3/2013 VARSINAIS-SUOMEN TIETOJENKÄSITTELY-YHDISTYS RY PRISMaa paossa Ajatuksia PM Clubista TTL 60-vuotiskiertue
Pääkirjoitus Syksyn ensimmäinen Vätskäri pureutuu heti ilmassa olevaan ajankohtaiseen kysymykseen verkossa liikkumisen turvallisuudesta, vai pitäisikö oikeastaan puhua piilevästä turvattomuudesta. Ovatko tietomme enää turvassa verkossa ja pilvessä? Näitä asioita pohtii Jesse Kaukola PRISM:aa käsittelevässä kappaleessa. Turvallisuusaiheeseen ottaa myös kantaa markinatalouden kannalta Maija Väisänen. Yhdistyksemme puheenjohtaja Anne kertoo syysterveiset ja käy läpi kuluneen kesän antia ja tulevan syksyn agendaa. Yhdistyksemme etsii nyt myös toimintaan mukaan uusia innokkaita toimikuntalaisia. Toivottavasti näemme siis sinutkin arvoisa lukija kehittämässä toimintaamme eteenpäin nyt ja tulevaisuudessa. Paljon on siis taas mielenkiintoista luettavaa lehtemme sivuilla. Hyvää alkavaa syksyä kaikille. JULKAISIJA Varsinais - Suomen Tietojenkäsittely - yhdistys www.vstky.fi Puheenjohtaja Anne Koskinen-Kannisto Sähköposti puheenjohtaja@vstky.fi Päätoimittaja Timo Lammila Puhelin 0505280743 Sähköposti tiedotus@vstky.fi Taitto Tommi Ranta Kollaasi s. 20-21 Laura Kullas ILMESTYMINEN Vätskäri ilmestyy neljä kertaa vuodessa. Ilmestymiskuukaudet : 2013: helmi-, touko-,loka- ja joulukuu. ILMOITUSMYYNTI Päätoimittaja Timo L ammila 050 528 0743 ilmoitusmyynti@vstky.fi PAINOPAIKKA T. Nieminen Oy, Painotalo Painola Jousitie 2, 20760 Piispanristi www.painola.com Yhteyshenkilö Taisto Nieminen 022749222 taisto.nieminen@painola.com Timo Lammila Päätoimittaja Tiedotustoimikunnan puheenjohtaja AINEISTO Aineisto lähetetään yhtenä PDF-tiedostona, joka sisältää kaikki ilmoitukseen kuuluvat elementit (kuvat, grafiikat, teksti fontit) Kuvat CMYK-muodossa, resoluutio min. 300dpi Ilmoitus aineisto lähetetään sähköpostilla päätoimittajalle. Isot aineistot lähetetään ZIP -pakattuna. Deadline kaksi viikkoa ennen ilmestymiskuukauden alkua. REKLAMAATIOT Ilmoitusten painoasua koskevat muistutukset 14 vrk:n kuluessa lehden ilmestymisestä. Lehden vastuuvirheistä rajoittuu ainoastaan ilmoitushintaan. MAKSUN SAAJA Saaja: VSTKY ry Pankkitili: Nordea FI45 2057 2100 0032 13 JAKELU JA PAINOS Jäsenkunta Yhteistyökumppanit Oppilaitokset 1250 kpl. Erikois- ja liitenumerot sop.mukaan. 2
Sisällys 4 Alan ajankohtaiset 6 Puheenjohtajan tervehdys 8 TTL 60-vuotiskiertue Turussa 10 Prismaa paossa 16 Mitä yksilö kylvää 19 VSTKY syyskokous 20 VSTKY jäsenristeily 22 Ajatuksia PM Clubin toiminnasta Vätskäri 3/2013
7 vinkkiä tietoturvaan Onko sinun oma tietoturvasi kunnossa? Ohessa 10 erinomaista vikkiä, joilla voit parantaa omaa tietoturvaasi internetissä. Lisätietoa: tietoturvaopas.fi 1. Älä avaa tuntemattomien lähettämiä tiedostoja: Tutkimusten mukaan email on suurin virusten levittämistapa. 2. Älä asenna luvattomia ohjelmia Erityisesti tiedostonjako-ohjelmat kuten Limewire ja Bit Torrent asiakasohjelmat ovat hyvä tapa levittää haittaohjelmia. 3. Virustorjunnan kytkeminen pois Virustorjunnan kytkeminen pois voi tuoda helpotuksen koneen nopeuteen voi tämä tulla kalliiksi. 4. Sähköpostiviestiin sisällytetyt liitteet Myös liitteet kuten kuvat pdf-dokumentit voivat olla haitallisia 5. Kyseenalaisilla sivuilla vierailut Monilla porno- tai pelisivuilla sekä sivuilla, joilla on laitonta sisältöä (musiikkia, pelejä) voi olla myös haittaohjelmia. 6. Salasanojen lainaaminen tutuille Tutuille salasanan lainaaminen ei aina ole niin turvallista. Hakkerit tilauksesta Venäläisen kyberturvallisuus tutkijan mukaan merkittävä osa laadullisesti parhaista viruksista, haittaohjelmista ja tietomurroista tehdään Venäläisvoimin. On jopa niin, että viidestä etsityimmästä kyberrikollisesta kaksi ovat venäläisiä ja yksi latviasta, minkä lisäksi kaikkien aikojen laajin kyberhyökkäys amerikkalaisia yrityksiä kohtaan oli venäläislähtöinen. Herääkin kysymyks miksi Venäjästä on tullut kyberrikollisuuden saralla näin merkittävä maa? Yksi syy on se, että kiinnijäämisen riskit ovat niin matalat, että hyvin koulutetun, mutta usein alipalkattu ohjelmoija, päätyy hankkimaan lisätuloja myös rikollista kautta. Varsinkin kun venäjän viranomaiset eivät ole kovin aktiivisia metsästämään rikollisia, elleivät he hyökkää venäjällä toimiviin yrityksiin, vaikka FSBllä ja toimivallalla muuten onkin hyvä käsitys mitä kentällä tapahtuu, toteaa Misha Glenny. Venäläinen kyberrikollisuudenalan kirjailija ja asiantuntija.. 7. Suojaton langaton verkko Jos käytät wlania, niin varmista että yhteys on suojattu. Lähde: uk.reuters.com/technology Fb:n haku kaivaa vanhatkin mokat Jos olet kirjoittanut Fb:hen jotain, joka ei kestä päivänvaloa, kannattaa tarkistaa vanhat viestit. Fb:n haku voi löytää viestit muille käyttäjille. Lähde: http://www.digitoday.fi/ 4
SIM korteissa merkittävä tietoturvariski Alan ajankohtaiset Karsten Nohl kertoo Security Research Labsin blogissa puhelimien SIM korttien tietoturva ongelmasta. SIM korteissa yleisesti käytössä oleva DES salaus on pahasti vanhentunut. Korteissa käytetty Over-The-Air (OTA) päivitys menetelmä tarkoittaa yksilöllisellä salausavaimella lähetettyjen viestien vastaanottamista ja lähettämistä, mikä on mahdollista purkaa lyhyessä ajassa sopivalla menetelmällä. Nohlin mukaan hakkerit voivat murtaa salauksen jopa minuuteissa, minkä jälkeen kortille voidaan lähettää autentikoituja päivitysviestejä. Toisin sanoen kortti saadaan lataamaan java-appletti, joka pystyy muun muassa lähettämään viestejä, sekä kertomaan puhelimen paikkatiedot. Lähde: srlabs.de/rooting-sim-cards/ Kuolettava sähköisku iphonesta! Torstaina 11.7 kiinalainen lentoemäntä Ma Ailun sai voimakkaan sähköiskun soittaessaan Applen iphone puhelimella. Kyseessä oli iphone 5, joka oli soiton aikaan latautumassa. Poliisin mukaan kuolinsyy oli kyseinen sähköisku. Applen edustajat pahoittelivat syvästi tapahtunutta ja lupautuivat olemaan täydessä yhteistyössä Xinjiangin maakunnan viranomaisten kanssa asian syiden selvittämiseksi. Asia tuli yleiseen tietoon kiinalaisen mikroblogin kautta ja levisi nopeasti myös muualle maailmaan. Lähde: uk.reuters.com/technology Vätskäri 3/2013
Yhdistys tiedottaa Puheenjohtajantervehdys Kesä on taas takana, luonto vesisateineen on jo pitkään yrittänyt kertoa että syksy on tullut. Toivon että olet saanut rentouduttua kesällä ja kerättyä energiaa syksyn pimeneviin iltoihin ja töissä jaksamiseen. Ennen kaikkea toivon että tuleva tilaisuustarjontamme antaa Sinulle sitä lisäenergiaa, jota tarvitset ammatilliseen kehittymiseen, hyvinvointiin ja jaksamiseen verkostoitumisen kautta. Katse tulevaisuuteen Ennen kuin katsomme tulevaisuuteen, on hyvä hiukan katsoa myös taaksepäin ja muistella mitä tähän asti olemmekaan kokeneet yhdessä kesän kynnyksellä. Onnistunut TTL:n 60-vuotis Roadshow kesäkuun alussa keräsi hyvän osallistujamäärän sekä keskustelua liiketoiminnan vaatimuksista tietohallinnon ja tietoturvan haasteena. Vastapainona työlle järjestimme myös ampumaurheiluun tutustumista, joka sai myös hyvän vastaanoton sekä tutustumisen uuteen trendilajiin frisbeegolffiin. Lisäksi kesällä VSTKY-aktiiveina kokoonnuimme suunnittelemaan tulevan syksyn tilaisuuksia ja suuntaamaan katseemme myös tulevaan vuoteen. Upeita ja raikkaita ideoita saatiin kerättyä ja niitä lähdemme tässä pitkin loppuvuotta ja ensi vuotta toteuttamaan. Toimintasuunnitelman hengen mukaisesti yhteistyö on ollut tämän vuoden teemana ja se tulee jatkumaan myös loppuvuonna. Hyviä esimerkkejä yhteistyöstä ja jäsenistölle tarjottavasta kattavasta ammatillista osaamista ja verkostoitumista tukevasta toiminnasta ovat mm. ScrumMaster-koulutus, Johdon tuki-työpajat sekä käynnistettävä PM CLUB TURKU. Tämänkaltaisia tilaisuuksia olemme järjestämässä juuri Sinun jäsenpalautteesi perusteella. Ammatillista osaamista Ensimmäisessä ammatillista osaamista kehittävässä ScrumMaster-koulutuksessa jäsenistö tutustettiin Agilen periaatteisiin sekä itse Scrum-menetelmään. Mielenkiintoisessa koulutuksessa vuorovaikutteisuus ja yhteistyökyky painottuivat koulutuksen koostuessa eri tyyppisistä vuorovaikutuksellisista koulutuselementeistä. Toinen uudenlainen tarve, joka tunnistettiin jäsenistön toiveista, oli johdon tukeminen: Tarjota johdolle uusinta tietoa ja tukea ymmärtää ja kehittää muutoksessa tarvittavaa kaksisuuntaista vuoropuhelua organisaation eri tasoilla ja tasojen välillä, mahdollistaen organisaation kyvykkyyden maksimaalisen hyödyntämisen strategisessa johtamisessa. Tämän vuoksi olemme lanseeraamassa työpajasarjan, jossa tarjoamme organisaatioiden johdon edustajille mahdollisuuden saada tukea muutoksessa johtamiseen. Ensinnäisessä, tammikuussa järjestettävässä työpajassa aihealueena on johtaminen muutoksessa, ja miten jatkuva parantaminen voidaan valjastaa johtamisen tueksi. Työpajassa käsitellään myös tilannetietoisuuden merkitystä muutoksessa. Maaliskuussa käsitellään strategianäkökulmasta innovoinnin hyödyntämistä kilpailukyvyn parantamisessa. Huhtikuussa, viimeisessä työpajassa tarkastellaan toiminnan jatkuvaa arviointia strategiavalinnoissa ja strategian toteuttamisessa onnistumiseksi. Suosittelen työpajasarjaa lämpimästi johdolle sekä johtamisesta kiinnostuneille. Varaa paikkasi pian! Koska kyseessä on vuorovaikutteinen työpaja, osallistujamäärä on rajoitettu. Kolmantena uutena tapahtumana on PM CLUB TURKU eli Project Management Club TURKU, joka käynnistetään kyselyn tulosten perusteella. Tulokset osoittivat että alueellamme 6
Esimerkkejä tulevasta toiminnasta ovat mm. ScrumMaster-koulutus johdon tuki-työpajat käynnistettävä PM CLUB TURKU Tämänkaltaisia tilaisuuksia olemme järjestämässä Sinun palautteesi perusteella. on paljon projektihallinnasta kiinnostuneita, jotka haluaisivat mukaan tällaiseen klubitoimintaan. Käynnistämme neljä kertaa vuodessa kokoontuvan TURKU CLUBin 23.10. Ensimmäisenä aiheenamme käsittelemme projektiviestintää. Klubin tarkoitus on olla erittäin vuorovaikutuksellinen, joten osallistujat pääsevät vaikuttamaan käsiteltäviin aiheisiin ja tapaan, jolla uusia asioita käsitellään. PM CLUB on ollut Tampereella menestys, joten on jo aika saada meille Varsinais-Suomalaisille oma klubi ja pistää hiukan paremmaksi, vai mitä? ;) Ei muuta kuin kaikki projektihallinnasta kiinnostuneet paikan päälle kuuntelemaan mitä uutta tällä saralla on, ja vaikuttamaan tulevien tilaisuuksien aiheisiin! Paljon muuta on myös luvassa, joten tarkkaile postiasi ja käy liittymässä fb- ja LinkedIn-ryhmään, jos et ole jo liittynyt. Liittymällä varmistat että pysyt ajantasalla tulevista tapahtumista. Toivon että jokainen teistä löytää loppuvuoden tilaisuustarjonnasta omat suosikkinne. Toimintarikasta syksyä Sinulle rakas vätskyläinen, Anne VSTKY järjestää yhteistyössä Stara Consulting Group Oy:n kanssa JOHDON TUKI työpajasarjan Työpajoissa käsitellään ajankohtaisia johtamisen haasteita ja tarjotaan työkaluja muutoksessa johtamiseen, toiminnan kehittämiseen, asiakastyytyväisyyden ja lisäarvon tuottamiseen sekä muutoksissa onnistumisen mittarointiin. 17.01.2014 Johtaminen muutoksessa ja jatkuva parantaminen johtamisen tukena 21.3.2014 Innovointi strategian tukena ja kilpailukyvyn parantajana 11.4.2014 Onnistunut strategia ja toiminnan jatkuva arviointi Aika: klo 8.30-14.00 Paikka: ICT-talo, Joukahaisenkatu 3-5, Turku Hinta: 250 /työpaja sis. lounaan ja kahvitarjoilun sekä materiaalin Kaikki kolme työpajaa yhteishintaan 600! Huom! Paikkoja rajoitetusti, max. 20 osallistujaa/työpaja
TTL:n 60-vuotiskier Olle Willberg Olle Willberg Tietotekniikan liitto täyttää tänä vuonna 60 vuotta. Vuoden pääjuhlallisuuksia vietetään myöhemmin syksyllä mutta liitto on järjestänyt erilaisia tapahtumia 1953 alkaneen toiminnan kunniaksi jo pitkin vuotta. Näkyvimmät paikallistapahtumat ovat olleet ympäri Suomen niemeä eri paikkakunnilla järjestetyt 60-vuotis seminaaritilaisuudet. Nämä Road Shown muodossa järjestetyt tilaisuudet on toteutettu yhdessä paikallisten jäsenyhdistysten kanssa. Turku ja VSTKY sai kunnian toimia isäntänä kuudes kesäkuuta ICT-talolla pidetyssä tilaisuudessa. Turun lisäksi kiertue on vieraillut Jyväskylässä, Oulussa, Rovaniemellä ja Joensuussa. Syksyn aikana se tulee vierailemaan vielä Kuopiossa, Lappeenrannassa ja Kouvolassa. TTL:n 60-vuotiskiertue Turussa Road Shown yleisteemana Turussakin oli Liiketoiminnan vaatimukset tietohallinnon ja tietoturvan haasteena. Omat hyvät puheenvuoronsa pitivät Fujitsu Finlandin Markku Siltanen käytännön kokemuksista siitä, onko liiketoiminta uhka tietoturvalle vai toisin päin, ICT Leaders Finlandin Heikki Saarinen talouskasvun asettamista vaatimuksista uudenlaiseen johtamiseen sekä Tietoturva ry:n Juha Lappi aiheesta Tietoturva liiketoiminnan mahdollistajana. Sokerina pohjalla oman vahvan paikallisvärimme tilaisuuteen toi puheenjohtajamme Anne Koskinen-Kannisto, joka kertoi kuulijoille keväällä hyväksytyn ensimmäisenä naisena Suomessa sotatieteen alan väitöskirjansa pohjalta aiheesta Tilannetietoisuuden merkitys liiketoiminnan kehittämisessä. Iltapäivän mittaisessa seminaarissa oli hyvinkin runsaat 40 aktiivista osallistujaa ja palaute tilaisuudesta tarjoiluineen oli meidän järjestäjien iloksi hyvä. 8
tue Turussa Yhdistys tiedottaa TTL 60-vuotiskiertueen kuvia Vätskäri 3/2013
Prismaa paossa, PRISMaanpaossa Jesse Kaukola IngImage PRISM on päivän kuumin sovellus nyt kun kohu maanpaossa olevan Edward Snowdenin ympärillä on vellonut koko kesän. Nimi Snowden tuskin on jäänyt tuntemattomaksi kenellekään, mutta PRISMiä tai tuttavallisemmin prismaa ei ole uutisissa esitelty kovinkaan tarkasti. Prism oikealta nimeltään US-984XN on amerikkalaisten tiedustelupalveluiden kehittämä ja vuodesta 2007 asti käyttämä järjestelmä, jonka tavoitteena on kerätä mahdollisimman paljon tietoa ihmisistä, jotta kerättyä tietoa voidaan hyödyntää mahdollisten terroristien löytämiseen. Pääasiallinen järjestelmän käyttäjä on Amerikan tiedustelupalvelu NSA. Mitä prisma käytännössä tekee? IPRISM kerää kaiken tyyppistä dataa webin yleisistä portaaleista ja pilvipalveluista. Julkisuuteen on vuotanut tieto että ainakin Google, Facebook ja Microsoft olisivat olleet yhteistyössä ja tarjonneet prismalle mahdollisuuden kerätä tietoja omista palveluistaan, kun USAn laki näin kyseisiltä yrityksiltä vaatii. Edellä mainittujen yritysten seurattuja palveluita ovat muun muassa Googlen haku ja Drive -palvelut, Facebook -yhteisö ja henkilötiedot sekä Microsoftin sähköposti Hotmail tai Outlook, tiedostopalvelin Skydrive ja viestintäpalvelu Skype. Microsoft on tiedotteessa julkaissut, että he eivät tarjoa yhdellekään hallitukselle tai muulle organisaatiolle suoraa yhteyttä omiin tietokantoihinsa, joten näiden sovellusten tapauksessa ei ole selvää miten tiedot siirtyvät eteenpäin. Google, Facebook ja Microsoft ovat pyytäneet lupaa jakaa tietoja käyttäjille siitä, mitkä osat heidän tiedoistaan siirtyvät prismaan, mitä USA:n hallitus ei vielä ole sallinut. Ohjelman keräämät tiedot eivät kuitenkaan rajoitu edellä mainittuihin yrityksiin, vaan kattaa kaikki Amerikan maaperällä toimivat yritykset, jotka käsittelevät kansainvälistä tietoa eli myös puhelinyhtiöt, luottokorttiyhtiöt ja muut yksilöille tärkeitä henkilötietoja ylläpitävät yritykset. Systeemi siis kerää ja analysoi eri online palveluiden materiaalia, mitä NSAn tutkijat käyttävät löytääkseen ihmisiä, jotka saattavat olla uhka Amerikan turvallisuudelle. Missään lähteessä eri tarkal- 10
Asiantuntija-artikkeli leen kerrota tietojen keruun tarkempaa syytä tai perusteita. Myöskään ei paljasteta sitä, minkälainen toiminta katsotaan Amerikan turvallisuutta uhkaavaksi, joten salaliittoteoreetikoiden kannattaa lukea tarinan loppu, missä neuvotaan, miten seurannalta voi välttyä. Ei minulla ole mitään salattavaa! En ole terroristi, en uhkaa Amerikkaa millään lailla. Voin siis käyttää sovelluksia jatkossakin, vai voinko? Vastaus on tilanneriippuvainen kyllä tai ei. Töissä vastaus on joko jyrkkä ei tai varovainen ehkä, riippuen siitä keneltä asiaa firmassa kysyy. Toimitusjohtaja ei taatusti pidä ajatuksesta, että firman toiminnan kannalta tärkeisiin tietoihin on ulkopuolisilla katselu-, käyttö- tai jopa omistusoikeus palvelusta riippuen. Toisaalta taas etätöissä olevat työkaverit vannovat Google Driven käytännöllisyyden nimeen. Myynnissä asiakas- tai kumppanipalavereiden pitäminen ilman Skypeä on toisinaan todella hankalaa, varsinkin jos kaikkien kalenterit ovat täynnä. Erityisen ongelmallisen tilanteesta tekee erinäiset yritysten ja työntekijöiden väliset NDA- eli salassapitositoumukset. Tällainen tieto kun ei saa missään välissä vilahtaa ulkopuolisten silmien ohi. Kävin läpi neljä eri verkkopalvelua: Dropbox, Facebook, Google ja Yahoo. Selvitin palvelusopimukset ja kuka näissä palveluissa pääsee käsiksi tietoon ja millä tavoin. Kaikissa sopimuksissa on kohta, jossa edellä mainitut palvelut myöntävät jakavansa kaikkia heidän hallinnoimiaan tietoja eteenpäin lain vaatimalla tavalla. Jokaisessa palvelussa tämä käy eri lailla ilmi, osin jopa hyvin hatarasti. Alla on pätkä Dropbox -palvelun käyttöehtoja, missä oli selkeimmin lueteltu, miten tietoja jaetaan: We may disclose to parties outside Dropbox files stored in your Dropbox and information about you that we collect when we have a good faith belief that disclosure is reasonably necessary to (a) comply with a law, regulation or compulsory legal request; (b) protect the safety of any person from death or serious bodily injury; (c) prevent fraud or abuse of Dropbox or its users; or (d) to protect Dropbox s property rights. If we provide your Dropbox files to a law enforcement agency as set forth above, we will remove Dropbox s encryption from the files before providing them to law enforcement. Käytännössä tämä tarkoittaa, että tietoja jaetaan, mikäli viranomainen niitä pyytää esimerkiksi Amerikan turvallisuuden nimissä. Vapaa-aikana ongelma ei ole yhtä suuri. Harvan viikonloppureissut tai lomamatkat ja niistä kertovat päivitykset tai kuvat sisältävät mitään, mikä hyödyttäisi tiedustelupalvelua muuten kuin tyyppimäärittelyssä: Tämän tyyppiset ihmiset käyvät lomalla tuollaisissa kohteissa ja ovat epätodennäköisesti alttiita aiheuttamaan turvallisuusriskejä Amerikalle. Silti kannattaa pitää mielessä miten eri verkkopalvelut hyödyntävät ja jakavat niissä olevaa tietoa. Kuka hallinnoi ja mitä? Useimmat meistä käyttävät erinäisiä pilvipalveluita vapaa-ajalla ja opinnoissa. Osa jopa töissä, mikäli yrityksellä ei ole tiukkaa tietohallintopolitiikkaa. Jotkut toki käyttävät niitä tiukoista määräyksistä huolimatta. Harvat kuitenkaan vaivautuvat tutustumaan käyttämiensä palveluiden ehtoihin ja siihen miten pilvipalveluihin laitettua tietoa käytetään. Kaikissa yllämainituissa palveluissa ehdot ovat hyvin samankaltaisia, mutta tiettyjä eroja löytyy. Google ja Facebook molemmat vaativat täydet käyttöoikeudet kaikkeen palveluissa jaettuihin materiaaleihin. Ainoastaan tekijänoikeudet säilyvät omistajalla, muutoin palveluihin lisätyt kuvat, tekstit ja tiedostot ovat yritysten käytettävissä. Dropbox puolestaan vaati ainoastaan ylläpito-oikeuden ja oikeuden purkaa salauksen tiedostoihin. Yahoo! on ainut, joka ei ota selkeästi kantaa sisältöön ja ilmoittaa, ettei Yahoo! ole missään vastuussa sen palveluihin tulevan sisällön suhteen. Jokainen palvelu omaa täyden käyttöoikeudet rekisteröityneen käyttäjän tietoihin poikkeuksetta, eli tiedot kuten nimi, osoite, puhelinnumero, luottokorttitiedot ja niin edelleen ovat palvelun omistavan yrityksen hallinnassa ja niitä voidaan käyttää hyväksi muun muassa tunnistamiseen. Tietosuoja on kaikissa yrityksissä selkeästi eritelty, joten henkilötietoja ei jaeta kenelle sattuu, mutta esimerkiksi prismaan ne päätyvät Export/Import lain johdosta. Yritystietoihin pätee samat ehdot kuin yksityisille Tämä voi yllättää monet suomalaiset yrittäjät ja yritykset. Normaalisti on totuttu siihen, että yrityksille ehdot ovat erilaiset ja yrityksen tuottamaa materiaalia pidetään paremmin suojassa kuin yksityiskäyttäjien. Pilvi- ja web-palveluissa näin ei kuitenkaan näytä olevan, sillä lähes kaikkien yritysten yleisissä ehdoissa todetaan, että näitä palveluita käyttävät yritykset hyväksyvät samat ehdot kuin yksityiset käyttäjät (Google, Dropbox). Poikkeuksena on Yahoo! missä sopimus tulee olla hyväksyttynä esimiehen nimellä. Tätä ei varmisteta mitenkään tai kerrota miten tällaisessa tilanteessa pitäisi toimia. Tämä tarkoittaa sitä, että mikäli käytät Googlen, Dropboxin tai Yahoon palveluita työasioiden hoitamisen yhteydessä, esimerkiksi käymällä keskustelua työasioista sähköpostilla tai jakamalla töihin liittyviä Mikä Prism on? Prism oikealta nimeltään US-984XN on amerikkalaisten tiedustelupalveluiden kehittämä ja vuodesta 2007 asti käyttämä järjestelmä, jonka tavoitteena on kerätä mahdollisimman paljon tietoa ihmisistä, jotta kerättyä tietoa voidaan hyödyntää mahdollisten terroristien löytämiseen. Prism jatkuu... Vätskäri 3/2013
tiedostoja Driven tai Dropboxin kautta, hyväksyt sen, että kolmannet osapuolet voivat tarkastella jakamiasi tietoja, sekä sinun omia tietojasi. Ongelmaksi tämä muodostuu pääasiassa lakiteknisesti, sillä mikäli omaat NDA:n yrityksen kanssa, jossa teet töitä sekä mahdollisesti eri asiakkaittesi kanssa, et NDA-sopimusten puitteissa voi käyttää mitään näistä palveluista. Vastaavaa ongelmaa ei ole, mikäli töissä tai opinnoissa käyttämäsi tiedot eivät ole salassa pidettäviä. Mikäli yrityksellänne ei ole selkeää politiikkaa sen suhteen miten yrityksen eri tietoja voidaan jakaa kolmansille osapuolille, kannattaisi käydä tämä keskustelu tietohallintopäällikön ja toimitusjohtajan kanssa. Pitää kuitenkin muistaa, että näiden palveluiden tuomat edut, esimerkiksi etätyön tekemisessä, ovat merkittävät. Lisäksi kaikki yrityksen tieto ei suinkaan ole salaista, joten jyrkkä ei kaikille palveluille ei ole hyvä ratkaisu työn tekemisen kannalta. Miten prismalta voi välttyä? Vainoharhaisen opas digijalanjäljen vähentämiseen: Nyky-yhteiskunnassa on vaikeaa välttyä käyttämästä palveluita, joiden tiedot kulkevat jonkin suuren Amerikkalaisen organisaation kautta. Tämä on kuitenkin mahdollista, mutta vaatii jonkin verran vaivaa ja viitseliäisyyttä, sekä halua elää pienemmän digijalanjäljen kanssa. Yritykset kuten Microsoft, Apple, Google, Facebook ja muut tarjoavat palveluita, jotka helpottavat elämää hyvinkin paljon. Esimerkkinä tablet laitteet, jotka käyttävät pääsääntöisesti ios tai Android käyttöjärjestelmiä, toimivat parhaiten online tilassa ja niin, että käyttäjä on kirjautunut omalla tilillään. Ilman Google tai Apple tiliä sovellusten käyttö on hankalaa ja hankkiminen mahdotonta. Sähköpostien lähettäminen ja vastaanottaminen tapahtuu eri palveluiden kautta, kuten g-mailin, y-mailin, hotmailin outlookin tai vastaavan yrityksen webpostipalvelun kautta. Jälleen kerran, ilman näitä toimiminen ylittää moneen mukavuudenhalun. Entä kun käytössä on puhelimet, luottokortit, tietokoneet, tabletit ja muut? Hyvä puoli on, että mistään ei tarvitse maksaa! Perusteet kuntoon Jotta voi välttyä tietojen jakamiselta, pitää ymmärtää, mistä lähteistä tietoa kerätään. Edellä esitetyn prismajutun yhteydessä kerrottiin web-palveluista ja niistä kerättävästä tiedosta. Seuranta ei kuitenkaan rajoitu millään tavoin ainoastaan verkkopalveluihin, vaan myös yritykset kuten VISA, AT&T ja niin edelleen ovat velvollisia jakamaan tietoja lainsäädännön puitteissa. Näin ollen henkilön tuleekin itse miettiä, minkä verran digijälkeä suostuu jättämään? Jokainen askel pienempään digijälkeen vaatii valtavirrasta poikkeamista ja näin ollen myös hieman enemmän vaivaa. Ei luottokorttia vaan nettikäteinen, ei Windowssia tai iossää vaan Linux, ei puhelinverkkoa vaan salattu voip, ei sähköposteja vaan bitviestejä, ei internettiä vaan darknet tai Meshnet. Kaikelle on olemassa vaihtoehto, mutta näiden käyttäminen vaatii jonkin verran kiinnostuneisuutta ja aikaa perehtyä asiaan. Aidosti kahdenkeskiset keskustelut Monet eivät tule ajatelleeksi, että verkkokeskustelut kaverin, kumppanin tai vaikka asiakkaan kanssa eivät aidosti ole kahden keskeisiä. Eikä tällä nyt viitata siihen, että joku tarkoituksella vakoilisi jokaista keskusteluasi, vaan että keskustelupalvelun tuottavalla yrityksellä on oikeus tarkistaa keskustelun sisältö näin halutessaan. Toisin sanoen keskustelut puolison kanssa lääkärikäynneistä tai viestittelyt asiakkaiden ja työkavereiden kanssa sopimuksista saattavat päätyä sellaisten silmien eteen, joille ne eivät ole lainkaan tarkoitettu. Pikaviestipalvelut, kuten Google Talk, Aol IM, OS X Messages, WhatsApp, Yahoo! messenger ja Viber ovat esimerkkejä palveluista, jotka ovat lain edessä velvollisia luovuttamaan tietoja eteenpäin. Näin ollen niiden käyttöehdoissa on aina kohta, jossa palveluntarjoajalla on oikeus purkaa viestien salaus ja käsitellä sisältöä. Toisin sanoen, mikäli haluat jakaa jotain aidosti kahdenkeskistä tietoa pikaviestien välityksellä kannattaa harkita avoimen lähdekoodin sovellusta, joka sisältää suoraan tai lisäominaisuutena OTR (off-the-record) salausprotokollan. Sovelluksia on useita, mutta mainittakoon tässä esimerkkinä Pidgin, joka tukee useimpia viestipalvelimia, esimerkiksi kaikkia yllä esiteltyjä. Tämä tarkoittaa, että saat yhteyden myös henkilöihin, jotka käyttävät seurattuja palveluita. Tulee pitää mielessä, että vaikka omat viestisi ovat salattuja, ne eivät sitä ole lukijan päässä, mikäli toinen henkilö ei käytä vastaavaa palvelua. Eli kaikilla keskusteluun osallistuvilla tulisi olla OTR salausta tukeva sovellus. Mikäli haluat keskustella äänen tai videon kanssa tilanne on sama. Palvelut kuten FaceTime, Google Talk ja Skype (sekä facebook versio) tallentavat keskustelut ja niihin pätee samat seurannan 12
perusteet kuin pikaviesteihin. Kasvotusten videoneuvotteluissa, saatetaan jakaa vielä enemmän ja kriittisempiä tietoja kuin teksti-chateissa johtuen keskustelutavan korkeammasta luotettavuudesta. Kukapa meistä ei luottaisi enemmän kasvotusten keskusteluun kuin viestittelyyn? Skype:n tyylinen keskustelupalvelu Jitsi sisältää lähes kaikki Skype:n toiminnallisuudet ja on salattu, niin että keskustelut eivät jakaannu ulkopuolisille. Jitsin voi lisäksi määritellä käyttämään Tor verkkoa (lisää myöhemmin), jolloin käyttäjän IP ja DNS tiedot ovat paremmin piilossa. Pelaajille, joille usein TeamSpeak ja Ventrilo ovat tuttuja on myös vastaavan tyylinen salattu palvelu olemassa. Mumble, tarjoaa samat palvelut kuin edellä mainitut sovellukset, mutta salauksella. Eli vaikka käytössäsi olisi itse rakennettu palvelin palomuurin ja salauksen takana, eivät käyttäjien yhteydet siihen ole salattuja. Tietoturvallinen tiedostojen jako Monet varmasti tälläkin hetkellä käyttävät pilvipalvelua tiedostojen jakamiseen. Se helpottaa merkittävästi saatavuutta ja varmuuskopiointia, eikä työkonetta tarvitse enää kantaa kotiin joka päivä. Ongelmana vain on että kun käytät esimerkiksi Google Drivea, Dropboxia, icloudia tai SkyDrivea hyväksyt samalla sen, että palvelun ylläpitäjä saa purkaa tiedostojen salauksen, tutkia sisältöä ja jakaa niitä kolmansille osapuolille. Toisin sanoen näissä palveluissa ei pitäisi säilyttää salaista materiaalia. Lakiteknisesti se olisi salassapitosopimuksen rikkomista. Tiedostojen jakamisellekin löytyy vaihtoehtoja, jotka eivät nykyisellään ole import/ export lain alla tai sisällä tietojenjakoa kolmansille osalpuolille. Näistä esimerkkinä vaikka Seafile ja Sparkleshare, jotka ovat itseylläpidettäviä, eli vaativat jonkin verran aikaa ja osaamista käyttää. Molemmat sovellukset toimivat linux palvelimilla. Valmiina palveluna Tahoe-LAFS, ei vaadi omaa palvelinta ja tarjoaa kohtalaisen tietoturvan, sekä salauksen tiedostoille. Kaikki kolme palvelua kannustavat kehittäjiä ja siitä kiinnostuneita myös osallistumaan sovellusten jatkokehitykseen, jotta palveluista saataisiin entistä parempia ja turvallisempia. Toinen tiedostojen jaon mukana tullut uusi palvelumuoto on tiedostojen yhtäaikainen editointi. Tämä mahdollistaa paremman yhteistyön kun samaa dokumenttia voi muokata useampi työntekijä samanaikaisesti niin, että toisten muutokset näkyvät reaali-ajassa. Tämä vähentää tiedostojen pallottelua sähköpostissa, sekä mahdollistaa sen, että useampi pystyy työskentelemään samanaikaisesti. Palvelut kuten Google Docs, Zoho Office Suite ja MS Office web apps ovat paljon käytettyjä palveluita tähän. Näissä on kuitenkin ongelmana se, ettei voida varmistua mitkä kolmannet tahot näkevät tiedostot, joten mikäli työskentelet arkaa materiaalia sisältävän tiedoston kanssa kannattaa harkita vaihtoehtopalvelua Etherpadia. Etherpad on toistaiseksi beta vaiheessa ja sen palveluita ei suositella tuotantokäyttöön palvelinten epävakauden takia. Palvelusta löytyy kuitenki perustekstinkäsittelyn toiminnallisuudet ja sillä pystyy luomaan dokumentteja. Toistaiseksi mitään perus tekstinkäsittelyä vaativampaa palvelulla ei pysty tekemään. Tämän lisäksi on olemassa EtherCalc sovellus, joka tarjoaa reaaliaikaisen muokkauksen taulukkolaskentaan. Palvelut eivät vaadi kirjautumista vaan ne voi suoraan ladata omalle koneelle ja käynnistää paikallisesti. Vätskäri 3/2013
Selaustiedot piiloon Web-selauksesta jäävä digitaalinen jalanjälki on merkittävä. Selauksesta tallennetaan luonnollisesti tietoja millä sivustoilla käyttäjä liikkuu, mutta myös yksilöityä dataa siitä, millä IP osoitteella ja mistä sijainnista selaus tapahtuu. Selaimet kuten Safari, Chrome ja Internet Explorer ovat velvollisia jakamaan näitä tietoja edellä mainituista syistä. Mikäli et halua, että selaustietojasi seurataan ja tallennetaan, joudut varmistamaan ensin, ettei IPosoitettasi voida linkittää sisältöön, mitä katselet. Sen jälkeen tulee varmistaa, että yhteytesi on vähimmillään HTTPS salattu, jotta kaikki selaamasi tieto on salattua. Tämän lisäksi täytyy vielä varmistaa se, etteivät mitkään sivustoilla olevat palvelut pysty kyselemään tietoja selauksestasi. Mitä tämä käytännössä vaatii? DNS ja IP tietojen salaus verkossa vaatii vertaisverkkoselauksen. Selausdatan välitys ei tällöin liiku suoraan palvelimelta koneellesi, vaan se tuodaan useiden virtuaalitunnelien kautta, jolloin pakettien seuraaminen on hankalaa. Tähän tarkoitukseen tarvitset Tor-sovelluksen, joka on ilmainen tor-project yhteisön kehittämä palvelu verkkoselauksen salaamiseen. Tor mahdollistaa web pakettien kuljetuksen useita virtuaalitunneleita pitkin ja toimii kuten vertaisverkot ainoana poikkeuksena, että se ohjaa selaimen liikennettä eikä esimerkiksi käyttäjien tiedostoja. Tor-sovellus vaatii aina toimiakseen, jonkin avoimen lähdekoodin selaimen kuten Mozilla Firefoxin tai vastaavan. Tor-project sivuilta ladatessa pakkauksessa tulee mukana firefoxin versio, missä salaukseen on panostettu enemmän. Näiden yhdistelmä auttaa jo pitkälle. Tor-Firefoxiin kannattaa asentaa ainakin seuraavat lisäosat, mikäli haluat varmistua salauksesta sekä välttyä tietojakalastelevilta palvelukutsuilta. HTTPS Everywhere pyrkii aina ensisijaisesti varmistamaan, että liikut HTTPS salauksen alla ja kaikki selaustietosi on näin salattua. Tämän lisäksi NoScript, kiellä kaikki -asetuksella estää sivustoilla olevien palvelukutsujen suorituksen. Eli esimerkiksi JavaScript, Java ja Flash skriptien suorituksen, jotka voivat mahdollisesti kalastella tietoja ja tietyissä tapauksissa myös tuoda koneelle haittaohjelmia tai viruksia. Näiden lisäksi on hyvä käyttää Disconnectia, joka seuraa ja kertoo, mitä eri palvelu ja tietojenkalastelupyyntöjä selauksestasi tehdään. Lisäosa näyttää reaaliajassa montako eri sivustoa ja sovellusta pyytää tietojasi ja voit sen avulla estää näitä pyyntöjä halutessasi. Web selauksessa on kuitenkin ongelmana se, ettei kaikkia palvelupyyntöjä voi kieltää. Esimerkiksi haut Googlen, Bingin tai Yahoo!n kautta kirjautuvat suoraan heidän palvelimilleen. Ilmaista seuraamatonta ja hyvin toimivaa palvelua ei toistaiseksi ole tarjolla lainkaan. Ilmaiset ja seuraamattomat palvelut eivät sisällä tarpeeksi sivustomerkintöjä, jotta haut löytäisivät aina sen, mitä käyttäjä on etsimässä. Yksi mahdollisista vaihtoehdoista Googlelle on DuckDuckGo, joka tarjoaa seuraamattoman haun, joskin rajatulla alueella. Sähköpostit turvaan Sähköposti on yksi yleisimmistä, ellei jopa yleisin tiedonjako- ja keskusteluväylä niin vapaa-ajalla kuin töissä. Eikä sähköpostista luopuminen ole useimmille mahdollista nykypäivänä sillä iso osa laskuistamme, esimiehen tiedotteet, päivähoito- ja koulutiedotteet, asiakasmateriaalit ja muut kulkevat kaikki sähköpostin kautta nopeasti perille. Moni ei kuitenkaan tule ajatelleeksi että esimerkiksi Gmail, Mirosoft Exchange ja Outlook sekä Yahoo! mail keräävät tiedot omille palvelimilleen. Käyttäessäsi näitä palveluita hyväksyt samalla, että sähköpostejasi voidaan tarkastella ja välittää kolmansille osapuolille pyydettäessä. Sähköpostien turvaamiseen voi käyttää erillisiä sähköpostisovelluksia, salauksia tai valita käyttöön palvelun, missä tietoja ei välitetä eteenpäin. Työpöytäsovelluksia käyttävien pitää huomioida kaksi asiaa. Käytettävä sovellus pitää olla turvallinen ja sisältää salausmahdollisuuden ja käytetyn sähköpostipalvelimen tulee olla salattu ja sellainen, joka ei jaa tietoja kolmansille osapuolille. Yksi hyvistä työpöytäsovelluksista tähän tarkoitukseen on Mozilla Thunderbird ja sen täysin ilmainen versio Icedove. Molemmat ovat avoimen lähdekoodin sovelluksia ja molempiin on saatavilla GPG (GNU privact guard) ja Enigmail salaukset. Näiden lisäksi TorBirdy-lisäosa mah- 14