Tietosuoja 2/2011 - Lehtiluukku.fi

Haluatko ostaa tämän lehden?

Vaikuttaako lehti kiinnostavalta? Voit lukea koko lehden valitsemalla "Lisää ostoskoriin". Mukavia lukuhetkiä!

Olet esikatselutilassa. Lue koko lehti

TieToTurvan Ja TieTosuoJan erikoislehTi 2/2011 | 14 e Tietojohtaminen s. 8 on osa liiketoimintaa Pakkokeinolaki ToimikorTiT Wlan Turvallisuusverkko JulkiseT TieToaineisToT
8 leena kumPulainen 2 TieToSuoja 2/2011. 43 Tunnistamislaki avasi tietä uusille palveluille. 36 Tutustu verkkolehteen! www.tietosuoja-lehti.fi kannen kuva: eric leraillez Tietojohtaminen on bisneksen kovaa ydintä. s. s. s. 10 Bisneksen kovaa ydintä 14 Ylimmän johdon asiaksi 18 Julkiset tietoaineistot auki 22 avoin tieto taipuu liikeideaksi 26 viranomaisille oma turvallisuusverkko 28 Tilannekuva osaksi tietojohtamista 31 sähköistyvä asianhallinta haastaa organisaatiot Profiili: TieToTurva ry 32 verkostoitujan keidas Sähköinen TunniSTaminen 36 laki avasi tietä uusille palveluille 40 Tietokone kortissa 43 miten on. 4 4 Pakkokeino loukkaa aina yksityisyyttä Teema: TieTojohTaminen 8 Johdon hallussa. maiJa vuorela sisällys 3 Pääkirjoitus 2/2011 uuden pakkokeinolain toimivaltuudet puhuttavat. s. 44 kolumni 45 lyhyesti onko Wlan-verkkosi suojattu
Timo Lehtimäki Viestintäviraston Verkot ja turvallisuus -tulosalueen johtaja asiakasrekisTeri rekisterikuvaus ja -seloste ovat nähtävissä stellatum oy:n tiloissa Purotie 1 B, 00380 helsinki. Uskaltaisin kuitenkin väittää, että valtaosa muista toimijoista ratsastaa melkoisella tuurilla. CERT-FI julkaisee runsaasti erilaisia tietoturvatiedotteita, mutta varoitukset ovat harvinaisia. Trendikäs tietovarantojen avaaminen on myös tehtävä taiten. irtonumero 14 euroa. Yhteydenotot tulee tehdä kirjallisina ja allekirjoitettuina em. vuosikerta | issn 0786-5767 PainoPaikka hämeen kirjapaino oy sähköinen lehTi www.tietosuoja-lehti.fi 2/2011 kaaPo kamu T Your personal data has been stolen ätä pääkirjoitusta aloittaessani rysähtää. Liiketoiminta, asiointi ja prosessit siirtyvät verkkoon, ja näin riippuvuus internetistä kasvaa. Tietomurto konkretisoi, millaisessa muutoksessa sähköinen viestintä ja verkkopalvelut ovat. osoitetietoja käytetään ainoastaan stellatum oy:n omassa toiminnassa. Mobiilimaksaminen, sähköinen tunnistaminen, lähiasiointi, sensoriverkot ja koneiden välinen viestintä ovat tästä hyviä esimerkkejä. Reaalimaailman laitteet, esimerkiksi kodinkoneet, kytkeytyvät internetiin. Tietojen vuotaminen ja varastaminen on selvästi nousussa. Viime vuoden ainoa tapaus liittyi suomalaisen Älypää-verkkopelipalvelun käyttäjätunnusten ja salasanojen julkaisemiseen internetissä. | Jukka ihanus, toimitusjohtaja, stellatum oy | eija kara, ylitarkastaja, tietosuojavaltuutetun toimisto | anna lauttamuskauppila, viestintäjohtaja, Prh | Timo lehtimäki, johtaja, viestintävirasto | nora elers, viestintäjohtaja, Ficom ry | anu Talus, eu-asiantuntija, tietosuojalautakunta | eila ratasvuori, hallintojohtaja, helsingin kaupunki | ahti saarenpää, professori, lapin yliopisto ToimiTuskunTa Tietosuojavaltuutetun toimisto: eija kara, ylitarkastaja | lauri karppinen, iT-erityisasiantuntija | viestintävirasto: ari husa, tietoturva-asiantuntija | Pertti hölttä, yksikön päällikkö | anne lappalainen, tiedotuspäällikkö | Prh: anna lauttamus-kauppila, viestintäjohtaja | stellatum oy: Päivi männikkö, toimitussihteeri kusTanTaJa stellatum oy, Purotie 1 B, 00380 helsinki TilaukseT Ja osoiTTeenmuuTokseT osoitteenmuutosta tehdessäsi muista ilmoittaa lehden nimi. Pilviteknologia mahdollistaa tietovarantojen ja niihin pohjautuvien palveluiden maailmanlaajuisen jakelun tehokkaasti ja nopeasti. Jos jo nyt ennustaisin seuraavien viiden vuoden tietoturvatrendin, se olisi: leaks. osoitteeseen tai henkilökohtaisesti rekisterinpitäjän luona. Nyt on tarpeellista laajentaa keskustelua palveluntarjoajien velvollisuuksista ja vastuista. Tämän vuoden ensimmäinen varoitus oli osin hyvin samankaltainen kuin tapaus Älypää: Sony PlayStation Network -verkkopalveluun tehtiin tietomurto, jonka saaliina olivat kymmenien miljoonien käyttäjien tiedot. Verkkoelämä kasvattaa paineita toimivuudelle, turvallisuudelle ja yksityisyydensuojalle. Tilaaja voi kieltää tietojensa käytön markkinointitarkoituksiin ja markkinatutkimuksiin ilmoittamalla asiasta tilaajapalveluun. Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 3. kestotilauksen voi irtisanoa ennen uuden tilausjakson alkua. lehti ilmestyy neljästi vuodessa. Sonyn tapaus osoittaa karulla tavalla tietoturvan luikertelemisen kaikkialle. Tilaajapalvelu/Tietosuoja,Pl 115, 30101 Forssa Puhelin 03 4246 5301, Faksi 03 4246 5341 tilaajapalvelu@stellatum.fi www.stellatum.fi ilmoiTusmarkkinoinTi Ja -varaukseT Ds & m marketing oy, Deeli kentala deeli.kentala@dsm.fi, puh. Voiko johonkin peliyhteisöön kohdistuva tietomurto olla mitenkään merkittävä. Kun kodistakin tulee päätelaite, elämä liimautuu kiinni verkkopalveluihin. Kansallinen tietoturvaviranomainen CERT-FI julkaisee vuoden ensimmäisen varoituksen. Suomessa palvelun käyttäjiä on satojatuhansia. Tilauksen hinta on tilausjakson alussa voimassa oleva hinta, joka on painettu lehteen. kestotilauksena tilattu lehti toimitetaan tilaajalle tilausjakso kerrallaan ilman eri uudistusta, kunnes tilaaja joko muuttaa sen määräaikaiseksi tai irtisanoo tilauksen. Väistämättä nousee mieleen myös eräs perinteisistä tietoturvan haasteista: se ei ole helppoa! Kun tunnustettu iso toimija tyrii, on helppo pyrskähdellä. Jos tilaaja irtisanoo kestotilauksensa tilausjakson alkamisen jälkeen, on hän velvollinen maksamaan irtisanomisen voimaantuloon saakka lähetetyt lehdet. 09 682 0400, Faksi 09 682 1515 TilaushinnaT suomessa 2011 kestotilaus 49 euroa (laskutusväli 12 kuukautta). 23. määräaikaistilaus 52 euroa (kesto 12 kuukautta). PääToimiTTaJa anna lauttamus-kauppila, Patentti- ja rekisterihallitus anna.lauttamus-kauppila@prh.fi ToimiTusPäällikkö eija kara, tietosuojavaltuutetun toimisto eija.kara@om.fi ToimiTussihTeeri Päivi männikkö, stellatum oy paivi.mannikko@stellatum.fi ulkoasu iiris vilkko, Business to Business mediat oy iiris.vilkko@bbm.fi ToimiTusneuvosTo reijo aarnio, tietosuojavaltuutettu, pj. Tilaajan tietoja käytetään asiakassuhteen ylläpitoon ja hoitoon. Pääkirjoitus TieToTurvan Ja TieTosuoJan erikoislehTi JulkaisiJaT tietosuojavaltuutetun toimisto tietosuojalautakunta viestintävirasto vT. Kun eri laitteet ja palvelut ovat yhteydessä toisiinsa verkossa, peliyhteisön ongelmat voivatkin aiheuttaa vakavia heijastuksia verkkoelämään. 0440 235 939 Bouser oy, Jukka Tiainen, jukka.tiainen@bouser.fi puh. Viime vuoden trendeihin kuuluivat pilvipalvelut, sosiaalinen media ja wikileaks. Jos laskutusjakso tai maksueriä on maksettu ennen irtisanomisen voimaantuloa, tilaus päätetään maksetun jakson loppuun. hinnat ovat voimassa vuonna 2011 suomeen tehtyihin tilauksiin. seuraava numero ilmestyy 27.9.2011. Mutta kuka tietoja oikeasti julkaisee ja onko sisältö oikeaa
" Poliisin toimenpiteet eivät saa altistaa epäiltyä sivullisten tekemille oikeusloukkauksille. 4 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi
"Vastaavat toimivaltuudet ovat käytettävissä jo nyt, mutta niiden käyttäminen edellyttää varsin paljon perustelu- ja selvitystyö- laite-etsintä erilleen kotietsinnästä Uusia toimivaltuuksia tulevassa pakkokeinolaissa ovat muun muassa laite-etsintä ja tekninen laitetarkkailu. Laite-etsintä kohdistetaan tietokoneessa, mobiililaitteessa tai tietojärjestelmässä etsintähetkellä olevaan tietoon. On myös tärkeää, että perusoikeuksia sivuava lainsäädäntö on yhteiskunnassa riittävän selkeää", toteaa ylitarkastaja Sari Kajantie keskusrikospoliisista. Sille on pal- Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 5. Todellisuudessa tilanne ei muutu paljon nykyisestä. P akkokeinolaki sisältyy isoon esitutkinta-, pakkokeino- ja poliisilainsäädännön kokonaisuudistukseen, jonka eduskunta hyväksyi tä sekä pyytäjältä että myöntäjältä. Esimerkiksi tiedon oikeudetonta kaappaamista tietojärjestelmän sisältä, eli näppäin- tai selainkaappausta, ei ole Suomessa kriminalisoitu, vaikka Eu- roopan neuvoston tietoverkkorikollisuutta koskeva yleissopimus sitä Suomelta edellyttää. Pakkokeino loukkaa aina yksityisyyttä Teksti: Marjo Rautvuori | Kuvitus: Maija vuorela uusi pakkokeinolaki on herättänyt vilkasta keskustelua, jossa ovat osin menneet sekaisin julkiset ja salaiset pakkokeinot sekä operatiivisen tiedonhankinnan eri vaiheet. Sen tähden poliisi ei voi tutkia taloudellista hyötyä tavoittelevia identiteettirikoksia silloin, kun näyttö olisi vielä olemassa." maaliskuussa. "Lainsäädäntö ei muutoinkaan aivan vastaa kansainvälistä mallia. Pakkokeinolain voimaantulo sidotaan poliisin ja oikeusviranomaisten yhteiseen tietojärjestelmähankkeeseen, jonka arvioidaan valmistuvan vuoden 2014 alkuun mennessä. Nimenomaan verkkorikoksissa toimivaltuudet ovat puutteelliset. Kritiikkiä uusi pakkokeinolaki saa Kajantieltä 90-luvun puhelinteknologiaan sidottujen sanamuotojensa vuoksi. Uudessa lainsäädännössä poliisin toimivaltuudet on pyritty kirjoittamaan auki entistä selkeämmin
Piraattipuolue on julkisuudessa arvostellut teknistä laitetarkkailua puuttumiseksi ihmisten tietoturvaan ilman selkeitä perusteluja. Laite-etsinnän ja teknisen laitetarkkailun kaltaiset laitteeseen kohdistuvan tiedonhankinnan keinot pitääkin erottaa sellaisista pakkokeinoista, joissa selvitetään viestinnän sisältöä reaaliaikaisesti ja salaa. Laite-etsinnän kynnys on sama kuin kotietsinnässä: tutkittavan rikoksen enimmäisrangaistuksen on oltava vähintään kuusi kuukautta. lytykset ovat olennaisesti laite-etsintää tiukemmat", Kajantie toteaa. On siksi tarvetta päästä tarkkailemaan niin sanottua volatiilia tietoa, josta ei jää koneelle jälkiä, ja salattua viestiliikennettä, josta sivullinen verkon tarkkailija ei saa mitään tolkkua." Viestintävirasto on perinteisesti tarjonnut tulkinta-apua ja sovitellut erityisesti uusilla valtuuksilla ei saa selvittää sisältöä Tulevassa pakkokeinolaissa laite-etsinnästä ja teknisestä laitetarkkailusta on nimenomaisesti rajattu pois viestinnän tunnistamistietojen ja sisällön selvittäminen. Niitä ovat esimerkiksi telekuuntelu ja asuntokuuntelu. "Esimerkiksi viestinnän lokitietoa ei saa etsiä päätelaitteesta laite-etsinnällä, vaan ne on haettava televalvonnalla, jonka edel- 6 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Salaisissa pakkokeinoissa viestintään puuttumisesta päättää aina tuomioistuin, vaikka poliisi tiedonhankinnan toteuttaakin. Siinä nimenomaan säädetään edellytykset rajata lailla viestinnän luottamuksellisuutta rikostutkinnan sitä vaatiessa." Kajantie muistuttaa, että esitutkinnan tarkoitus on tosiasioiden selvittäminen. " Viestintään puuttumisesta päättää salaisissa pakkokeinoissa aina tuomioistuin. jon käyttöaloja, koska poliisi voi sillä hankkia tietojärjestelmistä mitä tahansa dokumentteja, kuten kirjanpitoasiakirjoja. Vastoin joitakin julkisuudessa esiintyneitä tietoja Viestintävirasto ei ole sen CERT-FIyksikön päällikön Erka Koivusen mukaan kritisoinut mahdollisuutta hyödyntää vakoiluohjelmistoja esitutkinnan apuna. Tuomioistuin päättää salaamisesta erityisin perustein, mikä on Kajantien mukaan harvinaista. "Nimenomaan viestintään kajoaminen rajoittaa epäillyn perusoikeuksia eniten. Se on kuitenkin, vastoin julkisuudessa nähtyjä kommentteja, täysin linjassa perustuslain kanssa. Niinpä tutkinnassa on selvitettävä myös syyttömyyttä tukeva näyttö. Poliisille oikeus seurata tietokoneen toimintaa Toinen uusi toimivaltuus, tekninen laitetarkkailu, on jo herättänyt julkisuudessa keskustelua. "Yhteydet kahden päätelaitteen välillä ovat yhä useammin päästä päähän salakirjoitettuja. Sari Kajantien mukaan epäillyn oikeusturvan kannalta keskeisintä ei kuitenkaan ole epäillyn käyttämän laitteen turvajärjestelmien ohittaminen "tietomurrolla", vaan laitetarkkailulla käsiksi salattuun liikenteeseen Tekninen laitetarkkailu on herättänyt julkisuudessa paljon huomiota, koska siinä poliisi saa seurata tietokoneen tai sen ohjelmiston toimintaa vakoiluohjelmiston avulla. Teknisessä laitetarkkailussa poliisi saa asentaa epäillyn tietokoneelle ohjelmiston, joka seuraa ja kerää tietoja tietokoneen tai sen ohjelmiston toiminnasta. Tekninen laitetarkkailu puolestaan on salainen pakkokeino, eli se tehdään kohteen tietämättä. Näitä toimivaltuuksiaan poliisi voi käyttää vain pakkokeinolaissa erikseen lueteltujen vakavien rikosten, esimerkiksi murhien ja törkeiden huumausainerikosten, tutkinnassa. viestintään puuttuminen ilman että epäilty tietää selvityksestä. Poliisi saa käyttää teknistä laitetarkkailua tutkiessaan rikosta, jonka enimmäisrangaistus on vähintään neljä vuotta vankeutta. salaisista pakkokeinoista päättää tuomioistuin Laite-etsinnällä ja teknisellä laitetarkkailulla on eräs oleellinen ero: Laite-etsintä on julkinen pakkokeino, eli siitä on ilmoitettava laitteen haltijalle. Hänen mukaansa on selvää, että teknologian kehittyminen tekee tarpeelliseksi ulottaa tekninen tarkkailu myös rikoksesta epäillyn päätelaitteeseen. Niistä on pääsääntöisesti aina ilmoitettava kohteelle sen jälkeen, kun ilmoitus voidaan tehdä tutkintaa haittaamatta. Nykyisin tietojärjestelmien etsintä suoritetaan osana kotietsintää. Tulkintaongelmia on tuottanut se, että etsinnän kohteena olevan laitteen tai tiedon sijaintipaikasta ei aina ole varmuutta. Kajantien mukaan teknistä laitetarkkailua voidaan soveltaa lähinnä haittaohjelman tietojärjestelmään tekemien muutosten selvittämiseen
Tietojohtaminen 8 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi
Tietojohtamisen on siirryttävä tietohallinnolta johdon asiaksi, sanoo tietosuojavaltuutettu Reijo Aarnio sivuilla 1417. Johdon linjauksia tarvitaan siirryttäessä kokonaan sähköiseen asianhallintaan. Julkisten tietoaineistojen pohjalta voi kehittää aivan uusia palveluja, ennustetaan sivuilla 2225. Johdon hallussa? Teksti: Päivi Männikkö | Kuva: Images.com/Corbis/SKOY Tieto on valtaa, sanotaan. Tietotekniikan liiton kyselyssä ilmeni myös, että suomalaiset yritykset ovat yhä huonosti varautuneita IT-järjestelmien häiriöihin. Tietoaineistojen avaamisen vaikutuksia yksityisyyteen pohditaan sivuilla 1821. Johto kuitenkin on vastuussa tietojen riittävästä suojaamisesta. vallan mukana tulee johtamisen vastuu. o rganisaatiot ovat nykyisin hyvin riippuvaisia tiedosta ja toimivista tietojärjestelmistä. Käytössä olevan tiedon määrä kasvaa, kun julkisia tietovarantoja tuodaan kaikkien saataville. Päätöksenteossa tarvitaan oikeaa tietoa. EU:n henkilötietodirektiiviin suunnitellaan tilivelvollisuuden periaatetta: Yrityksen olisi tarvittaessa osoitettava, että se on huolehtinut tietojen suojaamisesta. Tietohallinnon merkityksestä liiketoiminnassa puhutaan sivuilla 1013. Helsingin kaupungin ja sisäasiainministeriön kokemuksista kerrotaan sivulla 31. Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 9. Kuitenkin moni yritys horjahtelee tietojen hallinnan vastuukysymyksissä: Tietotekniikan liiton ja Sofigaten alkuvuonna tekemän kyselyn mukaan lähes joka kolmannessa yrityksessä tietohallinnolle asetettuja toiminnallisia vaatimuksia ja niiden seurantaa on joko vähäisissä määrin tai ei lainkaan. Valtionjohdon päätöksentekokykyä parannetaan rakentamalla viranomaisille turvallinen tietoverkko, kerrotaan sivuilla 2627. Tilannetietoisuus halutaan osaksi tietojohtamista viestintäverkkojen ja -palvelujen tilannekuvajärjestelmällä, josta voit lukea sivuilta 2830
Tietojohtaminen scansTockPhoTo 10 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi
Hänellä on kokemusta yritysten ITorganisaatioista viidentoista vuoden ajalta. Tietohallinnon tulisi Helsingin Tietojenkäsittely-yhdistyksen (Hetky) puheenjohtaja Pipsa Ylä- Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 11. "Tietohallintojohtajan paikka on yrityksen strategisessa johtoryhmässä, jotta hän voi vaikuttaa stra- linnon avulla toimintaa ja kehitystä voidaan ohjata haluttuun suuntaan. Laadukkaan ja tehokkaan tietohal- Monosen mielestä olla osa koko organisaation kattavaa toimintaa. Bisneksen kaikenlaiset organisaatiot tarvitsevat luotettavaa ja käyttökelpoista tietoa ja toimivia tietojärjestelmiä. kovaa ydintä Teksti: Markku Summa l iiketoiminta on tänä päivänä hyvin riippuvainen tarkoituksenmukaisesti organisoidusta tietohallinnosta ja tietojärjestelmien toimivuudesta. Itellan ICT-palveluiden päällikkönä työskentelevä Ylä-Mononen on ollut Hetkyn puheenjohtaja vuodesta 2009 lähtien
Julkisen sektorin ulkoistamisinnostus selittyy säästöpaineilla. Näin minimoidaan riskit. Siihen kuuluu myös tietoturvan huomioonottaminen. Koska tietovarastot kasvavat, käyttöön otetaan uusia prosesseja, ohjelmistoja, portaaleja ja toimintoja ulkoistetaan, tietohallinto elää jatkuvassa muutoksessa. Nykyisin ollaan kriittisempiä ja mietitään, mitä ulkoistetaan ja miksi. "Tietotekniikan kehitys on nopeaa. Monella pkyrityksellä ei ole osaamista tietohallintoon liittyvissä asioissa, kuten hankkeiden suunnittelussa, laitteiden hallinnassa ja ohjelmien asentamisessa." Tietoturva nostettava esiin Tietoturva on syytä huomioida sekä tietoverkoissa että päätelaitteissa. Tietojohtaminen on tiedon keräämistä, jalostamista, hyödyntämistä ja hallintaa. Tietohallinnon keskeinen tehtävä on nostaa näitä asioita esiin." Eräänä uhkana Ylä-Mononen pitää sitä, että yrityksen tiedot voivat tulla kaikkien nähtäville sosiaalisessa mediassa. Tavoitteena on, että yhä pienempi määrä tiivistettyä tietoa palvelisi päätöksentekoa entistä paremmin." ulkoistaminen ei itsetarkoitus Ulkoistaminen edellyttää valmiuksia ja hyvää suunnittelua. Lisäksi tulee katsoa, että itsellä säilyy ostamisen osaaminen ja vastuu kehittämisestä", Ylä-Mononen sanoo. Hän muistuttaa, että jokaisella yrityksellä on sisäisiä asioita. Yrityksissä on perinteisesti totuttu tarkastelemaan, mikä on ydintoimintaa ja mitkä palvelut ostetaan. Ylä-Monosen mukaan tietojohtaminen koostuu tietämyksen ja liiketoimintatiedon hallinnasta sekä innovaatiojohtamisesta ja aineettoman pääoman, kuten kompetenssien ja kumppanuuksien, johtamisesta. Olennaista on, että ei ulkoisteta ongelmia, vaan asioita, joita joku muu tekee paremmin ja tehokkaammin. Varsinkin nuorille pitää kertoa yksityisyyden suojasta ja tietosuojasta, jotta he sisäistävät sosiaalisen median eettiset periaatteet jo alusta lähtien ja ymmärtävät, että internetiin kirjoitettu teksti tai kuva tulee olemaan siellä aina." roDeo Painopiste nykyisin sisällöissä Tietojohtamisesta alettiin puhua vasta 1990-luvulla. "Kehittämisen painopiste on tänä päivänä tietosisällöissä ja tiedon käyttökelpoisuudessa, oikeellisuudessa, rakenteissa ja vastuuseen liittyvissä kysymyksissä ei niinkään välineissä tai teknisissä ratkaisuissa." "Kerätyn ja jalostetun informaation avulla pyritään ymmärtämään tulevaisuutta niin, että se mahdollistaisi yrityksen menestymisen kilpailussa. Keskeinen yrityksissä korostuva tietoturvahaaste on, mihin järjestelmiin ja palveluihin kenelläkin on käyttöoikeudet, ja miten niitä hallitaan. 12 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. "Alussa moni organisaatio ulkoisti ulkoistamisen innossa eri asioita. "Perään mediakasvatusta. Tietojohtaminen tegiatyöhön ja tuoda esille tietohallintoon kiinteästi liittyviä tietoturva- ja tietosuoja-asioita", hän sanoo. "Osa yritysjohdosta ymmärtää tietoturvan ja tietosuojan merkityksen
"Globalisaatio haastaa yritykset huomioimaan toiminnassaan enenevässä määrin tietoturvan ja tietosuojan", helsingin Tietojenkäsittely-yhdistyksen puheenjohtaja Pipsa Ylä-mononen sanoo. Pilvipalvelut mietityttävät yrityksiä Pk-yrityksille pilvipalveluista olisi Pipsa Ylä-Monosen mukaan hyötyä. Toiminta tulee helpommaksi, kun voi ostaa tarvitsemansa palvelut ja niin pitkäksi aikaa kuin tarvitsee. " Tietohallinnon keskeinen tehtävä on nostaa esiin tietoturva- ja tietosuoja-asioita. Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 13. Yrityksissä pilvipalveluiden käyttöön suhtaudutaan kuitenkin vielä kaksijakoisesti: "Aina osa yrityksistä lähtee kokeilemaan uutta heti, kun se on mahdollista - ja osa jää odottamaan muiden kokemuksia. Lähtökohtaisesti pilvipalveluihinkaan ei rynnistetä ennen kuin on ymmärretty riskit ja tehty suunnitelma, miten hyödyntää niitä." Tietotekniikan liiton ja Sofigate Oy:n tietohallintojohtajille tekemän kyselyn perusteella yrityksissä tietohallinnon asiantuntijat suhtautuvat pilvipalveluiden tietoturvaan selvästi epäilevämmin kuin liiketoiminnasta vastaavat. "Erityisesti pitää miettiä, ovatko pilveen siirrettävät tiedot luottamuksellisia ja kohdistuuko niihin tietoturvasta ja tietosuojasta säädettyjä lakeja ja asetuksia", Ylä-Mononen huomauttaa
Tyypillistä myös on, että ihmiset käyttävät samaa käyttäjätunnus-salasanaparia useissa eri sähköisissä palveluissa. "Vaikka, jälleen kerran, kun se kirjoitetaan velvoitteen muotoon, moni ymmärtää sen lisäbyrokratiana." Sähköisistä tietojärjestelmistä on tullut osa yhteiskunnan perusinfrastruktuuria. "Uutta tässä on se, että velvoitteiden täyttäminen pitää kyetä osoittamaan", tietosuojavaltuutettu Reijo Aarnio sanoo. Pilvessä vastuuta myös palveluntarjoajalla Tietojenkäsittelyn uudet liiketoimintamallit, pilvipalvelut etunenässä, kasvattavat tarvetta näyttää tietosuojasta huolehtiminen toteen. Pilvipalveluiden tarjoajat ovat henkilötietojen käsittelijöitä ja näin osaltaan vastuussa tietosuojasta, tulevaisuudessa ehkä myös tilivelvollisuudesta: "Jos rekisterinpitäjällä on velvollisuus kyetä osoittamaan tietosuojan toteuttaminen, ja se ulkoistaa palvelun, totta kai se silloin odottaa, että tilivelvollisuus kuuluu palveluntarjoajan palveluun." eduksi liiketoiminnalle Aarnion mukaan tilivelvollisuus parantaisi myös liiketoiminnan edellytyksiä. Komission ehdotuksessa tilivelvollisuudella (englanniksi accountability) tarkoitetaan sitä, että rekisterinpitäjä osoittaa noudattavansa tietosuojasäännöksiä ja pyydettäessä todistaa sen valvontaviranomaisille. Tietojenkäsittelyjärjestelmät 14 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Dominoefektin välttämiseksi kaikkien organisaatioiden pitäisi kantaa vastuunsa tietosuojasta, Aarnio sanoo: "On hienoa, että sidosryhmät, viranomaiset ja mahdollisesti suuri yleisö pääsevät arvioimaan, kantaako organisaatio vastuunsa. Jos se ei kanna, voi ää- omaiset ja yritykset saattavat seurata Haltikin ja Väestörekisterikeskuksen jalanjälkiä. kisterinpitäjät voisivat toteuttaa tilivelvollisuuden periaatetta, jonka EU:n komissio haluaa lisätä uuteen henkilötietodirektiiviin. Tarkoituksena on tehostaa direktiivin velvoitteiden toteutumista. Näin yhden lenkin pettämisellä on välittömiä vaikutuksia muihinkin palveluntarjoajiin. Tietojohtaminen T Ylimmän johdon asiaksi oissavuonna Hallinnon tietotekniikkakeskus Haltik julkaisi tietotilinpäätöksen tiettävästi ensimmäisenä valtionhallinnon viranomaisena. Tänä vuonna tietotilinpäätöksen teki myös Väestörekisterikeskus, jonka pitää uuden väestötietolain nojalla raportoida muiden muassa lokirekisteriin tallennettujen tietojen ja tapahtumatietojen käsittelystä. Lähivuosina Suomen ja muiden EU-maiden viranTietotilinpäätöksellä ja vastaavilla raporteilla renestää jaloillaan." valmistelussa oleva uusi henkilötietodirektiivi kasvattaa tietojohtamisen merkitystä. Teksti: Päivi Männikkö ovat tuotannontekijöitä, joihin yrityksen johdon on kiinnitettävä huomiota kilpailukyvyn takaamiseksi. Siinä Haltik raportoi toimialaansa kuuluvien tietojen käsittelyä koskevista merkittävistä asioista, esimerkiksi käyttövaltuuksien hallinnasta, verkonhallinnasta ja järjestelmien ylläpidosta. Tietosuojavaltuutettu korostaa, että oikein toteutettuina pilvipalvelut ja tilivelvollisuus suorastaan mahdollistavat toinen toisensa
sen sijaan useissa muissa eu-maissa kaikkien rekisterinpitäjien on ilmoittauduttava kansalliselle tietosuojaviranomaiselle. Vaihtelevammin käytössä olevia toimia ovat tietotilinpäätökset, joiden laatiminen on Suomessa Halti- Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 15. PhoToDisc Tietosuojan toteutumisesta vastaa silti rekisterinpitäjä. Ilmoitusmenettely kevenee direktiiviehdotUksen lausuntokierroksella yritykset toivoivat, että jos tilivelvollisuuden periaate lisätään direktiiviin, sieltä vastaavasti otettaisiin jotakin pois. suomessa toimintailmoitus tulee tehdä vain tietyillä, henkilötietolaissa määritellyillä toimialoilla. suomalaisyrityksiäkin yleinen ilmoituspakko koskee silloin, kun niillä on toimintaa kyseisissä maissa. esillä on ollut ilmoitusvelvollisuuden kaventaminen. Auditoinnit, standardit ja muut hyväksymismenettelyt ovat jo yleisessä käytössä, samoin binding corporate rules -säännöt siirrettäessä tietoja EU:n ulkopuolelle. Toteutus riskien mukaan EU-maissa on jo käytössä erilaisia toimia, joilla rekisterinpitäjä osoittaa noudattavansa tietosuojasäännöksiä
Joissakin maissa joka organisaatiolla on oltava oma tietosuojavastaava, Suomessa vain sosiaali- ja terveydenhuollon yksiköillä. Jos tilivelvollisuuden sisällöstä päästään yksimielisyyteen, se on mielestäni enemmän kuin puoli voittoa", Aarnio rauhoittelee. hän ei usko, että tietosuojavaltuutetun toimiston tehtäviin tulee suuria muutoksia. "voi olla, että direktiivin uudistukset näkyvätkin lautakunnan puolella", aarnio miettii. meillä tietosuojalautakunta on tärkein henkilötietoasioissa päätösvaltaa käyttävä elin. Sitä koskeva yleinen säännös tullee sellaisenaan joka maan lainsäädäntöön. Direktiiviin niin ikään kaavailtu yleinen tietoturvaloukkausten ilmoituspakko on jo käytössä muutamissa maissa. Liikkumavaraa tuo myös rekisterinpitäjän toiminnan luonne. Sen sijaan tilivelvollisuuden toteuttamisesta päättäminen jätettäneen kansallisille viranomaisille. Suomessa ilmoitusta vaaditaan teleyrityksiltä. hänen mukaansa viranomaisten työn tulisi painottua ennakoivaan ohjaamiseen eikä rankaisemiseen jälkikäteen. "Sisältö on tärkein, muodot voivat vaihdella. "minä olen sitä mieltä, että hallintoviranomainen ei voi mätkiä sakkoja", tietosuojavaltuutettu reijo aarnio toteaa. "Nyt nämä toimet kootaan direktiivissä saman tilivelvollisuuden sateenvarjon alle", Aarnio kiteyttää. Toimivaltuuksista esillä ovat olleet ainakin ryhmäkanne- ja sakotusoikeudet. "meillä on riittävät tiedonsaantioikeudet. "Toivon, että vapaaehtoinen tietotilinpäätöstoiminta yleistyisi ja ymmärrettäisiin, että se palvelisi johtamista." kin ja Väestörekisterikeskuksen lakisääteinen velvollisuus. Tietosuojaviranomaisten työryhmä eh- Jos asiakastiedot varastetaan, miten hyvän maineen saa takaisin? JYrki vesa Viranomaisille lisää toimivaltaa komissio halUaa uudessa henkilötietodirektiivissä vahvistaa kansallisten tietosuojaviranomaisten asemaa. suomessa viranomaisten toimivallan vahvistamispaineita lisää tuomioistuinten jutturuuhka. Tietojohtaminen " Tietosuojavaltuutettu reijo aarnion mukaan tietotilinpäätös olisi luontevaa jatkoa yritysten tekemille talous-, henkilöstö-, ympäristötilinpäätöksille. Toisin kuin muissa eu-maissa, suomessa kysymys viranomaisen roolin vahvistamisesta koskee myös tietosuojavaltuutetun ja tietosuojalautakunnan välisiä suhteita. varsinaista rikosoikeudellista sakotusoikeutta sillä ei ole. emme ole valvontaketjun heikko lenkki." aarnio viittaa euroopan ihmisoikeustuomioistuimeen, joka on ratkaisuissaan moittinut suomea rikoslain puutteellisesta tulkinnasta henkilörekisteririkoksissa. Voiko lopputuloksena olla 27 erilaista tulkintaa toteutuksesta. 16 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Kansalliset erityispiirteet, esimerkiksi pohjoismainen julkisuuslainsäädäntö, vaikuttavat tilivelvollisuudesta säätämiseen
Hänen mukaansa tietosuojastandardien ja vastaavien hyväksyntämenettelyjen kehitys on menossa kohti määrämuotoisia raportteja, mikä helpottaisi asiakkaan luku-urakkaa. Onko vaarana, että tilivelvollisuuden takia vaadittavista tietosuojaraporteista tulee talojen kuntotarkastusraporttien kaltaisia, tasoltaan ja laajuudeltaan vaihtelevia selontekoja, joiden perusteella asiakkaan on vaikea saada selvyyttä organisaation luotettavuudesta. dottaa, että rekisterinpitäjät voisivat valita sopivat toimet käsittelemiensä tietojen määrän, käyttötarkoituksen, luonteen ja tiedonkäsittelyn sisältämien riskien mukaan. kannalta saatavissa oleva hyöty jää saamatta. voiko raporttiin luottaa? Tällä hetkellä EU:ssa keskustellaan tilivelvollisuuden raportoinnin muodoista; sen julkisuudesta ja siitä, edellytetäänkö raportin toimittamista viranomaiselle automaattisesti vai erillisestä pyynnöstä. Se on varmasti tyhmä ratkaisu", Aarnio kuittaa. "Jos joku menee siihen halpaan, että raportoi vain täyttääkseen jonkun velvoitteen, siitä johtamisen aiheesTa enemmän henkilötietodirektiivin uudistamisesta eu:n komission verkkosivuilla: http://ec.europa.eu/justice/policies/privacy/review/index_en.htm Tilaushinnat 2011 Suomessa (kahdeksan numeroa vuodessa): kestotilaus 52 (laskutusväli 12 kuukautta), 12 kuukauden määräaikaistilaus 57 . Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 17
"Toinen ovat tekijänoikeuksiin liittyvät kysymykset". "Maksuperustelainsäädäntö on yksi lainsäädännön osa-alue, jota valtiovarainministeriö omassa työryhmässään paraikaa pohtii", Rastas kertoo. "Jotkin osat tietoaineistoa saattaisivat olla avattavissa uudistamalla käyttövaltuuksia", Rastas arvioi. 18 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Millaisia lakimuutoksia on odotettavissa. Tietosuojasta vastaavien olisi myös kyettävä ennakoimaan rekisterien käyttöä kokonaisuutena. Tietojohtaminen tietoaineistot auki tietosuojasta tinkimättä viranomaiset pohtivat, kuinka tuoda mahdollisimman paljon rekisteritietoa yritysten ja kansalaisten käyttöön yksityisyyttä vaarantamatta. Teksti: Kirsi Castrén Julkiset Eräs tapa suojata yksityisyyttä on salassa pidettävien tietojen peittäminen aineistosta eli koodaus. T ulevaisuudessa kansalaiset, viranomaiset ja yritykset pääsevät entistä helpommin tutustumaan mielenkiintoisiin julkisiin tietoihin. Rastaan mukaan kyse tullee olemaan pikemminkin oikeuskäytäntöjen selkiyttämisestä ja asetuksista kuin suurista lakimuutoksista. suojatutkin aineistot osittain auki? Hallituksen periaatepäätös koskee ensisijaisesti sellaisenaan luovutettavissa olevia julkisia tietoaineistoja, joiden käsittelyä lainsäädäntö ei rajoita. "Toive julkisten tietoaineistojen avaamiseen on esitetty monilta tahoilta, ja jo 90-luvulta asiaa on koetettu viedä hallinnossa eteenpäin", kertoo neuvotteleva virkamies Taru Rastas liikenne- ja viestin- täministeriöstä. Edellinen hallitus linjasi maaliskuisessa Koska koodaus ei varsinaisesti poista aineistosta tietoja, sen luotettava toteutus edellyttää kehittynyttä tekniikkaa. "Hallituksen periaatepäätös osoittaa, että asialle on nyt saatu yhteinen tahtotila." käytännöt epäselviä Periaatepäätöksessä todetaan, että julkisen sektorin tietoa ja sen käyttöä koskevaa lainsäädäntöä on selkiytettävä. "Yksityisyydensuojan näkökulmasta on huomattava, että tietoaineistoja ei yleensä voi tarkastella yksittäisinä: Usein erilaisia tietoaineistoja yhdistellään, jolloin voi ilmetä herkkänä pidettyä tietoa", Rastas huomauttaa. periaatepäätöksessään, että julkisten digitaalisten tietoaineistojen tulee olla avoimesti saatavilla yhtenäisin ja selkein ehdoin ja pääsääntöisesti maksutta. Julkisten tietovarantojen saatavuutta pohtivassa työryhmässä on kuitenkin mietitty sitäkin, miten käytöltään rajoitettujen tietojen saatavuutta voitaisiin parantaa vaarantamatta tietosuojaa
leena kumPulainen " Julkiset digitaaliset tietoaineistot halutaan avoimesti saataville. 2/2011 TieToSuoja 19 Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i
Tärkeää on vahvistaa henkilön kontrollia omiin tietoihinsa ja niiden luovutukseen", Taru Rastas painottaa. Aineistot auki lähivuosina? jUlkisten tietoaineistojen avaaminen laajemmalle käyttäjäkunnalle on monivuotinen hanke. Missä silloin kulkee rekisterinpitäjän vastuun raja. Väestörekisterikeskus on mukana julkisten tietoaineistojen kehittämistyöryhmässä. siin mahdollisimman laajasti yhteiskunnan käyttöön. Tietojen luovuttamisesta yrityksille on yksityiskohtaiset säännöt. Väestörekisterikeskuksen luovuttamat tiedot ovat käyttötarkoitussidonnaisia, mikä koskee myös julkishallinnon viranomaisia. Meille esitetään paljon hyviä ideoita, joita joudumme torjumaan. vuonna 2013 virastojen odotetaan oltavan pitkällä myös avoimien teknisten rajapintojen kehittämisessä ja aineistojen saattamisessa koneluettavaan muotoon. Siinä on hyvin tarkkaan kerrottu, miten tietojamme saa käyttää", kertoo tietopalveluyksikön johtaja Riitta Haggrén. Henkilötietoa on kaikki tieto, joka voidaan yhdistää tiettyyn henkilöön. Valtaosassa sen aineistoista tietojen luovutusta rajoittavat yksityisyyttä suojaavat lait, kuten henkilötietolaki. Työryhmässä mietimme, mitkä mahdollisesti olisivat sellaisia tietoja, joiden saatavuutta voisimme helpottaa", Haggrén kertoo. "Toki rekisterinpitäjällä täytyy olla vastuu luovuttamansa datan oikeellisuudesta. Niitä koskevat henkilötietolain pykälät, mutta myös laki väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista. "Jopa rakennustiedot ovat tietosuojavaltuutetun tulkinnan mukaan henkilötietoja. Viittaan nyt esimerkiksi käyttöehtoihin." Yksityisyydensuojan kannalta tärkeimpiin lakeihin, kuten henkilötietolakiin, ei näillä näkymin olla kajoaVaikka lain kirjain olisikin selkeä, yhteiskunnalliset käytänteet sen soveltamisessa vaihtelevat: "Rajankäynti sinällään on varsin erikoista, kun mietitään esimerkiksi sitä, että verotustiedot, jotka ovat hyvinkin suoraan henkilöön kohdistuvaa tietoa, ovat osittain julkisia, kun taas useimmiten ollaan hyvinkin tiukkoja siitä, ettei henkilöön yhdistettävää tietoa luovuteta", Rastas pohtii. henkilörekisterien käyttö rajattua Suomen kenties kattavimmat julkiset tietovarannot ovat Väestörekisterikeskuksessa. Haggrénin mukaan Väestörekisterikeskus on jo vuosia pohtinut, kuinka sen tietovarannot saatai- rekisterinpitäjä vastaa tiedoistaan Kaikkien käyttöön avattujen tietoaineistojen perusteella voidaan luoda uusia palveluja. Periaatepäätöksen mukaan tänä vuonna virastojen tulee tunnistaa ja kuvailla tietoaineistonsa, kehittää yhtenäistä luettelointia ja mahdollisuuksien mukaan myös avata aineistoja käyttöön. "Yrityksistä kysellään meiltä monenlaisia tietoja. "On ajateltu esimerkiksi rakennuksen osoitepistet- 20 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Tietojohtaminen " massa. Yksi tapa suojata yksityisyyttä on salassa pidettävien tietojen peittäminen. Suunnitteilla on valtakunnallinen tukipalvelu, joka palvelee sekä hallintoa että tiedon käyttäjiä. Lainsäädäntö asettaa sille kuitenkin tiukat rajat. Tukipalvelun kautta tietämystä varmasti voidaan levittää hallintoon." leena kumPulainen "Käytännössä tietoaineistojen käyttöön liittyvät esteet ovat siinä, että käytänteet itsessään ovat aika epäselviä. "Tietosuojavaltuutettu on lausunnossaan viestittänyt, että tukipalvelussa tulee olla informaatio-oikeuden asiantuntemusta
"Kun palveluntuottaja saa datan käyttöönsä, hänen on voitava luottaa siihen, että tietosuojanäkökohdat on huomioitu jo ennen luovutusta." uusi tietoteknologian kivijalka", ennakoi teknologiajohtaja Pauli Kuosmanen Tivit Oy:stä. Teksti: Kirsi Castrén "S ekä julkisen että yksityisen datan määrä tulee räjähtämään, kun lisää aineistoja avataan, ja niiden hyödyntämisestä voi syntyä Suomelle aivan se muuttuu historiaksi, sen arvo laskee tai sitä voi ehkä käyttää jollakin muulla tavalla", Kuosmanen valottaa. Mutta varmasti on helppo keksiä esimerkkejä, joissa on päinvastoin", Kuosmanen toteaa. "Heidän etumatkansa on nopeasti toimimalla kiinni otettavissa, työtä tekemällä ja unohtaen turhat työryhmät", Kuosmanen lataa. Tietosuoja huomioitava ennen luovutusta Luovasti palveluja suunnittelemalla voi hyödyntää mitä erilaisimpia tietoaineistoja. Siinä selvitetään uusien, julkisiin ja yksityisiin tietovarantoihin perustuvien palvelujen kehittämistä. "Tivitin ohjelma pyrkii vastaamaan kysymykseen, miten tietovarannoista tehdään lisäarvoa." Aineiston tietosuojanäkökohdat voivat ajan myötä näyttäytyä toisessa valossa. Suomea edellä julkisten tietovarantojen hyödyntämisessä on Kuosmasen mukaan vain muutamia maita, pääasiassa USA, Iso-Britannia ja Hollanti. Viranomaisten velvollisuus on huolehtia, etteivät avattavat aineistot sisällä henkilötietoja. "Olemme huomanneet, että kun tietojärjestelmiä yhdistellään ja saadaan pieniä tiedonmurusia sieltä täältä, niin yhtäkkiä niistä hahmottuukin isompi kuva", Kuosmanen kertoo. 22 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. "Datan arvohan muuttuu ajan myötä. Tietojen arvoa kannattaa tarkastella pitkäjänteisesti. Reaaliaikainen data voi olla hyvinkin arvokasta, mutta kun Tietojen yhdistely riski yksityisyydelle Vaikka aineisto ei sisältäisikään henkilötietoja, voidaan erilaisia tietovarantoja analysoitaessa joutua uudenlaisten tietosuojahaasteiden eteen. Tämä on asia, jota mielestäni pitää vielä paljon pohtia. Tivit on strategisen huippuosaamisen keskittymä, joka toteuttaa laajaa From Data to Intelligence -ohjelmaa. "Yleensä käy niin, että suojattavuuden tarve vähenee. Tietojohtaminen avoin tieto taipuu liikeideaksi entistä useampi yritys saa hankeidealleen vauhtia, kun julkisia tietoaineistoja avataan yleiseen käyttöön
helsinGin kauPunki / heini lehväslaiho helsinki region infoshare -hankkeen verkkopalvelussa voi tutustua esimerkiksi pääkaupunkiseudun kuntien väestötilastoihin. Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 23
Meillä on myös mahdollisuus olla käyttövoimana innovaatiomaailmalle, joka koostuu erilaisista yrityksistä, tutkijoista ja yhteisöistä." Esimerkkinä myöhemmin avattavista, monia todennäköisesti kiinnostavista tietovarannoista voi mainita metropolialueen kaupunkien budjettitiedot. "Toivon, että pystymme pääsemään yhteisesti sovittuun esitystapaan, jossa tietoja voisi vertailla nykyistä helpommin", Vuori sanoo. Pilvessä vara parempi? Tietoaineistoista palveluja kokoavien organisaatioiden ei useinkaan kannata säilyttää laajoja tietomassoja omissa tiloissaan, vaan edullisemmaksi tulee säilytystilan ostaminen pilvipalveluna. Tällä hetkellä netin kautta pääsee tutustumaan muun muassa erityyppisiin väestötilastoihin, tietoihin rakentamisesta ja asuntokannasta sekä vuosikirjatietoihin. "On selvää, että aina kun tulee uusi peluri väliin, se on tietoturvan kannalta riski", Kuosmanen myöntää. henkilö ei saa olla tunnistettavissa Tietokeskuksen käytännöt tilastojen avaamisessa ovat Vuoren mukaan yhteneväiset Tilastokeskuksen kanssa. 24 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Tietojohtaminen PeTer ForsGårD "kun palveluntuottaja saa datan käyttöönsä, hänen on voitava luottaa siihen, että tietosuoja on huomioitu", sanoo teknologiajohtaja Pauli kuosmanen Tivit oy:stä. "En näe kuitenkaan mitään ratkaisematonta ongelmaa siinä, että esimerkiksi julkishallinto ottaisi säilytystilaa tai laskentaresursseja jonkun toimijan pilvestä. Tietovarantojen avaamisen oletetaan hyödyttä"Tällainen on toki mahdollista, mutta en osaa sanoa, mitä riskejä siinä loppujen lopuksi on. Pilvipalvelujen tarjoajan tehtäviin kuuluu huolehtia aineiston tietoturvasta, mutta vastuu siitä säilyy rekisterinpitäjällä. Haluamme olla suunnittelussa ja muussa toiminnassa avoimia kansalaisiin päin. "Tärkeää on myös avoimuus. "Uskomme pilvipalvelukonseptiin, ja uskomme myös siihen, että paljon dataa tullaan säilömään erilaisissa julkisissa pilvissä", Kuosmanen sanoo. Ja jos mitään riskejä ei ota, ei mitään uutta saa aikaiseksikaan, se on muistettava." vän erityisesti hallintoa, sillä seudun nykyiset tiedot ovat hajallaan kuntien erilaisissa verkoissa ja tietokannoissa. "Toistaiseksi lähinnä testaamme palvelun toimivuutta, seuraavassa vaiheessa ryhdymme varsin isolla mittakaavalla tuottamaan kaupunkien palveluja kuvaavia tilastoja kaupunkilaisille, viranomaisille ja yrityksille", kertoo projektipäällikkö Pekka Vuori Helsingin kaupungin tietokeskuksesta. Tämä edellyttää sopimusta siitä, miten huolehditaan, että tiedot säilyvät turvassa." Pääkaupunkiseutu panostaa avoimuuteen Helsinki Region Infoshare -hanke tarjoaa verkkopalvelussaan pääkaupunkiseudun kuntien tietovarantoja kenen tahansa käyttöön. Tietoturvahaasteet kasvavat, kun tieto siirtyy tuottajan tiloista ulkopuoliseen, monen muunkin toimijan käyttämään ympäristöön
"Arkaluontoisten tietojen kohdalla luokittelua karkeistetaan, jotta tunnistettavuus ei olisi mahdollinen." Esimerkiksi äidinkieltä ja kansalaisuutta kuvaavien tilastojen kohdalla laajennetaan alueluokitusta, ja uskontokunnan kaltaisia muuttujia esitetään käytännössä vain koko kaupungin tasolle luokiteltuina. Toista vaihtoehtoa yksityisyyden suojaamiseksi, anonymisointia, ei ole harkittu. Helsinki Region Infoshare -projektiin kuuluu niin sanottu clearing-house-toiminta. aiheesTa enemmän helsinki region infoshare -hankkeen verkkosivut www.hri.fi envitori-hankkeen verkkosivut www.flexibleservices.fi/fi/node/15 Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 25. Tietokeskuksessa tunnetaan aineiston yhdistelyn mahdolliset riskit. ne voidaan lähettää käyttäjän matkapuhelimeen hänen terveysprofiilinsa mukaan räätälöityinä ilmoituksina. Anonymisointipalveluja tarjoavat monet yritykset, ja siihen on olemassa erilaisia tekniikoita, jotka tutkimusten mukaan vaihtelevat luotettavuudeltaan. "Clearing-housen tehtävänä on ohjeistaa tiedon tuottajia käsittelemään aineistoa niin, ettei tietosuoja vaarannu", Vuori kertoo. Tähänkin ongelmaan pystytään Vuoren mukaan vastaamaan luokittelemalla aineistot riittävän karkeasti: näin niistä ei voi tehdä yksittäistä henkilöä koskevia johtopäätöksiä. Envitorilta tuoretta ympäristötietoa envitorista kehitetään monen toimijan pilottiprojektina ympäristötiedon markkinapaikkaa, jossa julkiset ja yksityiset tahot jakavat ympäristön seurantadataa ja siitä johdettua tietoa keskenään. kansalaiset hyötyvät muun muassa liikennetiedoista sekä ilmanlaatua ja siitepölytilannetta koskevista tiedoista. Esimerkiksi osa paikkatietoaineistoista saattaa sisältää informaatiota, jonka yhdistely voi tuottaa yksityisyyden kannalta kyseenalaista tietoa. varsinaisia terveystietoja palveluun ei tallenneta", kertoo ohjelmajohtaja Ulla Killström elisasta. "Nykyisin avatuissa aineistoissa ja niissä, joita on myöhemmin tarkoitus tuoda yleiseen käyttöön, ei käytetä tekniikkaa, jossa henkilötieto olisi olemassa jossakin muodossa. "käyttäjä voi tarjonnasta valita esimerkiksi rajan, jonka ylittävistä siitepölytiedoista hänelle ilmoitetaan. Käytännössä tämä tarkoittaa, että emme esitä mitään väestötietoja alueelta, jolla asuu vähemmän kuin sata ihmistä", Vuori kuvaa. Vastuussa tietojen oikeasta luovutuksesta on tiedon tuottaja. " Tietoturvahaasteet kasvavat, kun tieto siirtyy tuottajalta muidenkin käyttöön. "Noudatamme tilastolain mukaista periaatetta, että henkilö ei saa olla tunnistettavissa aineistosta. Henkilötiedot on aidosti poistettu aineistosta", Vuori vakuuttaa. kun yritykset saavat ajantasaista tietoa esimerkiksi energiankulutuksesta, ne pystyvät huomioimaan ympäristönäkökohdat paremmin. anonymisointia ei harkittu Kun Helsingin kaupungin tietokeskus avaa tietovarantojaan ulkopuolisten käyttöön, niistä on etukäteen poistettu henkilötiedot
Tähän mennessä on muun muassa otettu käyttöön uusittu merenkulun hätäradiojärjestelmä GMDSS ja testikäyttöön viranomaisten palvelinhotellien välisiä yhteyksiä. Valtion ylimmällä johdolla tässä tarkoitetaan tasavallan presidenttiä ja valtioneuvostoa kaikkien ministeriöiden muodostamana kokonaisuutena. Verkon runko- ja peruspalveluja kehitetään muun muassa parantamalla tiedon kokoamista ja käsittelyä ja tukemalla tilannekuvan muodostamista. Esimerkiksi viranomaisten liikkuvissa yksiköissä, kuten poliisi- ja paloautoissa, otetaan käyttöön langattomat laajakaistapalvelut. Uusia yhteyksiä on rakennettu merkittävästi maalle ja merelle, ja viestiasemien suojausta on kehitetty. Hanketta toteutetaan parhaillaan kiihtyvällä tahdilla. Hankkeessa myös koulutetaan henkilöstöä muun muassa verkon ja sen palvelujen tuottamiseen ja ylläpitoon. Verkon suojausta parannetaan esimerkiksi lisäämällä laitetilojen fyysistä ja sähköistä suojausta. Keskitetystä hankehallinnosta ja osahankkeiden koordinoinnista vastaa valtiovarainministeriö. Arvioinnista ja seurannasta vastaa valtioneuvoston kanslia. Teksti: Esko Vainio oma turvallisuusverkko uomeen rakennetaan korkean varautumisen vaatimukset täyttävää suojattua tietoliikenneverkkoa ja toimintaympäristöä. Valtioneuvosto asetti Hallinnon turvallisuusverkoksi (TUVE) nimetyn hankkeen huhtikuussa 2009. valtion ylimmälle johdolle ja yli 30 000 turvallisuusviranomaiskäyttäjälle rakennetaan omaa turvallista, korkean varautumisen tietoverkkoa. Tietoliikenneverkon kehittämisestä vastaa Puolustusvoimien johtamisjärjestelmäkes- nykyisen infrastruktuurin päälle Hallinnon korkeaa varautumista tukeva tietoliikenneverkko rakennetaan pitkälti olemassa olevaan infrastruktuuriin nojautuen. Tietojohtaminen viranomaisille S messa. Hankevaihe jatkuu vuoden 2012 loppuun asti, ja verkon käyttö aloitetaan vuoden 2013 alussa. vallisuusviranomaisten tietoliikenne suojataan ja käytettävyys varmistetaan ja että turvallisuusviranomaisten kriittinen tietoaineisto varastoidaan ja hallinnoidaan Suo- käyttäjiksi ylin johto ja turvallisuusviranomaiset Valmis turvallisuusverkko on tarkoitettu valtion ylimmälle johdolle ja valtion yleisen järjestyksen ja turvallisuuden, pelastustehtävien, väestönsuojelun sekä maanpuolustuksen kannalta keskeisille viranomaiskäyttäjille. Hankkeessa luodaan myös korkeaa varautumista tukevan palvelinhotelliympäristön konsepti rakentamalla suojatiloihin palvelinkeskuksia. 26 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Valmis verkko liitetään valtion yhteisen turvallisen tietoliikenneverkon kytken- Poikkihallinnollinen hanke TUVE-hankkeessa on mukana useita ministeriöitä. TUVE-hanke on jaettu viiteen osa-alueeseen: Tietoliikenneverkkoa parannetaan muun muassa laajentamalla viestintäverkon alueellista kattavuutta ja lisäämällä sen kapasiteettia. Perusajatuksena on varmistaa, että tur- kus ja verkkopalvelujen kehittämisestä sisäasiainministeriön alainen Hallinnon tietotekniikkakeskus. Verkko luodaan viranomaisten päivittäiseen käyttöön, mutta sen tulee toimia luotettavasti myös poikkeusoloissa ja normaaliolojen eri häiriötilanteissa, kuten luonnonilmiöiden, sähkökatkosten tai tietoverkkohyökkäysten sattuessa. Verkko parantaa valtionjohdon päätöksentekokykyä ja tilannekuvan muodostamista sekä viranomaisten välistä tietojenvaihtoa. Hankkeeseen osallistuvat myös sisäasiainministeriö, puolustusministeriö, liikenne- ja viestintäministeriö sekä ulkoasiainministeriö hallinnonaloineen. TUVE-hankkeen tavoitteet ja aikataulut on sovitettu yhteen valtion yhteisen turvallisen tietoliikenneratkaisun toteutuksen kanssa. Langattomiin järjestelmiin kehitetään turvallisia käyttötapoja
Saatavuudella tai käytettävyydellä tarkoitetaan, että tieto on " Valtionhallinnon turvallisuusverkko on maailmalla ainutlaatuinen kokonaisuus. aiheesTa enemmän Tuve-hankkeen verkkosivut www.vm.fi/vm/fi/05_ hankkeet/024_tuve/index.jsp kirJoiTTaJa esko vainio on Tuven hankepäällikkö valtiovarainministeriössä. Valtionhallinnon tietoturvallisuuden johtoryhmä VAHTI jakaa tietoturvallisuuden neljään kerrokseen; hallinnolliseen tietoturvaan, henkilöstöturvallisuuteen, fyysiseen turvallisuuteen ja tietoliikenneturvallisuuteen. keskeistä saatavuus ja käytettävyys Verkkoa käyttävän viranomaisen näkökulmasta katsottuna TUVE ei sinällään luo uusia sääntöjä esimerkiksi tietoaineiston käsittelystä. Eri käyttäjäryhmillä on luonnollisesti erilaisia saatavuusvaatimuksia, jotka on täytettävä. Eheydellä tarkoitetaan sitä, että tieto ei saa muuttua tahatta tai hyökkäyksessä. Perinteisesti tietoturvallisuus määritellään kolmella ominaisuudella; saatavuudella (tai käytettävyydellä), luottamuksellisuudella ja eheydellä. Näin tarkasteltuna TUVE-hankkeessa kehitetään valtionhallinnon tieto- ja viestintätekniikan infrastruktuurin tietoturvallisuutta ja fyysistä turvallisuutta. Saatavuus on keskeisellä sijalla TUVEhankkeessa, jossa erityisesti keskitytään tiedonsiirtoverkon ja sen käytön edellyttämien palvelujen saatavuuteen. Tavoitteena on mahdollistaa myös turvallisuusluokkaan TLL II eli salaisiksi luokiteltujen tietojen sähköinen viestintä. Hallinnon jokapäiväisen joustavan tietoliikenteen järjestelyt, korkea varautuminen ja viranomaisten toiminnassaan noudattamat tietoturvallisuutta edistävät menettelyt aiheuttavat osin ristikkäisiä vaatimuksia TUVEn kehittämiselle. Luottamuksellisuuden kehittämiseksi TUVEssa otetaan käyttöön erilaisia salausratkaisuja niin verkko- kuin sovellustasolla sekä toteutetaan vahva käyttäjän ja laitteen tunnistus. Tuve-Yksikkö/vm Tuve valtion tietoliikennekokonaisuudessa. täytimeen ja valtioneuvoston verkkoon siten, että muutkin valtionhallinnon toimijat voivat käyttää korkeaa varautumista tukevia TUVE-palveluja. saatavilla, kun sitä tarvitaan. Sen sijaan hankkeessa toteutetaan parhaalla mahdollisella tavalla tietosuoja- ja etenkin tietoturvasäädöksiä, kuten valtionhallinnon tietoturvallisuusasetusta ja sen täytäntöönpanosta annettuja ohjeita. Erilaisten vaatimusten hallitsemiseksi hallinnon turvallisuusverkolle luodaan erilliset politiikat ja toimintaohjeet tietoliikenteen järjestelyä, varautumista ja tietoturvaa varten. Luottamuksellisuudella tarkoitetaan tietoturvallisuudessa sitä, että tietoa voivat käsitellä vain sellaiset henkilöt, joilla on siihen oikeus. Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 27
Mainitun kaltaiset poikkeustilanteet ovat valitettavan hyvä esimerkki tapahtumista, joissa ajantasaisen viestintäverkkojen ja -palveluiden ajantasaiselle tilannetiedolle on suuri tarve. kyt voimakkaine nousuvirtauksineen. määrä aiheutti runsaasti sähkökatkoja ja ongelmia 28 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. As- via häiriöitä sähkö- ja viestintäverkkojen toiminnalle. Tietojohtaminen osaksi tietojohtamista Teksti: Pertti Hölttä | Kuvitus: Images.com/Corbis/SKOY Tilannekuva u seimmilla lienevät vielä hyvin muistissa viime kesän poikkeuksellisen kovat myrsta-, Veera-, Lahja- ja Sylvi -myrskyt kaatoivat heinä-elokuun aikana eri puolella Suomea toista miljoonaa kuutiometriä puustoa aiheuttaen paitsi merkittävää taloudellista vahinkoa, myös huomattaSamoin kuluneen talven poikkeuksellisen suuri lumitietoliikenteeseen
Haastavaksi tilannekuvan kokoamisen tekevät eri organisaatioiden, toimintojen ja järjestelmien väliset riippuvuudet: jokainen organisaatio kerää ja ylläpitää tilannetietoa omista lähtökohdistaan. Selvityksen mukaan viestintäverkkojen ja -palvelujen tilannetietoa on kyettävä jakamaan sekä julkisesti että rajoitetulle käyttäjäryhmälle. Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 29. Tällainen järjestelmä lisää organisaatioiden tilannetietoisuutta, joka saadaan näin nivottua osaksi niiden tietojohtamista. Tilannekuvan jakelua parannettava Suomessa Viestintäviraston tehtäviin kuuluu yhdessä muiden varautumisvastuullisten organisaatioiden kanssa kehittää yhteiskunnan huoltovarmuuden kannalta kriittisen infrastruktuurin tilannekuvaa ja erityispalveluita. Lisäksi sähköisten viestintäverkkojen toimivuudesta. Niillä varmistetaan yhteiskunnan mahdollisimman häiriötön toiminta poikkeusoloissa ja vakavissa häiriötilanteissa. Viestintävirasto on myös selvittänyt viestintäverkkojen ja -palvelujen tilannekuvatoiminnan kehittämistä. Kokonaiskuvan kannalta olisi kuitenkin tärkeää, että tieto kulkisi riittävästi organisaatioiden välillä. Viestintävirastossa toimiva kansallinen tietoturvaviranomainen CERT-FI torjuu, havainnoi ja ratkaisee tietoturvaloukkauksia sekä tiedottaa tietoturvauhkista. Lisäksi virasto kerää ja ylläpitää tilannetietoa ja luotettavan tilannetiedon merkitys korostuu. Tällaista luottamusverkostoa ja sitä tukevia järjestelmiä voitaisiin kutsua vaikkapa tilannekuvan tiedonvälitysjärjestelmäksi. Selvityksen tulokset ja toimenpide-ehdotukset julkistettiin viime joulukuussa sidosryhmille järjestetyssä seminaarissa. Esimerkiksi yhteiskunnan kannalta kriittistä toimintaa harjoittavat yritykset haluavat ja voivat välittää tilannetietoa vain tarkasti rajatulle piirille. Tiedonvaihtoa verkostossa Yhteiskunnan turvallisuusstrategian tavoitteiden mukaan tilannetietoisuus edellyttää yhteistoimintaa ja osaamista. Riippuvuuksien lisääntyessä syntyy luontainen tarve luottamusverkostoille, joissa toimijat voivat vaihtaa tilannetietoa turvallisesti jopa reaaliajassa sovittujen käytäntöjen ja rajanpintojen kautta. Siten toimintaympäristöä voidaan seurata kokonaisvaltaisesti, tietoa koota, analysoida ja jakaa, tutkimustarpeita tunnistaa ja verkostoja hallita. " Poikkeusoloissa ajantasaisen ja luotettavan tilannetiedon merkitys korostuu. eri organisaatioilla on erilaisia vaatimuksia ja tarpeita tilannetiedon luottamuksellisuudelle. Sitä hyödynnetään esimerkiksi valtionhallinnon tilannekuvatarpeisiin, teknisen ohjauksen kohdentamiseen, käyttäjien etujen turvaamiseen ja kriisivalmiuden lisäämiseen. Siinä ajantasaista tilannekuvaa voidaan kerätä ja jakaa luotettavasti. Esimerkkitapauksessa ajantasainen tilannetieto auttaa ongelmien korjaamiseen liittyvässä päätöksenteossa. Tietojärjestelmien tulee mahdollistaa tietolähteiden systemaattinen käyttö ja yhteistoiminta sekä siihen liittyvä joustava tilannetietojen jakaminen. Ihmisten turvallisuus, arjen käytännöt ja elinkeinoelämän prosessit ovat yhä tiiviimmin sidoksissa sähkö- ja viestintäverkkoihin, joiden toiminnan luotettavuudelle ja jatkuvuudelle asetetaan yhä kovempia tavoitteita
Välitettävän häiriötiedon sisältö riippuisi sekä tiedon tuottajan että käyttäjän tarpeista ja mahdollisuuksista tiedon tuottamiseen. Lisäksi esiselvityksen ja saatujen palautteiden rohkaisemana Viestintävirasto selvittää nyt yhteistyössä eri toimijoiden kanssa keskitettyä viestintäverkkojen ja -palvelujen tilannekuvapalvelua, josta tilannetietoa jaetaan kaikille sitä tarvitseville. Virasto arvioi selvityksessään, että tilannetiedon välittämisen lisäksi myös katsauksia, tutkimusta, ohjeita ja neuvontaa eri kohderyhmille olisi hyvä tarjota enemmän. Välitysjärjestelmä olisi ydin tai alusta, jota voisi tarvittaessa laajentaa ja kehittää eri tarpeisiin. Tähän teleyritysten tiedottamiseen liittyen virasto harkitsee myös oman keskitetyn tiedotussivuston luomista. Järjestelmässä olisi myös asiantuntijoiden yhteystiedot. Seminaarissa myös todettiin, että tilannekuvaa pitäisi pystyä jakamaan monikanavaisesti, jotta yksittäisen jakelukanavan (esimerkiksi internetyhteyden) toimintakatkos ei pysäytä tiedonkulkua. eri käyttäjäryhmille erilaisia palveluja Viestintävirasto pyrkii ohjaamaan teleyritysten julkista vika- ja häiriötiedottamista käyttäjille mahdollisimman ymmärrettäväksi ja yhteismitalliseksi. Tilannekuvapalvelujen ylläpitäjien ja käyttäjien pitäisi yhdessä määritellä tuotettavan tiedon sisältö, tiedonjakoperiaatteet, oikeudet tietojen hyödyntämiseen ja väärinkäytösten seuraukset. Koordinoitu tilannekuva tarjoaisi tähänkin tarvittavaa tietoa ja aikaisempaa parempia edellytyksiä. Rajatulle joukolle tarkoitettu järjestelmä voisi tiedottaa poikkeustilanteessa viestintäverkkojen ja -palvelujen sekä sähköverkkojen häiriöistä, tiestön kulkukelpoisuudesta, säävaroituksista aiheesTa enemmän lisätietoa viestintäviraston tilannekuvaselvityksestä ja -seminaarista: www.ficora.fi/index/viestintavirasto/uutiset/2010/P_72.html kirJoiTTaJa pertti hölttä on viestintäviraston viestintäverkot-yksikön päällikkö. Rajoitetulle käyttäjäryhmälle tarjottavassa tilannekuvassa on lisäksi huomioitava eri tarpeisiin ja vaatimuksiin sovitetun tiedon luottamuksellisuus, jakeluperiaatteet ja tietosisällöt. Tietojohtaminen " Tilannetietoisuus pitäisi nivoa osaksi organisaation tietojohtamista. ja muista tarpeellisista verkoista tai ilmiöistä. 30 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Seminaarissa selvityksen ehdotuk- sia kommentoineet totesivat, että tilannekuvan jakelussa on huomioitava tiedon mahdollisen väärinkäytön riskit. Tarvittaessa niistä voidaan säätää laissa
Halusimme yhdenmukaistaa päätöksentekomenettelyä, lisätä työnteon mielekkyyttä Johdon hyväksymä tietoturvapolitiikka "Tietoturva-asioita on pohdittu perusteellisesti. "Yhteistyötä on tehty etenkin valtioneuvoston piirissä, mutta myös muiden tahojen kanssa. "Hankkeen taustalla oli useita syitä. Sitä varten olemme työstäneet koulutusmateriaalia. sähköinen asianhallinta pakottaa pohtimaan tietoturvaa eri näkökulmista. elsingin hallinnossa asiat etenevät jatkossa sähköisesti vireillepanosta päätöksentekoon. "Uutta järjestelmää opetellaan parhaillaan käyttämään. Kukin pääsee lukemaan vain oman toimielimensä asioita ja vasta, kun hänen käyttäjäprofiilinsa on tunnistettu." "Opastusta on annettu. Näin kokonaisvaltaista ratkaisua ei ole hallintojohtaja Eila Ratasvuoren mukaan toteutettu missään muualla. Helsingin kaupungin kanssa on oltu keskusteluyhteydessä, mutta kuntasektorin prosessit ovat erilaisia." koko elinkaari sähköisenä Sisäasiainministeriö päätti viisi vuotta sitten ensimmäisenä ministeriönä sähköistää asiakirjan koko elinkaaren eli siirtyä aidosti Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 31. Tietojohtaminen helsingin kaupunginvaltuusto on siirtynyt sähköiseen asianhallintaan. Projektia ministeriössä vetävä erityisasiantuntija Markku Kraft kertoo, että asiakirjat on arkistoitu sähköisesti elokuusta 2010 lähtien. Muutos alkoi vaiheittain toukokuussa. Laajassa käytössä se tulee olemaan kuluvan vuoden loppuun mennessä. siirtämällä rutiinit järjestelmiin, vähentää ympäristökuormitusta ja parantaa kaupunkilaisten palvelua niin, että kaikkien toimielinten päätökset voi nähdä yhdestä paikasta." Teksti: Markku Summa sähköiseen asianhallintaan. Ministeriössä on johdon hyväksymä tietoturvapolitiikka, jota on noudatettu järjestelmän suunnittelussa ja tullaan noudattamaan myös sen käytössä", Kraft sanoo. Lisäksi meillä on useita sovellusneuvojia, joille luottamushenkilöt voivat soittaa myös iltaisin minä viikonpäivänä tahansa", Ratasvuori kertoo. h Vireillepanoasiakirjoja otetaan vastaan kuitenkin yhä myös perinteisessä muodossa kaupungintalolla, jossa kaupunkilaisia palvelee yksi yhteinen kirjaamo. Siinä asiakirjat kirjataan, käsitellään, allekirjoitetaan ja arkistoidaan sähköisesti. Helsinki on julkisen hallinnon toimijana edelläkävijä Suomessa. Se ei Ratasvuoren mukaan huonone, vaan päinvastoin paranee siirryttäessä sähköiseen järjestelmään. oikealla päätösvalmisteluyksikön päällikkö Tiina Teppo. helsinGin kauPunki/sePPo laakso sähköistyvä asianhallinta haastaa organisaatiot vanha hokema paperittomasta toimistosta alkaa olla lähellä todellisuutta yhä useammassa organisaatiossa. "Koska asianhallintajärjestelmä vaatii vahvaa sähköistä tunnistamista, jokaiselle luottamushenkilölle on hankittu toimikortti ja siihen liittyvä PIN-koodi, joilla hän voi kirjautua järjestelmään. Niin tullaan tekemään jatkossa valtaosin asiakirjoista noin prosentti arkistoidaan vielä perinteisessä muodossa. Sen jälkeen jatketaan prosessien kehittämistä." vahva tunnistaminen käyttöön Tietoturvaa on pohdittu monesta näkökulmasta. apulaiskaupunginjohtaja Paula kokkonen kaupunginvaltuuston kokouksessa 29.4.2009
Jäseniä yhdistyksellä on henkilö- ja yhteisöjäsenet yhteen laskettuna noin tuhatkunta, ja jäsenmäärä kasvaa vuosittain noin kymmenyksellä. Pääkaupunkikeskeisyyttä välttääksemme olemme viime aikoina järjestäneet tapahtumia myös Turussa, Oulussa ja Rovaniemellä. meneillään 14. Profiili: Tietoturva ry verkostoitujan keidas Teksti: Juha-Matti Laurio | Kuva: Jyrki Vesa Tietoturvan teemayhdistys Tietoturva ry on perustanut uuden osaamisyhteisön tietosuojan ammattilaisille. T ietoturva ry perustettiin alun perin Helsingin Tietojenkäsittely-yhdistyksen (Hetky) tietoturvakerhona vuonna 1997. Vuosittainen toimintamme koostuu seminaareista, keskustelutilaisuuksista, koulutuksista ja yhteistyötapahtumista, kuten messuista. sertifiointi yhä suositumpaa Yhdistyksen alkuperäinen tavoite oli nostaa tietoturvatietoisuutta Suomessa. Yritysten, organisaatioiden ja yksityishenkilöiden tietoturvatietoisuus ja -valveu- 32 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Itsenäisenä yhdistyksenä yhdistyksellä on tänä vuonna Yhdistys on valtakunnallinen, mutta koska jäsenistömme työnantajat ovat keskittyneet pääkaupunkiseudulle, suurin osa tapahtumistamme järjestetään Etelä-Suomessa. toimintavuosi
SANSin tietoturvatutkinnon suorittaneiden lisäksi Suomessa on myös noin 350 CISSP-tietoturvatutkinnon suorittanutta ammattilaista. Tällä hetkellä keskitymme kehittämään tietoturva-alaan liittyvää osaamista ja jakamaan tietoa mahdollisimman avoimesti ja puolueettomasti. Tietoturva ry:n tilaisuudet oikeuttavat vuosittaisten, ammattitaidon ylläpitämisen osoittamiseksi vaadittavien CISSP-pisteiden keräämiseen. Järjestämme vuosittain Vuoden tietoturva-aiheinen opinnäytetyö -kilpailun, jonka tarkoituksena on kannustaa opiskelijoita laatimaan laadukkaita, tietoturvaa käsitteleviä opinnäytetöitä ja samalla edistää suomalaista tietoturvaosaamista. Jäsenet arvostavat verkostoja Viime lokakuussa tehdyn jäsenkyselyn perusteella Tietoturva ry:n jäsenet pitävät verkostoitumista tärkeänä yhdistyksen toimintamuotona. Yhdistyksemme on vuosittaista, Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 33. Yhdistys on luonut verkostoja muihin alan toimijoihin. Tänä vuonna Tietoturva ry:n hallituksen puheenjohtajana toimii Juha lappi. Juha-matti laurio on yhdistyksen tiedottaja. tuneisuus onkin merkittävästi parantunut viimeisten viiden vuoden aikana. Osaamisen todistaminen jatkuvasti kehittyvällä tietoturva-alalla on yhä tärkeämpää ja suositumpaa. Koulutuksissa ja sertifikaattien myöntämisessä teemme yhteistyötä kansainvälisten organisaatioiden, kuten yhdysvaltalaisen SANS-instituutin, kanssa
www.tietoturva.fi Uusi osaamisyhteisö tietosuojan ammattilaisille tietotUrva ry:n Privacy-osaamisyhteisö on keskusteluryhmä yksityisyydensuojan ja tietosuojan (privacy, data protection) toteuttajille. Tilaisuuksien järjestämisessä teemme yhteistyötä turvallisuusalan järjestö Finnsecurityn kanssa, ja sisaryhdistystoiminta ruotsalaisen SIG Security -yhdistyksen kanssa on alkamassa. Keynote-puhujana oli brittiläistä Center for Democracy and Technologya (CDT) edustava Alissa Cooper, joka esitelmöi tietosuojavaatimusten huomioimisesta verkkopalveluissa. ryhmä käyttää tiedottamiseen myös omaa postituslistaa. Profiili: Tietoturva ry " Osaamisen todistaminen on tietoturva-alalla yhä tärkeämpää. Tietoturva ry (TTry) · valtakunnallinen Tietotekniikan liiton alainen teemayhdistys · tarkoituksena edistää tietoturvallisuutta ja hyvien tietoturvatapojen noudattamista · henkilöjäseniä yli 900 · yhteisöjäseniä yli 50 · ruotsinkielinen nimi Informationssäkerhet r.f. vuonna 2011 yhdistyksen hallituksen puheenjohtajana toimii Juha Lappi (Deltagon Group oy) ja varapuheenjohtajana Urpo Kaila (csc Tieteellinen laskenta oy). Tietosuoja näkyvämmin esille Myös tietosuoja-asiat kuuluvat Tietoturva ry:n aihepiiriin, ja siksi ohjelmassa on ollut myös yksityisyydensuojaan ja tietosuojaan liittyviä tilaisuuksia. 34 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Tietosuojaa käsittelevien tilaisuuksien määrä tulee tulevaisuudessa lisääntymään, koska Tietoturva ry:n yhteyteen perustetaan kesäkuussa uusi, tietosuojaan ja yksityisyyteen keskittyvä osaamisyhteisö. mikäli koet halukkuutta pitää alustuksen osaamisyhteisön tilaisuuksissa, voit olla yhteydessä yhteyshenkilöön, joka tällä hetkellä on Tietoturva ry:n hallituksen jäsen Antti Vähä-Sipilä. Puhujapankkimme tarjoaa tietoturva-alaa hallitsevia asiantuntijaluennoitsijoita. Viime vuonna järjestimme tietoturva-ammattilaisille seminaarin tietosuojasta liiketoiminnassa. helmikuista Tietoturvaviikkoa järjestävän hankkeen monivuotinen kumppani. Tietosuojan osaamisyhteisö kokoontuu suunnitelmien mukaan muutamia kertoja vuodessa kesäkuusta alkaen. · englanninkielinen nimi Finnish Information Security Association (FISA) Tietoturva ry:llä on yhdeksänjäseninen hallitus. Tapahtumista ilmoitetaan Tietoturva ry:n verkkosivuilla. Se on tarkoitettu henkilöille, jotka kehittävät tai toteuttavat henkilötietoja käsitteleviä tietojärjestelmiä ja myös tietosuoja-asioista vastaaville tietoturva-ammattilaisille. Esimerkiksi vuonna 2009 yhdistys järjesti keskustelutilaisuudet Ruotsin televalvontalain vaikutuksista ja sähköisen viestinnän tietosuojalain muutoksista. kirJoiTTaJa jUha-matti laUrio on Tietoturva ry:n tiedottaja ja työskentelee nixu oy:ssä tietoturvakonsulttina. Yhdistyksen verkkosivuilla on työpaikkapörssi, josta jäsenet ja sivustolla vierailevat saavat tietoa tietoturva-alan avoimista työpaikoista. Tapahtumien aihepiiri muokkautuu paikalletulijoiden kiinnostuksen mukaan
Laki vakiinnutti myös vahvan 36 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Loppukäyttäjälle asti muutokset eivät vielä juurikaan näy. Mikä on muuttunut tunnistamislain voimaantulon jälkeen. Laissa yläkäsitteeksi valittiin tunnistaminen, jonka yhtenä osatekijänä on aina myös todentaminen eli tunnistuksen varmistaminen. Silti pinnan alla on tapahtunut varsin suuria asioi- Pelisäännöt selviksi Tunnistamislaki vakiinnutti useita vallinneita käytäntöjä ja selkiytti näin oikeustilaa. sähköinen tunnistaminen Laki avasi tietä uusille palveluille ajan tasalle saatettu lainsäädäntö on vakiinnuttanut vahvan sähköisen tunnistamisen perusedellytykset ja avannut tietä uusille palveluille. Teksti: Kirsi Miettinen | Kuvitus: Maija Vuorela " Laki vakiinnutti useita vallinneita käytäntöjä. S ta. uomi on ensimmäisenä maailmassa luonut selkeästi osoitettavissa olevan vahvan sähköisen tunnistamisen infrastruktuurin. Ensimmäiset "varhaiset linnut" ovat ehkä ehtineet hankkia mobiilivarmenteen, mutta suurin osa meistä käyttää edelleen tuttuja pankkitunnisteita tunnistautuakseen sähköisessä maailmassa. Laki korvasi sähköisistä allekirjoituksista annetun lain. Aiemmin määritelmissä oli epäselvyyksiä. Se perustuu etenkin syyskuussa 2009 voimaantul- leeseen lakiin vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista (tunnistamislaki)
Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 37
Esimerkiksi kansalaisen asiointitiliin yhdistettynä sähköinen tiedoksianto tekee mahdolliseksi laajan ja turvallisen sähköisen asioinnin viranomaisen ja kansalaisen välillä. Vahvan sähköisen tunnistamisen infrastruktuuri sai muotonsa, kun näitä palveluja jo ennen lain voimaantuloa tarjonneet tahot tekivät ilmoituksensa helmikuun loppuun 2010 mennessä. Tämä kannustaa operaattoreita kehittämään mobiilivarmennetta tavalla, joka tukee uusien ja erilaisten palveluiden 38 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Samoin vahvistettiin käytäntö, jonka mukaan oikeustoimia voi tehdä sähköisesti vahvan sähköisen tunnistamisen välineiden, kuten verkkopankkitunnusten avulla. " Tunnistusinfrastruktuuri helpottaa uusien palvelujen kehittämistä. Tämänkaltaisten sopimusmallien yleistyminen olisi omiaan vauhdittamaan tunnistuspalveluiden yleistymistä, sillä se takaa järjestelmän helppouden niin kuluttajille kuin palveluntarjoajillekin. on yhteensä yli 80 palvelutarjoajaa. Verkkopankki- eli Tupas-tunnusten asema vahvana sähköisenä tunnistamisena vahvistettiin myös lain avulla. Palveluiden kehittämistä helpottaa olennaisesti lain voimaantulon jälkeen syntynyt tunnistusinfrastruktuuri. sähköinen tunnistaminen sähköisen tunnistamisen käsitteen, joka perustuu kansainvälisesti käytössä olevaan määritelmään. Myöhemmin ilmoituksen ovat uusina palveluntarjoajina tehneet kolme mobiilivarmenteita tarjoavaa teleoperaattoria. määräys 7 B/2009 m koskee tunnistuspalvelun tarjoajan ilmoitusvelvollisuutta ja määräys 8 c/2010 m tunnistuspalvelun tarjoajan toiminnan luotettavuus- ja tietoturvallisuusvaatimuksia. Teleoperaattoreiden tärkein peruste mobiilivarmenteen tarjoamiselle on toisten yritysten sähköiset palvelut. Lisäksi ilmoituksen tekivät kaikki Tupas-palveluita tarjoavat pankit ja Väestörekisterikeskus. Käytännössä esimerkiksi jokainen mobiilivarmennetta tarjoava teleoperaattori on itsenäinen palveluntarjoaja, joka kilpailee muiden operaattorien kanssa. Jatkokehityksen kannalta erityisen merkittävä esimerkki on sähköisestä asioinnista viranomaistoiminnassa annetun lain muutos, joka tuli voimaan joulukuussa. Myös mobiilivarmenteet viitoittavat tietä uudenlaisille palveluille. Listalla palvelut käyttöönsä. Viestintävirasto valvoo vahvaa sähköistä tunnistamista viestintäviraston tehtävänä on valvoa vahvan sähköisen tunnistuspalvelun tarjontaa ja tunnistamislain noudattamista. viestintävirasto ylläpitää julkista rekisteriä vahvan sähköisen tunnistuspalvelun tarjoajista. Suuri määrä johtuu siitä, että paikalliset osuusja säästöpankit muodostavat niin sanotun 4-pankkiryhmän, jotka ovat tehneet yhteisen ilmoituksen tunnistamislain sallimalla tavalla. Syksyn 2009 kuluessa ryhdyttiin kuitenkin ymmärtämään, että tärkeintä onkin vahvalla sähköisellä tunnistamisella edistää uusien ja uudenlaisten palveluiden syntymistä. Käyttäjän tarvitsee kuitenkin tehdä sopimus vain yhden operaattorin kanssa saadakseen kaikkien Palveluiden kehittäminen nyt helpompaa Tunnistamislakia koskevan hallituksen esityksen antamisen aikoihin nähtiin, että olennaisinta olisi saada aikaan kilpailua tunnistusmarkkinoille. Lähtökohtana on, että kaikki rekisteröidyt palveluntarjoajat noudattavat tunnistuslakia ja Viestintäviraston sen nojalla antamia määräyksiä, ja Viestintävirasto valvoo niiden toimintaa. viestintäviraston puoleen voi kääntyä, jos epäilee tunnistuspalvelun tarjoajan toimivan vahvaa sähköistä tunnistamista koskevan lainsäädännön tai viestintäviraston määräysten vastaisesti. Sähköinen tiedoksianto edellyt- Palveluntarjoajista luottamusverkosto Tunnistamislain mukaan tunnistamispalveluja tarjoavien tahojen on tehtävä toiminnastaan ilmoitus Viestintävirastolle. viestintävirasto on antanut tunnistamislain nojalla kaksi määräystä. Viestintäviraston ylläpitämä rekisteri vahvan sähköisen tunnistuspalvelun tarjoajista on viraston verkkosivuilla. lisäksi viestintävirasto neuvoo ja antaa ohjeistusta sekä toimii valitusviranomaisena tunnistuspalveluihin liittyvissä asioissa. lakimies sanna hUghes ja tietoturva-asiantuntija pasi hänninen, viestintävirasto tää vahvan sähköisen tunnistamisen käyttöä. Näin ollen palveluntarjoajat voivat luottaa toistensa palveluihin. Lainmuutoksen mukaan viranomainen voi antaa päätöksensä tiedoksi kansalaiselle myös sähköisesti. ennen rekisterimerkinnän tekemistä virasto tarkastaa, että palveluntarjoaja ja palvelu vastaavat tunnistamislaissa asetettuja vaatimuksia. Palveluntarjoajien on tehtävä ennen toimintansa aloittamista ilmoitus viestintävirastolle
Tähän saakka meillä ei ole ollut tarjota keinoja, joiden avulla ihmiset voisivat itse hyödyntää ja hallita omia tietojaan luotettavalla tavalla. kehittämistä. Erityisesti kysymys on asemavaltuutuksista ja valtakirjoista. Olennaista tällöin olisi, että henkilö itse päättäisi mitä tietoja minnekin antaa. aiheesTa enemmän vahvan sähköisen tunnistamisen toimintamalli www.arjentietoyhteiskunta.fi -> Sähköinen tunnistaminen -> asiakirjat liikenne- ja viestintäministeriön teettämä tutkimus omien varmennettujen henkilötietojen tehokkaammasta käyttämisestä on-line-palveluissa www.lvm.fi Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i " Vahvan sähköisen tunnistamisen tarjoajat voivat luottaa toistensa palveluihin. 2/2011 TieToSuoja 39. Muun muassa komission digitaalisessa agendassa on tunnustettu se lähtökohta, että EU tarvitsee rajat ylittäviä sähköisen tunnistamisen ja allekirjoittamisen ratkaisuja. Henkilöt voisivat näyttää valvottujen palveluntarjoajien avulla haluamiaan henkilötietoja varmennettuina toisille henkilöil- kirJoiTTaJa kirsi miettinen on lainsäädäntöneuvos liikenne- ja viestintäministeriön viestintäpalveluyksikössä. Mahdollisuus hallita omia henkilötietoja tarjoaa mielenkiintoisia näkymiä hyödyntää vahvan sähköisen tunnistamisen infrastruktuuria. Tunnistamisinfrastruktuurin päälle rakentuva palvelukerros mahdollistaa tämän. Samoin on tunnustettu se tosiseikka, että jäsenvaltioiden identiteetinhallinnan järjestelmät ovat olennaisesti keskenään erilaisia. Vastaavalla tavalla nousussa on myös yritysten tarve näyttää sähköisessä maailmassa roolitietojaan toisille yrityksille. Palveluntarjoajien luottamusverkostoa tulisi voida laajentaa myös EU-tasolle ja kenties jopa kansainvälisesti niin, että erityistä luottamusta vaativien sähköisten palveluiden käyttö olisi mahdollista myös rajat ylittävällä tavalla. Palveluiden käyttäjän näkökulmasta voi vain toivoa, että näköpiirissä olevat lupaukset kyettäisiin lunastamaan! rajat ylittävä tunnistaminen tulossa Edellä kuvatun henkilötietojen välityspalvelun toteuttaminen vaatii palveluntarjoajien välisen luottamusverkoston jalostamista vielä pidemmälle. Internetissä laajeneva ilmiö on yksityisten henkilöiden tarve osoittaa luotettavuuttaan toisille yksityisille henkilöille esimerkiksi sosiaalisessa mediassa tai sähköisissä kauppapaikoissa. Mallia, jossa tunnistamissanomien lisäksi voitaisiin välittää mitä tahansa muuta tietoa, voitaisiin kutsua vaikkapa yhden sopimuksen malliksi. Palveluntarjoajat saattavat esimerkiksi tarvita tunnistamista, jossa välitetään ainoastaan osa henkilötiedoista, kuten ikä tai sukupuoli. Järjestelmässä ei kertyisi tietoa keskitettyihin tietokantoihin, vaan tiedot noudettaisiin aina tarvittaessa ajantasaisina sieltä, missä niitä säilytetään. lunastetaanko lupaukset? On selvää, että edellä kaavaillut mahdollisuudet hyödyntää tunnistamisinfrastruktuuria ja pyrkiä vaikuttamaan EU-tason kehitykseen vaativat toteutuakseen paljon työtä. Lisäksi mahdollisuus palveluiden liikkuvaan käyttöön lisää jo itsessään yhden elementin palveluntarjonnan palettiin. Asiassa on selvitettävä niin liiketoimintamalleihin, lainsäädäntöön kuin standardointiinkin liittyviä kysymyksiä. Sen yhteydessä pohditaan myös sähköistä tunnistamista. Silti suurin merkitys on sillä, pystytäänkö asiassa tekemään rakentavaa yhteistyötä. Tämän seurauksena ainoa mahdollisuus luoda rajat ylittävä EU:n laajuinen tunnistamis- ja allekirjoittamisinfrastruktuuri on vastavuoroisen tunnustamisen järjestelmä, joka sallii jäsenmaiden erilaiset tunnistamis- ja allekirjoittamisratkaisut. omien tietojen hallinnalle tarvetta Jokaisesta meistä kertyy huomattava määrä tietoa julkisiin ja yksityisiin rekistereihin, kuten väestötietojärjestelmään, ajokorttitietokantaan, luottotietorekisteriin sekä opiskelu- ja työpaikkojen tietojärjestelmiin. Edelleen odotettavissa on uudenlaisia palveluita esimerkiksi viestinvälityksessä. le ja yrityksille. EU:ssa uudistetaan parhaillaan sähköisten allekirjoituksien puitteista annettua direktiiviä
Toimikortit yhdistävät vahvaan tunnistukseen henkilökortin. Esimerkiksi korttinsa kotiin unohtaneelle voidaan antaa päiväksi tilapäinen kortti, jolle luodaan henkilön oikeilla tiedoilla tilapäisvarmenne. Toimikorttien käyttäjä- ja elinkaarihallinnasta vastaa organisaatio itse. sähköinen tunnistaminen Tietokone kortissa Toimikortin suosio kasvaa työpaikoilla, kun käyttäjän Teksti: Marjo Rautvuori tunnistamiseen kiinnitetään enemmän huomiota. m oni toimistotyöläinen kirjautuu aamuisin työasemalleen naputtelemalla siihen käyttäjätunnuksensa ja salasanansa. menteeseen voidaan lisäksi sisällyttää organisaation käytössä oleva sähköpostiosoite. Toimikortin käyttöön tarvitaan myös ulkoinen kortinlukija ja kortinlukuohjelmisto. min, kun henkilökorttiominaisuutta tarvitsee tietoteknisten laitteiden ulkopuolellakin. Varmenteen ja avaimen avulla osoitetaan henkilön asema tai asiakkuus organisaation tai sen sidosryhmän edustajana. Ominaisuus ohjaa myös käyttäjiä käsittelemään korttia huolellisem- ihminen suurin tietoturvaongelma Kortin varmenteessa standardimuodossa kerrottu tieto on turvarakenteiden ansiosta varsin hyvin suojattu. Erikseen voidaan määritellä kunkin henkilön oikeudet edetä järjestelmän sisällä. Var- käyttäjä tunnistetaan luotettavammin Kun organisaatio päättää hankkia toimikortteja ja niihin varmenteet, ne hankitaan yleensä koko henkilöstölle vähintään päätteelle kirjautumista varten. Useilla työpaikoilla etenkin julkishallinnossa käyttäjätunnus ja salasana on kuitenkin korvattu toimikortilla. Yleensä rekisteröintipiste on henkilöstöhallinto- tai it-osastolla", kertoo Väestörekisterikeskuksen varmennepalveluiden johtaja Pekka Jelekäinen. Erilaisiin tietojärjestelmiin tunnistautuminenkin saattaa vaatia käyttäjätunnus-salasanaparin syöttämistä. "Suomalaiset osaavat tekniikan ja toteuttavat hyviä standardeja tarkemmin kuin useat muut toimijat." Toimikorteissakin suurin tietoturvaongelma on käyttäjä. 40 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. "Selkein syy toimikorttien hankinnalle on järjestelmien tietoturvan nostaminen. Kortti mahdollistaa myös etäyhteydet. Toimikortissa on kaksi varmennetta. Yhdellä tunnusluvulla voi siten tunnistautua kaikkiin työpaikan järjestelmiin, ja kertakirjautumista pidetäänkin yhtenä toimikortin käytön eduista. Varmenne mahdollistaa myös laissa määritellyn kiistämättömän sähköisen allekirjoituksen tekemisen sekä tietoverkon käyttäjien ja heidän käyttövaltuuksiensa todentamisen. Tämä jää puuttumaan vaihtoehtoisista vahvan tunnistuksen menetelmistä, kuten USB-salasanatikun kaltaisista ratkaisuista. Työasemaan kirjautumisen lisäksi käyttäjä voi toimikortilla tunnistautua sähköisiin järjestelmiin ja palveluihin, tehdä sähköisiä allekirjoituksia ja salata sähköpostiviestit. Korttiin voi myös lisätä muitakin ominaisuuksia, kuten radiotaajuiseen etätunnistukseen (RFID) perustuvan kulunvalvonnan. Molemmille varmenteille on oma tunnuslukunsa; yksi verkkopalveluun kirjautumista varten ja toinen sähköisen allekirjoituksen tekemiseen. Toimikortti, jota kutsutaan myös orga- nisaatio- tai virkakortiksi, on luottokortin kokoinen tietokone. Toimikorttien tietoturva on hyvällä tolalla, sanoo tietoturva-asiantuntija Jari Seppälä Tampereen teknillisestä yliopistosta
Yhä enemmän hyökkäykset ovat räätälöityjä ja pyrkivät ohittamaan tunnistautumisjärjestelmät. Hän kertoo, että yliopistolla kokeiltiin toimikortin käyttöä opiskelijoilla vuosituhannen vaihteessa. "Silloin teknologia ei ollut vielä kypsää. Tähän koulutus on kustannustehokkaampi ratkaisu kuin uusien teknisten mekanismien käyttöönotto." Toimikortissa yhdistyvät vahva tunnistaminen ja henkilökortti. scansTockPhoTo "Vaatii poliittista päätöstä ja paljon työtä, jotta kaikki tarpeelliset järjestelmät saadaan tukemaan kortin käyttöä." Seppälä työskentelee Tampereen teknillisen yliopiston systeemitekniikan laitoksella. Kustannussyistä olisi Seppälän mielestä organisaatioissa järkevää miettiä tarkkaan, missä kaikkialla tarvitaan vahvaa tunnistautumista ja rajata toimikorttien käyttö näihin erikoistapauksiin. Seuraan mielenkiinnolla, miten toimikorttien käytettävyys edistyy ja miten ensimmäiset kortteja käyttävien organisaatioiden isot käyttöjärjestelmien versiopäivitykset onnistuvat." vaatii muutoksia tietojärjestelmiin Suurimmat ongelmat toimikortin käyttöönotolle liittyvät Seppälän mielestä siihen, että kortin käyttö edellyttää muutoksia organisaatioiden omissa tietojärjestelmissä ja prosesseissa. Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 41. Yksi tietoturvariski saattaa olla myös ulkoinen kortinlukija, joka esimerkiksi kahvilassa laitetta käytettäessä on helppo vaihtaa ulkoisesti samannäköiseen, mutta murrettuun lukijaan", Seppälä sanoo. " "Toimikortin käytettävyys saattaa kärsiä, kun pitää muistaa jälleen kaksi PIN-koodia lisää. "Perinteistä käyttäjätunnus-salasanamenetelmääkin voidaan laajentaa lisävarmennuksilla, ja usein se on riittävä sellaisenaan
varmennepalveluiden tuottajalla kova vastuu Laatuvarmennetut toimikortit Suomessa toimittaa Väestörekisterikeskus. Näiden laitteiden käyttö tulee kuitenkin lisääntymään, halusi organisaatio sitä tai ei. Sitä ohjaavat tarkasti lainsäädäntö ja standardit." Viestintävirasto valvoo varmennepalvelujen tarjoajia. Toimikorttien tarjoaminen vaatii varmennepalveluiden johtaja Pekka Jelekäisen mukaan erikoisosaamista alueella, jolla osaajasektori on kapea. eräs syy toimikorttien käytön kasvuun on poikkihallinnollisten palvelujen lisääntyminen. "Toimikortti lisää ilman muuta tietoturvallisuutta ja on helppokäyttöinen, mutta siirtyminen siihen tapahtuu harkitusti pala kerrallaan. "Toiminta on määrämuotoista. Varmenne ja yksityinen avain ovat toimikortin sirulla. näitä kortteja tarvitaan lähivuosina noin 300 000 kappaletta. 42 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. "Vaatimukset ovat kovat, ja toiminnan on oltava myös teknisesti ja palvelullisesti korkealaatuista ja taloudellisesti vakaalla pohjalla." "Aloittamiskustannuskynnys on merkittävä, ja kiinteät kustannukset ovat lähes samat, toimitammepa yhden tai satatuhatta varmennetta", Jelekäinen sanoo. henkilöstön hankinnan ja työnhaun helijärjestelmäpalvelu on yksi suosituimmista valtiokonttorin ylläpitämistä valtionhallinnon sisäiseen käyttöön tarkoitetuista palveluista. Mobiilivarmenne saattaa olla toimivampi vaihtoehto useaan tablettiin integroidun 3Gmodeemin ansiosta", Seppälä huomauttaa. Julkishallinto etunenässä jUlkishallinnossa toimikortteja on käytössä noin 50 000, ja määrä kasvaa kaiken aikaa. Toimikortteja käyttävät jonkin verran myös yritykset, yhteisöt ja muut organisaatiot. Terveydenhuollon ammattihenkilöiden toimikorttien jakelu siirtyi viime joulukuussa valviralta väestörekisterikeskukselle. siihen tunnistautuminen on mahdollista toimikortilla mutta edelleen myös käyttäjätunnussalasanayhdistelmällä. sähköinen tunnistaminen FuTureimaGeBank " Toimikortit vaativat muutoksia tietojärjestelmiin. Toimikorttien käytön kannalta oma ongelmakenttänsä ovat monikäyttöjärjestelmäympäristöt ja mobiililaitteet, kuten kosketusnäytölliset tietokoneet (tabletit). käynnistelyä on joka taholla", toteaa valtiokonttorin tietohallintopäällikkö Timo Haurinen. "Markkinoilla ei ole esimerkiksi yhtään tablettia, jossa olisi integroitu kortinlukija. Se myöntää julkisen avaimen menetelmään (PKI) perustuvia varmenteita. esimerkeiksi käyvät maahanmuuttoviraston ulkomaalaisrekisteri ja eräät valtiokonttorin yhteiskäyttöiset palvelut. kunnallishallinnossa toimikorttien käyttöönotosta on keskusteltu jo kauan
Vanhempi menetelmä, WEP, on asiaan perehtyneen murrettavissa." "WLAN-verkon suojaus koskee kuitenkin vain tietokoneen ja tukiaseman välistä yhteyttä eikä tukiaseman jälkeen tulevia yhteyksiä internetiin. "Yleensä suojaustapa käy ilmi ainakin verkkoon kirjautuessa, jolloin verkon salasanakin kysytään, tai tarkistamalla käyttöjärjestelmästä langattoman verkkoyhteyden ominaisuudet." miten selvitän, onko jokU käyttänyt Wlan-yhteyttäni. Verkon käyttöoikeuksia voi monissa tukiasemissa rajoittaa MAC-osoitteen perusteella." askarrUttaako jokin henkilötietojen suojaan, yksityisyyteen, viestinnän luottamuksellisuuteen tai tietoturvaan liittyvä asia. Se on salakirjoitettu koko käyttäjän ja palvelun välisen matkan." gaistavaa. mitä nämä mUUt verkot ovat. "Säännöksestä haluttiin tehdä teknologianeutraali, siksi sitä ei rajattu vain WLANeihin vaan myös tuleviin verkkoihin. Näitä voisivat olla esimerkiksi WiMAXverkot, joissa kantomatka on kilometrejä." jos jokU tekee rikoksen käyttämällä toisen Wlania, kUmpi vastaa rikoksesta. "Tekijä vastaa laittomuuksistaan, ei se, jonka WLANia teossa käytettiin. "WLAN-yhteyden suojaaminen perustuu siihen, että tukiasema salakirjoittaa signaalinsa radiotiellä", Viestintäviraston tietoturva-asiantuntija Ari Husa kertoo. "WLAN-tukiasemasta voi saada selville verkkoon kytkeytyneiden laitteiden MAC-osoitteet (laitekohtainen tunniste). kysymyksiä voi lähettää osoitteeseen info@tietosuoja-lehti.fi Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 43. Esimerkiksi verkkopankeissa ja sähköposteissa käytetään SSLsuojattua yhteyttä. "Käyttäjän tulee tietää verkon nimen lisäksi siinä käytettävä salasana. WLANin tukiaseman kantama ulottuu kerrostalossa yleensä ainakin naapurihuoneistoihin, joten kerrostaloasukas pääsee nettiin seinänaapurinsa suojaamattomasta WLANverkosta. "Rikosoikeudella tulisi puuttua asioihin vasta, kun kevyemmät keinot eivät toimi. Lainmuutos ei muuttanut tätä asiaa." mistä näkee, onko oma Wlan sUojattU. WLAN on langaton lähiverkko, jota käytetään yleisesti nettisurfailuun. miksi lakia mUUtettiin. lähetä kysymyksesi meille, me etsimme sille sopivan vastaajan. miten on? 2/2011 scansTockPhoTo e käyttääkö naapuri Wlan-verkkoani? duskunta hyväksyi maaliskuussa rikoslain muutoksen, jonka mukaan suojaamattoman WLAN-verkon käyttö ei ole enää ranmiten Wlan-verkko sUojataan. "Tiedossa on vain yksi tapaus, jossa suojaamattoman WLANIn käytöstä on on annettu tuomio", oikeusministeriön lainsäädäntösihteeri Sami Kiriakos sanoo. Rankaisematonta on vain nettiyhteyden käyttö. Sen sijaan yhteyden muodostaminen esimerkiksi intranetiin, toisen tietokoneelle tai tietojärjestelmiin on yhä rikos. Tässä tapauksessa on olemassa tehokas ja melko vaivaton keino, WLANin suojaaminen." lainmUUtos koskee mUitakin sellaisia verkkoja, joita voi jakaa rajattomasti ja jotka voi sUojata. Yleensä salaaminen perustuu WPA2-menetelmään, jota pidetään varsin turvallisena
Kirkko liitettiin mukaan näkemyksiin, joita esittelivät pienen piirin kultistit. Maaliskuussa Nuotta-lehti julkaisi "Älä alistu" -kampanjan netin videopalvelu YouTubessa. Tuolloin arkkipiispa kommentoi viisi päivää TV-ohjelman jälkeen. Tuire ja Arto jakoivat oman fanituksensa ja avasivat kotitossut yleisöjen mielikuvituksellisten käyttöjen, kierrätysten ja suositusten verkostoille tavalla, joka hakee vertaistaan tässä maassa. Jotain on siis opittu: Lokakuussa TV2:n "Homoiltaa" seuranneen kohun jälkeen kirkko menetti reilussa kuukaudessa yli 47 000 jäsentä. Tossuista syntyy uusia, paljolti fanien keksimiä värejä ja kuoseja jatkuvasti lisää. Se johtaa laajan yleisön kaikkoamiseen. Säännöt ovat muuttuneet. Se on tarina faniudesta sekä matkasta ikoniksi ilman markkinointibudjettia. Arkkipiispa Kari Mäkinen ilmoitti saman päivänä Suomi24.fi-nettipalstalla, Netin aktiivisten yleisöjen roolin korostumisessa piilee uusia voimia. " saara Taalas on viestintäliiketoiminnan professori Turun yliopistossa sekä ikea innovaatio -professori linnaeus-yliopistossa. Huhtinen ostivat merkit Nokian Jalkineilta ja palauttivat tuotannon Suomeen. Näitä tossuja tehdään yhdessä. Kultistit ovat aina vähemmistössä, mutta he ovat aktiivisia netin keskustelupalstoilla. Silloin ei auta muu kuin järjestelmällinen, nopea ja laaja irtisanoutuminen toiminnasta ylin johto edellä. Nämä ovat tyypillisiä piirteitä viharyhmissä ja kiihkeissä samanmielisten verkostoissa. Reinot ja Ainot kuuluvat nyt faneilleen. Tuolloin Tuire Erkkilä ja Arto ettei kampanja ole kirkon tukema ja pyysi sen lopettamista. Aktiivisten yleisöjen roolin korostumisessa piilee uusia voimia, jotka ovat suurimmalle osalle yhteisöjä vielä vieraita. Mikäli käy oikein huonosti, voi jäädä pysyvästi liitetyksi väärään seuraan. Se oli liian pitkä aika. Brändi oli jo kuolemassa, kun Reino ja Aino Kotikenkä perustettiin 2005. Lukuisat fanisivut keräävät kymmeniä tuhansia jäseniä. Kulttisuudesta puuttuu faniuden kriittisyys ja leikkisyys, tai niitä ei sallita. Uudet omistajat ovat olleet aina Reinojen ja Ainojen faneja. Viestinnän aliarvioiminen, epäaitous tai sen myöhästyttäminen tulkitaan tueksi. Samalla myynti on 20-kertaistunut ja niitä on valmistettu lähes 2 miljoonaa paria. Ymmärtääkseen faniorganisoitumisen voimaa kannattaa hankkia käsiinsä Reino & Aino Kotikengän vuosikertomus "Reinovuosi 2010". hän tutkii medioistuneen talouden ilmiöitä ja on fanien suurin fani. 44 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Kampanjan tarkoituksena oli kertoa nuorille, että homoseksuaalisuus on synti ja siitä voi parantua. Yhteisö tai yritys voi joutua toimintaan liitetyksi tahtoen tai tahtomattaan. kolumni 2/2011 Saara Taalas r Nettivoimaa vai -vainoa? eino ja Aino, kotitohvelit 1930-luvulta, ovat Suomen tunnetuin brändi. Näin ei ole ollut aina. Kaikilla ei mene yhtä hyvin. Fanius on populaarikulttuurista tuttu, tunnevirittynyt ja kriittinenkin yleisösuhde hahmoon, lajityyppiin tai ilmiöön
kyselystä, jonka tulosten mukaan suuret Yhdysvalloissa toimivat teleyritykset yleisesti ottaen pyytävät asiakkaidensa luvan paikannustietojen keräämiseen. Työryhmän kannanotto on mitä ajankohtaisin: Keväällä Yhdysvalloissa herättivät kohua uutiset, joiden mukaan Googlen ja Applen mobiililaitteiden sijaintitietoja on kerätty ja tallennettu käyttäjien tietämättä. Sen sijaan sovelluskehittäjien käytännöissä olisi parantamisen varaa. Direktiiviehdotuksessa lentoyhtiöt velvoitettaisiin antamaan poliisille kansainvälisten lentojen matkustajarekisteritiedot terrorismin ja muiden vakavien ja rajat ylittävien rikosten ehkäisemiseksi ja selvittämiseksi. 2/2011 Mobiililaite kertoo kuluttajan sijainnin Älymobiililaitteiden, kuten 3G-puhelinten ja kosketusnäytöllisten tietokoneiden (tablettien), suosio on kovassa kasvussa. Matkustajarekisteritiedot (passenger name record, PNR) ovat matkustajien varauksen ja lähtöselvityksen yhteydessä ilmoit- Aselupahaun tiedonvaihto lisääntyy Aselupia koskevan lainsäädännön muutokset lisäävät viranomaisten välistä tietojenvaihtoa. anTero aalTonen tamia tietoja, kuten matkustusajankohta, matkareitti, maksutapa, matkatavaratiedot, paikkanumero ja yhteystiedot. siten myös laitteiden käyttäjän liikkeistä kertyy yllättävän paljon tietoa. tiedot eivät anna poliisille edellytyksiä yksilöidä ennestään tuntemattomia epäiltyjä. Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 45. EU:n komissio: Lentomatkustajien tiedot poliisille Tulevaisuudessa kansainvälisten lentojen matkustajien tiedot saattavat olla lentoyhtiön lisäksi poliisin käytettävissä: EU:n komissio ehdottaa direktiiviä, joka antaisi poliisille oikeuden käsitellä matkustajarekisteritietoja. Yhtiöt ovat luvanneet parannella laitteidensa käyttöjärjestelmiä. Työryhmä huomauttaakin, että kerätyt paikannustiedot ja niistä kootut profiilit tulisi tuhota kohtuullisen ajan kuluttua. Koonnut: Päivi Männikkö lyhyesti Paikannustieto voi antaa käyttäjän elämäntavoista ja harrastuksista huomattavan paljon tietoa. Niitä ostavat kuluttajat eivät kuitenkaan aina tiedä, että laitteet välittävät jatkuvasti tukiasemille tietoa sijainnistaan. Puhelinvalmistajien lisäksi tulilinjalle ovat joutuneet teleyritykset ja palveluntarjoajat. Pääsääntöisesti lupa niiden käsittelyyn pitää pyytää kuluttajalta etukäteen ja erikseen. Lakimuutokset tulevat voimaan 13. Tietoja saisi käyttää, jos kyse on rikoksesta, josta kyseisessä jäsenvaltiossa voidaan tuomita vähintään kolmeksi vuodeksi vankeuteen. Erilaisiin käyttötarkoituksiin kerättäviin tietoihin pitää pyytää erilliset luvat. Poliisille tulee myös oikeus saada tietoja luvanhakijan päihteiden käyttöön ja väkivaltaiseen käyttäytymiseen liittyvistä seikoista. Komission mukaan nämä mobiililaitteet välittävät jatkuvasti tietoa sijainnistaan. Lainmuutosten jälkeen poliisilla on oikeus saada tietoja luvanhakijan asepalveluksesta ja palveluskelpoisuudesta. Euroopan tietosuojaviranomaisten työryhmä on nyt julkaissut älymobiililaitteiden paikannustietoja koskevan kannanoton, jossa yrityksiä muistutetaan tietosuojan pelisäännöistä: Paikannustiedot ovat henkilötietoja, joiden käsittelyä koskee henkilötietodirektiivi. Työryhmä suosittelee, että kuluttajalta pyydettävä suostumus olisi määräaikainen ja sitä pyydettäisiin uudestaan vähintään kerran vuodessa. Poliisi voi lupamenettelyssä pyytää arviota hakijan terveydentilasta suoraan lääkäriltä, jos poliisilla on syytä epäillä hakijan soveltuvuutta aseen kantajaksi. Nykyisin poliisi saa käsitellä passien, Schengenin tietojärjestelmän ja viisumijärjestelmän tietoja. Yrityksiä tämä tieto kiinnostaa, ja paikannukseen perustuvien mobiilipalvelujen skaala on jo laaja navigoinnista kohdennettuun mainontaan ja peleistä valvontapalveluihin. Uutistoimisto Reuters uutisoi 28.4. kesäkuuta. Poliisi saisi oikeuden käsitellä tietoja reaaliaikaisesti vertaamalla niitä muihin tietokantoihin. Puolustusvoimat voi myös antaa tietoja poliisille oma-aloitteisesti perustellusta syystä
lyhyesti 2/2011 Koonnut: Päivi Männikkö eu:n komissio ehdottaa direktiiviä, joka velvoittaisi lentoyhtiöt luovuttamaan kansainvälisten lentojen matkustajarekisteritiedot poliisille. FuTureimaGeBank Ehdotuksen mukaan PNR-tietoja voidaan säilyttää enintään viiden vuoden ajan, minkä jälkeen tiedot on poistettava. Yritysten motivoimiseksi muiden muassa hakukonejätit Google ja Yahoo! sekä yhteisöpalvelu Facebook siirtävät palvelunsa vuorokaudeksi uuteen osoitejärjestelmään. Keskustelua on herättänyt muun muassa komission väite, jonka mukaan PNR-tiedot anonymisoitaisiin 30 päivän säilytyksen jälkeen. EU kuitenkin jo neuvottelee niiden siirtoa koskevista sopimuksista Yhdysvaltojen, Kanadan ja Australian kanssa. Loppumista on onnistuttu siirtämään erilaisilla teknisillä ratkaisuilla ja tehostamalla osoitteiden jakamista. silta syyteharkintaan Helsingin syyttäjänvirastoon. Nykyisen järjestelmän (IPv4) puitteissa jaettavien IP-osoitteiden on toistuvasti ennustettu loppuvan. Netin osoitejärjestelmä testiin Internetin uuden osoitejärjestelmän (IPv6) käyttöönottoa yritetään vauhdittaa 8. Näin toteaa 46 TieToSuoja 2/2011 T ieToT urvan J a T ieTosuoJ an erikoisl ehTi. Tekijöiden tavoittelema rahasumma oli noin 1 186 00 euroa, josta rikosvahinkona kateisiin jäi noin 178 000 euroa. Poliisi tutki tapausta törkeänä petoksena ja rahanpesurikoksena. Edellinen ehdotus raukesi, koska neuvosto ei ehtinyt käsitellä sitä ennen Lissabonin sopimuksen voimaantuloa. Asiakkaiden pankkitileiltä siirrettiin rahaa haittaohjelmaa hyödyntämällä. Verkkopankkihuijaus syyteharkinnassa Nordean verkkopankkiasiakkaisiin kohdistunut huijaus on siirtynyt keskusrikospolii- Teletunnistetietojen tallentaminen jatkuu Teletunnistetietojen säilyttämisestä on hyötyä ja sitä jatketaan EU:ssa. Testipäivällä halutaan muistuttaa teleyrityksiä, laitevalmistajia, käyttöjärjestelmäsuunnittelijoita ja nettisovellusten kehittäjiä siitä, että niiden pitäisi valmistautua uuden osoitejärjestelmän käyttöönottoon. Tietosuojaviranomaisten työryhmän mukaan väite pitää paikkaansa vain osittain, koska ehdotuksen perusteella kaikkia kerättäviä henkilötietoja ei anonymisoitaisi. EU:n tietosuojavaltuutettu ja Euroopan tietosuojaviranomaisten työryhmä pitävät uutta direktiiviehdotusta ylimitoitettuna, vaikka tietosuoja onkin pyritty ottamaan siinä edellistä ehdotusta paremmin huomioon. Kyseessä on komission toinen PNR-tietojen käsittelyä koskeva direktiiviehdotus. Tekijäjoukko oli kansainvälinen, joten keskusrikospoliisi tutki tapausta yhdessä Viron poliisin, Europolin ja useiden muiden maiden viranomaisten kanssa. Asianomistajina on yhteensä 89 henkilöä tai yritystä. Tapauksessa tehtiin noin sata tilisiirtoa jolla siirrettiin tai yritettiin siirtää rahaa asiakkaiden tileiltä. kesäkuuta järjestettävällä testipäivällä. Nykyisin PNR-tietojen käyttöä ei säännellä EU:n tasolla. Asiakkaiden ja Nordean toimien vuoksi suurin osa vahingoista pystyttiin estämään. Arkaluonteisten tietojen käsittely on kokonaan kielletty. Tietosuojassa on kuitenkin parantamisen varaa. Siirrot eivät näkyneet pankin asiakkaille avoinna olevan istunnon aikana vaan ne voitiin havaita vasta jälkikäteen
Tietoturvapoikkeamien hoitamisessa on kansallisia eroja, ja varautuminen on organisoitu eri tavoin. Suurin osa viime vuosina myydyistä matkapuhelimista sisältää tuen uusille salausmenetelmille. Markkinoilla on tarjolla myös puheen salaavia päätelaitteita tai ohjelmistoja. Lisäksi tietojen käyttötarkoitukset ja tietoihin pääsemistä koskevat oikeudelliset menettelyt vaihtelevat suuresti. Harjoituksessa huomattiin, että jäsenmaat tuntevat huonosti toistensa menettelytavat. EU:n komissio arviointiraportissaan. Yksittäisen matkapuhelinkäyttäjän joutuminen tällaisen salakuuntelun kohteeksi on siten erittäin epätodennäköistä. Talletettavia tietoja ovat tiedot lähettäjästä ja vastaanottajasta, ajankohta, kesto, käytetty väline ja matkapuhelimissa sijaintitiedot. Lisäksi salakuuntelijan on tiedettävä kohteen sijainti ja seurattava kohdetta. Tulevissa harjoituksissa pitäisi tunnistaa ja testata menettelytapoja, jotta voitaisiin kehittää toimivia yhteiseurooppalaisia toimenpiteitä vakavan tietoturvahyökkäyksen varalle. Tallennusdirektiivin vaikutustenarviointia jatketaan kesällä. Komission on tarkoitus julkistaa ehdotus direktiivin uudistamisesta vuoden loppuun mennessä. Runsaan esivalmistelun ja edistyneiden laitteiden lisäksi salakuuntelijalla on oltava syvällistä tietoa GSM-verkon teknisestä toteutuksesta. Direktiivin mukaan teleyritysten on tallennettava televiestintätietoja ja luovutettava niitä poliisille ja syyttäjäviranomaisille vakavien rikosten ja terrorismin tutkinnassa, selvittämisessä ja syyteharkinnassa. Komission mukaan direktiivistä on ollut hyötyä jo pelkästään viranomaisten tekemien tietopyyntöjen suuren määrän perusteella. Seuraavana vuonna 14 jäsenmaata teki jo yli 2 miljoonaa pyyntöä. GSM-puhelimen salakuuntelu mahdollista Salaustutkijat ovat onnistuneet murtamaan GSM-puhelimissa yleisesti käytössä olevan salausmenetelmän. 22 maata osallistui varsinaiseen harjoitukseen, ja 8 maata oli tarkkailijoina. Ensimmäinen yhteiseurooppalainen kriittisen tietoinfrastruktuurin valmiusharjoitus järjestettiin marraskuussa. Ti eToTu rva n Ja T i e To s u o Ja n e r i koi s l e hT i 2/2011 TieToSuoja 47. Ongelmalliseksi on koettu myös se, että kansallisessa täytäntöönpanossa on huomattavia eroja. Tietopyyntöjen määrässä on suuria eroja jäsenmaiden välillä. EDRin mukaan väite tietopyyntöjen suurista määristä perustuu pitkälti Puolaan, jossa direktiivi on pantu täytäntöön siten, että se sallii laajamittaisen tallennettujen tietojen pyytämisen. Laajamittaisessa hyökkäyksessä kansalliset erot hankaloittavat reagoimista, kun pitäisi tietää, keneen missäkin maassa kannattaa ottaa yhteyttä, raportissa todetaan. Näin todetaan Euroopan verkko- ja tietoturvavirasto ENISAn julkaisemassa raportissa. Tässä olisi avuksi EU-maiden yhteinen kriittisen infrastruktuurin toimijoiden verkosto. Tutkijat saivat sen murrettua alle minuutissa uuden tietokoneohjelmiston ja etukäteen laskettujen salausavainten avulla. Sen sijaan uudemmat salausmenetelmät ovat avoimia. Näin ollen johtavat salausanalyytikot ovat voineet tutkia niitä, mutta he eivät ole saaneet niitä murrettua", toteaa vanhempi tietoturva-asiantuntija Konstantin Shemyak Nokia Siemens Networksiltä. Varman päälle pelaava voi määritellä 3G-puhelimensa pysymään aina 3G-verkossa. "A5/1 oli suljettu salausalgoritmialusta. Salakuuntelu A5/1-salausmenetelmän purkamisella on käytännössä hyvin vaikeaa. Kansalaisten sähköisiä oikeuksia puolustavien järjestöjen kattojärjestö EDRin (European Digital Rights) mukaan komission arviointiraportti ja siitä tiedottaminen oli tarkoituksellisen epäselvää. Maiden välinen yhteistyö oli välttämätöntä, jotta internet ei kaatuisi kokonaan. Komission mukaan vuonna 2008 jäsenmaista 17 teki tallennusdirektiivin perusteella yhteensä 1,4 miljoonaa tietojenluovutuspyyntöä. Esimerkiksi säilyttämisajat vaihtelevat kuudesta kuukaudesta kahteen vuoteen. Sisäasioista vastaavan komissaarin Cecilia Malmströmin mukaan direktiiviä on tarkistettava sen selventämiseksi, kenellä on oikeus käyttää tietoja, mihin tarkoituksiin niitä voidaan käyttää ja millaisten menettelyjen mukaisesti tietoja luovutetaan. Teletunnistetietojen tallentamista koskeva direktiivi on herättänyt runsaasti arvostelua sen hyväksymisestä lähtien. Viestintäviraston mukaan paras tapa suojautua salakuuntelulta on käyttää 3G- ja 4G -verkkoja, joissa A5/1-salausmenetelmä ei ole käytössä. Harjoituksessa oli kuvitteellinen tilanne, jossa internetin normaali toiminta häiriintyi useissa maissa. Kyse on A5/1-salausmenetelmästä, jota käytetään matkapuhelimen ja GSM-verkon tukiaseman välisen viestinnän salaamiseen. ENISA auttoi osallistujamaita harjoitukseen valmistautumisessa. Hän esitteli A5/1-salauksen murtamista Viestintäviraston seminaarissa toukokuussa. Harjoitus osoitti tiedonkulun puutteet EU-maiden ensimmäinen yhteinen tietoturvaharjoitus osoitti, että eri EU-maissa tietoturvahyökkäyksiin reagoidaan eri tavoin. EU:n tietosuojaviranomaisten työryhmän selvityksen mukaan jäsenmaissa on otettu käyttöön jopa direktiivin vastaisia menettelyjä. Arvostelijoiden mukaan direktiivi puuttuu liiaksi yksityisyyteen. A5/1-salausmenetelmälle on olemassa uudempia vaihtoehtoja. EDRin mukaan direktiivin perusteella tapahtuvan tiedonsäilytyksen tarpeellisuudesta ei ole todisteita