Nykyistä lainsäädäntöä pitäisi muuttaa niin, että tarvittaviin vastatoimiin voidaan ryhtyä heti kyberhyökkäyksen havaitsemisen ja hyökkääjän tunnistamisen jälkeen, toteavat Jarno Limnéll ja Martti J. Kari Helsingin Sanomien mielipidekirjoituksessa.
Limnéll on kyberturvallisuuden työelämäprofessori Aalto-yliopistossa. Kari on yliopistonopettaja Jyväskylän yliopiston informaatioteknologian tiedekunnassa.
Heidän mukaansa yhteiskunnalla tulee olla ympärivuorokautinen valmius kyberympäristön suojaamiseen.
– Tarvitaan teknistä ja operatiivista kykyä havaita kyberuhkia, tunnistaa ne ja vastata niihin. Lainsäädännön pitää mahdollistaa oikea-aikaiset ja riittävät toimenpiteet. Myös vastuun jakautumisesta viranomaisten välillä pitää olla selvät säädökset.
Limnéll ja Kari korostavat, että Suomen nykyiset lait eivät anna riittäviä mahdollisuuksia toimia, kun maahamme hyökätään tavalla, joka ei täytä lainsäädännön määritelmää vihamielisestä toiminnasta.
Valmiuslaki antaa viranomaisille lisävaltuuksia poikkeusoloissa, mutta se ei anna mahdollisuutta rea¬goida aseellista hyökkäystä lievempiin, jatkuvaa torjuntaa vaativiin kyberuhkiin.
– Lain tulisi mahdollistaa aktiivinen kyberpuolustus, kybervastaiskut mukaan lukien, heti hyökkäyksen tai sen valmistelun havaitsemisen ja hyökkääjän tunnistamisen jälkeen, Limnéll ja Kari kirjoittavat.
Valmiuslain päivittäminen muuttuneen uhkakuvan mukaiseksi vaatii valmiuslain muuttamista perustuslainsäätämisjärjestyksessä.
– Kesällä 2019 voimaan tullut tiedustelulainsäädäntö luo valmiuksia kyberuhkien tunnistamiseen ja kybervaikuttamisen valmisteluun, mutta se ei anna riittävästi mahdollisuuksia kyberympäristömme valvontaan ja vastatoimiin kyberympäristössä, Limnéll ja Kari toteavat.
Aluevalvontalaki antaa viranomaisille oikeuden käyttää voimaa myös tunnistamattomia valtiollisia toimijoita vastaan. Lain mukaan Puolustusvoimien ja Rajavartiolaitoksen tehtävänä on ryhtyä viivytyksettä kaikkiin tarvittaviin toimenpiteisiin valtakunnan turvallisuutta välittömästi ja vakavasti vaarantavan vihamielisen toiminnan torjumiseksi.
Limnéllin ja Karin mukaan aluevalvontalakia tulisi päivittää niin, että se mahdollistaa myös kyberympäristön valvonnan ja välittömät toimenpiteet.
– Suomen laissa pitäisi varautua kyberuhkiin yhtä selvästi kuin ilmatilaloukkauksiin ja määritellä selvästi, millä viranomaisella on toimivaltuudet ja vastuu, jos kyberhyökkäys vaatii välitöntä torjuntaa ja vastatoimia.
