TIETOTURVA

1. Yleistä

Tässä teemassa käsitellään tietoturvaan liittyviä asioita. Aihe on tärkeä ja hyvin laaja. Esityksessä keskitytään tavallisen kotikäyttäjän ja yrityksen työntekijän kannalta tärkeisiin käytännön tietoturvaseikkoihin.

Aineiston lähteenä on käytetty pääosin Petteri Järvisen teosta Tietoturva & yksityisyys (Docendo, 2002).

2. Mitä tietoturvalla tarkoitetaan?

Tietoturva määritellään yleensä niiden toimenpiteiden kokonaisuudeksi, joilla taataan tietoturvan kolme periaatetta:

1. Luottamuksellisuus. Kukaan ei pääse näkemään tai käyttämään tietoa, johon hänellä ei ole oikeutta.
2. Eheys. Mikään ulkopuolinen taho ei pääse muuttamaan ilman lupaa tiedon sisältöä. Esimerkiksi virukset rikkovat tätä sääntöä tarttuessaan koneessa oleviin tiedostoihin.
3. Saatavuus. Tieto on käytettävissä silloin, kun sitä tarvitaan. Erityisesti verkossa sijaitsevien tietojen osalta, toimiva yhteys on edellytys tämän periaatteen toteutumiselle.

Näiden kolmen perusperiaatteen lisäksi tietoturvallisuuden perustekijöihin lasketaan kuuluviksi:

• Kiistämättömyys. Tietojenkäsittelyn tai tiedonsiirron toinen osapuoli ei voi kiistää osuuttaan tapahtumaan, esim. verkkokaupassa.
• Pääsynvalvonta. Järjestelmää pääsee käyttämään vain todennetut henkilöt, joilla on siihen oikeus.
• Todentaminen. Käyttäjä, ohjelma, sähköpostiviesti tai esim. www-sivu voidaan varmasti tunnistaa aidoksi. Todentaminen on usein teknisesti hankalaa, mutta käytännössä jatkuvasti esiin tuleva tilanne.

Tietoturvaan liittyy läheisesti käsite tietosuoja. Tietosuoja on perusoikeus, joka on tarkoitettu turvaamaan perustuslaissa säädettyä kansalaisen yksityisyyttä. Tietosuojaa toteutetaan lainsäädännön avulla. Esimerkiksi henkilötietolaki antaa sääntöjä henkilötietorekisterien keräämisestä ja käytöstä. Tietosuoja on yhä ajankohtaisempi keskustelunaihe nykyään, kun tekniset laitteet antavat mahdollisuuden hyvin tarkkaan seurantaan ja erilaisten tietojen keräämiseen.

3. Oman tietokoneen tietoturva

Tässä luvussa käsitellään muutamia perusasioita, jotka liittyvät henkilökohtaisen tietokoneen käyttöön.

1. Fyysisen ympäristön turvaaminen.

Ellei konetta ole mitenkään suojattu, kuka tahansa pääsee käyttämään sitä ja myös tekemään sillä mitä tahansa. Kotikoneissa ei välttämättä ole luottamuksellista tietoa, jota muut perheenjäsenet eivät saisi saada tietoonsa. Kotikäytössäkin on kuitenkin riski, että yhteiskäytössä olevalla koneella toinen käyttäjä vahingossa aiheuttaa tuhoja tiedoille. Esim. lasten pelit tai Internetistä ladatut ohjelmat voivat sekoittaa koneen tietoja tai tuoda koneeseen viruksia.

Julkisissa tiloissa olevilla koneilla riskit ovat suuremmat, mikäli ulkopuolinen henkilö pääsee käyttämään suojaamatonta konetta. Esimerkiksi koulussa kuka tahansa voi lähettää nimissäsi sähköpostia tai tehdä Internetissä mitä huvittaa nimissäsi, mikäli et ole muistanut kirjautua ulos koneelta. Varsinkaan työpaikoilla koneita ei pitäisi jättää täysin suojaamatta esim. silloin kun lähtee kotiin tai poistuu ruokatunnille.

Fyysistä ympäristöä voidaan turvata sijoittamalla koneet lukittuihin tiloihin. Sähköverkosta tuleviin jännitepiikkeihin voidaan varautua erillisellä suojalaitteella ja irrottamalla kone sähköverkosta esim. ukkosen ajaksi. Myöskään ruokailu koneen ääressä ei ole suositeltavaa, sillä esim. näppäimistölle kaatunut neste voi aiheuttaa oikosulun tietokoneessa.

2. Salasanat

Poistuttaessa koneelta hetkeksi, voidaan koneen käyttö "lukita" näytönsaäästäjällä, jossa on salasanasuojaus. Tämä on hyvä tapa ja se estää nopean pääsyn koneelle. Näytönsäästäjä voidaan kuitenkin poistaa käynnistämällä kone uudelleen.

Koneen käynnistykseen voidaan asettaa salasana koneen perusasetuksiin BIOS-muistiin. BIOS-muistissa oleva tieto luetaan konetta käynnistettäessä. Tämäkään salaustapa ei ole aukoton, vaan se voidaan ohittaa erilaisilla menetelmillä.

Salasanoihin perustuvaa suojausta käytetään nykyään hyvin monessa yhteydessä. Koneiden ja lähiverkkojen käyttäjille määritellään käyttäjätunnukset ja henkilökohtaiset salasanat, eri tietojärjestelmät vaativat kirjautumista ennen käyttöä, samoin monet Internetpalvelut. Salasanoihin perustuvat suojaukset voidaan usein helposti murtaa. Varsinkin, jos salasanana on oma tai puolison nimi, on salasana helppo arvata parilla kokeilulla. Salasanoja tulisi vaihtaa ajoittain Tämä aiheuttaa sen, että erilaisia salasanoja on vaikea muistaa.

Hyvä salasana noudattaa seuraavia sääntöjä:

• Salasana ei ole johdettavissa nimestä eikä käyttäjätunnuksesta.
• Salasana ei saa liittyä henkilökohtaiseen elämään, esim. lapsen, puolison tai koiran nimi.
• Salasanan tulee olla tarpeeksi pitkä, koska pitempiä salasanoja on vaikeampi murtaa ohjelmilla, jotka kokeilevat erilaisia kirjainyhdistelmiä.
• Eri paikoissa tulisi käyttää eri salasanoja, koska lähetettäessä salasanoja verkossa ne kulkevat välillä suojaamattomana. Ainakin yrityksen verkossa ja Internet-palveluissa tulisi käyttää eri salasanaa.
• Salasanassa tulisi olla sekä isoja, että pieniä kirjaimia sekä erikoismerkkejä. Skandinaavisten merkkien käyttö saattaa kuitenkin aiheuttaa ongelmia joissain järjestelmissä.

Salasanoja ei saa kirjoittaa selkokielellä muistiin mihinkään, ei varsinkaan tietokoneen viereen. Salasanaa ei myöskään tulisi kertoa kenellekään. Lehdissä on ollut uutisia tutkimuksista, joissa yritysten luvalla soitettiin yritysten työntekijöille ja kysyttiin heidän salasanojaan puhelimessa. Suurin osa ilmoitti salasanansa epäröimättä. Lisäksi salasanat olivat suurimmaksi osaksi helposti arvattavia.  Puhelimitse esitettyihin pyyntöihin ei pidä luottaa.

3. Varmuuskopiointi

Tärkeistä tiedostoista tulisi ottaa tuoreet varmistukset. Esim. kovalevy voi rikkoutua ihan fyysisesti tai tietokonevirus voi aiheuttaa tuhoja. Levyke on hyvin epävarma tallennusväline. Muistitikku taas katoaa tai unohtuu helposti pienen kokonsa vuoksi. Esimerkiksi tärkeää opinnäytetyötä ei tule tallentaa pelkästään levykkeelle tai muistitikulle. Kaikki opettajalle palautettavat tehtävät kannattaa myös säilyttää itsellä tallennettuna kunnes opettaja on antanut kurssista arvosanan opintokortille.

Yrityksissä varmuuskopiointi suoritetaan usein automaattisesti säännöllisin väliajoin verkkolevyiltä. Käyttäjän tulisi kuitenkin huolehtia, että hän tallentaa tietonsa ko. levyasemille tai huolehtii itse varmuuskopioinnista tallentaessaan töitä oman työasemansa kiintolevylle.

4. Käytön jäljet Windowsissa

Windowsiin jää jälkiä tietokoneen käytöstä eri paikkoihin. Windows tallentaa tiedot käytetyistä ohjelmista, asennetuista ohjelmista ja monista muista toiminnoista omiin rekisteritiedostoihinsa. Tavallinen käyttäjä ei niitä useinkaan osaa katsella, mutta asiaan perehtynyt pystyy näkemään tietoja.

Tiedostojen käytöstä jää myös merkinnät. Tiedoston ominaisuuksista nähdään mm. aika, jolloin tiedosto on viimeksi avattu.

Office-ohjelmat kirjoittavat tiedoston ominaisuuksiin yllättäviäkin tietoja. Esim, jos työpaikkahakemuksen pohjana käytetään entistä hakemusta, saattaa ominaisuuksista selvitä, että henkilö on hakenut toistakin työpaikkaa. Tiedoston ominaisuuksia pääsee tutkimaan ja muuttamaan wordissa Tiedosto|Ominaisuudet -valikosta. Kokeile!

Wordissä on mahdollisuus käyttää ns. pikatallennusta. Se tallentaa muutokset entisen tiedoston perään poistamatta entisiä tietoja. Tutkimalla tiedostoa suoraan levyltä, siitä saattaa löytyä tekstiä, jota et olisi halunnut julkaista. Pikatallennuksen voi ottaa pois Työkalut|Asetukset-valikosta. Samasta valikosta voi poistaa myös viimeksi käytetyt tiedostot, jotka näkyvät Wordin Tiedosto-valikon lopussa.

5. Ohjelmien päivittäminen

Ohjelmiin tulee usein uusia tietoturvapäivityksiä, jotka voi usein ladata Internetistä. Varsinkin Windowsista löydetään uusia tietoturva-aukkoja ja Microsoft julkaisee niihin korjauspäivityksiä. Päivityspaketteja kannattaa seurata ja huolehtia, että oman koneen päivitykset ovat ajan tasalla. Windows päivitetään Windows Update-sivuston kautta. Sivustolle pääsee suoraan Käynnistä-valikon kautta. On suositeltavaa ottaa käyttöön automaattiset päivitykset, jolloin käyttöjärjestelmän päivitykset tapahtuvat automaattisesti, kun Internet-yhteys on auki.

4. Internetin tietoturva

Internetin käyttöön liittyy monia tietoturvariskejä. Surffailusta jää jälkiä moneen paikkaan. Lisäksi esim. tietokonevirukset leviävät yhä useammin Internetin kautta.

Surffailun jäljet

Kuten olemme aikaisemmin oppineet, jokaisella Internetiin liitetyllä koneella on yksilöllinen IP-osoite. Se on yleensä jäljitettävissä organisaatioon asti (esim. osakk- verkkoon) mutta siitä eteenpäin jäljittämisen pystyy tekemään vain organisaatio itse. Käytettäessä modeemiyhteyttä, Ip-numero vaihtuu joka kerta, joten se on vaikeampi jäljittää. Tiedot haetuista sivuista jäävät lähinnä operaattorin tai lähiverkon Internet-yhteyttä hoitavalle palvelimelle sekä palveluntarjoajan palvelimelle. Jos nämä käyttävät välityspalvelimia (Proxy), jäävät tiedostot myös sinne. Kun sivu haetaan selaimelle, jää www-palvelimen lokitiedostoon mm. seuraavia tietoja:

• haettavan sivun tiedot
• päiväys ja kellonaika
• IP-osoite
• tieto siitä, miltä sivulta ko. sivulle tultiin
• selaimen nimi ja versio

Keksi eli coocie on yksi tapa kerätä tietoa käyttäjästä. Ne toimivat siten, että kun käyttäjä tulee palvelimelle, palvelinohjelma lähettää käyttäjän koneelle keksin, jonka selain ottaa vastaan. Keksi tallentuu koneelle ja kun käyttäjä seuraavan kerran menee samaan palveluun, voidaan käyttäjä tunnistaa. Niiden tarkoituksena on esim. laskea käyttäjiä, tai pitää kirjaa siitä mitä käyttäjä on poiminut ostoskoriinsa. Keksit eivät kerro palvelimelle mitään sellaista, jota ne eivät tietäisi jo ennestään.

Ongelmana on keksien väärinkäyttö. Tällä tarkoitetaan sitä, että sivulle sijoitettu keksi saattaakin tulla toiselta palvelimelta, kun millä sivuilla käyttäjä on. Näiden ns. kolmannen osapuolen keksien tarkoituksena on kerätä tietoa esim. mainostajia varten. Usein keksit tulevatkin sivulla sijaitsevista mainoksista. Lähettäessään henkilötietoja palveluun, käyttäjä saattaa vahingossa levittää henkilötietojaan keksien välityksellä myös kolmannen osapuolen palveluun.

Keksit voidaan estää kokonaan tai osittain ja niiden säilytysaikaa voidaan säätää selaimen asetuksista. Internet Explorerissa tämä tapahtuu Työkalut|Internet-asetukset valikon kautta. Jotkut palvelut, esim. pankkipalvelut vaativat evästeiden hyväksymisen toimiakseen. Tutustu koneesi asetuksiin!

Oman koneen selaimeen jää myös tietoja surffailusta.Jokainen ladattu sivu tallennetaan väliaikaisiin Internet-tiedostoihin (Cache). Lisäksi tiedot vierailluista sivuista jäävät sivuhistoriaan. Jotkut sivut asentavat itsensä ikään kuin huomaamatta Suosikit-kansioon. Sivuhistoria ja väliaikaiset Internet-tiedostot tyhjennetään Työkalut|Internet-asetukset valikosta. Tämä kannattaa tehdä aina sen jälkeen, kun on käyttänyt yhteiskäytössä olevaa tietokonetta.

Internetin muut riskit

Internet-palveluiden käyttöön liittyy paljon riskitekijöitä. Kannatta pitää aina mielessä tietty varovaisuus palveluja käyttäessään ja muistaa pysähtyä, ennen kuin luovuttaa henkilötietojaan mihinkään. Yes- tai Ok-painiketta ei pidä painaa, jolloi ole aivan varma mihin kysymykseen vastaa.

Lapset ja nuoret käyttävät Internetiä hyvin paljon ja ovat innokkaita chat-palvelujen käyttäjiä. Niisä piilee kuitenkin aina se vaara, ettei keskustelukumppani olekaan se, joka väittää olevansa. Esim. pedofiilit etsivät uhrejaan juuri näiltä keskustelukanavilta. Lisäksi lapsia on hyvin vaikea suojata esim. pornon tai väkivallan näkemiseltä, koska yhdellä klikkauksella voi aueta mikä tahansa sivu. Sivuja voidaan yrittää suodattaa erilaisten tekniikoiden avulla, mutta niiden täydellinen poistaminen on vaikeaa. Ohjeita turvalliseen netin käyttöön löytyy mm opetushallituksen sivulta www.oph.fi ja Mannerheimin lastensuojeluliiton sivulta www.mll.fi.

Maksullisten palvelujen käyttö vahingossa on periaatteessa mahdotonta, koska tällaiset palvelut vaativat rekisteröitymisen ja esim. luottokorttitietojen lähettämisen.

Kynnys kirjoittaa Internetiin on paljon matalampi kuin kynnys kirjoittaa esim. sanomalehden yleisönosastoon. Kannattaa muistaa kuitenkin, että esim. News-uutosryhmiin kirjoitetut viestit saattavat löytyä hakukoneilla vuosien päästä esiin. Työnantaja voi vaikkapa tutkia työntekijää palkatessaan, mitä tietoja hänestä löytyy Internetistä. Tämä voi olla kiusallista. Lisäksi esimerkiksi henkilön kunnianloukkaus on rikollista myös keskustelupalstojen kautta.

Palomuurit

Palomuuri on tärkein suojautumiskeino verkosta tulevia tunkeutujia vastaan. Palomuuri on ikään kuin portinvartija organisaation lähiverkon ja julkisen tietoverkon välissä. Se tutkii jokaisen sisään pyrkivän IP-paketin ja päästää sen läpi, vain jos se täyttää turvavaatimukset. Se tutkii myös ulospäin menevän liikenteen.

Palomuuri voidaan toteuttaa erillisellä palvelimella ja siinä olevalla ohjelmistolla. Kotikäyttäjällä palomuuri voi olla omalla koneella oleva ohjelmisto tai Internet-operaattorilta ostettu palvelu. Tärkeää olisi, että kotikäyttäjällä on jonkinlainen palomuuri käytössään, varsinkin nykyään kun myös kotikäytössä on yhä useammin kiinteä yhteys.

5. Tietokonevirukset

Virus on tietokoneohjelma, joka on ohjelmoitu leviämään koneesta toiseen. Leviäminen tapahtuu usein ilman, että käyttäjä huomaa sitä. Osa viruksista on tuhoja aiheuttavia, osa taas lähes harmittomia mutta aiheuttavat ongelmia esim. koneen hidastumisen myötä.

Nykyisin monet virukset leviävät sähköpostin välityksellä. Ne voivat levitä esim. siten, että ne lähettävät virusviestin kaikille sähköpostin omistajan osoitekirjassa oleville henkilöille. Viimeaikaiset virukset ovat leviämisellään tukkineet vakavasti Internet -liikennettä.

Mato on virus, joka leviää itsenäisesti kirjoittamalla itsestään kopion paikkaan, josta se pääsee suoraan ajettavaksi.

Makrovirukset ovat viruksia, jotka leviävät esim. Word-dokumenttien mukana. Ne kirjoitetaan sovellusten omalla makrokielellä. Makrokielellä voidaan ohjelmoida sovelluksia, mutta niihin voidaan ohjelmoida myös viruksia. Makroviruksilta voi suojautua estämällä makrojen suorituksen. Tämä tapahtuu esim. Wordissä ja Excelissä Office-valikosta löytyvistä ohjelman asetuksista.

Virusten torjuntaohjeita (Järvinen, 2002, s.273):

1. Vältä liitetiedostoja sähköpostissa
2. Käytä liitetiedostojen esikatselua
3. Avaa dokumentit WordPadilla
4. Estä makrojen aktivoituminen
5. Tunnista epäilyttävät viestit
6. Älä avaa viestiä heti
7. Päivitä ohjelmat uusiin versioihin
8. Harkitse ohjelman vaihtoa.
9. Rajoita jakelulistojen käyttöä
10. Sulje tarpeettomat lähiverkkoyhteydet
11. Poista Windows Scripting Host-käytöstä
12. Käytä torjuntaohjelmaa ja päivitä se säännöllisesti

6. Oppimistehtävät

Oppimistehtävä 6:

Tutustu tässä luvussa esitettyyn aineistoon ja seuraaviin tietoturvalinkkeihin:

http://www.tietoturvaopas.fi/

http://www.tieke.fi/tietoturvaopas/

Tee niiden pohjalta seuraavat tehtävät:

1. Laadi selkeät tietoturvaohjeet opiskelijalle, jolla on kotikoneellaan kiinteä Internet-yhteys.
2. Laadi pienen yrityksen (esim. toimisto) työntekijöille työpaikalla noudatettavat tietoturvaohjeet. Yrityksellä on käytössään lähiverkko, henkilökohtaiset verkon käyttäjätunnukset ja Internet-yhteys.