Helsingin Sanomien pääkirjoituksessa pohditaan tänään sunnuntaina uuden ajan sodankäyntiä. On syytäkin. Samalla, kun Suomessa kiistellään varuskuntien määrästä ja harkitaan asepalveluksen lyhentämistä, sodan uhkakuvat ovat siirtymässä muualle. Tietoyhteiskunnan sodat käydään verkossa.
Kybersota on mediaseksikäs aihe, jossa on helppo sortua liioitteluun. Tieteiselokuvissa virukset ja verkkomadot saavat yhteiskunnan polvilleen ja Skynet ottaa hallintaansa koko maapallon. Mutta elokuvat eivät ole totta. Fakta on, että laajamittaisen ja pitkäkestoisen vahingon tekeminen on edelleen helpompaa reaalimaailmassa kuin verkossa.
Suurin uhka liittyy kohtiin, joissa tietoverkko ja reaalimaailma yhdistyvät. Tehtaita, voimaloita ja vaikkapa katuvalaistusta ohjataan yhä useammin tietoverkon tai jopa kännykän kautta. Jos näihin järjestelmiin pystytään hyökkäämään, reaalimaailmalle voidaan aiheuttaa todellista ja pitkään vaikuttavaa haittaa.
Kehittynyt Stuxnet-mato yrittää juuri sitä. Mutta toisin kuin Mikael Pentikäisen kirjoitus antaa ymmärtää, Stuxnet ei ole merkki verkkosodan vaarallisuudesta vaan pikemminkin sen vaarattomuudesta. Jos Stuxnet todella on Iranin ydinvoimaloita vastaan kohdistettu, Israelissa valmistettu kyberohjus, se on epäonnistunut. Vaikka virus sai levitä vuoden ajan ennen paljastumistaan, se ei tiettävästi onnistunut aiheuttamaan merkittävää vahinkoa Iranin ydinohjelmalle. Sitä vastoin virus on levinnyt hallitsemattomasti mm. Kiinaan, Intiaan, Pakistaniin, Indonesiaan ja Yhdysvaltoihin. Ja nyt se on kansainvälisen spekuloinnin ja yleisen mielenkiinnon kohteena, mitä yksikään hyökkääjä ei toivoisi.
Stuxnet ei ollutkaan varsinaista kybersotaa vaan lähinnä sähköistä sabotaasia. Metsään meni -- mutta kuka tietää, miten käy ensi kerralla? Ja kuka tietää, miten hyvin Suomi on varautunut näihin uhkiin? Julkista keskustelua puolustusvoimien tulevaisuudesta käydään edelleen talvisodan lähtökohdista. Varuskuntia lisäämällä tai pakollisella asevelvollisuudella ei stuxnetejä torjuta.
Mitä Stuxnetiin tulee, kaikki on puhdasta spekulointia. Faktoja ei yksinkertaisesti ole. Tiedetään vain, että virus on teknisesti erittäin kehittynyt ja ensimmäinen, joka hyökkää selkeästi teollisuusautomaation järjestelmiä vastaan. Ei ole mitään varmuutta edes siitä, että kohteena olisi Iran tai tekijänä Israel. Ehkäpä osat ovat peräti päinvastoin? Nykytekniikalla verkkosota on niin epämääräistä, ettei aina voida edes tietää kumpi on hyökkääjä ja kumpi kohde.
Voi vain toivoa, että viruksen taustat joskus paljastuvat. Aiempien tapausten (mm. Nimda, Conficker) valossa se ei ole kovin todennäköistä.
Kirjoituksen lopussa Pentikäinen kertoo Cert-fi:n toimivan lähinnä elinkeinoelämän hyväksi, koska saa sieltä rahoituksensa. Cert-fi on kuitenkin Viestintäviraston alainen yksikkö ja siten osa koko kansaa hyödyttävää viranomaistoimintaa. Myös viittaus F-Securen viruslaboratorioon on hieman... hmm, markkinointihenkinen.