Ratkaisuja Postin todennusongelmaan on, muilla vielä hankalampaa

Edellinen postaukseni Postin osoitemuutoksista herätti keskustelua, ja hyvä niin. Miten estää huijareita ja kiusaajia tekemästä valheellisia osoitemuutosilmoituksia niin, ettei prosessi samalla muutu liian hankalaksi oikeiden muuttajien kannalta?

Postille terveisinä kaksi ideaa, toinen blogin kommenteista ja toinen Twitteristä. Ensinnäkin posti voisi paperisen muuttoilmoituksen saatuaan lähettää ilmoituksen muuttajan vanhaan osoitteeseen. Pelkkä ilmoitus "teidän muuttoilmoituksenne on vastaanotettu ja rekisteröity, jos asiassa on epäselvyyksiä ottakaa yhteys lähimpään postiin" riittäisi. Uutta osoitetta ei tarvitse mainita.

Jos henkilö on jo oikeasti ehtinyt muuttaa, vanhaan osoitteeseen lähetetty viesti saattaa palautua postiin tai kääntyä uuteen osoitteeseen, mutta entä sitten? Ainakin silloin, kun muuttaja on ostanut postin kääntöpalvelun, ilmoitus pitäisikin lähettää vanhaan eikä uuteen osoitteeseen, koska näin käännön toimivuus tulisi testattua.

Toinen ehdotettu ratkaisu oli tarjota kansalaisille mahdollisuus kieltää osoitteenmuutos ilman vahvaa todennusta. Tämä vaatisi osoitetietokantaan yhden uuden kentän ja kansalaisilta oma-aloitteisuutta, mutta niinhän omaehtoinen luottokieltokin toimii (ja se on vieläpä maksullinen).

Ihan vähällä vaivalla osoitetietokantaan saisi myös henkilön itsensä ilmoittaman sähköpostiosoitteen, johon lähtisi automaattisesti ilmoitus osoitteenmuutoksesta. Eikö Suomen pitänyt olla edistynyt maa näissä asioissa?

Nyt Posti, tehkää tälle jotain, älkääkä piiloutuko haasteellista-fraasien taakse!

Moni on luullut, että osoitteenmuutos pitää tehdä henkilökohtaisesti tai ainakin varmistaa pankkitunnuksilla, mutta ei -- konttorista saatava lomake riittää ja sen voi pudottaa postilaatikkoon.

Lomake helpottaa identiteettivarkaan työtä.

Lomakkeella kysytään vanha ja uusi osoite, joten tieto lomakkeella tehdystä muutoksesta olisi helppo postittaa myös vanhaan osoitteeseen. Lomakkeella kysytään myös sähköpostiosoite, joten tieto saattaa olla järjestelmässä ennestään -- sitä ei vain käytetä mihinkään. Ja toisin kuin veroilmoituksessa, ilmoittaja ei vakuuta tietoja oikeiksi. Allekirjoituksella hän ainoastaan hyväksyy Postin sopimusehdot.

Allekirjoitus vahvistaa sopimusehtojen hyväksynnän, ei tietojen oikeellisuutta.

Ongelma ei koske pelkkää kotiosoitetta. Yritysten osoitteita (ja muitakin tietoja) väärennetään samalla tavalla Patentti- ja rekisterihallitukseen.

Kirjoitin aiheesta keväällä Tivi-lehden kolumnin ja nostin siinä esiin mm. mahdollisuuden ilmoittaa osoitteekseen mitä tahansa. Osoitteen oikeellisuutta ei tarkisteta missään vaiheessa. Jos asunnon haltija on eri sukupuolta kuin "muuttaja", viranomaiset tulkitsevat heidät avopariksi, eikä asunnon haltijalla ole mitään keinoa edes kysyä keitä minun osoitteessani on merkitty asuvaksi. Tämäkin aukko pitäisi tukkia. MyDatan hengessä minulla on oikeus tietää, keitä osoitteessani asuu.

Hesarin oikeustoimittaja Susanna Reinboth kirjoitti muutama viikko sitten, miten viranomaisia voi huijata puhelimessa kertomaan toisen henkilön arkaluonteisia asioita (Arkaluonteisten tietojen jakaminen ei voi perustua pelkkään luottamukseen – jotain on tehtävä sille, että viranomaiset antavat salaisia tietoja puhelimitse; asiakkaiden löperö tunnistus sosiaali- ja terveyspalveluiden puhelinpalvelussa vaarantaa sekä asiakkaiden että työntekijöiden oikeusturvan).

Virkailijan on vaikea tietää soittajan todellista henkilöllisyyttä. Tilanne eroaa Postista siinä, että vanhusten ja lasten asioissa tietoja on pakkokin luovuttaa ulkopuolisille, eikä puhelinasioinnissa voi vaatia vahvaa todennusta. Toisaalta virkailija voi tehdä puhelimessa kontrollikysymyksiä, jotka auttavat henkilöllisyyden varmentamisessa. Mikäli mahdollista, kohdehenkilön tulisi itse ilmoittaa, mistä puhelinnumeroista tuleviin soittoihin hänen tietojaan saa luovuttaa.

Täydellistä ratkaisua tähän ongelmaan ei ole. Toimet täytyy suhteuttaa väärinkäytösten määrään ja kohdehenkilölle koituvaan hyötyyn. Sekään ei voi olla oikein, ettei vieraalla paikkakunnalla asuva lapsi pysty hoitamaan dementoituvan vanhempansa asioita ilman henkilökohtaista käyntiä. Tämä on loputonta tasapainoilua mukavuuden ja turvallisuuden välillä.

Viime viikolla tietoturvakurssin tauolla keskustelimme kurssilaisten kanssa muista tavoista huijata ja kiusata toista henkilöä perättömillä ilmoituksilla. Niitä löytyi vaikka kuinka paljon. Esiintymällä sujuvasti, käyttämällä oikeita termejä ja selvittämällä muutaman numeron etukäteen pystyy yhdellä puhelinsoitolla esimerkiksi... jaa, enpä listaakaan niitä tähän. Ymmärrettävistä syistä.

Tietoturvan näkökulmasta siirtyminen sähköiseen asiointiin on oikea suuntaus. Se nopeuttaa asioita ja mahdollistaa ilmoittajan luotettavan todentamisen. Mutta aina jää tapauksia, joissa asiat pitää hoitaa kiireellisesti ja ilman netin apua.

Postin ongelma on näihin verrattuna niin helppo, ettei sen ratkaiseminen ole kuin viitseliäisyydestä kiinni. Eikä enää yhtään haasteellista sanaa!