Rune Hillebo Wiinberg & Johan Callmyr
Kyberturvallisuudesta tulee osa tuotetta – oletko valmis?
Kyberturvallisuutta voitiin pitkään käsitellä erillään tuotekehityksestä. Ensin rakennettiin tuote ja varmistettiin, että se toimii, ja sen jälkeen lisättiin tarvittava suojaus. Yhdistettyjen tuotteiden kohdalla tämä lähestymistapa on yhä vaikeampi. Tuotteet kommunikoivat muiden laitteiden, pilvipalvelujen ja liiketoimintajärjestelmien kanssa. Ohjelmisto kehittyy edelleen senkin jälkeen, kun tuote on tullut markkinoille. Samalla uusia haavoittuvuuksia löydetään jatkuvasti ja kyberturvallisuusvaatimukset tiukentuvat.
Yksittäisestä tietoturvaominaisuudesta toimintatavaksi
Tuloksena on perustavanlaatuinen muutos: kyberturvallisuudesta tulee osa itse tuotetta. Siksi se on huomioitava ensimmäisistä suunnittelupäätöksistä aina tuotteen elinkaaren viimeiseen päivään asti.
Mikä tekee tuotteesta kyberturvallisen?
Ilmeinen vastaus voisi olla tekniset ominaisuudet, kuten Secure Boot, salattu tallennus, suojattu tiedonsiirto tai pääsynhallinta. Ne kaikki ovat tärkeitä tuotteen ja siihen liittyvien riskien mukaan.
Kyberturvallisuus on kuitenkin enemmän kuin yksittäisten tietoturvaominaisuuksien summa. Ajatellaan esimerkiksi ohjelmistopäivityksiä. Tuote voi tukea etäpäivityksiä, mutta kuka päättää, milloin päivitystä tarvitaan? Miten se testataan? Mistä tiedetään, että asennettavaan ohjelmistoon voidaan luottaa? Entä miten uusia haavoittuvuuksia seurataan sen jälkeen, kun tuhansia tuotteita on jo otettu käyttöön?
Yhtäkkiä kyse ei olekaan vain teknologiasta. Kyse on kehitysprosesseista, vastuista, dokumentoinnista, ylläpidosta ja yhteistyöstä koko organisaatiossa.
Turvallisuus alkaa riskien ymmärtämisestä
Ei ole olemassa yhtä yleispätevää tietoturva-arkkitehtuuria, joka sopisi kaikille yhdistetyille tuotteille.
Arkaluonteisia potilastietoja käsittelevään lääkinnälliseen laitteeseen liittyy erilaisia riskejä kuin teollisuusohjaimeen. Yhdistetty kuluttajatuote puolestaan kohtaa erilaisia haasteita kuin eristetyssä teollisuusympäristössä toimiva laite. Siksi riskiperusteinen lähestymistapa on niin tärkeä.
Kyberturvallisuuden riskiarvioinnin avulla voidaan kartoittaa tuote, tunnistaa mahdolliset hyökkäyspinnat ja ymmärtää seuraukset, jos jokin menee pieleen. Tämän pohjalta tiimit voivat määrittää sopivan suojaustason ja priorisoida toimenpiteet, jotka tuottavat eniten arvoa.
Tämä on käytännöllisempi lähestymistapa kuin mahdollisimman monen tietoturvaominaisuuden lisääminen. Hyvässä kyberturvallisuudessa ei ole kyse korkeimman mahdollisen muurin rakentamisesta, vaan siitä, että ymmärretään, mitä pitää suojata – ja miksi.
Turvallisuus osaksi arkkitehtuuria
Tässä security by design astuu kuvaan. Sen sijaan, että kysyttäisiin tuotteen valmistuttua, miten se suojataan, turvallisuudesta tehdään yksi arkkitehtuurin lähtökohdista.
Sulautetussa tuotteessa tämä voi tarkoittaa Root of Trust- ja Secure Boot -prosessien luomista, avainten ja sertifikaattien suojaamista, kriittisten toimintojen käyttöoikeuksien rajoittamista sekä sen varmistamista, että ohjelmisto voidaan päivittää turvallisesti.
Se voi tarkoittaa myös toimintojen poistamista. Jokainen tarpeeton rajapinta, palvelu tai ohjelmistokomponentti voi kasvattaa hyökkäyspintaa. Joskus älykkäin tietoturvaominaisuus on yksinkertaisesti se, ettei tuotteessa ole ominaisuutta, jota ei tarvita.
Tuotteen lanseeraus on vasta alku
Yksi suurimmista ajattelutavan muutoksista liittyy aikaan tuotekehityksen jälkeen.
Yhdistetty tuote voi olla käytössä vuosia. Tänä aikana käyttöjärjestelmistä, kirjastoista, ohjelmistokehyksistä ja muista ohjelmistokomponenteista voidaan löytää uusia haavoittuvuuksia. Valmistajan on siksi tiedettävä, mitä tuote sisältää, ja pystyttävä reagoimaan muutoksiin.
CVE-seuranta – eli tunnettujen Common Vulnerabilities and Exposures -haavoittuvuuksien seuraaminen – auttaa tunnistamaan olennaisia tietoturvaongelmia. Pelkkä hälytys ei kuitenkaan ratkaise mitään. Tiimit tarvitsevat myös prosessit haavoittuvuuden arviointiin, tuotteeseen kohdistuvan riskin ymmärtämiseen, korjaavan toimenpiteen kehittämiseen ja päivityksen testaamiseen.
Näin kyberturvallisuudesta tulee jatkuva vastuu koko elinkaaren ajaksi yhden tuotekehitysvaiheen sijaan.
Haaste – ja mahdollisuus
Uudet kyberturvallisuusvaatimukset lisäävät kiistatta tuoteyritysten työtä. Nykyisiä arkkitehtuureja voidaan joutua muuttamaan. Kehitysprosesseista voi olla tarpeen tehdä järjestelmällisempiä. Aiemmin epämuodolliset vastuut voidaan joutua määrittelemään ja dokumentoimaan selkeästi.
Kehityksellä on kuitenkin toinenkin puoli. Yritykset, jotka tuntevat tuotteensa, ohjelmistonsa ja haavoittuvuutensa, saavat paremman hallinnan tuotteen elinkaaresta. Turvalliset päivitysmekanismit voivat helpottaa tuotteiden ylläpitoa. Järjestelmälliset kehitysprosessit voivat parantaa laatua ja jäljitettävyyttä.
Kun asiakkaiden tietoisuus kyberturvallisuudesta kasvaa, kyky osoittaa, että turvallisuus on huomioitu tuotteen koko elinkaaren ajan, voi myös olla tärkeä osa luottamuksen rakentamista.
Kyberturvallisuus siirtyy tuotekehityksen reunoilta sen ytimeen. Kiinnostava kysymys ei enää ole, tarvitsevatko yhdistetyt tuotteet kyberturvallisuutta. Kysymys on siitä, miten rakennamme tuotteita, jotka voivat säilyä turvallisina jatkuvasti muuttuvassa maailmassa.
Tutustu
Lue lisää oivalluksistamme
Osaamisalueitamme
Kirjoittajista
Rune Hillebo Wiinberg toimii Prevasin kyberturvallisuusjohtajana (Head of Cybersecurity) ja on työskennellyt sulautettujen sekä turvallisten, yhdistettyjen tuotteiden parissa vuodesta 2007. Hänellä on kokemusta energia-alalta, lääkintäteknologiasta ja puolustusteollisuudesta. Hän neuvoo asiakkaita organisaation eri tasoilla ja auttaa yhdistämään liiketoiminnan prioriteetit, sääntelyvaatimukset ja teknisen tuotekehityksen.
Johan Callmyr on Software Architect, jolla on yli 20 vuoden kokemus C++-ohjelmoinnista ja sulautettujen laitteiden ohjelmistoista. Hän yhdistää teknisen osaamisensa kokemukseen ohjelmistoarkkitehtuurista, teknisestä johtamisesta, kyberturvallisuudesta sekä kehitystyöstä säännellyillä aloilla, kuten lääkintäteknologiassa. Software Architect- ja Software Lead -rooleissa hän auttaa asiakkaita rakentamaan kestäviä, turvallisia ja toimintavarmoja ohjelmistoratkaisuja monimutkaisiin tuotteisiin.