nro 3/2003

Etusivulle /
Första sidan

Keskustele aiheesta

Diskutera
temat

Tietoturvan arkipäivä on turvallisuuden arkipäivää

Mats Kommonen, Turun yliopisto

Onko työhuoneesi ovi lukossa öisin? Onko koneesi virustorjunta ajantasalla? Onko työpaikkasi avain tallessa, onko salasanasi turvallinen? Annatko tuntemattomien tulla istuskelemaan huoneeseesi, availetko outoja liitetiedostoja? Pidätkö miehittämätöntä lehtikioskia huoneessasi, käytätkö p2p-tiedostonjakeluohjelmia? Tarkistatko koskaan, mitä tyyppejä käytävillä liikuskelee kahvitaukosi aikana, surffailetko kritiikittömästi oudoilla www-sivuilla käyttäen samaa konetta, jossa käsittelet tutkimustietoasi?

Tietoturva ei pohjimmiltaan poikkea 'vanhan maailman' turvallisuusperiaatteista juuri millään tavalla, se on vain uusi ja vielä vaikeaselkoinen (ja siksi hiukan pelottavakin) lähestymistapa vanhaan ongelmaan uudessa maailmassa.

Yliopiston tarkoitus ja tietotekniikka

Yliopiston tarkoitus, sen olemassaolon perusta, on annettujen tutkintojen lisäksi tieto ja sivistys, jota tuhannet ihmiset tuottavat osana tutkimusta, opetusta ja opiskelua. Tieto on siis suurin pääomamme ja sen tulee säilyä, olla saatavilla ja sen tulee olla luotettavaa. Nämä samat ominaisuudet on kuvattu tietoturvallisuuden yleisimmässä määritelmässä, joka puhuu tietojen luottamuksellisuudesta, eheydestä ja käytettävyydestä.

Myös luottamuksellisuus kuuluu yliopiston toiminnan kulmakiviin nyky-yhteiskunnassa, jossa yliopistoilla on käytettävissään sellaista tietoa, jonka ei haluta pääsevän asiattomiin käsiin tai yleisesti julki. Näitä ovat erilaiset henkilötiedot ja esimerkiksi yhteistyökumppaneiden meille uskomat liikesalaisuudet. Onpa tiedeyhteisön ja kaupallisten laitostenkin keskinäisen kilpailun vuoksi tullut tarpeelliseksi myös suojella keskeneräistä tutkimustietoa ylimääräisiltä silmäpareilta, jottei kunniaa uusista innovaatioista päästä viemään nenän edestä.

Nykyään lähes kaikkea edellä mainittua käsitellään ja säilytetään tietokoneilla. Näistä suurin osa on enemmän tai vähemmän suorassa yhteydessä kaikkialle maailmaan sähköpostinlukua, tiedostojensiirtoa ja www-käyttöä varten. Itse tieto täytyy edelleen suojata kaikki alussa mainitut tekijät huomioon ottaen, mutta tehtäväkenttä on nykyään valtavan laaja, vaikea ja kallis.

Tekniset tietoturvatoimenpiteet ja politiikat suojaavat ensisijaisesti uhkilta, jotka pyrkivät toteutumaan käyttäjän huomaamatta.

On teknisiä menettelyjä, joilla pyritään estämään järjestelmän ulkopuolelta tulevat teknisluontoiset uhat, kuten murrot ja palvelunestohyökkäykset verkon kautta, virusinfektiot sekä käyttövirheen takia puutteellisten suojausten hyväksikäyttö. On käyttösääntöjä, politiikkoja ja yleisiä hyviä tapoja, joilla ohjataan järjestelmän käyttäjää tekemään oma osansa uhkien ennaltaehkäisyssä ja torjunnassa. Palomuurit, virustorjunta ja pääsynvalvonta vaativat käyttäjältä tuekseen vähintään pintapuolisen ymmärryksen ympäristöstä, jossa toimitaan.

Käytännössä kyse on aina pohjimmiltaan tiedon suojaamisesta aivan samoilta vaaroilta kuin maailmassa ennen tietokoneita. Uudet tekniset uhat vain ovat luonteeltaan sellaisia, ettei niiden toteutumista voi välttämättä havaita samalla tavoin kuin käytävällä hiippailevaa urkkijaa tai tihulaista. Verkon kautta tapahtuvien iskujen toteuttaminenkin on niin helppoa ja vaivatonta, että niiden tekokynnys on inhottavan alhainen. Lisäksi yleinen moraali on tietoverkkomaailman suhteen edelleen niin kehittymätön, etteivät monet (erityisesti nuoret) kykene tajuamaan, että tietoverkon kautta tapahtuva hyökkäys ei ole yhtään sen oikeutetumpi tai harmittomampi kuin murtautuminen, kivien heittely ikkunoiden läpi tai jauhekirjeiden lähettely.

Tietoverkkojen ja tietokoneiden suojaaminen iskuilta onkin jatkuvaa ja vaivalloista kilpavarustelua yhä uusia tekniikoita kehittelevien tahojen kanssa. Tilannetta ei auta se, että tietokoneohjelmistot ovat nykyään niin monimutkaisia, ettei niistä ajoissa kyetä löytämään ohjelmallisia heikkouksia, vaan ohjelmistotalot tietämättään jakelevat jatkuvasti uusia aseita niitä etsivien käyttöön ja ohjaavat kaiken tästä aiheutuvan uhan, vaivan ja vaaran asiakkaidensa riesaksi ja maksettavaksi. Tähän on valitettavasti jouduttu jo tottumaan ja onneksi siihen osataan varautua keskittämällä voimavaroja erilaisten teknisten suojakeinojen rakentamiseen ja ylläpitoon. Toisaalta on toki ihan hyväkin, että myös tietoverkkomaailmassa totutaan pitämään pientä rajaa tutun kotiverkon ja tuntemattoman ulkomaailman välillä, aivan kuten "oikeassakin maailmassa".

Muut asiat pitää suhteuttaa ns. normaalin maailman tarpeisiin

Verkon kautta ryömivien satunnaisten vihulaisten lisäksi täytyy muistaa tietoiset iskut juuri yliopistoa kohtaan. Yliopistot ovat kiintoisia kohteita esimerkiksi teollisuusvakoilulle. Teollisuusvakoilulle nykyaikainen tietojenkäsittely ja voimakkaasti verkottunut tiede- ja tutkimusyhteisö on tullut kuin taivaan lahjana, se antaa potentiaalisen sisääntuloreitin suoraan tiedon lähteille. Tuo popliinitakkinen mies mikrofilmikameransa kanssa voi nykyään siemailla Jolt-colaa mukavasti kotonaan ja koettaa erilaisin huomaamattomin tai vaikkapa tavalliseksi virusinfektioksi naamioiduin keinoin tunkeutua suoraan tutkijan työhuoneeseen, tämän virtuaaliselle työpöydälle.

Tällaisia uhkia vastaan suojautumista mietittäessä kannattaa nostaa katseensa pois tietokoneen ruudulta ja katsella rauhassa ympärilleen vakoojan, murtovarkaan tai vaikkapa tuhotyöntekijän silmin. Millaiset ovat työhuoneen fyysiset suojaukset? Ovatko laitoksen käytävät lukitut, valvotaanko satunnaisia kulkijoita millään tavalla? Pääseekö vakooja suoraan työhuoneessa olevaan tietokoneeseen käsiksi tekeytymällä puhelinasentajaksi? (Jos nämä kysymykset herättävät epäilyksiä fyysisen turvatason suhteesta yksikön toimintaan nähden, kannattaa asia ottaa vakavasti puheeksi yksikön johdon kanssa..)

Kaikki suojaamismenettelyt on aina suhteutettava tietojen käsittelytilan fyysisiin turvallisuustarpeisiin yleisten tietoverkkouhkien lisäksi. Tietokoneen tehosuojaamisesta ei tule riittävää hyötyä kaikkein pahimpia uhkia vastaan, jos fyysinenkään suojaaminen ei ole kunnossa.

Useimmissa tutkimustietoa ja henkilötietoja käsittelevissä paikoissa fyysinen suojaus on hyvällä tolalla, joten tietotekninen suojaaminen jää pääasialliseksi kanavaksi iskeä tietoon. Useimpien ihmisten on vain vaikea hahmottaa fyysisen ja tietoteknisen suojaamisen keskinäistä analogiaa, ehkä siksi, että tietoverkkojen olemus ja tekninen toteutus ovat edelleen melko vaikeita kokea samalla tavalla 'omakseen' kuin ovissa olevat lukot ja käytävällä oleva kameravalvonta. Tässä atk-maailmalla on vielä pitkä tie edessään.

Käyttäjää suuremmat asiat voivat säteillä isompia vaatimuksia käyttäjälle asti kuin mitä muuten tarvittaisiin

Jatketaanpa analogiaa atk- ja fyysisen suojaamisen välillä. Hyvin usein salasanoista puhuttaessa kuulee jonkun sanovan, että "ei minun salasanallani ole niin väliä, eivät minun sähköpostini ole niin tärkeitä ja salaisia". Entä työhuoneen avain? Onko sen katoamisella väliä, jos työhuoneessa ei ole mitään tärkeää? Samalla avaimella pääsee todennäköisesti sisään työpaikan etuovesta, vaikka sillä ei ehkä muiden ihmisten työhuoneeseen pääsisikään. Näin murtautuja voi illan ja yön hämärissä rauhassa keskittyä muiden työhuoneiden ovien tiirikointiin, koska hänen ei tarvitse enää miettiä ulko-oven murtamista raskain ja kuuluvin välinein.

Monitasoisuus tuppaa unohtumaan strategiasuunnittelussa ja riskianalyyseissa; jokainen toiminnan taso tarvitsee omansa

Tietoturvaa suunniteltaessa ja toteutettaessa voi helposti olla vaarana, että tietoturvan toteuttaminen jää atk-ammattilaisten huolehdittavaksi. Monien teknisten ratkaisujen osalta näin täytyy ollakin, mutta ne eivät yksinään koskaan riitä ilman, että ne oleellisesti vaikeuttavat sitä tutkimus-, opetus- ja opiskelutyötä, jota varten järjestelmät varsinaisesti ovat olemassa. Turvallisuus täytyy ottaa huomioon jokaisella tasolla: varsinaisen toiminnan suunnittelussa ja välineiden valinnassa, sen tukitoimintojen suunnittelussa sekä eritoten työskentelytapojen opettelussa, arkirutiineissa. Jokaisen täytyy tehdä sekä oma että projektikohtainen tietoinen valintansa käyttöönotettavasta turvatasosta sekä fyysisen että tietoteknisen suojauksen osalta. Kummallakaan ei ole merkittävää arvoa ilman toista.

Etusivulle / Första sidan