Hybridiuhkissa on kyse ulkoisesta vaikuttamisesta, jolla esimerkiksi valtiollinen toimija pyrkii vaikuttamaan kohteena olevaan maahaan ja sen päätöksentekoon käyttämällä useita erilaisia keinoja yhtä aikaa. Hybridivaikuttamisen keinoja ovat muun muassa kyberhyökkäykset, informaatiovaikuttaminen, fyysinen vaikuttaminen sekä sotilaalliset operaatiot ja ne ovat usein merkittävän tehokkaita ja haitallisia niiden taustalla olevan toimijan suurien resurssien vuoksi.
Vaikka hybridivaikuttamisen tavoite on vaikuttaa ennen kaikkea hyökkäyksen kohteena olevan valtion päätöksentekoon, hyökkäyksiä kohdistetaan usein myös yksityisiin ja julkisiin organisaatioihin. Tyypillisiä kohteita ovat yhteiskunnallisesti merkittävät tai huoltovarmuuden kannalta kriittiset organisaatiot, sillä niihin kohdistuvalla hyökkäyksellä on seurauksia koko yhteiskunnan tasolla.
Hybridiuhkaharjoitus on osallistujilleen vaativa mutta antoisa
Hybridivaikuttamisesta on viime aikoina ollut yhä enenevissä määrin havaintoja, ja ne tuskin ovat vähenemään päin. Paras tapa valmistautua ja minimoida kriisitilanteen mahdollisesti synnyttämiä aineellisia ja aineettomia vahinkoja on vahvistaa organisaation johdon ja henkilöstön osaamista harjoitustoiminnan avulla. Perinteisten onnettomuus- ja kyberhyökkäystilanteiden harjoittelu on pääsääntöisesti osa organisaatioiden normaalia toimintaa, mutta hybridiuhkiin keskittyvät harjoitukset ovat monissa organisaatioissa vielä harvinaisia.
Hybridiuhkaharjoitus ei perusidealtaan eroa perinteisistä johtamisharjoituksista, joissa harjoittelijat eläytyvät ennalta suunnitellun harjoitusskenaarion kautta todentuntuiseen uhkatilanteeseen. Merkittävin ero on laaja-alaisemmassa skenaariossa. Hybridiuhkaharjoituksissa vaikutuskeinoja simuloidaan yhtäaikaisesti useita, ja yhden harjoituksen aikana mukana voi olla jopa viisi erilaista vaikuttamiskeinoa. Haastavuustasoltaan hybridiuhkaharjoitukset ovat siis perinteisiä harjoituksia selkeästi haastavampia – kuten ovat todelliset hybridioperaatiotkin.
Kun kyse on hybridiuhkaharjoituksesta, mukaan on hyvä ottaa myös sidosryhmiä kuten palveluntarjoajia. Kumppaneiden osallistaminen on erityisen tärkeää silloin, kun heidän roolinsa on tunnistettu kriittiseksi organisaation toiminnan kannalta. Tällainen tilanne on esimerkiksi, jos organisaation toiminnalle kriittiset ICT-palvelut on ulkoistettu. Hybridiuhkaharjoituksessa voidaan myös simuloida sähkö- tai vesikatkon vaikutuksia organisaation toimintaan.
Harjoittelun vuosikello auttaa ylläpitämään ja kehittämään varautumista systemaattisesti
Parasta on, jos kriisitilanteita varten harjoiteltaisiin säännöllisesti ja suunnitelmallisesti. Optimaalisessa tapauksessa organisaatiolla on käytössään harjoitusvuosikello, joka ohjaa harjoitustoimintaa pitkälle tulevaan. Säännöllisyys on hyödyllistä, sillä sen ansiosta vaativuusastetta voidaan nostaa harjoitus harjoitukselta. Systemaattinen harjoittelu muodostuu myös itseään kehittäväksi prosessiksi: edellisissä harjoituksissa syntyneitä havaintoja ja niiden pohjalta tehtyjä parannuksia voidaan testata seuraavissa harjoituksissa. Samalla varmistetaan se, että osaaminen säilyy hyvällä tasolla myös henkilöstön vaihtuessa.
Harjoittelutarpeen määrä riippuu organisaation koosta ja tavoitteista
Se, kuinka monta harjoitusta vuosikelloon on hyvä aikatauluttaa, riippuu hyvin pitkälti organisaatiosta ja sen tarpeista sekä tavoitellusta varautumisen tasosta. Suuret organisaatiot voivat harjoitella useasti vuodessa, kun niiden eri yksiköt harjoittelevat juuri omalle toiminnalle relevantteja uhkakuvia. Pienemmälle organisaatiolle voi puolestaan riittää yksi laajempi harjoitus kerran tai kaksi vuodessa.
Organisaatiokohtaista on myös se, kannattaako harjoitus järjestää omatoimisesti vai esimerkiksi kumppanin avulla. Kokeneet harjoittelijat voivat hyödyntää esimerkiksi Instan Trasim-alustaa ja rakentaa sen avulla itselleen hyödyllisen harjoituksen. Mikäli harjoitukseen ei ole mahdollisuutta, valmiutta voi kehittää omatoimisesti myös päivittämällä ja käymällä läpi organisaation varautumiseen liittyviä ohjeistuksia ja vastuita säännöllisesti. Kyse on pienestä toimenpiteestä, mutta organisaation resilienssin kannalta se on yllättävän tehokas keino.
Insta on järjestänyt harjoituksia jo vuodesta 2008 alkaen muun muassa huoltovarmuuskriittisille yrityksille ja julkishallinnon organisaatioille sekä viranomaisille. Vuosittain järjestämme 20–40 harjoitusta ja autamme mielellämme räätälöimään juuri teille sopivan harjoituksen.
Hybridiuhkaharjoitus lukuina
Keskimääräisen harjoitusprosessin läpivienti kestää 2 kuukautta
Harjoituspäivän kesto osallistujille on keskimäärin 4 tuntia, harjoituksen valmistelijoille 6 tuntia
Harjoituspäivästä aktiivista harjoittelua on 2–3 tuntia
Yhteen harjoitukseen osallistuu tyypillisesti 15–30 työntekijää
Yhden harjoituksen aikana simuloidaan 2–5 vaikuttamiskeinoa.
Haluatko järjestää organisaatiollesi hybridiuhkaharjoituksen?
Ota yhteyttä
Erik Salli
Turvallisuusasiantuntija
