A-Insinöörien Mikael Peltonen: ”Talotekniikkaan liittyy paljon teknisen turvallisuuden aspekteja”

Ilmanvaihto, lämmitys, jäähdytys, valaistus, kulunvalvonta, paloilmoitinjärjestelmät ja energiankulutuksen seuranta ovat yhä useammin verkottuneita ja etähallittavia. Rakennuksista on tullut osa laajempaa tietoverkkoa ja sitä kautta myös potentiaalinen kyberhyökkäysten kohde.

Teollisuuden kone- ja kyberturvallisuuteen erikoistunut Mikael Peltonen työskentelee A-Insinööreissä teknisen turvallisuuden konsulttina.

– Talotekniikkaan liittyy paljonkin teknisen turvallisuuden aspekteja, hän sanoo.

Koneturvallisuuteen, turva-automaatioon ja OT-kyberturvallisuuteen (operatiivisen teknologian kyberturvallisuus) erikoistunut Peltonen on aiemmin työskennellyt Afryssä sekä ennen konsulttiuraansa nosto- ja siirtolaitevalmistaja Kalmarissa.

Peltonen mainitsee koneturvallisuuden huomioimisen tärkeäksi esimerkiksi pumpuissa ja ilmanvaihtokoneissa ja prosessiturvallisuuden, kun on kyse painelaitteista ja vaarallisista kemikaaleista. Lisäksi huomioon otettavia asioita ovat hänen mukaansa toiminnallisessa turvallisuudessa talotekniikan automaatio ja mahdollinen rajapinta teollisuuden automaatioon.

Kyberturvallisuutta on pohdittava Peltosen mukaan talotekniikan verkko- ja tietojärjestelmissä ja niiden mahdollisissa rajapinnoissa sekä fyysiseen turvallisuuteen nivoutuvissa asioissa, kuten kulunvalvonta- ja kamerajärjestelmissä ja paloturvallisuuteen liittyvissä järjestelmissä. Hän nostaa esiin myös CE-merkintäprosessit ja mahdolliset viranomaisprosessit esimerkiksi koneisiin, laitteiden yhdistelmiin sekä paine- ja sähkölaitteisiin liittyen.

IoT-laitteet, tekoäly ja pilvipalvelut tuovat uusia mahdollisuuksia, mutta myös uusia riskejä. Kyberturvallisuus ei ole enää pelkästään IT-osaston huoli, vaan myös kiinteistöjen omistajien, talotekniikkasuunnittelijoiden, urakoitsijoiden ja ylläpidon vastuulla oleva kokonaisuus.

Rakennusten tekniset järjestelmät ovat yhä useammin suoraan yhteydessä pilvipalveluihin tai organisaatioiden sisäverkkoihin. Tämä avaa mahdollisuuksia tehokkaaseen energianhallintaan ja ylläpitoon, mutta samalla myös uusia riskejä.

Talotekniikan kyberturvallisuus liittyy myös liiketoiminnan jatkuvuuteen, energiatehokkuuteen ja ihmisten terveyteen. Esimerkiksi ilmanvaihdon tai lämmityksen häiriö voi pahimmillaan johtaa rakennuksen käyttökatkoksiin, tuotantoseisokkeihin tai sisäilmaongelmiin.

Rakennusten automaatiojärjestelmät muodostavat keskeisen osan yhteiskunnan kriittistä infrastruktuuria. Sairaalat, koulut, toimistot, datakeskukset ja teollisuuslaitokset ovat riippuvaisia talotekniikan toiminnasta. Kun järjestelmät kytketään verkkoon, niiden turvallisuus nousee keskeiseksi tekijäksi.

Kyberhyökkäysten kohteena eivät ole enää pelkästään tietojärjestelmät. Myös rakennusautomaatio, IoT-laitteet ja kiinteistöjen ohjausjärjestelmät ovat kiinnostavia kohteita hyökkääjille. Hyökkäysten motiivit voivat vaihdella kiristyksestä sabotaasiin tai tiedusteluun.

Esimerkiksi ilmanvaihdon manipulointi, lämmityksen säätäminen tai valaistuksen ohjaaminen voi tuntua pieneltä haitalta, mutta todellisuudessa vaikutukset voivat olla merkittäviä.

Datakeskuksessa lämpötilan nousu voi aiheuttaa laitteistovaurioita, sairaalassa ilmanvaihdon häiriö voi vaarantaa potilasturvallisuuden ja toimistorakennuksessa kulunvalvonnan kaatuminen voi estää työskentelyn.

Tuotantoprosesseihin kohdistuvien verkko- ja tietojärjestelmäuhkien hallinta, OT-kyberturvallisuus, on tällä hetkellä yksi teollisuuden keskeisimmistä ja nopeimmin kehittyvistä turvallisuusalueista.

– Sisäisiin ja ulkoisiin verkkoihin yhteydessä olevien IoT-, automaatio- ja konejärjestelmien turvallisuutta ei voi tarkastella pelkästään fyysisestä näkökulmasta, vaan kyberturvallisuus on yhtä tärkeä osa kokonaisuutta, Peltonen sanoo.

OT-kyberturvallisuus suojaa teollisuuden tuotantoprosesseja, kriittistä infrastruktuuria ja laitteita muun muassa verkkohyökkäyksiltä. Alan asiantuntijan mukaan IT-ympäristöjen kyberturvallisuus on kehittynyt pitkälle, mutta teollisuudessa ollaan vasta heräämässä riskeihin, joille verkottuneet tuotantolaitokset altistuvat.

– Riskikenttä on muuttunut. Häiriö teollisen automaation kyberturvallisuudessa voi pahimmillaan keskeyttää tuotannon, vahingoittaa laitteita tai aiheuttaa henkilöturvallisuutta vaarantavia tilanteita. Myös NIS2-direktiivi ja muu EU-sääntely asettaa teollisuusyrityksille uusia velvoitteita varautumisen ja riskienhallinnan suhteen, Peltonen kertoo.

– Vaikka asetelma on teollisuusyrityksille merkittävä haaste, se on myös mahdollisuus rakentaa varmuutta prosessien häiriöttömyydelle, fyysiselle turvallisuudelle ja laitteiden käytettävyydelle.

Talotekniikan järjestelmien kyberturvallisuus on usein jäänyt jälkeen perinteisestä IT-tietoturvasta. Talotekniikan järjestelmät suunnitellaan usein 20–30 vuoden käyttöiälle. Kyberturvallisuusympäristö muuttuu kuitenkin nopeasti. Järjestelmä, joka oli turvallinen käyttöönottovaiheessa, voi muutaman vuoden kuluttua olla altis hyökkäyksille.

Rakennuksen elinkaaren aikana järjestelmää ylläpitää usein useampi toimija. Vastuut kyberturvallisuudesta voivat jäädä epäselviksi, eikä päivityksiä tehdä järjestelmällisesti.

Monet rakennusautomaatiojärjestelmät toimitetaan oletussalasanoilla tai ilman riittäviä suojausasetuksia. Jos näitä ei muuteta käyttöönoton yhteydessä, järjestelmä voi jäädä helposti haavoittuvaksi. Talotekniikan järjestelmät saatetaan liittää suoraan organisaation sisäverkkoon ilman riittävää verkon segmentointia. Tällöin hyökkääjä voi päästä järjestelmään toisen haavoittuvan laitteen kautta.

Kyberhyökkäys talotekniikkaan voi ilmetä monin tavoin. Seurauksena voi olla ilmanvaihdon tai lämmityksen häiriöitä, jäähdytysjärjestelmän pysäytys, valaistuksen hallinnan menettäminen, kulunvalvonnan häiriöt, energiankulutuksen manipulointi ja etävalvonnan estyminen.

Taloudelliset vaikutukset voivat olla merkittäviä. Tuotantoseisokit, käyttökatkokset ja korjaustoimenpiteet voivat aiheuttaa suuria kustannuksia. Lisäksi mainehaitta voi olla merkittävä, erityisesti kriittisissä kohteissa.

Talotekniikan kyberturvallisuus tulisi huomioida jo hankesuunnitteluvaiheessa. Hyviä käytäntöjä ovat esimerkiksi kyberturvallisuusvaatimusten määrittely hankesuunnittelussa, verkkoarkkitehtuurin suunnittelu, järjestelmien segmentointi, etäyhteyksien turvallinen toteutus sekä lokituksen ja valvonnan suunnittelu. Myös päivitys- ja ylläpitomallit olisi hyvä määritellä.

Rakennuksen valmistumisen jälkeen vastuu siirtyy ylläpidolle. Siinä keskeisiä tehtäviä ovat ohjelmistopäivitykset, käyttöoikeuksien hallinta, lokien seuranta, poikkeamien tunnistaminen, varmuuskopiointi ja dokumentoinnin ylläpito. Talotekniikan ja IT:n yhteistyö on välttämätöntä, jotta järjestelmät pysyvät turvallisina.