Tietoturva

Tietoturvalla (tai tietoturvallisuus) tarkoitetaan tietojen, palvelujen, järjestelmien ja tietoliikenteen suojaamista. Tietoturvallisuuden uhkina pidetään esimerkiksi erilaisia huijausyrityksiä, henkilökohtaisen yksityisyyden loukkauksia, roskapostia, teollisuusvakoilua, piratismia, tietokoneviruksia, verkkoterrorismia ja elektronista sodankäyntiä.

Yleinen tietoturvallisuus

Suomen kieleen on vakiintunut jako tietoturvaan ja tietosuojaan (engl. privacy). Jälkimmäinen sisältää henkilötietojen luottamuksellisuuden lisäksi rikoslain kunniaa, yksityisyyden suojaa ja tietoliikennettä koskevat säännökset, ja se perustuu viime kädessä perustuslain säännöksiin.

Tietoturvallisuuden osina voivat olla seuraavat tekijät:

1. Saatavuus tai käytettävyys (engl. availability): tieto on saatavilla, kun sitä tarvitaan.
2. Luottamuksellisuus (engl. confidentiality): tietoa voivat käsitellä vain sellaiset henkilöt, joilla on siihen oikeus.
3. Eheys (engl. integrity): tieto ei saa muuttua tahatta tai hyökkäyksessä, tai muutos pitää ainakin havaita; toisinaan eheys määritellään myös tietojen loogisuudeksi (ns. sisäinen eheys)ja paikkansapitävyydeksi (ns. ulkoinen eheys).

Näitä kolmea voivat täydentää:

• Kiistämättömyys: Henkilö ei voi menestyksellisesti kiistää tekoa, jonka hän on tehnyt. Kiistämättömyys riippuu viime kädessä siitä, mitä oikeudessa hyväksytään näytöksi.
• Tunnistus: Henkilö (tietojärjestelmän käyttäjä) voidaan tarvittaessa liittää käyttäjätunnukseen (joka voi olla anonyymi).
• Todennus: Henkilö (tietojärjestelmän käyttäjä) voidaan luottavasti tunnistaa luonnolliseksi tai oikeushenkilöksi.

Luottamuksellisuutta voidaan parantaa salauksella ja pääsynhallinnalla. Eheyttä edistetään tarkistussummilla, tarkistuskoodeilla ja digitaalisilla allekirjoituksilla. Myös käyttäjän todentaminen ja kiistämättömyys voidaan ainakin jollain tasolla varmistaa digitaalisella allekirjoituksella tai muilla todennustavoilla. Saatavuus edellyttää riittävän tiedonsiirtokapasiteetin varaamista, mikä on toisaalta mahdotonta palvelunestohyökkäyksenkin edessä.

Tietotekninen tietoturva

Tietoturva samaistetaan usein tietotekniikkaan ja ulkoisiin tietoturvauhkiin eli tahallisesti tehtyihin tietokoneviruksiin, matoihin ja tietomurtoihin. Nämä tietotekniikan mukanaan tuomat tietoturvariskit nousivat 2000-luvun vaihteessa median huomion kohteeksi. Samalla markkinoille ilmestyi useita uusia virustorjuntaohjelmistoja myyviä yrityksiä, jotka tähtäsivät uuteen markkinarakoon. Ne kiinnittävät aluksi huomion käyttöjärjestelmissä olleisiin ohjelmointivirheisiin, jotka altistivat käyttäjät tietoturvauhille. Ohjelmistovirheiden aiheuttamia tietoturvauhkia kutsutaan haavoittuvuuksiksi.

Virustorjuntaohjelmien heikkoutena on se, että ne ovat aina askeleen jäljessä. Virusten tiedot syötetään torjuntaohjelmiin jälkikäteen sen jälkeen, kun virukset ovat jo levinneet. Myös virustorjuntaohjelmat itse lisäävät tietoturvariskejä, sillä niissäkin on ohjelmointivirheitä. Erityisesti erilaiset Internetin kautta tapahtuvat automaattiset virustietojen ja ohjelmistojen päivitykset mahdollistavat uusien, entistä kehittyneempien haittaohjelmien tehokkaan leviämisen.

Internetissä on nykyään miljoonia tietokoneita, jotka ovat avoinna luvattomalle käytölle paitsi ohjelmavirheiden ja haittaohjelmien jättämien takaporttien, myös käyttäjien tekemien virheiden takia. Syinä voivat olla heikot salasanat tai konfiguraatiovirheet, joiden ansiosta koneelle pääsee ilman tunnuksia. Jotkut haittaohjelmat muodostavat saastuttamistaan verkoista bottiverkkoja. Nämä saastuneet koneet toimivat apuna uusien haittaohjelmien levittämisessä, ja niiltä käsin voidaan tehdä myös tietomurtoja ja päästä käsiksi yhä uusiin tietokoneisiin.

Katso myös

• Porttiskannaus
• Ohjelmistosodankäynti
• Virustorjunta
• Palomuuri
• Langaton tietoturva
• Sosiaalinen manipulointi
• Demilitarisoitu alue
• Tietoturvajohtaja

Lähteet

• Uudistuva, ihmisläheinen ja kilpailukykyinen Suomi. Kansallinen tietoyhteiskuntastrategia 2007-2015. Valtioneuvosto, Helsinki, 2006.

Aiheesta muualla

• Valtioneuvoston VAHTI-tietoturvaohjeet
• Tietoturvakoulu