AI_pealkiri: Jaan Priisalu ja Lauri Almann Eesti küberkaitse tasemest ja ekspordipotentsiaalist

Tere Kuku raadio kuulaja, taas on laupäev ja taas on eetris IT-ärisaade Restart. Mina olen Henrik Aavik ja kaassaatejuhiks on stuudios Majandus-Kommunikatsiooniministeeriumi IKT asekantsler Taavi Katka. Tervist. Meie saadet toetab ITL ja meie saade on korduses täna öösel kell kaksteist ja raadio1.ee lehel on meie saate tutvustus, võimalik leida ning ka tõmmata saate podcaste, et seda igal ajal kuulata. Oma saate teemaga oleme täna läinud päris tõsiseks ja räägime riigi IT kaitsevõimest või üldse kaitseärist IT maailmas ja meie saates on täna külas selle valdkonna spetsialist, firma DHC Lab üks asutajaid, Lauri Almann ning Riigi Infosüsteemi Ameti peadirektor Jaan Priisalu. Tervist.

Ei, tehniliste oskuste poolest nagu inimestel ma paneksin lausa nelja või viie, tehnilised oskused on kindlasti inimestel olemas ja, ja, ja arendus, arendusoskust nagu ka peaks olema. Ja, ja teiselt poolt, kui ma võtan siis, siis niisugune riigi riigikaitse ülesehituse mõõtes paneksin ka nelja, et meil on või, või teised riigid veel siiamaani õpivad meie käest, kuidas niisugust asju nagu üles peaks ehitama, et kui me suudame välismaale midagi õpetada, siis noh, järelikult me teame ka ise.

Mina paneksin, ütleme niimoodi, oskuste poole pealt on tegelikult seda ju väga lihtne hinnata, sellepärast et seda hinnatakse erinevate õppuste käigus. Ja kui me vaatame siin kas või noh, nii-öelda hiljutisi õppusi, mis on toimunud, siis Eesti tiimid just nimelt selles valdkonnas on saanud ikkagi ülihästi hakkama, võrreldes siin kas või meie naabrite ja soomlastega või, või, või, või paljude teistega, nii et, et selles mõttes mina paneksin ikkagi julge viia. Mis puudutab ütleme seda riiklikku poolt, siis ma paneksin nelja, ma võtaksin selle, ütleme, et ma arvan, et erasektoris soov teha on olemas, tehnilised oskused on kõik väga head. Riigis soov teha asju on olemas, tehnilised oskused on väga head, ma arvan, kus me peaksime oluliselt paremaks minema, kuigi me oleme ka head, võrreldes jälle mõnede teiste riikidega. Aga võrreldes mõnede teistega, nagu näiteks Holland, oleme me halvad just sellises era ja avaliku sektori partnerluses. Et Eesti suur eelis on olnud seni, on olnud see, et meie see nii-öelda IT community ja eelkõige IT turva community on olnud hästi mitteametlikult seotud, infovahetus toimub, vastastikune usaldus toimub ja väga palju asju toimib nii-öelda mitte, mitteametlikult. Aga nüüd, kui me räägime sellisest tööstuse arenemisest või oluliste mahtude kasvatamisest, siis me tegelikult peaksime astuma järgmise sammu ja minema natuke formaalsemaks. Et tagada seda jätkusuutlikkust.

Aga kui me võrdlesime Eesti taset teiste riikidega, siis selles valdkonnas ilmselt ei pea ennast võrdlema ei, ei Hollandi ega Lätiga nii väga, kui just nende riikidega, kes võivad meid rünnata, et, et kui, et kui, kuidas on meie tase võrreldes, ma ei tea, mis need riigid on, kes meid rünnata võivad, aga aga kas ma panen huupi mingit valikust, riigid Venemaa, Aasiast keegi?

Küberjulgeolekus, ma arvan, rääkides Jaan võib mind kindlasti korrigeerida, aga, aga trend on ju see, et mina näen praegu paari trendi. Esimene trend on see, et endiselt meil on tunduvalt ja tunduvalt palju rohkem halbu mängu, mängijaid lahinguväljal, kui meil on häid. Ja nii-öelda häid on erinevalt noh, näiteks nii-öelda füüsilisest turvalisus olukorrast, häid on ikka väga palju vähem. Nii et, et erinevate nagu poolte võime suhteliselt palju paha teha on päris suur. Nüüd uus trend, mis, mis minu jaoks on äärmiselt murettekitav, on tegelikult see, et järjest sellised metsikumad ja... Kui ma nii võin öelda, ja, ja, ja imelikumad riigid panevad ennast lahinguväljale. Noh, see, et Hiinal on selline ohvensiivne küberprogramm, see on üldteada. Ja ilmselt see on väga kõrge tasemel. See, et paljudel teistel arenenud riikidel on ohvensiivsed küberjulgeoleku programmid, see on ka üldteada ja see on noh, nii-öelda mingil määral aktsepteeritav. Aga ma arvan, mis on väga murettekitav trend, on see, et mida me näeme noh, nii-öelda käies, osaledes rahvusvahelistel messidel, rahvusvahelistel konverentsidel, on see, et järjest vaesemad, järjest vähem arenenumad riigid panevad ennast just nimelt sinna lahinguväljale. Ja kui nad mõtlevad küber, siis nad eelkõige mõtlevad nii-öelda küberründed. Ja, ja minu jaoks murekoht on tegelikult see, minu jaoks on murekoht see, mis toimub väikestes Aasia riikides, see, mis toimub väikestes Aafrika riikides, Et, et, et see Bitlap tegelikult väga, väga hulluks ja sellised, sellised programmid võivad just nimelt eraettevõtete vastu. Ma ei tea, kui tugevalt nad on riikide vastu, aga just nimelt eraettevaat, ettevõtete vastu toime pandavates rünnakutes võib see olla noh, tegelikult, nad võivad olla päris edukad ja tekitada palju kurja.

Aga igasuguse ekspordi noh, eelduseks on ikkagi sinu ettevõte või sinu riigi või sinu inimeste rahvusvaheline tuntus, ehk siis kuidas meil on selle tuntusega just küberkaitse vallas, et mis on need riigid, millega Eesti peamiselt on koostööd täna teeb ja ja, ja, ja kui, kui tihe see koostöö üldse teiste riikidega on praegu? Jaan?

See ongi just see teema, et millega meie oleme selle valdkonna ettevõttena, küll alustava ettevõttena, aga, aga siiski kokku puutunud on see, et nii-öelda see traditsiooniline kaitsetööstus püüab alati olla väga rahvuslik. Ja, ja väga tihti on meie käest küsitud ja noh, me oleme osalenud vaidlustes ja diskussioonides, et kas küberkaitse kui selline on üldse ekspordivõimeline nišš, et kas me saame seda eksportida. Ja noh, nii-öelda vastus on kindlasti jah ja ei, et, et see on tegelikult nagu ütleme, omal ajal trend oli kõige lihtsamate penetration testidega. Penetration test oli noh, ütleme isegi kolm aastat tagasi selline väga, väga sensitiivne asi, millest keegi eriti palju rääkida ei tahtnud, kui sa läksid nii-öelda firmana seda, seda pakkuma, siis noh, esiteks vaadati lihtsalt imelikult. Tegelikult ja öeldi, et see, kuna teema on nii salajane, siis me nii-öelda kolmandate poolte penetrationsteste üldse ei aktsepteeri. Tegelikult see saladus osutus väga paljudel juhtudel lihtsalt viigileheks. Ja see on selline teine trend, mida ma, mida ma ise välja tooksin, see on selline viigilehe kompleks, mida ka tegelikult Jaan nimetas, et me ütleme, et kõik on salajane, me nendest teemadest ei räägi, Ja, ja, ja tegelikult noh, tegelikult olukord on hästi halb, et, et just see, et kui me hakkame asjadest rääkima, kui me hakkame nii-öelda süsteeme rohkem avama, seda ütles ka Siemensi CTO ühel hiljutisel rahvusvahelisel seminarilis, et noh, nii-öelda Siemensi ja, ja, ja Staxneti probleem, eks ole, mis, millele, millele saadi vastu just nimelt tänu sellele, et Siemens järjest rohkem hakkas oma süsteemi avama. Sellistele asjadele nagu, nagu, nagu, nagu pentestid ja igasugused muud, muud teemad. Rahvusvahelises ekspordis on tegelikult sama, ülisensitiivne teema, küberjulgeolek ja küberjulgeolekuga seotud rahvusvahelised võimed, aga kui me vaatame jälle neid samu kahe tuhande seitsmenda aasta Eesti, Eesti ründeid, Eesti vastu toimunud ründed, siis need tulid, kui ma ei eksi, umbes saja seitsmekümne viiest riigist, kahest miljonist individuaalsest arvutist. Et tegelikult lihtsalt sul ei ole mitte mingisugust võimalust rahvusvahelist koostööd mitte teha ja ma arvan, et seal peitub just nimelt see, see võti, kuidas, millele, millele ja millistele lahendustele üle, üles ehitada ka ekspert.

Tere tagasi kuulama Kuku raadios IT-hääri saadet Restart, Meie tänase saate teemaks on küberkaitse ja küberkaitse äri ja meie saates on külas selle valdkonna spetsialistid, Lauri Almann küberkaitsega tegelevast, alustavast ettevõttest DHC Lab ning Jaan Priisalu, kes on Riigi Infosüsteemi Ameti peadirektor. Mina olen Henrik Aavik ja teine saatejuht on Taavi Kotka, Majandusministeeriumist.

Eelmises plokis rääkisime sellest, mis hind võiks täna anda Eesti küberkaitsele tervikuna ja jutt jäi pooleli sellest, et riigid, riigid teevad omavahel koostööd erinevate küberkaitserinnakute tõrjumiseks. Hiljuti Jaapanit külastades sattusin rääkima sealsete suurkorporatsioonide esindajatega, Ja nende jaoks selline koostöö oli selles mõttes ainulaadne, et noh, piltlikult öeldes, valides praegu suvalisi ettevõtte näiteks, et kui Mitsubishiid rünnatakse, siis Toyota paneb käel ed rinnal risti ja naerab, kuigi noh, aru andmata endale, et, et kokkuvõttes järgmine, järgmine koer, et ta ei saa olla selle suure ründe nagu objektiks, ja noh, seal piirkonnas eriti just Hiina poolt tulev nagu küberspionaaž on, on, on üüratu, mistõttu tekib küsimus, et noh, et mis see lahendus on, et, et kas ka mitte ettevõtet ei peaks rohkem koostööd tegema?

Siin ei ole mitte midagi muud öelda, kui, kui ainult ennustada, et, et see on noh, see on jah, selline äärmiselt lühinegelik, kui siin ei ole jah, sellises olukorras nagu asja üle, mille, ei, ei ole mõtet nagu väga, väga rõõmustada. Kui teil seal kehvasti läheb, et, et sellest samast koostööst pankade vahel arenes, areneski seesama noh, nii-öelda Eesti ettevõtete laiem koostöö, mille peale omakorda arenes ju ka Eesti riigi ja erinevate erasektori. erasektori ettevõtete koostöö kokkulepe jälle sellel samal kahe tuhande seitsmendal aastal, küll mõned kuud, mõned kuud enne rünnakut, vist isegi kahe tuhande kuuendal aastal, kahe tuhande kuuenda aasta detsembris. Kirjutati alla see Kaitseministeerium ja mitmete Eesti ettevõtete vaheline koostöö, koostööleping. Mis jälle oli päris hea harjutus, et sellise suure rünnaku korral, kui, kui sellist asja oleks olnud, et me. Ma arvan, me kartsime tegelikult esimesi e-valimisi. Me arvasime, et siis on vaja teha koostööd ja natuke kuu aega hiljem oli vaja teha tegelikult.

Aga kui, kuidas need, kuidas selle hariduse tase Eestis on, mis nüüd tulla võib, et ma saan aru, et on olemas niisugused võimsad riigid nagu Hiina, kellel on oma ründeprogrammid ja nende ründeprogrammide sisu teadmata on võib-olla keeruline, keerukas neid õpetada või on need niisugused kompetentsid, mida on, saab sellise üldmudeli järgi teha, me, kas üldse on see küberrünnak, on ta niisugune nagu Et üks ründab ja teine kaitseb või ta noh, kas Huawei ruutereid Eesti riik võib osta või, ma tean, et Soomes on tehase, nüüd toodetakse Euroopas, aga ma olen kuulnud jutte, et mõned riigid põlgavad natukese tehnoloogiat.

Noh, eks selle, selle Supply chain security on niisugune kahtlane asi ja, ja aru saada, eks ole, kõikidest tükkidest, kuidas nad tehtud on, eks ole, et mõnikord on mõned tagauksed ka kirjutatud ameeriklaste spetsifikatsioonidega sinna sisse, et, et see, see, see pilt ei ole üldse selge ja see on päris raske asi. Kusjuures ma arvan seda, eks ole, et kui me tahame selle, selle probleemi, et me, me saame aru, eks ole, kust kohast meil kõik jupid nagu pärit on ja, ja mida nad teevad, selle ära lahendada, siis, siis see on koht, kus Euroopa Liit peab koostööd tegema. Et ameeriklased, kes on suur riik, saavad sellega vaevalt hakkama, mis minu jaoks tähendab seda, et Euroopas oli mitte ühtegi riiki, kes üksinda sellega hakkama saaks. Aga kui me nagu jälle sellest potentsiaalsest tööst räägime, siis noh, praegu selgelt on, on riigi, riigis on, on töökohti, et on jõuga tekitatud niisugune, niisugune, tegime niisuguse määruse nagu turvajuhtide määrus, ehk siis igas riigiettevõttes peab olema siis tegevjuhi otseses alluvuses peab olema, olema IT-turvajuht, et see on kindlasti suur koht, kuhu neid inimesi mahub ja, ja loomulikult on siin, alustavad ettevõtted ka, saa, noh, mingil hetkel lähevad suureks ja, ja korjavad need inimesed ära, probleem on minu jaoks nagu, ma käin seal õpetamas tegelikult, ja, ja probleem on minu jaoks see, et ma õpetan välismaalasi. Et kui ma klassis ringi vaatan, siis mul on, on eestlased ja siit pärid venelased, moodustavad seal klassis kuskil noh, viiekümnest inimesest on kuskil kümme, on kohalikku.

Tegelikult me, ja seal nendes klassiruumides me tegelikult loome meeletut, meeletut rahvuslikku rikkust. Ja, ja kurb on lihtsalt see, et need erilised, eriti väärtuslik minu meelest, mida me loome, on, on just need välisüliõpilased, keda me, keda me seal lõpetame, just nimelt näiteks ka selles küberjulgeoleku valdkonnas. Ja siis, kui nad lõpetavad, me kohustame neid meie enda riigist lahkuma, et see on nagu selline kohutav raha maha, maha viskamine minu arvates, mida, mis on noh, jälle täiesti ebaratsionaalne minu arvates.

Tere Kuku raadio kuulajad, tagasi kuulama tänast ülipõnevat IT-ärisaadet Restart, mina olen Henrik Aavik ja teine saatejuht stuudios on Taavi Kotka ning meie tänase saate teemaks on küberkaitse äri. Saates on külas küberkaitse ärimees, Lauri Almann firmast DHC Labs ning Jaan Priisalu, Riigi Infosüsteemi Ameti peadirektor.

Absoluutselt, ja teine on, teine probleem, mida jälle noh, nii-öelda erasektori poole pealt võiks vaadata, on see, et me peame, ütleme ka sellest, mida me nimetame siis nii-öelda natuke ümbernurgaseliseks aktiivseks küberkaitseks, ehk siis offensiivseks küberjulgeolekuks, me peame sellest tegelikult normaalselt rääkima hakkama, et need asjad on täiesti olemas, aga Aga, ja nende ekspordivõime on täiesti olemas, arvestades seda, et Eesti kuulub NATO-sse, mis on ju kaitseallianss, mis jälle definitsiooni kohaselt peaks töötama koos mingisuguse ründekorral, kujutage ette, kui võimas see oleks. Et me kuulume Euroopa Liitu, siis on tegelikult täiesti normaalne, et me, et me hakkame ka sellistest asjadest rääkima noh, nii-öelda nii nagu me räägime kõikvõimalikust ülejäänust kaitsetööstuses, mida saab samamoodi ohvensiivselt kaitsta, et, et, et noh, meie, Teised seotud ettevõtted tegelevad täiesti noh, nii-öelda normaalse kaitsetööstuse ekspordiga, samuti milleks võib-olla alates lõhkamisseadmetest, simulaatoritest, mehitamata platvormidest, mis kõik on noh, nii-öelda ka väga sensitiivsed vahendid. Aga ometi on nad reguleeritud, mida samuti kasutatakse noh, isegi kuni noh, nii-öelda mida, mida, mida riigis längis või tahaks nimetada mustadeks operatsioonideks või ütleme, kõrgemal kui Top Secret olevateks operatsioonideks, aga aga siiski, siiski noh, nii-öelda tegemist on reguleeritud asjaga, et, et, et ma arvan, et selline natuke... enda pingetest vabastamine, sellest asjast mõistlikult rääkimine on, on ja selle reguleerimine võimaldab esiteks tekitada, tekitada usaldusväärse seltskonna, kes sellega tegelevad, võimaldab ellu rakendada noh, nii-öelda normaalsed regulatsioonid, mille peale on siis võimalik ka seda eksporti, eksporti kasvatada. Praegu on põhimõtteliselt võimalik ainult kaks varianti, et kas sa, kas sa teed midagi ülisensitiivset või sa paned toime Kuriteo. Et ja noh, see on, mõlemad on tegelikult halvad valikud.

Jah, et see eeldus oleks, et me peaksime olema noh, ütleme, et see on alati selline... Olles enne nüüd kolmveerand tundi rääkinud sellest, et see kõik on täiesti normaalne, et me tegeleme küberrünnete ja selliste asjadega, me peame arvestama loomulikult ka seda, et et need inimesed, kes tulevad kaitseväki, on ikkagi väga noored ja nad tulevad pigem keskkoolipingist, aga, aga ma arvan, et just nimelt võime, nii-öelda võimalus kaitseväel tekitada see huvi ja näidata tegelikult, et noh, nii-öelda riigis sellisesse asjasse panustamine, noh, need võimalused on tegelikult väga head. Et, et ja just nimelt nii-öelda ohvitseride baasi loomine selles valdkonnas jälle oleks, see on, see on Jaanil minu arust väga hea mõte, aga et eks seda tuleb võtta noh, nii-öelda ettevaatlikult, kontrollitult, et, et, et ta ei hakkaks siin noh, nii-öelda teistpidi, teistpidi vastu lööma, et me, et me riigina ei annaks ka, ka väga palju kohe nii-öelda käest ära, et, et seda peab alati analüüsima, aga Aga põhimõtteliselt küll, jah.

See on täpselt nii. Ja see vist on ka selles valdkonnas väikene eelis, et need ettevõtted on väikesed, et ei teki niisugust asja, nagu kunagi oli vist, mingi Ameerika film oli War Games, kus üks arvuti hakkas vist trip-trap-strulli mingima tuumapammidega või ei, trip-trap-strullis võita, sai tuumapommid peatada, aga no mitte sellest ei tahta rääkida, vaid et on olnud riigil üks kaitsearvuti, mida, mis ründe alla jäädes või valesti käituma hakates tõmbab maha uur riigi või teise riigi, et siis kui on...