ASIANAJOTOIMINTAA KOSKEVIA SÄÄDÖKSIÄ JA OHJEITA

Transkriptio

1 B 5.2 TIETOTURVAOPAS ( ) Tietoturvallisuudella tarkoitetaan tietojen, tietojärjestelmien ja palveluiden asianmukaista suojaamista. Tietojen luottamuksellisuutta, eheyttä ja käytettävyyttä suojataan erilaisten vikojen, luonnontapahtumien sekä tahallisten, tuottamuksellisten tai tapaturmaisten tekojen aiheuttamilta uhilta ja vahingoilta. Tietoturvauhat ovat todellisia ja jokapäiväisiä. Mitä enemmän tietoja käsitellään sähköisessä muodossa, sitä enemmän tietoturvan merkitys korostuu. Paljon luottamuksellisia tietoja käsittelevälle asianajajalle tietoturvan huomiointi on ehdottoman välttämätöntä. Tietoturva on laaja käsite, joka muodostuu useasta osatekijästä. Kallis palomuuri tai uusinkaan virustentorjuntaohjelma ei auta, jos kannettava tietokone varastetaan tai ulkopuolinen pääsee käyttämään toimistolla olevia tietokoneita ilman valvontaa. Tietoturvan riittävä taso Tietoturva on juuri niin hyvä kuin sen tiedon käsittelyn heikoin lenkki. Käsittelyn heikoin lenkki on yleensä tiedon käsittelijä itse. Tietoturvaan voidaan lisäksi vaikuttaa käytettävillä teknisillä ratkaisuilla sekä henkilöstön kouluttamisella. Tietoturvan riittävä taso on aina perustelukysymys. Riittävänä tasona voitaneen yleensä pitää sellaista tasoa, jonka noudattamisen asiakas kulloinkin vallitsevissa olosuhteissa katsoo asianajajalle antamiensa tietojen suojaamiseksi olevan tarpeellinen. 1. Toimitilat Toimitilojen murto-, palo- ja muut vastaavat vahingot on pyrittävä ennaltaehkäisemään. Toimitilojen lukitus- ja mahdolliset hälytysjärjestelmät ovat ensimmäinen tae tietoturvallisesta toimistosta. Tilojen suojaamisen tasoon voivat vaikuttaa esimerkiksi kyseisen rakennuksen yleinen lukitus ja suojaus sekä muut samassa rakennuksessa toimivat tahot. Toimitilojen laajuuden ja henkilökunnan määrän mukaan on syytä harkita toimitilojen osastoimista lukittavilla väliovilla. Työhuoneiden ja muiden tilojen ovien on hyvä olla lukittavia. Palvelimet tulisi sijoittaa sellaisiin lukittaviin tiloihin, joihin on pääsy vain erikseen sovituilla henkilöillä. 1.1 Laitteiden sijoittaminen Laitteiden sijoittaminen on syytä suunnitella niin, etteivät ulkopuoliset henkilöt pääse näkemään esimerkiksi faksilla saapuvia ja tulostettavia asiakirjoja. Myös postin SAL / Helmikuu 2013 B 5 / (17)

2 käsittelyssä on huomioitava tietoturvan vaatimukset. Nämä toiminnot on pyrittävä sijoittamaan muualle kuin aula- tai vastaanottotiloihin. 1.2 Tilojen suunnittelu ja vieraiden liikkuminen Asiakkaiden ja muiden toimiston ulkopuolisten henkilöiden liikkuminen ja oleskelu toimitiloissa on suunniteltava niin, ettei toimiston tietoturva vaarannu. Tämä on huomioitava myös neuvottelutiloja järjestettäessä. Asiakkaat ja muut toimiston ulkopuoliset henkilöt tulee vastaanottaa heidän saapuessaan toimistoon ja henkilökunnan tulee ohjata heidät oikeaan paikkaan. Huoltotehtäviä suorittavat henkilöt tulee erikseen tunnistaa. Jos toimistossa on paljon henkilökuntaa, heidän tunnistamisessaan voi käyttää esimerkiksi kulkulupaa tai muuta henkilökorttia. Kulkulupa on peruutettava välittömästi palvelussuhteen päättyessä. 1.3 Tietokoneiden lukitus ja muun aineiston säilytys Toimistossa olevien tietokoneiden tulisi lukittua, mikäli niitä ei käytetä lyhyehkön ajan kuluessa. Lukituksen poistoon tulee määritellä salasana. Erityisesti vastaanottoja vierastiloissa olevat tietokoneet on lukittava poistuttaessa paikalta lyhyeksikin aikaa. Koneet ja laitteet olisi hyvä sammuttaa työpäivän päättyessä eikä jättää niitä valmiusasentoon, ellei esimerkiksi varmuuskopiointi edellytä sitä. Myös asiakirjojen ja muun aineiston säilytys on syytä miettiä tietoturvan näkökulmasta. Esimerkiksi työhuoneissa olevat kaapit mahdollistavat asiakirjojen säilyttämisen siten, etteivät ne ole muiden henkilöiden nähtävillä. Tarvittaessa ulkopuolisten palveluntarjoajien, esimerkiksi siivoojien tai atk-henkilöiden kanssa, on tehtävä kirjallinen salassapitosopimus. ennaltaehkäise vahingot lukitse tietokone, vaikka poistuisit paikaltasi lyhyeksikin aikaa pidä huolta asiakirjoista ja sähköisestä aineistosta ajattele tietoturvallisesti 2. Luottamuksellista tietoa sisältävien laitteiden suojaaminen Kannettava tietokone ja muu muisti (esim. ulkoinen kovalevy tai muistitikku) voi joutua anastusrikoksen kohteeksi tai se voi kadota käyttäjänsä huolimattomuuden johdosta. Muistitikkuja käytettäessä tulee tekninen malli valita siten, että tikku itsessään sisältää teknisen salausmahdollisuuden. Kannettavassa tietokoneessa ja ulkoisissa kovalevyissä tulee käyttää omaa teknistä salausmahdollisuutta, jos sellainen on olemassa. Muutoin käyttäjän tulee huolehtia laitteiden käytöstä ja säilytyksestä siten, että niissä olevat luottamukselliset tiedot ovat suojassa ja mahdollisuuksien mukaan tuhottavissa etäyhteyksillä laitteen kadotessa. SAL / Helmikuu 2013 B 5 / (17)

3 2.1 Kannettavat tietokoneet ja pöytäkoneet Kannettavien tietokoneiden osalta riski joutua anastusrikoksen uhriksi on suurempi kuin pöytätietokoneiden, joten salaus tulisi ottaa erityisesti niiden käytössä huomioon. Pelkkä käyttäjätunnus ja salasana suojaavat pc- tai muuhun laitteeseen kirjautumista, mutta eivät tietokoneessa, ulkoisella kovalevyllä, puhelimessa, muistissa tai kiintolevyllä olevaa sisältöä/tietoja. Tunnukset on helppo ohittaa, jolloin tietoihin päästään käsiksi. Siksi kiintolevyn salaaminen eli kryptaus on suositeltavaa. Mikäli kone anastetaan, tiedostoja ei voida lukea ilman kryptauksen salasanaa. Pöytäkoneiden tulee olla ainakin salasanalla suojattuja. Pöytäkoneiden kovalevy ja tiedostot voidaan myös kryptata ja näin ollen vaikeuttaa tiedostoihin pääsyä varkaustilanteessa. Hyvä käyttäjätunnus ja salasana ovat myös tarpeen pöytäkoneissa, niin työpaikalla kuin kotonakin (ks. kohta 4). Hyvä ennaltaehkäisytapa on laittaa laitteet aina pois näkyvistä, jolloin ne eivät herätä huomiota. Varkaustilanteessa aineelliset vahingot voivat jäädä pieniksi, mutta kadonnut tieto saattaa olla korvaamatonta. Tiedot tuleekin varmuuskopioida säännöllisesti (ks. kohta 6). Luottamukselliset tiedostot on hyvä suojata kryptaamalla! Kannettavia tietokoneita toimiston ulkopuolella käytettäessä tulee huolehtia siitä, että ohikulkevat tai lähistöllä olevat ulkopuoliset eivät voi lukea käsiteltävää tiedostoa. Paljon liikkuvan on suositeltavaa asentaa näytön pintaan suojakalvo, etenkin silloin kun tekee töitä julkisissa tiloissa tai matkoilla esimerkiksi lentokentällä tai junassa. Kun konetta käytetään kotona työkoneena, muiden perheenjäsenten ei tulisi sallia käyttää sitä nettisurffailuun tai pelailuun. Kone on vain ja ainoastaan käyttäjänsä työväline ja se sisältää vain työhön kuuluvat ohjelmistot. Nuoret lataavat netistä usein mm. musiikkia, elokuvia, pelejä ja muita tiedostoja, eivätkä välttämättä osaa aavistaa seurauksia. 2.2 USB-muistitikut ja ulkoiset kovalevyt USB-muistitikkuja ja ulkoisia kovalevyjä on nykyään paljon saatavilla ja niiden käyttö on yleistynyt. Muistitikulle on helppo tallentaa tärkeitäkin tiedostoja, mutta pienen kokonsa vuoksi tikku myös katoaa helposti. Muistitikkujen käyttö ei tästä syystä ole suositeltavaa. Mikäli kuitenkin on välttämätöntä kuljettaa muistitikulla luottamuksellista materiaalia, tulisi käyttää hyvin salattuja muistitikkuja, joissa on oma sisäänrakennettu salausjärjestelmä. Myös ulkoinen kovalevy tulisi salata, jos sillä säilytetään luottamuksellista tietoa. Varkaiden on helppo ottaa ulkoinen kovalevy mukaansa. Tästä syystä tulisi käyttää koko kovalevyn tai muistin salausta (kryptausta). Katso myös kohta 10 - Tietoa sisältävien laitteiden myynti ja hävitys. SAL / Helmikuu 2013 B 5 / (17)

4 2.3 Puhelimet Puhelin on nykyään jokaisella mukana kulkeva monitoimilaite. Laitetoimittajan jäljiltä puhelimessa on PIN-koodikysely ja mahdollisuus aktivoida puhelimen lukitus tapahtuvaksi määräajassa sen jälkeen, kun puhelimen aktiivinen käyttö on lopetettu, mutta virta laitteessa on päällä. Puhelinta käytettäessä tulee ottaa huomioon siihen sisältyvä tietoturvariski. Puhelimeen voi päästä käsiksi ulkopuolinen, jolla ei ole oikeutta nähdä puhelimessa olevia luottamuksellisia tietoja. Riskiä voi ensinnäkin minimoida huolehtimalla siitä, että puhelimessa ei ole mitään erityisen arkaluonteisia tietoja. Myös sähköpostit, yhteystiedot ja kalenterimerkinnät ovat salassa pidettävää tietoa! Tämän jälkeen helppo varokeino on aktivoida suojakoodikysely ja puhelimen etälukitus- ja etätyhjennysmahdollisuus. Mikäli puhelimen tiedot haluaa oikeasti salata, tulee se ottaa huomioon puhelinlaitetta ja -mallia valittaessa. Eri puhelinmalleissa on erilaisia mahdollisuuksia puhelimessa olevien tietojen salaamiseen. Käytännössä salaaminen on merkityksellistä vain puhelimen ollessa suljettuna. Tietoja salattaessa tulee kuitenkin muistaa, että salasanan unohtamisella menetetään kaikki puhelimessa olevat tiedot. 2.4 Käyttöjärjestelmien ja ohjelmien päivittäminen Tietokoneiden käyttöjärjestelmät (esim. Windows, Apple, Linux) ja muut käytössä olevat ohjelmat tulee päivittää aina, kun uusia päivityksiä on saatavilla. Käyttöjärjestelmiin on sisäänrakennettu automaattinen päivitystoiminto, jonka kautta valmistaja hyvin usein jakaa tietoturvapäivityksiä. Uusimmissa käyttöjärjestelmissä myös pc-laitteen laiteohjelmat (ajurit) päivittyvät automaattisesti. Päivitykset lisäävät koneessa olevan käyttöjärjestelmän turvallisuutta ja saattavat lisätä uusia ominaisuuksia toimistosovelluksiin. Huom: Päivitykset eivät juuri koskaan tule sähköpostin liitteenä! Myös selain ja muut ohjelmat pitää päivittää, kun näille tulee tarjolle uusia päivityksiä. Kaikki ohjelmat on suositeltavaa päivittää säännöllisin väliajoin. Nämä tulevat myös automaattisesti ladattuina koneelle, jos on sallinut automaattiset päivitykset. On suositeltavaa asentaa ohjelmistot päivittymään automaattisesti! Manuaaliset itse tehdyt päivitykset tulee tehdä ainoastaan virallisilta päivityssivustoilta. Kun käytössä olevaan käyttöjärjestelmään ei enää saa päivityksiä, on sen uusiminen toteutettava. Pidä huolta, että käyttöjärjestelmääsi edelleen tuetaan ja siihen saa päivityksiä ohjelman valmistajalta. Esimerkiksi Microsoftin, Applen ja Linuxin vanhempiin käyttöjärjestelmiin ei enää jaeta päivityksiä. Käyttöjärjestelmän tiedostojen jakoasetukset kannattaa asettaa minimiin tai poistaa kokonaan, jollei toimistossa ole työryhmää tai työryhmiä, joiden kesken aineistoa pitää voida jakaa. Tiedostojen jakokansio on kansio, jolla voidaan jakaa kansion SAL / Helmikuu 2013 B 5 / (17)

5 sisältöä usealle sisäverkossa olevalle tietokoneelle. Myös tiedostopalvelimelle tehtyjen jakokansioiden käyttö- ja muokkausoikeuksien pitää olla kunnossa, jotta ulkopuoliset tai ne henkilöt, joilla ei ole tietojen kanssa mitään tekemistä, eivät pääse käsiksi tietoihin. Tiedostojen jakotoimintoa ei kannata käyttää ilman erityistä syytä! käytä luottamuksellisten tietojen salausta eli kryptausta pidä tietokone ainoastaan omassa käytössäsi suojaa tietosi myös ulkoisilla kovalevyillä sekä muistitikuilla ota huomioon puhelimeen sisältyvä tietoturvariski valitse mahdollisimman tietoturvallinen puhelinmalli aktivoi suojakoodikysely ja puhelimen etälukitus- ja etätyhjennysmahdollisuus päivitä ohjelmistot ja käyttöjärjestelmäsi säännöllisesti älä käytä tiedostojen jakotoimintoa ilman erityistä syytä ajattele tietoturvallisesti 3. Langattomien yhteyksien suojaus 3.1 Langattomat verkot Langaton tietoliikenneverkko helpottaa nykyaikana olennaisesti toimiston toimintojen järjestämistä. Verkkoa rakennettaessa tulee kuitenkin muistaa, että suojaamattomaan langattomaan verkkoon voi kytkeytyä kuka tahansa ulkopuolinen ilman mitään tietotaitoa it-alasta. Toimiston verkko tulee siten suojata ja myös tekniikan salliessa piilottaa siten, ettei sen olemassaoloa voi sattumalta havaita. Verkko tulee mahdollisuuksien mukaan suojata kulloinkin murtamattomana pidettävällä salaustekniikalla. Asiakkaille mahdollisesti käyttöön tarkoitettu verkko tulee pitää erillään toimiston omassa käytössä olevasta verkosta. Verkon salausta toteutettaessa tulee ottaa huomioon atk-järjestelmän kokonaisratkaisut. Salaus tulee toteuttaa verkossa tapahtuvan liikenteen mukaan ja sen mukaan, kuka ja minkä verkon kautta voi kytkeytyä eteenpäin. 3.2 Salauksen järjestäminen Teknisiä ratkaisuja toteutettaessa kannattaa aina käyttää asiantuntija-apua. Palveluntarjoajaa valittaessa kannattaa mahdollisuuksien mukaan tarkistaa yrityksen taustoja. Päivityksiä järjestelmiin teetettäessä tulee tarkistaa, että työtä tekemään tuleva henkilö todella on palveluntuottajan palveluksessa. suojaa ja (jos mahdollista) piilota toimiston langaton tietoliikenneverkko pidä vieraille tarkoitettu avoin verkko erillään toimiston omassa käytössä olevasta verkosta ajattele tietoturvallisesti SAL / Helmikuu 2013 B 5 / (17)

6 4. Käyttäjätunnukset ja salasanat 4.1 Salasanan valinta Salasanojen huolellisen käytön tarkoituksena on pienentää ulkopuolisten mahdollisuutta läpäistä organisaatioiden tietoturvajärjestelmiä ja vähentää tietoturvavuotoja. Henkilön tunnistamiseen voidaan käyttää mm. salasanoja, kryptattuja eli salattuja web-avaimia, käyttäjätunnuksia ja sormenjälkiä (sormenjälkitunnistin). Tietokoneet tulee suojata käyttöjärjestelmän salasanaa vahvemmalla suojauksella, mikäli riski koneen varastamisesta on tavanomaista suurempi. Käyttöjärjestelmän salasanasuojaus estää vain asiantuntematonta kokeilijaa käyttämästä tietokonetta. Mikä tahansa tietokone voidaan kuitenkin käynnistää CD-levykkeellä esim. Linuxkäyttöjärjestelmään, jolloin päästään salasanan ohi kaikkiin koneen sisältämiin tiedostoihin. On myös olemassa käynnistyslevyjä, joilla koneen oma salasana voidaan nollata tai vaihtaa. Näiden keinojen käyttö edellyttää kuitenkin tavanomaista enemmän teknistä osaamista ja tietenkin tahallisuutta. Salasanaa, jota käytetään yrityksen verkkoon tai työasemille, ei saa käyttää internetpalveluiden salasanana. Jos internet-palvelut ovat tietoturvan kannalta kriittisiä, tulee eri palveluissa käyttää eri salasanaa ja varmistaa aina, että on kirjautumassa omaan palveluunsa. Se, että yhteydenottokehote ilmestyy näyttöön ja pyytää salasanaa, ei itsessään merkitse, että se pitäisi kirjoittaa. Vältä kaikkia epätavallisia yhteydenottokehotteita. Älä myöskään hyväksy käyttöjärjestelmän ehdotusta tallentaa salasana. Jos huomaat mitä tahansa outoa sisään kirjautuessasi, vaihda heti salasanasi. Kun mietit itsellesi salasanoja, vältä kaikkia merkkijonoja, jotka ovat todellisia sanoja, nimiä, sana- tai numeroyhdistelmiä jossakin kielessä, sillä salasananarvausohjelmat käyttävät laajoja sanakirjoja ja osaavat myös yhdistellä sanoja, myös lopusta alkuun kirjoitettuna. Paras salasana on sepitetty merkkijono (esimerkiksi lyhennelmä lauseesta, jota et unohda). Salasanoja ja käyttäjätunnuksia ei saa kirjoittaa lapulle, tallentaa tietokoneelle, ilmoittaa sähköpostitse tai säilyttää asiattomien henkilöiden ulottuvilla. Huolehdi kuitenkin siitä, että tietoihin päästään käsiksi esim. onnettomuus- ja sairaustapauksissa. Muista myös vaihtaa salasanasi säännöllisesti ainakin muutaman kuukauden välein. Hyvän salasanan tunnusmerkkejä: - mahdoton arvata - helposti muistettavissa - ei ole aiemmin käytetty - sisältää vähintään 8 merkkiä (suositus v. 2012) - sisältää ainakin yhden numeron SAL / Helmikuu 2013 B 5 / (17)

7 - sisältää ainakin yhden ison kirjaimen - sisältää ainakin yhden erikoismerkin (.,-!"#%&/()=?+ jne.) - ei muistuta käyttäjätunnusta - valitse salasanat huolellisesti em. ohjeita noudattaen - käytä eri salasanaa työpaikan tietojärjestelmissä, vapaa-aikaan liittyvissä verkkopalveluissa ja sähköpostipalveluissa - suojaa salasanat muiden katseilta - vaihda salasanasi säännöllisesti - varmista, että tietoihin on hätätapauksissa pääsy - ajattele tietoturvallisesti 5. Virustorjunta ja palomuuri 5.1 Virustorjunta Asianajotoiminnalle riskejä saattavat aiheuttaa virukset ja haittaohjelmat, joita on useita tyyppejä. Suurimpia riskejä aiheuttavat virukset, jotka tuhoavat tarkoituksellisesti tiedostoja tai tietoja, haittaohjelmat, jotka sallivat vieraiden pääsyn tietokoneelle ohittaen normaalit tietoturvamekanismit, sekä vakoiluohjelmat, jotka keräävät tietoja ja lähettävät ne isännälleen. Asianajotoimistolla tulee olla toimiva ja ajan tasalla oleva viruksentorjuntaohjelma, joka estää virusten ja muiden haittaohjelmien tarttumista toimiston järjestelmiin ja tietokoneille. Ohjelman tulee päivittää virustietokannat automatisoidusti mieluiten päivittäin. Viruksentorjuntaohjelman tulee käydä läpi saapuvat sähköpostiviestit sekä tiedostot ja ohjelmat ennen kuin ne avataan tai suoritetaan. Suositeltavaa on määrittää ohjelma tekemään koko tietokoneen tarkastuksen esim. kerran kuukaudessa. Virustorjunta on välttämätön riippumatta käytössä olevasta käyttöjärjestelmästä (Windows, Mac, Linux). Asianajotoimiston henkilökuntaa tulee kouluttaa toimintatavoista, joilla riskiä virusten leviämisestä voi vähentää. Tuntemattomilta tahoilta tulevia, varsinkaan otsikkonsa tai sisältönsä perusteella epäilyttäviä sähköpostiviestejä eikä etenkään niissä olevia liitteitä tai linkkejä tule edes avata. On syytä myös tiedostaa, että lähettäjätieto saattaa olla väärennetty eli viesti ei välttämättä ole lähettäjäksi mainitun tahon lähettämä. Liite tai linkki saattaa myös olla jotain aivan muuta kuin viestissä väitetään. Kaikkiin epäilyttäviin viesteihin tulee suhtautua varauksella. Asianajotoiminnassa käytettävillä tietokoneilla ei tule käydä sellaisilla internetsivuilla, joilta tunnetusti leviää haittaohjelmia (esim. aikuisviihde- tai SAL / Helmikuu 2013 B 5 / (17)

8 5.2 Palomuuri (firewall) uhkapelisivustot). On myös syytä suhtautua varauksella sinänsä asiallisillakin sivustoilla oleviin mainoksiin, linkkeihin sekä tarjottaviin ohjelmiin. USB-muistitikku tai muu tietoväline on syytä tarkastaa virustorjuntaohjelmalla, jos sille on talletettu tietoa oman tietojärjestelmän ulkopuolelta (esim. internetistä) tai jos se on ollut jonkun toisen henkilön käytössä. Mikäli epäillään koneen saaneen viruksen, tulee ohjelmaa käyttäen tarkastaa ja puhdistaa tietokone. Mikäli tietokone tai toimiston järjestelmä hidastuu tai muutoin alkaa käyttäytyä poikkeavasti, se saattaa olla viruksen tai muun haittaohjelman aiheuttamaa. Tällöin on syytä sulkea ohjelmat, irrottaa saastuneeksi epäilty kone tietoverkosta (voi olla myös langattomasti verkossa, jolloin WLAN-yhteys on katkaistava), suorittaa koneen tarkistus viruksentorjuntaohjelmalla sekä poistaa virus, mikäli se on mahdollista. Myös tietokoneeseen mahdollisesti liitetyt muut tietovälineet (esim. USB-tikut) on tarkastettava virusten varalta. Asianajotoimiston on huolehdittava myös siitä, että työntekijöiden toimiston ulkopuolella käyttämissä koneissa ja laitteissa on asianmukainen virustorjunta. Asianajotoimistolla on oltava palomuuri. Palomuuria tarvitaan suojaamaan asianajotoimiston sisäverkkoa ja tietokoneita ulkopuolelta (internetistä) tulevilta hyökkäyksiltä. Palomuurin tarkoituksena on päästää läpi vain haluttu verkkoliikenne. Myös kannettavissa laitteissa on oltava asianmukainen palomuurisuojaus. Mikäli kunnollista palomuuria ei ole, hakkeri tai muu taho voi tunkeutua tietokoneille ja lukea niillä olevia dokumentteja ja tehdä koneella oikeastaan ihan mitä tahansa. Palomuuri voidaan toteuttaa joko ohjelmistolla tai laitteistolla. Usein on suositeltavaa rakentaa palomuurijärjestelmä käyttäen molempien yhdistelmää. Palomuuriohjelmistot ja -laitteet on pidettävä toimintakuntoisina ja ajan tasalla. On syytä säännöllisesti tarkastaa, onko laitteistoon tullut päivityksiä. Ohjelmistoissa tulee sallia automaattiset päivitykset. - asianajotoimistolla tulee olla toimiva ja ajan tasalla oleva viruksentorjuntaohjelma ja palomuuri - pidä viruksentorjunta- ja palomuuriohjelmistot ja -laitteet toimintakuntoisina ja ajan tasalla - vältä avaamasta epäilyttäviä sähköposteja tai niiden liitteitä ja linkkejä - vältä sivustoja, joilta tunnetusti leviää haittaohjelmia - ajattele tietoturvallisesti SAL / Helmikuu 2013 B 5 / (17)

9 6. Asiakirjojen tallentaminen ja varmuuskopiointi 6.1 Asiakirjojen tallentaminen Asianajalla on velvollisuus tallentaa ja säilyttää toimeksiantoihin liittyvä kirjeenvaihto. Velvoite täyttyy myös sähköisellä tallenteella, jonka tulee olla tietoturvallinen ja varmistettu. Tietoturvallisempaa on säilyttää tiedostot palvelimella yksittäisten laitteiden sijaan. Uudet sähköiset viestintätavat ovat korvanneet suullista viestintää ja samalla hämärtäneet rajaa keskustelun ja tallennettavan kirjeenvaihdon välillä. Asianajajan on erityisen tärkeää huolehtia, että aineiston käsittelylle ja tallentamiselle on selkeät ohjeet ja käytännöt ja etteivät ulkopuoliset voi päästä aineistoon käsiksi. Asiakirjoihin tulee olla pääsy vain niillä henkilöillä, jotka tarvitsevat salassa pidettäviä tietoja työtehtäviensä hoitamiseksi. Myös asianajotoimiston sisällä asiakirjoihin pääsyä tulee tarvittaessa rajoittaa; tämä on välttämätöntä esimerkiksi sisäpiiriasioissa. Asiakirjojen säilytystilojen tulee myös olla riittävän suojattuja. Lue myös: B 10 Asiakirjojen säilyttämistä koskeva suositus ( 6.2 Varmuuskopioinnin tarkoitus Varmuuskopioinnilla hallitaan riskiä tietojen tuhoutumisesta tai muuttumisesta, joka voi johtua esim. laitteiston rikkoutumisesta tai tuhoutumisesta, laitteiston anastamisesta, haittaohjelmasta tai käyttäjän vahingossa tekemästä tietojen poistamisesta Varmuuskopioitavat tiedot Keskeisten asianajotoimintaan liittyvien tietojen varmuuskopioinnista tulee huolehtia. Suositeltavaa on, että ainakin seuraavat tiedot kuuluvat varmuuskopioitaviin tietoihin: työssä tuotettu vielä arkistoimaton tieto, kuten tekstitiedostot, taulukkolaskentatiedostot ja muut tiedostojen työkappaleet jos arkistointi hoidetaan sähköisesti, arkistoidut tiedostot pitää varmuuskopioida asianhallintajärjestelmä ja laskutustiedot sähköpostiviestit ainakin, jos tarvittavia viestejä ei säilytetä muualla kuin sähköpostiohjelmassa tai -järjestelmässä sähköiset kalenterit mobiililaitteiden keskeinen sisältö Usein voi olla järkevää varmuuskopioida koko koneen sisältö käyttöjärjestelmään kuuluvaa soveltuvaa työkalua käyttäen, jolloin koko järjestelmä on palautettavissa SAL / Helmikuu 2013 B 5 / (17)

10 siten, että myös ohjelmistojen asennukset ja käyttäjän määrittelemät asetukset ovat helposti palautettavissa. Jos tietoja on tallennettu erilaisiin ulkoistettuihin palveluihin, tulee huolehtia siitä, että hankittuun palveluun kuuluu tietojen riittävä varmuuskopiointi Varmuuskopiointitavat ja tietojen säilytys Varmuuskopiointiin on saatavilla lukuisia teknisiä välineitä. Yksi vaihtoehto on myös ulkoistetut varmuuskopiointipalvelut, joissa tiedot lähetetään verkon yli palveluntarjoajan palvelimelle. Tällaisen palvelun hyvinä puolina voidaan pitää, että tiedot ovat toimiston ulkopuolella eri paikassa kuin itse varmuuskopioitava tieto. Kuitenkin välttämätöntä on kaikilta osin huomioida ne näkökohdat, jotka aina liittyvät ulkoistettujen palveluiden käyttämiseen ja tietojen tietoturvalliseen lähettämiseen (ks. myös kohdat 7 ja 8). Varmuuskopiointi kannattaa joka tapauksessa automatisoida, jos se on mahdollista, jotta varmuuskopioinnista tulee huolehdittua riittävän usein. Suositeltavaa on pitää ainakin yhtä varmuuskopiokappaletta turvallisessa paikassa toimiston ulkopuolella, ellei toimistolla ole varmaa säilytyspaikkaa. Tämä sen välttämiseksi, että varmuuskopio ei häviä tai tuhoudu samassa yhteydessä alkuperäisen tiedon kanssa esimerkiksi anastusrikoksen tai tulipalon seurauksena Varmuuskopioinnin tiheys Varmuuskopioinnista tulee huolehtia säännöllisesti. Usein varmuuskopiointi hoidetaan siten, että käytettävä järjestelmä varmuuskopioi vain tiedoissa tapahtuneet muutokset. Tällaista tapaa noudatettaessa on kuitenkin tärkeää varmuuskopioida säännöllisesti, esimerkiksi kerran kuukaudessa, kaikki tiedot erikseen omana kokonaisuutenaan. Tämä sen välttämiseksi, että tietojen häviämisestä tai muuttumisesta aiheutuisi vahinkoa. Suositeltavaa on myös ajoittain testata, että varmuuskopiointi toimii tarkoitetulla tavalla ja että tiedot ovat tarvittaessa nopeasti ja vaikeuksitta palautettavissa. On hyvä muistaa, että varmuuskopiointi ei korvaa asiakirjojen asianmukaista arkistointia. varmista asianajotoimintaan keskeisesti liittyvien tietojen varmuuskopiointi automatisoidusti ja riittävän usein varmuuskopioi muuttuneet tiedot päivittäin ja kaikki tiedot kuukausittain pidä ainakin yhtä varmuuskopiokappaletta turvallisessa paikassa toimiston ulkopuolella testaa säännöllisesti, että varmuuskopiointi toimii tarkoitetulla tavalla ja tiedot ovat nopeasti ja vaikeuksitta palautettavissa SAL / Helmikuu 2013 B 5 / (17)

11 ajattele tietoturvallisesti 7. It-palveluiden ulkoistaminen Ulkopuolisen it-tuen käyttäminen on usein välttämätöntä riittävän asiantuntemuksen varmistamiseksi. Ulkopuolista it-tukea käytettäessä asianajotoimiston on huolehdittava asianmukaisista salassapitosopimuksista. Tietotekniikkapalveluiden ostamisessa on kysymys siitä, voiko asianajosalaisuuksia sisältävää tietoa säilyttää, käyttää ja siirtää tietokoneilla, jotka eivät ole asianajajan yksinomaisessa hallinnassa. It-palvelusopimuksia syntyy erilaisia internetin palveluita käytettäessä helposti lähes huomaamatta. Työtä helpottavia palveluita on otettavissa käyttöön vain klikkaamalla linkkiä, jossa käyttäjä ilmoittaa hyväksyvänsä palvelun tarjoajan ehdot. Monet yritykset tarjoavat palveluita, joissa asianajotoimistojen salassa pidettäviä tietoja käytetään ja säilytetään palveluntarjoajan palvelimella. Tyypillisiä ulkoista palvelintilaa hyödyntäviä palveluita ovat sähköposti, www-sivut, varmuuskopiointi, sähköinen kalenteri, laskutus, asiakas- ja toimeksiantorekisteri tai verkkolevyt. Tällaisia palveluita ovat myös jotkut ryhmätyöskentelyä helpottavat ohjelmistot ja kaikki sosiaalisen median palvelut. Ulkoisen palvelintilan käyttäminen on joissakin tapauksissa järkevä ja ehkä jopa ainoa käyttökelpoinen ratkaisu. 7.1 Salassapito ja tietoturva Asianajajan on palveluita hankkiessaan kiinnitettävä erityistä huomiota asianajajalta edellytettävän salassapidon asettamiin vaatimuksiin ja asianajotoimiston asianmukaiseen järjestämiseen. Palveluntarjoajaa valittaessa on ehdottoman välttämätöntä varmistua palveluntarjoajan sitoutumisesta täydelliseen tietojen salassapitoon. Pääsy tietoihin tulee olla vain palvelua hankkivalla asianajajalla ja hänen toimistonsa henkilökunnalla. Tietojen luottamuksellisuus on varmistettava palveluntarjoajan kanssa tehtävällä salassapitosopimuksella. Palveluntarjoajan henkilökunnan pääsy asianajajan tietoihin on estettävä. Ulkoistettaessa tietoteknisiä palveluita on tietojen salassa pysymisen lisäksi tärkeää, että tiedot ovat asianajajan itsensä saatavissa aina tarvittaessa. Palveluntarjoajan teknisen tietoturvan on oltava riittävän korkeatasoista. Ulkopuolisten pääsyn tietoihin on oltava teknisin ratkaisuin estetty ja tietojen säilymisen on oltava varmistettu. Hankittaessa ulkoistettuja tietotekniikkapalveluita on syytä arvioituttaa palvelu ulkopuolisella tietoteknisellä asiantuntijalla, jos asianajajan oma tietotekninen tietämys ei riitä teknisen tietoturvan tason tutkimiseen. SAL / Helmikuu 2013 B 5 / (17)

12 7.2 Pilvipalvelut Palveluntarjoajaa valittaessa on tietoturvan lisäksi syytä kiinnittää huomiota palveluntarjoajan referensseihin ja vakavaraisuuteen sekä palvelimien sijaintimaahan. Palveluntarjoajan palvelimet voivat sijaita eri puolilla maailmaa ja palvelun tekniikka voi perustua tiedon paloitteluun ja kopioimiseen useille palvelimille. Palveluntarjoajaa valittaessa kannattaa mahdollisuuksien mukaan tarkistaa yrityksen taustoja. Päivityksiä järjestelmiin teetettäessä tulee tarkistaa, että työtä tekemään tuleva henkilö todella on palveluntuottajan palveluksessa. Pilvipalveluiksi kutsutaan tietotekniikkapalveluita, joissa tietotekniikkaresurssia, esimerkiksi ohjelmistoja, tarjotaan palvelun ostajan käyttöön internetissä. Palvelu voi olla esimerkiksi sähköpostia mutta kysymys voi olla tekstinkäsittely- tai taulukkolaskentaohjelmasta, asiakkuuden hallintaohjelmistosta tai melkein millaisesta vain tietotekniikan käyttämisestä. Tabletti- ja muiden sormitietokoneiden ja älypuhelimien yleistyminen johtanee tietotekniikkaresurssien yhä laajempaan käyttämiseen pilvipalveluina. Tiedostojen siirtäminen tablettitietokoneen tai älypuhelimen ja muiden tietojärjestelmien välillä tapahtuu käytännössä helpoiten käyttämällä internetissä olevaa virtuaalista tallennustilaa. Pilvipalveluille asianajotoiminnassa asetettavat vaatimukset eivät olennaisesti poikkea muilta ulkoistetuilta palveluilta vaadittavasta tietoturvan laadusta. Osa pilvipalveluista on helposti käyttöön otettavia ja usein ilmaisia tai erittäin edullisia. Palveluiden käyttöönotto perustuu vakiosopimuksen hyväksymiseen eikä ostajalla ole neuvottelumahdollisuuksia palveluiden ehdoista. Ilmaispalveluiden tarjoajan ansaintalogiikka perustuu usein mainostamiseen ja sen vuoksi palveluntarjoaja seuraa palvelun käyttöä ja ehkä jopa tiedostojen sisältöä sekä tallentaa nämä tiedot itselleen. Yksinkertaisesti käyttöön otettava ilmainen tekstinkäsittelyohjelma (esim. Google Docs) voi olla hyvinkin käyttökelpoinen esimerkiksi tehtäessä muistiinpanoja kurssilla tai valmisteltaessa luentoesitystä. Näissä palveluissa koko asiakirja talletetaan palveluntarjoajan palvelimille eri puolille maailmaa eikä palvelun tietoturvan taso ehkä ole riittävä luottamuksellisen tiedon tallentamiseen. Toisaalta pilvipalvelu, jossa palveluntarjoajan kanssa pystyy tekemään salassapitosopimuksen ja palveluntarjoaja on muutoinkin luotettava, voi tietoturvallisin ratkaisu olla tietojen käsittely ja säilyttäminen pilvipalvelussa. Käytettäessä asianmukaista salausta, on mahdollista pitää kaikki luottamuksellinen tieto pilvipalvelussa ilman, että esimerkiksi tablettitietokoneessa tai älypuhelimessa on mitään salattavaa tietoa. Näin yksittäisen laitteen joutumisesta kadoksiin tai SAL / Helmikuu 2013 B 5 / (17)

13 muutoin vääriin käsiin ei aiheudu tietoturvavahinkoja. Pilvipalvelun käyttö poistaa myös laitteiden rikkoutumisesta aiheutuvat vahingot. Pilvipalveluiden etuna on, että tietotekniikan ja tietoturvan ammattilaisten palvelun saa käyttöönsä murto-osalla siitä hinnasta, mitä palveluiden ylläpito maksaisi omiin tietokoneisiin tuotettuna. Jos asianajotoimiston kaikki tieto on tallennettu toimiston ulkopuoliselle palvelimelle, on syytä kiinnittää huomiota palveluntarjoajan varmuuskopioinnin tasoon ja tiedostojen palautettavuuteen sekä siihen, miten tiedot on saatavissa käyttöön tietoliikenneyhteyksien pettäessä. 7.3 Uhkia, joihin tulee varautua On mahdollista, että viranomaiset kohdistavat mahdolliset tietopyyntönsä tai - vaatimuksensa pilvipalvelun tarjoajaan ja saavat näin haltuunsa myös asianajajan salassapidettäviä tietoja. Tämä ongelma lienee ratkaistavissa hyvillä sopimuksilla ja varmistumalla palveluntarjoajan riittävästä teknisestä osaamisesta eri tahoille kuuluvan tiedon erillään pitämisestä. Se, miten tiedot ovat viranomaisten tai muiden sivullisten saatavissa palveluntarjoajalta voi riippua palvelimen sijaintimaasta tai palveluntarjoajan kotipaikasta. etäyhteyden käyttäminen ei saa vaarantaa asianajotoimiston tietoturvaa palveluntarjoajalta on vaadittava salassapitositoumus mahdollisten salassa pidettävien tietojen tietoon saamisen johdosta ja asianajajalla on oltava päätösvalta siitä, milloin etäyhteyttä käytetään ajattele tietoturvallisesti 8. Tietoturvallinen sähköinen viestintä 8.1 Suomen lain antama suoja Laki suojaa sähköistä viestintää samalla tavalla kuin muutakin luottamuksellista viestintää. Luottamuksellisuuden suoja ei riipu teknisestä suojauksen tasosta tai viestin mahdollisesta salausjärjestelmästä tai sen puutteesta. Sähköpostiviesti on luottamuksellinen, ellei sitä nimenomaisesti ole tarkoitettu julkiseksi, eikä väärä vastaanottaja saa hyödyntää viestin sisältöä millään tavalla, vaikka viesti olisikin osoitettu virheellisesti hänelle. Viestissä oleva luottamuksellisuusilmoitus on asianajajalle suositeltava käytäntö ja se korostaa vastaanottajalle viestin luottamuksellisuutta, mutta se ei yksipuolisena voi asettaa väärälle vastaanottajalle toimintavelvollisuutta tai poista lähettäjän vastuuta tiedon lähettämisestä väärälle vastaanottajalle. (Sähköisen viestinnän tietosuojalaki 5 ). SAL / Helmikuu 2013 B 5 / (17)

14 Malli luottamuksellisuusilmoituksesta: Tämä viesti on luottamuksellinen ja tarkoitettu ainoastaan vastaanottajalle. Mikäli ette ole viestissä tarkoitettu vastaanottaja, olkaa hyvä ja ilmoittakaa siitä lähettäjälle ja tuhotkaa viesti välittömästi. ****************************** Detta meddelande är konfidentiellt och avsett endast för mottagaren. I fall Ni inte är den avsedda mottagaren, vänligen informera avsändaren om detta och förstör meddelandet omedelbart. ****************************** This is confidential and is meant for the recipient only. If you are not the intended recipient, please inform the sender of this and destroy the message immediately. 8.2 Täydellisen suojan mahdottomuus Kuten paperiviestin välityksessä tai telefaxia käytettäessä, myös sähköpostiviestien tai niiden lähettäjätietojen väärentäminen on suhteellisen vaivatonta. Viestien vakoileminen tai niiden salausjärjestelmien purkaminen on osaavalle mahdollista. Sähköisen viestinnän aukoton suojaaminen viestin syntymisestä sen lukemiseen ja lukemisen jälkeiseen tallentamiseen on käytännössä mahdotonta, mikä asianajajan tulee ottaa kaikessa sähköisessä viestinnässään huomioon. 8.3 Huolellisen toiminnan merkitys Asianajajan tulee suhtautua korostetun huolellisesti viestinnän suojaamiseen erityisesti silloin, kun viestin sisällön voidaan katsoa sisältävän asiakkaan tai vastapuolen henkilötietoja. Edes hyväksyntä viestintävälineen käyttöön ei vapauta asianajajaa vastuusta henkilötietojen suojaamisen osalta. Yritysten kanssa on mahdollista sopia vastuuvapaudesta koskien teknisiä virheitä, mutta silloinkin asianajaja vastaa mahdollisista laiminlyönneistään tietoturvan osalta. Ulkopuolinen ei pääse käsiksi sähköpostiviestiin ilman virhettä viestinnässä tai ilman omaa aktiivista pyrkimystä selvittää viestin sisältö. Suurimman osan viestinnässä tapahtuvista virheistä aiheuttaa lähettäjä tai vastaanottaja itse. Asianajajan tulee sähköisessä viestinnässä toimia huolellisesti ja aina varmistaa, että viestit lähetetään oikeisiin ja ennalta varmistettuihin sähköpostiosoitteisiin. Virheet syntyvät lähes aina käyttäjän virheen tuloksena, esimerkiksi valittaessa vastaanottaja järjestelmän antaman suosituksen perusteella varmistamatta koko sähköpostiosoitteen oikeellisuutta. Asianajajan huolellisuusvelvoite ulottuu oikean vastaanottajan varmistamiseen asti. SAL / Helmikuu 2013 B 5 / (17)

15 8.4 Sähköisen viestinnän tekninen suojaus 8.5 Telefax Sähköposti siirtyy tietoverkossa usein salaamattomana ja tallentuu erilaisiin välijärjestelmiin joten tunnistamattomalla määrällä ulkopuolisia henkilöitä on mahdollisuus käsitellä viestiä. Vaikka sähköpostin tai tietoliikenteen palveluntarjoajan vastuu tietoturvasta määräytyy sen kanssa tehdyn sopimuksen perusteella, tulee palvelua käyttävän asianajajan varmistua siitä, että palvelutarjoajalla on uskottava tietoturvan taso sekä sopimuksellisesti että tosiasiallisesti. Asianajajan on suositeltavaa hankkia oma domain-osoite ja käyttää sitä myös sähköpostiosoitteensa osana. Täysin oman teknisen sähköpostijärjestelmän ylläpitäminen ei kuitenkaan ole lähtökohtaisesti sen turvallisempi kuin jonkin yleisen palvelutarjoajan sähköpostijärjestelmän hyödyntäminen. Sähköisen viestinnän tietoturva on juuri niin heikko kuin viestintäketjun heikoin lenkki ja kun lenkissä on ihmisiä mukana, tietoturvan teknisen aukottomuuden varmistaminen on mahdotonta. Tämän vuoksi asianajajan tulee investoida joko omiin tai uskottavien palveluntarjoajien toimiviin järjestelmiin ja jatkuvasti ohjata ja kouluttaa henkilöstöään sähköisen viestinnän tietoturvavaatimusten suhteen. Mahdollisia muita teknisiä keinoja lisätä sähköisen viestinnän tietoturvaa ovat: suljettujen sähköpostijärjestelmien käyttö; PGP-avainten käyttö viestien tai asiakirjojen kryptaamiseen; tai lähetettyjen tiedostojen salasanasuojaus. Myös telefax on sähköistä viestintää, vaikka siihen liittyykin konkreettinen paperin syöttö ja tulostaminen. Vaikka telefaxin käyttöön ja siihen liittyviin tietoturvariskeihin ei kohdistukaan yhtä suurta huomiota kuin sähköpostiin, ei telefax-viestin lähettämistä voi käytännössä pitää yhtään sen tietoturvallisempana kuin sähköpostin lähetystä. Asianajajan tulee noudattaa muuta sähköistä viestintää vastaavaa huolellisuutta myös telefax-viestien käsittelyssä varmistuen siitä, että viesti lähetetään oikealle vastaanottajalle, vastaanottaja on tietoinen viestin lähetyksestä ja että viesti todellisuudessa ohjautuu vastaanottajalle ilman tiedon suojaa vaarantavia välikäsiä. Useissa telefax-laitteissa viesti tallentuu ja se on myöhemminkin selvitettävissä ja uudelleen tulostettavissa, mikä korostaa kyseisten laitteiden fyysisen suojauksen tarvetta ja myös telefax-laitteita tulee käsitellä tietoturvan kannalta kuin mitä tahansa tallennusvälinettä. SAL / Helmikuu 2013 B 5 / (17)

16 8.6 Sosiaalinen media Tietoverkon kautta tapahtuu myös reaaliaikaista viestintää erilaisten enemmän tai vähemmän avointen järjestelmien kautta. Asianajajan tulee suhtautua tällaiseen viestintään suurella huolellisuudella varmistuen aina siitä, että viestin vastaanottaja on oikein tunnistettu ja että järjestelmä on uskottavalla tavalla hallittu tietosuojan kannalta. Jopa tekstiviestiä voidaan käyttää asianajotoiminnassa, mutta luottamuksellisen tai henkilötiedon lähettämistä tekstiviestillä ei voi suositella, koska mukana kuljetettavan puhelimen fyysinen tietoturva on usein vähäinen. Vähintäänkin tällöin tällaiseen viestintään tulee olla toisen osapuolen suostumus. - sinulla tulee olla vastaanottajan hyväksyntä sähköpostin käyttöön viestinnässä - huomioi henkilötietojen korostettu suoja sähköisessä viestinnässä - varmista, että sähköpostin tai tietoliikenteen palvelutarjoajalla on uskottava tietoturvan taso sekä sopimuksellisesti että tosiasiallisesti - noudata muuta sähköistä viestintää vastaavaa huolellisuutta myös telefax-viestien käsittelyssä - ajattele tietoturvallisesti 9. Asiakirjojen arkistointi ja hävittäminen Asianajajan tulee huolehtia siitä, että asiakirjat arkistoidaan ja hävitetään asianmukaisella tavalla. Arkistoinnissa on huomioitava, että asiakirjoihin tulee turvata asianmukainen pääsy kymmenen vuoden ajan, ellei laissa tai ohjeissa toisin määrätä. Lisätietoja asiakirjojen säilytyksestä löytyy suosituksesta B 10 Asiakirjojen säilyttämistä koskeva suositus. Asianajajan tulee muistaa, että salaisten ja luottamuksellisten tietojen hävittäminen on yhtä tärkeää kuin niiden suojaus ja muu käsittely. Asiakirjojen hävittämisessä on huomioitava lakiin ja sopimuksiin perustuvat määräajat. Asiakirjat tulee tuhota luotettavalla tavalla esimerkiksi käyttämällä luotettavaa ulkopuolista palveluntarjoajaa. Luottamuksellisia asiakirjoja ei koskaan tule heittää tavalliseen roskakoriin vaan erilliseen lukittuun astiaan, josta ne hävitetään turvallisesti. Asianajajan tulee ohjeistaa toimiston siivoojat ja muut ulkopuoliset henkilöt asiakirjojen asianmukaiseen käsittelyyn. Asiakirja hävitetään joko tuhoamalla se fyysisesti esimerkiksi silppurilla, tai saattamalla se muutoin sellaiseen muotoon, ettei sen sisältämää tietoa voida enää käyttää. On hyvä myös varmistaa, että asiakirjat tuhotaan riittävän pieneksi silpuksi. SAL / Helmikuu 2013 B 5 / (17)

17 10. Tietoa sisältävien laitteiden myynti tai hävitys Tarpeettomat laitteet tulee aina hävittää tietoturvallisella tavalla. On hyvä muistaa, että esimerkiksi käytöstä poistettava tietokone on ongelmajätettä. Tietokoneille tai muille laitteille saattaa olla tallennettuna paljonkin sellaista tietoa, jota ei ole tarkoitettu ulkopuolisille. Tästä syystä on tärkeää kiinnittää huomiota laitteiden oikeanlaiseen ja asianmukaiseen hävittämiseen. Tiedostot tulee tuhota huolellisesti, kun poistetaan luottamuksellista tietoa tai jos vanhoja laitteita luovutetaan yrityksen ulkopuolelle edelleen myytäväksi tai tuhottavaksi. Kun tiedostojen palauttaminen lähes täydellisesti tuhoutuneesta levyasemasta on mahdollista, niin tietojen täydellinen ja lopullinen tuhoaminenkin on hankalaa. Ei ole riittävää, että käytöstä poistettavista laitteista poistetaan kaikki tieto. Myöskään kiintolevyn alustaminen (formatointi) ei vielä tee tietojen palauttamista mahdottomaksi ammattilaiselle eikä poista tietoja turvallisesti, vaikka levy sen jälkeen näyttäisikin tyhjältä. Tietojen turvallinen poisto on hyvä tehdä joko erillisellä pyyhintäohjelmalla tai niin, että kerran tyhjennetty levy kopioidaan täyteen tarpeettomia ja vaarattomia tietoja. Riittävän monen ylikirjauksen jälkeen vanhoja tietoja ei enää pysty palauttamaan. (Viestintäviraston sivuilta saa CERT-FI:n ohjeita). Tiedostojen tuhoamiseen ja levyjen puhdistamiseen on tarjolla sekä maksuttomia että kaupallisia ohjelmia. Tiedot ja laitteet voi myös antaa siihen erikoistuneen yrityksen hävitettäviksi. Tietojen täydellinen tuhoaminen on syytä suorittaa aina, kun laite siirtyy pois asianajajan hallusta. Tämä koskee leasing-käytössä olevien laitteiden palautustilanteita, uusintakäyttöön/myytäväksi tarkoitettuja laitteita sekä tuhottavaksi toimitettavia laitteita. Salassapidon kannalta paras tapa on yksinkertaisesti irrottaa kiintolevy(t) ja säilyttää niitä lukitussa ja turvallisessa paikassa ennen niiden asianmukaista tuhoamista. Asianmukainen tietojen tuhoaminen tulee muistaa tehdä kaikille muillekin tietoa sisältäville ja käsitteleville laitteille kuten muistitikuille ja -korteille, CD-levyille, ulkoisille kiintolevyille, matkapuhelimille jne. - hävitä tarpeettomat laitteet ja niiden sisältämät tiedostot aina tietoturvallisesti - pelkkä tiedostojen poistaminen ei riitä levyn tyhjentämiseen - tiedot ja laitteet voi antaa siihen erikoistuneen yrityksen hävitettäviksi - suorita tietojen täydellinen tuhoaminen aina, kun laite siirtyy pois hallustasi - ajattele tietoturvallisesti SAL / Helmikuu 2013 B 5 / (17)