AI_pealkiri: Jaan Priisalu ja Lauri Almann Eesti küberkaitse tasemest ja ekspordipotentsiaalist

Tere. Eesti mainest väga suur osa on e-Eesti ja suur osa sellest e-Eesti mainest omakorda on küberkaitse ja tänased külalised oleme kutsunud rääkima sellest, et kui meil on nii suur osa sellest promost, on küberkaitse, siis miks meil ikkagi Eestis ei ole korralikku küberkaitse tööstust või miks meil ei ole seal küberkaitse tööstusel arvatata, arvestatavaid mahtusid? Ja esimese küsimusena, mehed, tahaks kohe küsida, et mis hinda annate üldse hetkeseisule, et mis seisus täna Eesti on oma küberkaitsega, et Jaan?

Aga tase, just meie nagu küberkaitsevõime ja, ja see, mille üle me uhked oleme, et me oleme siin Venemaaga sõda pidanud ja ja see käib meie kaitseministri ja presidendi retoorikast pidevalt läbi, kui, kui vinge küberkaitse, võimekuse kriik me oleme, et just selle oskuste poole, et, et, et mis selle hinn on?

Aga enne, kui tööstusest räägime, veel kord mainest, et kui lihtne seda mainet üldse hävitada on, et kui ärinduses ettevõtja, kes on oma pankrotikogemust, on kindlasti parem ettevõtja kui see, kelle pankrotikogemust ei ole, siis, siis mis on nagu meie seis, et hetkel me oleme olnud kogu aeg selline positiivne näide, et, et tulime sõjas, toime ja nii edasi, eks, aga ütleme, et kui peaks praegu välja tulema, et meil on olnud mitu aastat tõsine küberkaitse intsident, kus ütleme noh, à la Hermann, similaadne case, keegi on, keegi on väga meid ära kasutanud, mida selline sündmus nagu Eestile võiks tähendada, millise pauguse võiks nagu üldse kogu meie küberkaitse maine panna, et kas, kas me üldse tõuseme pärast seda tuhast üles enam või mitte?

Aga ma just küsin selle koha pealt, et okei, eestlased on selle IT-mugavusega nii ära harjunud ja, ja ütleme, väga palju seda usaldust ongi selle noh, tulnud sellest, et me teame, kui mugav on, et see on väga raske loobuda, isegi kui ütleme, usalduskrediite on nagu, nagu hävitatud, eks, et minu küsimus on see, et Ja kui praegu peaks tulema selline tõsine pauk, et kuidas see mõjutab meid rahvusvaheliselt, et kui usaldusväärsed me üldse oleme nagu selles teemas enam ja kas me üldse saame rääkida pärast seda, et et Eesti võiks küberkaitse valdkonnas eksporti tegema hakata rohkem?

Ma arvan, et see sõltub kõik sellest, kuidas see ühe või teise kriisiga toime tuleb, et tegelikult praegune, tegelikult see nii-öelda rahvusvahelise küberkaitse Herman Simm on ju toimunud paar, kolm, neli nädalat tagasi või vähemalt siis, kui see sai avalikuks, Briti firma Genetic, mis on firma, kes nii-öelda populaarse, populaarselt on James Bond'i filmides Q, kes vastutab, või kes varustab põhimõtteliselt kõiki Briti eriteenistusi, sattus totaalse küberrände alla. Mis tähendab seda, et noh, nii-öelda me selles mõttes küberründe alla, et, et noh, nii-öelda totaalse andmelekk alla. Ega õnnetusi juhtub ikka, eks nendega tuleb lihtsalt siis nagu nii-öelda toime tulla, aga, aga, aga jah, oskus õieti, õieti reageerida on Ja õieti asjadest rääkida on, on, on, on, on äärmiselt oluline, me ei tea, kuidas see tegelikult mõjus praegu Briti usaldusväärsusele, me saame seda näha, see saab olema tegelikult õpikunäide. Ja see saab olema see, kus ka tegelikult meie IT-turvatööstusel on palju, palju õppida ja vaadata.

Aga igasuguse ekspordi noh, eelduseks on ikkagi sinu ettevõte või sinu riigi või sinu inimeste rahvusvaheline tuntus, ehk siis kuidas meil on selle tuntusega just küberkaitse vallas, et mis on need riigid, millega Eesti peamiselt on koostööd täna teeb ja ja, ja, ja kui, kui tihe see koostöö üldse teiste riikidega on praegu? Jaan?

See ongi just see teema, et millega meie oleme selle valdkonna ettevõttena, küll alustava ettevõttena, aga, aga siiski kokku puutunud on see, et nii-öelda see traditsiooniline kaitsetööstus püüab alati olla väga rahvuslik. Ja, ja väga tihti on meie käest küsitud ja noh, me oleme osalenud vaidlustes ja diskussioonides, et kas küberkaitse kui selline on üldse ekspordivõimeline nišš, et kas me saame seda eksportida. Ja noh, nii-öelda vastus on kindlasti jah ja ei, et, et see on tegelikult nagu ütleme, omal ajal trend oli kõige lihtsamate penetration testidega. Penetration test oli noh, ütleme isegi kolm aastat tagasi selline väga, väga sensitiivne asi, millest keegi eriti palju rääkida ei tahtnud, kui sa läksid nii-öelda firmana seda, seda pakkuma, siis noh, esiteks vaadati lihtsalt imelikult. Tegelikult ja öeldi, et see, kuna teema on nii salajane, siis me nii-öelda kolmandate poolte penetrationsteste üldse ei aktsepteeri. Tegelikult see saladus osutus väga paljudel juhtudel lihtsalt viigileheks. Ja see on selline teine trend, mida ma, mida ma ise välja tooksin, see on selline viigilehe kompleks, mida ka tegelikult Jaan nimetas, et me ütleme, et kõik on salajane, me nendest teemadest ei räägi, Ja, ja, ja tegelikult noh, tegelikult olukord on hästi halb, et, et just see, et kui me hakkame asjadest rääkima, kui me hakkame nii-öelda süsteeme rohkem avama, seda ütles ka Siemensi CTO ühel hiljutisel rahvusvahelisel seminarilis, et noh, nii-öelda Siemensi ja, ja, ja Staxneti probleem, eks ole, mis, millele, millele saadi vastu just nimelt tänu sellele, et Siemens järjest rohkem hakkas oma süsteemi avama. Sellistele asjadele nagu, nagu, nagu, nagu pentestid ja igasugused muud, muud teemad. Rahvusvahelises ekspordis on tegelikult sama, ülisensitiivne teema, küberjulgeolek ja küberjulgeolekuga seotud rahvusvahelised võimed, aga kui me vaatame jälle neid samu kahe tuhande seitsmenda aasta Eesti, Eesti ründeid, Eesti vastu toimunud ründed, siis need tulid, kui ma ei eksi, umbes saja seitsmekümne viiest riigist, kahest miljonist individuaalsest arvutist. Et tegelikult lihtsalt sul ei ole mitte mingisugust võimalust rahvusvahelist koostööd mitte teha ja ma arvan, et seal peitub just nimelt see, see võti, kuidas, millele, millele ja millistele lahendustele üle, üles ehitada ka ekspert.

Tere tagasi kuulama Kuku raadios IT-hääri saadet Restart, Meie tänase saate teemaks on küberkaitse ja küberkaitse äri ja meie saates on külas selle valdkonna spetsialistid, Lauri Almann küberkaitsega tegelevast, alustavast ettevõttest DHC Lab ning Jaan Priisalu, kes on Riigi Infosüsteemi Ameti peadirektor. Mina olen Henrik Aavik ja teine saatejuht on Taavi Kotka, Majandusministeeriumist.

Eelmises plokis rääkisime sellest, mis hind võiks täna anda Eesti küberkaitsele tervikuna ja jutt jäi pooleli sellest, et riigid, riigid teevad omavahel koostööd erinevate küberkaitserinnakute tõrjumiseks. Hiljuti Jaapanit külastades sattusin rääkima sealsete suurkorporatsioonide esindajatega, Ja nende jaoks selline koostöö oli selles mõttes ainulaadne, et noh, piltlikult öeldes, valides praegu suvalisi ettevõtte näiteks, et kui Mitsubishiid rünnatakse, siis Toyota paneb käel ed rinnal risti ja naerab, kuigi noh, aru andmata endale, et, et kokkuvõttes järgmine, järgmine koer, et ta ei saa olla selle suure ründe nagu objektiks, ja noh, seal piirkonnas eriti just Hiina poolt tulev nagu küberspionaaž on, on, on üüratu, mistõttu tekib küsimus, et noh, et mis see lahendus on, et, et kas ka mitte ettevõtet ei peaks rohkem koostööd tegema?

Aga räägime tänasest peateemast, ehk siis, kui meil on olemas Eestis, tarkvaratööstus. Aga me ei saa rääkida minu arust veel päris küberkaitsetööstusest, siis mis praegune seis on, et palju selles sektoris nii-öelda käivet on, mis on kuulsamad nimed?

Ja, ja kas see on üldse ainult küberkaitsetööstus, et rünnak ja kaitse on ju sama protsessi ja samasugust oskuste paketti nõudvad ettevõtmised, et kas Eestis on näiteks küber sõjatööstus olemas või tulemas?

No need kõik on minu arvates väga head küsimused, jälle Jaan saab mind siin korrigeerida, aga, aga noh, ma ütlen, et ma arvan, et õigem oleks rääkida jah, küberjulgeoleku tööstusest ja ma arvan, et õigem oleks rääkida lahendustest noh, nii-öelda ohupildi kaupa. Meie vaatame vähemalt oma ettevõttes seda ohupilti nagu suhteliselt terviklikult ja, ja esimene, kus me näeme, et meil oleks potentsiaali, on just nimelt noh, nii-öelda sellise sobiva sõna puudumisel, siis interface'si ehitamisel otsustajate ja siis nii-öelda küberekspertide vahel. See on tegelikult, julgeoleku situatsioonis on see alati või keerulises julgeolekusituatsioonis on see alati äärmiselt ohtlik moment, kui sul on tehniline võime olemas. Kui sul on õige vastus olemas, aga tänu sellele, et sa, sa rakendad vale otsustusmehhanismi või lähed liiga keeruliseks oma otsustusmehhanismis, sa jõuad tegelikult valele otsusele. Tüüpiline näide, troo ja sõda, troo ja hobune. Troojalasi hoiatati, ärge võtke hobust endale sinna nii-öelda linnapäravates sisse. Kõige suurem tragöödia on seal see, et neil oli õige vastus olemas, kui lakoon, kes oli preester, ütles, et kartke kreeklasi, kes tulevad kingitustega. Aga kuna asi pandi rahvahääletusele, rakendati valet otsustus, otsustusmehhanismi, siis, siis lihtsalt järgnes katastroof. Ja tegelikult nii-öelda otsuse tegejate väljaõpetamine on nii-öelda täiesti eraldi, eraldi teema ja väga potentsiaalikas asi minu arvates, mida noh, nii-öelda meie üritab ka teha, sest meil on pakkuda unikaalne kogemus, meil on pakkuda nii-öelda elamus otsustajatele tõelises küberkonfliktis osalemisest. Et tegelikult sellest algab kõik ja järgmine, mida me ootame, on nii-öelda kõikvõimalikud välisohud ja kuidas nendega tegeleda, järgmine, kõikvõimalikud siseohud ja loomulikult eraldi võime rääkida veel nii-öelda sellest siis nii-öelda aktiivsest küberkaitsest.

Aga IT-akadeemia, mis täna pakub siis täiendavat rahastust meie tehnikaülikoolidele ja Tartu Ülikoolile, et ja sealt on rahastatud kaks peamist magistriprogrammi, milleks üheks on tarkvaratehnik ja teiseks on küberkaitse, et sealt hakkab tulema neid hordi deviisi ja IT ja telekommunikatsiooniliit on andnud kunagi välja lubaduse, et kõik need magistrid, kes IT-akadeemia kaudu nii-öelda turule tulevad, et need peavad saama töökoha. Ja minu küsimus nüüd ongi, et, et kas neid, kes täna seda küberkaitset õppima lähevad magistriprogrammi, et kas neil üldse on võimalus leida Eestis tööd või on nende saatus see, et nad lähevad Soome või, või, või, või Jaapanisse või kuhu iganes?

Tere Kuku raadio kuulajad, tagasi kuulama tänast ülipõnevat IT-ärisaadet Restart, mina olen Henrik Aavik ja teine saatejuht stuudios on Taavi Kotka ning meie tänase saate teemaks on küberkaitse äri. Saates on külas küberkaitse ärimees, Lauri Almann firmast DHC Labs ning Jaan Priisalu, Riigi Infosüsteemi Ameti peadirektor.

Eelmises plokis jäime pidama sinna, et inimesed on takistus ja, ja, ja, ja see on see põhikivi, mille pärast me nagu seda valdkonda erilises mõttes üles ehitada pole suutnud, samas... Selles valdkonnas on ju meeletud palgad. Kui ma eksi, siis täna keskmine tarkvara arendaja saab või küsitakse saama, et tarkvara arendaja töö eest kuskil nelikümmend, viiskümmend eurot tunnis, samas kui küberkaitse tippspetsialistid saavad oma töö eest küsida kolmsada eurot tunnis, et et potentsiaali nagu on, aga kuidas me selle ikkagi kivi tagant välja saame, kuidas me saame rohkem inimesi sellesse valdkonda, kuidas me saame rohkem sellest valdkonnast toote, teenuseid ekspordiks? Jaan.

Minu näge, nägemus sellest on selline, et meil on vaja sisemaine nõudlus korda saada, et me teeme süstemaatilise nõudluse, kus, kus meie oma ettevõtted noh, küsivad neid, neid, neid samu teenuseid selleks, et oma infosüsteemid korda saada. Ja siis, kui meil on siseriiklik kogemus olemas, siis meil on ka baas, eks ole, tekivad ilmselt ja meil on nende inimeste tootmine, eks ole, selle küberkaitse programmiliku, programmi näol olemas, et siis kindlasti tekib, tekib ka niisuguseid inimesi, kes avastavad mingi seni katmata, katmata võimaluse ja, ja suudavad selle pealt eksporti teha.

Absoluutselt, ja teine on, teine probleem, mida jälle noh, nii-öelda erasektori poole pealt võiks vaadata, on see, et me peame, ütleme ka sellest, mida me nimetame siis nii-öelda natuke ümbernurgaseliseks aktiivseks küberkaitseks, ehk siis offensiivseks küberjulgeolekuks, me peame sellest tegelikult normaalselt rääkima hakkama, et need asjad on täiesti olemas, aga Aga, ja nende ekspordivõime on täiesti olemas, arvestades seda, et Eesti kuulub NATO-sse, mis on ju kaitseallianss, mis jälle definitsiooni kohaselt peaks töötama koos mingisuguse ründekorral, kujutage ette, kui võimas see oleks. Et me kuulume Euroopa Liitu, siis on tegelikult täiesti normaalne, et me, et me hakkame ka sellistest asjadest rääkima noh, nii-öelda nii nagu me räägime kõikvõimalikust ülejäänust kaitsetööstuses, mida saab samamoodi ohvensiivselt kaitsta, et, et, et noh, meie, Teised seotud ettevõtted tegelevad täiesti noh, nii-öelda normaalse kaitsetööstuse ekspordiga, samuti milleks võib-olla alates lõhkamisseadmetest, simulaatoritest, mehitamata platvormidest, mis kõik on noh, nii-öelda ka väga sensitiivsed vahendid. Aga ometi on nad reguleeritud, mida samuti kasutatakse noh, isegi kuni noh, nii-öelda mida, mida, mida riigis längis või tahaks nimetada mustadeks operatsioonideks või ütleme, kõrgemal kui Top Secret olevateks operatsioonideks, aga aga siiski, siiski noh, nii-öelda tegemist on reguleeritud asjaga, et, et, et ma arvan, et selline natuke... enda pingetest vabastamine, sellest asjast mõistlikult rääkimine on, on ja selle reguleerimine võimaldab esiteks tekitada, tekitada usaldusväärse seltskonna, kes sellega tegelevad, võimaldab ellu rakendada noh, nii-öelda normaalsed regulatsioonid, mille peale on siis võimalik ka seda eksporti, eksporti kasvatada. Praegu on põhimõtteliselt võimalik ainult kaks varianti, et kas sa, kas sa teed midagi ülisensitiivset või sa paned toime Kuriteo. Et ja noh, see on, mõlemad on tegelikult halvad valikud.

Kas sportlastel vist on see asi nii lahendatud, et kui sa oled tippsportlane, siis sa ei pea edasi nagu, tead kolm kuud ära ja saad edasi, võid sa teha sporti, et sa ei pea väga hullust, ma, ma võin eksida muidugi, ma ei tea seda, Aga ma olen kuulnud niisuguse jutu, et kui sama analoog tõmmata siis küberkaitse maailma, et kas siis on võimalik, et et siis ta saab edasi häkkida.

Ma lihtsalt, meenutades oma, oma eelmist elu, kui ma Kaitseministeeriumis töötasin, siis, siis minu meelest noh, nii-öelda põhimõtteline valmisolek selleks ju on alati olnud, et, et, et selliseid nagu oma elualade tippinimesi õieti rakendada. Et, et see on, see on selles mõttes olnud tõesti niimoodi sportlastega, see on olnud niimoodi lauljatega, Ja kõigi sportlaste ja lauljatega, kellega ma vähemalt olen rääkinud, nad on, nad seda kogemust ei ole kunagi kahetsenud, et see kaitseväe kogemus on tegelikult minu arvates väga hea. Ja, ja, ja jälle, et noh, et et sellise võimaluse andmine, see oleks, see on jälle midagi unikaalset, no tegelikult meil on olemas Küberkaitse Liit, millest me ei ole ka siiamaani rääkinud, mis on samamoodi ju mõnes mõttes üks era- ja avaliku sektori partnerlusvorme ja ja, ja, ja, ja väga võimas asi tegelikult, et, et ma arvan, et jah, et ajateenistuse raames see oleks päris hea mõte, et, et seda nii lahendada ja ma arvan, et ega selliseid vastu, vastuolijaid sellel ka ei ole.

Küberkaitseliidu, ma isegi ei ole kuskilt värbamiskuuludusi kuulnud, kui Kaitseliidu asjus ikka vahel keegi ütleb, et kuule, et astu Kaitseliitu või tule sinna, aga siis küberkaitseliidu just pole nii väga kuulda olnud. Et kas sinna üldse värvatakse inimesi niimoodi, et tulge ja astuge liitu või ainult Kaitseliidust värvatakse?

Ei, sinna värvatakse niimoodi, et sa pead kedagi tundma, kes seal on, et sul peab igal juhul olema kaks soovitajat ja, ja üks peab olema vähemalt, vähemalt Küberkaitse liidust, et, et, et ta käib siis Kaitseliidu üldiste reeglite järgi pluss veel natukene.

Ma ikka jäta ronni, et seda inimeste massi tekitada, et Jaan, mis takistab meil täna nagu Kaitseväes iga aasta kakssada noort panna näiteks küberkaitse teemadega täiendavalt tegelema?

Okei, aga ma ütlen, et siin valdkonnas on ka olemas nii-öelda valgemad alad, et kui vaadata meie arenduskeskusi, vaadata Skype, vaadata Playtechi, vaadata, mis pankades toimus, siis üks alaliik nii-öelda pettustavastamine või, või fraud detection, kuidas meil selle valdkonnaga on, et kas see võiks olla üks, üks, üks nendest teemadest, mis, mis nii-öelda ekspordina siit küberkaitse vallast võiks, võiks nagu Eestit edasi aidata?

Aga mõtlen, et ikkagi vaatame, et Eestil on selles valdkonnas hea maine, meie arenduskeskused ja pangad on saanud minevikus väga suure kogemuse ja, ja muu maailm, õigemini suurkorporatsioonide omanikud usaldavad meie nii-öelda pettuse vastavuse õitamise tiime, et saate lõpetuseks kommentaarid, mehed, et mis siis ikkagi on see, mis, mis nagu takistab või, või kui ruttu me jõuame sinna nirvanasse, et küberkaitsega omaette majandusvaldkonnale nii-öelda Eesti ekspordis olulist mahtu omada võiks?

Aga ma ütlen, et kuna meil on kokkuvõttes ainult väikeettevõtted ja ükski neist väikeettevõtetest ei suuda ehitada endale maailmanimega bränd, siis kokkuvõttes nad kõik peituvad või hakkavad, peavad kasutama sedasama Terminid, need on Eestist ja, ja see, et meie Eesti enda maine püsib ja, ja on, on tugev ja on üks küberkaitse valdkonnas tugev, see eelkõige eelkõige eeldab seda, et, et ükskõik, mis jama meil juhtub, siis me tuleme sellest alati puhtalt ja auga välja, noh, läbi selle, et me teeme õiged järeldused ja räägime sellest ja oleme avatud, on see õige?