Tietoturva

Tietoturva eli tietoturvallisuus tarkoittaa tiedon saatavuuden, luottamuksellisuuden ja eheyden ylläpitämistä. Turvattava tieto voi ilmetä useassa eri muodossa. Näitä ovat esimerkiksi digitaaliset tallenteet, fyysiset tallenteet sekä ihmisten, kuten työntekijöiden, tietämys. Tietoturva koskee tiedon suojaamista myös sen siirtämisen aikana.

Tietoturvallisuuden uhkina pidetään esimerkiksi erilaisia huijausyrityksiä, henkilökohtaisen yksityisyyden loukkauksia, roskapostia, teollisuusvakoilua, piratismia, tietokoneviruksia, verkkoterrorismia ja elektronista sodankäyntiä. Tietoturvauhkia ovat luvaton pääsy, tiedon luvaton käyttö, salaisen tiedon paljastuminen, tiedon sekaannus, tiedon muuntuminen, salaisen tiedon tutkituksi tuleminen, tiedon kopioituminen ja tiedon hävittäminen.

Yleinen tietoturvallisuus

Tietoturvallisuuden osina voivat olla seuraavat tekijät:

• Saatavuus tai käytettävyys (engl. availability): tieto on saatavilla, kun sitä tarvitaan.
• Luottamuksellisuus (engl. confidentiality): tietoa voivat käsitellä vain sellaiset henkilöt, joilla on siihen oikeus.
• Eheys (engl. integrity): tieto ei saa muuttua tahatta tai hyökkäyksessä, tai muutos pitää ainakin havaita; toisinaan eheys määritellään myös tietojen loogisuudeksi (ns. sisäinen eheys) ja paikkansapitävyydeksi (ns. ulkoinen eheys).

Näitä kolmea voivat täydentää:

• Kiistämättömyys: Henkilö ei voi menestyksellisesti kiistää tekoa, jonka hän on tehnyt. Kiistämättömyys riippuu viime kädessä siitä, mitä oikeudessa hyväksytään näytöksi.
• Tunnistus: Henkilö (tietojärjestelmän käyttäjä) voidaan tarvittaessa liittää käyttäjätunnukseen (joka voi olla anonyymi).
• Todennus: Henkilö (tietojärjestelmän käyttäjä) voidaan luottavasti tunnistaa luonnolliseksi tai oikeushenkilöksi.

Luottamuksellisuutta voidaan parantaa salauksella ja pääsynhallinnalla. Eheyttä edistetään tarkistussummilla, tarkistuskoodeilla ja digitaalisilla allekirjoituksilla. Myös käyttäjän todentaminen ja kiistämättömyys voidaan ainakin jollain tasolla varmistaa digitaalisella allekirjoituksella tai muilla todennustavoilla. Saatavuus edellyttää riittävän tiedonsiirtokapasiteetin varaamista.

Tietotekninen tietoturva

Tietoturva samaistetaan usein tietotekniikkaan ja ulkoisiin tietoturvauhkiin, kuten tahallisesti tehtyihin tietokoneviruksiin, matoihin ja tietomurtoihin. Nämä tietotekniikan mukanaan tuomat tietoturvariskit nousivat 2000-luvun vaihteessa median huomion kohteeksi. Samalla markkinoille ilmestyi useita uusia virustorjuntaohjelmistoja myyviä yrityksiä, jotka tähtäsivät uuteen markkinarakoon. Ne kiinnittävät aluksi huomion käyttöjärjestelmissä olleisiin ohjelmointivirheisiin, jotka altistivat käyttäjät tietoturvauhille. Ohjelmistovirheiden aiheuttamia tietoturvauhkia kutsutaan haavoittuvuuksiksi.

Virustorjuntaohjelmien heikkoutena on se, että ne ovat aina askeleen jäljessä. Virusten tiedot syötetään torjuntaohjelmiin jälkikäteen sen jälkeen, kun virukset ovat jo levinneet. Myös virustorjuntaohjelmat itse lisäävät tietoturvariskejä, sillä niissäkin on ohjelmointivirheitä. Erityisesti erilaiset Internetin kautta tapahtuvat automaattiset virustietojen ja ohjelmistojen päivitykset mahdollistavat uusien, entistä kehittyneempien haittaohjelmien tehokkaan leviämisen.

Internetissä on nykyään miljoonia tietokoneita, jotka ovat avoinna luvattomalle käytölle paitsi ohjelmavirheiden ja haittaohjelmien jättämien takaporttien, myös käyttäjien tekemien virheiden takia. Syinä voivat olla heikot salasanat tai konfiguraatiovirheet, joiden ansiosta koneelle pääsee ilman tunnuksia. Jotkut haittaohjelmat muodostavat saastuttamistaan verkoista bottiverkkoja. Nämä saastuneet koneet toimivat apuna uusien haittaohjelmien levittämisessä, ja niiltä käsin voidaan tehdä myös tietomurtoja ja päästä käsiksi yhä uusiin tietokoneisiin.

Osa-alueet

Tietoturvan osa-alueita ovat työasemien-, palvelinten- ja tietokoneverkon tietoturva, sekä ympäristön- ja sovellusohjelmien turvallisuus.

Työasemien tietoturvaan kuuluu käyttäjien tunnistus ja käyttöoikeudet sekä niiden hallinta. Oma lukunsa on kannettavien tietokoneiden tietoturva. Palvelimien tietoturvaan kuuluu em. asioiden lisäksi varmuuskopiointi, levyjärjestelmien kahdennukset, auditointi ja verkon käytön rajoitukset. Verkon tietoturvaan kuuluu palomuurit, NAT-palvelut, kytkimet, reititys, verkonhallinta ja vianselvitys. Tietoliikennettä suojataan VPN-ratkaisuilla. Oma lukunsa ovat langattomat verkot. Verkossa turvallisuutta voi testata online-palveluilla ja sopivilla ohjelmilla. Verkossa voi myös vakoilla tietoja.

Tietoturvaa parantavat salakirjoitusmenetelmät. Niillä tieto voidaan suojata sellaiseen muotoon, ettei siitä saa selvää ilman avainta tai salausmenetelmän tuntemista. Salakirjoituksella tieto voidaan myös allekirjoittaa. Esimerkiksi sähköposteissa viestin voi allekirjoittaa. Saaja voi olla varma, että viesti on juuri siltä lähettäjältä kuin hän sanoo olevansa ja että viestin sisältöä ei ole kukaan muuttanut välillä.

Tietosuoja

Pääartikkeli: Tietosuoja

Suomen kieleen on vakiintunut jako tietoturvaan ja tietosuojaan (engl. privacy). Jälkimmäinen sisältää henkilötietojen luottamuksellisuuden lisäksi rikoslain kunniaa, yksityisyyden suojaa ja tietoliikennettä koskevat säännökset, ja se perustuu viime kädessä perustuslain säännöksiin.

Katso myös

• Käyttäjän manipulointi
• Ohjelmistosodankäynti
• Palomuuri
• Porttiskannaus
• Tietosuojavaltuutettu
• Tietoturvajohtaja

Lähteet

• Uudistuva, ihmisläheinen ja kilpailukykyinen Suomi. Kansallinen tietoyhteiskuntastrategia 2007–2015. Valtioneuvosto, Helsinki, 2006. ISBN 952-5631-09-5 http://vnk.fi/julkaisukansio/2006/tietoyhteiskuntaneuvosto/tietoyhteiskuntastrategia/fi.pdf (Arkistoitu – Internet Archive)
• Hakala, Mika & Vainio, Mika & Vuorinen, Olli: Tietoturvallisuuden käsikirja. Docendo Finland Oy, 2006. ISBN 951-846-273-9

Kirjallisuutta

• Ross J. Anderson: Security Engineering: A Guide to Building Dependable Distributed Systems. Wiley. ISBN 978-0470068526 Teoksen verkkoversio. (englanniksi)