Venäjän uhkaan varautuminen

Suoran sotilaallisen hyökkäyksen riski yritysten toimitiloihin tai yritystoimintaan Suomessa on tällä hetkellä yleisesti arvioitu suhteellisen matalaksi. Suomi ei ole kuitenkaan eristetty saari.

Maantieteellinen läheisyys Venäjään, kiristyneet suurvaltajännitteet ja Venäjän aktiivinen hybridistrategia tekevät Suomesta kiinnostavan kohteen vaikutus- ja häirintäyrityksille. Näiden piirteiden vuoksi uhkat ovat useimmiten monimuotoisia, epäsuoria ja pitkäkestoisia, eivät yksittäisiä iskuja.

Keskeinen muutos turvallisuusympäristössä on kyber- ja informaatioportaiden merkityksen kasvu. Kyberhyökkäykset, kiristysohjelmat, tietomurrot sekä sosiaalisen median ja uutisympäristöjen kautta toteutettu vaikuttaminen ovat yleistyneet merkittävästi ja voivat vaikuttaa nopeasti liiketoiminnan jatkuvuuteen, maineeseen ja oikeudellisiin velvoitteisiin.

Myös toimitusketjujen haavoittuvuudet, kuten energian, raaka-aineiden ja kuljetusreittien riippuvuudet voivat aiheuttaa vakavia häiriöitä ilman, että niiden taustalla olisi suoraa sotilaallista toimintaa.

Venäjän aiheuttama uhka Suomen turvallisuudelle ei ole tällä hetkellä välitön, mutta se on herkästi syttyvä. Venäjän päätöksenteko on arvaamatonta ja sen keinovalikoima laaja.

Yrityksille tämä tarkoittaa, että varautumisen on oltava jatkuvaa ja ennakoivaa. Kriisit eivät välttämättä ala näkyvällä hyökkäyksellä, vaan ilmenevät häiriöinä tietoliikenteessä, logistiikassa tai informaatiokentässä, eli järjestelmissä, jotka ylläpitävät koko yhteiskunnan toimintaa.

Turvallisuuden näkökulmasta suurin virhe olisi ajatella, että “se ei koske meitä”. Päinvastoin, juuri yritysten kyky toimia nopeasti ja johdonmukaisesti kriisin hetkellä määrittää, kuinka hyvin Suomi kestää seuraavan äkillisen eskalaation.

Venäjän vaikutuskeinot ja yrityksiin kohdistuvat riskit
Venäjä käyttää laajasti hybridivaikuttamisen keinoja, kuten kyberhyökkäyksiä, tiedustelua, informaatiovaikuttamista ja taloudellista painostusta. Näiden toimien tarkoituksena ei välttämättä ole välitön sotilaallinen hyökkäys, vaan yhteiskunnan heikentäminen sisältäpäin ja epäluottamuksen luominen instituutioihin.

Yritykset ovat erityisen kiinnostavia kohteita, sillä ne hallitsevat kriittisiä tietoja ja infrastruktuuria energia-, logistiikka-, tietoliikenne- ja finanssialoilla. Kyberuhat ovat konkreettisin esimerkki tästä.

Palvelunestohyökkäykset, tietovuodot ja haittaohjelmat voivat lamauttaa yrityksen toiminnan, mutta niiden vaikutus ulottuu paljon laajemmalle. Esimerkiksi energiaverkon tai satamatoiminnan häiriö voi lamaannuttaa koko yhteiskunnan.

Lisäksi Venäjä hyödyntää taloudellisia ja psykologisia vaikuttamiskeinoja, kuten disinformaatiokampanjoita ja tekaistuja uutisia, heikentääkseen luottamusta suomalaisiin toimijoihin ja horjuttaakseen yhteiskunnallista yhtenäisyyttä.

Sabotaasi-iskujen ja nukkuvien agenttien uhka ei ole pelkkää fiktiota, vaan osa hybridisodan todellisuutta. Kyse ei välttämättä ole räjähteistä tai fyysisistä iskusta, vaan pienistä, mutta vaikutuksiltaan suurista teoista. Riski suurista fyysisistä iskuista on Suomessa edelleen alhainen, mutta sisäisten uhkien merkitys kasvaa jatkuvasti, koska pienikin sabotaasi voi aiheuttaa mittavaa vahinkoa kriittiselle infrastruktuurille ja yhteiskunnan toimintakyvylle.

Yritysten rooli kansallisessa turvallisuudessa on keskeinen. Yrityksen on nähtävä turvallisuusinvestoinnit osana strategista johtamista ja vastuullisuutta, ei pelkkänä kulueränä. Luottamus, tietoisuus ja yhteistyö ovat tehokkaimmat vastalääkkeet näkymättömille uhille.

Suomen turvallisuus perustuu lopulta siihen, että yhteiskunnan eri toimijat, viranomaiset, yritykset ja yksilöt tunnistavat yhteisen vastuunsa ja toimivat sen mukaisesti. Kuten historia osoittaa, suurimmat vahingot eivät aina aiheudu avoimista hyökkäyksistä, vaan niistä, joita ei huomattu ajoissa.

Yritysten varautumisen keskeiset osa-alueet

Kyberturvallisuus
Ensimmäinen ja keskeisin varautumisen osa-alue on kyberturvallisuus. Yritysten on tunnistettava kriittiset tietojärjestelmänsä ja suojattava ne monitasoisesti. Tämä tarkoittaa monivaiheista tunnistautumista, ajantasaisia ohjelmistopäivityksiä, verkosta irrotettuja varmuuskopioita ja henkilöstön säännöllistä kouluttamista. Kyberresilienssi ei ole enää IT-osaston tehtävä, vaan osa yrityksen strategista johtamista.

Huoltovarmuus ja toimitusketjut
Toinen keskeinen osa-alue on huoltovarmuus ja toimitusketjujen turvaaminen. Yritysten tulee tunnistaa, mitkä raaka-aineet, palvelut ja logistiikkareitit ovat riippuvaisia Venäjästä tai sen vaikutuspiiristä. Vaihtoehtoisten toimittajien kartoittaminen, kriittisten materiaalien varastointi ja yhteistyö Huoltovarmuuskeskuksen toimialapoolien kanssa lisäävät yrityksen ja koko yhteiskunnan kriisinsietokykyä.

Henkilöstön ja tiedon turvallisuus
Kolmas osa-alue liittyy henkilöstön ja tiedon turvallisuuteen. Jokainen työntekijä voi toimia porttina ulkopuoliseen vaikuttamiseen. Siksi henkilöstön tietoisuus tietoturvasta, vakoilun riskeistä ja kriisitilanteiden toimintamalleista on olennaista. Yrityksen sisäisen viestinnän on oltava selkeää ja harjoiteltua myös poikkeustilanteissa, joissa sähköiset järjestelmät eivät ole käytettävissä.

Strateginen viestintä ja maineenhallinta
Venäjän informaatio-operaatiot voivat kohdistua yksittäisiin yrityksiin, esimerkiksi levittämällä valheellisia tietoja niiden toiminnasta. Tämän vuoksi yritysten on suunniteltava kriisiviestintänsä etukäteen ja rakennettava luottamusta sidosryhmiin. Luottamus ja avoimuus ovat tehokkaimpia keinoja hybridivaikuttamista vastaan.

Yhteistyö viranomaisten kanssa
Suomessa on poikkeuksellisen kehittynyt viranomaisverkosto yritysten tueksi. Huoltovarmuuskeskus, supo ja Traficomin Kyberturvallisuuskeskus tarjoavat tietoa, koulutusta ja varoituksia, joita yritysten kannattaa hyödyntää aktiivisesti. Yhteistyö viranomaisten ja muiden alan toimijoiden kanssa vahvistaa paitsi yrityksen omaa valmiutta myös koko kansallista turvallisuutta.

Erityisen tärkeää on, että yritykset eivät toimi eristyksissä. Supon linjaus “turvallisuus syntyy yhteistyöstä” koskee elinkeinoelämää. Yritysten välinen luottamus, avoin tiedonvaihto ja yhteiset harjoitukset voivat ratkaista, kuinka hyvin Suomi kestää tulevia kriisejä.

Kokonaisuhka yritysten näkökulmasta
Venäjän vaikuttaminen suomalaisiin yrityksiin voi ilmetä:

Kyberhyökkäyksinä (tietomurrot, palvelunestohyökkäykset, haittaohjelmat)
Tiedusteluna ja vakoiluna (henkilöstön tai alihankkijoiden kautta)
Logistiikan ja toimitusketjujen häirintänä
Energian, raaka-aineiden ja tietoliikenneyhteyksien häiriöinä
Informaatio- ja mainevaikuttamisena (disinformaatio, tekaistut uutiset)
Taloudellisena painostuksena tai valtion tukemina yritysostoina

Keskeiset suositukset yritysten varautumiselle Venäjän uhkaan
Seuraavat toimenpiteet muodostavat käytännön rungon suomalaisyritysten varautumiselle Venäjän aiheuttamia epäsuoria uhkia vastaan.

Tee kriittisten järjestelmien ja toimintojen riskikartoitus, jossa selvitetään, missä yrityksessä on haavoittuvuutta kyber-, toimitusketju- tai vaikutusoperaatioiden kautta.
Panosta kyberturvallisuuteen, kuten monivaiheiseen tunnistautumiseen, varmuuskopiointiin ja tilannekuvan ylläpitoon.
Tee yhteistyötä viranomaisten kanssa ja seuraa supon, Traficomin Kyberturvallisuuskeskuksen ja Huoltovarmuuskeskuksen tiedotteita.
Harjoittele poikkeustilanteita. Laadi toimintamallit kyberhäiriöiden, toimitusketjukatkosten ja disinformaatiokampanjoiden varalle.
Varmista toimitusketjujen kestävyys, ettei synny yksittäisiä Venäjä-riippuvuuksia.
Varmista, että yrityksellä on valmius vastata informaatio- ja maineuhkiin.