissa yksiköissä ja laitokset tunnistavat Lammilan mukaan hyvin omat kriittiset kohteensa. 

Myös suojelupoliisista vastataan, että viranomaiset ovat kehottaneet kriittistä infrastruktuuria hallinnoivia tarkistamaan omia turvallisuusjärjestelyjään.

– Suomen kriittistä infrastruktuuria on vaikea lamauttaa ilman sotilaallista toimintaa tai tunkeutumista hyvin suojattuihin järjestelmiin. Tällainen vaikuttaminen vaatii paljon resursseja. Yhteiskuntamme on lähtökohtaisesti hyvin resilientti, supo arvioi.

Parannuksissa tulevat resurssit vastaan

Sen sijaan viranomaiset ovat tunnistaneet, että vesihuoltoalalla tulevat parannuksissa resurssit vastaan. 

Moni vesihuoltolaitos on kunnan pyörittämä tai siihen vahvasti kytkeytynyt, ja laitosten henkilöstömäärä on pieni. 

Lammila arvioi, että laitosten kokoerojen vuoksi turvallisuusjärjestelyjen taso voi eri laitosten kesken vaihdella.

Lainsäädäntö on kuitenkin tuomassa vesihuoltolaitoksille uusia vaateita parantaa omaa toimintavarmuuttaan. Uutta vesihuoltolakia koskeva esitys lähti lausuntokierrokselle maanantaina.