Taisto-harjoitus teematehtävät - Digiturvan tietopankki
Taiston teematehtävät tarjoavat näkökulmia organisaation varautumisen, jatkuvuudenhallinnan ja häiriötilanteisiin valmistautumisen arviointiin. Tehtäviä voi hyödyntää ennen harjoitusta, sen jälkeen tai milloin tahansa vuoden aikana. Tehtävien tekeminen on vapaaehtoista, eikä niitä edellytetä Taisto-harjoitukseen osallistumiseksi.
Ensimmäisen osion teema on digitaalinen turvallisuus ja varautuminen vakavan häiriötilanteen varjossa. Teematehtävät pohjautuvat Huoltovarmuuskeskuksen 28.4.2026 julkaisemaan skenaarioon Suomeen kohdistuva sotilaallinen voimankäyttö ja huoltovarmuus. Skenaario on kuvitteellinen, ja sen tarkoituksena on tukea ajattelua, varautumista ja keskustelua, eikä se ei ole ennuste.
Toisen osion teema on kvanttiturvallisuus ja pitkän aikavälin tietosuoja. Teematehtävien tarkoituksena on tutustuttaa organisaationne kvanttiuhkaan ja siihen varautumisen ensimmäisiin askeliin. Tehtävät ei edellytä salaustekniikan asiantuntemusta.
Kun teematehtävät on käsitelty, sopikaa vähintään siitä, mitkä selvitykset käynnistetään heti, mitkä asiat edellyttävät johdon päätöstä ja kuka vastaa jatkotoimien seurannasta. DVV ei kerää teematehtävän vastauksia. Aineisto jää organisaationne omaan käyttöön.
Teema 1: Digitaalinen turvallisuus ja varautuminen vakavan häiriötilanteen varjossa
Ennen tehtäviin siirtymistä
Tutustukaa tehtäviin ja valitkaa teidän organisaationne kannalta sopivimmat ja kiinnostavimmat tehtävät. Voitte myös käydä läpi kaikki tehtävät. Tehtäväkuvauksista löydätte tarkemmat tiedot tehtävien aiheista. Tehtävien kysymykset ovat tarkoitettu keskustelua herättäviksi ja pohdittaviksi, käykää läpi ne kysymykset, jotka ovat teidän organisaatiollenne relevantteja.
Teematehtävissä sanalla organisaatio tarkoitetaan harjoitukseen osallistuvaa organisaatiotanne. Peilatkaa kysymyksiä oman organisaationne toimintaan, vastuisiin, palveluihin ja riippuvuuksiin.
Tehtävät
- Tehtävä 1: Kriittiset digitaaliset riippuvuudet ja haavoittuvuudet
- Tehtävä 2: Toiminnan jatkuvuus ja varamenettelyt häiriötilanteessa
- Tehtävä 3: Kybertilanteen hallinta osana laajempaa häiriökokonaisuutta
- Tehtävä 4: Henkilöstö ja osaaminen pitkän häiriön aikana
- Tehtävä 5: Itsearvio ja kehittämistoimet
- Hyödyllistä materiaalia
Tutustukaa ennen harjoitusta Huoltovarmuuskeskuksen skenaarioon Suomeen kohdistuva sotilaallinen voimankäyttö ja huoltovarmuus -skenaario (2026)Avautuu uuteen ikkunaan.
Taiston ensimmäisen teeman Digitaalinen turvallisuus ja varautuminen vakavan häiriötilanteen varjossa tehtävät löytyvät täältä:
Teema 2: Kvanttiturvallisuus ja pitkän aikavälin tietosuoja
Halutessanne syvemmälle teematehtävän liitteenä on vapaaehtoinen syventävä työkirja. Se on tarkoitettu organisaatioille, joilla on käytettävissä ICT- tai tietoturva-asiantuntemusta, ja siihen kannattaa varata 1–2 tuntia.
Taiston teematehtävä 2026: Työkirja kvanttiturvallisuus (XLSX, 64,61 kt)Avautuu uuteen ikkunaan.
Työkirjassa on välilehdet kryptografisten riippuvuuksien kartoitukseen (protokollat, algoritmit ja avainpituudet), kryptoketteryyden arviointiin, toimittajien post-quantum-valmiuden ja sopimusvastuiden arviointiin, riskien pisteytykseen sekä nykytilan itsearviointiin kypsyysasteikolla 0–4.
Työkirjaa ei ole tarkoitus saada valmiiksi. Työkirja on kartoitusväline, ei koe. Vastaus ”ei tiedossa” on hyväksytty ja arvokas tulos, ja avoimeksi jäävät kohdat muodostavat organisaationne selvityslistan.
Harjoituksen pääviesti
Kvanttiturvallisuus ei tarkoita sitä, että kaikkien pitäisi ymmärtää kvanttitietokoneita. Organisaation pitää ymmärtää, mitä tietoa se suojaa, kuinka kauan suojaa tarvitaan ja kuka pystyy vaihtamaan käytetyt lukot.
Miksi juuri nyt
Salattua tietoliikennettä ja tietoaineistoja voidaan kerätä talteen jo tänään, vaikka niitä ei pystyttäisi purkamaan vielä. Riittävän tehokas kvanttitietokone voi tulevaisuudessa mahdollistaa nykyisin käytettyjen salausmenetelmien murtamisen. Tätä kutsutaan uhaksi ”kerää nyt, hyödynnä myöhemmin”.
Uhka koskee jo tänään erityisesti tietoja, joiden luottamuksellisuuden on säilyttävä pitkälle tulevaisuuteen: henkilötietoja, terveystietoja, liikesalaisuuksia sekä turvallisuutta ja varautumista koskevia tietoja.
Ensimmäiset kvanttiturvalliset salausmenetelmät (PQC, post-quantum cryptography) on jo standardoitu (NIST, 2024). Euroopan komissio on antanut jäsenmaille suosituksen yhteisestä etenemissuunnitelmasta, ja Kyberturvallisuuskeskus on julkaissut keväällä 2026 kansallisen ohjeistuksen siirtymän tueksi. Kyse ei ole lainsäädännöllisestä velvoitteesta, vaan yhteisesti sovitusta tavoiteaikataulusta. Voimassa olevat tietoturvavelvoitteet, kuten tietosuoja-asetus ja tiedonhallintalaki, edellyttävät kuitenkin jo nyt suojauksen pitämistä ajan tasalla.
Etenemissuunnitelman mukaan organisaatioilla tulisi olla jo vuoden 2026 loppuun mennessä oma kvanttiturvallisen siirtymän suunnitelma, käynnistetyt kokeilut korkeimman riskin kohteissa sekä aloitetut keskustelut toimittajien kanssa. Korkeimman riskin käyttökohteet tulisi suojata kvanttiturvallisesti vuoden 2030 loppuun mennessä, ja siirtymä tulisi toteuttaa mahdollisimman kattavasti vuoteen 2035 mennessä.
Useimmissa organisaatioissa siirtymä toteutuu pitkälti toimittajien ja palveluntarjoajien tuotteiden ja päivitysten kautta. Siirtymän johtaminen edellyttää silti, että organisaatio tuntee omat tietonsa, järjestelmänsä ja sopimuksensa.
Kaksi avainta
Riippulukko – julkisen avaimen kryptografia
Kuka tahansa voi napsauttaa riippulukon kiinni, mutta vain avaimen omistaja voi avata sen. Tätä käytetään suojatun yhteyden muodostamiseen, tunnistamiseen, varmenteisiin, avaintenvaihtoon ja sähköisiin allekirjoituksiin. Riittävän tehokas kvanttitietokone voisi tulevaisuudessa murtaa monet nykyiset menetelmät, kuten RSA:n ja elliptisiin käyriin perustuvat ratkaisut.
Avainlukko – symmetrinen salaus
Samalla salaisella avaimella sekä lukitaan että avataan. Tätä käytetään yleensä varsinaisen tiedon salaamiseen; tunnettu menetelmä on AES. Kvanttitietokone ei romahduta vahvaa symmetristä salausta samalla tavalla, mutta riittävät avainpituudet ja ajantasaiset ratkaisut ovat silti tärkeitä.
Yksinkertaistettuna
Kvanttitietokone uhkaa erityisesti niitä menetelmiä, joilla turvallinen yhteys aloitetaan, osapuolet tunnistetaan, avaimet vaihdetaan ja tiedot tai ohjelmistot allekirjoitetaan.
Kvanttiuhkaan varautumisen yhteydessä mainitaan usein myös kvanttiavaintenjakelu (QKD). Sitä ei pidä sekoittaa kvanttiturvalliseen salaukseen: PQC on yleiskäyttöinen ja laajasti skaalautuva ratkaisu, kun taas QKD edellyttää erikoistunutta laitteistoa ja soveltuu vain rajattuihin siirtoyhteyksiin.
Kryptoketteryys
Kryptoketteryys tarkoittaa organisaation kykyä vaihtaa käytettyjä salausmenetelmiä, avaimia, varmenteita ja turvallisuusprotokollia hallitusti ilman, että koko palvelu joudutaan rakentamaan uudelleen. Se on kyky vaihtaa lukko ennen kuin vanha lukko muuttuu turvattomaksi.
Näin toimitte
Perusosassa on neljä tehtävää, ja niiden läpikäyntiin kannattaa varata noin tunti. Kootkaa mukaan ne henkilöt, jotka tuntevat organisaationne tiedot, keskeiset palvelut ja toimittajasopimukset. Kirjatkaa rohkeasti myös ”ei tiedossa” – tiedon puute on itsessään tärkeä löydös.
Huom. Kun olette täyttäneet lomakkeen, se sisältää organisaationne palveluita ja suojausjärjestelyjä koskevaa tietoa. Käsitelkää sitä luottamuksellisena organisaationne tietoturvaluokituksen mukaisesti.
Tehtävät
- Tehtävä 1: Pitkäaikaista suojaa vaativat tiedot
- Tehtävä 2: Kriittiset palvelut ja suojausratkaisut
- Tehtävä 3: Toimittajat ja sopimukset
- Tehtävä 4: Vastuut ja jatkotoimenpiteet
- Lisätehtävä: Tiivistelmä johdolle
- Hyödyllistä materiaalia
Taiston toisen teeman Kvanttiturvallisuus ja pitkän aikavälin tietosuoja tehtävät löytyvät täältä:
Taisto teematehtävä 2026 Kvanttiturvallisuus (DOCX, 265,72 kt)Avautuu uuteen ikkunaan.