Page 54

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 53 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Kyberturvallisuuskeskuksen asiantuntijaa lainaten, toki organisaatioiden on silti hyvä huomioida erilaisten mobiilihaittaohjelmien mahdollisuus tietoturvauhkia kartoittaessa ja arvioida sitä, millainen riski organisaatiolla tai sen henkilöstöllä on joutua erilaisten haittaohjelmien uhreiksi. Tähän voi vaikuttaa esimerkiksi organisaation asiakaskunta, toimiala tai toiminnan luonne, missä maissa tai millä alueilla organisaatio toimii jne. Pegasus yhdistetään useimmiten APT-toimijoihin. No niin nyt tuli uusi termi, Advanced Persistent Threat, suomeksi edistynyt jatkuva uhka. Kybervakoiluoperaatiot useimmiten nimetään lyhenteellä APT + numeroyhdistelmä. APT on osa ohjattua, suunnitelmallista valtiollista vakoilua. Hyökkäyksen tavoitteena on kerätä arkaluontoista tietoa ja pysyä verkossa pitkäaikaisesti mahdollisesti tuhoisilla seurauksilla. APT käyttää jatkuvia, salakähmäisiä ja kehittyneitä hyökkäysmenetelmiä ja niiden kohteina ovat tyypillisesti korkea-arvoiset kohteet kuten valtiot ja suuryritykset. APT hyökkäykset voivat kohdistua myös pienempiin yrityksiin, jotka ovat osa toimitusketjua askeleen korkea-arvoiseen kohteeseen. Esimekkinä APT28 (Venäjä), APT10 (Kiina). https://supo.fi/apt-operaatiot https://supo.fi/yritysturvallisuus https://fi.wikipedia.org/wiki/Advanced_Persistent_Threat Olisiko syytä miettiä varavaihtoehtoja yhdysvaltalaisten järjestelmien tilalle? Varavaihtoehtojen miettiminen on perusteltua, etenkin jos yrityksen toimintaan liittyy tietoturva, tietosuoja tai riippumattomuusvaatimuksia. Johtavan maailmanlaajuinen yritysteknologian online-uutisjulkaisu The Register artikkelin mukaan Britanniaa kehotettiin irrottautumaan yhdysvaltalaisista teknologiajättiläisistä digitaalisen suvereniteetin pelon kasvaessa. Open Rights Group varoittaa poliitikkoja siitä, että Yhdistynyt kuningaskunta tukeutuu aivan liian voimakkaasti siihen, että yhdysvaltalaiset teknologiayritykset ajavat kriittisiä järjestelmiä. https://www.theregister.com/2026/01/06/uk_urged_to_unplug_from/ Microsoft 365 on yrityksissä standardi, koska se on laajalti käytössä ja tarjoaa laajan, toisiinsa integroituvan ekosysteemin, johon monet organisaatiot ovat rakentaneet toimintansa. Sen käyttöliittymät ja tiedostomuodot ovat tuttuja, ja palvelu täyttää useimmat yritysten hallinnan, tietoturvan ja tuen perusvaatimukset. Silti on perusteltua pohtia varavaihtoehtoja yhdysvaltalaisille järjestelmille, sillä Microsoft on yhdysvaltalainen yhtiö ja sen palvelut kuuluvat Yhdysvaltojen tiedustelulakeihin, kuten CLOUD Actiin. Tämä voi aiheuttaa tietosuoja- ja luottamuksellisuusriskin erityisesti silloin, kun käsitellään arkaluonteista tai EU-alueen sisällä säilytettävää tietoa. Lisäksi yhden toimittajan ekosysteemiin sitoutuminen lisää riippuvuutta toimittajasta ja altistaa hinnoittelun tai käyttöehtojen muutoksille ilman todellista vaikutusmahdollisuutta. Geopoliittisesti myös EU ja Suomi ovat korostaneet digitaalista suvereniteettia ja