Pettääkö tietoturva? Älä hätäänny! - Kiwa Live

Tekoäly rakennetaan ohjelmistoilla, jolloin perinteiset turvallisen ohjelmistotuotannon käytännöt muodostavat hyvän rungon. Näissä käytännöissä painottuu turvallisuuden rakentaminen järjestelmään sisään ja sen ennakoiva suunnittelu. Ei siis niin, että rakennetaan ensin toiminnot ja aletaan sitten miettiä, miten turvallisuus toteutuu ja toteutetaan. Hyviä käytäntöjä ovat mm. valmiin ohjelmiston ja sen käyttöympäristön uhkakartan luominen ja siihen vastaaminen sekä sisäisiltä että ulkoisilta uhilta suojautuen ja järjestelmän tuottamien tuotosten sallittujen raja-arvojen tunnistaminen ja niiden mukaisen ohjauksen sekä vahvan virhetilanteiden käsittelyn rakentaminen sisään ohjelmistoihin. 

Henkilötietoja käsiteltäessä tulee kiinnittää huomiota profilointiin ja automaattiseen päätöksentekoon, joista tietosuojavaltuutetun toimisto (tietosuoja.fi) mainitsee seuraavasti. 

Milloin automaattinen päätöksenteko on sallittua? 

Rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi. Kieltoon on kuitenkin poikkeuksia. Automaattinen päätöksenteko on sallittua, jos päätös 

• on välttämätön rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemistä tai täytäntöönpanoa varten 
• on hyväksytty rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä 
• perustuu rekisteröidyn nimenomaiseen suostumukseen. 

Rekisterinpitäjän on aina tällaisen käsittelyn yhteydessä huolehdittava vähintään seuraavista suojatoimenpiteistä: 

• rekisteröidyille kerrotaan tietojen käsittelystä 
• rekisteröidyille tarjotaan yksinkertaisia tapoja vaatia ihmisen osallistumista tietojen käsittelemiseen, esittää oma kantansa ja riitauttaa päätös 
• käsiteltävät tiedot ja algoritmit tarkistetaan säännöllisesti, jotta voidaan varmistaa, että päätöksentekoprosessi toimii kuten tarkoitettu, eikä johda esimerkiksi yksilöitä syrjivään tietojen käsittelyyn. 

Asiaa käsittelevän henkilön on pystyttävä vaikuttamaan tehtävän päätöksen lopputulokseen. Arviossa on otettava huomioon kaikki relevantti tieto, ja rekisteröidylle on varattava mahdollisuus lisäselvityksen toimittamiseen. Rekisteröidyllä on lisäksi oikeus saada selvitys kyseisen arvioinnin jälkeen tehdystä päätöksestä. 

Varsinkin asiantuntijaorganisaatiossa täytyy periaatteet, politiikat ja strategiat pystyä perustelemaan ja konkretisoimaan. Usein strategia – oli se sitten liiketoimintastrategia, turvallisuusstrategia tai digitalisaatiostrategia – on täynnä korkean tason terminologiaa ja tavoitteita, joiden kohdistaminen käytännön työhön on vaikeaa tai mahdotonta. Mahdollisimman laaja organisaation henkilöstön osallistaminen strategiatyöhön ja sen jatkojalostukseen toiminto-, prosessi- tai organisaatioyksikkökohtaisiin tavoitteisiin auttaa sitoutumiseen. 

Strategiasta johdettuihin prosesseihin ja toimenpiteisiin kannattaa myös kiinnittää erityistä huomiota, jotta ne ovat mahdollisimman helposti koko yhteisön omaksuttavissa. Liiketoimintaa ja ihmisten luontaista käyttäytymistä tukevat ratkaisut helpottavat strategian toteutumista käytännössä vähentäen kynnystä toimia vastoin suunniteltua toimintaa. Jotta suunniteltu strategia toteutuu, ei pidä väheksyä myöskään ympärillä näkyvän esimerkin voimaa aina yhteisön hierarkian ylätasolta lähtien.  

ITIL (IT-palveluiden prosessikokoelma, alkuperäinen koko nimi “Information Technology Infrastructure Library”) on toteutusmalli tietoteknisten palveluiden tuotantoon ja toimittamiseen sisältäen hyviä käytäntöjä menettelyihin kuten häiriönhallinta, muutoksenhallinta ja osaamisen hallinta. Vuonna 2005 julkaistiin ensimmäinen versio standardista ISO/IEC 20000, joka on linjattu ITILin kanssa. Tässä ISO/IEC 20000 –standardissa on useita eri osia, joista tärkeintä ISO/IEC 20000-1 -osaa vasten voidaan sertifioida organisaation palvelunhallintajärjestelmä. Uusin versio on ISO/IEC 20000-1:2018 (suomen- ja englanninkielinen SFS-ISO/IEC 20000-1:2018) ja sitä voidaan hyödyntää muidenkin palveluiden kuin IT-palveluiden hallinnassa.

Täsmennys/lisäys videolla annettuun vastaukseen: Valtionhallinnon pilviratkaisujen pohdinnan tueksi on kehitetty PiTuKri-pilviturvallisuuskriteeristö. Tämä osaltaan ohjaa valintoja tiedon tallentamisessa pilveen. Pitää kuitenkin muistaa, että pilviratkaisuja on monenlaisia (esim. Private Cloud), joita tarjotaan myös puhtaasti kotimaisten toimijoiden toimesta kotimaisista konesaleista. Lähtökohtaisesti kaupallisella toimijalla on yleensä paljon paremmat mahdollisuudet huolehtia tietoturvallisuudesta, jatkuvuudesta, varmuuskopioinnista ja häiriötilanteista toipumisesta, kuin jos palvelimia ylläpidetään itse. Konesaleissa laitteistot ja niitä tukevat järjestelmät (tietoliikenne, sähkönsyöttö jne.) on pääsääntöisesti kahdennettu ja lisäksi palveluntarjoajilla on jatkuvuudesta huolehdittu maantieteellisesti hajautetuilla konesaliratkaisuilla.

Vastaan olettaen, että turvasähköpostilla tässä tarkoitetaan salatussa (kryptatussa) muodossa viestejä välittävää sähköpostipalvelua, jossa viestejä eivät lähettäjän ja vastaanottajan ohella edes henkilöt palveluntarjoajan organisaatiossa pysty avaamaan. Maksullisia palveluita on tarjolla useita erilaisissa hintakategorioissa ja ilmaisiakin palveluita – varsinkin yksityiskäytössä maksuttomia – on tarjolla. Sveitsiläinen ProtonMail (https://protonmail.com/) tarjoaa perusversiostaan ilmaista palvelua ja on saavuttanut luotettavan maineen mm. perustuessaan avoimeen lähdekoodiin.

Vaikka FB-ryhmä ei ole yhdistyslain mukainen yhdistys, joku sen on perustanut ja hyväksyy sinne uusia jäseniä. Jäsenten nimet (jo yksistään) muodostavat rekisterin. Jos ryhmään liittyessään - tai erikseen kysyttäessä - antaa suostumuksensa tietojen julkaisemiseen, voisi tulkita asian olevan kunnossa. Asiaan voisi toki hakea kantaa myös tietosuojavaltuutetun toimistosta, jonka sivustolta (tietosuoja.fi / usein kysyttyä / internet) löytyy seuraava vastaus.

Saako rekisterinpitäjä laittaa verkkosivuilleen henkilötietoja, jotka sisältyvät sen ylläpitämään henkilörekisteriin?

Henkilörekisteriin talletettuja henkilötietoja voi laittaa internetiin vain rekisteröidyn suostumuksella tai jos siitä on nimenomaisesti säädetty. Henkilötietojen laittaminen internetiin on niiden sähköistä luovuttamista. Jos esimerkiksi jokin yhdistys julkaisee jäsenrekisterinsä tietoverkossa, se ei voi olla varma siitä, millaiseen käyttöön rekisteri päätyy. Internetissä olevia henkilötietoja saatetaan käyttää esimerkiksi roskapostituksen osoitelähteenä.