Infrastruktuurin haavoittuvuus havaittu terrori-iskujen seurauksena

Useimmilla mailla on kriittisestä infrastruktuurista tarkka määritelmä, jossa ilmenee sen tärkeys yhteiskunnalle, siihen kohdistuvat uhat, sen eri osat ja sektorit sekä usein myös tapa, jolla sitä turvataan. Määritelmä on yleensä syntynyt uuden, sisäistä turvallisuutta koskevan lainsäädännön yhteydessä. Monessa tapauksessa tällaista lainsäädäntöä on ryhdytty laatimaan syyskuun 2001 terrori-iskujen jälkeen.

Kriittisen infrastruktuurin turvaamisessa on kolme ulottuvuutta:

• poliittinen
• taloudellinen
• tekninen

Poliittinen ulottuvuus on syntynyt eri maiden yhteisistä intresseistä turvata infrastruktuurijärjestelmänsä ja sitä kautta kasvaneesta yhteistyöstä. Poliittiseen ulottuvuuteen kuuluvat kansallinen lainsäädäntö ja kansalliset turvallisuustarpeet sekä kansainvälinen yhteistyö näiden ympärillä. Kansainvälisellä yhteistyöllä pyritään samankaltaisiin ratkaisuihin maissa, joiden tarpeet ovat samanlaisia. Yhtenäinen turvaamislainsäädäntö ja turvallisuuspolitiikka mahdollistavat teknisen yhteistyön etenkin tilanteissa, joissa infrastruktuurit ovat usean maan yhteiset.

Taloudellinen ulottuvuus käsittää kaikki ne yritykset ja muut taloudelliset toimijat, jotka rakentavat, omistavat ja hallinnoivat infrastruktuurijärjestelmiä ja -laitoksia ja jotka toimivat taloudellisten intressien mukaisesti. Taloudelliseen ulottuvuuteen kuuluu myös turvaamiskustannusten oikeudenmukainen jakaminen eri toimijoiden kesken.

Tekninen ulottuvuus käsittää tekniikan kehittymisen ja sen hyödyntämisen sekä kaikki ne käytännön ratkaisut ja toimenpiteet, joita valtiot ja yritykset tekevät turvatakseen kriittisen infrastruktuurinsa toimivuutta mahdollisten häiriöiden varalta.

Voidakseen turvata kriittistä infrastruktuuria näiden ulottuvuuksien tulee olla sopusoinnussa keskenään ja yhteistyön kaikkien toimijoiden kesken on sujuttava moitteettomasti. Juuri tästä syystä julkisen ja yksityisen sektorin yhteistoiminta sekä toimivat kansainväliset yhteistyömekanismit ovat välttämättömiä.

Kolme käsitteellistä ongelmaa
CIP ja CIIP

Tutkijat Myriam Dunn ja Isabelle Wigert identifioivat kolme keskeistä käsitteellistä ongelmaa nykyisessä kriittisen infrastruktuurin turvaamistoiminnassa. Ensimmäinen on se, ettei kriittisen infrastruktuurin ja kriittisen tietoteknisen infrastruktuurin käsitteiden välille ole tehty selvää eroa. Käsitteellä kriittinen infrastruktuuri tarkoitettiin aluksi televiestintä- ja tietojärjestelmiä, joiden toimiminen on välttämätöntä miltei kaikille muille yhteiskunnan toiminnoille.

Kriittisen infrastruktuurin turvaamistoiminnan laajentuessa kriittisen infrastruktuurin käsitteeseen liitettiin kuitenkin joukko muita tärkeitä toimintoja, kuten kuljetusinfrastruktuuri, energiainfrastruktuuri ym., kuitenkin selvittämättä, mikä näiden asema ja kriittisyys on verrattuna tietoinfrastruktuureihin. Tämä on johtanut siihen, että kriittisestä tietoteknisestä infrastruktuurista (Critical Information Infrastructure, CII) on alettu puhua erillään muusta kriittisestä infrastruktuurista, jolloin kriittisen infrastruktuurin käsitteeseen mahtuu muitakin toimintoja. Kriittinen tietotekninen infrastruktuuri on edelleen keskeisessä asemassa useiden maiden ja organisaatioiden turvaamistoiminnassa.

Mitä on kriittisyys?

Toinen Dunnin ja Wigertin tiedostama ongelma on selvittää, mitä pitää turvata. Infrastruktuurit eivät ole pelkästään itsessään kriittisiä, vaan ne yhteiskunnalliset toiminnot, jotka ovat mahdollisia infrastruktuurien ansiosta, ovat kriittisiä. Infrastruktuuri ei myöskään ole kriittinen kokonaisuudessaan, vaan kriittisiä ovat infrastruktuurijärjestelmän sisällä olevat komponentit, joiden kriittisyys järjestelmän toiminnalle voi olla eriasteinen. Kriittisen infrastruktuurin turvaaminen onkin siksi hyvin abstrakti toiminto, vaikka termi ”infrastruktuuri” ehkä antaa konkreettisemman käsityksen.

Kriittisyys voidaan nähdä teknisenä tai symbolisena. Teknisesti kriittinen on kiinteän infrastruktuurin osa tai komponentti johtuen sen keskeisestä asemasta infrastruktuurijärjestelmässä tai eri järjestelmien yhtymäkohdassa. Komponentti on symbolisesti kriittinen johtuen sen roolista tai funktiosta yhteiskunnalle.

Molemmat käsitykset kriittisyydestä ovat tarpeellisia. Teknisellä lähestymistavalla voidaan selvittää ne kriittiset komponentit infrastruktuurien sisällä, joita vahvistamalla lisätään infrastruktuurijärjestelmän sietokykyä. Symbolinen lähestymistapa vuorostaan soveltuu paremmin kokonaisuuden hahmottamiseen ja sitä kautta vahvistettavien kohtien tärkeyden arvioimiseen.

Riippuvuussuhteet

Kolmas ongelma koskee kriittisen infrastruktuurin turvaamisen vaikeutta, joka johtuu toimintojen keskinäisistä riippuvuuksista. Eri aloilla tapahtunut teknologinen kehitys on viime vuosina aiheuttanut muun muassa sen, että monet kriittiseen infrastruktuuriin kuuluvat sektorit (esim. kuljetus, televiestintä, pankki- ja rahoitustoiminta, julkiset palvelut) ovat vahvasti riippuvaisia toisistaan. Tämä vaikeuttaa aiheen käsitteellistä tarkastelua ja aiheuttaa helposti hämmennystä siitä, mitä kriittisellä infrastruktuurilla ja sen turvaamisella oikein tarkoitetaan. Ihmiset tarkoittavat usein eri asioita puhuessaan kriittisestä infrastruktuurista tai puhuvat samoista asioista eri käsitteillä. Ei ole myöskään vielä olemassa yleisesti toimivia analyysimalleja, joilla pystyttäisiin selvittämään monimutkaisia riippuvuussuhteita ja näiden mahdollisia vaikutuksia. Ilman näitä analyyseja lainsäädäntö, poliittinen päätöksenteko ja varsinkin resurssien allokointi kriittisen infrastruktuurin turvaamiseksi on vaikeaa. Tutkimustoiminta onkin siksi keskeinen osa tätä aluetta, ja tutkimushankkeita on aloitettu monissa maissa.

Käytännön ongelmia

Yleisesti voisi sanoa, että kriittisen infrastruktuurin turvaamiseksi on selvitettävä, mitkä toiminnot ovat välttämättömiä yhteiskunnalle ja mitkä infrastruktuurijärjestelmät ovat välttämättömiä näiden toimivuudelle. Tämän jälkeen selvitetään ne osat ja komponentit eri infrastruktuurijärjestelmissä, jotka ovat kriittisiä järjestelmien toimivuudelle yksinään ja keskenään. Lisäksi on selvitettävä, millä tavalla nämä ovat riippuvaisia keskenään ja tämän perusteella on asetettava osat tärkeysjärjestykseen. Ongelma lienee siinä, että kriittisiä kohtia on niin suuri määrä ja että infrastruktuurien kehittyessä ne lisääntyvät ja muuttuvat niin nopeasti, ettei niitä ole mahdollista luetteloida. Toisaalta riippuvuussuhteita on mahdoton selvittää tuntematta kriittisiä kohtia.

Monet kriittiset infrastruktuurit ovat kehittyneet hyvin monimutkaisiksi ja toisistaan riippuvaisiksi, ja ne kuuluvat monille eri omistajille. Tästä johtuen mikään valtionhallinto, alue tai yritys ei voi enää yksin tuottaa tarvittavaa suojausta. Lisääntynyt riippuvuus tietoteknisten järjestelmien kautta toisiinsa linkittyneiden avainsektoreiden välillä tarkoittaa, että yhdellä sektorilla ilmenevä häiriö leviää nopeasti muihin sektoreihin. Esimerkiksi energiasektorilla tapahtuva vakava häiriö tuntuu nopeasti televiestintäsektorilla, jossa mikä tahansa häiriö vaikuttaa nopeasti pankki- ja kuljetussektoreihin jne. Tästä syystä tarvitaan infrastruktuurin häiriönsietokyvyn ja toimivuuden takaamiseksi siviiliväestön, liike-elämän ja valtionhallinnon yhteistyötä.

Vaikutukset eivät myöskään enää rajoitu yhteen valtioon. Kriittiset infrastruktuurit ylittävät valtioiden rajat, kuten myös mahdollisen häiriön seuraukset. Yhden valtion energiasektorilla tapahtuva vakava häiriö voi aiheuttaa huomattavia seurauksia naapurivaltioiden turvallisuuteen. Kansalliset sähköjärjestelmät ovat monessa tapauksessa yhdistetyt toisiinsa, maksu- ja tietoliikennejärjestelmät ovat kietoutuneet yhteen ja lentoliikenteen hallintajärjestelmät ylittävät usein valtioiden rajat. Myös öljy- ja kaasuputket sekä rautatieverkot ylittävät usein rajoja. On helposti ymmärrettävissä, että vakava häiriö yhdellä em. sektorilla, tapahtui se mistä syystä tahansa, voi aiheuttaa tuntuvia seurauksia toisessa maassa.

EU on antanut direktiivin kriittisen infrastruktuurin suojaamisesta (2008/114/EU). Sen tarkoituksena on turvata ne infrastruktuurit, jotka palvelevat kahta tai useampaa unionin jäsenvaltiota. Aluksi direktiivi koskee energia- ja logistiikkasektoreita.