VALTIOVARAINMINISTERIÖ ÄLYPUHELIMEN TUR- VALLINEN KÄYTTÖ Älypuhelimien tietoturvallisuus-työryhmä 6.7.2007 ESIMERKKI JA RUNKO ORGANISAATION ÄLY- JA MATKAPUHELINTEN TIETOTURVAOHJEEKSI Luku- ja muokkausohje Puhelin- ja tai tietoturva-asioista vastaavalle: Tämä ohje on laadittu täydentämään organisaation olemassa olevaa tietoturvaohjetta. Pääpaino on älypuhelimien turvalliseen käyttöön liittyvissä asioissa. Ohje on tarkoitettu muokattavaksi oman organisaation tietoturvapolitiikkaa noudattavaksi ja tietotekniseen toimintaympäristöön sopivaksi. Ohjeessa on nostettu esille niitä asioita, jotka ovat työryhmän mielestä älypuhelimien turvallisessa käytössä huomioitavia seikkoja. Ohje ei ole tarkoitettu jaettavaksi omassa organisaatiossasi ilman muokkausta. Osa esitetyistä suosituksista on vaihtoehtoisia tai toisensa poissulkevia. Muokkaa, poista tai lisää seuraavilla sivuilla olevia kohtia vastaamaan organisaatiosi tietojärjestelmiä ja tietoturvasuunnitelmaa. Voit lisätä organisaation ohjeeseen myös tarvitsemiasi kohtia Älypuhelimien tietoturvallisuus - hyvät käytännöt VAHTI-materiaalista, esimerkiksi sanaston tai muiden selvitysten osalta. [ ] merkintöjen sisään on lisätty suositusta selventäviä kommentteja.
Organisaatiosi tietoturvaohjeet koskevat paitsi tietokoneen myös äly- tai matkapuhelimen tai muiden viestimien käyttöä soveltuvin osin. 1. Jos älypuhelimesi varastetaan tai se häviää - ota yhteys organisaatiosi älypuhelintukeen, joka huolehtii tarvittavista lisätoimenpiteistä. [Laitteelle tehdään etälukitus, etätyhjennys tai muut organisaation päättämät toimet] - tee rikosilmoitus (, jos älypuhelin on varastettu). [Tai vastuuhenkilö voi tehdä rikosilmoituksen. Jos laite häviää, operaattorit eivät lisää laitetta kieltolistalle, jolloin laite on mahdollista ottaa käyttöön uudella sim-kortilla] - älä pyydä operaattoria sulkemaan liittymääsi. Organisaatiosi voi tarvita liittymää älypuhelimen etätyhjentämiseen. [Kysy tarkempia tietoja operaattoriltasi suositeltavaa toimintatapaa varten] - voit myös itse etälukita älypuhelimesi lähettämällä puhelimeen määritetyn tekstiviestin toisesta matkapuhelimesta omaan matkapuhelinnumeroosi. [Tämä on mahdollista, jos kyseinen asetus on otettu käyttöön puhelimessa. Ominaisuus toimii ainakin osassa Nokian puhelimia.] 2. Puhuminen äly- tai matkapuhelimessa - Harkitse mitä asioita, millä voimakkuudella, missä ja kenelle puhut, koska puhettasi voidaan kuunnella. [Joissakin kokoustiloissa saattaa olla erikseen äänieristettyjä tiloja, joita voidaan käyttää myös luottamuksellisista asioista keskusteltaessa] - Huomioi, että myös ulkomailla ymmärretään suomen kieltä. - Useat puhelimet toimivat myös nauhureina, joilla voidaan nauhoittaa puheluiden ohella esimerkiksi puhelimen lähettyvillä käyty keskustelu. [Pöydälle jätetty puhelin voi toimia kuten sanelin. Varovaisuutta on noudatettava, vaikka puhelimen haltija ei ole paikalla.] - Puhelimen käyttäminen on kielletty joissakin tiloissa, esimerkiksi lentokoneessa. - Noudata annettuja ohjeita yksityispuheluiden soittamisesta. 3. Osoite- ja yhteystietojen käyttäminen äly- tai matkapuhelimessa - Tallenna osoite- ja yhteystiedot puhelimen muistiin (sim-kortin sijasta). [Osa pushmail-ohjelmistoista synkronoi tiedot postipalvelimelle, jolloin niitä ei menetetä puhelimen hävitessä.] - Tallenna tarvitsemasi numerot kansainväliseen muotoon (eli kotimaisten numeroiden alkuun +358), jolloin niiden käyttö ulkomailta on mahdollisimman helppoa. - Käytössäsi oleva sähköpostiratkaisu synkronoi osoite- ja yhteystietosi automaattisesti. [Tämä riippuu käytetystä pushmail-ratkaisusta.] - Joidenkin palvelu- ja muiden numeroiden käyttö saattaa olla estetty. 2 (7)
[Väärinkäytöksiä puhelimen hävitessä voidaan rajoittaa tällaisten estojen lisäksi esimerkiksi saldorajoituksilla.] - Palvelunumerot eivät normaalisti toimi ulkomailta soitettaessa. 4. Sähköposti- ja kalenteritoimintojen käyttäminen äly- tai matkapuhelimessa - Noudata samaa huolellisuutta ja organisaatiosi tietoturvakäytäntöjä kuin käyttäessäsi tietokoneellasi olevaa sähköpostiohjelmaa. - Liitetiedostojen käsitteleminen puhelimella voi olla varsin työlästä. [Osa liitetiedostoista ei välttämättä edes aukea matkapuhelimella puuttuvien ohjelmistojen takia tai lataaminen kestää kauan hitaasta tietoliikenneyhteydestä johtuen.] - Voit ajastaa sähköpostit saapumaan esimerkiksi virka-aikana. [Riippuu käytetystä pushmail-ratkaisusta.] - Resurssivarauksien tekeminen tai muiden käyttäjien kalentereiden katsominen puhelimella ei toimi samoin kuin tietokonetta käytettäessä. [Yleisesti tätä ominaisuutta ei ole tuettu.] - Virkakortilla salattujen viestien avaaminen ja lähettäminen eivät onnistu äly- tai matkapuhelimella. [Vaatii kortinlukijaa sekä muuta infrastruktuuria, jota ei ole yleisesti saatavilla älypuhelimiin.] 5. Asiakirjojen käsittely äly- tai matkapuhelimessa - Käsittele ja säilytä puhelimessasi olevaa luottamuksellista materiaalia organisaatiosi tietoturvaohjeen mukaisesti tällaisen tiedon salakirjoittaminen on suositeltavaa. [Muista, että salakirjoitusohjelman käyttöönotto saattaa heikentää puhelimen käytettävyyttä, koska salakirjoitusohjelma saattaa kuluttaa huomattavan paljon esimerkiksi prosessoritehoa tai muistia. Varmistu käytettävien ohjelmien yhteensopivuudesta ennen ohjelmistojen hankintaa.] - Käsittele puhelimen muistikorttia kuten mitä tahansa siirrettävää tallennusvälinettä (kuten esim. usb-muistitikkua tai cd-levyä). [Ole muistikorttien käsittelyssä erityisen varovainen, koska muistikortti on eräs keskeinen keino levittää haittaohjelmia puhelimesta toiseen.] - Jos poistat vahingossa puhelimellasi olevia tärkeitä tiedostoja, poistettuja tiedostoja on mahdollista palauttaa erikoisohjelmistoilla. Ota tällöin yhteyttä organisaatiosi älypuhelintukeen. [Tämä kannattaa muistaa myös tietoaineistojen suojaamisen kannalta: luottamuksellisen tiedoston poistaminen ei vielä tarkoita sitä, etteikö joku puhelimen löytävä/varastava taho voisi palauttaa ja väärinkäyttää puhelimesta selville saamaansa tietoa.] 6. WWW-selaimen käyttö äly- tai matkapuhelimessa - Käytä mahdollisuuksien mukaan nettipalveluiden mobiiliversioita (esimerkiksi www.yle.fi/pda) [Tällaiset sivut on optimoitu kevyempää tietoliikennettä ja matalampaa prosessoritehoa varten.] - Voit nopeuttaa selaamista jättämällä kuvien lataamisen pois (selaimen asetuksista). [Osa www-palveluista saattaa edellyttää kuvien käyttöä.] - Älä lataa matkapuhelimeesi mitään ohjelmia internetistä. 3 (7)
[Puhelimiin voi tulla haitta- tai vakoiluohjelmia. Lievemmissä tapauksissa tarpeellisten ohjelmistojen toiminta voi estyä tai häiriintyä, vaikka ladatusta ohjelmasta ei varsinaista uhkaa laitteelle olisikaan.] 7. Teksti- ja multimediaviestien (MMS) käyttö - MMS:n käyttö eli esimerkiksi kännykkäkameralla otettujen kuvien lähettäminen puhelimella on estetty tietoturvasyistä. - Pyri välttämään MMS-viestintää. Esimerkiksi kännykkäkamerakuvien lähettäminen ei ole suositeltavaa tietoturvasyistä. [MMS-viestit ovat mahdollinen virusten leviämiskanava ja ne eivät edesauta virkatehtävien suorittamista yleisesti. Eräs keino estää MMS:n käyttöä on jättää puhelinliittymästä MMSpalvelu pois.] - Tekstiviestin vastaanottaminen on yleensä ilmaista kaikkialla maailmassa, eikä lähettäminenkään maksa muutamaa kymmentä senttiä enempää. o Mikäli puhelinverkko on varattu, saattaa tekstiviestit kuitenkin päästä läpi. - Älä kuitenkaan vastaa epäilyttäviin tekstiviesteihin tai soita viesteissä esitettyihin numeroihin. Niiden tarkoituksena on huijaaminen ja rahastaminen sillä seurauksella, että käyttäjän puhelinlasku kasvaa. [Ole erityisen varovainen muiden kuin suomenkielisten epäilyttävien viestien osalta.] - Mikäli vastaanotat omalta kotimaiselta operaattoriltasi puhelinasetusviestejä, noudata viestissä olevia ohjeita. Matkoilla ollessasi ulkomaisten operaattoreiden lähettämiin asetus- tai muihinkaan tervehdysviesteihin ei tarvitse reagoida. [Asetusviestit sisältävät esimerkiksi operaattorisi puhelimeen päivittämiä uusia tietoliikenneasetuksia.] 8. Äly- tai matkapuhelimen kameran käyttö - Kameran käyttö voi olla estetty tietoturvasyistä. - Ota huomioon, että kameran käyttö on kielletty joissakin tiloissa. - Ota huomioon yksityisyydensuoja kuvatessasi. 9. Varmuuskopioiminen - Huolehdi puhelimellasi olevien asiakirjojen varmuuskopioinnista säännöllisesti. - Tallenna asiakirjat puhelimeesi sellaiseen paikkaan, josta ne varmistetaan talteen automaattisesti. [Jos organisaatiolla on käytössä ratkaisu varmuuskopiointiin niin tarkenna ohjeeseen tallennuspaikka.] - Varmuuskopioi puhelimesi osoite- ja yhteystiedot. [Osa pushmail-ohjelmista tekee tämän automaattisesti.] - Huolehdi siitä, että koko puhelimesi on varmuuskopioituna. Tämä tarkoittaa sitä, että puhelimesi sisällöstä, mukaan luettuna ohjelmistot ja muut puhelimelle tallennetut tiedostot, on otettu erillinen koko laitteen kaikki tiedot käsittävä varmuuskopio. [Tämä on usein helpoin ja nopein tapa palauttaa tiedot puhelimeen. Käyttäjä voi tehdä tämän itse esimerkiksi muistikortille.] 4 (7)
10. Muistikorttien käyttö äly- tai matkapuhelimessa - Älypuhelin voi saastua muistikortin kautta hieman samaan tapaan kuin tietokone, jossa käytetään viruksen sisältämää levykettä. Älypuhelimeen voi asentua tällä tavoin esim. vakoiluohjelma. Älä siksi vaihda puhelimesi muistikorttia ilman, että tiedostat muistikortteihin liittyvät vaarat tai anna organisaatiosi älypuhelintuen huolehtia muistikortin vaihtamisesta. [Symbian-käyttöjärjestelmää käyttävä älypuhelin käynnistää automaattisesti muistikortilla sijaitsevan ohjelman sellaisen löytäessään.] - Muistikortti tai muistikortilla olevat tiedot voidaan anastaa nopeasti ja/tai huomaamattomasti. Tästä syystä säilytä puhelintasi huolellisesti äläkä lainaa sitä muille. - Jos varmistat koko puhelimesi sisällön muistikortille, säilytä puhelinta ja muistikorttia erillään. 11. Tietoliikenneyhteydet äly- tai matkapuhelimessa - Bluetooth-laitteella on kaksi tilaa näkyy kaikille ja piilotettu. Tilan tulee olla piilotettu. [Mikäli käyttäjä ei tarvitse Bluetooth-ominaisuutta, kannattaa se ottaa kokonaan pois käytöstä. Bluetooth-ominaisuus kannattaa ottaa kokonaan pois käytöstä, mikäli käyttäjä ei tarvitse sitä.] - Noudata langattomien wlan-yhteyksien käytössä organisaatiosi tietoturvaohjetta. [Wlan-yhteyksissä on samoja tietoturvauhkia käytettäessä älypuhelimia kuin pc-laitteita; esimerkiksi wlan-tukiaseman ylläpitäjä voi tutkia tukiaseman kautta kulkevaa liikennettä.] - Voit säästää puhelimesi akkua välttämällä turhaa tietoliikenneyhteyksien ja -ohjelmien käyttöä. 12. Matkustaessasi ulkomailla - Data-yhteyksiä ei välttämättä ole käytettävissä, jolloin sähköposti- ja etähallintasovellukset eivät toimi lainkaan. - Selvitä etukäteen tietoliikennekustannukset kohdemaassa sekä puheluiden että data-yhteyksien osalta. [Operaattoreilla on tätä varten omat www-sivut, jotka kannattaa linkittää organisaation intranet-verkkoon. Huomaa erityisesti sellaiset operaattorit, jotka käyttävät kytkentämaksua jokaisesta avatusta yhteydestä. Tämä saattaa muodostua ongelmaksi data-yhteyden katkeillessa.] - Aikavyöhykkeen muuttuminen saattaa sekoittaa puhelimen kellonajan ja kalenteria. [Kellonaikaa tai kalenteria käyttävät sovellukset saattavat toimia virheellisesti.] - Vaihda aikavyöhykettä. [Huomaa, että kellonajan ja aikavyöhykkeen vaihtaminen on eri asia; kellonajan vaihtaminen ei vaihda esimerkiksi kalenterimerkintöjä vastaamaan sijainnin aikavyöhykettä.] - Älä vaihda aikavyöhykettä. [Aikavyöhykkeen vaihtaminen voi sotkea esimerkiksi kalenterimerkinnät.] - Vältä ulkomailla ollessasi sähköpostin liitetiedostojen lataamista puhelimellesi. [Yksi megatavu saattaa maksaa jopa kymmeniä euroja.] - Erityisesti ulkomailla käyttäessäsi puhelimen www-selainta tietoliikennekustannukset voivat nousta jopa satoihin euroihin yksittäisen nettisurffailun seurauksena. 5 (7)
13. Muita äly- tai matkapuhelimen turvalliseen käyttöön liittyviä asioita - Varmista, että puhelimesi virustorjuntaohjelmistot ovat ajan tasalla. [Kaikki virustorjuntaohjelmistot eivät päivitä itseään automaattisesti.] - Pin-koodin oletusasetus (esim. numerokoodi 0000) tulee vaihtaa puhelimen käyttöönottohetkellä. Pin-koodikysely tulee pitää käytössä. - On suositeltavaa käyttää puhelimen automaattista lukitusta (suojakoodi), joka lukitsee puhelimen, kun se on ollut käyttämättä esimerkiksi 5 minuuttia. - Jos epäilet, että automaattisen lukituksen suojakoodi on paljastunut, vaihda se välittömästi uuteen tai pyydä puhelintukea vaihtamaan se. - Lukitse puhelimesi näppäimistö, jollei näppäimistö lukitu automaattisesti. - Älä koskaan lainaa älypuhelinta tuntemattomalle henkilölle edes hetkeksi, koska esimerkiksi vakoiluohjelman asentaminen tai tietojen varastaminen puhelimesta voi tapahtua minuutissa. - Haittaohjelmien leviämisen estämiseksi vastaa kaikkiin matkapuhelimen näyttöön tuleviin ohjelmien asennusta ja asetusten muutoksia ehdottaviin ilmoituksiin EI eli NO. Tällaisen tilanteen jälkeen ota varmuuden vuoksi yhteyttä organisaatiosi älypuhelintukeen ja kerro saamastasi ilmoituksesta. - Jos epäilet, että älypuhelimeesi on asentunut jokin haittaohjelma, ota puhelimesta virta pois. Toimita puhelin älypuhelintukeen tarkastettavaksi. Näin vältät mahdollisen haittaohjelman leviämisen sekä liittymääsi kohdistuvien ylimääräisten kustannusten syntymisen. - Älä asenna ohjelmistoja älypuhelimeesi. Organisaatio voi estää ohjelmien asentamisen tietoturvasyistä. [Sovellusten asentaminen estetään yleensä etähallintaohjelmistolla. Ohjelmistojen toiminta voi estyä tai häiriintyä, vaikka asennetusta ohjelmasta ei varsinaista uhkaa laitteelle olisikaan.] - Vikatilanteissa ota ensin yhteyttä organisaatiosi puhelinvastaavaan. Älä toimita laitetta huoltoon tai osta uutta puhelinta ilman lupaa. - Käytä vain organisaation hankkimia lisälaitteita puhelimessasi. 14. Muuta yleistä muistettavaa - Lue äly- tai matkapuhelimen mukana seuraava käyttöohje tai sen tiivistelmä. - Useisiin ongelmiin ratkaisuksi riittää puhelimen uudelleenkäynnistäminen, eräissä malleissa se edellyttää puhelimen akun irrottamista. - Voit kysyä myös muista älypuhelimeesi saatavista rajoituspalveluista organisaatiosi puhelintuesta. - Kun olet saanut puhelimesi organisaation älypuhelinvastaavalta, älä muuta siihen tehtyjä asetuksia. - Ole huolellinen käynnistäessäsi puhelinta ja syöttäessäsi pin-koodia. o Liian monta (kolme) väärän pin-koodin syöttöyritystä lukitsee puhelinliittymän. Lukitun liittymän vapauttamiseen tarvittavan puk-koodin saaminen saattaa viedä aikaa. 6 (7)
Ota yhteyttä äly- ja matkapuhelintukeen aina, kun tarvitset lisätietoja ja erityisesti epäselvissä tilanteissa. 7 (7)