Vaativat ympäristöt – tietoturva ja sääntely: usein kysytyt kysymykset

NIS2 (Network and Information Security Directive 2, voimaan 2024) koskee kriittisiä toimialoja: energia, liikenne, vesi, terveys, finanssi, digitaali-infrastruktuuri, avaruus ja monet muut. Kameravalvonta on osa NIS2:n kattamaa IT/OT-infrastruktuuria näillä toimialoilla. NIS2 edellyttää: riskiarvio kameravalvontajärjestelmästä ja sen haavoittuvuuksista, suojatoimenpiteet (pääsynhallinta, salaus, päivitykset), poikkeamien tunnistaminen ja raportointi (72 h sääntelyviranomaiselle), jatkuvuussuunnitelma (kamerajärjestelmän vikasietoisuus), toimitusketjun turvallisuus (kameravalmistajan luotettavuus). Laiminlyönnistä seuraa merkittäviä sanktioita (jopa 10 M€ tai 2% liikevaihdosta). Security.fi:n toimittamat järjestelmät täyttävät NIS2-vaatimukset.

CER-direktiivi (Critical Entities Resilience, voimaan 2024–2025) koskee kriittisen infrastruktuurin fyysistä turvallisuutta ja jatkuvuutta. Ero NIS2:seen: NIS2 = kyberturvallisuus, CER = fyysinen turvallisuus ja häiriönsietokyky. Kameravalvonta on CER:n ytimessä: fyysinen turvallisuus kriittisissä kohteissa (energia, vesi, liikenne) vaatii todennettua valvontaa, jatkuvuus tarkoittaa kameravalvonnan on toimittava häiriötilanteessa, luvattoman pääsyn tunnistaminen on CER:n keskeinen vaatimus. Suomessa CER-direktiivi implementoitiin kansallisella lainsäädännöllä vuonna 2025. Tarkista Traficomin ja sisäministeriön ohjeistukset toimialaasi sovellettavista vaatimuksista.

OT (Operational Technology) -tietoturva koskee teollisuusohjausjärjestelmiä ja prosessiautomaatiota. IT-tietoturva koskee toimistojärjestelmiä ja liiketoimintasovelluksia. Kameravalvonta on OT-laitteisto kun se on osa prosessiohjauksen tai teollisuusautomaation verkkoympäristöä. OT-tietoturvan erityispiirteet vs. IT: fyysinen prosessi ei saa pysähtyä edes tietoturvahäiriössä (käytettävyys > luottamuksellisuus), laitteiden päivitykset vaativat prosessiseisokin (päivityspolitiikka erilainen), OT-laitteiden elinikä on 10-20 vuotta (ei vuosittaisia laitehankintoja), OT-protokollat (Modbus, PROFINET, DNP3) eivät suunniteltu tietoturvaa silmällä pitäen. Kameravalvonta segmentoidaan erilliseen OT-verkkoon joka on eristetty toimistoverkoista.

Segmentointi tarkoittaa kameraverkon eristämistä muista verkoista niin, ettei kameran kaappaaminen anna pääsyä prosessiohjausjärjestelmään tai toimistoverkkoon. Toteutus: erillinen VLAN tai fyysinen verkko kameroille, palomuurisäännöt jotka sallivat vain tarvittavan liikenteen (kamera → tallennin, hallinta → kamera), DMZ (demilitarisoidtu alue) jos kamerat tarvitsevat internet-yhteyden etäkatsomiseen, Zero Trust -arkkitehtuuri jossa jokainen yhteysyritys todennetaan erikseen. Vaativissa ympäristöissä (NIS2-toimialat, ATEX-kohteet) segmentointi on pakollinen eikä valinnainen. Tarkista nykyinen verkkoarkkitehtuurisi – usein kamerat on liitetty samaan verkkoon toimiston kanssa ilman segmentointia.

GDPR koskee kameravalvontaa silloin kun kamera tallentaa henkilöitä. Vaativissa ympäristöissä: teollisuuslaitoksen työntekijät ovat GDPR:n suojattuja henkilöitä, käsittelyperusteena on tyypillisesti oikeutettu etu (turvallisuus) tai lainsäädäntöön perustuva velvollisuus, rekisteröintivelvollisuus: mikäli kameravalvonta on systemaattista ja laajamittaista, se pitää merkitä rekisterinpitäjän käsittelyrekisteriin, tietosuojaselosteet on päivitettävä kattamaan kameravalvonta, tallenteiden säilytysaika pitää määritellä ja perustella (turvallisuus: 30 päivää on yleinen suositus, pidemmät ajat vaativat erityisen perustelun). GDPR ei kiellä kameravalvontaa vaativissa ympäristöissä turvallisuussyistä, mutta vaatii dokumentoitua lainmukaisuutta.

NIS2 edellyttää tiukkaa pääsynhallintaa: vähimmäisoikeusperiaate (jokaisella käyttäjällä vain tarvittavat oikeudet – prosessikamerat prosessi-insinöörille, turvallisuuskamerat turvallisuuspäällikölle), kaksivaiheinen tunnistautuminen kaikille käyttäjille, käyttölokit (kaikki kirjautumiset, tallenteen katselut, asetusten muutokset tallennetaan), automaattinen istuntoaikakatkaisu (käyttäjä kirjataan ulos passiivisuuden jälkeen), tilin blokkaus epäonnistuneiden kirjautumisten jälkeen, salasanapolitiikka (vahva salasana, säännöllinen vaihto), ja ex-käyttäjien oikeuksien välitön poisto. Nämä vaatimukset täyttyvät nykyaikaisissa kameravalvontajärjestelmissä, mutta vanhemmissa järjestelmissä saattaa olla puutteita.

Kameravideovirran salaus estää salakuuntelun tai manipuloinnin verkkoliikenteessä. Tasot: siirtokerroksen salaus (HTTPS/TLS 1.3 kaikkiin hallintayhteyksiin, SRTP videovirralle), tallennuksen salaus (NVR tai pilvi salaa tallenteen levyllä), avainten hallinta (salausavainten turvallinen säilytys, säännöllinen vaihto), sertifikaattien hallinta (kameravalvontajärjestelmän SSL-sertifikaatit pitää pitää ajan tasalla – vanhentunut sertifikaatti katkaisee yhteyden tai mahdollistaa hyökkäyksen). Vaativissa ympäristöissä: tarkista jokaisen kameravalmistajan tietoturvatuki – jotkut halvat valmistajat käyttävät vanhentuneita salausalgoritmeja tai jättävät oletussalasanat päälle. Luotettava valmistaja ilmoittaa aktiivisesti tietoturvapäivityksistä.

Tietoturvapäivitykset ovat kriittisiä: haavoittuvuudet kameralaitteistoissa löydetään säännöllisesti, ja paikkaamattomat laitteet ovat helppoja kohteita verkkohyökkäyksille. Vaativissa ympäristöissä päivitykset ovat haaste: OT-ympäristöissä kameraverkko on eristetty eikä automaattipäivitys onnistu, ATEX-alueella tai offshore-kohteessa päivityskäynti on kallis, prosessiteollisuudessa päivitys vaatii testauksen tuotantoa vastaavassa ympäristössä ennen käyttöönottoa. Ratkaisuja: aikataulutetut seisokkipäivitykset (kaikki järjestelmäpäivitykset seisokkijakson aikana), offline-päivitysprosessi (lataa ensin turvalliseen paikkaan, siirrä eristettyyn verkkoon tallennevälineellä), valmistajan tuki (kaupallinen sopimus jossa valmistaja toimittaa turvallisuuspäivitykset ennen julkista ilmoitusta).

Turvallisuusselvitys (security clearance) voidaan vaatia henkilöiltä jotka saavat pääsyn erittäin arkaluonteiseen kameradataan: puolustussektori, ydinvoima, tiedustelupalvelut, erittäin kriittinen infrastruktuuri. Suomessa turvallisuusselvityslaki (726/2014) säätelee henkilöturvallisuusselvityksiä. Kameravalvonnan osalta: asentajille ja ylläpitäjille voidaan vaatia turvallisuusselvitys jos kamera kuvaa arkaluonteista aluetta, kameravalvontajärjestelmän toimittajille voidaan vaatia yritysturvallisuusselvitys (yritysten turvallisuusselvityslaki). Useimmilla teollisuuskohteilla ei tätä vaatimusta ole, mutta puolustusmateriaalin valmistus, ydinvoimalat ja tietyt hallinnon kohteet voivat vaatia. Selvitä vaatimukset Suojelupoliisista tai Traficomilta.

Kameravalvontajärjestelmän tietoturva-auditointi tulisi tehdä käyttöönottovaiheessa, merkittävien muutosten jälkeen, ja säännöllisesti (vuosittain NIS2-kohteissa). Auditoinnin sisältö: verkkosegmentoinnin tarkistus, pääsynhallinnan läpikäynti, salausasetusten tarkistus, lokirekisterin tarkastus, laiteohjelmistoversioiden tarkistus (päivitetyt?), käyttämättömien palveluiden tarkistus ja sammutus, oletussalasanojen poisto, fyysinen turvallisuus (tallenninlaitteet lukitussa kaapissa?). Auditoijana voi toimia sisäinen tietoturvahenkilö tai ulkopuolinen tietoturvakonsultti. NIS2 vaatii dokumentoitua auditointihistoriaa.