Tämän viikon puheenaiheena on ollut Helsingin kaupungin opetustoimeen tehty tietomurto. Melkein kaikki on jo sanottu, itsekin olen kommentoinut asiaa monelle medialle, mutta kertauksena vielä muutama asia vastaisen varalle.
Ensinnäkin: ei, tämä ei ole uusi Vastaamo. Nyt ei ole kyse tietokannasta vaan suuresta määrästä tavallisia asiakirjoja. Ulkomaisen hakkerin olisi perin työlästä, ellei suorastaan mahdotonta, etsiä niistä arkaluonteisia tietoja, joilla kiristää uhreja. Kaikkien työntekijöiden käyttäjätunnukset ovat vuotaneet, mutta ne ovat sähköpostiosoitteita eivätkä sinänsä kriittisiä.
Asiakirjat ovat eri asia, niissä voi olla mm. terveystietoja. Henkilötunnuksia voisi skannata ohjelmallisesti, mutta ulkomailta niidenkin käyttö olisi hankalaa. Tunnukset voi myydä suomalaisille rikollisille, mutta vuoden alusta lähtien hetua ei ole enää saanut käyttää henkilön ainoana tunnistuskeinona, joten tilauspetokset ja muu kiusanteko on aiempaa hankalampaa.
Kuinka suuresta määrästä dokumentteja on kyse? Sitä emme tiedä, koska kaupungin tiedottaminen on ollut puutteellista. Aluksi kerrottiin, että juuri tiedostojen kopiointi vappuaattona paljasti koko murron, nyt kuitenkin ilmoitetaan, että asiakirjoja ehdittiin kopioida miljoonia.
Mitä ihmettä ne ovat olleet? Opetustoimen palvelimella ei pitäisi olla "kymmeniä miljoonia" asiakirjoja, tai sitten kyse on arkistosta, jossa on ikivanhoja tiedostoja. Ne taas pitäisi poistaa tiedon elinkaaren päättyessä. Niin tai näin, GDPR ei tule pitämään tästä.
Miten ihmeessä hakkeri on päässyt käsiksi miljooniin tiedostoihin? Tuskin pelkällä taviskäyttäjän tunnuksella, vaikka alussa tiedotettiin juuri niin. Olisiko hän onnistunut murtamaan ylläpitäjän tunnuksen? Onko kaikilla työntekijöillä pääsy kaikkiin asiakirjoihin? Silloin herää yhä vain lisää kysymyksiä it-järjestelmien tietoturvasta.
Helsingin kaupungin avoin tiedotus on saanut paljon kiitosta. Meni tosin pari viikkoa, ennen kuin asiasta kerrottiin tarkempia tietoja, joten erityisen nopeaksi tiedottamista ei voi sanoa. Toisaalta poliisi yleensä kieltää kertomasta ulospäin muuta kuin pakolliset tiedot. Kielto on voimassa niin pitkään kuin esitutkinta on kesken. Ja se voi olla kesken vuosia. Lahden vakavasta tietomurrosta ei koskaan kerrottu avoimesti julkisuuteen. Jostain syystä tässä poliisi hyväksyi tiedottamisen, ehkä siksi että asia koskettaa niin monia ihmisiä.
 |
| Suomi.fi-sivuston ohjeita henkilötietovuodon uhreille. |
Niin, miten heidän pitäisi nyt menetellä? Uutisissa asiantuntijat ovat kehottaneet asianosaisia suojautumaan mahdollisilta haitoilta, mutta antaneet vain yleisluonteisia ohjeita siitä, miten se pitäisi tehdä. Eikä ihme, sillä uhrit eivät voi tehdä kovinkaan paljon. Suomi.fi-sivulla on listattu ne tavanomaiset kiellot, joita uhri voi asettaa, mutta osa niistä voi haitata arkielämää, joten turhaan niitä ei kannata tehdä. Toisaalta kieltoja kannattaa asettaa, vaikka ei olisikaan uhri. Eli mitä siis jää?
Ylen sivulla oleva kooste on mielestäni paras, aina rehellistä otsikkoa myöten ("voit yrittää...").
Alkuviikosta pidin todennäköisimpänä selitystä, että kyse on kiristysyrityksestä, joka keskeytyi verkonvalvontaohjelman hälyttäessä uloslähtevän liikenteen suuresta määrästä. Kiristäjät jäivät kiinni jo kopioidessaan tietoja (uhaten myöhemmin julkistaa ne), mutta eivät ehtineet aktivoida kryptausohjelmaa. Jos näin todella on, uhrit voivat selvitä säikähdyksellä, eikä heidän taakkaansa kannata nyt lisätä turhalla pelottelulla.
Toisaalta, jos palvelimelta on todella imuroitu miljoonia tiedostoja herää kysymys, miksei valvontaohjelma hälyttänyt ajoissa. Vaikka tiedostojen hyödyntäminen on hakkereille vaikeaa, jo niiden levittäminen kiusalla pimeään verkkoon riittää aiheuttamaan ikävyyksiä. Toivottavasti tästä ei ole kyse. Ainakin ensimmäiset kolme viikkoa ovat menneet ilman näkyviä seurauksia.
Ja sitten tietenkin se syyllisyys. Kuka jätti päivityksen asentamatta ja miksi? Yksi hiiren klikkaus olisi pelastanut paljolta harmilta. Emme voi syyttää yksittäistä työntekijää, sillä johdon tehtävänä on varmistaa, että prosessi toimii silloinkin, kun yksittäinen henkilö on sairaana, unohtaa asian tai jo lähtenyt organisaatiosta. Kyse on tietoturvan johtamisesta.
Jos verkonvalvonta paljasti tapahtuneen riittävän ajoissa, Helsingin kaupunki on tehnyt jotain myös oikein.
Moni on somessa harmitellut, ettei julkiselle sektorille voida määrätä tietosuojan rangaistusmaksuja. En usko, että ne muuttaisivat mitään, sillä maksu menisi yhteisistä varoista taskusta toiseen. Kaupunki ei voi mennä konkurssiin eivätkä työntekijät joudu maksamaan tahattomista mokista. Ne ovat johdon vastuulla.
Jokainen työntekijä haluaa toimia oikein. Inhimillisiä erehdyksiä sattuu, mutta silloinkin prosessin pitää olla sellainen, että se havaitsee ongelmat ajoissa. Juuri tämä on GDPR:n henki, ja sitä on nyt selvästi rikottu.
Jäämme mielenkiinnolla odottamaan, mitä murrosta saadaan selville ja mitä muut voivat oppia siitä. Toivottavasti tiedottamisen avoin linja jatkuu myös tulevaisuudessa.
4 kommenttia:
Mielenkiintoista, yksi kohta särähti "Kaupunki ei voi mennä konkurssiin eivätkä työntekijät joudu maksamaan tahattomista mokista." ...toisaalta: https://www.is.fi/taloussanomat/art-2000009838156.html "... mutta käytännössä Birmingham on lopettanut kaikkien paitsi aivan olennaisimpien maksujen suorittamisen."
Joo, Britanniassa sammutetaan valoja ja suljetaan kirjastoja. Kaikki ennaltaehkäisevä sosiaali- ja terveystyö lopetetaan, minkä seurauksena ongelmiin puututaan vasta kun ne ovat päässeet vakaviksi. Sehän vasta kalliiksi tulee!
Nearly one in five council leaders in England now say they are likely to declare bankruptcy in the next 15 months. The latest places to sound warnings about financial collapse include Stoke-on-Trent, Middlesbrough, Somerset, Bradford and Cheshire East...
Even comparatively wealthy areas are now feeling the pinch. Hampshire, for example, now faces a financial gap of £132m. There are plans for the withdrawal of all funding for homelessness services. Street lights are going to be switched off between midnight and 5am. There will be cuts to buses, and school crossing patrols. An estimated 4,000 people are going to be asked to contribute more to the costs of their social care.
Perhaps the most vivid element of our councils’ shared calamity centres on libraries, museums, leisure facilities, parks and what little remains of youth services. As these things are hacked back to prevent the collapse of social care, people will be pushed even further into a dystopia of rusty swings, shut-down swimming pools and the eternal complaint that there is nothing for kids to do – the everyday social reality that has all but defined the last 14 years, and now looks set to get even worse.
-The Guardian; One by one, England’s councils are going bankrupt
Suosittelen lukemaan toimittaja Eeva Lennonin kirjoja, jos haluaa perehtyä Britanniaan, brexitiin ja Euroopan Unioniin. Erittäin selkeitä ja jopa viihdyttäviä jos on yhtään lähihistoriasta kiinnostunut. Thatcheristä alamäki alkoi eikä sille näy loppua.
Terv, Liisa
Salasanojen tekeminen on usein väärin ohjeistettu ja ihmiset ajattelevat sen liian monimutkaisesti.
Esim. Firefox-selain (varmaan muutkin) tarjoaa satunnaista salasanaa kun luot tunnusta uudelle sivulle. Mitään muuta ei tarvitse tietää. Voit yrittää tehdä salasanan itse mutta se on todennäköisesti huonompi ja altistut hakkereille, ja tämä muutenkin monimutkaistaa asiaa joka on periaatteessa ja käytännössä hyvin yksinkertainen.
Turvallisuussyistä sitä "ehdotusta" ei kannata käyttää ihan suoraan. Sen voi tietää joku muukin. Myönnän olevani vainoharhainen, mutta mieluummin käytän itse koodattua arvontasoftaa.
Suurin riski edelleen on kai kuitenkin se, että käytetään kaikissa palveluissa samaa salasanaa.
Lähetä kommentti