Organisaation kyberturvallisuus - ryhmätehtävä

14.10.2015

Salla I, Jyri H, Hanna J, Jonna H

Teimme ryhmätehtävänä ohjeita viestinnän suojaamiseen- tehtävän. Tutustuimme sisältöön ja kirjoitimme blogimerkinnän organisaation tietoturvan näkökulmasta: mitä pitäisi huomioida?

Palveluiden turvallinen käyttö

Organisaation tietoturvan näkökulmasta erilaisten palveluiden ja laitteiden turvallinen käyttö on erittäin tärkeää. Jokaisella Suomen kansalaisella on oikeus luottamukselliseen sähköiseen viestintään ja sen takia jokaisen Internetiä käyttävän kannattaa miettiä, mitä viestintäpalveluja käyttää ja minkälaisia suojaustoimia niissä käytetään. Sähköisen viestinnän luottamuksellisuus tarkoittaa sitä, ettei kukaan saa ilman laissa säädettyä oikeutta tai viestinnän osapuolen suostumusta käsitellä toisen henkilön viestejä tai viestintään liittyviä tunnistamistietoja.

Viestintäpalvelujen kuten esimerkiksi sähköpostipalvelujen tarjoajien on huolehdittava palvelujensa tietoturvasta ja luottamuksellisuudesta. Ja muun muassa suomalaisten teleyritysten tarjoamien viestintäpalvelujen täytyy taata luottamuksellisuus Suomessa.

Luottamuksellisen viestinnän suoja on perusoikeus, jonka loukkaaminen on rangaistava teko. Ilman lupaa kukaan ei saa käsitellä toisen viestejä tai viestintään liittyviä tunnistamistietoja ja esimerkiksi organisaatiossa ei kukaan saa koskea tai tutkia työntekijöiden henkilökohtaisia viestejä tai tunnistamistietoja. Työntekijällä on myös vastuu yrityksen sisäisten viestien salassapidosta, mutta omia tunnistamistietoja saa käsitellä haluamallaan tavalla. Julkiseen viestintään liittyvät tunnistamistiedot ovat myös luottamuksellisia ja esimerkiksi teleyritykset ja yhteisötilaajat saavat käsitellä tunnistamistietoja ainoastaan laissa säädettyihin tarkoituksiin.

Organisaatiossa sähköpostipalveluiden käyttö täytyy olla turvallista ja sen takia henkilökunnalle annetaan ohjeistuksia kuinka käyttää sähköpostia turvallisesti. Yleensä organisaatioissa sähköpostipalvelut ovat hyvin turvattuja. Luottamukselliset sähköpostiviestit on syytä salata erillisillä salausmenetelmillä. Myös digitaalinen allekirjoitus varmistaa viestin muuttumattomuuden sekä viestin allekirjoittajan henkilöllisyyden.

Kolme turvallisuussääntöä: Selitä- Arvioi - Suojaa

- Suomen viestintäpalveluja koskeva lainsäädäntö suojaa ainoastaan suomalaisissa viestintäpalveluissa ja tietoverkoissa välitettävien viestien luottamuksellisuuden.

– Selvitä mitä palveluja käytät ja mihin antamiasi tietoja käytetään.

– Arvioi mitkä viestisi vaativat suojaa ja suojaa ne tarvittaessa.

– Muista suojata mahdollinen langaton verkkosi.

Laitteiden turvallinen käyttö

Tietokoneiden lisäksi organisaation täytyy pitää huolta internettiin liitettävien laitteiden tietoturvasta. Tärkeintä on tarkastaa laitteen asetuksen käyttöönoton yhteydessä. Monissa laitteissa on nykyisin verkkoliitäntä, jonka kautta voi käyttää verkon viihdepalveluja tai päivittää laitteen ohjelmistot. Suojaamattomassa verkossa salaamaton viestintä on helposti muiden käyttäjien katseltavissa ja kuunneltavissa. Suojaamatonta verkkoa voivat sivulliset käyttää luvatta. Tietoturvallisesti järkevää onkin tarkistaa sellaiset laitteet, joita käytetään internet-yhteyden muodostamiseen ja jotka ovat kiinni suoraan internetissä.

Organisaation on syytä panostaa tietokoneiden suojaukseen. Suojauksen kannalta tärkeää on pitää siihen asennetut ohjelmistot ajan tasalla. Helpoiten se onnistuu käyttämällä automaattisia päivitystoimintoja. Tavallisimmin haittaohjelma tarttuukin tietokoneeseen päivittämättömän selainlaajennuksen kautta. Virustorjunta ja palomuuri olisi hyvä pitää toiminnassa, jottei organisaation tietokoneisiin pääse pöpöjä leviämään.

Langattoman lähiverkon tietoturvan kannalta olennaisinta on määritellä wlan-verkkoon tunnistautuminen. Ilman käyttäjien tunnistautumista kuka tahansa pääsee langattoman tukiaseman kuuluvuusalueella liittymään langattomaan lähiverkkoon. On myös tärkeää salata wlan-verkon kautta välitetty liikenne.

Laitteiden oletussalasanat on syytä vaihtaa ja laitteiden pääsy hallintakäyttöliittymään internetistä on syytä estää. Salasanan turvallisuuteen vaikuttaa eniten käytetyn salasanan pituus. Hyvässä salasanassa yhdistyy sekä pituus että monimutkaisuus. 

Teleyritysten oikeudet ja velvollisuudet

Teleyrityksillä ja lisäarvopalvelujen tarjoajilla on velvollisuus huolehtia verkko- ja viestintäpalvelujensa tietoturvasta. Velvollisuuksien suorittamiseksi tehtävät toimenpiteet suhteutetaan uhkien vakavuuteen, teknisen kehityksen tasoon sekä kustannuksiin sopiviksi. Viestintävirastolla on oikeus antaa teleyritykselle tarkempia määräyksiä verkko- ja viestintäpalvelun ja tietojen säilyttämisen tietoturvasta. Velvollisuuksiin kuuluu muun muassa verkko- ja viestintäpalvelujen toiminnan tietoturvallisuudesta, tietoliikenneturvallisuudesta, laitteisto- ja ohjelmistoturvallisuudesta ja tietoaineistoturvallisuudesta huolehtiminen.

Teleyrityksellä on oikeus tietoturvaloukkausten torjumiseksi ja tietoturvan varmistamiseksi muun muassa estää viestien välittäminen ja vastaanottaminen, poistaa tietoturvaa vaarantavat haittaohjelmat viesteistä ja toteuttaa muita vastaavia teknisluonteisia toimenpiteitä viestintäverkossaan. Oikeus näihin toimenpiteisiin on vain, jos ne ovat välttämättömiä verkko- tai viestintäpalvelun tai viestin vastaanottajan viestintämahdollisuuksien turvaamiseksi. Sananvapautta tai yksityisyyden suojaa ei saa kuitenkaan rajoittaa enempää kuin välttämätöntä.

Teleyrityksen täytyy ilmoittaa viipymättä Viestintävirastolle ja asiakkaille, jos palveluun kohdistuu tai sitä uhkaa merkittävä tietoturvaloukkaus tai muu tapahtuma. Häiriön tai uhan arvioitu kesto ja vaikutukset ja niistä aiheutuvat korjaustoimenpiteet ja seuraavien häiriöiden estämiseksi tehtävät toimenpiteet pitää ilmoittaa viestintäviranomaiselle.

Viestinnän tunnistamistiedolla tarkoitetaan tietoa, jonka perusteella verkko- ja viestintäpalvelun käyttäjään voidaan yhdistää tietoa tai käyttäjä voidaan tunnistaa, tunnistamistietoja ovat mm tiedot puhelun soittajasta ja vastaanottajasta, sähköposti- tai tekstiviestin lähettäjä ja vastaanottaja yms. Teleyrityksellä on oikeus käsitellä näitä tietoja verkko- ja viestintäpalvelun käyttämiseksi, laskuttamiseksi, tietoturvan varmistamiseksi, teknisen vian havaitsemiseksi, kehittämistä varten ja väärinkäyttötilanteissa, jolloin lisäarvopalvelun maksullista palvelua käytetään maksutta.

Yhteisötilaajan oikeudet ja velvollisuudet 
 

Yhteisöpalveluiksi kutsutaan esim. yritysten tai oppilaitosten tarjoamia sähköposti- ja tietoliikenneyhteyspalveluita työntekijöidensä tai oppilaittensa käyttöön. Yhteisötilaajilla on velvollisuus huolehtia käyttäjiensä tunnistamistietojen käsittelyn tietoturvasta. Heillä on myös oikeus käsitellä tunnistamistietoja muissa laissa yksilöidyissä tilanteissa. 

Yhteisötilaajan oikeudet ja velvollisuudet vastaavat pääosin samoja asioita kuin teleyritysten oikeudet ja velvollisuudet. 

Tunnistaumiskeinot

Organisaation tietoturvan näkökannalta tunnistautumiskeinojen täytyy olla varmoja. Organisaatio voi käyttää esimerkiksi sähköisiä tunnistautumisia ja allekirjoituksia. Vahva sähköinen tunnistautuminen, sähköinen allekirjoitus ja varmenne auttavat henkilöllisyyden todentamisessa ja tunnistamisessa sekä tietojen salauksessa sähköisissä tietoverkoissa. Vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista säädetään laissa.

Vahvalla sähköisellä tunnistamisella tarkoitetaan henkilöllisyyden todentamista sähköisesti. Vahvan sähköisen tunnistamisen avulla kuluttajat voivat turvallisesti vahvistaa henkilöllisyytensä erilaisissa sähköisissä palveluissa. Esimerkiksi pankkien käyttämät verkkopankkitunnukset, väestörekisterikeskuksen kansalaisvarmenne ja mobiilivarmenteet käyttävät vahvaa sähköistä tunnistautumista.
Sähköistä allekirjoitusta käytetään allekirjoittajan henkilöllisyyden todentamiseen. Yksinkertaisimmillaan se voi olla esim. sähköpostien allekirjoittaminen henkilön nimellä. Kehittyneemmässä sähköisessä allekirjoituksessa allekirjoittaja voidaan yksilöidä ja allekirjoitus liittää muuhun sähköiseen tietoon, esim. sähköpostiviestiin.

Varmenne on luotettavan organisaation sähköisesti allekirjoittama todistus, joka todentaa varmenteen omistajan henkilöllisyyden. Niitä tarvitaan tietoverkkojen kautta tapahtuvassa tunnistamisessa, salauksessa ja sähköisen allekirjoituksen tekemisessä. Varmenne sisältää julkisen avaimen, jolla varmenteen omistajan voi tunnistaa. Julkisen avaimen lisäksi varmenne sisältää muita tietoja, kuten henkilön tai organisaation nimen, varmenteen myöntämispäivän, viimeisen voimassaolopäivän tai yksilöllisen sarjanumeron.

Vahvaa sähköistä tunnistamista tarjoavien palveluntarjoajien ja laatuvarmenteita tarjoavien varmentajien on tehtävä Viestintävirastolle ilmoitus ennen toiminnan aloittamista. Viestinnänvirasto ylläpitää julkista rekisteriä tunnistuspalvelun tarjoajista sekä laatuvarmenteita tarjoavista varmentajista. Vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista annetun lain tavoitteena on luoda yhteiset pelisäännöt vahvan sähköisen tunnistamisen palvelujen tarjontaan, edistää tunnistuspalveluiden tarjontaa ja sähköisten allekirjoitusten käyttöä.
 

Tietoturvallisuuden arviointilaitokset ja arviointimenettely

Viestintävirasto ohjaa ja valvoo tietoturvallisuuden arviointilaitoksia, jotka tarjoavat viranomaisille ja yrityksille luotettavaa ja puolueetonta tietoturvallisuuden arviointipalvelua. Arviointilaitokset ovat apuna yritysturvallisuuden edistämisessä. Arviointilaitoksen suorittaman arvion mukaan organisaatiot ja yritykset voivat todistaa, että heidän toimintansa täyttää tietoturvallisuusvaatimukset. Arviointilaitoksen suorittamassa tietoturvatarkastuksessa selvitetään onko toiminnassa toteutettu tietoturvallisuutta koskevat vaatimukset ja tarkastetaan arvioitavan kohteen toimitilat. Arviointi perustuu arvioinnin kohteen toimeksiantoon, jossa määritellään käytettävä tietoturvallisuuden arviointikriteeristö ja tavoitettava tietoturvataso.

Hyökkäysohjelmistot

Organisaation tietoturvaa ajatellen on tietokoneiden ohjelmistot ja päivitykset syytä pitää ajan tasalla. Hyökkäysohjelmistoista Angler Exploit Kit tartuttaa monia Windows-tietokoneita. Selainliitännäisistä Flash kannattaa pitää ajan tasalla, sillä päivittämättömän version käyttäjät joka päivä haittaohjelmia koneelleen. Nettisivuilla näytettävistä mainoksista voi levitä haittaohjelmia ilman, että sivustoa olisi välttämättä murrettu. Kohdistetuista hyökkäyksistä joita kohdistetaan erilaisiin organisaatioihin, käytetään termiä APT. Kohdistettuaan hyökkäyksen hyökkääjällä on kohdeorganisaatioista yleensä sellaisia tietoja, joita hyväksi käyttäen se voi mahdollistaa pääsyn organisaation järjestelmiin. Tällaisia keinoja on esimerkiksi sähköpostiin lähetetty dokumentti, joka ei herätä vastapuolessa epäilyksiä, mutta joka on todellisuudessa saastutettu. Hyökkääjä voi myös houkutella organisaation käyttäjiä vierailemaan haitallisella verkkosivulla, joka jakaa haittaohjelman vain tietystä organisaatiosta saapuvalle käyttäjälle. Hyökkäävällä taholla on yleensä tarkoituksena onkia organisaation kriittistä tietoa ja saada sitä haltuunsa. Tieto pyritään niellä organisaatiosta huomaamattomasti ja operaation onnistuttua jäljet pyritään poistamaan, jotta hyökkäyksen alkuperän selvittäminen vaikeutuisi.

Ohjelmat kannattaa pitää ajan tasalla, sillä päivitykset korjaavat kriittisiä haavoittuvuuksia – ne voivat esimerkiksi johtaa salaisen tiedon vuotamiseen väärin käsiin sekä hyökkääjän koodin suorittamiseen kohdejärjestelmässä. Esimerkkejä päivittämisen arvoisista ohjelmista on esim. Adobe Acrobat ja Reader.

Etätehtävä - Dokumentti yksityisyydestä

7.10.2015

Tutustuimme Peter Vlemmix- Panopticon privacy- dokumenttiin sinun yksityisyydestäsi. Samalla meidän piti miettiä, mitä tietoja meistä jää tietoverkkoihin, kun liikumme siellä.

Dokumentissa mietittiin mitä kaikkea tietoa meistä löytyy internetissä. Monet kertoivat, ettei heillä ole mitään salattavaa esimerkiksi heidän maansa hallitukselta, eivätkä he ole huolissaan mitä tietoja heistä käsitellään. Dokumentin tekijä Peter Vlemmix aikoi ottaa selvää mitä tietoa valtio meistä tietää, miten meitä seurataan ja pitäisikö meidän olla huolissamme siitä.

Heti alussa minua alkoi hämmästyttää laite, jota käytettiin viinakaupassa. Ihmettelin, että minkä ihmeen takia tuollaista laitetta tarvitaan hyväksymään kaupassa asioivan henkilön ikä ja avaamalla kassan. Kyseinen laite ottaa asiakkaasta kuvan, mutta poistaa sen myöhemmin. Laitetta ei siis pysty esimerkiksi käyttämään rikoksen selvittelyissä, koska ihmisen yksityisyyttä suojataan poistamalla kuvat. Helpotus. En haluaisi, että minusta säilytettäisiin tietoja jossain koneella ja katsottaisiin kuinka monta kaljaa olen ostanut. Ei sillä, että kyseinen asia minua haittaisi, mutta jollain tapaa vieroksun kovasti kyseisen laitteen käyttöä. Nopeuttaa, helpottaa ja tekee kaupassa käynnistä turvallista, mutta onko se välttämätöntä? Kyseisen laitteen keksijä kertoikin, että jos jokainen persoonallinen informaatio talletettaisiin, tulisi siitä pikkuhiljaa suurikin pommi kyseistä firmaa kohtaan. Jos joku pääsisi kyseisiin tietoihin käsiksi, olisi yritys hädässä.
Seuraavaksi kynnyksenä oli raitiovaunussa käytettävä kasvojen tunnistusmekanismi. Turvallisuutta kyllä, mutta kuten itse Peter kysyi: "Eikö ole outoa, että ihmisten kasvoja tallennetaan ilman heidän tietämystään?" Vanhana tapana kaikki asiakkaat voisi tarkistaa vain pyytämällä heidän lippuaan esille, kuten Peter ehdottaa. Jostain syystä tällaiset järjestelyt tuntuvat itselleni oudoilta, koska en ole tuollaiseen tottunut ja vastaan ei ole tällaisia tilanteita tullut. Kamerat luovat turvallisuutta yleisillä paikoilla ja ovat varmasti hyvä lisä käytettäväksi junissa, raitiovaunuissa, linja-autoissa yms. mutta jokin tällaisessa käytännössä itseäni oudoksuttaa.
Meistä kaikista kerätään tietoa, mitä teemme onlinessa, kenelle soitamme ja mitä olemme tehneet. Kyseisiä tietoja pidetään tallessa 6 kuukautta, jotta niitä voidaan käyttää, jos rikos tapahtuu. Hollannissa kameroiden käyttö ja niiden seuraaminen tuntuu olevan joka päiväistä, normaalia toimintaa. Kameroilla seurataan ihan moottoritiellä tapahtuvaa liikennettä, tunnistetaan rekisterinumerosta auton omistaja ja tietoa voidaan käyttää rikosten tutkimiseen. Tämä auttaa todella paljon rikosten selvittämisessä, mutta entä jos sinä et tee rikosta? Sinusta silti tallennetaan tietoa, missä olet kulkenut ja mihin mennyt. Meidän käyttäytymistämme säädellään kameroilla ja kuinka meistä kerätään tietoa. Tuntuu kuin olisimme vankilassa.

Meistä oleva tieto on nykyään helppo tallentaa. Data ei maksa paljoa mitään, sen tallentaminen, lähettäminen ja säilyttäminen on halpaa. Sen takia monet yritykset pitävät datan tallessa, koska heillä ei ole ongelmia sen säilytystilan kanssa. Mitä tapahtuu, kun tätä käyttämätöntä dataa ruvetaankin käyttämään? Mihin meidän tietojamme voisi käyttää, kuinka yritykset estävät tämän tapahtuvasta ja osaavat korjata vahingot? Tuntuu, että meidän tietomme ja identiteettimme on pelkkä paperilappu, jota voi heitellä, repiä, tahria ja lähettää niin monelle muulle kuin sielu sietää. Jopa sähköposti-palveluiden tarjoajat seuraavat ja lukevat meidän sähköpostimme, jonka avulla meille ehdotetaan erilaisia mainoksia. Aika pelottavaa, vai mitä?
Jo yhden suuren yhtiön tai yrityksen tekemä virhe voi paljastaa monien miljoonien ihmisten herkätkin tiedot hakkereille ja rikollisjärjestöille, jotka hyötyvät jotain kautta meidän tiedoistamme. Yhtäkkiä yhden yhtiön tekemä virhe tekee Microsoft Updatesta vaarallisen, joka aiheutti suuren kritiikin. Ja en ihmettele, jos yhtiön tehtävänä on lisätä turvallisuutta ja tarjota sitä asiakkailleen, miksi heidän turvallisuutensa petti ja miksi asia jätettiin salaisuudeksi?

Valvontakameroiden lisäämään turvallisuutta on vaikea arvioida. Aina voidaan lisätä enemmän kameroita, mutta kuinka paljon ne auttavat ja kuinka hyvin meidän yksityisyytemme pysyy? Dokumentissa esille tulee se, että kameroiden toimivuudesta ei ole varmaa tietoa ja silti, lisäämme niitä. Turvallisuuden tunne luodaan sillä, että meitä seurataan. Hollannissa tilastot kuitenkin kertovat, että vuosien aikana rikollisuus on vähentynyt. Kamerat ovat siis tehneet tehtävänsä? Ei, väkivalta on todellisuudessa pysynyt samana, mutta meille luodaan kuva turvallisuudesta. Pelkäämme, mutta saamme turvallisuutta antamalla oman yksityisyytemme pois.
Systeemiä on kuitenkin jopa liiankin helppoa huijata. Brenno de Winter, tutkiva journalisti kutsuttiin poliisiasemalle. Kyseessä ei ollut pieni ongelma, vaan jopa 6 vuotta vankeutta. Brenno tutki Hollantilaista OV-chiipkaartia, eli OV-korttia, jota käytetään joukkoliikenteessä. Hän löysi, että kyseiselle kortille voi ladata itse biljoona dollaria. Hän matkusti kolme viikkoa käyttäen itse ladattua korttia, eikä hän jäänyt kiinni. Lopulta kortin käyttöä alettiin epäillä ja viisi poliisia tutki Brennon tapausta viiden kuukauden ajan. Brennoa ei kuitenkaan pidätetty, koska hänellä oli tarpeeksi paljon informaatiota ja tietoa kyseisestä kortista ja sen kompastuskivistä.
Dokumentissa tulee hyvin esille myös se, että yhtiöt keräävät meidän Internet-selailustamme tietoa. Luulisin, että suurin osa tietää Googlen tallentavan meistä tietoa. Google tarjoaa mainoksia tehtyjen hakusanojen perusteella. Google myy meidän tietoamme, Android- ja IOS-puhelimien sovellukset seuraavat meitä, tarjoavat mainoksia jne. Tämä ei yhtään yllätä ainakaan itseäni, koska yhtiöiden ja yrityksien pitää tehdä jotenkin rahaa. Mainostulot ovat suurin tekijä heidän tuloistaan.

Lopussa dokumenttia puhuttiin piratismista ja laittomasta lataamisesta. ACTA (Anti-Counterfeiting Trade agreement) oli eräs ehdotettu kansainvälinen, väärentämisvastainen kauppasopimus immateriaalioikeuksien standardisoinniksi osallistuvien maiden välille. Kyseisen sopimuksen tarkoituksena oli ehkäistä väärennettyjen tuotteiden sekä tekijänoikeuksia loukkaavan materiaalin levitystä sopimusmaissa. Sisällöllisesti sopimus on laaja ja kattaa keinoja muun muassa väärennettyjä tuotteita, geneerisiä lääkkeitä sekä Internet-piratismia vastaan. (Lähde)
ACTA olisi ollut todella suuri riski yksityisyyden suojaamiselle. Ajatuksena ACTA oli hyvä ja ehkä toimivakin, mutta se ei olisi kattanut 100 % yksityisyyttä ja ihmisoikeutta.
Piratismia vastaan käydään jatkuvaa taistelua ja erilaisia sivustoja on laitettu alas. Esimerkiksi Megaupload lakkautettiin vuonna 2012 ja PirateBay on Suomessa Elisa internetoperaattorin eston alaisena vuodesta 2012 lähtien.

Mitä tietoja minusta jää tietoverkkoihin? Käytän Googlen palveluista yleisesti hakukonetta, sähköpostia, Youtubea, Bloggeria jne. Google kerää varmasti minun tekemiäni hakutietoja, katselee sähköpostejani ja miksei vaikka lukisi näitä blogimerkintöjä? Ei sillä, että se haittaisi, mutta jotenkin oman yksityisyyden kadottaminen tuntuu tympeältä. En pysty paljoa sitä säätelemään ja toisaalta ymmärrän sen. Rikollisuuden vähentäminen ja kyseisten rikollisten seuraaminen on tärkeää, joten miksipä Google ei katsoisi jos joku tekee jotain epäilyttävää.
Käytän useita erilaisia bonuskortteja, Visa-kortteja ja jäsenkortteja. Kyseiset kortit varmasti keräävät tietoa ostoksistani ja ehdottavat niiden kautta erilaisia mainoksia. Luulisin, että minun tiedot löytyy monista eri paikoista, rekistereistä ja dokumenteista.
Itselläni ei ole myöskään mitään kriittistä piilotettavaa, mutta en kuitenkaan halua että minun omia tietojani käsitellään ja levitellään ympäriinsä. Totta puhuakseni minulla on piilotettavaa, koska haluan suojata oman yksityisyyteni, eikä siihen sisälly mitään "epäilyttävää". Onhan minulla kuitenkin omassa kämpissä ihan verhotkin. Kuka ei haluaisi suojata itseään naapureiden katseilta?

Dokumentti avasi hyvin kuinka yksityisyyttämme suojataan ja levitetään. Kamerat ovat hyvä lisä turvallisuudelle, mutta niiden avulla rikotaan paljon yksityisyyden suojaa. Erilaisia "turvallisia" tietokantoja on helppo hakkeroida ja viedä käyttämätöntä dataa omiin tarkoituksiin. Tietoa voidaan käyttää sinua vastaan, kuitenkaan tietämättä miten, milloin ja kuinka.

------------------------------------------------------------------------------------------------------------

Artikkeli aiheesta: http://suomenkuvalehti.fi/jutut/kotimaa/tietoturva-asiantuntija-verkossa-on-niukasti-yksityisyytta/

Suomen kuvalehdessä oli artikkeli tietoturva-asiantuntijan haastattelusta, jossa F-Secure-tietoturvayhtiön tutkimusjohtaja Mikko Hyppönen kommentoi, että verkossa on niukasti yksityisyyttä. Tiedustelupalvelu NSA:lla oli vuototietojen mukaan pääsy suurimpien nettiyhtiöiden, kuten Googlen, Applen ja Microsoftin palvelimille. Yhtiöt keräävät tietoja myös suomalaisista käyttäjistä. Hyppönen kertoo, että omasta yksityisyydestä on tingittävä, jos tuotteesta ei maksa rahaa. "Joko myyt yksityisyytesi mainostajille suoraan tai sitten epäsuorasti mahdollistat tietojesi päätymisen helposti vieraiden valtioiden tiedustelun käsiin."
Nettikäyttäjien yksityisyyden suoja vaikuttaa erittäin huonolta, koska suosituimmat palvelut ovat Yhdysvalloissa ja siellä lainsäädäntö takaa viranomaisille helpon pääsyn ulkomaisten ihmisten tietoihin. Myös Suomen turvallisuusviranomaiset tarkkailevat nettiliikennettä, poliisi kuuntelee puheluita ja seuraa verkkoliikennettä. Mutta ainoastaan vain yksittäisissä tapauksissa ja oikeuden päätöksellä. Tämä on eri asia, kuin Yhdysvaltain laaja ja kattava seuranta. Omaa käyttäytymistään tietoliikenteessä Hyppönen ei ole kuitenkaan tehnyt, koska jo aiemmin hän oli tiennyt meitä seurattavan.

Usein kysyttyä- Esitelmät 3

30.9.2015

Käsittelimme tällä kertaa tietosuojavaltuutettu- sivuston usein kysyttyjä kysymyksiä.

Ensimmäisessä esityksessä käsiteltiin sitä, saako työnantaja laittaa työpaikalle näkyville listauksen, josta käy ilmi eniten työstä poissaolleiden henkilöiden nimet tai kuhunkin työntekijään kohdistettujen valitusten lukumäärät. Lyhyestä virsi kaunis, ei saa. Työnantajalla ei ole oikeutta osoittaa muille työntekijöille minkäänlaisia tietoja toisen työntekijän poissaoloista tai syistä miksi on poissa.
Toisessa esityksessä käsiteltiin saako työnantajasi paikantaa sinua salaa esimerkiksi sähköpostien kautta. Työnantajalla ei ole oikeus valvoa työntekijöitä kameroilla, ei paikantimilla ja työnantaja ei saa lukea työntekijän sähköposteja, puhelutietoja tai Internet selailua. Työnantajalla on ainoastaan silloin lupa tarkistaa työntekijän sähköposti, jos hän epäilee vääränlaista toimintaa.

Kolmannessa esityksessä kysyttiin, missä tilanteissa henkilötunnusta saa kysyä? Esimerkiksi vuokraus-lainatoiminnassa, varatessa hotellimajoituksia, vakuutukset, jälkikäteen laskuttaminen ja terveydenhuolto voivat vaatia henkilötunnuksen kysymistä.
Neljännessä esityksessä käsiteltiin kuinka asiakkaille, oppilaille, työntekijöille tai muille rekisteröidyille tulee kertoa heidän henkilötietojensa käsittelystä. Rekisterinpitäjän informointivelvollisuudesta säädetään henkilötietolaissa. On huolehdittava, että rekisteröity voi saada tiedon rekisterinpitäjästä ja tämän edustajasta, henkilötietojen käsittelyn tarkoituksesta ja mihin tietoja luovutetaan. Informoinnin toteutumistapa on rekisterinpitäjän harkinnassa. Jos toiminnassa käytetään lomakkeita tietojen keräämisessä, lomakkeella tulisi näkyä informoitavat tiedot. Informoinnissa voi käyttää apuna tietosuojaselostetta.
Viidennessä esityksessä käsiteltiin saanko tarkastaa henkilötietoni, entä miten voin vaatia virheellisten tietojeni korjaamista? Sinulla on pääsääntöisesti oikeus tarkastaa henkilörekisteriin talletetut tiedot sekä pyytää rekisterinpitäjää korjaamaan virheelliset tiedot.
Kuudennessa esityksessä kysyttiin: Saako rekisterinpitäjä laittaa ylläpitämäänsä henkilörekisteriin sisältyviä henkilötietoja kotisivuilleen ja saako työnantaja julkaista tietoja työntekijöistään ilman lupaa? Henkilötietojen laittaminen kotisivuille on sähköistä henkilötietojen luovuttamista. Ei voida olla varma mihin tietoihin käsiksi pääsevä käyttää niitä. Tietoja voi laittaa internettin ainoastaan työntekijän suostumuksella. Aina pitää miettiä onko tiedon laittaminen asiallisesti perusteltua ja tarpeellista toiminnan kannalta.

Seitsemännes esitys: Onko potilaalla oikeus saada henkilötietolain tarkastusoikeuden nojalla potilasasiakirjat
kirjallisena? Rekisterinpitäjän täytyy antaa potilaalle mahdollisuus tarkastaa hänen omat tietonsa, joko kirjallisesti tai varatulla ajalla. Työterveyshuolto saa luovuttaa työnantajalle vain sellaisia potilatietoja, joilla on merkitystä työntekijöiden terveyden ja työpaikan olosuhteiden tervellisyyden kehittämisen kannalta.
Kahdeksannessa esityksessä käsiteltiin rekisteriselostetta ja mitä tietoja siitä ilmenee ja missä siihen voi tutustua? Rekisteriseloste laaditaan kaikista henkilötietorekistereistä. Sieltä löytyy tieto henkilötietojen käsittelystä vastaavasta rekisterinpitäjästä. Rekisteristä ilmenee mitä tietoja siellä on, mihin niitä käytetään ja minne tietoja säännönmukaisesti luovutetaan sekä miten niitä suojataan.
Yhdeksännessä esityksessä kysyttiin miksi matkaviestinoperaattorit käsittelevät paikkatietoja ja mikä on paikannuspalvelu? Matkaviestinnän avulla käyttäjä on tavoitettavissa paikasta riippumatta. Paikannuspalvelu tarkoittaa matkaviestinverkon avulla saatavan paikkatiedon käsittelyä muuhun tarkoitukseen kuin viestinvälitykseen. Milloin minut sitten voi paikantaa? Paikkatiedon käsittely edellyttää paikannettavan suostumusta ja ainoastaan hätätapauksissa ei tarvita paikannettavan suostumusta. Palveluntarjoaja ei saa piiloutua eli nimi ja yhteistiedot pitää olla helposti saatavilla. Paikannettava ymmärtää, että paikannus sisältyy sopimukseen. Palvelukohtaisen suostumuksen antaa paikannettava. Liittymän tilaaja voi kieltää operaattoria käsittelemästä paikkatietoja.

Kymmenes esitys käsitteli perustietovarantoja ja mitä ne ovat. Perustietovarannot ovat tietoa ihmisistä, yrityksistä, säätiöistä, rakennuksista sekä kiinteistöistä. Niitä ohjataan lainsäädännöillä ja ne ovat keskeinen asia yhteiskunnan toimivuuden kannalta. Perustietovarantojaosto etsii kehittämiskohteita ja tunnistaa tietojen uusia käyttömahdollisuuksia ja siinä toimii monia eri organisaatioita, esimerkiksi verohallinto ja kansaneläkelaitos.
Yhdestoista esitys käsitteli puheluiden nauhoittamista. Omia puheluita saa nauhoittaa, joissa on itse osallisena. Jos tarkoituksena on kerätä henkilötietoja, on otettava huomioon henkilötietojen käsittelyä koskeva lainsäädäntö ja sille on oltava riittävät perusteet. Nauhoitus on mahdollista esimerkiksi kun osapuolten välillä on asiakassuhde. Julkiseen jakoon nauhoitettua puhelua ei saa laittaa. Nauhoituksia saa käsitellä vain henkilöt, joilla on siihen työtehtävien kannalta oikeus. Rekisterinpitäjän pitää määritellä kyseiset henkilöt suunnittelussa.
Kahdestoista esitys käsitteli pankkeja ja saako pankki ottaa kopion henkilöllisyystodistuksesta? Pankki saa ottaa kopion henkilöllisyystodistuksista, koska pankilla on velvollisuus tietää ja tuntea heidän asiakkaansa ja heillä on lupa kysyä henkilötodistusta. Niihin käyvät passi, henkilökortti, ajokortti, kuvallinen kelakortti, muukalaispassi, diplomaattipassi ja pakolaisen matkustusasiakirja. Ja pankilla on oikeus tietää, mikäli asiakas on poliittisesti vaikutusvaltainen.
Viimeisessä esityksessä käsiteltiin postilähetysten tietosuojaa ja mitä se tarkoittaa. Lain mukaan postissa mukana kulkevat henkilötiedot on suojattava niiden vahingossa tai muuten laittomasti tapahtuvalta luovuttamiselta. Jos joku muu kuin vastaanottaja pääsee käsiksi edes osaan kirjeen sisältämästä viestistä tai saa tietoonsa vastaanottajan henkilökohtaisia oloja tai ominaisuuksia, on tietosuojaa rikottu. Tietosuojauksesa vastaa rekisterinpitäjä. Lisäksi rekisterinpitäjän on huolehdittava siitä, että henkilötietoja sisältävät kirjeet tulevat varmasti suljetuiksi. Tietojenkäsittelyn kannalta on myös hyvä varmistaa, ettei kirjekuoreen merkattava lähettäjätieto vaaranna yksityisyyden suojaa.

Lähteet: http://www.tietosuoja.fi/fi/index/useinkysyttya.html


Artikkeli erään esityksen aiheesta: http://www.mtv.fi/uutiset/kotimaa/artikkeli/asiantuntija-vastaa-saako-tyontekijaa-kytata/1889990

VR on myöntänyt tutkineensa työntekijänsä toimia tämän tietämättä keväällä 2009 ja toimittanut selvityksensä poliisille. VR rautatieyhtiö ei ole julkisuuteen muuta tapauksesta kertonut. Lapin yliopiston työoikeuden professori Seppo Koskinen vastasi muutamaan kysymykseen aiheesta ja kertoi muun muassa, että työnantajalla on normaali valvontaoikeus, mutta valvonnan pitäisi liittyä työn tekemiseen. Valvonta on laitona, kun se menee työntekijän yksityiselämän valvomiseen. Hän kertoo tapauksista, joissa uskovainen työnantaja oli valvonut työntekijänsä vapaa-ajan toimintaa. Eräs työntekijä oli puolestaan kertonut, että hänen työnantajansa valvovan hänen työoikeuden opintojaan avoimessa yliopistossa.
Sähköposteja työnantaja ei voi lähteä yksin tarkastamaan, vaan lähtökohtana on tutkia, että työntekijän asiasta tietää. Kameravalvontaa on säädetty laissa niin, ettei sitä ole tarkoitettu yksilön valvontaan, vaan sen on oltava yleistä valvontaa, että yksilöt erottuvat mahd. vähän. Kohdennettu valvonta on sallittu poikkeustapauksissa, esimerkiksi jos kuvataan kassaa, niin että siinä näkyy työntekijäkin, mutta ideana on kassatyöntekijän turvallisuus.
Työnantajan ei tule nähdä mihin numeroihin työntekijä on soittanut, mutta kuitenkin tietää, onko työntekijä soittanut maksullisiin numeroihin tai ulkomaille.
Koskinen sanoo, että työntekijän kannalta raja ylittyy, jos työnantaja asettaa syöttejä ja katsoo tarttuuko työntekijä niihin. Lainsäädäntöä ei ole kuitenkaan olemassa esimerkiksi työntekijän seuraamisesta tai työnantajan hyväksyttävistä selvitystoimista, kun se epäilee työntekijää epärehellisyydestä.