Tutustuimme kyberturvallisuuteen liittyviä palveluita tarjoavaan Nixun blogikirjoituksiin. Blogi on täynnä tietoturvauhkakuvia, tarinoita kyberhyökkäyksistä ja ratkaisuja ongelmiin. Blogikirjoituksissa on useita eri kirjoittajia, ja osa blogeista julkaistaan käytännössä anonyyminä. Blogeja kirjoitetaan myös esimerkiksi tiivistämään kyberturvallisuusalan tapahtumien oppeja yhteen tekstiin. Hyvin monen tekstin viimeisessä kappaleessa kerrotaan jotain Nixusta tai Nixun tavasta ratkaista kyseinen ongelma. Valitsimme tarkempaan tarkasteluun blogista kaksi kirjoitusta, jotka mielestämme edustavat osaltaan puhtaasti markkinointitarkoituksessa kirjoitettua tekstiä, sekä teknisempää asiakaskuntaa informoivaa tekstiä. Nämä tekstit ovat Suvi-Maria Saarilehdon kirjoittama “Norsk Hydro otti kolauksen, mutta heillä oli todennäköisesti suunnitelma”, sekä Teemu Kääriäisen kirjoittama “Javan deserialisointiongelma oletettua laajempi”. Saarilehto toimii Nixulla Technology Sales Managerina, ja Kääriäinen identiteetin- ja pääsynhallinnan asiantuntijana IAM-yksikössä.
Ensimmäiseksi tarkastelun kohteeksi valitsimme Saarilehdon kirjoittaman tekstin “Norsk Hydro otti kolauksen, mutta heillä todennäköisesti oli suunnitelma”. Blogista jäi loppujen lopuksi markkinoinnilta haiskahtava vaikutelma. Blogissa käsiteltiin norjalaiselle alumiinivalmistajalle sattunutta tietoturvahyökkäystä spekuloiden, ja samalla ikäänkuin kertoen kuinka heidän palvelullaan tällaisiin riskeihin voitaisiin varautua. Blogissa korostetaan automaattisen Incident Response-alustan hyötyjä nopeasti etenevässä kriisissä, eikä valveutunut lukija voikaan olla miettimättä mitä Nixu tällä ajaa takaa. Kirjoittajan tehtävänimike (Technology Sales Manager) tulee ilmi ainoastaan nimen yhteydessä, mutta se voisi olla myös aavistettavissa tekstiä lukiessa. Tekstin lopetuksessa on käytetty esimerkkinä sitä kuinka kirjoittajan ystävästä tuli heti itsevarmempi kuski, koska hänellä oli onnettomuuksien varalta isän ostama kertakäyttökamera mukana. Tarinan alle on sijoitettu mainoslause “Joko teillä on suunnitelma X?”, joka vaikuttaa hieman siltä, että yritetään vaikuttaa potentiaaliseen asiakkaaseen lopuksi vielä tunteiden kautta.
Kirjoitusten seasta löytyi myös puolueettomampia kirjoituksia, kuten tarkasteluun valitsemamme Teemu Kääriäisen kirjoitus, “Javan deserialisointiongelma oletettua laajempi”. Tekstissään Kääriäisen tavoitteena oli selvästi enemmänkin tuoda lukijan tietoisuuteen ohjelmistohaavoittuvuus, sekä selittää sitä lähdetietoon pohjaten ja kertoa mahdollisia ratkaisuja. Kääriäinen toimii identiteetin- ja pääsynhallinnan asiantuntijana, joten voidaan olettaa hänellä olevan laaja asiantuntemus käsiteltyyn tietoturvauhkaan liittyen. Kääriäinen kuvailee uhkaa seuraavasti:
“Serialisoituvien Java-luokkien mukana on mahdollista toimittaa järjestelmään haavoittuvan palvelun kautta vahingollisia olioita, joiden avulla voidaan suorittaa järjestelmässä komentoja eli ajaa haluttuja sovelluksia. Se siis käytännössä mahdollistaa käyttöjärjestelmätason sovellusten ja komentojen ajamisen.”
Tällaisia serialisoituvia luokkia käytetään hyvin monessa “ulospäin avoimessa” kohdassa lähes kaikissa Javalla tehdyissä ohjelmistoissa, joten ongelma on erityisen vakava ja huomiota vaativa. Kääriäinen listaa ongelmaan korjaamiseen ja tunnistamiseen olemassa olevia suositeltavia ratkaisuja sen sijaan, että kehottaisi lukijaa olemaan yhteydessä Nixuun. Lopussa kuitenkin on maininta siitä, että Nixussa on jo tutkittu ja kehitetty tapoja ja menetelmiä tarkistaa palveluita ja löytää haavoittuvuudelle alttiita sovelluksia. Lopuksi he tarjoutuvat antamaan lisätietoa asiasta tai apua, ja lukijalle ei jää kuva että hänelle myytäisiin palvelua.
Nixun blogi on markkinointiviestinnän työkalu, jossa teksteillä pyritään osin lisäämään asiakaskunnan sekä sidosryhmien tietoisuutta tietoturvariskeistä, ja näin ylläpitämään asiakassuhteita. Samalla tosin pyritään luomaan uusia asiakkuuksia, ja joissain kirjoituksissa tämä agenda tulee selvemmin ilmi kirjoittajan kehottaessa ottamaan yhteyttä Nixuun palvelun käyttöönoton tiimoilta. Blogeja löytyy monesta tietoturvaan sekä kyberuhkiin liittyvistä aiheista, mutta kaikkia tuntuu taustalla yhdistävän Nixun valmius tarjota palveluita ja ratkaisuja asiakkaiden ongelmiin.
Lähteet
Norsk Hydro otti kolauksen, mutta heillä oli todennäköisesti suunnitelma - https://www.nixu.com/fi/blog/norsk-hydro-otti-kolauksen-mutta-heilla-todennakoisesti-oli-suunnitelma
Javan deserialisointiongelma oletettua laajempi - https://www.nixu.com/fi/blog/javan-deserialisointiongelma-oletettua-laajempi
Kuva: https://pixabay.com/photos/cyber-security-online-computer-2296269/
Tekstin kirjoittajat esittelevät kohdebloginsa sisältöä, sekä nostavat blogista esille kaksi erilaisena ulospäin näyttäytyvänä motiivina toteutuvaa blogipostausta.
VastaaPoistaJo tekstin otsikosta lähtien tarjotaan omia ajatuksia sekä kritiikkiä kohdeblogille, sekä jatkuvasti kyseenalaistetaan kohdeblogin postausten motiivit.
Henkilökohtaisesti en tunne kyseistä blogia, mutta jos se esittelee itsensä puolueettomana tiedonlähteenä tavallisille ihmisille jatkuva avun markkinointi kaupallisten palveluiden muodossa kuulostaa törkeältä.
Jos se kuitenkin on osa Nixu:n markkinointia tehden nostoja heidän palveluihinsa liittyen se on ymmärrettävämpää.
Oma pohdintani unohtaen tekstin kirjoittajilla oli kuitenkin selkeä näkökulma sekä ote, josta he tuottivat omaa pohdintaa sekä kritiikkiä hyvin tehokkaasti. Tykkäsin tästä.