tiistai 8. joulukuuta 2015

Mitä on organisaation tietoturva?

25.11.2015

Tietoturvallisuuden määritelmä

Tietoturvallisuus on tiedon kolmen ominaisuuden:

1.luottamuksellisuuden
2.eheyden
3. käytettävyyden turvaamista.

Tietoturvan osa-alueita ovat:

1.Hallinnollinen tietoturvallisuus
2. Tietoaineistoturvallisuus
3. Fyysinen turvallisuus
4. Henkilöstö turvallisuus
5. Järjestelmäturvallisuus

   a)Laitteistoturvallisuus
   b)Ohjelmistoturvallisuus
   c)Tietoliikenneturvallisuus
   d)Käyttötoimintojen turvallisuus

6. Laillisuus ja tietosuoja

Riskien hallinta

Riskienhallinnan perustana on ulkoisten ja sisäisten taustatietojen määrittely. Taustatiedoissa määritellään sellaiset organisaatioon kohdistuvat/vaikuttavat tiedot ja olosuhteet, jotka vaikuttavat riskienhallintaprosessin toteuttamiseen.

Riskienhallinnalla on selkeät päävaiheet:

1. Tunnistaminen
2.Analysointi
3. Arviointi
4. Toimenpiteet
   a) Riskien pienentämistoimenpiteet
   b) riskien siirtäminen (vakuutukset)
   c) riskien hyväksyminen


 Riskienhallintaprosessin tarkoituksena on auttaa tunnistamaan yrityksen tavoitteita uhkaavia riskejä, edesauttaa yrityksen johtoa analysoimaan tunnistettuja riskejä ja niiden vaikutuksia sekä päättämään arvioinnin perusteella kullekin riskille parhaiten sopivista hallintakeinoista.
Vahinkojen varalta ei voi suojautua täydellisesti ja vahingon sattuessa on liian kiire ja liian myöhäistä miettiä mitä kyseisessä tilanteessa pitäisi tehdä. Riskienhallintaprosessissa suunnitellaan miten tilanteesta toivutaan. Täydellinen suojautuminen ei ole koskaan mahdollista, joten taloudellisilta riskeiltä voi suojautua vakuutuksilla.

keskiviikko 2. joulukuuta 2015

Pilvipalveluiden turvallisuus ja tietoturvallisuus

2.12.2015

Mitkä ovat seitsemän suurinta turvallisuusuhkaa pilvipalveluille? Miksi?

1. Ulkopuolisten pääsy tietoihin. Pilvipalveluntarjoajan oma henkilöstö ja mahdolliset kumppanit pääsevät käsiksi laitteistoon ja tietoliikenteeseen, mikä on turvallisuusriski. Ulkopuolisten lisäksi myös yrityksen oma henkilöstö voi olla suuri tietoturvauhka tietoisesti tai tiedosamattaan. Tietämättömyyden ja huolimattomuuden seurauksena saattaa henkilöstö vaarantaa yrityksen tietoturvan. Sen takia käyttäjille pitää opettaa tietoturvakäytänteitä yrityksessä.

2. Vastuu tallennetusta datasta. Pilvipalvelun käyttö ei vapauta yritystä vastuusta huolehtia datan säilytyksen turvallisuudesta ja luotettavuudesta. Turvallisuudesta ei tarkalleen voida huolehtia, koska aina ei tiedetä minkälaisia tiedot ovat ja kuka niihin pääsee käsiksi.

3. Tallennetun datan sijainti. Datan täsmällisestä sijainnista ei aina tiedetä. Tietosuojalaissa ja tietotekniikkaan- ja liikenteeseen vaikuttavassa sääntelyssä on kuitenkin maakohtaisia eroja, jotka täytyisi kyetä huomioimaan.

4. Datan erottaminen muiden yritysten datasta. Pilvipalveluntarjoajan täytyy kyetä takaamaan, etteivät yrityksen tiedot pääse toisten asiakkaiden käsiin ja etteivät turvatoimet hidasta palvelua liiaksi tai johda ennalta-arvaamattomiin ikäviin seurauksiin, kuten datan menettämiseen.

5. Virheistä toipuminen. On selvitettävä, kuinka palveluntarjoaja on varautunut odottamattomiin ongelmiin, kuinka niistä tiedotetaan asiakkaille ja kauanko poikkeustilanteesta normaaliin palautuminen kestää.

6. Tutkinnan suorittaminen. Pilvipalvelussa tieto ja sovellukset voivat sijaita monissa eri palvelinkeskuksissa ja useilla koneilla yhtä aikaa. Rikollisen tai muuten sopimattoman toiminnan ja siihen liittyvien vastuukysymysten selvittäminen jälkikäteen saattaa olla hankalaa, joten palveluntarjoajan kyky tähän on syytä selvittää etukäteen.

7. Palvelun elinkelpoisuus ja jatkuvuus.Vaihtoehtoisia pilvipalveluntarjoajia on markkinoilla lukuisia, joten on mahdotonta ennustaa ketkä tulevat menestymään ja keitä ei ole ehkä enää muutaman vuoden kuluttua olemassakaan. Standardoilluilla markkinoilla huoli olisi vähäisempi, koska palveluntarjoajan vaihtaminen olisi helppoa, mutta kun nyt valitaan alusta ja kehitetään ratkaisuja sille, samalla lukittaudutaan tehtyyn valintaan. Palveluntarjoajan myöhempään vaihtamiseen saattaa liittyä merkittäviäkin kustannuksia, joka puoltaa isojen palveluntarjoajien valintaa sillä olettamuksella, että suuret yritykset, kuten Google, kestävät tappioita, pieniä kolahduksia maineeseen ja markkinoiden heilahteluja, kun taas pienempien toimijoiden kohdalla tulevaisuus on epävarmempaa, koska niiden rahoituspohjat ovat huterampia.

Miksi tietoturvallisuutta tulisi toteuttaa?

Tietoturvallisuudella suojataan lakiperusteisesti organisaation omaan toimintaan, yhteiskunnan toimintaan sekä kansalaisiin liittyviä tietoja. Oikeat ja luotettavat tiedot ovat keskeinen osa valtionhallinnon organisaatioiden ja yhteiskunnan päätöksentekoa sekä toimintavarmuutta.
Tiedoista huolehtiminen on tärkeässä osassa yhteiskunnan toimintojen turvallisuuden ja jatkuvuuden varmistamisessa sekä kansalaisten perusoikeuksien toteutumisessa. Asianmukaisella tietojen suojauksella turvataan organisaation toimintaympäristöä, yhteiskuntaa sekä asiakkaiden ja yhteistyökumppaneiden tietoja.
Tietoturvallisuudella on tärkeä rooli turvallisen tietoteknisen ympäristön ja tietohallintotoiminnan ylläpitämisessä ja kehittämisessä.


Lähteet: Immo Salo: Cloud Computing, palvelut verkossa, Docendo 2010 s. 103-111 (Kohta Pilvipalvelut ja tietoturva)
Tietojen turvaluokitus ja Vahti, Johdon tietoturvaopas.

Artikkeli aiheesta:
http://www.y-lehti.fi/arkisto/artikkeli/1703/Yrityksen+tietoturvan+suurin+uhka+on+oma+ty%C3%B6ntekij%C3%A4+

Artikkelissa kerrotaan kuinka yrityksen tietoturvan suurin riski on oma työntekijä ja kuinka yrityksen kannattaa ennakoida uhkia ajatellen.

tiistai 1. joulukuuta 2015

Riskienhallinta

25.11.2015

Mikä on riskienhallintaprosessi? Piirrä se




Mikä on yrityksen riskinanalyysi? Mitä osa-alueita siihen kuuluu?
- Riskianalyysi on osa yrityksen tietoturvaa, silloin mietitään yrityksen kannalta vakavimmat riskit. Yrityksen riskianalyysissa kartoitetaan riskit ja mietitään kuinka niitä hallitaan, minkälaisia vahinkoja riski voi onnistuessaan aiheuttaa yritykselle ja kuinka siitä selviydytään.

Riskianalyysissa on viisi eri vaihetta: 

1. Riskien tunnistaminen, joka on erittäin tärkeä osa riskianalyysia. Ilman riskien tunnistamista, ei riskejä pystytä hallitsemaan.
2. Riskien vakavuuden ja todennäköisyyden määrittely, heti ensimmäisessä vaiheessa kun riskit on tunnistettu. Riskit luokitellaan niiden vakavuuden mukaan.
3. Ennakointi ja ehkäisevien toimenpiteiden määrittely, eli kuinka osataan ennakoida milloin riski voi tapahtua ja miten riskin vahingot voidaan ehkäistä.
4. Riskien toteutumisen varalle laadittava toimintasuunnitelma, jos riski tapahtuu niin mitä yritys voi tehdä selviytyäkseen vahingoista.
5. Riskianalyysin tulosten huomioiminen yrityksen toiminnassa, eli käytetään kyseisiä tuloksia ja ehkäistään riskin tapahtuminen.

Lähteet: Organisaation tietoturvan ja liiketoiminnan jatkuvuuden kehittäminen, case: Aalto-Yliopisto, Palvelukeskus PAVE
https://hlab.ee.tut.fi/hmopetus/riskianalyysi-ja-riskienhallinta-osana-onnistunutta-hypermediaprojektia.html
http://www.pk-rh.fi/index.php?page=riskienhallintaprosessi

Aiheeseen liittyvä artikkeli: http://www.lrhto.fi/artikkelit/yritystoiminnan-riskit/riskien-hallitseminen-kestavan-liiketoiminnan-edellytys/

Artikkelissa käsitellään juurikin kestävän liiketoiminnan edellytystä, eli riskien hallitsemista. Yritystoiminta kun perustuu riskinottoon ja monet riskit voidaan tiedostaa ja niitä voidaan hallita, kunhan ne ensin tunnistetaan. Liiketoiminnan harjoittaminen edellyttää, että siihen liittyvät riskit kyetään hallitsemaan.

tiistai 17. marraskuuta 2015

Ryhmätehtäviä part kuuskymmentäviis

Miten ilmenevät internetissä tehtävät huijaukset?
"Näin et ole tyhmä internetissä!"
Sähköpostihuijaus
Sähköpostissa huijauksia on erilaisia ja kohteena on yleensä raha. Ilmoitusluontoiset viestit arvonnat ja nigerialaisviestit yleensä kalastavat uhrin tietoja kuten henkilötietoja, tilinumeroita ja muita arkaluontoisia tietoja. Sähköpostissa käytetään myös liitetiedostoja, jotka ovat viruksia. Virustorjunnat ovat usein neuvottomia kyseisten liitteiden suhteen. Yhtiökumppaneihin kohdistuu liiketoimintahuijauksia.
Identiteettivarkaus
Selvittelyyn menee usein paljon aikaa.
Älypuhelimet uusi uhka
Sähköpostihuijausten lisääntymisen ohella älypuhelimet ovat uusi tietoturvariski
Somehuijaukset
Somehuijaukset tähtää aina tietojen kalasteluun. Keinoina ovat ponnahdusikkunat, mainokset ja "jaa tämä video"-linkit. Usein myös valekirjautumiset ovat vahva keino saada kalasteltua tietoja. Salasanat eivät ole julkisia, mutta muita tietoja saa helposti kalasteltua profiilista, jos yksityisyysasetukset eivät ole kohdallaan.
Muita keinoja:
Helppoa rahaa, täytä vain lomake! Catfishing
Verkkopankkihuijaukset
-Man in the middle (näytetään väärä kirjautumissivusto)
-Phishing (aiemmin mainitut keinot, sähköposti, some ja puhelin)
-Tavoitteena saada henkilön verkkopankkitunnukset ja access pankkitilille
Kuinka suojautua!
-Kriittisyys tuntemattomia kohtaan!
-Rahaan liittyvissä asioissa varovaisuus
-Älä hoida tärkeitä asioita julkisilla koneilla
-Vaihtele salasanoja
-Älä avaa mitään liitteitä, ellet oli 110 % varma sisällöstä.


Mitä on laitteiden turvallinen käyttö?
Mitä uhkia on olemassa?
Suojaamattomassa verkossa salaamaton viestintä on helposti muiden käyttäjien katseltavissa ja kuunneltavissa. Sivulliset voivat käyttää luvatta suojaamatonta verkkoa. Laitteet voivat unohtua jonnekin tai jollain muulla tavalla päätyä toisen henkilön haltuun luvattomasti. Tällöin riskinä on henkilökohtaisten tietojen vuotaminen ja laitteen luvaton käyttö ikäviin tarkoituksiin.
Yleisiä toimenpiteitä ovat: lue laitteen käyttöohjeet ja noudattaa niitä, asenna virusturva ja tarkista laitteen turvallisuudentila säännöllisesti. Käytä järkeä ja luotettuja verkkoja.

Internettiin kytkettyjen laitteiden turvallisuuden takaaminen: Salaa kaikki internetiin kytkettävät laitteet. Tarkastaa modeemien perussalasanat ja vaihtaa vaikeasti arvattavat salasanat monimutkaiseen ja pitkään salasanaan. Monissa laitteissa on suoja-asetukset, jotka on syytä tarkistaa. Estä myös ulkopuolisilta pääsy hallintakäyttöliittymään internetin kautta. Varmista myös, ettei langattomat verkot ole julkisia ja kenen tahansa käytettävissä.

Mobiililaitteiden turvallisuus: Varmista että kykenet estämään laitteen käytön ja sulkemaan liittymän. jos puhelin menee hukkaan tai varastetaan. Liittymän saa suljettua vierailemalla liikkeen asiakaspalvelussa tai soittamalla asiakaspalvelun numeroon, jos toinen puhelin on käytettävissä. Puhelimen oletus pin-koodi on syytä vaihtaa mahdollisimman vaikeaksi. Varmuuskopioi tarvittavat puhelimen tiedot.


Verkkojen tietoturvaan kohdistuvat uhat
Mitä ne ovat? Suunnittelemattomia uhkia ovat kokemattomat henkilöt, jotka käyttävät internetissä löytyviä hakkerointityökaluja. Eivät välttämättä pyri aiheuttamaan vahinkoa tai taloudellista vahinkoa. Ulkoiset uhat ovat henkilöt tai organisaatiot, jotka toimivat yrityksen ulkopuolella. Suunnitelmalliset uhat ovat teknisesti taitavia hakkereita, joilla on tuntemus verkon heikouksista. Sisäisiä uhkia ovat henkilöt tai organisaatiot, joilla on luvallinen pääsy verkkoon.


Verkkohyökkäystyypit
Tiedusteluhyökkäykset: Pyritään selvittämään ja tulkitsemaan kohdejärjestelmän tietoja. Edeltää yleensä palvelunesto- ja pääsyhyökkäyksiä. Pääsyhyökkäyksen tarkoituksena on päästä järjestelmään tai sovellukseen sisään. Onnistuvat hakkerityökalujen avulla, jotka hyödyntävät järjestelmän tai sovelluksen heikkoutta. Palvelunestohyökkäykset ovat hyökkäyksiä käyttäjää kohtaan, ettei hän voisi käyttää palveluja, tämä tapahtuu joko hidastamalla tai kaatamalla järjestelmä, jotta sen käyttö olisi mahdotonta. Nämä ovat pelätyimpiä hyökkäyksiä, johtuen niiden aiheuttamista mahdollisista merkittävistä vahingoista.


Mikä on VPN?Virtual Private Network. VPN luo tunnelin asiakaskoneen ja palvelimen välille internetin yli. Se mahdollistaa toisen sisäverkon käyttämisen eri sijainnista. Tieto salataan, joten ulkopuolisten tietoon käsiksi pääseminen on estetty. Vaatii autentikoinnin- esim. staattinen tunnus tai VPN "token", jossa generoitu numerosarja.
VPN yksityisessä käytössä on yksityisyyden suojaaminen, rajoitusten kiertäminen (esim sensuurin välttäminen, maakohtaisten rajoitusten välttäminen), anonyyminä pysyminen ja tiedostojen jakaminen.
VPN yrityksen käytössä on yrityksen tyokalujen ja palveluiden käyttäminen etänä. Yrityksen toisessa kaupungissa tai maassa sijaitsevat toimistot voivat olla samassa verkossa. Julkisessa verkossa internet-selaamisen salaaminen.
VPN hyödyt ovat tietoturvallisuus, luotettavuus, etätyöskentelyn mahdollistaminen, anonymiteetin säilyttäminen, internet-sensuurin ja rajoitteiden välttäminen ja helposti mukautuvuus: voi laajentaa yrityksen tarpeiden mukaan.
Haittoja ovat: hankala ja kallis toteuttaa itse, voi olla epäluotettava riippuen palvelun tarjoajasta, voi olla hidas riippuen yhteydestä asiakkaan päässä.


Artikkeli identiteettivarkauteen liittyen: http://www.mtv.fi/uutiset/kotimaa/artikkeli/identiteettivarkauden-uhrin-ikava-yllatys-olin-muuttanut-ja-saanut-avopuolison/5182262

Käyttö- ja tietoliikenneturvallisuus

11.11.2015

Tehtävä 20: Mitä on käyttö- ja tietoliikenneturvallisuus?

Käyttöturvallisuudella tarkoitetaan yrityksen tietojärjestelmien turvallista ja huolellista käyttöä, joka koskee paitsi IT-henkilöstöä, myös jokaista työntekijää. Käyttöturvallisuus käsittää manuaalisen ja automaattisen tietojenkäsittelyn suojatoimenpiteet, esim. järjestelmien valvonta, tietotekniikan käyttö. Kyseisiin suojatoimenpiteisiin liittyy keinoja, joilla parannetaan tietoturvaa niin tietotekniikan, käyttöympäristön ja tuki-, ylläpito-, kehittämis- ja huoltotoimen piirissä.

Tietoliikenneturvallisuus kuuluu osaksi järjestelmäturvallisuutta, johon kuuluvat keinot ja laitteet, joiden avulla suojataan data verkossa, liikkuvan tiedon eheys, luottamuksellisuus ja saatavuus. Tietoliikenneturvallisuudessa on kaksi turvallisuuskeinoa; fyysiset ja tekniset keinot. Keinoja voivat olla esimerkiksi palomuurit, salakirjoitus, dokumentaatiot ja varajärjestelmät.

 Mitkä 11 eri vaihetta voidaan erottaa käyttö- ja tietoliikenneturvallisuudesta?

1. Menettelyohjeet ja velvollisuudet
- Työn kierto ja ositus, käyttäjäroolit
2. Ulkopuolisten palvelujen hallinta
-ulkoistettujen palvelujen tietoturva.
3. Järjestelmän suunnittelu, muutoksien hallinta
- Kapasiteetin tarkkailu ja suunnittelu
- päivitysten ja muutosten turvallinen suoritus
4. Suojaus haittaohjelmia ja liikkuvia ohjelmia vastaan
-luvattomien ohjelmien käyttö kiellettävä
-säännöt tiedostojen ja ohjelmien lataamisesta ulkopuolisesta verkosta
- liikkuvien ohjelmien estäminen
5. Varmuuskopiointi
-Varmuuskopiointien laajuus ja tiheys
- turvallinen säilytys ja palautuksen ohjeistus
6. Verkkoturvallisuus
-verkon infrastruktuurin suojaus
7. Tietovälineiden käsittely
-tietovälineiden käsittely, kirjaaminen ja poisto
-ulkoisten kiintolevyjen käyttö sallittu vain erityisestä syystä
8. Tietojenvaihtoperiaatteet
- Menettelytavat esim, suojautuminen tiedon sieppaukselta, kopioinnilta, väärin reititykseltä
- Tiedonvaihtosopimukset: siirroista ilmoittaminen kumppaneille, luottamuksellista tiedon vaihtoa
9. Verkkoasiointipalvelut
- Verkon kautta välitetyt tapahtumat ja sähköposti, niiden vaikutukset turvallisuuteen sekä niiden edellyttämät turvamekanismit olisi syytä huomioida
-Sähköisesti julkisten järjestelmien kautta julkaistun tiedon eheys ja käytettävyys tulisi ottaa huomioon
10. Tarkkailu ja lokit
-Lokien tarkkailurutiinit ja sitä helpottava ohjelmisto
-Kirjaavat mm. käyttäjätiedot, tapahtuman aika ja paikka, sisään ja uloskirjautumiset ja yritykset...
-Järjestelmien käytön tarkkailu, lokitiedostojen suojaus, häiriöiden kirjaus, pääkäyttäjä- ja operaattorilokit
11. Tietokoneiden matkakäyttö ja etätyö


Lähteet: Organisaation tietoturva- osuus- materiaali Moodlessa

keskiviikko 11. marraskuuta 2015

Ryhmätehtäviä part viiskymmentä

Tunnistatko Facebookin vaarat?  
Pelialan pienyritys aikoo käyttää Facebookia markkinointiin ja kaikilla yrityksen jäsenillä on lupa käyttää sivustoa ja julkaista materiaalia oman mieleen mukaan.
Facebookissa vikana on se, että tieto ei saa olla salaista. Kaikki tieto voi levitä mihin tahansa, joten paljoa yksityisiä asioita ei kannata jakaa. Sivustolle voi myös kommentoida kuka tahansa ja mitä haluaa, kuten linkkejä yms. Sivuston pitäisi olla asiallinen ja kieliopillisesti oikein. Sivun pitäisi olla aktiivinen jatkuvasti joten sitä pitäisi aktiivisesti viedä eteenpäin koko ajan. Julkaisujen pitäisi olla yhtenäisiä, rakentaa firman brändiä asialliseen malliin.

Googlen tietosuojakäytäntö.
Google kerää tietoja joita olet antanut ja mitä olet hakenut/katsonut. Tietoja käytetään mahdollistamaan parempaa ja yksityiskohtaisempaa palveluita, kohdennettua mainontaa ja osuvimpia hakutuloksia. Google tiliä käyttävät palvelut käyttävät samoja tietoja. Nimeä ja kuvaa voidaan käyttää mainoksissa ja muissa kaupallisissa yhteyksissä. Jakamis- ja yksityisyysasetuksia voidaan rajoittaa, mikäli sen osaa ja muistaa tehdä.
Tietoja voidaan jakaa jos on antanut luvan tiedon jakamiseen, eli aina kun käytät googlen tuotetta, annat luvan omien tietojesi käyttöön. Tiedot voidaan jakaa verkkotunnuksen järjestelmänvalvojille.

Haittaohjelmat
Haittaohjelma on tietokoneohjelma, jonka tarkoituksena on aiheuttaa ei-toivottuja tapahtumia koneessa tai järjestelmässä. Luokitellaan leviämisen, tekemisen ja muiden asioiden mukaan. Yleisin haitta on tietojen hävittäminen. Monistaa itseään ja leviää koneesta toiseen. Yleensä tulee jonkin tiedoston mukana eli tarvitsee isännän. Yleensä kaksi toimintavaihetta: Kopioiden levittäminen itsestään ja aktivoituminen.
Mato aiheuttaa haittaa tiedonsiirtokapasiteetissa ja se leviää koneesta toiseen automaattisesti ilman käyttäjän toimenpidettä.
Troijalainen aiheuttaa haittaa avaamalla takaportin, se usein naamioituu viattomaksi ohjelmaksi. Troijalainen voi tehdä tuhoja jättämättä mitään jälkiä.
 Takaovi ohittaa normaalit tietoturvamekanismit ja sallii vieraan luvattoman pääsyn tietokoneelle. Sen avulla ulkopuolinen henkilö voi ottaa koneen laittomasti haltuunsa, jolloin hän pystyy hallitsemaan konetta eriasteista riippuen siihen asennetun ohjelman ominaisuuksista.
Vakoiluohjelma kerää tietoja koneesta ja sen käyttäjästä ilman suostumusta ja välittää ne jollekin toiselle. Asentuu koneeseen yleensä jonkin ilmaisohjelman mukana. Vakoiluohjelma on harvoin yksin, koska kone on alttiimpi myös muille haittaohjelmille. Aiheuttaa koneessa usein ei toivottua käytöstä ja järjestelmän toiminnan heikentämistä.
Rootkit: käytetään yleensä muiden haittaohjelmien piilottamiseen. Ohjelman avulla hakkerit pystyvät esim. varastamaan tietoja, tekemään palvelunestohyökkäyksiä tai piilottamaan aikaansaannoksensa. Kaikki ohjelmat eivät ole haitallisia itsessään vaan niitä käytetään hyväksi.
Vuoden 2013 arvioi oli yli 600 miljoonaa haittaohjelmaa maailmalla.


Käyttäjä on tietoturvallisuuden heikoin lenkki. Miksi? Kerro esimerkkejä.
Nettihuijaus on yleensä netin kautta tapahtuvaa tietojenkalastelua tai rahallisia huijausyrityksiä. Huijaussähköpostit hämäävät käyttäjää antamaan tiedon kyselijälle henkilökohtaisesti arkaluontoista tai tietoteknillisesti kriittistä tietoa. Huijaukset leviävät helposti eteenpäin sähköpostin avaamisen jälkeen. Mainokset ja kyselykaavakkeet voivat kerätä käyttäjän tietoa vääriin käyttötarkoituksiin. Käyttäjän tuleekin olla harkitseva mihin omia tietojansa levittää. Haittaohjelmat ovat ohjelmia, jotka on suunniteltu aiheuttamaan tietynlaista haittaa tietokoneeseen tai tietojärjestelmässä. Haittaohjelmat on yleensä piilotettuina erilaisiin tiedostoihin tai naamioituina muissa tietokoneohjelmissa.
Tietoturva riippuu vahvasti käyttäjän perehtyneisyydestä riittävään turvallisuusetikettiin. Käyttäjän tulee ottaa turvallisuus huomioon tietojärjestelmän lisäksi myös laitteiston fyysisellä tasolla. Käyttäjän tulee huomioida salasanojen säilyttämisen riskit ja yksityisten tiedostojen salaus ennakoivalla toiminnalla.
Arkaluontoisten tietojen tulostaminen yhteisillä tulostimilla ja tulosteiden unohtaminen laitteeseen on yllättävän yleistä. Sosiaalisten medioiden profiilit saattavat sisältää paljonkin tietoa henkilöstä ja tulisikin miettiä, mikä on tarpeellista jakaa muille. Yleisillä paikoilla keskusteleminen ja puhelimeen puhuminen saattaa myös olla riskialtista, kaikkea ei kannata kovaan ääneen puhua. Monet ohjelmat ovat englanniksi, eli kaikki eivät välttämättä ymmärrä mihin ovat suostumassa. Tietojen kryptaaminen: Luottamuksellisten kansioiden ja tiedostojen salaaminen on tapa suojata niitä luvattomalta käytöltä. Salaaminen on hyödyllinen turvatoimi fyysisiä ja verkon kautta tehtäviä hyökkäyksiä vastaan. Salauksessa käyttäjän tulee ottaa huomioon minkälaista ohjelmistoa käyttää. Virusturva on hyvä olla käytössä ja päivitettynä, yleiset virustorjuntaohjelmat auttavat käyttäjää tunnistamalla urkintaohjelmia ja vahvistaa palomuuritoimintoja. Käyttäjän tulee tarkistaa tietokone säännöllisin aikavälein.

Onko kameravalvonta henkilötietojen käsittelyä?
On, jos yksityishenkilö on tunnistettavissa kameran kuvasta ja äänestä. Jos ääntä ei tallenneta, ei kuvaaminen ole henkilötietojen käsittelyä. Omana tapauksena on myös kameravalvonta omassa yksityisiin tarkoituksiin. Kameravalvonnan tulee olla selkeästi tiedotettava. Tarkkaa määritelmää ei siitä ole missä kameravalvontaa harjoitetaan, mutta pitää olla selkeä toimintasuunnitelma ja siitä pitää selkeästi tiedottaa. Kameravalvonnan tallennetta ei saa luovuttaa muille, eikä se saa olla avoimesti jaossa. Porraskäytävässä tallentaminen on sallittua, jos sillä voidaan todistaa rikosepäilyjä.
Työpaikalla saa olla kameravalvontaa, mutta sillä ei saa valvoa yksittäisiä työntekijöitä. Kameralla varmistetaan turvallisuus, omaisuuden suojaaminen ja yleisesti rikoksien ehkäiseminen.

tiistai 10. marraskuuta 2015

Mitä on palveluiden turvallinen käyttö?

Salla I, Jyri H.

Palveluiden turvallinen käyttö

Erilaisten palveluiden turvallinen käyttö on kansalaisen kuin organisaation näkökulmasta erittäin tärkeää. Kuluttajille tarjottavien palveluiden pitää olla turvallisia ja turvallisuuden kannalta tärkeät ominaisuudet ja asiat vaihtelevat palveluryhmien mukaan.
Jokaisen internetiä käyttävän kannattaa miettiä, mitä palveluja käyttää ja minkälaisia suojaustoimia niissä käytetään. Koska jokaisella Suomen kansalaisella on oikeus luottamukselliseen sähköiseen viestintään, on suomalaisten viestintäpalvelujen, kuten sähköpostipalvelujen tarjoajien, huolehdittava palvelujensa tietoturvasta ja viestinnän luottamuksellisuudesta.

Internet-palveluja käyttäessä on syytä suojata tietokone ja pitää sen ohjelmistot ajan tasalla. Useiden palvelujen käyttö edellyttää rekisteröitymistä palveluun ja usein rekisteröitymisen yhteydessä kysytään henkilö- ja osoitetietoja. Kaikkien palvelujen tietoturvasta ei välttämättä ole huolehdittu ajantasaisin menetelmin ja palveluun tallentamasi tiedot saattavat päätyä julkaistuksi verkossa tietovuodon yhteydessä. Palvelujen käyttämiseksi yleensä vaaditaan tietoja, joten on syytä tutkia mitä tietoja vaaditaan ja mihin niitä käytetään. Jos verkkopalvelun käyttämiseksi pitää antaa henkilökohtaisia tietoja, tarkista mihin niitä käytetään. On myös syytä tarkistaa, annetaanko tiedot suojatun yhteyden kautta.

Suomalaisten teleyritysten tarjoamien viestintäpalvelujen luottamuksellisuutta suojaa Suomen lainsäädäntö, mutta se ei voi taata viestinnän luottamuksellisuuden säilymistä Suomen rajojen ulkopuolella. Lainsäädäntö ei takaa viestinnän luottamuksellisuutta jokaisessa maassa. Vaikka palvelu olisi suomenkielinen, se ei takaa, että palvelu olisi toteutettu Suomessa tai että tietojen käsittelyssä noudatettaisiin Suomen lainsäädäntöä. Suomen viestintäpalveluja koskeva lainsäädäntö suojaa ainoastaan suomalaisissa viestintäpalveluissa ja tietoverkoissa välitettävien viestien ja tietojen luottamuksellisuuden. Sen takia on hyvä selvittää mitä palveluja käyttää, kuka niitä ylläpitää ja mihin antamasi tiedot käytetään.

Sähköpostipalveluiden käytön täytyy olla turvallista organisaatiossa ja sen takia henkilökunnalle annetaan ohjeistuksia kuinka käyttää sähköpostia turvallisesti. On parasta suhtautua varauksella sähköpostilla lähetettyihin linkkeihin ja ilmoituksiin, joissa pyydetään klikkaamaan linkkiä. Yleensä organisaatioissa erilaiset sähköposti,- pilvi-, ja muut palvelut on hyvin turvattuja. Luottamukselliset tiedostot ja viestit on kuitenkin syytä salata erilaisilla salausmenetelmillä.

Artikkelit: 
http://www.iltasanomat.fi/digi/art-1447149896683.html

http://www.hs.fi/tiede/a1442200996023


Lähteet:
https://www.viestintavirasto.fi/kyberturvallisuus/palveluidenturvallinenkaytto.html
https://tietoturvakeskus.fi/etusivu/palveluiden-turvallinen-kaytto2/palveluiden-turvallinen-kaytto/

Verkon tietoturva

Verkon tietoturva

Nykyään yritystoiminta on yhä riippuvaisempi tietoverkoista -> verkon tietoturvasta tulee yhä tärkeämpi asia. Tietoverkon uhat voivat esiintyä monissa eri muodoissa, mutta kaikki voivat johtaa tietynasteiseen yksityisyyden tai informaation menetykseen, josta voi seurata taloudellisia menetykisä. Kaikki uhat eivät pyri aiheuttamaan vahinkoa, mutta niistä voi olla kuitenkin paljon harmia.
Internetin käytön tultua yleiseksi ja lisäännyttyä räjähdysmäisesti erilaiset väärinkäytöt, järjestelmiin tunkeutumiset ja vahingonteot ovat yhä yleisimpiä.

Miksi tietoverkko on turvaton?

Internet muodostuu rajoittamattomasti toisiinsa yhdistetyistä verkoista. Tämän vuoksi yrityksen verkkoon on mahdollista päästä mistä päin maailmaa tahansa. Aikoinaan kun tietoverkko oli pieni, sen käyttäjät tunnettiin ja heihin voitiin jossain määrin luottaa. Nykyään käytössä on edelleen sama TCP/IP protokollan perusrakenne, jonka heikkouksia on mahdollista käyttää hyväksi.

Neljä päätyyppiä uhista:

1.Suunnittelemattomat uhat

-> Kokemattomat henkilöt, jotka käyttävät Internetistä löytyviä hakkerointityökaluja
2. Suunnitelmalliset uhat
-> tekniset taitavat hakkerit, joilla tuntemus verkkojen rakenteista ja haavoittuvuudesta
3. Ulkoiset uhat
->Henkilöt tai organisaatiot, jotka toimivat yrityksen ulkopuolella ja joilla ei ole luvallista pääsyä yrityksen tietojärjestelmiin.
4. Sisäiset uhat
->Henkilöt ja organisaatiot, joilla pääsy verkkoon

Verkkoihin kohdistuu kolmen tyyppisiä hyökkäyksiä:

1. Tiedusteluhyökkäykset
-> Yritetään selvittää ja kartoittaa järjestelmiä, palveluja ja haavoittuvuuksia
2. Pääsyhyökkäykset
-> tunkeutuja tekee hyökkäyksen verkkoon tai järjestelmiin hankkiakseen dataa, saadakseen päädyn resursseihin ja laajentaakseen pääsyoikeuksiaan
3. Palvelunestohyökkäys (DOS)

Tiedustelu
Luvaton järjestelmien palvelujen tai haavoittuvuuksien kartoittamista. Edeltää useimmiten varsinaisia pääsy- ja palvelunestohyökkäyksiä. Yleensä tehdään ping-pyyhkäisy kohdeverkkoon, jolla selvitetään käytössä olevat IP-osoitteet. Tämän jälkeen selvitetään aktiiviset palvelut ja portit näistä osoitteista. Kohdistetaan kyselyjä aktiivisiin portteihin, joilla pyritään selvittämään kohdeisännän sovelluksen tyyppi ja versio sekä käyttöjärjestelmän tyyppi ja versio

Pääsyhyökkäys

käytetään luvattomia hakkerityökaluja ja yritetään kalastella järjestelmään pääsyä, datan käyttöä ja oikeuksien laajentamista. Jossakin tapauksissa tunkeutujat haluavat pääsyn järjestelmiin haluamatta varastaa tietoja, eli älyllinen haaste.

Palvelunestohyökkäys

Tunkeutuja tekee käyttökelvottomaksi tai korruptoi verkkoja, järjestelmiä tai palveluja tarkoituksenaan estää palvelu niiltä käyttäjiltä, joille se on tarkoitettu. Se tapahtuu yleensä kaatamalla järjestelmä tai hidastamalla sen toimintaa niin, että se muuttuu käyttökelvottomaksi. Mahdolliset taloudelliset vahingot voivat olla merkittäviä yritykselle.

Verkon uhkia/hyökkäysmenetelmiä

Salakuuntelu onnistuu helposti, jos fyysinen yhteys esim. kaapeliin tai koneeseen saadaan. Murtautuja voi tämän jälkeen kuunnella liikennettä ja poimia sieltä esim käyttäjien salasanoja.
IP-osoitteiden väärentäminen tapahtuu lähettämällä UDP-paketteja, joiden IP-osoite on väärä. Vastaanottaja ei tee autentikointia UDP:tä käytettäessä, jolloin vastaanottajan paluupaketit eivät tule takaisin lähettäjälle, vaan sille, jonka IP-osoite oikeasti on.
Sähköpostien väärentäminen. SMTP-protokollassa viesti kulkee selväkielisenä, jolloin haluamillaan lähtötiedoilla varustetun postin saa lähtemään ottamalla yhteyttä telnetillä vastaanottajan koneen SMTP-porttiin ja naputtelemalla halutunlaisen viestin.
Palvelun pysäytys. Pyritään palvelun pysäytyksellä saamaan kohde toimintakyvyttömäksi.
Yhteyden kaappaus perustuu siihen, että kaksi konetta kommunikoivat hyökkääjän koneen kautta kulkevalla reitillä, jolloin hyökkääjällä on mahdollisuus kopioida ja muuttaa niiden paketteja.

Suojauskeinoja

Tietoverkoissa tapahtuvan toiminnan tärkeimpiä suojauskeinoja on liikenteen suojaaminen murtamattomalla salakirjoituksella koko matkalta työasemalta palvelimelle ja takaisin. Tietoliikenteen suojaaminen sovellustasolla on nykyisin yleisimmin käytössä oleva tapa, mutta VPN-yhteyksien käyttö voimakkaasti lisääntymässä.

Salatut yhteydet

Salatuissa yhteyksissä ei ole kysymys liikenteen piilottamisesta vaan salakirjoituksesta eli kyryptauksesta. Jos salakirjoitettua liikennettä salakuunnellaan, vastaanottaja ja lähettäjä kyllä selviävät mutta mistään muusta ei saa mitään selvää. On aina pyrittävä siihen, että mitään salasanoja, tunnuksia yms tietoturvamielessä arvokasta tietoa ei lähetetä verkossa selväkielisenä. Salaamattomissa yhteyksissä kannattaa välttää esim. Telnet-yhteydet (salaamattomat etäpääteyhteydet toisiin koneisiin) sähköpostien lukeminen sähköpostiohjelmilla, joissa ei ole salaustoimintoja. Tunnukselliset FTP-tiedonsiirrot.

Palomuurit
Palomuurista on yleisnimike tekniikoille, joilla pyritään sallimaan vain tietoturvapolitiikan mukainen verkkoliikenne sisään ja ulos omasta verkosta. Näin pyritään pitämään asiaankuulumattomat henkilöt poissa sisäisistä järjestelmistä sekä saavuttamaan hyvä tasapaino käytettävyyden ja tietoturvan välille. Kaikille palomuurityypeille olennainen piirre on välitön raportointi verkkoyhteyksissä tapahtuvasta epäilyttävästä toiminnasta. Palomuuri on laitteiston ja ohjelmistojen yhdistelmä, joka rajoittaa lähiverkon ja Internetin välistä tietoliikennettä. Sitä voidaan tietoturvasyistä käyttää myös eristämään yrityksen lähiverkon eri osia toisistaan. Palomuuri pakottaa kaikki verkkoyhteydet läpäisemään yhdyskäytävän, jossa ne tutkitaan ja arvioidaan. Palomuurin avulla voidaan tarkkailla sen läpi kulkevaa liikennettä ja tallentaa tietoa sen läpi otetuista yhteyksistä. Palomuureihin on saatavana lisätoimintoina muun muassa automaattinen virustorjunta, salaus sekä url-suodatus.

LÄHTEET: Materiaali moodlessa ja opettajan luento
----------------------------------------------------------------------------------------------------------------------

Artikkeli aiheeseen liittyen:
http://www.itviikko.fi/tietoturva/2014/04/03/4g-verkkojen-data-kulkee-suomessa-ilman-suojausta/20144706/7

Artikkelissa kerrotaan Suomen puhelinverkkojen tietoturvan siirtyvän 4g-verkoissa heikompaan suuntaan. Suomen operaattorit eivät käytä lte-tekniikalla toteutetuissa verkoissaan suojausta, joka on mukana 3g-verkoissa. Ville Autere Nokia Solutions and Networks-yhtiöstä kertoo puhelinliikenteen kulkevan suojaamattoman verkon tukiasemista eteenpäin. 4g-liikenne siirtyy tukiasemasta eteenpäin ethernet-kaapelia pitkin ja jos kaapeliin pääsee käsiksi, voi verkkoliikennettä vakoilla tai hyökätä myös operaattorin runkoverkkoot. Lte-verkossa nykyisin siirretään pelkästään dataa, eli älypuhelimien ja 4g-mokkulalla verkkoon kytkettyjen kannettavien sähköposteja, sovellusten datavirtaa sekä muuta nettiliikennettä. Ville Auteren mukaan esim. tukiasemaan kytketyn kannettavan tietokoneen ja sopivan ohjelmiston avulla 4g-dataliikenettä on mahdollista tallentaa ja analysoida.

3g-verkkojen tietoturva onkin paremmalla tasolla, sillä verkkoliikenteen suojaus on sisällytetty 3g-standardiin. 4g-verkoissa suojaus on kuitenkin vapaaehtoinen. Suomessa operaattorit eivät ole ottaneet suojausratkaisuja käyttöön.
Elisan turvallisuusjohtaja Jaakko Walleniuksen mukaan suojauksen käyttöä lte-verkoissa tutkitaan. Tietoturvan tasoa selvitetään. Nettiselaamisen turvallisuudessa on jo usein monta kerrosta Walleniuksen mukaan. Monissa verkkopankeissa ja useissa sähköpostipalveluissa käytetään https-salausta, joka jo suojaa niiden liikennettä. Saksassa kaikki operaattorit ovat suojanneet 4g-verkkoliikenteen ja Venäjällä on artikkelin kirjoitusaikoina aloitettu suojausten asentamista. Auteren mukaan venäjällä vakoilu ehkä huolestuttaa, mutta myös rikolliset, jotka voisivat kaapata tukiasemia ja kiristää rahaa uhkaamalla kaataa operaattorin verkon.

tiistai 27. lokakuuta 2015

Organisaation kyberturvallisuus - ryhmätehtävä

14.10.2015

Salla I, Jyri H, Hanna J, Jonna H

Teimme ryhmätehtävänä ohjeita viestinnän suojaamiseen- tehtävän. Tutustuimme sisältöön ja kirjoitimme blogimerkinnän organisaation tietoturvan näkökulmasta: mitä pitäisi huomioida?

Palveluiden turvallinen käyttö

Organisaation tietoturvan näkökulmasta erilaisten palveluiden ja laitteiden turvallinen käyttö on erittäin tärkeää. Jokaisella Suomen kansalaisella on oikeus luottamukselliseen sähköiseen viestintään ja sen takia jokaisen Internetiä käyttävän kannattaa miettiä, mitä viestintäpalveluja käyttää ja minkälaisia suojaustoimia niissä käytetään. Sähköisen viestinnän luottamuksellisuus tarkoittaa sitä, ettei kukaan saa ilman laissa säädettyä oikeutta tai viestinnän osapuolen suostumusta käsitellä toisen henkilön viestejä tai viestintään liittyviä tunnistamistietoja.
Viestintäpalvelujen kuten esimerkiksi sähköpostipalvelujen tarjoajien on huolehdittava palvelujensa tietoturvasta ja luottamuksellisuudesta. Ja muun muassa suomalaisten teleyritysten tarjoamien viestintäpalvelujen täytyy taata luottamuksellisuus Suomessa.

Luottamuksellisen viestinnän suoja on perusoikeus, jonka loukkaaminen on rangaistava teko. Ilman lupaa kukaan ei saa käsitellä toisen viestejä tai viestintään liittyviä tunnistamistietoja ja esimerkiksi organisaatiossa ei kukaan saa koskea tai tutkia työntekijöiden henkilökohtaisia viestejä tai tunnistamistietoja. Työntekijällä on myös vastuu yrityksen sisäisten viestien salassapidosta, mutta omia tunnistamistietoja saa käsitellä haluamallaan tavalla. Julkiseen viestintään liittyvät tunnistamistiedot ovat myös luottamuksellisia ja esimerkiksi teleyritykset ja yhteisötilaajat saavat käsitellä tunnistamistietoja ainoastaan laissa säädettyihin tarkoituksiin.
Organisaatiossa sähköpostipalveluiden käyttö täytyy olla turvallista ja sen takia henkilökunnalle annetaan ohjeistuksia kuinka käyttää sähköpostia turvallisesti. Yleensä organisaatioissa sähköpostipalvelut ovat hyvin turvattuja. Luottamukselliset sähköpostiviestit on syytä salata erillisillä salausmenetelmillä. Myös digitaalinen allekirjoitus varmistaa viestin muuttumattomuuden sekä viestin allekirjoittajan henkilöllisyyden.

Kolme turvallisuussääntöä: Selitä- Arvioi - Suojaa

- Suomen viestintäpalveluja koskeva lainsäädäntö suojaa ainoastaan suomalaisissa viestintäpalveluissa ja tietoverkoissa välitettävien viestien luottamuksellisuuden.
– Selvitä mitä palveluja käytät ja mihin antamiasi tietoja käytetään.
– Arvioi mitkä viestisi vaativat suojaa ja suojaa ne tarvittaessa.
– Muista suojata mahdollinen langaton verkkosi.

Laitteiden turvallinen käyttö

Tietokoneiden lisäksi organisaation täytyy pitää huolta internettiin liitettävien laitteiden tietoturvasta. Tärkeintä on tarkastaa laitteen asetuksen käyttöönoton yhteydessä. Monissa laitteissa on nykyisin verkkoliitäntä, jonka kautta voi käyttää verkon viihdepalveluja tai päivittää laitteen ohjelmistot. Suojaamattomassa verkossa salaamaton viestintä on helposti muiden käyttäjien katseltavissa ja kuunneltavissa. Suojaamatonta verkkoa voivat sivulliset käyttää luvatta. Tietoturvallisesti järkevää onkin tarkistaa sellaiset laitteet, joita käytetään internet-yhteyden muodostamiseen ja jotka ovat kiinni suoraan internetissä.


Organisaation on syytä panostaa tietokoneiden suojaukseen. Suojauksen kannalta tärkeää on pitää siihen asennetut ohjelmistot ajan tasalla. Helpoiten se onnistuu käyttämällä automaattisia päivitystoimintoja. Tavallisimmin haittaohjelma tarttuukin tietokoneeseen päivittämättömän selainlaajennuksen kautta. Virustorjunta ja palomuuri olisi hyvä pitää toiminnassa, jottei organisaation tietokoneisiin pääse pöpöjä leviämään.
Langattoman lähiverkon tietoturvan kannalta olennaisinta on määritellä wlan-verkkoon tunnistautuminen. Ilman käyttäjien tunnistautumista kuka tahansa pääsee langattoman tukiaseman kuuluvuusalueella liittymään langattomaan lähiverkkoon. On myös tärkeää salata wlan-verkon kautta välitetty liikenne.
Laitteiden oletussalasanat on syytä vaihtaa ja laitteiden pääsy hallintakäyttöliittymään internetistä on syytä estää. Salasanan turvallisuuteen vaikuttaa eniten käytetyn salasanan pituus. Hyvässä salasanassa yhdistyy sekä pituus että monimutkaisuus. 

Teleyritysten oikeudet ja velvollisuudet

Teleyrityksillä ja lisäarvopalvelujen tarjoajilla on velvollisuus huolehtia verkko- ja viestintäpalvelujensa tietoturvasta. Velvollisuuksien suorittamiseksi tehtävät toimenpiteet suhteutetaan uhkien vakavuuteen, teknisen kehityksen tasoon sekä kustannuksiin sopiviksi. Viestintävirastolla on oikeus antaa teleyritykselle tarkempia määräyksiä verkko- ja viestintäpalvelun ja tietojen säilyttämisen tietoturvasta. Velvollisuuksiin kuuluu muun muassa verkko- ja viestintäpalvelujen toiminnan tietoturvallisuudesta, tietoliikenneturvallisuudesta, laitteisto- ja ohjelmistoturvallisuudesta ja tietoaineistoturvallisuudesta huolehtiminen.

Teleyrityksellä on oikeus tietoturvaloukkausten torjumiseksi ja tietoturvan varmistamiseksi muun muassa estää viestien välittäminen ja vastaanottaminen, poistaa tietoturvaa vaarantavat haittaohjelmat viesteistä ja toteuttaa muita vastaavia teknisluonteisia toimenpiteitä viestintäverkossaan. Oikeus näihin toimenpiteisiin on vain, jos ne ovat välttämättömiä verkko- tai viestintäpalvelun tai viestin vastaanottajan viestintämahdollisuuksien turvaamiseksi. Sananvapautta tai yksityisyyden suojaa ei saa kuitenkaan rajoittaa enempää kuin välttämätöntä.

Teleyrityksen täytyy ilmoittaa viipymättä Viestintävirastolle ja asiakkaille, jos palveluun kohdistuu tai sitä uhkaa merkittävä tietoturvaloukkaus tai muu tapahtuma. Häiriön tai uhan arvioitu kesto ja vaikutukset ja niistä aiheutuvat korjaustoimenpiteet ja seuraavien häiriöiden estämiseksi tehtävät toimenpiteet pitää ilmoittaa viestintäviranomaiselle.

Viestinnän tunnistamistiedolla tarkoitetaan tietoa, jonka perusteella verkko- ja viestintäpalvelun käyttäjään voidaan yhdistää tietoa tai käyttäjä voidaan tunnistaa, tunnistamistietoja ovat mm tiedot puhelun soittajasta ja vastaanottajasta, sähköposti- tai tekstiviestin lähettäjä ja vastaanottaja yms. Teleyrityksellä on oikeus käsitellä näitä tietoja verkko- ja viestintäpalvelun käyttämiseksi, laskuttamiseksi, tietoturvan varmistamiseksi, teknisen vian havaitsemiseksi, kehittämistä varten ja väärinkäyttötilanteissa, jolloin lisäarvopalvelun maksullista palvelua käytetään maksutta.

Yhteisötilaajan oikeudet ja velvollisuudet 
 
Yhteisöpalveluiksi kutsutaan esim. yritysten tai oppilaitosten tarjoamia sähköposti- ja tietoliikenneyhteyspalveluita työntekijöidensä tai oppilaittensa käyttöön. Yhteisötilaajilla on velvollisuus huolehtia käyttäjiensä tunnistamistietojen käsittelyn tietoturvasta. Heillä on myös oikeus käsitellä tunnistamistietoja muissa laissa yksilöidyissä tilanteissa. 
Yhteisötilaajan oikeudet ja velvollisuudet vastaavat pääosin samoja asioita kuin teleyritysten oikeudet ja velvollisuudet. 

Tunnistaumiskeinot

Organisaation tietoturvan näkökannalta tunnistautumiskeinojen täytyy olla varmoja. Organisaatio voi käyttää esimerkiksi sähköisiä tunnistautumisia ja allekirjoituksia. Vahva sähköinen tunnistautuminen, sähköinen allekirjoitus ja varmenne auttavat henkilöllisyyden todentamisessa ja tunnistamisessa sekä tietojen salauksessa sähköisissä tietoverkoissa. Vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista säädetään laissa.

Vahvalla sähköisellä tunnistamisella tarkoitetaan henkilöllisyyden todentamista sähköisesti. Vahvan sähköisen tunnistamisen avulla kuluttajat voivat turvallisesti vahvistaa henkilöllisyytensä erilaisissa sähköisissä palveluissa. Esimerkiksi pankkien käyttämät verkkopankkitunnukset, väestörekisterikeskuksen kansalaisvarmenne ja mobiilivarmenteet käyttävät vahvaa sähköistä tunnistautumista.
Sähköistä allekirjoitusta käytetään allekirjoittajan henkilöllisyyden todentamiseen. Yksinkertaisimmillaan se voi olla esim. sähköpostien allekirjoittaminen henkilön nimellä. Kehittyneemmässä sähköisessä allekirjoituksessa allekirjoittaja voidaan yksilöidä ja allekirjoitus liittää muuhun sähköiseen tietoon, esim. sähköpostiviestiin.
Varmenne on luotettavan organisaation sähköisesti allekirjoittama todistus, joka todentaa varmenteen omistajan henkilöllisyyden. Niitä tarvitaan tietoverkkojen kautta tapahtuvassa tunnistamisessa, salauksessa ja sähköisen allekirjoituksen tekemisessä. Varmenne sisältää julkisen avaimen, jolla varmenteen omistajan voi tunnistaa. Julkisen avaimen lisäksi varmenne sisältää muita tietoja, kuten henkilön tai organisaation nimen, varmenteen myöntämispäivän, viimeisen voimassaolopäivän tai yksilöllisen sarjanumeron.

Vahvaa sähköistä tunnistamista tarjoavien palveluntarjoajien ja laatuvarmenteita tarjoavien varmentajien on tehtävä Viestintävirastolle ilmoitus ennen toiminnan aloittamista. Viestinnänvirasto ylläpitää julkista rekisteriä tunnistuspalvelun tarjoajista sekä laatuvarmenteita tarjoavista varmentajista. Vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista annetun lain tavoitteena on luoda yhteiset pelisäännöt vahvan sähköisen tunnistamisen palvelujen tarjontaan, edistää tunnistuspalveluiden tarjontaa ja sähköisten allekirjoitusten käyttöä.

 
Tietoturvallisuuden arviointilaitokset ja arviointimenettely

Viestintävirasto ohjaa ja valvoo tietoturvallisuuden arviointilaitoksia, jotka tarjoavat viranomaisille ja yrityksille luotettavaa ja puolueetonta tietoturvallisuuden arviointipalvelua. Arviointilaitokset ovat apuna yritysturvallisuuden edistämisessä. Arviointilaitoksen suorittaman arvion mukaan organisaatiot ja yritykset voivat todistaa, että heidän toimintansa täyttää tietoturvallisuusvaatimukset. Arviointilaitoksen suorittamassa tietoturvatarkastuksessa selvitetään onko toiminnassa toteutettu tietoturvallisuutta koskevat vaatimukset ja tarkastetaan arvioitavan kohteen toimitilat. Arviointi perustuu arvioinnin kohteen toimeksiantoon, jossa määritellään käytettävä tietoturvallisuuden arviointikriteeristö ja tavoitettava tietoturvataso.

Hyökkäysohjelmistot

Organisaation tietoturvaa ajatellen on tietokoneiden ohjelmistot ja päivitykset syytä pitää ajan tasalla. Hyökkäysohjelmistoista Angler Exploit Kit tartuttaa monia Windows-tietokoneita. Selainliitännäisistä Flash kannattaa pitää ajan tasalla, sillä päivittämättömän version käyttäjät joka päivä haittaohjelmia koneelleen. Nettisivuilla näytettävistä mainoksista voi levitä haittaohjelmia ilman, että sivustoa olisi välttämättä murrettu. Kohdistetuista hyökkäyksistä joita kohdistetaan erilaisiin organisaatioihin, käytetään termiä APT. Kohdistettuaan hyökkäyksen hyökkääjällä on kohdeorganisaatioista yleensä sellaisia tietoja, joita hyväksi käyttäen se voi mahdollistaa pääsyn organisaation järjestelmiin. Tällaisia keinoja on esimerkiksi sähköpostiin lähetetty dokumentti, joka ei herätä vastapuolessa epäilyksiä, mutta joka on todellisuudessa saastutettu. Hyökkääjä voi myös houkutella organisaation käyttäjiä vierailemaan haitallisella verkkosivulla, joka jakaa haittaohjelman vain tietystä organisaatiosta saapuvalle käyttäjälle. Hyökkäävällä taholla on yleensä tarkoituksena onkia organisaation kriittistä tietoa ja saada sitä haltuunsa. Tieto pyritään niellä organisaatiosta huomaamattomasti ja operaation onnistuttua jäljet pyritään poistamaan, jotta hyökkäyksen alkuperän selvittäminen vaikeutuisi.

Ohjelmat kannattaa pitää ajan tasalla, sillä päivitykset korjaavat kriittisiä haavoittuvuuksia – ne voivat esimerkiksi johtaa salaisen tiedon vuotamiseen väärin käsiin sekä hyökkääjän koodin suorittamiseen kohdejärjestelmässä. Esimerkkejä päivittämisen arvoisista ohjelmista on esim. Adobe Acrobat ja Reader.


lauantai 10. lokakuuta 2015

Etätehtävä - Dokumentti yksityisyydestä

7.10.2015

Tutustuimme Peter Vlemmix- Panopticon privacy- dokumenttiin sinun yksityisyydestäsi. Samalla meidän piti miettiä, mitä tietoja meistä jää tietoverkkoihin, kun liikumme siellä.

Dokumentissa mietittiin mitä kaikkea tietoa meistä löytyy internetissä. Monet kertoivat, ettei heillä ole mitään salattavaa esimerkiksi heidän maansa hallitukselta, eivätkä he ole huolissaan mitä tietoja heistä käsitellään. Dokumentin tekijä Peter Vlemmix aikoi ottaa selvää mitä tietoa valtio meistä tietää, miten meitä seurataan ja pitäisikö meidän olla huolissamme siitä.

Heti alussa minua alkoi hämmästyttää laite, jota käytettiin viinakaupassa. Ihmettelin, että minkä ihmeen takia tuollaista laitetta tarvitaan hyväksymään kaupassa asioivan henkilön ikä ja avaamalla kassan. Kyseinen laite ottaa asiakkaasta kuvan, mutta poistaa sen myöhemmin. Laitetta ei siis pysty esimerkiksi käyttämään rikoksen selvittelyissä, koska ihmisen yksityisyyttä suojataan poistamalla kuvat. Helpotus. En haluaisi, että minusta säilytettäisiin tietoja jossain koneella ja katsottaisiin kuinka monta kaljaa olen ostanut. Ei sillä, että kyseinen asia minua haittaisi, mutta jollain tapaa vieroksun kovasti kyseisen laitteen käyttöä. Nopeuttaa, helpottaa ja tekee kaupassa käynnistä turvallista, mutta onko se välttämätöntä? Kyseisen laitteen keksijä kertoikin, että jos jokainen persoonallinen informaatio talletettaisiin, tulisi siitä pikkuhiljaa suurikin pommi kyseistä firmaa kohtaan. Jos joku pääsisi kyseisiin tietoihin käsiksi, olisi yritys hädässä.
Seuraavaksi kynnyksenä oli raitiovaunussa käytettävä kasvojen tunnistusmekanismi. Turvallisuutta kyllä, mutta kuten itse Peter kysyi: "Eikö ole outoa, että ihmisten kasvoja tallennetaan ilman heidän tietämystään?" Vanhana tapana kaikki asiakkaat voisi tarkistaa vain pyytämällä heidän lippuaan esille, kuten Peter ehdottaa. Jostain syystä tällaiset järjestelyt tuntuvat itselleni oudoilta, koska en ole tuollaiseen tottunut ja vastaan ei ole tällaisia tilanteita tullut. Kamerat luovat turvallisuutta yleisillä paikoilla ja ovat varmasti hyvä lisä käytettäväksi junissa, raitiovaunuissa, linja-autoissa yms. mutta jokin tällaisessa käytännössä itseäni oudoksuttaa.
Meistä kaikista kerätään tietoa, mitä teemme onlinessa, kenelle soitamme ja mitä olemme tehneet. Kyseisiä tietoja pidetään tallessa 6 kuukautta, jotta niitä voidaan käyttää, jos rikos tapahtuu. Hollannissa kameroiden käyttö ja niiden seuraaminen tuntuu olevan joka päiväistä, normaalia toimintaa. Kameroilla seurataan ihan moottoritiellä tapahtuvaa liikennettä, tunnistetaan rekisterinumerosta auton omistaja ja tietoa voidaan käyttää rikosten tutkimiseen. Tämä auttaa todella paljon rikosten selvittämisessä, mutta entä jos sinä et tee rikosta? Sinusta silti tallennetaan tietoa, missä olet kulkenut ja mihin mennyt. Meidän käyttäytymistämme säädellään kameroilla ja kuinka meistä kerätään tietoa. Tuntuu kuin olisimme vankilassa.

Meistä oleva tieto on nykyään helppo tallentaa. Data ei maksa paljoa mitään, sen tallentaminen, lähettäminen ja säilyttäminen on halpaa. Sen takia monet yritykset pitävät datan tallessa, koska heillä ei ole ongelmia sen säilytystilan kanssa. Mitä tapahtuu, kun tätä käyttämätöntä dataa ruvetaankin käyttämään? Mihin meidän tietojamme voisi käyttää, kuinka yritykset estävät tämän tapahtuvasta ja osaavat korjata vahingot? Tuntuu, että meidän tietomme ja identiteettimme on pelkkä paperilappu, jota voi heitellä, repiä, tahria ja lähettää niin monelle muulle kuin sielu sietää. Jopa sähköposti-palveluiden tarjoajat seuraavat ja lukevat meidän sähköpostimme, jonka avulla meille ehdotetaan erilaisia mainoksia. Aika pelottavaa, vai mitä?
Jo yhden suuren yhtiön tai yrityksen tekemä virhe voi paljastaa monien miljoonien ihmisten herkätkin tiedot hakkereille ja rikollisjärjestöille, jotka hyötyvät jotain kautta meidän tiedoistamme. Yhtäkkiä yhden yhtiön tekemä virhe tekee Microsoft Updatesta vaarallisen, joka aiheutti suuren kritiikin. Ja en ihmettele, jos yhtiön tehtävänä on lisätä turvallisuutta ja tarjota sitä asiakkailleen, miksi heidän turvallisuutensa petti ja miksi asia jätettiin salaisuudeksi?

Valvontakameroiden lisäämään turvallisuutta on vaikea arvioida. Aina voidaan lisätä enemmän kameroita, mutta kuinka paljon ne auttavat ja kuinka hyvin meidän yksityisyytemme pysyy? Dokumentissa esille tulee se, että kameroiden toimivuudesta ei ole varmaa tietoa ja silti, lisäämme niitä. Turvallisuuden tunne luodaan sillä, että meitä seurataan. Hollannissa tilastot kuitenkin kertovat, että vuosien aikana rikollisuus on vähentynyt. Kamerat ovat siis tehneet tehtävänsä? Ei, väkivalta on todellisuudessa pysynyt samana, mutta meille luodaan kuva turvallisuudesta. Pelkäämme, mutta saamme turvallisuutta antamalla oman yksityisyytemme pois.
Systeemiä on kuitenkin jopa liiankin helppoa huijata. Brenno de Winter, tutkiva journalisti kutsuttiin poliisiasemalle. Kyseessä ei ollut pieni ongelma, vaan jopa 6 vuotta vankeutta. Brenno tutki Hollantilaista OV-chiipkaartia, eli OV-korttia, jota käytetään joukkoliikenteessä. Hän löysi, että kyseiselle kortille voi ladata itse biljoona dollaria. Hän matkusti kolme viikkoa käyttäen itse ladattua korttia, eikä hän jäänyt kiinni. Lopulta kortin käyttöä alettiin epäillä ja viisi poliisia tutki Brennon tapausta viiden kuukauden ajan. Brennoa ei kuitenkaan pidätetty, koska hänellä oli tarpeeksi paljon informaatiota ja tietoa kyseisestä kortista ja sen kompastuskivistä.
Dokumentissa tulee hyvin esille myös se, että yhtiöt keräävät meidän Internet-selailustamme tietoa. Luulisin, että suurin osa tietää Googlen tallentavan meistä tietoa. Google tarjoaa mainoksia tehtyjen hakusanojen perusteella. Google myy meidän tietoamme, Android- ja IOS-puhelimien sovellukset seuraavat meitä, tarjoavat mainoksia jne. Tämä ei yhtään yllätä ainakaan itseäni, koska yhtiöiden ja yrityksien pitää tehdä jotenkin rahaa. Mainostulot ovat suurin tekijä heidän tuloistaan.

Lopussa dokumenttia puhuttiin piratismista ja laittomasta lataamisesta. ACTA (Anti-Counterfeiting Trade agreement) oli eräs ehdotettu kansainvälinen, väärentämisvastainen kauppasopimus immateriaalioikeuksien standardisoinniksi osallistuvien maiden välille. Kyseisen sopimuksen tarkoituksena oli ehkäistä väärennettyjen tuotteiden sekä tekijänoikeuksia loukkaavan materiaalin levitystä sopimusmaissa. Sisällöllisesti sopimus on laaja ja kattaa keinoja muun muassa väärennettyjä tuotteita, geneerisiä lääkkeitä sekä Internet-piratismia vastaan. (Lähde)
ACTA olisi ollut todella suuri riski yksityisyyden suojaamiselle. Ajatuksena ACTA oli hyvä ja ehkä toimivakin, mutta se ei olisi kattanut 100 % yksityisyyttä ja ihmisoikeutta.
Piratismia vastaan käydään jatkuvaa taistelua ja erilaisia sivustoja on laitettu alas. Esimerkiksi Megaupload lakkautettiin vuonna 2012 ja PirateBay on Suomessa Elisa internetoperaattorin eston alaisena vuodesta 2012 lähtien.

Mitä tietoja minusta jää tietoverkkoihin? Käytän Googlen palveluista yleisesti hakukonetta, sähköpostia, Youtubea, Bloggeria jne. Google kerää varmasti minun tekemiäni hakutietoja, katselee sähköpostejani ja miksei vaikka lukisi näitä blogimerkintöjä? Ei sillä, että se haittaisi, mutta jotenkin oman yksityisyyden kadottaminen tuntuu tympeältä. En pysty paljoa sitä säätelemään ja toisaalta ymmärrän sen. Rikollisuuden vähentäminen ja kyseisten rikollisten seuraaminen on tärkeää, joten miksipä Google ei katsoisi jos joku tekee jotain epäilyttävää.
Käytän useita erilaisia bonuskortteja, Visa-kortteja ja jäsenkortteja. Kyseiset kortit varmasti keräävät tietoa ostoksistani ja ehdottavat niiden kautta erilaisia mainoksia. Luulisin, että minun tiedot löytyy monista eri paikoista, rekistereistä ja dokumenteista.
Itselläni ei ole myöskään mitään kriittistä piilotettavaa, mutta en kuitenkaan halua että minun omia tietojani käsitellään ja levitellään ympäriinsä. Totta puhuakseni minulla on piilotettavaa, koska haluan suojata oman yksityisyyteni, eikä siihen sisälly mitään "epäilyttävää". Onhan minulla kuitenkin omassa kämpissä ihan verhotkin. Kuka ei haluaisi suojata itseään naapureiden katseilta?

Dokumentti avasi hyvin kuinka yksityisyyttämme suojataan ja levitetään. Kamerat ovat hyvä lisä turvallisuudelle, mutta niiden avulla rikotaan paljon yksityisyyden suojaa. Erilaisia "turvallisia" tietokantoja on helppo hakkeroida ja viedä käyttämätöntä dataa omiin tarkoituksiin. Tietoa voidaan käyttää sinua vastaan, kuitenkaan tietämättä miten, milloin ja kuinka.

------------------------------------------------------------------------------------------------------------

Artikkeli aiheesta:
 http://suomenkuvalehti.fi/jutut/kotimaa/tietoturva-asiantuntija-verkossa-on-niukasti-yksityisyytta/

Suomen kuvalehdessä oli artikkeli tietoturva-asiantuntijan haastattelusta, jossa F-Secure-tietoturvayhtiön tutkimusjohtaja Mikko Hyppönen kommentoi, että verkossa on niukasti yksityisyyttä. Tiedustelupalvelu NSA:lla oli vuototietojen mukaan pääsy suurimpien nettiyhtiöiden, kuten Googlen, Applen ja Microsoftin palvelimille. Yhtiöt keräävät tietoja myös suomalaisista käyttäjistä. Hyppönen kertoo, että omasta yksityisyydestä on tingittävä, jos tuotteesta ei maksa rahaa. "Joko myyt yksityisyytesi mainostajille suoraan tai sitten epäsuorasti mahdollistat tietojesi päätymisen helposti vieraiden valtioiden tiedustelun käsiin."
Nettikäyttäjien yksityisyyden suoja vaikuttaa erittäin huonolta, koska suosituimmat palvelut ovat Yhdysvalloissa ja siellä lainsäädäntö takaa viranomaisille helpon pääsyn ulkomaisten ihmisten tietoihin. Myös Suomen turvallisuusviranomaiset tarkkailevat nettiliikennettä, poliisi kuuntelee puheluita ja seuraa verkkoliikennettä. Mutta ainoastaan vain yksittäisissä tapauksissa ja oikeuden päätöksellä. Tämä on eri asia, kuin Yhdysvaltain laaja ja kattava seuranta. Omaa käyttäytymistään tietoliikenteessä Hyppönen ei ole kuitenkaan tehnyt, koska jo aiemmin hän oli tiennyt meitä seurattavan.

keskiviikko 7. lokakuuta 2015

Usein kysyttyä- Esitelmät 3

30.9.2015

Käsittelimme tällä kertaa tietosuojavaltuutettu- sivuston usein kysyttyjä kysymyksiä.

Ensimmäisessä esityksessä käsiteltiin sitä, saako työnantaja laittaa työpaikalle näkyville listauksen, josta käy ilmi eniten työstä poissaolleiden henkilöiden nimet tai kuhunkin työntekijään kohdistettujen valitusten lukumäärät. Lyhyestä virsi kaunis, ei saa. Työnantajalla ei ole oikeutta osoittaa muille työntekijöille minkäänlaisia tietoja toisen työntekijän poissaoloista tai syistä miksi on poissa.
Toisessa esityksessä käsiteltiin saako työnantajasi paikantaa sinua salaa esimerkiksi sähköpostien kautta. Työnantajalla ei ole oikeus valvoa työntekijöitä kameroilla, ei paikantimilla ja työnantaja ei saa lukea työntekijän sähköposteja, puhelutietoja tai Internet selailua. Työnantajalla on ainoastaan silloin lupa tarkistaa työntekijän sähköposti, jos hän epäilee vääränlaista toimintaa.

Kolmannessa esityksessä kysyttiin, missä tilanteissa henkilötunnusta saa kysyä? Esimerkiksi vuokraus-lainatoiminnassa, varatessa hotellimajoituksia, vakuutukset, jälkikäteen laskuttaminen ja terveydenhuolto voivat vaatia henkilötunnuksen kysymistä.
Neljännessä esityksessä käsiteltiin kuinka asiakkaille, oppilaille, työntekijöille tai muille rekisteröidyille tulee kertoa heidän henkilötietojensa käsittelystä. Rekisterinpitäjän informointivelvollisuudesta säädetään henkilötietolaissa. On huolehdittava, että rekisteröity voi saada tiedon rekisterinpitäjästä ja tämän edustajasta, henkilötietojen käsittelyn tarkoituksesta ja mihin tietoja luovutetaan. Informoinnin toteutumistapa on rekisterinpitäjän harkinnassa. Jos toiminnassa käytetään lomakkeita tietojen keräämisessä, lomakkeella tulisi näkyä informoitavat tiedot. Informoinnissa voi käyttää apuna tietosuojaselostetta.
Viidennessä esityksessä käsiteltiin saanko tarkastaa henkilötietoni, entä miten voin vaatia virheellisten tietojeni korjaamista? Sinulla on pääsääntöisesti oikeus tarkastaa henkilörekisteriin talletetut tiedot sekä pyytää rekisterinpitäjää korjaamaan virheelliset tiedot.
Kuudennessa esityksessä kysyttiin: Saako rekisterinpitäjä laittaa ylläpitämäänsä henkilörekisteriin sisältyviä henkilötietoja kotisivuilleen ja saako työnantaja julkaista tietoja työntekijöistään ilman lupaa? Henkilötietojen laittaminen kotisivuille on sähköistä henkilötietojen luovuttamista. Ei voida olla varma mihin tietoihin käsiksi pääsevä käyttää niitä. Tietoja voi laittaa internettin ainoastaan työntekijän suostumuksella. Aina pitää miettiä onko tiedon laittaminen asiallisesti perusteltua ja tarpeellista toiminnan kannalta.

Seitsemännes esitys: Onko potilaalla oikeus saada henkilötietolain tarkastusoikeuden nojalla potilasasiakirjat
kirjallisena? Rekisterinpitäjän täytyy antaa potilaalle mahdollisuus tarkastaa hänen omat tietonsa, joko kirjallisesti tai varatulla ajalla. Työterveyshuolto saa luovuttaa työnantajalle vain sellaisia potilatietoja, joilla on merkitystä työntekijöiden terveyden ja työpaikan olosuhteiden tervellisyyden kehittämisen kannalta.
Kahdeksannessa esityksessä käsiteltiin rekisteriselostetta ja mitä tietoja siitä ilmenee ja missä siihen voi tutustua? Rekisteriseloste laaditaan kaikista henkilötietorekistereistä. Sieltä löytyy tieto henkilötietojen käsittelystä vastaavasta rekisterinpitäjästä. Rekisteristä ilmenee mitä tietoja siellä on, mihin niitä käytetään ja minne tietoja säännönmukaisesti luovutetaan sekä miten niitä suojataan.
Yhdeksännessä esityksessä kysyttiin miksi matkaviestinoperaattorit käsittelevät paikkatietoja ja mikä on paikannuspalvelu? Matkaviestinnän avulla käyttäjä on tavoitettavissa paikasta riippumatta. Paikannuspalvelu tarkoittaa matkaviestinverkon avulla saatavan paikkatiedon käsittelyä muuhun tarkoitukseen kuin viestinvälitykseen. Milloin minut sitten voi paikantaa? Paikkatiedon käsittely edellyttää paikannettavan suostumusta ja ainoastaan hätätapauksissa ei tarvita paikannettavan suostumusta. Palveluntarjoaja ei saa piiloutua eli nimi ja yhteistiedot pitää olla helposti saatavilla. Paikannettava ymmärtää, että paikannus sisältyy sopimukseen. Palvelukohtaisen suostumuksen antaa paikannettava. Liittymän tilaaja voi kieltää operaattoria käsittelemästä paikkatietoja.

Kymmenes esitys käsitteli perustietovarantoja ja mitä ne ovat. Perustietovarannot ovat tietoa ihmisistä, yrityksistä, säätiöistä, rakennuksista sekä kiinteistöistä. Niitä ohjataan lainsäädännöillä ja ne ovat keskeinen asia yhteiskunnan toimivuuden kannalta. Perustietovarantojaosto etsii kehittämiskohteita ja tunnistaa tietojen uusia käyttömahdollisuuksia ja siinä toimii monia eri organisaatioita, esimerkiksi verohallinto ja kansaneläkelaitos.
Yhdestoista esitys käsitteli puheluiden nauhoittamista. Omia puheluita saa nauhoittaa, joissa on itse osallisena. Jos tarkoituksena on kerätä henkilötietoja, on otettava huomioon henkilötietojen käsittelyä koskeva lainsäädäntö ja sille on oltava riittävät perusteet. Nauhoitus on mahdollista esimerkiksi kun osapuolten välillä on asiakassuhde. Julkiseen jakoon nauhoitettua puhelua ei saa laittaa. Nauhoituksia saa käsitellä vain henkilöt, joilla on siihen työtehtävien kannalta oikeus. Rekisterinpitäjän pitää määritellä kyseiset henkilöt suunnittelussa.
Kahdestoista esitys käsitteli pankkeja ja saako pankki ottaa kopion henkilöllisyystodistuksesta? Pankki saa ottaa kopion henkilöllisyystodistuksista, koska pankilla on velvollisuus tietää ja tuntea heidän asiakkaansa ja heillä on lupa kysyä henkilötodistusta. Niihin käyvät passi, henkilökortti, ajokortti, kuvallinen kelakortti, muukalaispassi, diplomaattipassi ja pakolaisen matkustusasiakirja. Ja pankilla on oikeus tietää, mikäli asiakas on poliittisesti vaikutusvaltainen.
Viimeisessä esityksessä käsiteltiin postilähetysten tietosuojaa ja mitä se tarkoittaa. Lain mukaan postissa mukana kulkevat henkilötiedot on suojattava niiden vahingossa tai muuten laittomasti tapahtuvalta luovuttamiselta. Jos joku muu kuin vastaanottaja pääsee käsiksi edes osaan kirjeen sisältämästä viestistä tai saa tietoonsa vastaanottajan henkilökohtaisia oloja tai ominaisuuksia, on tietosuojaa rikottu. Tietosuojauksesa vastaa rekisterinpitäjä. Lisäksi rekisterinpitäjän on huolehdittava siitä, että henkilötietoja sisältävät kirjeet tulevat varmasti suljetuiksi. Tietojenkäsittelyn kannalta on myös hyvä varmistaa, ettei kirjekuoreen merkattava lähettäjätieto vaaranna yksityisyyden suojaa.

Lähteet: http://www.tietosuoja.fi/fi/index/useinkysyttya.html


Artikkeli erään esityksen aiheesta: http://www.mtv.fi/uutiset/kotimaa/artikkeli/asiantuntija-vastaa-saako-tyontekijaa-kytata/1889990

VR on myöntänyt tutkineensa työntekijänsä toimia tämän tietämättä keväällä 2009 ja toimittanut selvityksensä poliisille. VR rautatieyhtiö ei ole julkisuuteen muuta tapauksesta kertonut. Lapin yliopiston työoikeuden professori Seppo Koskinen vastasi muutamaan kysymykseen aiheesta ja kertoi muun muassa, että työnantajalla on normaali valvontaoikeus, mutta valvonnan pitäisi liittyä työn tekemiseen. Valvonta on laitona, kun se menee työntekijän yksityiselämän valvomiseen. Hän kertoo tapauksista, joissa uskovainen työnantaja oli valvonut työntekijänsä vapaa-ajan toimintaa. Eräs työntekijä oli puolestaan kertonut, että hänen työnantajansa valvovan hänen työoikeuden opintojaan avoimessa yliopistossa.
Sähköposteja työnantaja ei voi lähteä yksin tarkastamaan, vaan lähtökohtana on tutkia, että työntekijän asiasta tietää. Kameravalvontaa on säädetty laissa niin, ettei sitä ole tarkoitettu yksilön valvontaan, vaan sen on oltava yleistä valvontaa, että yksilöt erottuvat mahd. vähän. Kohdennettu valvonta on sallittu poikkeustapauksissa, esimerkiksi jos kuvataan kassaa, niin että siinä näkyy työntekijäkin, mutta ideana on kassatyöntekijän turvallisuus.
Työnantajan ei tule nähdä mihin numeroihin työntekijä on soittanut, mutta kuitenkin tietää, onko työntekijä soittanut maksullisiin numeroihin tai ulkomaille.
Koskinen sanoo, että työntekijän kannalta raja ylittyy, jos työnantaja asettaa syöttejä ja katsoo tarttuuko työntekijä niihin. Lainsäädäntöä ei ole kuitenkaan olemassa esimerkiksi työntekijän seuraamisesta tai työnantajan hyväksyttävistä selvitystoimista, kun se epäilee työntekijää epärehellisyydestä.


keskiviikko 23. syyskuuta 2015

Etätehtävä

23.9.2015 Etätehtävä

Tekninen tietoturva: käytetään turvaamaan elektronisia laitteistoja ja ohjelmistoja, jotta niissä ei ole tietoturvallisia puutoksia. Tietoturvaa täytyy miettiä heti laitteistoja ja ohjelmistoja hankittaessa, joiden turvallisuutta lisätään salasanojen ja käyttäjätunnuksien avustuksella. Salasanat ja käyttäjätunnukset eivät ole kaikista varmimpia turvallisuustekijöitä, joten esimerkiksi palomuurit, sekä käsiteltävän tiedon kryptaaminen ovat hyviä vaihtoehtoja. Laajemmat tietoverkot jotka ovat yhteydessä lähiverkkoon, on syytä turvata mahdollisimman hyvin.

Fyysinen tietoturva on esimerkiksi suljetussa tilassa olevat tietokoneet ja laitteet. Suljetulla tilalla varmistetaan, ettei kukaan pääse käsiksi kovalevyihin, koneisiin tai muihin tallennusmedioihin.

Hallinnollisella tietoturvalla tarkoitetaan työntekijöiden ja organisaation jäsenten riittävää tietoturvaosaamista. Työyhteisössä kaikkien täytyy ymmärtää, että salasanoja pitää käsitellä erittäin huolellisesti. Salasanoja tai muita tunnuksia ei saa kirjoittaa lapulle, tai säilyttää asiattomien henkilöiden ulottuvilla. Huolellisen tietoturvan avulla halutaan pienentää ulkopuolisten mahdollisuutta läpäistä organisaatioiden tietoturvajärjestelmiä ja vähentää tietoturvavuotoja.


Henkilöstöturvallisuudella
 tarkoitetaan sitä, että turvataan työntekijöiden ja henkilöstön tallennetut tiedot organisaatiossa. Tietoturvan lisääminen ja siihen perehdyttäminen vähentää tietoturvallisia riskejä. Tavoitteena on, ettei työntekijä tietämättömyyden, huonon motivaation tai pahantahtoisuuden vuoksi pääse muuttamaan tai tuhoamaan tietoa, tai mahdollista jonkun ulkopuolisen käyttämään sitä. Henkilöstöturvallisuuden pääpainona on välttää riskit ennakkoon.

Järjestelmäturvallisuus jaotellaan neljään kategoriaan: laitteisto-, ohjelmisto-, tietoliikenne-, ja käyttötoimintojen turvallisuus.
 
Ohjelmistoturvallisuus, Tietokoneiden ja ohjelmien suojaaminen. Tavoitteena on varmistaa ohjelmien luvallisuus, estää laiton kopiointi ja käyttö, rekisteröidä ohjelmat ja hallita lisenssejä.

Tietoliikenneturvallisuus, Suojataan dataverkoissa liikkuvan tiedon eheys, luottamuksellisuus ja saatavuus. Dataverkoiksi lasketaan kaikki tiedonsiirtokanavat, joita yritys käyttää sähköisen informaation liikuttamiseen paikasta toiseen.

Käyttötoimintojen turvallisuus, 
Tietokoneiden ja verkon aktiivilaitteiden päivittäisen käytön turvaaminen, eli laitteiden ylläpito, huolto ja valvonta.

Laitteistoturvallisuus, Verkon aktiivilaitteiden ja tietokoneiden toiminnan varmistaminen ja varautuminen esimerkiksi sähkösyötön katkoksiin.


maanantai 21. syyskuuta 2015

Pilvipalveluiden käyttö

16.9.2015

Voiko pilvipalveluja käyttää?

Sain tehtäväksi selvittää, voiko pilvipalveluja käyttää. Aluksi voidaan avata itse kysymystä ja miettiä sitä vähän erilaisesta kulmasta: Miksei pilvipalveluja voisi käyttää?

Pilvipalvelut (cloud computing) ovat tietotekniikan resurssipalveluja, jotka toimivat verkkoyhteyden välityksellä. Resurssipalvelut tarjoavat tietojenkäsittely-, tallennus-, että tietoliikennepalveluita. Palvelussa usean käyttäjän kesken jaettuja tietoteknisiä resursseja tarjotaan tietoverkon yli. Pilvipalvelun voi käsittää laajana, esimerkiksi nykyiset Some-palvelut (Facebook, twitter yms.) voisivat hyvinkin kuulua pilvipalveluihin, koska niitä tarjotaan verkkoyhteyden ylitse.

Käsittelen itse tässä tekstissä vain ja ainoastaan tallentamiseen ja ohjelmien käyttöön tarkoitettuja pilvipalveluita. Nykyisin pilvipalveluja käytetään esimerkiksi sähköpostien kanssa ja muun muassa Microsoft Outlook tarjoaa tallennustilat ja ohjelmat selaimen kautta käyttöösi. (Wordin ja Powerpointin käyttö on mahdollista ja tiedostoja voi tallentaa Microsoft Onedriveen.) Yleisesti pilvipalvelut ovat ilmaisia kuluttajille (paitsi jos haluat laajentaa pilven kokoa, silloin palveluntarjoaja antaa sinulle mahdollisuuden maksaa uudesta tilasta), mutta yrityksien käyttämät pilvipalvelut maksavat. Yrityksien käyttämät pilvipalvelut eroavat jonkin verran kuluttajien käyttämistä palveluista.
Pilvipalvelut helpottavat tiedostojen tallentamista ja ne saadaan helposti käyttöön, eikä sinun tarvitse käyttää muistitikkua tai muita tallennusvälineitä. Tietysti aina on syytä varmuuskopioida kaikki tärkeät tiedostot fyysiselle kovalevylle, jos jostain syystä pilvipalvelu pettää ja menetät tiedostosi. Pilvipalveluita voi käyttää normaaliin tiedostojen tallentamiseen, mutta henkilötietojen kanssa pitää olla paljon tarkempi.

Onko henkilötietojen tallennus pilveen suotavaa?

Jos pilveen tallennetaan henkilötietoja, tulee huomioida henkilötietojen käsittelyyn liittyvät säännökset ja miettiä mihin kyseiset henkilötiedot menevät, kun niitä tallennetaan pilveen. Pilvi ei koskaan ole turvallisin vaihtoehto, koska pilvipalveluihin on pääsy helppoa niin kotikoneelta, kuin työpaikalta. Varmuutta pilvipalveluiden turvallisuudesta ei koskaan ole ja sen takia pilveen tallennetut henkilötiedot voivat olla vaarassa joutua vääriin käsiin. Yleisesti pilvipalveluiden tarjoajat ovat panostaneet turvallisuuteen ja esimerkiksi yrityksien voivat valita mihin maahan heidän tallentamansa tiedot ja data menevät. Muun muassa Microsoftin tarjoamat pilvipalvelut tallentavat tietosi joko Amsterdamiin tai Dubliniin.
Pilvipalvelun käytön näkökulmasta henkilötietojen käsittely on ulkoistamista ja esimerkiksi alihankkijoiden avulla rekisterinpitäjä voi käyttää suorittamaansa toimenpiteitä, joita hän on itse oikeutettu käyttämään. Ulkoistamisella voi laajentaa rekisterinpitäjän oikeuksia tai sivuuttaa asetettuja velvoiteita. Rekisterinpitäjän tulee sopimusteitse määritellä ulkoiselta palveluntarjoajalta hankittavat toimenpiteet ja valvottava sopimuksen noudattamista.

Pilvipalvelujen haasteet liittyvät usein säännöksiin henkilötietojen siirrosta Euroopan talousalueen ulkopuolelle sekä henkilötietojen käsittelyn tietoturvallisuudesta huolehtimiseen. Esim. Euroopan komission ja Yhdysvaltojen välisen Safe Harbor- järjestelyyn ilmoittautuneen yhdysvaltalaisen yrityksen välillä. Rekisterinpitäjällä on aina vastuu henkilötietojen suojaamisesta, joka kattaa myös alihankintana hankitut toimet. Rekisterinpitäjän tulee ennen tietojenkäsittelyn ulkoistamista varmistua siitä, että käytättävä palvelu on tietoturvallinen. Tämä edellyttää ulkoistamiseen liittyvien riskien arvioimista. Kysymys on aina tapauskohtaisesta harkinnasta, kun arvioidaan onko pilvipalvelun käyttäminen suotavaa vai ei.

Artikkeli: Pilveen vai ei? Selvitä ennen kuin siirrät!

Luin tietosuoja-verkkolehdestä Antti J. Laguksen kirjoittaman tekstin siitä, mitä rekisterinpitäjä voi tallentaa pilveen. Kaikki tieto ei tietysti sovi pilveen ja rekisterinpitäjän täytyy olla tietoinen henkilötietoja käsittelevistä lainpykälistä. Asiakkaiden on syytä tietää mihin heidän tietonsa tallennetaan. Artikkelissa Lagus lainaa Hannu Järvisen lauseita ja Järvisen esimerkissä on, että normaali lehtikauppiaan luoma asiakasrekisteri ei ole suuri ongelma tietojen tallentamisen kanssa, mutta korkean teknologian yritystä hän kehottaisi miettimään tarkkaan ja harkitusti, haluaako se siirtää liikesalaisuuksiaan ja muita tärkeitä tietoja pilveen.
Kaikki tiedot on syytä jakaakin kolmeen erilaiseen kategoriaan: yksityiseen, julkiseen pilveen ja hybridiin. Hybridimallissa osa pilvipalveluista pidetään omilla palvelimilla ja osa ostetan julkisesta pilvestä. Suojaustasojen kanssa on syytä olla todella tarkkana, jotta tärkeät tiedot eivät vahingossakaan lipsahda vääriin käsiin.
Rekisterinpitäjä on aina vastuussa henkilötietojen suojaamisesta. Perusasiana on varmistaa, että tietojen suojaus on kunnossa. Pilvipalveluissa ongelmallista on se, että rekisterinpitäjän on vaikeaa, jopa mahdotonta saada selville, missä maassa- ja minkä lainsäädännön nojalla- tietoja käsitellään. Viime kädessä suurin kysymys onkin siitä, kuinka luotettavana palveluntarjoajaa voi pitää. Laguksen mukaan asian voi varmistaa auditoinneilla (määrämuotoinen ja objektiivinen arviointi sen havaitsemiseksi, onko auditoinnin kohteelle asetetut vaatimukset täytetty), joista vastuu on taas rekisterinpitäjällä. Rekisterinpitäjä voi tosin keventää omaa taakkaansa jossain määrin sopimuksilla alihankkijan kanssa, mutta lopullista vastuutaan hän ei voi kiertää.
Euroopan unionin tai talousalueen ulkopuolella henkilötietoja saa siirtää ja käsitellä vain, jos käsittelymaassa taataan tietosuojan riittävä taso.

Artikkelissa tuli hyvin esille se, että henkilötietojen tallentaminen pilveen on aina turvallisuusriski ja rekisterinpitäjän on syytä olla varovainen siirtäessään tietoja verkkoon. Pilvipalvelujen omistajasta ei välttämättä ole varmaa tietoa, jonka nojalla tiedot voivat joutua vääriin käsiin.
Itse artikkelin ja tietojen perusteella mitä löysin, voi vastauksena kysymykseen sanoa: pilvipalveluita voi käyttää, mutta henkilötietojen tallentaminen pilveen on aina suuri riski. Tiedostojen, kuvien ja videoiden tallentaminen pilveen on aina hyvä varmuuskopio, mutta 100 % varmuutta ei ole pilvipalvelujen toimivuudesta ja siitä, voivatko tiedostot kadota bittiavaruuteen ikuisiksi ajoiksi.


Artikkelin osoite:
https://www.tietosuoja-lehti.fi/index.php?mid=2&pid=32&aid=3361

Lähteet: http://www.tietosuoja.fi/fi/index/useinkysyttya.html
http://www.tietosuoja.fi/fi/index/useinkysyttya/pilvipalvelut.html
http://www.sulava.com/2012/04/pilvipalvelut-kymmenen-kysymysta-joita-et-ole-koskaan-kehdannut-kysya/


perjantai 18. syyskuuta 2015

Tietosuojavaltuutettu - Esitelmät 2

16.9.2015

Tällä kertaa kävimme läpi viimeiset esitelmät luokan kesken. Ensimmäinen ryhmä esitti biometrisen tunnistamisen, joka tarkoittaa ihmisen tunnistamista käyttämällä ihmisruumiin eri piirteitä. Biometriseen tunnistukseen kuuluvat niin: kasvot, ääni, sormenjäljet, silmän iiris, kämmenen muoto ja perinteinen allekirjoitus. Biometrisiä tunnisteita käytetään esimerkiksi passeissa, joissa on passin omistajan kuva ja sormenjälkitunniste.
Etuja biometrisen tunnistamisen kanssa on tunnistuksen nopeus ja tunnistamisen laadun parantuminen.Tunnistukseen tarvittavia piirteitä ei voi unohtaa kotiin ja huijaaminen on hankalampaa. Kuitenkin biometrisellä tunnistamisella on ongelmia siinä missä muissakin tunnistuksissa. Biometrisiä piirteitä voi vaihtaa, mutta niitä voidaan kerätä ja käyttää henkilön tietämättä. Siksi biometrisiä tunnisteita ei pidä käyttää verkkopankeissa, verkkokaupoissa ja kaikissa, mihin pystyy kirjautumaan olematta läsnä henkilökohtaisesti. Lisäturvaa tuovat perinteiset salasanat paikoissa, joissa turvallisuusriski on suuri. Itse biometriset tunnnistuksien tietojen kerääminen on sidottu lakiin tai jos erityislainsäädännön puuttuessa voi biometrisen tunnistuksen ottaa käyttöön vain käyttäjien suostumuksella.
Itse en niinkään pelkää mitään suurempia aukkoja biometrisen tunnistamisen kanssa. Tietysti aina on mahdollista, että joku ulkopuolinen taho saa käsiinsä juuri sinun tunnistamiseen tarkoitetut tiedot ja käyttää niitä hyväkseen. Itse kun en ole päässyt paljoa käyttämään kyseisiä tunnistuksia, kuin vain oman naaman näyttämiseni jossain palveluissa. Biometrisiä tunnistuksia ajateltiin tuotavan myös kaupan kassoille, jossa jokainen asiakas tunnistautuu omien kasvojensa avulla ja maksaa ostokset sen avulla. En ole varma mihin asti tämä idea on lähtenyt kehittymään, mutta itselleni ajatus kuulosti vähän oudolta. Tietysti se varmasti toimisi hyvin ja nopeuttaisi ostoksien tekemistä, mutta ainakin itse haluaisin käyttää mielellään maksukorttia, ihan varmistaakseni että varmasti maksan sen mitä haluan. Maailmassa on kuitenkin samanlaisia kasvojen piirteitä omaavia ihmisiä ja ihan kaksostenkin kanssa kyseinen tekniikka voi olla vaikea käyttää. Silmät ovat onneksi ihmisessä luultavasti paras tunnistettava piirre.

Eräs ryhmä käsitteli Wlania, eli radioaalloilla toimivaa langatonta verkkoa, jonka kantama voi olla jopa 100 metriä, riippuen mahdollisista esteistä. Wlan-verkko on helppo käyttöinen, koska sen saa yhdistettyä suoraan tietokoneeseen ja kännykkään ilman ylimääräisiä johtoja. Oman kotiWlanin suojaaminen on kuitenkin erityisen tärkeää, koska suojaamattomaan wlan-verkkoon on kenellä tahansa pääsy ja jokainen epäilyttävä toiminta kohdistuu aina wlanin omistajaa kohtaan, vaikkei hän olisi tehnyt mitään. Wlan yhteyksiä voi karsia pois MAC ja IP rajoituksilla, mutta käytännössä Wlanin turvaamiselle on vain yksi keino, salaus. Paras mahdollinen salasana on +8 merkkiä, koska esimerkiksi naapuri ei pysty helposti keksimään salasanaa. Salasanojen kanssa on syytä olla varovainen ja esimerkiksi omien eläinten, lapsien tai läheisten nimiä on syytä välttää salasanojen käytössä, koska joku saattaa keksiä salasanan alta aikayksikön. Salasanoissa on aina syytä käyttää erikoismerkkejä ja numeroita, jotka vaikeuttavat salasanan murtamista. Yleisesti wlan-yhteyden kanssa pitää olla varovainen, ettei kukaan ulkopuolinen pääse sitä käyttämään. Vanha salaustekniikka WEP ei ole tarpeeksi vahva suojaamaan verkkoa ja sen takia muita kuten SSID (langattoman lähiverkon tunniste), WPA2 (tuorein wlanin suojausmekanismi) ja MAC (verkkokortin oma yksilöllinen postiosoite) ovat paljon turvallisempia vaihtoehtoja.

Viimeisenä eräs ryhmä esitti tietojen poistaminen internetin hakukoneista ja milloin on mahdollinen tarve poistaa omia tietoja. Internetin hakukoneet keräävät meistä koko ajan tietoa, mitä sivuja käytämme, minkälaisia tuotteita ostamme jne. Internetin hakukoneista ei voi periaatteessa omaa historiaansa poistaa, mutta esimerkiksi Google-käyttäjistä on mahdollista poistaa hakuhistoriat. Hakuhistorian poistaminen ei kuitenkaan poista joitain henkilökohtaisia tietojamme. Jos löydät internetistä omia henkilökohtaisia tietoja, joilla voi olla sinulle taloudellista haittaa tai kyseessä on identiteetin varkaus (sosiaalitunnukset, allekirjoitukset, seksuaalisesti häiritsevt kuvat ja videot, muut yksityiset asiat) on sinulla oikeus saada tietosi poistettavaksi internetistä. Hyvä tapa on esimerkiksi saada tieto pois ilmoittamalla kyseisen sivun ylläpitäjille, että haluaa tietojen poistettavan. Jos tietoja ei poisteta, voi asian viedä oikeudellisiin toimiin. Mutta esimerkiksi Google on tiedottanut, että he eivät poista puhelinnumeroita, syntymäaikaa, osoitteita jne. Google kuitenkin kertoo, että kaikki tapaukset ovat tapauskohtaisia ja kaikki käsitellään erikseen.
Yleisesti Internetissä ei kannata liian herkästi levittää omia tietoja, jopa Facebookissa olisi hyvä rajoittaa henkilökohtaisten tietojen jakamista. Itse en esimerkiksi mieluusti laita puhelinnumeroani mihinkään, mutta voin kuvitella että eiköhän minunkin puh.numero jostain netin syövereistä löydy.

maanantai 14. syyskuuta 2015

Tietosuojavaltuutettu- Esitelmät

10.9.2015

Viimeisimmässä merkinnässä kirjoitin blogeista ja yleisesti bloggaamisesta. Esitimme yhdessä parini kanssa omat mielipiteemme blogeista koko luokalle ja meille annettiin tehtäväksi kirjoittaa blogimerkintä toisten esitelmistä.

Monien esityksissä olivat henkilötiedot paljon esillä, kuten henkilötunnukset, henkilörekisterit, hakukoneet, yksityisyyden suoja jne. Itselleni jäi parhaiten mieleen kahden luokkalaiseni pitämä esitys valvontakameroista ja niiden kautta käsiteltävistä henkilötiedoista. Valvontakameroiden käytöstä täytyy selvästi tiedottaa ja kameravalvonta on kiellettyä henkilöstö- ja sosiaalitiloissa, pukeutumistiloissa, wc-tiloissa tai muissa vastaavissa tiloissa tai työntekijän käyttöön osoitetuissa tiloissa. Työpaikoilla kameravalvonta ei saa olla työntekijöiden työtä tarkkailevaa, vaan työnantajan täytyy määrittää kameravalvonta työntekijöiden ja henkilökunnan henkilökohtaisen turvaamisen takaamiseksi, omaisuuden suojaamiseksi, tuotantoprosessin asianmukaisen toiminnan valvomiseksi ja vaarallisten tilanteiden ennaltaehkäisemiseksi ja selvittämiseksi. Kameravalvontaa saa käyttää omaan yksityiseen käyttöön, ilman että salakuvataan naapureita ja toisia ihmisiä. Kameravalvonnassa täytyy olla tarkana muun muassa autossa olevien kameroiden osalta. Periaatteessa autosta kuvaaminen on julkista, mutta Internettiin ei saa laittaa videoita, joissa näkyy selvästi toinen ihminen ja hänen kuljettamansa auton rekisterinumero.
Valvontakamerat jäivät myös sen takia mieleen, koska olen kiinnostunut valokuvaamisesta ja media-assistentti opinnoissa kävimme läpi missä saa kuvata ja mitä/ketä ei saa kuvata. Valokuvaaminen julkisilla paikoilla on sallittua omaan yksityiseen käyttöön, mutta silloinkin täytyy miettiä onko suotavaa kuvata kaikkea mahdollista ja onko edes suotavaa ottaa kuvia toisista ihmisistä omaan käyttöön. Tietysti kuvia ei saa julkaista ilman kenenkään lupaa, mutta julkiset paikat ovat vaikeasti arvioitavia. Toimittajan työssä minun piti kysyä aina kuvatuilta lupaa julkaista valokuva lehdessä, koska monet tuhannet näkevät kuvan. Erityisesti tarkka piti olla, kun kuvasi pieniä lapsia.

Toiseksi mieleen jäi esitys hakupalveluista ja kuinka hakukoneet toimivat, etsien meistä, muista, yrityksistä, yhteisöistä, internetsivustoista ja muusta tietoa, ehdottamalla juuri niitä parhaita vaihtoehtoja meidän käyttöömme. Esimerkiksi Google tietää paljon sinun tekemistä hakusanoista. Google ehdottaa jo aiemmin hakemiasi asioita ja osaa juuri niiden hakemiesi asioiden avulla ehdottaa sinulle mainoksia, palveluita ja sivustoja. Google voi tietää harrastuksistasi, sähköposteistasi, henkilökohtaisista tiedoista ja yleisesti mielenkiinnon kohteistasi. Hakukoneet keräävät massiivisia määriä tietoja meistä käyttäjistä ja kirjoittamistamme sanoista. Tarpeettoman puuttumisen sinun yksityisyyteen voit estää ottamalla selvää miten hakukoneet toimivat ja miten ne keräävät ja käsittelevät tietoja. On tarpeen myös käyttää eri palveluita, eikä ainoastaan Googlen palveluja. Google on yhdistänyt monien palveluiden käytöt (esimerkiksi Blogger on Googlen käytön ja käyttäjätunnuksien alaisena) ja Google osaa yhdistää monet tiedot sinusta käyttämiesi palveluiden perusteella. Jos epäilet tietojasi käytettävän vääriin tarkoituksiin, voit ottaa yhteyttä kyseiseen tahoon tai tietosuojaviranomaisiin. On kuitenkin valitettavaa, että jos käytät internettiä niin myös omat tietosi ovat levinneet helposti ympäri hakupalveluita ja sivustoja.

Kiinnostavia asioita olivat myös henkilörekisteriin tallennetut tiedot meistä ja miten pystymme itse muuttamaan niitä. Henkilösrekisterit voivat olla esimerkiksi työantajan rekisteri työsuhteiden hoitamista varten, sekä yrityksen asiakasrekisteri. Henkilötietolaki kieltää tallentamasta rekistereihin arkaluontoisia tietoja, joita ovat muun muassa etninen alkuperä, uskonnollinen tai poliittinen vakaumus, henkilön terveydentila ja seksuaalinen suuntautuminen. Arkaluontoisia tietoja voi käsitellä, jos henkilö on antanut luvan tallentaa rekisteriin kyseisiä tietoja tai jos oikeudesta arkaluontoisten tietojen käsittelyyn on laissa nimenomaisesti säädetty.

Seuraavalla tunnilla käymme läpi viimeiset esitelmät.

Lähteet: http://www.tietosuoja.fi/fi/index/materiaalia/oppaat.html