Kyberturvallinen oppimisympäristö

Kyberturvallinen oppimisympäristö Professori, ST, ev evp. Martti Lehto 4.9.2018 JYU. Since 1863. 1

Esityksen sisältö 1 Digitaalisen maailman muutos 2 Kybermaailman uhkia 3 Kybermaailma ja ihminen 4 Yksityisyys 5 Turvallisuuden rakentaminen JYU. Since 1863. 31.8.2018 2

Kybermaailman määrittelyä Sana kyber tulee kreikan sanasta "kybereo" - ohjata, opastaa, hallita. Amerikkalainen matemaatikko Norbert Wiener (1894 1964) otti käyttöön sanan kybernetiikka 1940-luvun lopulla kuvaamaan tietokoneita käyttäviä ohjausjärjestelmiä. Hänen mukaansa kybernetiikka kuvasi tieteitä, jotka käsittelevät koneiden ja organismien kontrollointia kommunikaation ja palautteen avulla. JYU. Since 1863. 31.8.2018 3

Kybermaailman määrittelyä Sanan kyberavaruus keksi tieteiskirjailija William Gibson (7.3.1948-) 1984 kirjassaan Neuromancer. Gibsonilainen kyberavaruus esitetään globaalina informaation tietokoneverkkona, jossa käyttäjä voi liikkua virtuaalihahmossa. JYU. Since 1863. 31.8.2018 4

Aika Data Mikä on muuttunut? Verkko Älykkyys Robotiikka JYU. Since 1863. 31.8.2018 5

31.8.2018

WannaCry kiristysohjelman leviäminen 12.5.2017 JYU. Since 1863. 31.8.2018 7

Pörssimanipulaatio Huhtikuussa 2013 syyrialaiset hakkerit kaappasivat uutistoimisto AP:n Twitter-tilin ja twiittasivat presidentti Barack Obaman haavoittuneen räjähdyksessä Valkoisessa talossa. New Yorkin pörssin Dow Jones Industrial Average -indeksi romahti hetkessä 130 pistettä. Pörssirobotit myivät valtavat määrät osakkeita ennen kuin yksikään ihminen ehti reagoida tekaistuun uutiseen. JYU. Since 1863. 31.8.2018 8

1 EB = 10 18 bytes = 1000000000000000000 NY Stock Exchange: 1TB/päivässä The Large Hadron Collider (CERN), 150 milj. Sensoria: 22 PB vuodessa (2012) Facebook: 40 miljardia kuvaa, 4PB JYU. Since 1863. 31.8.2018 9

Regulaatio ARPANET US Department of Defence Advanced Research Projects Agency ARPANET Internetin äiti 1957: Sputnik 1958: DoD Advanced Research Project Agency, DARPA 1962: Paul Baran: pakettikytkentäinen verkko 1966: DARPA investoi $1M ARPANET:iin 1969: 4 toimijaa 1970: 9 toimijaa 1971: Ensimmäinen email 1980: 200 toimijaa (kansainvälinen) 1983: ARPANET otti käyttöön TCP/IP Arkkitehtuurin perusteet Rakennetaan olemassa olevan verkon päälle Ei takuuta Ei laadunvarmistusta Ei turvallisuutta Ei mallia verkkopalvelusta Kotikutoinen päästä päähän kommunikaatio JYU. Since 1863. 31.8.2018 10

Kriittinen infrastruktuuri Julkishallinnon verkot Kansalaiset verkossa.fi Kriittinen informaatioinfrastruktuuri Elinkeinoelämän verkot

Vuonna 2016 myytiin yli 1,5 miljardia älypuhelinta 90% autoteollisuuden uusista innovaatioista ilmentyy ohjelmistoissa ja elektroniikassa. JYU. Since 1863. 31.8.2018 12

Autonomiset järjestelmät ja robotiikka Autonomiset älykkäät järjestelmät muuttavat niin taistelukentän kuin teollisuuden, työympäristön, sairaalan ja kodin. Tämä lisää mahdollisuuksia kyberhyökkääjille saada järjestelmiä hallintaansa. JYU. Since 1863. 31.8.2018 13

Tekoälyn johtava rooli Artificial intelligence is the future, not only for Russia, but for all humankind. Whoever becomes the leader in this sphere will become the ruler of the world. President Vladimir Putin 4.9.2017 JYU. Since 1863. 31.8.2018 14

Yhdysvallat Kiina Venäjä Google Baidu Tieba Yandex Whatsapp WeChat Telegram YouTube Youku Tudou RuTube Amazon AliBaba Avito Instagram Nice, Meipai Twitter Weibo Futubra Uber DidiKuaidi Yandex-Uber Expedia C-trip Aviasales Apple Pay Alipay Payonline Facebook Renren Vkontakte, Odnoklassniki Gmail/Hotmail/Yahoo QQMail/AliMail Mail.ru Internet China Net RuNet Kybermaailma 2025? JYU. Since 1863. 31.8.2018 15

Kybermaailma 2018 2017 lopussa maailmassa n. 8,4 miljardia verkkoon kytkettyä laitetta. Kuluttajamarkkinan osuus 66%. Vuonna 2020: yli 20 miljardia. Päivittäin maailmalla: - Lähetetään yli 200 miljardia sähköpostiviestiä, - Lähetetään 500 miljoonaa twiittiä - Käytetään Googlen hakukonetta 3,5 miljardia kertaa. Facebookissa on yli 2,07 miljardia käyttäjää Matkapuhelinten käyttäjiä maailmassa on yli 4,77 miljardia (73 %). Vuonna 1998 3,6 % maailman väestöstä käytti internettiä. Nyt käyttäjiä on noin 3,885 miljardia (51,7 %). JYU. Since 1863. 31.8.2018 16

Uhat ympärillämme Perinteiset alustat, jotka hyökkäyksien kohteina ja jakoalustoina Uudet alustat, jotka hyökkäyksien kohteina ja jakoalustoina Tietokone Tabletti Palvelin Älypuhelin Verkkotulostin Ilmalämpöpumppu Televisio Jääkaappi Sähkötupakan laturi Älytoiletti Auto Valvontakameroita Maitotilojen lypsyrobotti Sähkökiuas JYU. Since 1863. 31.8.2018 18

Uhat ympärillämme Uudet alustat, jotka hyökkäyksien kohteina ja jakoalustoina Ilmalämpöpumppu Televisio Jääkaappi Sähkötupakan laturi Älytoiletti Auto Valvontakameroita Maitotilojen lypsyrobotti Sähkökiuas JYU. Since 1863. 31.8.2018 19

Tivi 23.10-1.11.2017 JYU. Since 1863. 31.8.2018 20

Mega-tietomurrot Yahoo: 500 miljoonaa käyttäjätietoa, 3 Mrd.? Friend Finder Network: 412 miljoonaa käyttäjätietoa Equifax: 143 miljoonaa käyttäjätietoa Anthem: 78 miljoonaa potilastietoa Target: 70 miljoonaa asiakastietoa Ashley Madison attack: 32 miljoonaa asiakastietoa US Office of Personnel Management: 22 miljoonaa henkilötietoa US T-Mobile: 15 miljoonaa asiakastietoa 31.8.2018 21

350 000 uutta haittaohjelmaa joka päivä Haittaohjelmatuotanto Source: https://www.av-test.org/en/statistics/malware/ JYU. Since 1863. 31.8.2018 22

Kyberuhat Kaikki, millä voidaan tuottaa anarkiaa, kaaosta tai haittaa yksilöille tai organisaatioille. Kaikki, millä on informaatiohyötyä: - Valtiosalaisuudet - Sotilassalaisuudet - Taloudelliset salaisuudet - Liiketoimintasalaisuudet Kaikki, millä voi tehdä rahaa: - Tilitiedot - Luottokortti - Lunnaat - Identiteetti Kaikki, millä voidaan tuottaa vahinkoa ja levittää pelkoa ihmisten keskuuteen. Kaikki, millä voidaan tuhota tai lamauttaa vastustajan sodankäyntikyky. Kaikki, mikä lamauttaa yhteiskunnan elintärkeät toiminnat, kriittinen infrastruktuuri tai kriittinen informaatioinfrastruktuuri. JYU. Since 1863. 31.8.2018 23

Kybervandalismi Anarkiaan, kaaokseen ja haitantekoon tähtäävää toimintaa. - Internet vahvisteinen: internetiä käytetään ylimääräisenä kommunikaatiokanavana - Internet perustainen: internet toiminnan kohde JYU. Since 1863. 31.8.2018 24

Kyberrikollisuus Kyberrikoksia ovat rikokset, jotka tehdään sähköisiä viestintäverkkoja ja tietojärjestelmiä hyödyntäen tai jotka kohdistuvat mainittuihin verkkoihin ja järjestelmiin". Tietoverkkorikollisuus voidaan jakaa kolmeen alaryhmään: 1. Perinteiset rikollisuuden muodot, jotka on tehty käyttäen hyväksi viestintäverkkoja ja tietojärjestelmiä. 2. Laittoman sisällön julkaiseminen sähköisissä viestimissä. 3. Rikokset, joita esiintyy ainoastaan sähköisissä verkoissa, kuten hyökkäykset tietoverkkoa vastaan, palvelunesto tai hakkerointi. Menetykset globaalisti $ 400+ miljardia Kyberturvallisuusvakuuttaminen globaalisti $ 2,5 miljardia, 2020 $ 7,5 miljardia JYU. Since 1863. 31.8.2018 25

Kyberrikollisuus A B C hyppylauta Attribuutio-ongelma Rajattomuus JYU. Since 1863. 31.8.2018 26

Facebook tai Twitter tilin hakkerointi: $130 Gmail hakkerointi: $162 Organisaation postilaatikon hakkerointi: $500 Windows rootkit asennus: $292 Winlocker kiristysohjelma: $10-20 Verkkoliikenteen seuranta: $7-15 per 1,000 käyttäjää Haittaohjelman asentaminen tiedostoon: $10-30 Palvelunestohyökkäyksen (DDoS) vuokra: $30-70 päivässä, $1,200 kuukaudeksi Email spam: $10 per miljoona e-mails SMS spam: $3-150 per 100-100,000 viestiä Bot-verkon luominen: $200 per 2,000 botin verkko DDoS botverkko: $700 ZeuS lähdekoodi: $200-$500 Kyberrikollisuuden palveluhinnasto Lähteet: Ars Technica, Wired, Russian Underground 101, Trend Micro, Max Goncharov JYU. Since 1863. 31.8.2018 28

Kybertiedustelu-vakoilu-tiedon kokoaminen Julkisiin ja ei-julkisiin lähteisiin kohdistuvaa tiedonhankintaa, jonka tarkoituksena on kartoittaa ja lisätä ymmärrystä erilaisista uhista, riskeistä ja muutoksista niin maan sisällä kuin rajojen ulkopuolella. Kybervakoilu Kybertiedustelu Hankitaan salaisia tietoja yksityisiltä ihmisiltä, kilpailijoilta, ryhmiltä, hallituksilta ja vastustajilta poliittisen, sotilaallisen tai taloudellisen edun saavuttamiseksi käyttäen laittomia menetelmiä internetissä, verkoissa, ohjelmistoissa tai tietokoneissa. Tietojen kokoaminen Verkkokaupat, sosiaalisen median yritykset ja kehittyneet verkkopalvelut keräävät käyttäjätietoja palvelun parantamiseksi ja käyttäjän profiloimiseksi. JYU. Since 1863. 31.8.2018 29

Kybertiedustelu Julkisiin ja ei-julkisiin lähteisiin kohdistuvaa tiedonhankintaa, jonka tarkoituksena on kartoittaa ja lisätä ymmärrystä erilaisista uhista, riskeistä ja muutoksista niin maan sisällä kuin rajojen ulkopuolella. Tiedustelutoiminnan tavoitteena on tuottaa varhaisvaiheen tietoa, joka mahdollistaa uhkiin, riskeihin ja muutoksiin vaikuttamisen ja varautumisen. Tiedusteluun kuuluu tiedon analysointi, jonka avulla erilaisia turvallisuusympäristön epävarmuustekijöitä pyritään jäsentämään. JYU. Since 1863. 31.8.2018 30

Kybertiedustelu/vakoilu ECHELON on usean maan valvontajärjestelmä (Yhdysvallat, UK, Kanada, Australia ja Uusi-Seelanti) Sen toimintaan on kuulunut puheluiden, telekopioyhteyksien ja datayhteyksien kuuntelu globaaleissa runkoverkoissa, linkki- ja satelliittiyhteyksillä. Sen tarkoitus on kerätä suuria määriä lähes satunnaista tietoliikennettä, josta yritetään poimia hyödyllistä tietoa avainsanasuodatuksen avulla. JYU. Since 1863. 31.8.2018 31

Kybertiedustelu/vakoilu PRISM (US-984XN) on USA:n Kansallisen turvallisuusviraston (NSA) terroristien paljastamiseen tarkoitettu tiedusteluohjelma (2007). Ohjelman kautta NSA:lla on tarvittaessa pääsy eri palveluntarjoajien tietoihin, kuten tunnistetietoihin sekä näiden palvelujen kautta lähetettyihin sähköpostiviesteihin, asiakirjoihin ja valokuviin. JYU. Since 1863. 31.8.2018 32

Kybertiedustelu/vakoilu Vuonna 1996 Venäjällä rakennettiin SORM-1 -järjestelmä valvomaan puhelinyhteyksiä (Sistema Operativno-Rozisknih Meroprijatnij) Vuonna 1998 järjestelmä korvattiin SORM-2:lla, jolla voidaan seurata sekä puhelin- että internetyhteyksiä. FSB:n väitetään seuraavan reaaliaikaisesti mm. luottokorttimaksuja, sähköpostiviestejä ja muuta internetin käyttöä. SORM-3:n (2014) väitetään pystyvän keräämään informaatiota kaikista viestintävälineistä. SOMINT:ä varten on Semanttinen arkisto, jota FSB ja sisäministeriö käyttää avointen lähteiden, kuten esimerkiksi median, blogien, internetin ja sosiaalisen median seuraamiseen. JYU. Since 1863. 31.8.2018 33

Kevyt valvontalennokki Snoopy voi seurata WiFi-signaaleita, RFID-signaaleja sekä Bluetooth- ja PAN/WPAN-liikennettä (IEEE 802.15). Yhdessä GPS-vastaanottimen kanssa se voi paikantaa signaalilähteet ja siten seurata puhelimia, tablet-laitteita, tietokoneita, ja myös sydämentahdistimia, älyrannekkeita, älykelloja. Perceptiv Labs on esitellyt lennokkeihin tarkoitetun konenäköä hyödyntävän seurantajärjestelmän. Sen avulla lennokin voi määrittää seuraamaan mitä tahansa liikkuvaa kuvauskohdetta. ArsTechnica, Dan Goodin - Mar 26 2014 JYU. Since 1863. 31.8.2018 34

Avoin WLAN 11.1.2015 Sälen Ruotsin piraattipuolueen nuortenjärjestön puheenjohtaja Gustav Nipe loi puolustus- ja turvallisuuskonferenssiin wlan-verkon nimeltä Öppen Gäst. Moni konferenssivieras erehtyi kirjautumaan huijausverkkoon. Nipe onnistui seuraamaan arviolta sadan poliitikon, toimittajan ja tietoturva-asiantuntijan netin käyttöä. Hän pystyi seuraamaan, millä sivuilla verkon käyttäjät vierailivat ja myös lukemaan heidän sähköposti- ja tekstiviestejään. JYU. Since 1863. 31.8.2018 35

Stingray Stingray-laite on tarkoitettu mobiilin tietoliikenteen häiritsemiseksi ja ihmisten seuraamiseksi puhelinten kautta. Laitteet teeskentelevät olevansa tukiasema ja nappaavat puhelinten tunnistekoodeja, seuraavat puhelinten sijaintia ja jopa kaappaavat puheluja ja tekstiviestejä. JYU. Since 1863. 31.8.2018 36

Matkapuhelin hyökkäyskohteena SS7-protokollaa väärinkäyttämällä on mahdollista: Käyttäjän sijainnin selvittäminen ja seuraaminen Puheluiden salakuuntelu ja nauhoittaminen Radioliikenteessä käytetyn salauksen purkaminen Liittymän irti kytkeminen matkapuhelinverkosta eli viestinnän estäminen ja Liittymän laskutuksen manipuloiminen petoksellisesti. JYU. Since 1863. 31.8.2018 37

Kyberoperaatioiden havaittavuus NetTraveler skywiper/flame 2012 Shady RAT 2011 Regin 1.0 Regin 2.0 2013 2014 Toiminnassa vuodesta 2007 2015 Toiminnassa vuodesta 2008 Remsec 2016 Toiminnassa vuodesta 2008 Toiminnassa vuodesta 2004 Toiminnassa vuodesta 2011 Stuxnet Code Red, Blaster, Sasser and Slammer worms 2000 2010 Hyökkäys kriittiseen infrastruktuuriin Hyökkäys internettiä vastaan JYU. Since 1863. 31.8.2018 38

Kyberterrorismi Kyberterrorismissa käytetään tietoverkkoja hyökkäyksiin kriittisiä informaatiojärjestelmiä kohtaan ja niiden kontrollointiin. Hyökkäysten tavoitteena on tuottaa vahinkoa ja levittää pelkoa ihmisten keskuuteen. The Islamic State terrorist organization appears eager to enter into digital jihad, boasting of plans to establish a cyber caliphate from which to mount catastrophic hacking and virus attacks on the United States and the West. JYU. Since 1863. 31.8.2018 39

Kybersodankäynti Kybersodankäynti on osa sodan voittamiseen tähtääviä operaatioita. 31.8.2018

Ohjelmistovirhe mykisti puhelimet Uusi Suomi Luotu: 19.12.2014 12:02 SW-riskit Tässä lentokonemallissa on melko ikävä ohjelmistovirhe - "Saattaa sulkea itsensä yllättäen, myös koneen ollessa ilmassa" Talouselämä4.5.2015 21:21päivitetty 27.8.2015 06:12 Sonera on selvittänyt tiistaina puhelimet mykistäneen vian syyn. KOTIMAA Soneran viime tiistainen vika johtui päivitystyön yhteydessä paljastuneesta ohjelmistovirheestä. Soneran puheyhteydessä ja tekstiviestipalvelussa oli tiistaiaamuna valtakunnallinen vika. Vika alkoi noin kello 10 ja päättyi noin 11.30. Vika vaikutti erityisesti Soneran 2G- ja 3G-verkkojen puheyhteyteen. Myös tekstiviesteissä oli ongelmia. Data toimi normaalisti 4G-verkossa. Soneran mukaan ennalta suunniteltu ja testiympäristössä onnistunut muutostyö laukaisi tuotantoon viennin jälkeen piilevän ohjelmistovirheen signalointiyksiköissä. Tämän seurauksena signalointiyksiköt kaatuivat. Boeing 787 -mallin lentokone Yhdysvaltain ilmailuviranomaiset ovat antaneet uuden ohjeistuksen koskien Boeing 787 -malleja. Koneiden sähkövirtaa tuottavan generaattorin ohjausyksikkö saattaa sulkea itsensä yllättäen, myös koneen ollessa ilmassa. Ohjausyksikön ohjelmisto ei toimi yhtäjaksoisesti yli 248 päivää. Mikäli aika ylittyy, generaattori menee vikasietotilaan, FAA varoittaa. Pahimmillaan kaikki generaattorit olisi käynnistetty samanaikaisesti, ja ne sammuisivat yhtä aikaa, The Register kirjoittaa. San JYU. Since 1863. 31.8.2018 41

HW-riskit Fake & Bake DARPA initiated the Trust in ICs program. Nick the wire Add extra transistors Add or reconnected wiring Source : Thehuntforthekillswitch.http://www.spectrum.ieee.org/semiconductors/ design/the-hunt-for-the-kill-switch. JYU. Since 1863. 31.8.2018 42

HW-riskit Intelin suorittimissa paha bugi kaikki käyttöjärjestelmät päivitetään, suorituskyky laskee Intelin suorittimissa on merkittävä suunnitteluvirhe, minkä vuoksi kaikki Intelin suorittimia käyttävät käyttöjärjestelmät on päivitettävä JYU. Since 1863. 31.8.2018 43

Kybertilannekuvan puute - 8 % yrityksistä kykenee erittäin nopeaan kyberhyökkäysten havainnointiin - 11 % yrityksistä kykenee nopeaan kyberhyökkäysten havainnointiin - 21 % yrityksistä on yksi yhteinen näkymä datavarantoihin RSA:n johtaja Amit Yoran: Yritykset eivät kokoa oikeita tietoja, eivät hyödynnä keräämiään tietoja ja käyttävät uhkien torjumiseen vanhanaikaisia tekniikoita. Source: RSA Research, March 2016 JYU. Since 1863. 31.8.2018 44

Kyberturvallisuuden megatrendit 1. Kiristyshaittaohjelmien kasvu 2. Haavoittuvuuksien kasvu 3. Laitteistoihin kohdistuvat uhkat 4. Yrityksen sisäpiiri hyökkäyskanavana 5. Liiketoiminnan tuhoamiseen tähtäävät hyökkäykset 6. Henkilötietojen varastamiseen tähtäävät hyökkäykset Lähde: 19 turvallisuuskatsausta 2015-2016 JYU. Since 1863. 31.8.2018 45

Kansalainen ja tiedon kokoaminen Erilaisten digitaalisten palveluiden käyttäjinä olemme antaneet luvan tietojen kokoamiseen, jakamiseen ja käyttämiseen. JYU. Since 1863. 31.8.2018 47

Sijainti Google Maps näyttää nyt sijaintisi muille Google Maps -palvelu saa uuden ominaisuuden: sijainnin jakamisen. Käyttäjä voi jakaa reaaliaikaisesti oman sijaintinsa haluamilleen henkilöille, kuten ystäville tai perheenjäsenille. Google Earth on karttapalvelu, joka yhdistää satelliitti- ja ilmakuvia sekä paikkatietoja muodostaen kolmiulotteisen kuvan. Google Earthin alkuperäinen nimi oli Earth Viewer, jonka kehitti Keyhole, Inc. Google osti ohjelman 2004 ja siitä muodostui Google Earth 2005. Keyhole Inc. funding from the Central Intelligence Agency's venture capital firm, In-Q-Tel and the National Geospatial-Intelligence Agency JYU. Since 1863. 31.8.2018 48

Sopimus, jonka olet tehnyt Sisältösi Google Mapsissa ja Google Earthissa. Google Mapsiin tai Google Earthiin lähettämääsi, lataamalla lähettämääsi tai tallentaamasi tai niistä vastaanottamaasi Sisältöä valvotaan Googlen Yleisten käyttöehtojen mukaisesti, osiossa "Sisältösi Palveluissamme" eritellyt käyttöoikeudet mukaan lukien. Kun lataat, lähetät tai tallennat sisältöä Palveluihin tai niiden kautta tai vastaanotat sisältöä Palveluista tai niiden kautta, annat Googlelle (ja yhteistyökumppaneillemme) maailmanlaajuisen oikeuden käyttää, ylläpitää, tallentaa, jäljentää, muokata, välittää, julkaista, esittää ja levittää kyseistä sisältöä, asettaa sitä julkisesti esille sekä luoda siitä johdannaisteoksia (esimerkiksi teoksia, jotka syntyvät kääntämällä, sovittamalla tai tekemällä teokseen muita muutoksia, joiden avulla sisältö saadaan toimimaan Palveluissa paremmin). Tämä käyttöoikeus on tarkoitettu yksinomaan Palveluiden ylläpitämiseksi, markkinoimiseksi ja parantamiseksi sekä uusien palveluiden kehittämiseksi. Tämä käyttöoikeus pysyy voimassa vaikka lopettaisit Palveluiden käytön, ja se koskee esimerkiksi yritystietoja, jotka olet lisännyt Google Mapsiin. JYU. Since 1863. 31.8.2018 49

Älypuhelimesta seurantalaite Tietoja kuluttajien sijainnista kerääviä majakoita on maailmassa 8 miljoonaa. Vuonna 2020 niitä on jo puoli miljardia. Majakoita asennetaan parhaillaan kaikkialle, missä ihmiset viettävät aikaa: ravintoloihin, kauppoihin, urheilustadioneille, kenkäosastolle tai hotellin aulaan, missä ne sulautuvat sisustukseen. Niitä on valvontakameroissa, lampuissa, kattopaneeleissa. Majakka vastaanottaa tunnisteen, kun puhelimesi saapuu kantaman alueelle. Algoritmi taas tietää, kenestä on kyse. Kun lataat Instagramin, AirBnb:n tai Facebookin kaltaisen sovelluksen, joudut hyväksymään käyttöehdot ja sallit paikantamisen. JYU. Since 1863. 31.8.2018 50

Päästä-päähän salaus Monet viestintäohjelmat salaavat viestit vain sinun ja heidän palvelimiensa välillä, mutta WhatsAppin täysi salaus varmistaa, että vain sinä ja henkilö, jonka kanssa keskustelet, voi lukea viestejä - ei kukaan muu. Ei edes WhatsAppin henkilökunta. Tämä on käyttämämme lukon ansiota: viestisi lukitaan lukon avulla, ja vain vastaanottajalla ja sinulla itselläsi on avain, jolla tämän lukon voi avata ja lukea viestin. JYU. Since 1863. 31.8.2018 51

Henkilötiedot analyysin kohteena Facebook: Jopa 2,7 miljoonan eurooppalaisen tiedot annettu Cambridge Analyticalle. YLE 6.4.2018 Sosiaalisen median palvelu Facebook neuvotteli useiden amerikkalaissairaaloiden kanssa niiden potilastietojen käyttämisestä tutkimusprojektiinsa. Yhtiön tarkoituksena oli yhdistää saamansa potilastiedot itse käyttäjistään keräämän datan kanssa ja tutkia, voisiko se auttaa sairaaloita löytämään helpommin hoitoa kaipaavia ihmisiä. CNBC 5.4.2018 JYU. Since 1863. 31.8.2018 52

Kiina pakottaa muslimivähemmistön asentamaan puhelimiinsa vakoilusovelluksen tottelemattomia uhkaa pidätys Terrorismin pelko on saanut kiinalaisviranomaiset reagoimaan uhkaan. Maassa asuvan muslimivähemmistön tulee asentaa Android-sovellus, jolla hallitus voi vahtia näiden tekemisiä. Kieltäytyminen johtaa pidätykseen korkeintaan 10 päiväksi. Jingwang-nimellä tunnettu Android-sovellus kerää tietoja käyttäjästään. Sen avulla viranomaiset toivovat havaitsevansa ne muslimit ja hallituksen toimintaa arvostelevat toisinajattelijat, jotka katselevat älypuhelimillaan kiellettyjä dokumentteja tai sähköisiä e-kirjoja. Kiellettyjen asioiden listalla ovat myös uskonnolliset tai terroristiset videot sekä kuvamateriaali, Softpedia kirjoittaa. Tiedonkeruuta voidaan helpottaa Jingwang kerää tietoja muun muassa langattomista verkoista, laitteen imei-koodin (puhelimen yksilöivä: International Mobile Equipment Identity) sekä tietoja sim-kortin sisällöstä. Lisäksi viranomaiset voivat valvoa sen avulla käyttäjän käymiä pikaviestikeskusteluja. JYU. Since 1863. 31.8.2018 53

Sisäiset vs. ulkoiset uhat Source: IBM Think 2018 JYU. Since 1863. 31.8.2018 54

Inhimilliset riskit JYU. Since 1863. 31.8.2018 55

Suojautumisaste DELETE SUSPICIOUS EMAILS FROM PEOPLE THEY DON T KNOW HAVE AT LEAST A BASIC FREE ANTIVIRUS SOLUTION AVOID STORING SENSITIVE FILES ONLINE 90% 72% 78% VS. VS. VS. 60% 42% 53% VS. VS. VS. 56% 48% 33% Norton report 2013 JYU. Since 1863. 31.8.2018 56

Laitteiden koti- ja työkäyttö 49% USE THEIR PERSONAL DEVICE FOR WORK AND PLAY* 36% SAY THEIR COMPANY HAS NO POLICY ON USE OF PERSONAL DEVICES FOR WORK* 30% OF PARENTS LET THEIR KIDS PLAY, DOWNLOAD AND SHOP ON THEIR WORK DEVICE ** 49% ACCESS OR SEND PERSONAL EMAILS THROUGH THEIR WORK DEVICE* 34% ACCESS THEIR SOCIAL NETWORK THROUGH THEIR WORK DEVICE* 27% STORE PERSONAL INFORMATION ON THEIR WORK DEVICE* *AMONG WORKING ADULTS **AMONG PARENTS WHO USE DEVICES PROVIDED BY THEIR EMPLOYER Norton report 2013 JYU. Since 1863. 31.8.2018 57

Sosiaalisen median käyttö LOG OUT ****??? 39% OF SOCIAL MEDIA USERS DON T LOG OUT AFTER EACH SESSION 1/4 OF SOCIAL MEDIA USERS SHARE THEIR SOCIAL MEDIA PASSWORDS WITH OTHERS 31% OF SOCIAL MEDIA USERS CONNECT WITH PEOPLE THEY DO NOT KNOW Norton report 2013 JYU. Since 1863. 31.8.2018 58

Suojaamattoman WiFi-verkon käyttö* 56% ACCESS THEIR SOCIAL NETWORK ACCOUNT 54% ACCESS PERSONAL E- MAIL 29% ACCESS THEIR BANK ACCOUNT 3/10 DO NOT ALWAYS LOG OFF AFTER HAVING USED A PUBLIC WI-FI CONNECTION 29% SHOP ONLINE 39% DO NOT TAKE ANY SPECIAL STEPS TO PROTECT THEMSELVES WHEN USING PUBLIC WI-FI *AMONG FREE/UNSECURED WI-FI USERS JYU. Since 1863. 31.8.2018 59

Strateginen kommunikaatio Strateginen kommunikaatio on pitkän aikavälin kokonaisvaltaista toimintaa, jossa viranomaisyhteistyön, diplomatian, PR-työn ja informaatio-operaatioin edistetään kansallisia etuja. Kansallinen narratiivi JYU. Since 1863. 31.8.2018 60

Informaatiosodankäynti Informaatio-operaatiossa on tarkoitus on vaikuttaa siihen miten ihmiset ajattelevat ja toimivat, ja tällöin keinoina voivat olla myös suorat taktiset toimet vastustajan kykyyn välittää omaa viestiään. Psykologisissa operaatioissa pyritään vaikuttamaan kohteen henkiseen kriisinkestävyyteen. Propagandaa, sensuuria, uhkailua, painostamista, disinformaatiota ja lokakampanjaa on yleensä edeltänyt pitkän ajan suunnittelu. Sosiaalisessa mediassa näkyvä häiriköinti ei yleensä ole itsetarkoitus, vaan keino paljon suuremmassa kehyksessä. Ilmiötä on myös vaikea tunnistaa, mutta tarkoituksena on tällöin aloitekyvyn kaappaaminen, eli keskustelun viemistä informaatiovaikuttajan haluamaan aiheeseen. JYU. Since 1863. 31.8.2018 61

Mitä on yksityisyys? Yksityisyys on yksilön tai ryhmän kyky eristää itsensä ja tiedot itsestään ja ilmaista itseään selektiivisesti. Yksityisyys tarkoittaa lähinnä fyysistä ja psyykkistä koskemattomuutta, oman arvokkuuden tunteen säilyttämistä ja itseään koskevan tiedon kontrollointia. Kysymys on myös mahdollisuudesta torjua sivullisten tunkeutuminen omaan elämään ja oikeudesta olla toisinaan yksin. (Väestöliitto) 1. Oikeus olla yksi 2. Yksityisyyden suoja 3. Salaisuus 4. Oman tiedon hallinta 5. Ihmisyys 6. Intimiteetti 7. Anonymiteetti 8. Autonomia JYU. Since 1863. 31.8.2018 63

Oikeus olla yksin It has been interpreted to mean the right of a person to choose seclusion from the attention of others if they wish to do so, and the right to be immune from scrutiny or being observed in private settings, such as one s own home. US jurists Samuel D. Warren and Louis Brandeis: The Right to Privacy, 1890 JYU. Since 1863. 31.8.2018 64

Yksityisyyden suoja Yksityisyyden suojalla viitataan Suomen perustuslain yksityiselämän suojaa käsittelevään pykälä 10 ja rikoslain lukuun, jossa kielletään kotirauhan ja viestintäsalaisuuden rikkominen sekä sellaisen toisen ihmisen yksityiselämää koskevan tiedon saattaminen lukuisten ihmisten saataville, josta voi aiheutua hänelle vahinkoa, kärsimystä tai häneen kohdistuvaa halveksuntaa. Sissela Bok: Privacy is the condition of being protected from unwanted access by others- either physical access, personal information, or attention. Yksityisyyden suojaan vaikuttavat lait ovat: Henkilötietolaki, Laki viranomaisten toiminnan julkisuudesta, Laki yksityisyyden suojasta työelämässä, Tietoyhteiskuntakaari EU:n yleinen tietosuoja-asetus, 2016/679 JYU. Since 1863. 31.8.2018 65

Salaisuus Mahdollisuus salata valikoivasti, jolloin yksilöt pitävät osan tiedosta salassa ja yksityisenä, kun ne päättävät julkistaa osan tiedoista. JYU. Since 1863. 31.8.2018 66

Oman tiedon hallinta GDPR: Tietosuoja-asetuksessa määritellään kansalaisen oikeudet liittyen henkilötietojen käsittelyyn. Asetuksen myötä jokaisella EU-kansalaisella on oikeus tarkistaa hänestä tallennetut tiedot, saada tieto siitä miten henkilötiedot on kerätty sekä miten niitä käsitellään ja kenelle niitä annetaan. Lisäksi kansalaisella on oikeus oikaista mahdolliset väärät tiedot sekä poistaa tietonsa rekisteristä. Vastaavasti asetuksessa säädetään rekisterinpitäjille velvollisuus toimia siten, että edellä esitetyt oikeudet toteutuvat. Charles Fried: Privacy is not simply an absence of information about us in the minds of others; rather it is the control we have over information about ourselves. JYU. Since 1863. 31.8.2018 67

Ihmisyys Ihmisyys on status henkilönä olemista. Määrittelevä ihmisyys on kiistanalainen aihe filosofiassa ja laissa ja sidotaan läheisesti kansalaisuuden, tasa-arvon ja vapauden laillisilla ja poliittisilla käsitteillä. Lain antama suoja: Vain luonnollisella henkilöllä tai oikeushenkilöllisyydellä on oikeuksia, suojeluja, etuoikeuksia, vastuita ja laillista vastuuta. JYU. Since 1863. 31.8.2018 68

Intimiteetti Intimiteetti liitetään yleensä henkilön fyysiseen kehoon ja sukupuoleen. Intimiteettisuojasta puhutaan yleensä terveydenhuollossa. Päiväkodeissa ja koulussa. Ernesto Garzón Valdés: The sphere of intimacy is the realm of our thoughts, our decision-making, of doubts that sometimes cannot even be clearly formulated, of what we repress, of what has not yet been expressed and perhaps never will be, not only because we do not wish to express it, but because it cannot be expressed; often it is the morass psychoanalysts have been interested in ever since Freud taught them to distinguish between id, ego, and super-ego. JYU. Since 1863. 31.8.2018 69

Anonymiteetti Anomyniteetti on kyky kommunioida ilman, että toimijan henkilöllisyys tulee tunnetuksi (lähdesuoja mediassa). Anonyymi (anōnymos) tarkoittaa ilman nimeä, nimetön. JYU. Since 1863. 31.8.2018 70

Autonomia Autonomia on kyky toimia itsenäisesti kontrolloiden henkilökohtaisen tiedon kokoamista, olemista ja jakamista. Autonomia (autonomos) muodostuu sanoista auto = itse ja nomos = laki tarkoittaen henkilöä, joka antaa itselleen oman lain. JYU. Since 1863. 31.8.2018 71

Mikä on yksityistä internetissä? http://www.theguardian.com/technology/interactive/2013/jun/12/what-is-metadata-nsa-surveillance#meta=1100011 JYU. Since 1863. 31.8.2018 72

Kyberuhat ja riskit koulussa UHAT: ICT-järjestelmän lamauttaminen, tietovarkaudet, yksityisyyden loukkaus. RISKIT: Henkilökunnan osaamisvaje, puutteellinen kybersuojaus, heikko kyberturvallisuusprosessi (suunnitelma + jalkautus) JYU. Since 1863. 31.8.2018 74

Kyberturvallisuuden rakentaminen Uhka Haavoittuvuus Riskin arvo Vastatoimenpiteet Kybervandalismi Kyberrikollisuus Kybervakoilu Ihmiset Prosessit Liiketoiminta, IPR Maine Sääntely - Toimintaohjeet - Määräykset Kyberkulttuuri - Eettiset arvot - Yhteisöllisyys - Yhteinen toimintapolitiikka Kyberterrorismi Teknologia Oikeudellinen, GDPR Systeemi - Riskien hallinta - Suojausteknologiat - Suorituskyvyt Kybersodankäynti Palautus ja korjaus JYU. Since 1863. 31.8.2018 75

Kuka hallitsee kokonaisjärjestelmän? Programmer System Designer Software System Architect Database Architect Hardware System Architect System Producer System Integrators Hardware System Deployment Team Service Provider System Operators Data Warehouse Cloud Services HW Upgrade SW Upgrade Network Upgrade Software Patches and Upgrades (Libraries, DB, JYU. Since 1863. 31.8.2018 76

Pommittaja pääsee aina läpi Prime minister Stanley Baldwin: "It is well for the man in the street to realise that there is no power on earth that can protect him from being bombed... the bomber will always get through. Speech in House of Commons of the Parliament of Great Britain in November 1932. Kyberhyökkäys pääsee aina läpi JYU. Since 1863. 31.8.2018 77

Kyberturvallisuus koulussa Kyberturvallisuudella tarkoitetaan 1. Tavoitetilaa, jossa kyberympäristöstä ei aiheudu vaaraa, haittaa tai häiriötä oppilaille, opettajille tai muulle henkilöstölle (= kyberturvallinen työskentelyympäristö) 2. Kybertoimintaympäristön tilaa, jossa kaikki toimijat toteuttavat koulun toimintojen kannalta tarkoituksenmukaisia ja riittäviä kyberturvallisuusmenettelyjä (= kyberturvallisuuskulttuuri) 3. Kybertoimintaympäristön tilaa, johon perustuen vallitsee ymmärryksen myötä tuotettu luottamuksen tunne. (= turvallisuuden tunne) 4. Kybertoimintaympäristön ominaisuutta, jolla se kykenee vastustamaan kyberuhkia, sietämään niitä, vastaamaan niihin sekä toipumaan niistä (= kyberresilienssi) 5. Sääntelyä, normeja ja toimenpiteitä, joilla pyritään aikaansaamaan koulun kybertoimintaympäristön turvallisuus (= normatiivinen kyberturvallisuus) JYU. Since 1863. 31.8.2018 78

Koulun toimintaprosessien tunnistaminen Koulun toimintaprosessien tunnistamisessa organisaation johdolla on ratkaiseva rooli. Kyettävä näkemään koulu kokonaisuutena, jotta prosesseihin liittyvät osatekijät ja niiden riskit voidaan tunnistaa. JYU. Since 1863. 31.8.2018 79

Viisi kysymystä, mitä jokaisen rehtorin tulisi kysyä kyberturvallisuudesta 1. Onko koulun johtokunta täysin sitoutunut kyberturvallisuuteen? 2. Milloin viimeksi sinä ja johtokunta teitte kyberturvallisuusriskien arvioinnin? 3. Mikä tekee teistä kohteen hyökkäyksille? 4. Kuinka tiedot on suojattu ja turvattu? 5. Olenko tarjonnut turvallisuusorganisaatiollesi kaikki työkalut ja resurssit, joita se tarvitsee estämään kyberhyökkäyksen läpipääsyn? 31.8.2018 Source: Dwight Davis, Five questions every CEO should ask about cybersecurity, Enterprise Business, 2016 JYU. Since 1863. 31.8.2018 80

Kyberturvallisuuden hallinta Kyberturvallisuuden hallinta voidaan jakaa seuraaviin osakokonaisuuksiin: 1. Tilannekuvan muodostaminen ja johtaminen 2. Riskien hallinta 3. Häiriötilanteiden hallinta 4. Jatkuvuuden hallinta JYU. Since 1863. 31.8.2018 81

Kyberturvallisuuden tasapaino Technology factor Tehokkaampaa havaitsemisteknologiaa Kehittyneempää torjuntateknologiaa Tehokkaampaa salausta Human factor Johtajuutta Osaamisen hallintaa Kyberturvallisuuskulttuuri Kokonaisvaltaiset turvallisuusprosessit 82 JYU. Since 1863. 31.8.2018 82

Henkilökohtainen kyberturvallisuus 1. Käytä luotettavia suojausohjelmistoja ja hoida päivitykset 2. Kaikki nettiin laitettu on siellä ikuisesti 3. Kaikki salaus- ja rajoitusasetukset ovat murrettavissa käytä kuitenkin hyvää salasanaa (salasana/palvelu), äläkä tallenna sitä selaimeen 4. Hoida raha-asioita vain oman tutun pankkisi kanssa 5. Älä ole yhteydessä tuntemattomiin netissä 6. Älä avaa epäilyttäviä posteja, erityisesti liitetiedostoja 7. USB-tikut ovat riskitekijä 8. Toteuta toimiva varmuuskopiointijärjestely 9. Se mikä tuntuu netissä tosi upealta on erittäin todennäköisesti huijausta 10. Kaikessa nettityöskentelyssä tarvitaan tervettä epäluuloa JYU. Since 1863. 31.8.2018 83

Kybermaailman kehitys Uhkamaailman monimutkaistuminen: Hybridiuhat Informaatiooperaatiot, Kyberhyökkäykset Riippuvuus erilaisista digitaalisista verkoista ja niiden antamista palveluista. Digitalisaation eteneminen Keinoäly, Robotiikka, Automaatio IoT Työntekemisen digitalisaatio Laajeneva kyberhyökkäysala Dark Net Cyber Crime as a Service Pahuuden konvergenssi 31.8.2018

Kiitos www.jyu.fi/it 31.8.2018