TIETOTURVASTA SUOMELLE KILPAILUASE

Transkriptio

1 TIETOTURVASTA SUOMELLE KILPAILUASE PETTERI JÄRVINEN Turvallisuuden arvo kasvaa kaikkialla näkyvän epävarmuuden lisääntyessä. Siksi tietoturvasta ja luotettavuudesta pitää tehdä kiinteä osa Suomen maabrändiä.

2 Tietotekniikka eri sovelluksineen on tullut osaksi kansalaisten arkea. Työssä haemme tietoa verkosta, lähetämme dokumentteja sähköpostilla ja asioimme organisaation sisäisissä tietojärjestelmissä. Ennen tämä kaikki jäi taakse, kun työpaikan ovi päivän päättyessä suljettiin, mutta nykyisin verkkopalvelut seuraavat meitä kaikkialle. Iltaisin ja viikonloppuisin surffaamme verkossa, tarkistamme kaverien kuulumiset Facebookista, shoppailemme verkkokaupoissa, katsomme tv-ohjelmia Yle Areenasta ja kulutamme aikaa erilaisissa viihdesovelluksissa. It- ja viestintäpalvelut ovat kiinteä osa arkeamme. Kaikki tämä edellyttää toimivaa tietoturvaa. Päätelaitteiden, palvelinten ja verkkojen on toimittava riittävän luotettavasti ja niin, että nopeat yhteydet ovat saatavilla kaikkialla Suomessa. Verkkomaksujen ja luottokorttitietojen on pysyttävä salassa, eikä nettikäyttöämme saa seurata aiheettomasti. Valokuvien ja muiden omien tiedostojen on säilyttävä niin pitkää kuin haluamme, ja sen jälkeen niiden pitää hävitä yhtä turvallisesti, jotta kukaan ei pysty salaa palauttamaan niitä. Tietoturvan vastapuolella ovat tekniset häiriöt, ohjelmavirheet, inhimilliset tekijät sekä yhä suurempi joukko rikollisia, jotka pyrkivät hyötymään eri tavoin digitalisaatiosta. Rikolliset urkkivat pankkitietoja, kalastelevat verkkopalvelujen tunnuksia, harhauttavat yrityksiä siirtämään itselleen rahaa ja salakirjoittavat uhrin tärkeät tiedostot vaatien niistä lunnasrahoja. Sähköposti tulvii haittaohjelmia, tiedonkalasteluviestejä ja huijausyrityksiä. Tietoturva oli aluksi yritysten päänsärky. Kotitietokoneiden ja internetin myötä se alkoi 1990-luvulla ulottua myös koteihin ja henkilökohtaiseen elämään. Tällä vuosituhannella tietoturvasta on tullut kansalaistaitoa, jonka perusteet jokaisen pitää oppia jo koulussa. Yhteiskuntaopin tunnilla on aina käyty läpi liikennemerkit ja suojatiellä liikkuminen; vastaavalla tavalla pitää opettaa myös omien tietojen ja tiedostojen suojaaminen sekä verkossa liikkumisen tietoturva. Koulutuksen merkitys on jatkossa entistä suurempi, sillä eläkeläisten määrä kasvaa nopeasti ja heille elintärkeitä palveluita siirretään kustannussyistä verkkoon. Ellei ole työuransa aikana ollut tekemissä tietotekniikan kanssa, verkkopankin tai KELA-asioinnin hoitaminen omalla päätelaitteella voi olla ylivoimaista. Vanhemmat ihmiset ovat helppoa saalista nettihuijareille.

3 Tietoturvasta Suomelle kilpailuase PETTERI JÄRVINEN TIETOTURVASTA KYBERTURVALLISUUTEEN Tietoturvan merkitys nousee 2020-luvulla aivan uudelle tasolle. Kyse ei ole enää yrityksen eikä edes henkilön oman elämän turvaamisesta vaan kansallisesta edusta. Tietoturvasta tulee osa maanpuolustusta. Länsimaiden nopea verkottuminen on lisännyt oleellisesti niiden haavoittuvuutta. Maahan ei tarvitse hyökätä hävittäjien ja panssarivaunujen avulla - sähköjen ja nettiyhteyksien katkaiseminen riittää saamaan maan kaaokseen ja siten vihollisen armoille. Ilman verkkoja rahaliikenne pysähtyy ja viestintäyhteydet lakkaavat toimimasta. Vaikka elämme rauhallisia aikoja, lähes päivittäin uutisoidaan nettipalvelujen pätkimisestä, operaattorien häiriöistä ja maksuliikenteen takkuilusta. Muutama ajattelematon nuori pystyy käynnistämään netistä palvelunestohyökkäyksen, joka haittaa vakavasti pankkien toimintaa ja estää pankkiautomaatteja antamasta rahaa. Mitä tapahtuisikaan, jos jokin valtiollinen toimija tai riittävän iso rikollisryhmä haluaisi panna Suomen polvilleen? Arjen infrastruktuuri kuten nettiyhteydet, lämmön- ja sähkönjakelu, vesi- ja viemärilaitos, ilma- ja meriliikenne digitalisoitiin pikavauhtia, eikä rakentamisessa aina huomioitu tahallisen verkkohyökkäyksen tai sabotaasin mahdollisuutta. Näiden riskien hallitsemisessa on alettu puhua kyberturvallisuudesta, jossa tietoturva ulotetaan kattamaan itsestään selvinä pidetyt kansalliset perustoiminnot. Jos hyvin käy, valtiollisia verkkohyökkäyksiä ei koskaan tule. Silti niihin on varauduttava etukäteen, aivan kuten Suomi on historiansa aikana varautunut muihinkin kuviteltavissa oleviin uhkiin. Kyberturvallisuudessa kotitalouksilla tulee olemaan keskeinen rooli. Suomeen kohdistuvia verkkohyökkäyksiä voidaan torjua estämällä maan rajojen ulkopuolelta tulevaa haitallista liikennettä. Mutta jos hyökkääjä saa haltuunsa yrityksissä ja kodeissa olevia laitteita, se pystyy kanavoimaan toimintansa näiden kautta, jolloin liikenteen suodattaminen on liki mahdotonta. Internet of things -ajattelu (IoT) lisää nopeasti kotien älylaitteiden määrää. Tietokoneen, tabletin ja puhelimen lisäksi kotiverkossa voi olla valvontakamera, jääkaappi, televisio, wlan-tukiasema, sähköauto ja paljon muita keskenään verkotettuja laitteita. Näiden älylaitteiden tietoturvaa ei useinkaan ole suunniteltu tietokoneiden tapaan, mikä tekee niistä haavoittuvia. Tietoturvan merkitys korostuu myös toisella tavalla. Yhdysvaltojen sähköisen tiedustelun virastosta (NSA) kesällä 2013 loikannut Edward Snowden

4 paljasti, miten laajaksi verkkourkinta oli paisunut. Kenen tahansa sähköistä liikennettä voidaan tallentaa ja analysoida supertehokkaiden tietokoneiden ja tekoälyn avulla. Valtiolliset huippuhakkerit pystyvät murtautumaan melkein mihin tahansa tietojärjestelmiin, vaikkei niitä olisi edes kytketty nettiin. Suomi saattoi kuvitella, etteivät suurvallat ole kiinnostuneita vakoilemaan pientä puolueetonta maata. Ulkoministeriön lokakuussa 2013 paljastama vakoilutapaus osoitti toista. Yhdessä ministeriön verkoista oli jo pitkään pesinyt venäläinen, erittäin kehittynyt vakoiluohjelma, joka havaittiin vasta Ruotsin tietoliikennetiedustelun antaman vihjeen perusteella. Tapaus osoitti, että osana EU-perhettä Suomi kiinnostaa myös suurvaltoja. Siksi tietoturvasta on huolehdittava kaikilla tasoilla kodeista aina valtionhallintoon asti. TIETOTURVA OSANA MAABRÄNDIÄ Tietoturvan kasvava merkitys avaa Suomen kaltaisille maille uusia mahdollisuuksia. Suomella on maine rauhallisena ja turvallisena maana. Sisäiset olot ovat vakaat, kansanluonne jäyhä ja luonnonkatastrofit rajoittuvat syysmyrskyihin. Tätä turvallisuusmielikuvaa pitää laajentaa kattamaan myös tietoturva. Siihen on hyvät mahdollisuudet, sillä Suomen tietoverkot ovat maailman toiseksi puhtaimmat. Vain Japanissa liikkuu verkkoliikenteen määrään suhteutettuna yhtä vähän haittaohjelmia. Kunnia hyvästä kehityksestä kuuluu pitkäjänteiselle tietoturvavalistukselle, jota ovat tehneet niin operaattorit kuin Viestintäviraston alainen Kyberturvallisuuskeskus. Suomalaiset ovat keskimääräistä paremmin koulutettuja ja pieni kielialue suojelee meitä kansainvälisiltä huijauskampanjoilta. Nokia-historian ansiosta mobiilidatan kulutus on maailman huippua ja mobiililaitteiden tietoturva on jo lähtökohtaisesti pc-koneita paremmalla tasolla. Niihin ei voi edes vahingossa asentaa sähköpostin tuomia haittaohjelmia ja kun sovellusten jakelu hoidetaan keskitetysti Applen tai Googlen omasta kaupasta, ohjelmien turvallisuudesta on helppo huolehtia. Eräs merkittävä tekijä on myös Suomessa omaksuttu käytäntö, jonka mukaan operaattorilla on oikeus selvittää haittaohjelmaa levittävän ip-osoitteen haltijatiedot ja katkaista yhteys, kunnes saastunut kone on puhdistettu. Snowdenin paljastuksista kävi ilmi, että joitakin kaupallisia salausohjelmia oli tahallisesti heikennetty ja amerikkalaiset viranomaiset saivat tietoja nettipalvelujen asiakkaista ikään kuin tiskin alta.

5 Tietoturvasta Suomelle kilpailuase PETTERI JÄRVINEN Kaikki suuret valtiot panostavat sähköiseen tiedusteluun, eikä raja valtiollisen tiedustelun ja toisaalta teollisuusvakoilun välillä ole aina selvä. On luultavaa, että tiedustelusta tihkuu tietoja, jotka hyödyttävät oman maan yrityksiä onhan taloudellinen turvallisuus kansallisen edun mukaista. Turvallisuuden arvo kasvaa kaikkialla näkyvän epävarmuuden lisääntyessä. Siksi tietoturvasta ja luotettavuudesta pitää tehdä kiinteä osa Suomen maabrändiä. Kansainvälisillä markkinoilla toimivat suomalaiset tietoturvayhtiöt hyötyvät isoja toimijoita kohtaan tunnetuista epäluuloista. Esimerkiksi F-Secure, SSH ja Nixu voivat myydä tuotteitaan ja palveluitaan ilman, että asiakkaan tarvitsee pelätä niissä olevia valtion takaovia. Pienuus kääntyy eduksi, riippumattomuus kilpailutekijäksi. Osaajien kouluttaminen vaatii kuitenkin määrätietoista, pitkäjänteistä työtä ja vanhoista malleista irtautumista. Hyvinvointia ja kasvua luodaan yhä enemmän palveluilla. Myös uusia laitteita tarvitaan: kotien älykkäät palomuurit, keinotodellisuuden päätelaitteet ja salasanoja vahvemmat todennusmenetelmät tarjoavat uusia bisnesmahdollisuuksia. Tietoturvamielikuvat ja huippunopea datayhteys Saksan kautta koko Eurooppaan ja jonain päivänä myös Koillisväylän kaapelin kautta Aasiaan asti lisäävät maamme kiinnostavuutta datakeskusten kotipaikkana. Google avasi vanhaan Summan paperitehtaaseen rakentamansa konesalin vuonna 2011 ja on investoinut siihen vuosien mittaan noin miljardi euroa. Muut yritykset ovat sijoittaneet miljardin pienempiin keskuksiin. Vaikka datakeskukset luovat toimiessaan vain vähän pysyviä työpaikkoja, niiden rakentamisella on merkittäviä työllisyysvaikutuksia. Joillakin paikkakunnilla datakeskukset voivat hyödyntää aiemmalta teollisuudelta vapaaksi jääneitä kiinteistöjä ja nettiyhteyksiä. Valmistuttuaan keskusten tuottamaa lämpöä voidaan hyödyntää lähiseudun asuintaloissa. USA:SSA MARKKINAT OMISTAVAT KÄYTTÄJÄN DATAN Tietosuojalla tarkoitetaan henkilötietojen turvaamista niin, ettei tietoja urkita eikä niitä käytetä aiheettomasti. Tietosuojan käsite on hyvin laaja, sillä henkilötiedoiksi lasketaan kaikki sellainen data, joka kuvastaa suoraan tai epäsuorasti yksittäisten ihmisten toimintaa. Tavallisten nimi- ja osoitetietojen lisäksi tietosuojan piiriin kuuluvat muun muassa sijaintitiedot, kulutustiedot ja ip-osoitteet, jos ne voidaan toisen rekisterin kautta kytkeä tiettyyn henkilöön.

6 Henkilökohtaisen datan merkitys korostuu tulevaisuudessa, sillä data on digitalisaatiolle samanlaista polttoainetta kuin öljy ja sähkö perinteiselle teollisuusyhteiskunnalle. Tietoja keräämisestä ja käsittelemisestä syntyy uusia palveluita ja uutta liiketoimintaa. On vanhanaikaista kuvitella, että tietojen keräämiseltä voisi välttyä omilla valinnoilla. Kaikesta sähköisestä toiminnasta jää digitaalisia jälkiä verkkoon ja palvelimille. Emme enää pärjää ilman Googlea tai älypuhelimia. Oma, näkyvä jalanjälki verkossa ei ole välttämättä huono asia, sillä se todistaa myös kuka olemme ja mitä osaamme. Jatkossa on pohdittava muita henkilötietoihin liittyviä kysymyksiä, kuten omistajuutta. Maaperästä kaivettu öljy kuului porausyhtiölle ja maanomistajalle, generaattorin tuottama sähkö kuului sähköyhtiölle. Mutta kuka omistaa meistä ihmisistä kerätyn datan? Kenellä on oikeus päättää sen käytöstä ja millä ehdoilla käsittelyn tulee tapahtua? Yhdysvalloissa nämä keskeiset kysymykset on jätetty markkinoiden päätettäviksi. Ainakin näin parin ensimmäisen vuosikymmenen kokemusten perusteella päätös näyttää oikealta, sillä se on mahdollistanut Googlen ja Facebookin kaltaisten nettijättien syntymisen. Ne ovat voineet kerätä tietoja ja hyödyntää tuloksia liiketoiminnassaan lähes rajoituksetta. Vastalahjaksi käyttäjät ovat saaneet hienosti toimivia ja ilmaiselta näyttäviä palveluita. Ne eivät tietenkään ole ilmaisia, vaan käytöstä maksetaan antamalla lupa urkintaan ja tarkasti kohdennettuun markkinointiin. EU ANTAA KANSALAISILLE OIKEUDEN MÄÄRÄTÄ EU on valinnut toisen lähestymistavan. Yksityisyys nähdään perusoikeutena, josta poikkeamiseen pitää olla hyvät perustelut ja henkilön itsensä antama suostumus. Toukokuussa 2018 tulee voimaan uusi tietosuoja-asetus, joka velvoittaa organisaatiot suunnittelemaan, dokumentoimaan ja ohjeistamaan henkilötietojen käsittelyn huomattavasti aiempaa tarkemmin. Sitä joutuvat noudattamaan myös EU-alueen ulkopuolelta eurooppalaisille palveluitaan tarjoavat nettijätit. Tietosuoja-asetus vahvistaa EU-kansalaisten oikeutta määrätä henkilötietojensa kaupallisesta hyödyntämisestä. Tämä niin sanottu omadata-periaate on tervetullut askel oikeaan suuntaan. Asiakkaat voivat pyytää omat tietonsa nettipalveluista ja siirtää ne vaikka paremman tarjouksen tekevälle kilpailijalle. Omien tietojen käytön voi myös kieltää. Kaikki tämä edellyttää aiempaa

7 Tietoturvasta Suomelle kilpailuase enemmän tietoturvaosaamista ja tietojen taloudellisen arvon ymmärtämistä. Henkilötiedoista käyty julkinen keskustelu on lisännyt kuluttajien tietoisuutta asiasta. Kun S-ryhmä ilmoitti kesällä 2016 alkavansa käyttää bonuskorteilla kerättyä tietoja täsmämarkkinointiin, asiasta nousi julkinen kohu. Muutaman viikon kuluttua S-ryhmä muutti suunnitelmiaan niin, että asiakas voi itse vaikuttaa tietojensa hyödyntämiseen. Vain harva asiakas lähti lopulta kieltämään tietojensa käyttöä markkinointiin, mutta periaatteellinen voitto oli tärkeä. EU uskoo, että pitkällä tähtäimellä eurooppalaiset yritykset hyötyvät tiukemmasta tietosuojasta, koska se lisää kuluttajien luottamusta palvelutarjoajia kohtaan. Ainakin se vauhdittaa digitaalisten sisämarkkinoiden syntyä ja helpottaa kaikissa EU-maissa tarjottavien digipalveluiden luomista. Yritysten ei enää tarvitse hoitaa tietosuoja-asioita maakohtaisesti, vaan asiointi oman maan viranomaisten kanssa riittää. Asetuksen myötä tietosuojalait myös harmonisoituvat niin paljon, että maakohtaiset erot jäävät vähäisiksi. Suomessa tietosuojakysymykset on aina otettu vakavasti, eikä pahoja tietovuotoja tai väärinkäytöksiä ole tullut ilmi. Luottamus viranomaisia kohtaan sekä kattavat ja ajan tasalla olevat rekisterit ovat aina olleet suomalaisen julkishallinnon vahvuus. Näistä lähtökohdista on hyvä lähteä kehittämään tietoturvallisia ja tietosuojan takaavia digipalveluita EU-markkinoille. PETTERI JÄRVINEN

8 Tiiviisti Kun älykkäiden laitteiden määrä verkossa kasvaa, kyberriskit kasvavat Kuluttajilla on tärkeä rooli tietoturvallisen Suomen rakentamisessa Kun tietoturvaongelmat lisääntyvät, Suomen mahdollisuus erottua turvallisena maana paranee Suomen on otettava tietoturva osaksi maabrändiä USA:ssa yritykset omistavat käyttäjän datan, EU uskoo tiukan tietosuojan lisäävän kuluttajien luottamusta yrityksiin.