| Yhteenveto: | This thesis investigates cyber threats targeting critical submarine infrastructure (CSI). The study focuses on people and organizational processes of operators of submarine telecommunications cables, power cables, and gas pipelines critical to Europe’s energy transmission and data communication. The thesis outlines the cyber threat landscape, identifies vulnerabilities associate to people and processes, and estimates potential impacts.
The methodology is a qualitative cyber threat analysis based on targeted literature review and expert consultations. The thesis utilizes frameworks from ENISA, NIST, and the MITRE ATT&CK Matrix to structure the classification of threats and vulnerabilities. Cyberattack scenarios are developed to illustrate how threat actors may exploit the identified vulnerabilities in people and or-ganizational processes—such as insufficient training, poor cybersecurity policies, and insider threats—to compromise the submarine infrastructure.
The thesis found that the CSI may be susceptible to cyberattacks due to gaps in organizational cybersecurity. Potential key vulnerabilities include lim-ited cybersecurity skills, lack of awareness, insufficient investment, fragmented policies, and inadequate monitoring. Additional concerns arise from private ownership and multinational supply chains. These conditions may complicate coordinated protection and risk management efforts across jurisdictions.
The thesis emphasizes the requirement for improved cybersecurity awareness, harmonized policy implementation, increased investment in training, and enhanced protection strategies, some of which have been recently implemented at the regulatory level in the EU but need to be brought to the organizational level. Addressing vulnerabilities associated with people is essential for ensuring the resilience and operational security of the systems that enable global communications and energy transmission.
Tässä pro gradu -tutkielmassa tarkastellaan ihmisistä ja organisaatioprosesseista lähteviä kyberuhkia, jotka kohdistuvat vedenalaiseen kriittiseen infrastruktuuriin. Tutkimuksen kohteena ovat merenalaiset tietoliikennekaapelit, sähkökaapelit ja kaasuputket, joita käytetään laajasti Euroopan energiavirtojen ja tiedonsiirron mahdollistamiseen. Työssä analysoidaan kyberuhkia, haavoittuvuuksia ja vaikutuksia infrastruktuurioperaattoreihin, ja niiden operatiivisiin prosesseihin liittyen.
Tutkimuksen menetelmänä käytettiin laadullista uhka-analyysia, joka perustui kirjallisuuskatsaukseen ja asiantuntijakeskusteluihin. Työ hyödyntää ENISAn, NISTin ja MITRE ATT&CK -viitekehyksiä kyberuhkien ja haavoittuvuuksien luokittelussa. Kyberuhkia mallinnettiin skenaarioiden avulla, jotka havainnollistavat, miten uhkatoimijat voisivat hyödyntää organisaatiotason puutteita, kuten riittämätöntä osaamista, puutteellisia kyberturvallisuuskäytäntöjä ja -resursseja, sekä sisäpiiristä tulevia hyökkäyksiä, merenalaisen infrastruktuurin vahingoittamiseen tai vakoiluun.
Tutkielma osoitti, että kriittinen vedenalainen infrastruktuuri on haavoittuvainen hyökkäyksille mm. henkilöstön kyberturvallisuusymmärryksen puutteiden vuoksi. Haavoittuvuuksia lisäävät mm. yksityinen omistus, riippuvuudet toimitusketjuista, ja rajallinen valvontakapasiteetti. Tutkimus painottaa kyberturvallisuustietoisuuden ja yhtenäisten prosessien merkitystä organisaatioissa, sekä yhteisen eurooppalaisen suojausstrategian tärkeyttä. Ihmisiin liittyvien haavoittuvuuksien hallinta on tärkeää globaalin viestinnän ja energiansiirron mahdollistavien järjestelmien resilienssin ja toimintavarmuuden varmistamiseksi.
|
|---|