3 Mitä tietoturvallisuus ja kyberturvallisuus on

Transkriptio

1 9 3 Mitä tietoturvallisuus ja kyberturvallisuus on Kyberturvallisuus on nykypäivänä läsnä ihmisten arjessa ja sen merkitys kasvaa jatkuvasti. Yksi merkittävä tekijä tässä kohdalla on esineiden internet (Internet of Things, IoT) aikakauden kasvu ja tekniikan kehitys. Kymmenen vuotta sitten vain harvalla oli internetyhteys käytössä jatkuvasti, kun nykypäivänä se on melkein jokaisella ja useimmat kantavat sitä myös mukanaan. Tietoturvallisuus on laaja käsite. Tietoturvallisuudella tarkoitetaan tiedon luottamuksellisuuden, eheyden ja saatavuuden takaamista. Luottamuksellisuudella tarkoitetaan sitä, että esimerkiksi jos tieto on luokiteltua tai muuten salassa pidettävää, sen voivat saada käyttöönsä vain sellaiset tahot, jolla on tiedonsaanti- ja käyttöoikeus siihen. Tietojärjestelmissä luottamuksellisuus toteutetaan normaalisti käyttöoikeuksien hallinnalla, käyttäjälle annetaan sekä vapaa-ajalla käytettäviin, että työtehtävissä käytössä oleviin järjestelmiin sellaiset oikeudet, jotka ovat tarpeen tehtävien hoitamisen kannalta. Tiedon eheydellä tarkoitetaan, että tieto ei saa muuttua hallitsemattomasti. Työtehtävissä tämä tarkoittaa, että tietoa saavat muuttaa vain sellaiset käyttäjät, joilla on siihen tarvittava käyttöoikeus, ja vain sallituilla keinoilla. Kyberturvallisuuden näkökulmasta esimerkiksi henkilö- ja väestötiedot, kansalaisten terveydenhoitoon liittyvät tiedot, julkishallinnon johtamisessa tarvittavat järjestelmät, pankkijärjestelmät, verotus, maanomistus- ja kiinteistötiedot sekä vakuutustiedot ovat sellaisia järjestelmiä ja tietoja, jotka eivät saa muuttua hallitsemattomasti ja joiden pitää kaikissa olosuhteissa olla palautettavissa. Tiedon saatavuudella tarkoitetaan, että tietojen pitää olla saatavilla niitä tarvitseville käyttäjille palvelussa. Rousku, 2014 Kyberturvallisuus keskittyy vahvasti ICT-järjestelmien turvaamiseen niiden toimintaa uhkaavia riskejä vastaan. Pääpaino on niissä ympäristöissä, jotka ovat yhteyksissä tietoverkkoihin ja ennen kaikkea internetverkkoon. Useimmat toteutuneet kyberturvallisuuden pettämiseen liittyvät uutiset koskevatkin internetverkon kautta tehtyjä kyberhyökkäyksiä. Hyökkäysten avulla on heikennetty tietoturvallisuutta (esim. päästy muuttamaan tietojen sisältöä), yksityisyyden suojaa (vuodettu henkilötietoja) sekä heikennetty toimintojen käytettävyyttä (tehty palvelunestohyökkäys ja estetty palveluiden toiminta). Rousku, 2014

2 10 Hyvään kyberturvallisuuteen ja tietoturvaan voidaan pyrkiä tiedostamalla yrityksen tai organisaation digitaalinen maailma ja havainnoimalla siihen liittyvät riskit. Tämän tiedon perusteella on mahdollista ennakoida ja ennen kaikkea estää tulevia tietoon ja digitaaliseen omaisuuteen kohdistuvia uhkia. Kuvio 1. The relationship between information and communication security, information security, and cyber security (von Solms & van Niekerk 2013). Tietoturvallisuuden (Information security), ICT:n (Information and communication technology security) ja kyberturvallisuuden (Cyber security) suhdetta toisiinsa voidaan esittää myös kuvion 1 pohjalta, jonka ovat laatineet von Solms & Van Niekerk (2013). Tietoturvallisuudella voidaan ajatella datainformaatiota ja kyberturvallisuudella niiden yhteyttä verkkoon. ICT voidaan sijoittaa näiden väliin esimerkiksi fyysisenä laitteena kuten tietokone. Esimerkiksi Datainformaatio Tietokone Internet.

3 15 5 Tutkimus: Vastaajien opetusnäkökulma Opetusnäkökulman kysymyksissä selvitettiin, miten opettaja huomioi tietoturvaan liittyviä asioita opetuksessa. Myös medialukutaidon osaamisen merkitys on hyvin tärkeässä roolissa ja halusimme selvittää, koulutetaanko näitä asioita. Taulukko 7. Oletko tutustunut työnantajan sosiaalisen median ohjeistukseen? Vastaus Lukumäärä Prosentti 1. Kyllä ,76 % 2. En ,24 % Yhteensä % 20 % 40 % 60 % 80 % 100 % Kysyttäessä työnantajan sosiaalisen median ohjeistukseen tutustumista (taulukko 7), kyllä vastanneiden melko suuri osuus selittyy ehkä sillä, että vastaajat ovat hyödyntäneet kysymyksen yhteydessä ollutta linkkiä ja tutustuneet sosiaalisen median ohjeeseen ennen kyselyyn vastaamisen jatkamista. Kysely on siis onnistunut motivoimaan vastaajia kyseessä olevaan aiheeseen. Taulukko 8. Käytkö opetuksessa läpi medialukutaitoa? (kyky lukea ja ymmärtää mediaa sekä arvioida tiedon luotettavuutta) Vastaus Lukumäärä Prosentti 1. Kyllä ,12 % 2. En ,88 % Yhteensä % 20 % 40 % 60 % 80 % 100 % Yli puolet vastaajista ilmoittaa käsittelevänsä medialukutaitoa opetuksessaan (taulukko 8). Heistä 81 % toimii opettajana ammatillisissa aineissa. Kieltävästi vastanneista merkittävä osa (68 %) on yli 50 vuotiaita sekä yli 16 vuotta palvelleita (47 %).

4 % % 61% 70% 65% 50% 52% 50% 46% 39% 30% 54% 35% 20 0 Kyllä Nuoriso, Tekniikka ja liikenne (N=77) Nuoriso, Hyvinvointi ja kulttuuri (N=46) Aikuis, Hyvinvointi ja liiketoiminta (N=41) En Nuoriso, Kauppa ja palvelut (N=38) Aikuis, Tekniikka ja liikenne (N=32) Aikuis, Avoin aikuisopisto (N=20) Kuvio 2. Käytkö opetuksessa läpi medialukutaitoa? Vastaukset jaoteltuina yksikön mukaan. Kuviossa 2 on esitettynä yksikkökohtaiset vertailut. Näitä tehdessä ei tullut esiin merkittäviä eroavaisuuksia eri yksiköiden kesken. Jokaisessa yksikössä medialukutaitoa käydään läpi. Sisältö on voitu sijoittaa esimerkiksi peruskurssille, jolloin syventävissä ammattiopinnoissa medialukutaitoa ei enää käydä läpi, vaan oletetaan opiskelijan osaavan sen jo aiempien kurssien perusteella. Taulukko 9. Medialukutaitoa käsitellään eniten seuraavien tutkintojen parissa Ammattiopisto Aikuisopisto Sosiaali- ja terveysalan perustutkinto (15,38 %) Sähkö- ja automaatiotekniikan perustutkinto (12,09 %) Liiketalouden perustutkinto (9,89 %) Sosiaali- ja terveysalan perustutkinto (22,92 %) Rakennusalan perustutkinto (14,58 %) Liiketalouden perustutkinto (12,5 %) Taulukossa 9 on esitettynä tutkinnot, joissa käydään vastausten perusteella eniten läpi medialukutaitoa. Sosiaali- ja terveysalan koulutukseen kuuluu useita laki- ja säädöspykäliä (esimerkiksi sosiaalihuoltolaki), joten se saattaa selittää kärkiaseman. Taulukko 10. Medialukutaitoa käsitellään vähiten seuraavien tutkintojen parissa Ammattiopisto Aikuisopisto Hotelli-, ravintola- ja catering-alan perustutkinto (11,94 %) Sosiaali- ja terveysalan perustutkinto (13,64 %) Metsäalan perustutkinto (11,94 %) Johtamisen erikoisammattitutkinto Rakennusalan perustutkinto (8,96 (13,64 %) %) Liiketalouden perustutkinto (11,36 Autoalan perustutkinto (8,96 %) %)

5 17 Taulukossa 10 esitetään vuorostaan tutkinnot, joissa käydään vähiten läpi medialukutaitoa. Tulokset ovat osittain harhaanjohtavia, sillä tutkinnoissa on eri määrä opettajia ja näin ollen luvut eivät ole täysin vertailukelpoisia keskenään. Tuloksissa on nähtävissä myös samoja tutkintoja molemmissa taulukoissa, tämä selittyy sillä, että kyseisten tutkintojen parissa työskentelee paljon opettajia, joista osa on vastannut kyllä ja osa ei. Harhaanjohtavat linkit ja mainokset Identiteettivarkaudet, miten toimia tässä tilanteessa Tietojen kalastelu verkossa Palveluiden epäselvät ja/tai muuttuvat sopimusehdot Käyttäjätunnukset ja salasanat Viruksilta ja haittaohjelmilta suojautuminen Tietojen varmistaminen ja palautus Pilvipalveluiden tietoturva Avoimet WLAN tietoverkot ja turvallisuus Sähköiset palvelut ja lainsäädäntö Mobiilipalvelut, esim. mobiilimaksaminen ja - sovellukset Paikkatietoon perustuvat palvelut Sosiaalinen media Tietosuoja ja yksityisyys % Kyllä Ei En tiedä mitä tämä tarkoittaa Kuvio 3. Käytkö opetuksessa läpi seuraavia asioita tietoturvan näkökulmasta? N=249 Selvitimme myös, miten tietoturvan eri osa-alueita (kuvio 3) käydään läpi opetuksessa. Osa-alueet poimittiin tämän hetkisten tietoturvallisuuden näkökulmasta, jotka koskettavat jokaista työelämässä kuin vapaa-ajallakin. Kyllä ja ei vastausten kesken tuli hajontaa melko paljon, mutta positiivisena havaintona voidaan kuitenkin ottaa hyvin

6 18 vähäinen vastausprosentti kohtaan en tiedä mitä tämä tarkoittaa. Vastausten perusteella opettajat tuntevat tietoturvan eri osa-alueita, mutta opetukseen niitä ei viedä. Taustalla on todennäköisesti opetussuunnitelmat, joiden pohjalta opetusta viedään eteenpäin. Valtakunnan opetussuunnitelmissa vain muutamassa tutkinnossa (esimerkiksi ICT-asentaja, Tieto- ja viestintätekniikan perustutkinto, datanomi) on tietoturva omana osa-alueenaan. Yleensä jokaisessa tutkinnossa on tietotekniikan perusteet, mutta yllä mainitut osa-alueet eivät ole erikseen mainittuina opetussuunnitelmissa. Tietotekniikka on kuitenkin melko laaja osa-alue ja opetuksessa on aikaa käytössä rajallisesti. Taulukko 11. Opetuksessa eniten ja vähiten käydyt tietoturvan osa-alueet Viisi eniten opetuksessa läpikäytyä Käyttäjätunnukset ja salasanat (178) Tietosuoja ja yksityisyys (142) Sosiaalinen media (140) Harhaanjohtavat linkit ja mainokset (127) Tietojen kalastelu verkossa (97) Viisi vähiten opetuksessa läpikäytyä Mobiilipalvelut, esim. mobiilimaksaminen ja -sovellukset (198) Identiteettivarkaudet, miten toimia tässä tilanteessa (190) Pilvipalveluiden tietoturva (184) Paikkatietoon perustuvat palvelut (183) Avoimet WLAN tietoverkot ja turvallisuus (181) Taulukkoon 11 on poimittuina viisi eniten ja vähiten läpikäytyä tietoturvan osa-aluetta opetuksessa. Yllä olevan taulukon perusteella on useita eri osa-alueita, jotka jäävät heikolle osaamistasolle. Kun mietitään mahdollisia syitä tähän, niin todennäköisin vaihtoehto on vanhentuneet valtakunnalliset opetussuunnitelmat tietoturvallisuuden näkökulmasta. Toinen syy voi olla myös opetushenkilöstön tietämättömyys kuviossa 3. esitettyihin tietoturvallisuusriskeihin. Opettajat tiedostavat, että asia on tärkeä mutta eivät tunne osa-alueen riskejä/sisältöjä niin tarkasti. Tämän perusteella henkilöstöä tulisi kouluttaa varsinkin niiden osa-alueiden osalta joihin on vastattu kieltävästi tai valittu kohta en tiedä mitä tämä tarkoittaa.

7 19 5% 1% 13% 28% Erittäin tärkeä Tärkeä En osaa sanoa Vähän merkitystä Merkityksetön 54% Kuvio 4. Kuinka tärkeänä osa-alueena näet tietoturvan opetuksessa? N=250 Kysyttäessä opettajilta kuinka tärkeänä osa-alueena näkee tietoturvan opetuksessa (kuvio 4), niin peräti 82 % (203) oli sitä mieltä, että tämä on erittäin tärkeä tai tärkeä. Opettajat kokevat tämän osa-alueen kokonaisuudessaan tärkeäksi.

8 20 6 Tutkimus: Vastaajien kokemuksia tietoturvasta Kokemuksia tietoturvasta kysymyksissä selvitettiin, onko vastaaja saanut ohjeita internetin turvalliseen käyttöön ja millä tavoin vastaaja pyrkii parantamaan omaa tietoturvallisuuttaan. Tulevaisuutta ajatellen halusimme vastaajilta kuulla myös, mitkä asiat huolestuttavat tietoturvan näkökulmasta katsottuna. Vapaa-ajalla 3% 16% 16% 22% 43% Työpaikalla 0% 7% 17% 20% 56% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Erittäin paljon Paljon Melko paljon Vähän En lainkaan Kuvio 5. Oletko saanut ohjeita ja/tai koulutusta internetin turvalliseen käyttöön? (www-sivut, sähköposti, pilvipalvelut yms.) N=233 Vajaa viidennes vastaajista ilmoittaa, ettei ole saanut ohjeita tai koulutusta internetin turvalliseen käyttöön työpaikalla tai vapaa-ajalla (kuvio 5). Noin viidennes ilmoittaa saaneensa opastusta melko paljon sekä työssä, että vapaa-ajalla. Eniten vastauksia on saanut vähän vastausvaihtoehto, jonka on valinnut vapaa-ajalla 43 % ja työpaikalla 56 % vastaajista. Huomioitavaa on myös se, että kukaan ei ilmoita saaneensa erittäin paljon opastusta työpaikallaan. Todennäköisin syy tähän on se, että työnantaja ei ole järjestänyt henkilöstölle koulutusta aiheeseen. Taulukko 12. Kuinka monta eri käyttäjätunnusta ja salasanaa omistat? Vastaus Lukumäärä Prosentti tunnusta ja salasanaa ,73 % tunnusta ja salasanaa 89 35,04 % tunnusta ja salasanaa 27 10,63 % tunnusta ja salasanaa 8 3,15 % 5. Yli 20 tunnusta ja salasanaa 24 9,45 % Yhteensä %

9 21 Vastaajista lähes puolet (41,73 %) ilmoittaa omistavansa 1-5 tunnusta ja salasanaa (taulukko 12). Tunnusten vähäiseen määrään vaikuttaa se, että oppilaitoksessa kirjaudutaan samalla tunnus/salasanaparilla useaan eri palveluun, jolloin työn puolesta tunnuksia ei siis ole useinkaan kuin yksi. Tämä helpottaa työntekijöiden arkea, mutta aiheuttaa myös suuren tietoturvariskin. Taulukko 13. Millaisia salasanoja käytät? Vastaus Lukumäärä Prosentti 1. Käytän kaikissa palveluissa pääasiassa samaa salasanaa 8 3,15 % 2. Käytän muutamaa eri salasanaa kaikissa palveluissa ,33 % 3. Käytän pääsääntöisesti eri salasanoja eri palveluissa ,73 % 4. Käytän salasanojen hallintaohjelmaa esim. Lastpass, Keypass 2 0,79 % Yhteensä % Suurin osa (96,06 %) vastaajista ilmoittaa käyttävänsä joko muutamaa salasanaa tai eri salasanoja eri palveluissa (taulukko 13). Tuloksen perusteella voidaan todeta asian olevan melko hyvällä mallilla. Herää kuitenkin epäilys, että onko tähän kysymykseen vastattu rehellisesti, vai onko tietoturvamielessä vastattu sen mukaan, mikä on tiedetty hyväksi vastaukseksi. Tämä kysymys ei myöskään ota kantaa siihen, millaisia salasanat ovat. Eli lisääkö käyttäjä eri palveluihin tai salasanan vaihtaessaan vanhan salasanan perään esimerkiksi vain vaihtuvan numeron. Saman salasanan käyttö useassa eri palvelussa aiheuttaa myös tietoturvariskin. Esimerkiksi jos vastaaja rekisteröityy työpaikan sähköpostilla ja salasanalla ulkopuoliseen palveluun. Kuinka monessa tapauksessa vastaaja saattaa käyttää samoja tunnuksia molempiin järjestelmiin. Tiivistettynä, jos yksi palvelu murretaan, kuinka moneen muuhun palveluun samat tunnukset käyvät? Salasanojen muistamista auttavia hallintaohjelmia ei joko tunneta tai niihin ei luoteta, koska vastaajista vain kaksi kertoo käyttävänsä niitä.

10 22 Taulukko 14. Mitkä alla olevista salasanoista ovat mielestäsi turvallisia? Vastaus Lukumäärä Prosentti 1. APk5vK ,77 % 2. trustno1 7 2,76 % ,00 % 4. P3k8op#12:u ,50 % 5. S4l4s4n ,54 % 6. qwerty 4 1,57 % 7. P4ssw0rd ,63 % 8. Dosiilit# %8Poljennot ,46 % 20 % 40 % 60 % 80 % 100 % Kyselyä tehdessä valittiin satunnaisesti turvallisia ja turvattomia salasanoja (taulukko 14). Suurin osa vastaajista oli osannut valita turvalliset salasanat listasta, mutta ikävä kyllä myös jotkin turvattomat salasanat olivat saaneet vastauksia. Hyvän salasanan pitäisi pitää sisällään kirjaimia, numeroita ja erikoismerkkejä. Esimerkkeinä 1,4 ja 8 ovat turvallisia salasanoja. Kohdassa 5. oli esitettynä salasana, joka piti sisällään kirjaimia ja numeroita. Tämä saattoi johtaa vastaajia harhaan, sillä yleisten ohjeiden perusteella kyseessä on kohtalainen salasana. Tässä tapauksessa A-kirjain oli korvattu numerolla 4, joka vastaa saman näköistä merkkiä. Tämä ei kuitenkaan ole hyvä tapa toimia, sillä salasanojenpurkuohjelmat osaavat tehdä nämä muutokset automaattisesti (A=4, E=3, I=1, T=7, O=0, S=5)

11 Taulukko 15. Mitä seuraavista keinoista käytät tietoturvallisuutesi parantamiseksi? Vastaus Käytän päätelaitteen muistien salausta (esimerkiksi kiintolevyn salaus, usb-muistien salaus) Käytän VPN- tai muuta tietoliikenteen salausratkaisua etäyhteyden toteuttamiseksi 23 Lukumäärä Prosentti 28 11,34 % 64 25,91 % 3. Tietoturvapäivitykset päivittyvät automaattisesti päätelaitteeseeni ,00 % 4. Varmuuskopioin tärkeimmät tiedostoni säännöllisesti ,42 % 5. Osallistun aiheeseen liittyviin koulutuksiin tai tilaisuuksiin 51 20,65 % Ilmoitan havaitsemistani epäkohdista tai tietoturvauhista asiasta vastaaville Luen huolella nettipalveluun liittyvät käyttöehdot ennen kuin hyväksyn ne ja aloitan palvelun käytön En keskustele salassa pidettävistä asioista muualla kuin sellaisissa tiloissa, joissa se on turvallista ,89 % 77 31,17 % ,92 % 9. Tallennan salasanat nettiselaimen muistiin omalla kotikoneellasi 18 7,29 % 10. Olen vaihtanut internetiin kytkettyjen laitteiden oletus salasanat ,47 % 11. Kotitietokoneillani on jokaisella käyttäjällä oma henkilökohtainen käyttäjätili ,53 % 12. Jokin muu, mikä 7 2,83 % Kysyttäessä mitä keinoja käyttäjät käyttävät tietoturvansa parantamiseen (taulukko 15), esiin nousi ainoastaan päivitysten automaattinen asentuminen (83 %). Kaikki muut vaihtoehdot jäivät jonkin verran pienemmiksi. Puolet vastaajista kertoo varmuuskopioivan tiedostonsa säännöllisesti sekä vaihtaneensa internettiin kytkettyjen laitteiden oletussalasanat. Myös yli puolet vastaajista tiedostaa, että salassa pidettävistä asioista ei voi puhua julkisilla paikoilla. Muistien salaus ja tietoliikenneyhteyden salaaminen (VPN) jäivät melko pieneksi. Taustalla tässä on todennäköisesti osaamisen puuttuminen, sillä nämä vaativat teknistä osaamistaitoa. Jokin muu kohtaan vastattiin muun muassa PIN koodin käyttö mobiililaitteissa, erillinen palomuuri suojaamassa tietoliikennettä sekä käyttämällä salasanoja joita ei voi päätellä. Taulukon 15 kysymysasettelussa pyydettiin myös huomioimaan työpaikan lisäksi myös vapaa-ajan toimintaa sekä riitti jos käytti suojausta vähintään yhdessä päätelaitteessa.

12 24 Käyttäjätunnukseni ja salasanani tärkeään palveluun varastetaan Päätelaitteeni varastetaan Päätelaitteessani olevat tiedostot ovat huonosti varmuuskopioituja 36% 45% 23% 31% 20% 25% En tiedä, mitkä asiat ovat salassa pidettäviä 7% 2% Päätelaitteeseeni iskee haittaohjelma (virus tai jokin vastaava) 44% 63% Identiteettivarkaus Laitteessani olevia henkilökohtaisia tietoja vuotaa muualle 28% 31% 37% 53% Tulen huijatuksi nettikaupassa tai nettihuutokaupassa Minua aletaan uhkailla esimerkiksi sosiaalisen median kautta 5% 10% 16% 28% Luottokorttitietoni varastetaan ja niitä väärinkäytetään 14% 76% Ei mikään yllä mainituista Jokin muu, mikä 6% 4% 2% 2% % Työssä Vapaa-ajalla Kuvio 6. Mitkä asiat huolestuttavat sinua eniten? N=247 Kuvion 6 perusteella peräti 53 % (132) vastaajaa kertoo identiteettivarkauden kohteeksi joutumisen vapaa-ajallaan huolestuttavan ja 28 % (67) työssä. Yli puolet vastaajista pelkää vapaa-ajallaan luottokorttitietojen joutumista vääriin käsiin tai että päätelaitteeseen tulee haittaohjelma. Työssä eniten huolestuttaa haittaohjelman tuleminen tietokoneelle.

13 25 Moni on myös huolissaan käyttäjätunnuksen ja salasanan varkaudesta. Tämä on hyvä asia, sillä kun asian riski tiedostetaan, näiden käsittelyssä ollaan huolellisempia. Jokin muu kohtaan vastattiin muun muassa kiristyshaittaohjelmat, opiskelijatietojen vuotaminen, käyttöjärjestelmien haavoittuvuudet, salasanaohjelmat sekä yleisellä tasolla kaikkien näiden osa-alueiden jatkuva kehittyminen.

14 26 7 Tutkimus: Vastaajien näkemys työpaikan tietoturvasta Työpaikan tietoturvakysymyksissä selvitettiin millaisia tietoturvauhkia vastaajat näkevät työyhteisössä, millaisia tietoturvauhkia vastaajat ovat kohdanneet ja miten luotettavina pidetään erilaisia sähköisiä palveluita. Sähköiset välineet helpottavat työtä, mutta asettavat työntekijän paljon vartijaksi. Napin painalluksen päässä on usein aiempaa monin verroin enemmän tietoa, josta osa saattaa olla salassa pidettävää. Tahallisia ja tahattomia tietovuotoja tapahtuu miltei alalla kuin alalla. Työnantaja vastaa henkilötietolain mukaan rekisterinpitäjänä siitä, etteivät työpaikalla säilytettävät henkilötiedot päädy vääriin käsiin. Tahattomia tietovuotoja tapahtuu, kun tekniikkaan luotetaan liikaa. Vaikka omat älypuhelimet ja kannettavat saattavatkin olla nopeampia ja kiinnostavampia kuin työnantajan tarjoamat välineet, eivät ne välttämättä ole tietoturvaltaan yhtä varmoja. Castrén Taulukko 16. Valitse enintään viisi mielestäsi merkittävintä tietoturvauhkaa työpaikallasi. N=254 Vastaus Lukumäärä Prosentti 1. Työntekijöiden tietämättömyys tai huolimattomuus ,10 % 2. Haittaohjelmat (virukset, troijalaiset ja muut haittakoodit) ,66 % 3. Roskaposti, mainos ja vakoiluohjelmat ,85 % 4. Laitteen katoaminen, varkaus ,52 % 5. Tietojen urkkiminen työntekijöiden hyväuskoisuutta käyttäen 77 30,31 % 6. Tietojen urkkiminen tai salakuuntelu teknisin keinoin 35 13,78 % 7. Ohjelmistovika tai puutteelliset päivitykset ,21 % 8. Tietoturvahyökkäykset ja tietomurrot ,72 % Työntekijöiden tietämättömyyttä ja huolimattomuutta pidettiin merkittävimpänä tietoturvauhkana työpaikalla (taulukko 16). Tämäkin vahvistaa sitä käsitystä, että vastaajat tarvitsevat/haluavat monipuolista koulutusta näistä aiheista. Laitteen katoaminen ja varkaus nousivat myös esiin. Tämä johtuu todennäköisesti siitä, että normaalissa työympäristössä on usein asiakkaita (opiskelijoita) mukana. Kyllähän asiakaskin voi olla varas tilaisuuden tullen. Oppilaitoksissa ulko-ovet ovat myös päivisin auki ja alueella liikkuu paljon ihmisiä. Myös ulkopuolisen on siis helppo tulla sisälle ja mahdollisesti saada haltuunsa laitteita.

15 27 Tietojen urkkimista ei pidetty niin merkittävänä uhkana kuin muita taulukossa 16 olevia väittämiä. Taustalla on todennäköisesti opettajien oma osaaminen. Joka päivä käsitellään opiskelijoiden tietoja ja näin ollen tietämys tietosuojamateriaalin oikeanlaisesta käsittelystä on hyvä. Päätelaitteeni on varastettu tai hävinnyt 1 9 Olen menettänyt tärkeitä tietoja laiterikon tai vastaavan takia Työpaikkani tietoja on vuotanut päätelaitteeltani Identiteettini on varastettu ja sitä on väärinkäytetty Minulta on yritetty urkkia tai vakoilla työtehtäviini liittyviä tietoja Käyttäjätunnuksesi ja salasanasi on varastettu ja niitä on väärinkäytetty Verkkokauppahuijaukset (myös yksityisten välinen kauppa) Kiristysohjelmat / Ransomware (tietokoneen lukituksen poistaminen lunnaita vastaan) Nigerialaiskirjeet (petos, jolla pyritään saamaan rahaa) Virtuaaliomaisuusrikokset (esim. pilvipalveluun tallennettujen tiedostojen kaappaaminen) 7 1 Harhaanjohtavan tiedon jakaminen Trollaus (esim. provosoiva kommentti keskustelupalstalla) Nettikiusaaminen Vapaa-ajalla Työssä N Kuvio 7. Mitä seuraavia tietoturvauhkia olet henkilökohtaisesti kohdannut työssä tai vapaa-ajalla? Vastaajat ovat eniten kohdanneet sekä työssä, että vapaa-ajalla nigerialaiskirjeitä, harhaanjohtavan tiedon jakamista ja trollausta (kuvio 7). Usea vastaaja on myös menettänyt tietojansa laiterikon tai vastaavan takia sekä työssä ja vapaa-ajalla. Identiteettivarkauden kohteeksi on joutunut kuusi vastaajaa vapaa-ajallaan ja yksi työssä. Myös

16 28 nettikiusaamiseen on törmätty melko usein. Selvityksestä ei ilmene onko vastaaja itse ollut kiusaamisen kohteena. Yllättävää on kuitenkin se, että yllä olevan taulukon jokaiseen tietoturvauhka kohtaan löytyy yksi tai useampi henkilö, jolla on kokemusta aiheesta. Riippumatta onko kyse työstä tai vapaa-ajasta. Yleensä käytännön kokemus opettaa ja silloin asioista puhuminen voi olla helpompaa. On tietenkin ääripäitä mistä ei haluta kertoa muille, koska se koetaan nolona asiana. Esimerkiksi jos henkilöä huijataan sosiaalisessa mediassa. Huijauksen luonne yleensä vaikuttaa kerrotaanko asiasta. Jos huijaukseen langetaan ns. typeryydestä, niin harva haluaa kertoa tätä muille. Työnantajan tarjoama Office365 (Outlook, Kalenteri, Office Online ohjelmat) Työnantajan tarjoama pikaviestintäpalvelu (Skype) Työnantajan tarjoama verkkooppimisympäristö (Optima) Työnantajan tarjoama opintotietojärjestelmä (Wilma) % En luota lainkaan Luotan hieman Luotan Luotan paljon En käytä palvelua Kuvio 8. Miten paljon luotat seuraaviin netissä toimivien palveluiden tietoturvaan? Työnantajan tarjoamat palvelut. N=250 Työnantajan tarjoamiin välineisiin luotetaan todella paljon. Kuviossa 9 kysytyt ohjelmat Office365, Optima ja Wilma ovat saaneet yli 80 % luottamuksen (luotan, luotan paljon) työntekijöiltä. Tähän todennäköisesti vaikuttaa palvelujen pitkäaikainen käyttö ilman tietovuotoja tai tietoturvan pettämistä.

17 29 Facebook Twitter WhatsApp LinkedIn Instagram Dropbox pilvitallennustila Onedrive pilvitallennustila Youtube % En luota lainkaan Luotan hieman Luotan Luotan paljon En käytä palvelua Kuvio 9. Miten paljon luotat seuraaviin netissä toimivien palveluiden tietoturvaan? N=250 Kuviossa 9 on esitettynä yleisempiä sosiaalisen median tai vastaavia palveluita. Suuri osa vastaajista kertoo, että ei käytä lainkaan tiettyjä sosiaalisen median välineitä, kuten Twitter, LinkedIn ja Instagram. Tuloksista voi päätellä, että esimerkiksi Youtubea koskien kysymys on todennäköisesti ymmärretty väärin. Kysymyksellä haettiin sitä, että luottaako käyttäjä palvelun tietoturvaan, mutta ilmeisesti osa vastaajista on vastatessaan arvioinut palvelun sisällön luotettavuutta.

18 30 Tiedätkö kenellä on oikeus käsitellä ja katsoa sähköisiä asiakastietoja? (esimerkiksi Wilma) Pidän aina työpaikalla näkyvillä organisaation minulle antamaa henkilökorttia. Osaan luokitella työtehtävissäni käytössä olevat aineistot julkisiin ja salassa pidettäviin. Tiedätkö mihin saa tallentaa luottamuksellisia tietoja työpaikalla? Pidän paperimuodossa olevat salaiset asiakirjat lukituissa säilytystiloissa niin työpisteessäni kuin kotona. Vien salassa pidettäviä tietoaineistoja kotiin ja käytän omaa tietokonettani niiden käsittelemiseksi. Jos poistun tietokoneelta, lukitsen sen aina ennen poistumistani. Tallennan salasanoja itselleni paperilapuille tai muihin näkyviin paikkoihin selväkielisenä. Käytän työnantajan tarjoamassa älypuhelimessani suojakoodia. Osaan katsoa ovatko päätelaitteeni haittaohjelmien torjuntaohjelmat toiminnassa. Huolehdin, että tyhjät työtilat ovat lukittuina % Kyllä En En osaa sanoa Kuvio 10. Kyllä-Ei väittämät yleisellä tasolla tietoturvan näkökulmasta Vastausten perusteella voidaan todeta, että tietämys kuviossa 10 esitetyistä asioista on hyvällä tasolla. Aina tietenkin on hieman parannettavaa. Esimerkiksi, lähes puolet säilyttää salaisia asiakirjoja ei lukitussa paikassa, mikä on sinänsä merkittävä tietoturvariski. Yleensä tila on todennäköisesti lukittu opettajainhuone, mutta välillä siellä käy myös asiakkaita. Jos pöydällä on lomake, yleensä se tulee katsottua silmäillen, mitä siinä on.

19 31 19% Kyllä En 81% Kuvio 11. Haluaisitko osallistua työnantajan järjestämään tietoturvakoulutukseen? N=254 Peräti 81 % (206) vastaajista haluaisi osallistua työnantajan järjestämään tietoturvakoulukseen (kuvio 11). Aikaisemmista kysymyksistä oli nähtävissä, että asioista tiedetään jotain, mutta asioista haluttaisiin enemmän tarkempaa tietoa. Moni kaipaa tätä myös henkilökohtaiselle puolelle kuin myös opetukseen. Asia nähdään siis tärkeänä. Uusimmat uhat ja niiden käsittely Pilvipalveluiden turvallisuus Nykypäivän tilanne Salaisten asiakirjojen käsittely ja säilytys Millaiseen tietoturvakoulutukseen haluaisit osallistua? Konkreettisia esimerkkejä Mobiililaitteiden tietoturva Sosiaalisen media turvallisuus Perusasiat tietoturvasta Kuvio 12. Millaiseen tietoturvakoulutukseen haluaisit osallistua?

20 32 Vastaajilta kysyttiin, millaiseen tietoturvakoulutukseen haluaisit osallistua? Kuviossa 12 on esitettynä tiivistettynä vastaajien toivomuksia. Vastauksissa nousi esiin se, että halutaan koulutuksiin, joissa asioita käsitellään perustasolta lähtien napakasti. Koulutuksen pituuden suhteen tuli paljon erilaisia vastauksia, mutta eniten toivottiin lyhyitä enintään puolen päivän mittaisia koulutusjaksoja.

21 33 8 Tutkimus: Vastaajien näkymys tulevaisuudesta Viimeisissä kysymyksissä halusimme kuulla vastaajien omia mielipiteitä asioista kuten: Mitä tietoturva-asioita pitäisi opettaa? Miten toivoisit tietoturvaasi parannettavan työpaikallasi? Mistä tietoturva-asioista sinä opettajana haluaisit enemmän tietoa? Vastaukset olivat todella monipuolisia. Verkkokäyttäytyminen Sosiaalinen media ja sen riskit Salassapito Koulutusalaan liittyviä asioita Mitä tietoturva-asioita pitäisi opettaa? Lähdekritiikki Identiteetti varkaudet Fyysinen tietoturva Huijatuksi tuleminen Medialukutaito Kuvio 13. Mitä tietoturva-asioita pitäisi toisen asteen koulutuksessa opettaa? Vastaajilta kysyttiin, mitä tietoturva-asioita mielestäsi toisen asteen koulutuksessa pitäisi opettaa? Vastauksissa (kuvio 13) esiin nousi lähes kaikki asiat, joita tässä kyselyssä on käsitelty. Sosiaalisen median käyttö, salasanat, verkkokäyttäytyminen, identiteettirikokset ja medialukutaito olivat niitä asioita, joita useimmiten haluttiin opettaa.

22 34 "Maisemakonttorit" pois Asioista tiedottaminen Lukittavat säilytystilat Koulutusta ja ohjausta Miten toivoisit tietoturvaasi parannettavan työpaikalla? Tietoturvaohjelmistot kotikoneelle Työaseman ja työtilan lukitsemisen velvoittaminen Selkeät ohjeistukset erilaisiin tilainteisiin Kuvio 14. Miten toivoisit tietoturvaasi parannettavan työpaikallasi? Miten toivoisit tietoturvaasi parannettavan työpaikallasi? Useassa vastauksessa (kuvio 14) tuli esiin työasemien ja työhuoneiden lukitseminen niistä poistuttaessa. Suuret, monen hengen työhuoneet koetaan myös tietoturvan kannalta huonoiksi. Koulutusta ja asioista tiedottamista toivottiin monessa vastauksessa. Useampi vastaaja kaipasi myös lukittavia tiloja materiaaleilleen. Hyvänä huomiona tuli esiin myös se, että tietoturva kuuluu kaikille eli toisen työntekijän hutilointi voi vaikuttaa myös omaan tietoturvaan. Osa vastaajista kokee tietoturvan olevan nykyisellään jo riittävällä tasolla ja joku oli jopa sitä mieltä, että se on jo liian korkealla tasolla. Kehittämiskohteena tuli esiin myös kotitietokoneet ja niiden tietoturva.

23 35 Pilvipalveluiden turvallisuudesta Sähköpostin turvallisuudesta Yleisistä tietoturvakäytänteistä Tietosuojamateriaalin säilyttämisestä Mistä tietoturva-asioista sinä opettajana haluaisit enemmän tietoa? Mobiililaitteiden tietoturvasta Tietoturvauhkiin varautumisesta Sosiaalisen median käytöstä opetuksessa Kuvio 15. Mistä tietoturva-asioista sinä opettajana haluaisit enemmän tietoa? Mistä tietoturva-asioista sinä opettajana haluaisit enemmän tietoa (kuvio 15)? Esiin nousi muun muassa seuraavia tärkeitä asioita: Office 365 -ympäristön turvallisuus, mitä pilvipalveluun voi tallentaa, sähköpostin turvallisuus, tietoturvauhkiin varautuminen, verkkohyökkäykset, säilytettävät asiakirjat, yleiset käytänteet, oikeat toimintatavat, mobiililaitteiden turvallisuus, sosiaalisen median käyttäminen opetuksessa. Tietoa halutaan siis laajalti koko kyberturvallisuuden alueelta. Vastaukset tukevat jälleen ajatusta, että henkilökunnan koulutusta tulee tulevaisuudessa järjestää yhä enemmän.