Kyberturvallinen oppimisympäristö

Transkriptio

1 Kyberturvallinen oppimisympäristö Professori, ST, ev evp. Martti Lehto JYU. Since

2 Esityksen sisältö 1 Digitaalisen maailman muutos 2 Kybermaailman uhkia 3 Kybermaailma ja ihminen 4 Yksityisyys 5 Turvallisuuden rakentaminen JYU. Since

3 Kybermaailman määrittelyä Sana kyber tulee kreikan sanasta "kybereo" - ohjata, opastaa, hallita. Amerikkalainen matemaatikko Norbert Wiener ( ) otti käyttöön sanan kybernetiikka 1940-luvun lopulla kuvaamaan tietokoneita käyttäviä ohjausjärjestelmiä. Hänen mukaansa kybernetiikka kuvasi tieteitä, jotka käsittelevät koneiden ja organismien kontrollointia kommunikaation ja palautteen avulla. JYU. Since

4 Kybermaailman määrittelyä Sanan kyberavaruus keksi tieteiskirjailija William Gibson ( ) 1984 kirjassaan Neuromancer. Gibsonilainen kyberavaruus esitetään globaalina informaation tietokoneverkkona, jossa käyttäjä voi liikkua virtuaalihahmossa. JYU. Since

5 Aika Data Mikä on muuttunut? Verkko Älykkyys Robotiikka JYU. Since

6

7 WannaCry kiristysohjelman leviäminen JYU. Since

8 Pörssimanipulaatio Huhtikuussa 2013 syyrialaiset hakkerit kaappasivat uutistoimisto AP:n Twitter-tilin ja twiittasivat presidentti Barack Obaman haavoittuneen räjähdyksessä Valkoisessa talossa. New Yorkin pörssin Dow Jones Industrial Average -indeksi romahti hetkessä 130 pistettä. Pörssirobotit myivät valtavat määrät osakkeita ennen kuin yksikään ihminen ehti reagoida tekaistuun uutiseen. JYU. Since

9 1 EB = bytes = NY Stock Exchange: 1TB/päivässä The Large Hadron Collider (CERN), 150 milj. Sensoria: 22 PB vuodessa (2012) Facebook: 40 miljardia kuvaa, 4PB JYU. Since

10 Regulaatio ARPANET US Department of Defence Advanced Research Projects Agency ARPANET Internetin äiti 1957: Sputnik 1958: DoD Advanced Research Project Agency, DARPA 1962: Paul Baran: pakettikytkentäinen verkko 1966: DARPA investoi $1M ARPANET:iin 1969: 4 toimijaa 1970: 9 toimijaa 1971: Ensimmäinen 1980: 200 toimijaa (kansainvälinen) 1983: ARPANET otti käyttöön TCP/IP Arkkitehtuurin perusteet Rakennetaan olemassa olevan verkon päälle Ei takuuta Ei laadunvarmistusta Ei turvallisuutta Ei mallia verkkopalvelusta Kotikutoinen päästä päähän kommunikaatio JYU. Since

11 Kriittinen infrastruktuuri Julkishallinnon verkot Kansalaiset verkossa.fi Kriittinen informaatioinfrastruktuuri Elinkeinoelämän verkot

12 Vuonna 2016 myytiin yli 1,5 miljardia älypuhelinta 90% autoteollisuuden uusista innovaatioista ilmentyy ohjelmistoissa ja elektroniikassa. JYU. Since

13 Autonomiset järjestelmät ja robotiikka Autonomiset älykkäät järjestelmät muuttavat niin taistelukentän kuin teollisuuden, työympäristön, sairaalan ja kodin. Tämä lisää mahdollisuuksia kyberhyökkääjille saada järjestelmiä hallintaansa. JYU. Since

14 Tekoälyn johtava rooli Artificial intelligence is the future, not only for Russia, but for all humankind. Whoever becomes the leader in this sphere will become the ruler of the world. President Vladimir Putin JYU. Since

15 Yhdysvallat Kiina Venäjä Google Baidu Tieba Yandex Whatsapp WeChat Telegram YouTube Youku Tudou RuTube Amazon AliBaba Avito Instagram Nice, Meipai Twitter Weibo Futubra Uber DidiKuaidi Yandex-Uber Expedia C-trip Aviasales Apple Pay Alipay Payonline Facebook Renren Vkontakte, Odnoklassniki Gmail/Hotmail/Yahoo QQMail/AliMail Mail.ru Internet China Net RuNet Kybermaailma 2025? JYU. Since

16 Kybermaailma lopussa maailmassa n. 8,4 miljardia verkkoon kytkettyä laitetta. Kuluttajamarkkinan osuus 66%. Vuonna 2020: yli 20 miljardia. Päivittäin maailmalla: - Lähetetään yli 200 miljardia sähköpostiviestiä, - Lähetetään 500 miljoonaa twiittiä - Käytetään Googlen hakukonetta 3,5 miljardia kertaa. Facebookissa on yli 2,07 miljardia käyttäjää Matkapuhelinten käyttäjiä maailmassa on yli 4,77 miljardia (73 %). Vuonna ,6 % maailman väestöstä käytti internettiä. Nyt käyttäjiä on noin 3,885 miljardia (51,7 %). JYU. Since

17 Esityksen sisältö 1 Digitaalisen maailman muutos 2 Kybermaailman uhkia 3 Kybermaailma ja ihminen 4 Yksityisyys 5 Turvallisuuden rakentaminen JYU. Since

18 Uhat ympärillämme Perinteiset alustat, jotka hyökkäyksien kohteina ja jakoalustoina Uudet alustat, jotka hyökkäyksien kohteina ja jakoalustoina Tietokone Tabletti Palvelin Älypuhelin Verkkotulostin Ilmalämpöpumppu Televisio Jääkaappi Sähkötupakan laturi Älytoiletti Auto Valvontakameroita Maitotilojen lypsyrobotti Sähkökiuas JYU. Since

19 Uhat ympärillämme Uudet alustat, jotka hyökkäyksien kohteina ja jakoalustoina Ilmalämpöpumppu Televisio Jääkaappi Sähkötupakan laturi Älytoiletti Auto Valvontakameroita Maitotilojen lypsyrobotti Sähkökiuas JYU. Since

20 Tivi JYU. Since

21 Mega-tietomurrot Yahoo: 500 miljoonaa käyttäjätietoa, 3 Mrd.? Friend Finder Network: 412 miljoonaa käyttäjätietoa Equifax: 143 miljoonaa käyttäjätietoa Anthem: 78 miljoonaa potilastietoa Target: 70 miljoonaa asiakastietoa Ashley Madison attack: 32 miljoonaa asiakastietoa US Office of Personnel Management: 22 miljoonaa henkilötietoa US T-Mobile: 15 miljoonaa asiakastietoa

22 uutta haittaohjelmaa joka päivä Haittaohjelmatuotanto Source: JYU. Since

23 Kyberuhat Kaikki, millä voidaan tuottaa anarkiaa, kaaosta tai haittaa yksilöille tai organisaatioille. Kaikki, millä on informaatiohyötyä: - Valtiosalaisuudet - Sotilassalaisuudet - Taloudelliset salaisuudet - Liiketoimintasalaisuudet Kaikki, millä voi tehdä rahaa: - Tilitiedot - Luottokortti - Lunnaat - Identiteetti Kaikki, millä voidaan tuottaa vahinkoa ja levittää pelkoa ihmisten keskuuteen. Kaikki, millä voidaan tuhota tai lamauttaa vastustajan sodankäyntikyky. Kaikki, mikä lamauttaa yhteiskunnan elintärkeät toiminnat, kriittinen infrastruktuuri tai kriittinen informaatioinfrastruktuuri. JYU. Since

24 Kybervandalismi Anarkiaan, kaaokseen ja haitantekoon tähtäävää toimintaa. - Internet vahvisteinen: internetiä käytetään ylimääräisenä kommunikaatiokanavana - Internet perustainen: internet toiminnan kohde JYU. Since

25 Kyberrikollisuus Kyberrikoksia ovat rikokset, jotka tehdään sähköisiä viestintäverkkoja ja tietojärjestelmiä hyödyntäen tai jotka kohdistuvat mainittuihin verkkoihin ja järjestelmiin". Tietoverkkorikollisuus voidaan jakaa kolmeen alaryhmään: 1. Perinteiset rikollisuuden muodot, jotka on tehty käyttäen hyväksi viestintäverkkoja ja tietojärjestelmiä. 2. Laittoman sisällön julkaiseminen sähköisissä viestimissä. 3. Rikokset, joita esiintyy ainoastaan sähköisissä verkoissa, kuten hyökkäykset tietoverkkoa vastaan, palvelunesto tai hakkerointi. Menetykset globaalisti $ 400+ miljardia Kyberturvallisuusvakuuttaminen globaalisti $ 2,5 miljardia, 2020 $ 7,5 miljardia JYU. Since

26 Kyberrikollisuus A B C hyppylauta Attribuutio-ongelma Rajattomuus JYU. Since

27

28 Facebook tai Twitter tilin hakkerointi: $130 Gmail hakkerointi: $162 Organisaation postilaatikon hakkerointi: $500 Windows rootkit asennus: $292 Winlocker kiristysohjelma: $10-20 Verkkoliikenteen seuranta: $7-15 per 1,000 käyttäjää Haittaohjelman asentaminen tiedostoon: $10-30 Palvelunestohyökkäyksen (DDoS) vuokra: $30-70 päivässä, $1,200 kuukaudeksi spam: $10 per miljoona s SMS spam: $3-150 per ,000 viestiä Bot-verkon luominen: $200 per 2,000 botin verkko DDoS botverkko: $700 ZeuS lähdekoodi: $200-$500 Kyberrikollisuuden palveluhinnasto Lähteet: Ars Technica, Wired, Russian Underground 101, Trend Micro, Max Goncharov JYU. Since

29 Kybertiedustelu-vakoilu-tiedon kokoaminen Julkisiin ja ei-julkisiin lähteisiin kohdistuvaa tiedonhankintaa, jonka tarkoituksena on kartoittaa ja lisätä ymmärrystä erilaisista uhista, riskeistä ja muutoksista niin maan sisällä kuin rajojen ulkopuolella. Kybervakoilu Kybertiedustelu Hankitaan salaisia tietoja yksityisiltä ihmisiltä, kilpailijoilta, ryhmiltä, hallituksilta ja vastustajilta poliittisen, sotilaallisen tai taloudellisen edun saavuttamiseksi käyttäen laittomia menetelmiä internetissä, verkoissa, ohjelmistoissa tai tietokoneissa. Tietojen kokoaminen Verkkokaupat, sosiaalisen median yritykset ja kehittyneet verkkopalvelut keräävät käyttäjätietoja palvelun parantamiseksi ja käyttäjän profiloimiseksi. JYU. Since

30 Kybertiedustelu Julkisiin ja ei-julkisiin lähteisiin kohdistuvaa tiedonhankintaa, jonka tarkoituksena on kartoittaa ja lisätä ymmärrystä erilaisista uhista, riskeistä ja muutoksista niin maan sisällä kuin rajojen ulkopuolella. Tiedustelutoiminnan tavoitteena on tuottaa varhaisvaiheen tietoa, joka mahdollistaa uhkiin, riskeihin ja muutoksiin vaikuttamisen ja varautumisen. Tiedusteluun kuuluu tiedon analysointi, jonka avulla erilaisia turvallisuusympäristön epävarmuustekijöitä pyritään jäsentämään. JYU. Since

31 Kybertiedustelu/vakoilu ECHELON on usean maan valvontajärjestelmä (Yhdysvallat, UK, Kanada, Australia ja Uusi-Seelanti) Sen toimintaan on kuulunut puheluiden, telekopioyhteyksien ja datayhteyksien kuuntelu globaaleissa runkoverkoissa, linkki- ja satelliittiyhteyksillä. Sen tarkoitus on kerätä suuria määriä lähes satunnaista tietoliikennettä, josta yritetään poimia hyödyllistä tietoa avainsanasuodatuksen avulla. JYU. Since

32 Kybertiedustelu/vakoilu PRISM (US-984XN) on USA:n Kansallisen turvallisuusviraston (NSA) terroristien paljastamiseen tarkoitettu tiedusteluohjelma (2007). Ohjelman kautta NSA:lla on tarvittaessa pääsy eri palveluntarjoajien tietoihin, kuten tunnistetietoihin sekä näiden palvelujen kautta lähetettyihin sähköpostiviesteihin, asiakirjoihin ja valokuviin. JYU. Since

33 Kybertiedustelu/vakoilu Vuonna 1996 Venäjällä rakennettiin SORM-1 -järjestelmä valvomaan puhelinyhteyksiä (Sistema Operativno-Rozisknih Meroprijatnij) Vuonna 1998 järjestelmä korvattiin SORM-2:lla, jolla voidaan seurata sekä puhelin- että internetyhteyksiä. FSB:n väitetään seuraavan reaaliaikaisesti mm. luottokorttimaksuja, sähköpostiviestejä ja muuta internetin käyttöä. SORM-3:n (2014) väitetään pystyvän keräämään informaatiota kaikista viestintävälineistä. SOMINT:ä varten on Semanttinen arkisto, jota FSB ja sisäministeriö käyttää avointen lähteiden, kuten esimerkiksi median, blogien, internetin ja sosiaalisen median seuraamiseen. JYU. Since

34 Kevyt valvontalennokki Snoopy voi seurata WiFi-signaaleita, RFID-signaaleja sekä Bluetooth- ja PAN/WPAN-liikennettä (IEEE ). Yhdessä GPS-vastaanottimen kanssa se voi paikantaa signaalilähteet ja siten seurata puhelimia, tablet-laitteita, tietokoneita, ja myös sydämentahdistimia, älyrannekkeita, älykelloja. Perceptiv Labs on esitellyt lennokkeihin tarkoitetun konenäköä hyödyntävän seurantajärjestelmän. Sen avulla lennokin voi määrittää seuraamaan mitä tahansa liikkuvaa kuvauskohdetta. ArsTechnica, Dan Goodin - Mar JYU. Since

35 Avoin WLAN Sälen Ruotsin piraattipuolueen nuortenjärjestön puheenjohtaja Gustav Nipe loi puolustus- ja turvallisuuskonferenssiin wlan-verkon nimeltä Öppen Gäst. Moni konferenssivieras erehtyi kirjautumaan huijausverkkoon. Nipe onnistui seuraamaan arviolta sadan poliitikon, toimittajan ja tietoturva-asiantuntijan netin käyttöä. Hän pystyi seuraamaan, millä sivuilla verkon käyttäjät vierailivat ja myös lukemaan heidän sähköposti- ja tekstiviestejään. JYU. Since

36 Stingray Stingray-laite on tarkoitettu mobiilin tietoliikenteen häiritsemiseksi ja ihmisten seuraamiseksi puhelinten kautta. Laitteet teeskentelevät olevansa tukiasema ja nappaavat puhelinten tunnistekoodeja, seuraavat puhelinten sijaintia ja jopa kaappaavat puheluja ja tekstiviestejä. JYU. Since

37 Matkapuhelin hyökkäyskohteena SS7-protokollaa väärinkäyttämällä on mahdollista: Käyttäjän sijainnin selvittäminen ja seuraaminen Puheluiden salakuuntelu ja nauhoittaminen Radioliikenteessä käytetyn salauksen purkaminen Liittymän irti kytkeminen matkapuhelinverkosta eli viestinnän estäminen ja Liittymän laskutuksen manipuloiminen petoksellisesti. JYU. Since

38 Kyberoperaatioiden havaittavuus NetTraveler skywiper/flame 2012 Shady RAT 2011 Regin 1.0 Regin Toiminnassa vuodesta Toiminnassa vuodesta 2008 Remsec 2016 Toiminnassa vuodesta 2008 Toiminnassa vuodesta 2004 Toiminnassa vuodesta 2011 Stuxnet Code Red, Blaster, Sasser and Slammer worms Hyökkäys kriittiseen infrastruktuuriin Hyökkäys internettiä vastaan JYU. Since

39 Kyberterrorismi Kyberterrorismissa käytetään tietoverkkoja hyökkäyksiin kriittisiä informaatiojärjestelmiä kohtaan ja niiden kontrollointiin. Hyökkäysten tavoitteena on tuottaa vahinkoa ja levittää pelkoa ihmisten keskuuteen. The Islamic State terrorist organization appears eager to enter into digital jihad, boasting of plans to establish a cyber caliphate from which to mount catastrophic hacking and virus attacks on the United States and the West. JYU. Since

40 Kybersodankäynti Kybersodankäynti on osa sodan voittamiseen tähtääviä operaatioita

41 Ohjelmistovirhe mykisti puhelimet Uusi Suomi Luotu: :02 SW-riskit Tässä lentokonemallissa on melko ikävä ohjelmistovirhe - "Saattaa sulkea itsensä yllättäen, myös koneen ollessa ilmassa" Talouselämä :21päivitetty :12 Sonera on selvittänyt tiistaina puhelimet mykistäneen vian syyn. KOTIMAA Soneran viime tiistainen vika johtui päivitystyön yhteydessä paljastuneesta ohjelmistovirheestä. Soneran puheyhteydessä ja tekstiviestipalvelussa oli tiistaiaamuna valtakunnallinen vika. Vika alkoi noin kello 10 ja päättyi noin Vika vaikutti erityisesti Soneran 2G- ja 3G-verkkojen puheyhteyteen. Myös tekstiviesteissä oli ongelmia. Data toimi normaalisti 4G-verkossa. Soneran mukaan ennalta suunniteltu ja testiympäristössä onnistunut muutostyö laukaisi tuotantoon viennin jälkeen piilevän ohjelmistovirheen signalointiyksiköissä. Tämän seurauksena signalointiyksiköt kaatuivat. Boeing 787 -mallin lentokone Yhdysvaltain ilmailuviranomaiset ovat antaneet uuden ohjeistuksen koskien Boeing 787 -malleja. Koneiden sähkövirtaa tuottavan generaattorin ohjausyksikkö saattaa sulkea itsensä yllättäen, myös koneen ollessa ilmassa. Ohjausyksikön ohjelmisto ei toimi yhtäjaksoisesti yli 248 päivää. Mikäli aika ylittyy, generaattori menee vikasietotilaan, FAA varoittaa. Pahimmillaan kaikki generaattorit olisi käynnistetty samanaikaisesti, ja ne sammuisivat yhtä aikaa, The Register kirjoittaa. San JYU. Since

42 HW-riskit Fake & Bake DARPA initiated the Trust in ICs program. Nick the wire Add extra transistors Add or reconnected wiring Source : Thehuntforthekillswitch. design/the-hunt-for-the-kill-switch. JYU. Since

43 HW-riskit Intelin suorittimissa paha bugi kaikki käyttöjärjestelmät päivitetään, suorituskyky laskee Intelin suorittimissa on merkittävä suunnitteluvirhe, minkä vuoksi kaikki Intelin suorittimia käyttävät käyttöjärjestelmät on päivitettävä JYU. Since

44 Kybertilannekuvan puute - 8 % yrityksistä kykenee erittäin nopeaan kyberhyökkäysten havainnointiin - 11 % yrityksistä kykenee nopeaan kyberhyökkäysten havainnointiin - 21 % yrityksistä on yksi yhteinen näkymä datavarantoihin RSA:n johtaja Amit Yoran: Yritykset eivät kokoa oikeita tietoja, eivät hyödynnä keräämiään tietoja ja käyttävät uhkien torjumiseen vanhanaikaisia tekniikoita. Source: RSA Research, March 2016 JYU. Since

45 Kyberturvallisuuden megatrendit 1. Kiristyshaittaohjelmien kasvu 2. Haavoittuvuuksien kasvu 3. Laitteistoihin kohdistuvat uhkat 4. Yrityksen sisäpiiri hyökkäyskanavana 5. Liiketoiminnan tuhoamiseen tähtäävät hyökkäykset 6. Henkilötietojen varastamiseen tähtäävät hyökkäykset Lähde: 19 turvallisuuskatsausta JYU. Since

46 Esityksen sisältö 1 Digitaalisen maailman muutos 2 Kybermaailman uhkia 3 Kybermaailma ja ihminen 4 Yksityisyys 5 Turvallisuuden rakentaminen JYU. Since

47 Kansalainen ja tiedon kokoaminen Erilaisten digitaalisten palveluiden käyttäjinä olemme antaneet luvan tietojen kokoamiseen, jakamiseen ja käyttämiseen. JYU. Since

48 Sijainti Google Maps näyttää nyt sijaintisi muille Google Maps -palvelu saa uuden ominaisuuden: sijainnin jakamisen. Käyttäjä voi jakaa reaaliaikaisesti oman sijaintinsa haluamilleen henkilöille, kuten ystäville tai perheenjäsenille. Google Earth on karttapalvelu, joka yhdistää satelliitti- ja ilmakuvia sekä paikkatietoja muodostaen kolmiulotteisen kuvan. Google Earthin alkuperäinen nimi oli Earth Viewer, jonka kehitti Keyhole, Inc. Google osti ohjelman 2004 ja siitä muodostui Google Earth Keyhole Inc. funding from the Central Intelligence Agency's venture capital firm, In-Q-Tel and the National Geospatial-Intelligence Agency JYU. Since

49 Sopimus, jonka olet tehnyt Sisältösi Google Mapsissa ja Google Earthissa. Google Mapsiin tai Google Earthiin lähettämääsi, lataamalla lähettämääsi tai tallentaamasi tai niistä vastaanottamaasi Sisältöä valvotaan Googlen Yleisten käyttöehtojen mukaisesti, osiossa "Sisältösi Palveluissamme" eritellyt käyttöoikeudet mukaan lukien. Kun lataat, lähetät tai tallennat sisältöä Palveluihin tai niiden kautta tai vastaanotat sisältöä Palveluista tai niiden kautta, annat Googlelle (ja yhteistyökumppaneillemme) maailmanlaajuisen oikeuden käyttää, ylläpitää, tallentaa, jäljentää, muokata, välittää, julkaista, esittää ja levittää kyseistä sisältöä, asettaa sitä julkisesti esille sekä luoda siitä johdannaisteoksia (esimerkiksi teoksia, jotka syntyvät kääntämällä, sovittamalla tai tekemällä teokseen muita muutoksia, joiden avulla sisältö saadaan toimimaan Palveluissa paremmin). Tämä käyttöoikeus on tarkoitettu yksinomaan Palveluiden ylläpitämiseksi, markkinoimiseksi ja parantamiseksi sekä uusien palveluiden kehittämiseksi. Tämä käyttöoikeus pysyy voimassa vaikka lopettaisit Palveluiden käytön, ja se koskee esimerkiksi yritystietoja, jotka olet lisännyt Google Mapsiin. JYU. Since

50 Älypuhelimesta seurantalaite Tietoja kuluttajien sijainnista kerääviä majakoita on maailmassa 8 miljoonaa. Vuonna 2020 niitä on jo puoli miljardia. Majakoita asennetaan parhaillaan kaikkialle, missä ihmiset viettävät aikaa: ravintoloihin, kauppoihin, urheilustadioneille, kenkäosastolle tai hotellin aulaan, missä ne sulautuvat sisustukseen. Niitä on valvontakameroissa, lampuissa, kattopaneeleissa. Majakka vastaanottaa tunnisteen, kun puhelimesi saapuu kantaman alueelle. Algoritmi taas tietää, kenestä on kyse. Kun lataat Instagramin, AirBnb:n tai Facebookin kaltaisen sovelluksen, joudut hyväksymään käyttöehdot ja sallit paikantamisen. JYU. Since

51 Päästä-päähän salaus Monet viestintäohjelmat salaavat viestit vain sinun ja heidän palvelimiensa välillä, mutta WhatsAppin täysi salaus varmistaa, että vain sinä ja henkilö, jonka kanssa keskustelet, voi lukea viestejä - ei kukaan muu. Ei edes WhatsAppin henkilökunta. Tämä on käyttämämme lukon ansiota: viestisi lukitaan lukon avulla, ja vain vastaanottajalla ja sinulla itselläsi on avain, jolla tämän lukon voi avata ja lukea viestin. JYU. Since

52 Henkilötiedot analyysin kohteena Facebook: Jopa 2,7 miljoonan eurooppalaisen tiedot annettu Cambridge Analyticalle. YLE Sosiaalisen median palvelu Facebook neuvotteli useiden amerikkalaissairaaloiden kanssa niiden potilastietojen käyttämisestä tutkimusprojektiinsa. Yhtiön tarkoituksena oli yhdistää saamansa potilastiedot itse käyttäjistään keräämän datan kanssa ja tutkia, voisiko se auttaa sairaaloita löytämään helpommin hoitoa kaipaavia ihmisiä. CNBC JYU. Since

53 Kiina pakottaa muslimivähemmistön asentamaan puhelimiinsa vakoilusovelluksen tottelemattomia uhkaa pidätys Terrorismin pelko on saanut kiinalaisviranomaiset reagoimaan uhkaan. Maassa asuvan muslimivähemmistön tulee asentaa Android-sovellus, jolla hallitus voi vahtia näiden tekemisiä. Kieltäytyminen johtaa pidätykseen korkeintaan 10 päiväksi. Jingwang-nimellä tunnettu Android-sovellus kerää tietoja käyttäjästään. Sen avulla viranomaiset toivovat havaitsevansa ne muslimit ja hallituksen toimintaa arvostelevat toisinajattelijat, jotka katselevat älypuhelimillaan kiellettyjä dokumentteja tai sähköisiä e-kirjoja. Kiellettyjen asioiden listalla ovat myös uskonnolliset tai terroristiset videot sekä kuvamateriaali, Softpedia kirjoittaa. Tiedonkeruuta voidaan helpottaa Jingwang kerää tietoja muun muassa langattomista verkoista, laitteen imei-koodin (puhelimen yksilöivä: International Mobile Equipment Identity) sekä tietoja sim-kortin sisällöstä. Lisäksi viranomaiset voivat valvoa sen avulla käyttäjän käymiä pikaviestikeskusteluja. JYU. Since

54 Sisäiset vs. ulkoiset uhat Source: IBM Think 2018 JYU. Since

55 Inhimilliset riskit JYU. Since

56 Suojautumisaste DELETE SUSPICIOUS S FROM PEOPLE THEY DON T KNOW HAVE AT LEAST A BASIC FREE ANTIVIRUS SOLUTION AVOID STORING SENSITIVE FILES ONLINE 90% 72% 78% VS. VS. VS. 60% 42% 53% VS. VS. VS. 56% 48% 33% Norton report 2013 JYU. Since

57 Laitteiden koti- ja työkäyttö 49% USE THEIR PERSONAL DEVICE FOR WORK AND PLAY* 36% SAY THEIR COMPANY HAS NO POLICY ON USE OF PERSONAL DEVICES FOR WORK* 30% OF PARENTS LET THEIR KIDS PLAY, DOWNLOAD AND SHOP ON THEIR WORK DEVICE ** 49% ACCESS OR SEND PERSONAL S THROUGH THEIR WORK DEVICE* 34% ACCESS THEIR SOCIAL NETWORK THROUGH THEIR WORK DEVICE* 27% STORE PERSONAL INFORMATION ON THEIR WORK DEVICE* *AMONG WORKING ADULTS **AMONG PARENTS WHO USE DEVICES PROVIDED BY THEIR EMPLOYER Norton report 2013 JYU. Since

58 Sosiaalisen median käyttö LOG OUT ****??? 39% OF SOCIAL MEDIA USERS DON T LOG OUT AFTER EACH SESSION 1/4 OF SOCIAL MEDIA USERS SHARE THEIR SOCIAL MEDIA PASSWORDS WITH OTHERS 31% OF SOCIAL MEDIA USERS CONNECT WITH PEOPLE THEY DO NOT KNOW Norton report 2013 JYU. Since

59 Suojaamattoman WiFi-verkon käyttö* 56% ACCESS THEIR SOCIAL NETWORK ACCOUNT 54% ACCESS PERSONAL E- MAIL 29% ACCESS THEIR BANK ACCOUNT 3/10 DO NOT ALWAYS LOG OFF AFTER HAVING USED A PUBLIC WI-FI CONNECTION 29% SHOP ONLINE 39% DO NOT TAKE ANY SPECIAL STEPS TO PROTECT THEMSELVES WHEN USING PUBLIC WI-FI *AMONG FREE/UNSECURED WI-FI USERS JYU. Since

60 Strateginen kommunikaatio Strateginen kommunikaatio on pitkän aikavälin kokonaisvaltaista toimintaa, jossa viranomaisyhteistyön, diplomatian, PR-työn ja informaatio-operaatioin edistetään kansallisia etuja. Kansallinen narratiivi JYU. Since

61 Informaatiosodankäynti Informaatio-operaatiossa on tarkoitus on vaikuttaa siihen miten ihmiset ajattelevat ja toimivat, ja tällöin keinoina voivat olla myös suorat taktiset toimet vastustajan kykyyn välittää omaa viestiään. Psykologisissa operaatioissa pyritään vaikuttamaan kohteen henkiseen kriisinkestävyyteen. Propagandaa, sensuuria, uhkailua, painostamista, disinformaatiota ja lokakampanjaa on yleensä edeltänyt pitkän ajan suunnittelu. Sosiaalisessa mediassa näkyvä häiriköinti ei yleensä ole itsetarkoitus, vaan keino paljon suuremmassa kehyksessä. Ilmiötä on myös vaikea tunnistaa, mutta tarkoituksena on tällöin aloitekyvyn kaappaaminen, eli keskustelun viemistä informaatiovaikuttajan haluamaan aiheeseen. JYU. Since

62 Esityksen sisältö 1 Digitaalisen maailman muutos 2 Kybermaailman uhkia 3 Kybermaailma ja ihminen 4 Yksityisyys 5 Turvallisuuden rakentaminen JYU. Since

63 Mitä on yksityisyys? Yksityisyys on yksilön tai ryhmän kyky eristää itsensä ja tiedot itsestään ja ilmaista itseään selektiivisesti. Yksityisyys tarkoittaa lähinnä fyysistä ja psyykkistä koskemattomuutta, oman arvokkuuden tunteen säilyttämistä ja itseään koskevan tiedon kontrollointia. Kysymys on myös mahdollisuudesta torjua sivullisten tunkeutuminen omaan elämään ja oikeudesta olla toisinaan yksin. (Väestöliitto) 1. Oikeus olla yksi 2. Yksityisyyden suoja 3. Salaisuus 4. Oman tiedon hallinta 5. Ihmisyys 6. Intimiteetti 7. Anonymiteetti 8. Autonomia JYU. Since

64 Oikeus olla yksin It has been interpreted to mean the right of a person to choose seclusion from the attention of others if they wish to do so, and the right to be immune from scrutiny or being observed in private settings, such as one s own home. US jurists Samuel D. Warren and Louis Brandeis: The Right to Privacy, 1890 JYU. Since

65 Yksityisyyden suoja Yksityisyyden suojalla viitataan Suomen perustuslain yksityiselämän suojaa käsittelevään pykälä 10 ja rikoslain lukuun, jossa kielletään kotirauhan ja viestintäsalaisuuden rikkominen sekä sellaisen toisen ihmisen yksityiselämää koskevan tiedon saattaminen lukuisten ihmisten saataville, josta voi aiheutua hänelle vahinkoa, kärsimystä tai häneen kohdistuvaa halveksuntaa. Sissela Bok: Privacy is the condition of being protected from unwanted access by others- either physical access, personal information, or attention. Yksityisyyden suojaan vaikuttavat lait ovat: Henkilötietolaki, Laki viranomaisten toiminnan julkisuudesta, Laki yksityisyyden suojasta työelämässä, Tietoyhteiskuntakaari EU:n yleinen tietosuoja-asetus, 2016/679 JYU. Since

66 Salaisuus Mahdollisuus salata valikoivasti, jolloin yksilöt pitävät osan tiedosta salassa ja yksityisenä, kun ne päättävät julkistaa osan tiedoista. JYU. Since

67 Oman tiedon hallinta GDPR: Tietosuoja-asetuksessa määritellään kansalaisen oikeudet liittyen henkilötietojen käsittelyyn. Asetuksen myötä jokaisella EU-kansalaisella on oikeus tarkistaa hänestä tallennetut tiedot, saada tieto siitä miten henkilötiedot on kerätty sekä miten niitä käsitellään ja kenelle niitä annetaan. Lisäksi kansalaisella on oikeus oikaista mahdolliset väärät tiedot sekä poistaa tietonsa rekisteristä. Vastaavasti asetuksessa säädetään rekisterinpitäjille velvollisuus toimia siten, että edellä esitetyt oikeudet toteutuvat. Charles Fried: Privacy is not simply an absence of information about us in the minds of others; rather it is the control we have over information about ourselves. JYU. Since

68 Ihmisyys Ihmisyys on status henkilönä olemista. Määrittelevä ihmisyys on kiistanalainen aihe filosofiassa ja laissa ja sidotaan läheisesti kansalaisuuden, tasa-arvon ja vapauden laillisilla ja poliittisilla käsitteillä. Lain antama suoja: Vain luonnollisella henkilöllä tai oikeushenkilöllisyydellä on oikeuksia, suojeluja, etuoikeuksia, vastuita ja laillista vastuuta. JYU. Since

69 Intimiteetti Intimiteetti liitetään yleensä henkilön fyysiseen kehoon ja sukupuoleen. Intimiteettisuojasta puhutaan yleensä terveydenhuollossa. Päiväkodeissa ja koulussa. Ernesto Garzón Valdés: The sphere of intimacy is the realm of our thoughts, our decision-making, of doubts that sometimes cannot even be clearly formulated, of what we repress, of what has not yet been expressed and perhaps never will be, not only because we do not wish to express it, but because it cannot be expressed; often it is the morass psychoanalysts have been interested in ever since Freud taught them to distinguish between id, ego, and super-ego. JYU. Since

70 Anonymiteetti Anomyniteetti on kyky kommunioida ilman, että toimijan henkilöllisyys tulee tunnetuksi (lähdesuoja mediassa). Anonyymi (anōnymos) tarkoittaa ilman nimeä, nimetön. JYU. Since

71 Autonomia Autonomia on kyky toimia itsenäisesti kontrolloiden henkilökohtaisen tiedon kokoamista, olemista ja jakamista. Autonomia (autonomos) muodostuu sanoista auto = itse ja nomos = laki tarkoittaen henkilöä, joka antaa itselleen oman lain. JYU. Since

72 Mikä on yksityistä internetissä? JYU. Since

73 Esityksen sisältö 1 Digitaalisen maailman muutos 2 Kybermaailman uhkia 3 Kybermaailma ja ihminen 4 Yksityisyys 5 Turvallisuuden rakentaminen JYU. Since

74 Kyberuhat ja riskit koulussa UHAT: ICT-järjestelmän lamauttaminen, tietovarkaudet, yksityisyyden loukkaus. RISKIT: Henkilökunnan osaamisvaje, puutteellinen kybersuojaus, heikko kyberturvallisuusprosessi (suunnitelma + jalkautus) JYU. Since

75 Kyberturvallisuuden rakentaminen Uhka Haavoittuvuus Riskin arvo Vastatoimenpiteet Kybervandalismi Kyberrikollisuus Kybervakoilu Ihmiset Prosessit Liiketoiminta, IPR Maine Sääntely - Toimintaohjeet - Määräykset Kyberkulttuuri - Eettiset arvot - Yhteisöllisyys - Yhteinen toimintapolitiikka Kyberterrorismi Teknologia Oikeudellinen, GDPR Systeemi - Riskien hallinta - Suojausteknologiat - Suorituskyvyt Kybersodankäynti Palautus ja korjaus JYU. Since

76 Kuka hallitsee kokonaisjärjestelmän? Programmer System Designer Software System Architect Database Architect Hardware System Architect System Producer System Integrators Hardware System Deployment Team Service Provider System Operators Data Warehouse Cloud Services HW Upgrade SW Upgrade Network Upgrade Software Patches and Upgrades (Libraries, DB, JYU. Since

77 Pommittaja pääsee aina läpi Prime minister Stanley Baldwin: "It is well for the man in the street to realise that there is no power on earth that can protect him from being bombed... the bomber will always get through. Speech in House of Commons of the Parliament of Great Britain in November Kyberhyökkäys pääsee aina läpi JYU. Since

78 Kyberturvallisuus koulussa Kyberturvallisuudella tarkoitetaan 1. Tavoitetilaa, jossa kyberympäristöstä ei aiheudu vaaraa, haittaa tai häiriötä oppilaille, opettajille tai muulle henkilöstölle (= kyberturvallinen työskentelyympäristö) 2. Kybertoimintaympäristön tilaa, jossa kaikki toimijat toteuttavat koulun toimintojen kannalta tarkoituksenmukaisia ja riittäviä kyberturvallisuusmenettelyjä (= kyberturvallisuuskulttuuri) 3. Kybertoimintaympäristön tilaa, johon perustuen vallitsee ymmärryksen myötä tuotettu luottamuksen tunne. (= turvallisuuden tunne) 4. Kybertoimintaympäristön ominaisuutta, jolla se kykenee vastustamaan kyberuhkia, sietämään niitä, vastaamaan niihin sekä toipumaan niistä (= kyberresilienssi) 5. Sääntelyä, normeja ja toimenpiteitä, joilla pyritään aikaansaamaan koulun kybertoimintaympäristön turvallisuus (= normatiivinen kyberturvallisuus) JYU. Since

79 Koulun toimintaprosessien tunnistaminen Koulun toimintaprosessien tunnistamisessa organisaation johdolla on ratkaiseva rooli. Kyettävä näkemään koulu kokonaisuutena, jotta prosesseihin liittyvät osatekijät ja niiden riskit voidaan tunnistaa. JYU. Since

80 Viisi kysymystä, mitä jokaisen rehtorin tulisi kysyä kyberturvallisuudesta 1. Onko koulun johtokunta täysin sitoutunut kyberturvallisuuteen? 2. Milloin viimeksi sinä ja johtokunta teitte kyberturvallisuusriskien arvioinnin? 3. Mikä tekee teistä kohteen hyökkäyksille? 4. Kuinka tiedot on suojattu ja turvattu? 5. Olenko tarjonnut turvallisuusorganisaatiollesi kaikki työkalut ja resurssit, joita se tarvitsee estämään kyberhyökkäyksen läpipääsyn? Source: Dwight Davis, Five questions every CEO should ask about cybersecurity, Enterprise Business, 2016 JYU. Since

81 Kyberturvallisuuden hallinta Kyberturvallisuuden hallinta voidaan jakaa seuraaviin osakokonaisuuksiin: 1. Tilannekuvan muodostaminen ja johtaminen 2. Riskien hallinta 3. Häiriötilanteiden hallinta 4. Jatkuvuuden hallinta JYU. Since

82 Kyberturvallisuuden tasapaino Technology factor Tehokkaampaa havaitsemisteknologiaa Kehittyneempää torjuntateknologiaa Tehokkaampaa salausta Human factor Johtajuutta Osaamisen hallintaa Kyberturvallisuuskulttuuri Kokonaisvaltaiset turvallisuusprosessit 82 JYU. Since

83 Henkilökohtainen kyberturvallisuus 1. Käytä luotettavia suojausohjelmistoja ja hoida päivitykset 2. Kaikki nettiin laitettu on siellä ikuisesti 3. Kaikki salaus- ja rajoitusasetukset ovat murrettavissa käytä kuitenkin hyvää salasanaa (salasana/palvelu), äläkä tallenna sitä selaimeen 4. Hoida raha-asioita vain oman tutun pankkisi kanssa 5. Älä ole yhteydessä tuntemattomiin netissä 6. Älä avaa epäilyttäviä posteja, erityisesti liitetiedostoja 7. USB-tikut ovat riskitekijä 8. Toteuta toimiva varmuuskopiointijärjestely 9. Se mikä tuntuu netissä tosi upealta on erittäin todennäköisesti huijausta 10. Kaikessa nettityöskentelyssä tarvitaan tervettä epäluuloa JYU. Since

84 Kybermaailman kehitys Uhkamaailman monimutkaistuminen: Hybridiuhat Informaatiooperaatiot, Kyberhyökkäykset Riippuvuus erilaisista digitaalisista verkoista ja niiden antamista palveluista. Digitalisaation eteneminen Keinoäly, Robotiikka, Automaatio IoT Työntekemisen digitalisaatio Laajeneva kyberhyökkäysala Dark Net Cyber Crime as a Service Pahuuden konvergenssi

85 Kiitos