Tere, Kuku raadio kuulaja, on laupäev ja taas on eetris ITR-i saade Restart. Meie saadet toetab ITL ja saadet juhin mina, Henrik Aavik. Tänane saade räägib IT turvalisusest, aga mitte ainult lihtsalt IT turvalisusest, vaid me räägime nendest arvutitest, kus ei jookse kurjade lindude mängvaid, mis juhivad võimsaid riiklikke süsteeme ja, ja automaatikat meie ümber. Sellest teemast on meil stuudios rääkimas Riigi Infosüsteemi Ameti küberturbe ekspert Ragnar Ratas ja Kaspar Kaarlep, kes on Elektrilevi automaatika projektijuht. Et mis see SKADA siis on?
Skaalas mitte, et tegelikult on üks niisugune mõiste, võib-olla veel on nagu elutähtsad teenused, mida hetkel Eesti riigis on nelikümmend kolm tükki ja sinna alla kuuluvadki ütleme, andmesidevõrgu toimimine, sigas-elektrivõrgu toimimine ja nii edasi, ja noh, tõsi ta on, et need skaadad, mis just sai nimetatud, need on ka nii-öelda tükikesed elutähtsate teenuste osutamisest ja need infosüsteemid, mis seal taga on, on, on ka nagu need infosüsteemid, mis meie kui Riia huviorbiit kuuluvad.
Põhimõte on ikkagi selline, et teenuse turvalisuse eest vastutab teenusepakku ise, et ei, ei ole riigis kusagil niisugust salajast maaelust tiimi, kes nii-öelda tuleks vajadusel välja ja hakkaks kaitsma, kui midagi halvasti läheb, et peab olema niisugune kuidagi jagatud vastutus riigi ja ütleme siis ettevõtete vahel, et mida riik saab omalt poolt teha, on see, et me kindlasti koolitame, anname nõu, ma ei tea, teeme õppusi, ütleme... Edendame niisugust kui see oli, kommu, kommuunielu või ütleme siis teadlikkuse sõstmist inimeste seas, aga süsteeme, kui praktiliselt kaitsmisest rääkida, siis seda teevad ikkagi need spetsialistid ise, et need on niivõrd keerukad, et see iluliselt mõeldav, et kusagil tuleb väljaspoolt organisatsiooni mingi inimene, kes, kes hakkab seda parandama, et see on nagu see koht, kus ikkagi ettevõtted ise on.
Samas, see, see seadusandlik raamistik tegelikult selle koha pealt, et... et kui palju see ettevõte ise peab tagama ja mis vahenditega ja, ja see on kõik ikkagi lapsekingades täna, et et noh, sellist riigi infosüsteemide amet seisukoht või, või üldse riigi seisukoht täna on, et, et seda peab korraldama elutähtsat teenust korraldav asutus, noh, Elektrilevi jaoks on see näiteks Konkurentsiamet ja, ja siin tulebki mängu erinevad need, need kompetentsid ja jaotused, et Riigi Infosüsteemide Amet ei saa võtta meie ärikorraldamist enda peale, sest tal puudub elektrikompetents, Konkurentsiameti kompetents, küberturbe koha pealt on, on nõrk ja, ja nüüd me, kuidas öelda, kõik siis püüame üksteist koolitada ja, ja harida, et see, see kõik kokku tuua.
No võib-olla, kui me nüüd elektri väljatülitamine, et see on kindlasti mingi kasu sellel mustal turul on, et kui sa saad panna ütleme, al-Quaeda afiliatsaiti üles, et ma võtan ühe miljoni eest ühe väikse riigi maha Euroopa Liidus. Aga et no ma arvan, et Scadaks võib-olla võib lugeda ka näiteks mingit automaattanklade võrgus, võrku, eks ole, kus sa saavutades selle üle kontrolli tõenäoliselt saad panna noh, torud bensiini puhuma tasuta oma autodesse, et need rekkad täis lasta, et noh, see, see on ju tegelikult kõik olemas, et on ma võib-olla natuke utreerinud, sest filmides on ta alati, tundub juba lihtne ja nad ütlevad isegi ette, et nüüd, nüüd neli minutit läheb selle häk, ise häkimisega aega, aga Mis kaasusid võib-olla veel on olnud siinkandis?
Selle väikeriigi pimendamisega on tegelikult sama lugu, et meil on üle kahekümne kahe tuhande alajaama ja, ja tuhat kaheksakümmend neist on, Noh, kui nüüd nagu spetsiifilisemaks minna, siis ega seal ei ole ju ühte tüüpi seadmed, et kui sa nüüd peaksid midagi kirjutama, mis neid kõiki tahab välja lülitada, siis siis, siis kõigi nende noh, stiilis kümne aasta pealt eritootjate ja erikohtadest seadmete kohta skripti kirjutamine võib paras doktoritöö olla, et...
Aga lähme selle mõttega väikesele pausile. Tere tagasi väikeselt pausilt, endiselt on eetris IT-äri saade Restart, mida juhib Hendrik Aavik ja tänase saate teema on SKADA, mille kohta ma guugeldasin, et see on supervisory Control and Data Acquisition, ka mulle ei olnud see seletust palju, kuid tegelikult on tegemist siis suurte automaatikasüsteemidega, mis hoiavad meie riiki ja elu üleval, ja mida kaitsevad teiste hulgas ka meie kaks saatekülalist, Ragnar Rattas, kes on küberturbe ekspert Riigi Infosüsteemi Ametist ja Kaspar Kaarlep, Elektrilevi automaatika projektijuht. Meie saate teemadel, võite arutleda meie saate Facebooki lehel, leiate Facebookist märksõnaga Restart ja kui meie, kui te ei saa meie saadet kuulata praegu ega korduses kell kaksteist öösel, siis võite podcast.kuku.ee aadressilt leida meie saate tasku ringhäälingu. Aga lähme tagasi teema juurde ja meie siis teemaks on need, see, et kas, kuidas on meie automaatikasüsteemid häkkerite eest kaitstud? Et kas on Euroopa Liidu riikides no ütleme, elektrivallas näiteks midagi juhtunud?
Ja kui me nüüd arutame selle üle, et kes neid asju võivad teha, et siis, et me oleme siis täna pikalt räägu, rääkinud häkkeritest, aga on siis ju võimalik, et ka mingid kurjad riigid ikkagi või, või lahked riigid turvalisuse eesmärkidel hakkavad tootma mingisugust no ütleme siis, mitte niivõrd paha, vaid kontroll, head kontrollvara, mis siis peaks võimaldama neil... kuskilt riigiserveritest juhtida seadmeid teistes riikides, et noh, õnneks vist see Põhja-Korea püsib, püsib põhiliselt raketikatsetustel hetkel, et ta ei ole veel ütelnud häkkima hakata.
Et seda jah, osa võiks mina kommenteerida, et see Staxneti kohta ka nüüd siin, selle eelmine nädal või üleelmine nädal tegelikult tulid uut infot, et Staxneti versioon null koma viis siis tegelikult juba käis ringi aastal kaks tuhat viis. Et selles mõttes ikkagi oluliselt varem olid olemas, kui, kui esialgu arvati ja mis ma teinekord olen jällegi nüüd avalikest allikutest vaadanud, et kui praegu suurriigid oma küberstrateegiat riiklikku uuendavad, siis see ründevõimekus ikkagi enamasti alati sinna sisse saab. Et kõik niisugused noh, arenenud riigid oma, koos oma küberkaitsega siis tüüpiliselt arendavad välja ka küber, ründevõimekust. Kes räägib sellest vähem, kes rohkem, aga noh, tõsid on, ja mis on nagu veel, et küber omaette ei ole nagu mingi komponent, et kui midagi tehakse, siis see on lihtsalt nagu üks, üks tükike kogu suurest operatsioonist, et noh, ta ei ole nagu iseseisev, iseseisev asi, aga kui sageli mingiks mölluks läheb, siis ajaks tahtnata, kipuvad nüüd küberkomponendid juurde olema.
aga et noh, ole, kui me oletame, et seda tegi Ameerika, et siis, siis on ta kindlasti niivõrd tugev edulugu, et ma arvan, et nüüd on see summa, sinna pandud eelarve kindlasti korrutatud kahekümnega kui mitte kahesajaga, et, et kindlasti on Meil Eestis on ju ka olemas NATO küberturbekeskus, et nemad vist ei tegele nüüd SKADA küsimustega ilmselt? Või, või millega ta üldse tegeleb, et kui meie kaitsekoostöö või, või see läheb natuke teie teemast välja täna, et kas kaitsekoostöö riikide vahel tähendab seda, et kuskilt mujalt riigist tuleb info, et meie elektrijaamu lünnatakse, et olge ettevõtlikud?
Tere tagasi väikeselt pausilt, jätkame IT-ärisaatega Restart, mille teemaks on täna suured süsteemid, saadet juhib Henrik Aavik ja meie saates on külas Ragnar Rattas, kes on küberturbeekspert ja kaitseb suuri automaatsüsteeme Riigi Infosüsteemi Ametist ja Kaspar Kaarlep, kes on Elektrilevi automaatika projektijuht. Läheks, nüüd mõtleks selle peale, et kui nüüd mõni raadiokuulaja kas on seotud skada võrkudega või tahab selle kohta rohkem teada saada, loodetavasti heade eesmärkidega, et kuidas saab oma teadmisi selle automaatika kaitsest või selle, nende süsteemide ülesehitusest kasvatada Eestis?
Võib-olla mina alustan, et riigi infos teeme ametipoole pealt, et noh, meie ühest küljest nagu veamegi niisugust Scada meeste või jah, paraku õpetame meeste, sest naisi seal väga palju ei ole, võrgustikku või ütleme, niisugust community't ja seal on küll see, kus me siis otsimegi erinevatest nii-öelda teenusepakkujate seast välja need Scada mehed, kes siis teavad ja tunnevad oma süsteeme, koolitame neid, õpetame neile ja selgitame uusi riske, tõstame teadlikkust ja see on nagu see pool, mida nagu RIA teeb. Ja noh, ütleme päris nagu mees tänavalt, ei saa tulla nagu Riiasse ja paluda, et, et noh, õpetage meile ka, küll aga see, kui sa juba töötad kusagil nii-öelda elutähtsa teenuse osutaja juures, igapäevaselt skaada üleval hoidmine ja haldamine on sinu teema, siis, siis nagu Riia saab kindlasti aidata. Mis puudutab nagu niisama õppimist kuskil koolides mujal, siis nii palju, kui mina olen aru saanud, siis on nagu kaks võimalust, et kas sa oled ühest küljest IT-mees, kes hakkab huvi tundma automaatika vastu, on nagu üks, üks võimalus, kuidas saada nii-öelda skaada turvaspetsiks, või teistpidi see, et kui sa oled automaatik ja hakkad sealt pealt õppima, siis kuidas IT toimib, mis, mis, mis nõrkused, ohud seal on, et see on ka nagu niisugune variant.
Mina olen aeg-ajalt, mis öelda, kellegi, kui, kui saab, satub välismaale konverentsile, siis jällegi õhtul nii-öelda kas sotsiaalsele üritusele olen siis nagu uurinud, et mis seis on, ja eks ta ole tõsiasi, et, et kuskile ei ole nagu kiita. Aga mis nagu Eesti puhul on eelis, on see, et, et võib-olla meie väiksus. Et noh, ütleme leida Eestist igast ettevõttesse üks inimene, kellele selgitada riske ja saada nii-öelda oma paati, et ta nagu noh, tunneks muretsekust asja, sellepärast on ikkagi nagu mõeldav ja tehtav, siis Ameerika Ühendriikides noh, nii suures riigis kindlasti mitte. Et võib-olla see meie väiksus nagu lihtsustab, lihtsustab ka seda kaitsmist, et me leiame õiged inimesed ülesse, neid ei ole nii palju kui kuskil suurriikides, aga, aga see on ka nagu kõik, et noh... Jällegi, kas taset on nagu raske, raske hinnata mingite objektiivsete kriteeriumite alusel?
See toob tegelikult välja selle skadasüsteemide kaitse probleemi üldse, informatsiooni me nende tootjatega ju vahetame, et võrku juhtida, teisest küljest selline väike tootja ei ole elutähtis teenus. Ja, ja seetõttu paljud sellised meetmed ja, ja kogu see kommunikatsioon, mis meil riigis liigub, nendeni ei jõua. Ja, ja nad jäävad natukene nagu väikeettevõtetega samasse rolli, kus neil ei ole seda inimest, kes sellega tegeleb ja, ja tihtipeale, et noh, ongi nagu nõrgem see pool seal.
Seda ma olin jah, omalt poolt ka öeldud, et riigi infosüsteemi ametifookuses on ikkagi noh, nii-öelda seadusega defineeritud elutähtsa teenuse osutajad, kellest üpriselt ongi niisugused suured, suured skaada ettevõtted nagu ütleme, Elektrilevi ja Eesti Energia ja nii edasi, et päris väikeste tuulikutega me lihtsalt ei jõua teha, et, et ka meil on nagu ikka suhteliselt piiratud ressurss ja, ja kuhugi me peame oma fookuse setima.
[ TRANSKRIPTSIOONI LÕPP ]