Aiheryhmä 1. Tietoturvan hallinta/Aihe 1.8. 
Esitelmöitsijä:  An_S
Opponentti:      Mn_R

Teleoperaattoreiden lainsäädäntö tietoturvanäkökulmasta

Helsingin yliopisto
Tietojenkäsittelytieteen laitos
       Seminaari 58303111
Tietoturvallisuus nykyaikaisessa liiketoimintaympäristössä (2ov)
Seminaariesitelmä
 Helsinki 25-29.04.2003
 Ohjaajat:
  ViL
  KaT

Tekijä - Författare - Author 
    An_S 
Työn nimi - Arbets titel - Title 
   Teleoperaattoreiden lainsäädäntö tietoturvanäkökulmasta 
Oppiaine - Läroämne - Subject 
   Tietojenkäsittelytiede 
Työn laji - Arbetets art - Level     
    Seminaariesitelmä                  
Aika - Datum - Month and year    
   25-29.04.2003                        
Sivumäärä - Sidoantal - Number of pages
   Alle 43, riippuu formaatista.

Tiivistelmä - Referat – Abstract

Tietoturvalla tarkoitetaan niitä hallinnollisia ja teknisiä toimenpiteitä, joilla varmistetaan tiedon luottamuksellisuus, eheys ja käytettävyys. Kun tietoturvaa katsotaan yksittäisen ihmisen näkökulmasta, puhutaan tietosuojasta. Tietosuojalla tarkoitetaan henkilön yksityisyyden suojaamista. Yksityisyyden suojaan televiestinnässä kuuluu olennaisena osana henkilön oikeus luottamukselliseen viestintään. Luottamuksellisen viestinnän suoja kattaa viestin sisällön lisäksi viestintään liittyvät tunnistamistiedot. Teletoiminnan sadan säännöksen joukossa tärkeimmät ovat 1. viestintämarkkinalaki, 2. laki yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta sekä 3. Viestintäviraston eli entisen Telehallintokeskuksen määräys THK 47/1999 M teleyritysten tietoturvasta. Teleoperaattori-sana tarkoittaa modernia puhelinlaitosta. Teleoperaattorin tietoturva, kuten muidenkin IT-yritysten tietoturva, ylläpidetään pitämällä neljä jalkaa kunnossa, niinhän tuolikin pysyy tukevasti pystyssä, jos siinä on neljä kunnossa olevaa jalkaa. Tietoturvan neljä jalkaa ovat: ihmiset, tietojärjestelmät, fyysinen turva, muutoksenhallinta. Pääseekö teleoperaattori Viestintäviraston määräyksillä, ohjeilla ja suosituksilla ja alan standardeilla ja IT-alan toimijoiden yhteistyöryhmien suosituksilla lain vaatimaan tietoturvallisuustasoon? Pääsee, mutta vain jos johto ja työntekijät rakentavat ja ylläpitävät ei-teknisenkin osuuden, siis tietoturvan hallinnan. Haittaako teleoperaattorien bisnes-henkisyys tietoturvaa? Ei Suomessa ainakaan, ei vielä, mutta vaara vaanii koko ajan nurkan takana, ellei Viestintävirasto ja asiakasliikeyritykset ja kuluttajat pidä puoliaan. Hoitaako teknologia joskus kaiken tietoturvan? Se jää lukijan arvailtavaksi esitelmän lukemisen jälkeen. 

ACM Computing Classification System (CSS):
_._ [ ],      _._._ [ ] 
Avainsanat - Nyckelord - Keywords 
tietoturva, teleoperaattori, viestintä, tietosuoja, tieto- ja viestintärikos
Säilytyspaikka - Förvaringställe - Where deposited 

Muita tietoja - Övriga uppgifter - Additional information .

Sisällys

1 Tietoturva- ja teleoperaattori- sekä lainsäädäntökäsitteet
1.1 Tietoturva
1.2 Teleoperaattori 
1.3 Lainsäädäntö

2 Aiheen jatkon kavennus seminaarin kokonaistoimialaan 
2.1 Seminaarin ala
2.2 Esitelmän aiheen ala

3 Näkökulman kaventaminen reuna-alueista: sisällöntuottajat, media, tietosuoja- ja kuluttajaviranomaiset, kilpailuviranomaiset, tuomioistuimet, poliisi, yksityisverkkojen ylläpitäjät

4 Viestintäviraston näkökulma
4.1 Tietoliikenneturvallisuus (COMSEC)
4.1.1 Tietoliikenteen suojausmekanismit
4.2 Televiestinnän tietosuoja
4.3 Tietoturvaloukkausten havainnointi ja ratkaisu (CERT)

5 CERT-FI -ryhmän saavutuksista tietoturvan kehittäjänä ja tietoturvaloukkausten torjujana
5.1 Varoituksia tietoturvauhista
5.2 Ohjeita tietoturvauhista
5.3 Tietoturvaan kohdistuvien hyökkäysten yleistilanne
5.4 Analyysi hyökkäystilanteista
5.5 Hyökkäyksiin varautuminen ja hyökkäyksiltä suojautuminen 
5.6 Varautumismallin eräs sovellus tietoturvan järjestelmä- ja hallintotasolla
5.7 Haittaohjelmat

6 Toteuttajatason tietoturvasäännökset teleoperaattorissa

7 Teleoperaattorin ja Internet-operaattorin konvergenssi

8 Vastaukset asettamiini kysymyksiin

9 Pieni tietoturva-analogia kehityksestä historiallinen puhelinlaitos -> 
   teleoperaattori -> cyberroottori.

Teleoperaattoreiden lainsäädäntö tietoturvanäkökulmasta

Käyn läpi teleoperaattoreiden tietoturvaa koskevan lainsäädännön alkaen perustuslaista ja päättyen viestintäviranomaisen päätöstasoon. Käsittelen myös telealan yhteistyöryhmiä ja standardeja tai niitä lähellä olevia alan kansainvälisten tai kotimaisten järjestöjen antamia suosituksia. Päättelyongelmaksi asetan: Pitääkö säädösketju. Päästäänkö alimman tason, käytänön määräyksillä Euroopan unionin ja Suomen eduskunnan asettamiin tietoturvatavoitteisiin. Näkökulmani teleoperaattoreiden tietoturvaan on kotilaitoksen mukaisesti I. tietojenkäsittelytieteellinen ja seminaarin aiheen mukaan II. nykyaikainen liiketoiminta sekä esitelmäni aiheen mukaan III. hallinnollis-oikeustieteellinen. Haasteena on selvittää, haittaako tietoturvan taso nykyaikaista liiketoimintaa tai heikentääkö nykyaikaisen liiketoiminnan harjoittajien tuottavuustavoite, esimerkiksi joustavuuden nimellä, tietoturvaa. Seminaarissa esitelmäni aihe on sijoitettu tietoturvan hallinnan ryhmään. Siten teleoperaattoreiden valvontaviranomaisen, yleisen viestintävalvontaviranomaisen eli Viestintäviraston näkökulma korostuu enemmän kuin teleoperaattoreiden ja niiden asiakasliikeyritysten väliset sopimusperusteella otetut velvoitteet. Myös teleoperaattorien harjoittamaa kuluttajaliiketoimintaa katson enemmän televalvontaviranomaisen kuin kuluttajansuojaviranomaisten näkökulmasta.
Rakennan esitelmäni kolmioperiaatteella: Kolmion kanta on ylhäällä eli esitelmä alkaa laaja-alaisesti. Sitten kolmio kapenee eli esitelmän edetessä, siis tekstiä alaspäin mentäessä, siirrytään yksityiskohtiin. Menetelmää tosin suosivat eniten iltapäivälehdet: Kolmio voidaan katkaista kärjen puolelta eli jutun loppuosa voidaan poistaa lähtien mistä kohdasta tahansa ja silti lukijat saavat selvän, mitä juttu kertoo. Perustelen rakennetta sillä, että seminaarin esitelmät melkein kaikki käsittelevät suppeita, vaativia spesifisyyksiä. Tämä esitelmä liikkuu yleisellä tasolla. Lukemalla tiivistelmän ja haluamansa määrän leipätekstiä, saa riittävän yleiskuvan. Loppuun asti riittää kuitenkin luettavaa: Onko vallitseva viranomaisten ja hallintojen joukko tarpeeton? Jospa teknologia hoitaa kaiken?

1 Tietoturva- ja teleoperaattori- sekä lainsäädäntökäsitteet

Määrittelen esitelmässäni käsitteitä tietotekniikan mutta myös liiketoiminnan ja hallinnollis-oikeustieteellisestä katsantokulmasta.

1.1	Tietoturva

Tietoturvalla tarkoitetaan niitä hallinnollisia ja teknisiä toimenpiteitä, joilla varmistetaan tiedon luottamuksellisuus, eheys ja käytettävyys. Kun tietoturvaa katsotaan ihmisten, myös liikeyrityksissä työskentelevien ihmisten kannalta puhutaan usein tietosuojasta. Tietosuojalla tarkoitetaan henkilön yksityisyyden suojaamista henkilötietojen käsittelyssä. Tätä tarkoitusta varten henkilötiedot on suojattava oikeudettomalta tai henkilöä vahingoittavalta käytöltä [FCR02a]. Oikeustieteellisesti kattava tietoturvan ja sen perinteisemmän muodon, tietosuojan määritelmä löytyy oikeustieteen ensyklopediasta, tai paremminkin teoksen määritelmiä voi kutsua artikkeleiksi [Pöy99]. Tekniikan Sanastokeskus ry, jolla on jossain määrin Suomen valtiollisen kielitoimiston tasoista auktoriteettia, ei nykyään keskeisimmän teleoperaattoritoiminnan eli matkaviestimiä koskevan sanastonsa hakemistossa tunne tietoturva-sanaa eikä myöskään tietosuoja-sanaa, mutta tietojen eheyden käsite on määritelty. Se kuuluu seuraavasti: "Tietojen yhtäpitävyys alkuperäisten tietojen kanssa. Sähköisessä viestinnässä tietojen eheydellä tarkoitetaan sitä, etteivät tiedot ole muuttuneet siirrettäessä [Tek01]."

Keskeisimmissä teleoperaattoreita koskevissa laeissa, joita on nykyään kaksi, tietoturva määritellään vaatimalla teleoperaattoreilta, että saatavilla olevat mahdollisuudet televiestintään ovat toimintavarmoja ja turvallisia, sekä edellyttämällä televiestinnän luottamuksellisuutta, suojausta, huolehtimisvelvollisuutta, vaitiolovelvollisuutta ja poikkeusoloihin varautumista. Lait ovat viestintämarkkinalaki, siitä erityisesti 1 §:n 1 momentin 5-kohta ja laki yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta, siitä erityisesti 2. luku [Vie97], [Yks99]. Edempänä tässä esityksessä käytetään näistä laeista nimiä Markkinalaki ja Turvalaki. 

1.2	Teleoperaattori 

Puhelinlaitokset ottivat itsestänsä käyttöön nimen teleoperaattori. Kun ne ovat ryhtyneet käyttämään sitä myös yleisömainonnassaan, sanaa kuulee jo puhekielessäkin. Tekniikan Sanastokeskus ry antaa molemmilla kotimaisilla kielillä ensisijaisena sanan teleyritys, teleföretag ja vasta toisella sijalla sanan teleoperaattori, teleoperatör, englanninkieliseksi käännökseksi se tarjoaa telecommunications company. Käsitteen teleyritys se määrittelee lyhyesti: yritys, jonka päätehtävänä on tarjota tietoliikennnepalveluja. Vielä se mainitsee, että teleyrityksestä voidaan käyttää myös nimitystä viestintäoperaattori [Tek01]. 

Puhelin-sanan muuttuminen teleksi johtui mielestäni aluksi hienostelusta ja markkinointihenkisyydestä. Sitten kun datan siirto tuli merkittäväksi osaksi toimintaa ja kun kännykät tulivat ja varsinkin sitten kun Internet-liikenne ja -liittymätkin sisältyivät päivittäiseen palveluun, tele-sanan käyttö tuli luonnolliseksi. Operaattori-sanan sijasta mielestäni yritys kertoisi toiminnasta paremmin, koska toimintojen hoitaminen (operointi) hyvää vauhtia jää taka-alalle tuotekehityksen ja markkinoinnin noustessa toiminnan painopisteiksi. Tietoturvalla operointi sen sijaan toistaiseksi jää ammattialan sisäiseksi operoinniksi. Ei ole vielä sattunut katastrofia, joka tarjoaisi markkinaraon: "Olemme Suomen ja kansainvälisestikin tietoturvallisin teleoperaattori!" 

Tässä esityksessä olen taipunut sanan teleoperaattori käyttöön, vaikka lainsäätäjä eli eduskunta ei tietoturvaa koskevissa laeissa ole ainakaan vielä taipunut pois teleyritys-sanasta. Lukijaystävällisyydellä teleoperaattori-ilmausta voi perustella, sanahan tulee vastaan paitsi alan yritysten esitteissä, niin jopa ulkomainostauluissa.

1.3 Lainsäädäntö
Lainsäädännöllä tarkoitetaan muutakin kuin lakeja. Myös asetukset, ministeriön päätökset sekä keskushallintoviranomaisen päätökset, määräykset ja ohjeet ovat lainsäädäntöä. Telealan valvontaviranomaisen eli Viestintäviraston määräyksistä mainittakoon tässä kohdassa esimerkkinä Viestintäviraston määräys 9/2002 M: Määräys televerkkojen ja -palvelujen tietoturvaloukkausten sekä vika- ja häiriötilanteiden ilmoittamisvelvollisuudesta. Lainsäädännön akteista käytetään yleisnimeä säädös tai väljemmin säännös. Lakia alempien säädösten ja säännösten antamiseen täytyy aina olla jossain laissa nimenomaisesti annettu valtuutus. Viranomainen voi antaa myös suosituksia. Suositus ei velvoita, mutta tosiasiallisesti se voi velvoittaa: Säädöksissä nimittäin annetaan nykyään sitovia määräyksiä sanonnoilla, joissa ei yksilöidä vaan sanotaan vain esimerkiksi "järjestettävä tietoaineistojensa turvallinen käsittely hyvän tietojenkäsittelytavan mukaisesti". Jos virhe tapahtuu ja teleoperaattori ei ole noudattanut suositusta, niin se joutuu melko hankalaan tilanteeseen pyrkiessään selvittämään, että sen menetelmillä on saavutettu sama huolellisuustaso. Joissain tapauksissa säännöksissä saatetaan suoraan määrätä, että on noudatettava tiettyä, nimettyä standardia. Erittäin kattava säädösluettelo löytyy Viestintäviraston tietoturva- ja tietosuojasäännösten sivulta, sillä olevine linkkeineen [FCR03c]. 

Itsenäinen Suomi kantaa valloittajien jäljiltä lainsäädännössään - myös turvallisuuden ja kaupan alalla - muitakin, osin varsin eksoottisiakin nimiä säädöksille, kuten: kaari, kirje, sääntö, asetus, julistus. Useat niistä ovat laintasoisia ja olivat voimassa vielä aivan viime vuosikymmeninä. Osa on voimassa vieläkin - tosin lähes joka kohdasta muutettuna - kuten oikeudenkäymiskaari. Oikeudenkäymiskaaren mukaan haetaan edelleen oikeutta käräjäoikeudessa teleoperaattoria vastaan esimerkiksi, jos Internet-näköpuhelimellaan lähettää itsestään paljastavaa kuvaa kumppanilleen ja kuva kulkee lankaa pitkin myös kirkkoherran päätelaitteeseen.

Uutena vallankäyttäjänä vaikuttaa kansainvälinen yhteisö kansainvälisten sopimusten muodossa. Sopimukset pannaan Suomessa täytäntöön yleensä laeilla. Euroopan unioni EU omaa kuitenkin useissa asiaryhmissä suoraan sitovan lainsäädäntövallan. Silloinkin laintasoisilla säädöksillä voi olla jokin muu nimi, kuten sopimus (esimerkiksi EU:n keskeinen perustamissopimus, Rooman sopimus) tai asetus. EU voi myös antaa direktiivejä eli lainsäädäntöohjeita, siis pakkovelvoitteita, että jäsenmaiden pitää säätää tietynsisältöisiä lakeja. Uusimmat muodot teleoperaattoreita koskevista tietoturvasäädöksistä Suomessa ovatkin EU-lähtöisiä, kuten esimerkiksi juuri edellä mainitut Markkinalaki ja Turvalaki eli viestintämarkkinalaki ja laki yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta. Tietosuojan parantamisen kannalta Suomi on jopa myöhästymässä EU:n 31.07.2002 antaman sähköisen viestinnän tietosuojadirektiivin 2002/58/EY täytäntöönpanosta kotimaisella lailla [Eur02]. Nykyinen Turvalaki ei "satu" täysin kattamaan EU:n vaatimuksia. Täytäntöönpanon pitää tapahtua 31.10.2003 mennessä. Liikenne- ja viestintäministeriö suunnittelee lakipaketissa, johon mainittu asia sisältyy, täytäntöönpanon ajankohtaa ehkä hieman toisin! Aika on sanottu seuraavasti: "Ehdotetut lait on tarkoitettu tulemaan voimaan viimeistään 31.10.2003 tai mahdollisimman pian sen jälkeen [LVM02]." Markkinalain uusi versio tullee käyttöön jo aikaisemmin [Vie03].

Käytännössä tietoturva-alan kansainvälisillä ja kansallisilla järjestöillä ja yhteistyöryhmillä on suuri merkitys - yhteistyön kautta jo sinänsäkin, mutta erityisesti standardien ja suositusten kautta. Lainsäädännössä olevien, mainittujen huolellisuusvelvoitteiden kautta näillä lainsäädännön kannalta sinänsä epävirallisilla saavutuksilla on tosiasiallisesti sitovaa merkitystä silloinkin kun niitä ei ole missään säädöksessä nimenomaisesti määrätty noudatettavaksi. Kansainvälisiä yhteistyöjärjestöjä telealan standardoinnissa ovat kansainvälinen televiestintäliitto ITU Genevessä ja Euroopan telestandardointi-instituutti ETSI Nizzassa. Standardointityön täydentäjäksi on syntynyt lukuisia foorumeita, joista tärkein televiestintäalan foorumi tällä hetkellä on Internet-standardeja kehittävä IETF. Kansainvälisyys ei merkitse kotimaan unohtamista, vaan tietoturvayhteistyötä tehdään myös kotimaisten järjestöjen kanssa: Viestintävirasto on Suomen Standardisoimisliitto SFS ry:n toimialayhteisö. Yhteistyö on tiivistä myös sähköalan standardoinnista huolehtivan SESKO ry:n kanssa. Muita yhteistyökumppaneita ovat muun muassa TIEKE eli Tietoyhteiskunnan kehittämiskeskus ry tietotekniikan standardoinnissa ja Tekniikan Sanastokeskus TSK alan sanastojen laadinnassa. Viestintävirasto toimii yhteistyössä useiden kansallisten ja kansainvälisten sekä viranomais- että elinkeinoelämän tahojen kanssa. 

Tietoturvan ja tietosuojan alueella Viestintävirastolla on tällä hetkellä toiminnassa kolme hallinnollista työryhmää (CERT, COMSEC ja Varmennepalvelut) ja yksi standardointiryhmä (Telekuuntelun tekninen toteuttaminen). CERT-työryhmä toimii eri toimijoiden yhteistyöelimenä tietoturvaloukkausten havainnoinnin ja ratkaisun alueella sekä seuraa ja edistää alan yleistä kehitystä. Työryhmän tehtäväalueeseen kuuluvat tietoturvauhkien ja loukkausten ehkäisyyn liittyvät asiat sekä tekninen yhteistyö tietoturvaloukkausten havainnoinnin ja ratkaisemisen alueella. COMSEC-työryhmän toiminta kattaa kaikki ne toimenpiteet, joiden avulla pyritään turvaamaan tieto- ja telejärjestelmissä siirrettävien tietojen luottamuksellisuus, eheys ja käytettävyys. Toiminto kattaa siis sekä salaamisen laadun varmistamisen ja valvonnan että tietoliikenneverkkojen käytön luotettavuuden ja turvallisuuden valvonnan. Telekuuntelun tekninen toteuttaminen -työryhmä seuraa kansainvälisten vastinryhmien toimintaa ja sen jäsenet osallistuvat muun muassa ETSIn teknisen tietoturvakomitean (TC SEC, Technical Committee Security) telekuuntelutyöryhmän (LI, Lawful Interception) toimintaan. Ryhmän jäsenet ovat mukana myös alueen lainsäädännön valmistelussa. [FCR01k], [FCR03d].

EU:n jäsenyydestä johtuen sen tuomioistuimen, nimeltään EY-tuomioistuin, päätöksillä on sitova ennakkopäätösvaikutus, joka voi mennä yli sovellettavan suomalaisen kansallisen lainsäädännönkin. Siten jo asukaslukujen ja kansantalouksien koon perusteella merkittäviä teleoperaattoreita koskevia, Suomeakin sitovia tietoturvaa määrittäviä ratkaisuja voidaan odottaa lähinnä Suomen ulkopuolisista maista. Ennakkopäätöksiä voivat toki antaa myös kotimaiset ylimmät tuomioistuimet korkein oikeus ja korkein hallinto-oikeus, mutta niillä ei ole yhtä sitovaa ennakkopäätösvaikutusta ja se ei koske muuta kuin Suomea.

2	Aiheen jatkon kavennus seminaarin kokonaistoimialaan 

2.1	Seminaarin ala

Seminaarin nimi on "Tietoturvallisuus nykyaikaisessa liiketoimintaympäristössä". Sen taustana ovat siis nykyaikaisen liiketoimintaympäristön asettamat vaatimukset: suuri tuottavuusvaatimus ja kvartaaliajattelun mukanaan tuoma muutosvauhti. Seminaarissa perehdytään tietoturvan hallintaan sekä organisatoriselta että tekniseltä kannalta. Siten tutkimusongelmana on: Miten tietoturvasta voidaan varmistua tällaisessa ympäristössä?" Tietoturvaa katsotaan neljästä näkökulmasta (tietoturvan neljä jalkaa): fyysinen turva, ihmiset, tietojärjestelmät, muutostenhallinta. Esillä oleva aihe on yksi kahdestakymmenestä seminaarin aiheesta. Aiheet liittyvät kahteen eri kokonaisuuteen: 1. Tietoturvan hallinta ja 2. Tekninen tietoturva. Tietoturvan hallinnan aiheet painottuvat standardeihin, politiikkoihin, organisaatioihin ja valmistelutöihin. Tekninen tietoturva painottuu järjestelmien turvaominaisuuksiin, tietoturvan tekninen saavuttamiseen ja erilaisiin hyökkäysmenetelmiin. Kryptografia jää pääsääntöisesti seminaarin aiheiston ulkopuolelle [TNL03a].

2.2	Esitelmän aiheen ala

Esillä oleva kysymys "Teleoperaattorien lainsäädäntö tietoturvanäkökulmasta" on toimeksiannossa sijoitettu tietoturvan hallinnan näkökulmasta tarkasteltavaksi [TNL03b]. Siten näkökulmaksi valitsen teleoperaattorin sisältä teleoperaattorin sisälle omaan organisaatioon ja ulkopuolelle asiakkaisiin ja muihin sidosryhmiin päin. Rajaan kuitenkin asiakkaiden ja muiden sidosryhmien omat toiminnot, jotka eivät ulotu mihinkään yleiseen televerkkoon asti, ulkopuolelle, lukuun ottamatta aivan rajapintaa. Tietoturva edellyttää kiinteää yhteistoimintaa viranomaisten, erityisesti valvontaviranomaisen eli Viestintäviraston kanssa. Suhteessa liikeasiakkaisiin tietoturvan hoitaminen on osin sopimuskysymys ja bisneskysymys: Teleoperaattori voi ottaa hoitaakseen asiakasyrityksen tietoturvaratkaisujen rakentamisen ja ylläpidon tai päinvastoin ulkoistaa omaan vastuualueeseensa kuuluvia toimia. Lakisääteisestä vastuustaan teleoperaattori toki ei voi vapautua, vaikka asioita hoidettaisiinkin ulkoistetusti. Erityisesti teleoperaattorin suhteessa kuluttaja-asiakkaisiinsa tulee huomata, että kuluttajansuojalainsäädäntö antaa minimivelvoitteet kuluttaja-asiakkaan suojaksi, ja lainsäädäntö on yhä menossa siihen suuntaan, että liikeyritysten vastuulle tulee uusia seikkoja - toki teleoperaattori-liikeyritys vastaavasti sitten korottaa palveluhintojaan.

Esimerkkinä vastuun rajan siirtämistarpeesta teleoperaattorin ja asiakkaan välillä, olipa tämä kuluttaja tai liikeyritys, mainitsen Päijät-Hämeen Puhelin Oyj:n asiakastiedotteen numero 6 vuodelta 1999" Huijarit rahastavat Internetissä salaa kytketyillä ulkomaanpuheluilla". Se kuuluu seuraavasti: 
"Huijauksissa käytetään usein houkuttimina kuvia, joiden yhteydessä mainostetaan, että kuvan voi ladata itselleen, eikä maksa mitään. Samalla kun Internetin käyttäjä tallentaa kuvan tai muun tiedoston, huijausohjelma lähettää tietokoneeseen myös sellaisen ohjelman, joka muuttaa koneen sisällä olevia asetuksia. Muutos tekee sen, että tietokone katkaisee melko huomaamattomasti paikallispuheluna otetun Internet-yhteyden ja muuttaa yhteyden ulkomaanpuheluksi vaikkapa toisella puolen maapalloa olevan kalliin palvelunumeron kautta. Näiden palvelunumeroiden käyttömaksut kertyvät siten kansainvälisille huijareille.
Internet-verkko tai puhelinyhtiöt eivät voi estää ohjelmiston lataamista. Puhelinyhtiöt voivat vain suositella Internetin käyttäjiä olemaan varuillaan riskin vuoksi. Älkää käyttäkö Internet-verkossa tarjottavia, mahdollisesti ilmaiseksi tarjottavia sovelluksia, jos niiden alkuperä on epämääräinen [PHP99]."

Kysymys on - paitsi käyttäjän maallikkomaisuudesta - myös tunnistetietojen havaittavuudesta, joka kuuluu teleoperaattoreiden tietoturvatoimialaan. Asia voitaisiin mitä ilmeisimmin ratkaista teleoperaattorin teknologialla, eikä jättää vaaraa käyttöliittymän tyhmemmälle puolelle. Ainakin käytettävän paikallisen puhelinyhteyden katkeamiseen voitaisiin liittää tarpeeksi näyttävä signaali, vaikka Internet-käyttäjää sinänsä ei voida estää surffaamasta vaarallisiin osoitteisiin.
Kuitenkin sellaiset teleoperaattorin antamat erityispalvelut, jotka eivät kuulu teletoimintaan jäävät esitelmäni aiheen ulkopuolelle - silloinkin vaikka ne esimerkiksi teknologian vuoksi hyvin sopisivat teleoperaattorille ja vaikka ne samalla kuuluisivat Viestintäviraston toimialaan. Tällainen toiminto on muun muassa sähköisiin allekirjoituksiin laatuvarmenteiden tarjoaminen, allekirjoituksia voidaan tehdä muun muassa matkapuhelimelta. Viestintävirasto paitsi valvoo niin myös muun muassa antaa tarvittaessa teknisiä määräyksiä ja suosituksia laatuvarmenteita yleisölle tarjoavien varmentajien toiminnan luotettavuus- ja tietoturvallisuusvaatimuksista [Leh03], [SAK03]. 

Ongelmat immateriaali- eli aineettomissa oikeuksissa eivät välittömästi vaaranna tietoturvaa. Välillisesti vaaraa voi aiheuta, esimerkiksi jos teleoperaattori menettää oikeuden patenttiin, jolla tietoturvaa on parannettu. Alaryhmä tekijänoikeudet jää melko etäälle tietoturva-asioista. Kuitenkin puhelinluettelot kuuluvat tekijänoikeuksien lähioikeuksien piiriin, niin sanotun luettelosuojan muodossa. Teleoperaattorilla on siis tietynasteinen tekijänoikeus puhelinluetteloihinsa. Teknisestä näkökulmasta puhelinluettelot ovat varsin etäällä teletoiminnasta. Markkinalain 3 §:n 1 momentissa sanotaan mielenkiintoisesti, että "teletoiminnassa ja tilaajaluetteloiden tarjoamisessa noudatetaan, mitä tässä laissa säädetään [Vie97]". Siten luettelojen laatiminen, ylläpito, jakaminen ja myyminen ei oikeastaan ole teletoimintaa. Henkilöasiakas pitänee tärkeimpänä omaa suojaansa. Puhelinluettelot ovat henkilösrekistereitä ja siten niitäkin koskee henkilörekistereistä annettu lainsäädäntö. Valvontaa hoitavat tietosuojavaltuutettu ja muut tietosuojaviranomaiset. Tästä eteenpäin jätän pois tarkastelusta immateriaalioikeudet, katson niiden kuuluvan enemmän tietojenkäsittelytieteen laitoksen kurssien Ohjelmistoliiketoiminta ja Tietotekniikkaoikeus alaan [OLT03], [TTO01].

3	Näkökulman kaventaminen reuna-alueista: sisällöntuottajat, media, tietosuoja- ja kuluttajaviranomaiset, kilpailuviranomaiset, tuomioistuimet, poliisi, yksityisverkkojen ylläpitäjät

Nimeän sisällöntuottajat, median, tietosuoja- ja kuluttajaviranomaiset, tuomioistuimet ja poliisin tietoturvan reuna-alueen toimijoiksi tietojenkäsittelytieteen perusteella, vaikka toki käytännön tilanteissa nämä voivat joutua toimimaan kuumimmassa ytimessä. Saatan siten tosin - digitaalista aikaa vanhemman ajan sanontoja lainatakseni - "heittää lapsen pesuveden mukana". Mutta linjalla "suutari pysyköön lestissään" laitan siis lainsäädännön vähemmälle ja tietoturvan hallinnon enemmälle, koska tutkimuslaitoksena on tietojenkäsittelytieteen laitos. 

Sisällöntuotannon jätän kokonaan aiheen ulkopuolelle, koska teleoperaattorin tietoturvavelvoitteisiin kuuluu, että se ei saa ottaa selkoa viestin sisällöstä eli tietojenkäsittelytieteen näkökulmasta raakadatan sisällöstä; teleoperaattorin vastuu sisällöstä voi langeta lähinnä vain samantapaisissa tilanteissa kuin Internet-palvelimen ylläpitäjän vastuu eli että se osallistuu enemmän kuin antamalla tiedon virrata sellaisenaan tai kiellosta huolimatta ei tee tietystä suunnasta tulevaa rikollista viestintää mahdottomaksi. Siten myös esimerkiksi teleoperaattori Elisa-konsernin tuotoksista niin Efodi verkko-oppimisympäristö kuin vaikkapa Miss Galaxy 03 -video jäävät tarkastelualueen ulkopuolelle [Eli03a], [Eli03b]. Myös median eli radion, television ja niin digitaalisen kuin paperilehdistön jätän ulkopuolelle siinäkin tapauksessa, että se käyttäisi tietoliikenteeseensä teleoperaattorin verkkoa, ohjelmistoja tai laitteistoja. Kuitenkin edempänä Internet-vertailun kohdalla käsittelen konvergenssia ja konsolidaatiota. Siis käsittelen siinä sinänsä toivottua, mutta uhkaavaa teletoimintojen teknistä yhteensulautumista ja tiedostojen yhdistämistä ja seulontaa. Niissä vaarat yksilön tai liikeyrityksen tietoturvalle voivat nousta niin suuriksi, että suhteellisesti teleoperaattoreille asetetulle hallinnolliselle ja tekniselle lainsäädännölle ei jää suurempaa tietoturva-arvoa kuin sillä paperialustalla on, jolle se on kirjoitettu.

Viestintäviraston valvottavien asioiden kannalta tämän esitelmän asiat ovat aito osajoukko, tosin sen verran poiketen, että Viestintäviraston valta ei riitä tietosuojalautakunnan ja sen alaisen tietosuojavaltuutetun ja toimiston toimialueelle eikä kuluttajavalituslautakunnan ja sen alaisen viraston toimialueelle [KVL98], [TSL94]. Tietosuojaviranomainen käsittelee henkilötietolaissa (523/1999) tarkoitettuja asioita, joten jätän sen puhelinluetteloiden tapaan esitelmän ulkopuolelle. Kuluttajavirasto käsittelee kuluttajan ja elinkeinonharjoittajan välisiä kaupantekoa koskevia riita-asioita; siis esille voi tulla myös tämän esitelmän alaan kuuluvia juttuja, vaikkapa erimielisyys siitä, onko puhelun perille tulo riittävän häiriötöntä ja selkeää, siis kysymys tiedon eheydestä. Oikeastaan siinä samaa asiaa katsotaan kahdesta näkökulmasta, Viestintävirasto valvoo hallinnon ja tekniikan kannalta, kuluttajavirasto antaa suosituksenluontoisia "tuomioita", kuka on oikeassa. Kumpikin osapuoli voi esiintyä kummassa tahansa näistä elimistä, ja tietotekniikan asiantuntijoita voidaan tarvita niin hallinnollis-teknisen kuin oikeudellisenkin ratkaisun antamisessa. Koska viestintäviraston toiminnassa tietoturvan tietotekninen puoli korostuu ensisijalla ja oikeudellisuus toisella sijalla ja kuluttajaviraston toiminnassa on päinvastoin, rajoitun esitelmässäni Viestintävirasto-näkökulmaan.

Kilpailuviranomainen, kauppa- ja teollisuusministeriön alainen Kilpailuvirasto ja alueelliset yksiköt huolehtivat ja valvovat kilpailunrajoituslain toteuttamista ja riidat ratkaistaan viime kädessä markkinaoikeudessa [KRL92]. Kiellettyjen kilpailunrajoitusten pohjalla saattaa kuitenkin olla tietoturvaratkaisujakin. Asettamalla standardeja tai teknisten ominaisuuksien vaatimuksia voidaan ei-kotimaiset kilpailijat pitää ulkopuolella. Vaatimukset voivat olla esimerkiksi jonkin juuri nimetyn tekniikan, esimerkiksi matkapuhelinten cdma- vastaan tmda-tekniikka vaatimista. Viime vuosikymmenien sanomalehtien lukemisilla olen tullut käsitykseen, että esimerkiksi Yhdysvallat ja Ranska ovat kunnostautuneet kilpailun rajoittamisessa teknologisten vaatimusten tempuilla. Ja tuskin edempänä selostettavassa Kreikan valtion riidassa EU:n kanssa Kreikan valtio oli huolissaan siitä, että se ei ollut saanut matkaviestinnän standardien valvontakoneistoaan kuntoon, vaan ulkomaisia teleoperaattoreita haluttiin pitää poissa matkaviestintaajuuksilta. En käsittele kilpailuviranomaisten toimintaa tämän enempää.

Vastaavasti jätän tuomioistuinten esittelyn pois, tyytyen vain toteamaan, että yleisen tuomioistuimen (käräjäoikeus, hovioikeus, korkein oikeus) tie on lähes aina käytettävissä ainakin vahingonkorvauskanteen mielessä ja hallintotuomioistuimen tie (hallinto-oikeus eli entinen lääninoikeus sekä korkein hallinto-oikeus) ovat hallinnollisiin valituksiin käytettävissä, tosin vain laillisuus- mutta ei tarkoituksenmukaisuuskysymyksissä. Ennustan, että tuomioistuimiin tulee tulemaan aika paljonkin juttuja, joissa tarvitaan tietotekniikan ja tietoturvan asiantuntemusta - muitakin juttuja kuin tähän mennessä eniten huomiota herättäneet tietomurtojen tapaiset rikosasiat. Siksi edempänä käsittelen yhtä korkeimman oikeuden ratkaisua, jossa oli kyse mahdollisen hakkerin puhelimen tunnistetiedoista ja porttiskannauksesta [KKO03]. Syyttäjällä on oikeus saada poliisin vahvan tietoturvayksikön tutkimukset tuekseen ja poliisilla on oikeus saada Viestintävirastolta - toki puolueetonta - virka-apua. Kun toisena osapuolena on seitsemäntoistavuotias harrastaja, toki atk-spesialisti, mutta tuskin tietoturvan hallinnan asiantuntija, niin ovatko oikeudessa edellytyspunnukset tasan, jos oikeuden jäseniltä puuttuu tietotekninen koulutus?

Erikoistuomioistuimet, kuten vakuutusoikeus, ovat tietoturvan kannalta etäisiä. Kansainväliset tuomioistuimet, kuten Euroopan ihmisoikeustuomioistuin, eivät yleensä ole suoraan käytettävissä, vaan kotimaiset oikeustiet pitää ensin käydä läpi ja sitten voi - tosin hyvin hyvin rajoitetussa määrin - viedä asian ylikansalliseen tuomioistuimeen. Kuitenkin Euroopan unionin tuomioistuimella, virallisesti Euroopan yhteisöjen (EY) tuomioistuimella on vahva valta jäsenvaltioihin nähden.

Vallasta esimerkkinä tuon esiin yhteisöjen tuomioistuimen kuudennen jaoston tuomion 16.10.2001. Jutussa osapuolina olivat EU:n komissio eli tavallaan EU:n johtokunta ja Helleenien tasavalta eli Kreikka. Komissio väitti kanteissaan, että Kreikan tasavalta on jättänyt noudattamatta jäsenyysvelvoitteitaan, koska se ei ole säätänyt niistä edellytyksistä, säännöistä ja menettelytavoista, jotka koskevat toimilupien myöntämistä DCS 1800- ja DECT -standardin mukaisten matkaviestinpalvelujen tarjoajille, vaikka käytettävissä olisi objektiivisesti tarkastellen ollut taajuusalue, ja koska se näin ollen on estänyt direktiiviin 96/2/EY perustuvien oikeuksien käyttämisen, sillä ne, joita asia koskee ja jotka eivät ole tietoisia käyttöedellytyksistä eivätkä myöskään valintaperusteista, eivät voi esittää hakemustaan tai tehdä tarjousta. Kreikan tasavalta selitti muun muassa, että se ei ollut vielä ehtinyt luoda hallinnollisia määräyksiä kyseisiä standardeja varten eikä valvontakoneistoa. 

Pitkän 35-kohtaisen päättelyn jälkeen yhteisöjen tuomioistuimen kuudes jaosto antoi seuraavan tuomiolauselman: 
"1) Helleenien tasavalta ei ole noudattanut direktiivin 90/388/ETY muuttamisesta matkaviestinnän ja henkilökohtaisen viestinnän osalta 16 päivänä tammikuuta 1996 annetun komission direktiivin 96/2/EY ja kilpailusta telepalvelumarkkinoilla 28 päivänä kesäkuuta 1990 annetun komission direktiivin 90/388/ETY mukaisia velvoitteitaan, koska se ei ole säädetyssä määräajassa antanut kaikkia direktiivin 96/2/EY 2 artiklan 1 ja 2 kohdan, kun niitä luetaan yhdessä direktiivin 90/388/ETY 3 a artiklan toisen ja kolmannen kohdan kanssa, noudattamisen edellyttämiä lakeja, asetuksia tai hallinnollisia määräyksiä. 
2) Helleenien tasavalta velvoitetaan korvaamaan oikeudenkäyntikulut."

Poliisin työssä tietoturvasäännökset tulevat vastaan sitä enemmän, mitä enemmän tietoturvarikoksia tehdään. Poliisi ryhtyy esitutkintaan, kun rikoksen epäilykynnys ylittyy. Poliisi voi puuttua yleensä vain ihmisiin - harvoissa, lähinnä ympäristöjutuissa osakeyhtiö tai muu yhteisö voi joutua rikosvastuuseen. Poliisilla on palveluksessaan hyvä tietoturva-asiantuntemus, ja teleoperaattorienkin tietoturvaa hakkeroivien ja crackeroivien mahdollisuudet jatkaa toimintaansa heikentyvät, mikäli poliisin voimavarat vain riittävät. Toisensuuntaista poliisin tutkimustoimintaa, kohdistuen teleoperaattorien virkailijoiden tietoturvaloukkauksiin sidosryhmiä kohtaan, seurataan mielenkiinnolla: Riittääkö poliisin erikoishenkilöstön tietoturvaosaaminen myös teleoperaattori Sonera Oyj:n, tosin sittemmin erotetuille johtohenkilöille ja tietoturva-asiantuntijoille. Verkkolehti DigiTodayn toimittaja kirjoittaa 27.11.2002 teleoperaattori Sonerassa mahdollisesti tapahtuneesta, journalisteille soittaneiden työntekijöiden puheluiden tunnistetietojen jäljittämisestä muun muassa: " Digitodayn tietojen mukaan keskusrikospoliisi etenee Sonerassa tapahtuneeksi epäillyn törkeän viestintäsalaisuuden rikkomisen tutkinnassa jutun asianomistajien kuulemiseen. Tämä tarkoittaa, että rankempi vaihe tutkintaa alkaa olla takana. Mutta vielä on esimerkiksi ainakin teoreettinen vaara, että asianomistajat eli ne soneralaiset, joiden puhelintietoja on urkittu, tavalla tai toisella ostetaan hiljaisiksi. Helsingin Sanomien kertoman mukaan sillä oli Sonerassa useita lähteitä, jotka pelkäsivät soitella toimittajille omista puhelimistaan. Nämä henkilöt kertoivat "pelon ilmapiiristä" yhtiössä. Myös muilla toimituksilla sattui suhteissa Soneraan hieman vastaavan kaltaisia absurdeja sattumia [Dig02]." En käsittele poliisia enemmälti. 

Viestintävirasto, laajassa toimialassaan, katsoo samojakin tietoturvaloukkauksia kuin poliisi. Mutta Viestintäviraston näkökulma eroaa. Viestintävirasto ei voi puuttua ihmisiin, ei silloinkaan vaikka teleoperaattorin tietoturvayksikön koko väki olisi saanut syytteen tietoturvarikoksista. Viestintävirasto tutkii organisaatioita, se voi puuttua siihen, että teleoperaattorin tietoturva-asioissa mainitussa tilanteessa tietoturvan neljästä jalasta eli fyysisestä turvasta, ihmisistä, tietojärjestelmistä, muutostenhallinnasta vähintäänkin yksi nilkuttaa ellei ole peräti katkennut. Myös sanktiot eli seuraamukset Viestintäviraston pitää kohdistaa teleoperaattoriin, siis liikeyritykseen eli siis useimmin osakeyhtiöön.

Yksityiset verkot eivät kuulu viestintämarkkinalain piiriin [Vie97]. Jätän ne esitelmäni ulkopuolelle. Pitää kuitenkin huomata, että sen jälkeen jos yksityinen verkko liitetään yleiseen televerkkoon, se ei enää olekaan pelkästään yksityinen verkko.

4	Viestintäviraston näkökulma

Liikenneministeriön alainen Viestintävirasto esittelee itsensä, toimintonsa ja antamansa säännökset kotisivustollaan. Kotisivunsa osoitteessa se käyttää lyhennettä ficora, joka on johdettu sen englanninkielisestä nimestä Finnish Communications Regulatory Authority. Viestintävirasto on sähköisen viestinnän ja tietoyhteiskuntapalvelujen yleinen hallintoviranomainen, jonka tavoitteena on Suomen tietoyhteiskuntakehityksen edistäminen. Viestintäviraston tehtävänä on viestintämarkkinoiden toimivuuden ja tehokkuuden turvaaminen. Tavoitteena on, että kuluttajille on tarjolla keskenään kilpailevia, teknisesti kehittyneitä, laadukkaita ja edullisia viestintäpalveluita [FCR03a]. Hallitus päätti 14.6.2001 tietoturvallisuuden hallinnollisia vastuita käsitellessään, että vastuu tietoliikenneturvallisuudesta ja tietoturvaloukkausten käsittely keskitetään Viestintävirastolle vuoden 2002 alusta lähtien [FCR02a].

Viestintäviraston kotisivun [FCR03a] palkista "Tietoturva" avautuu Viestintäviraston tietoturvasivusto.  Sivustolla selostetaan lyhyesti tietoturvan ja tietosuojan käsitteet ja erikseen vielä yksityisyyden suojan käsite. Tietoturva-asiansa Viestintävirasto ryhmittelee seuraavasti: 
*Asiakastiedotteet
*Tietoliikenneturvallisuus (COMSEC)
*Sähköinen allekirjoitus ja varmennetoiminta
*Televiestinnän tietosuoja
*Sähköinen kaupankäynti
*Tietoturvaloukkausten havainnointi ja ratkaisu (CERT)
*Kansallinen ja kansainvälinen yhteistyö
*Tietoturva- ja tietosuojasäädökset
*Lyhenteet ja määritelmät
*Usein kysyttyjä kysymyksiä
*Linkkejä
*Yhteystiedot.
Televiestinnän tietosuojan lisäksi muutkin ryhmittelyn tietoturva-asiat voivat koskea myös teleoperaattoreita. 

4.1	Tietoliikenneturvallisuus (COMSEC)

Tietoliikenneturvallisuuden (COMSEC, communications security) toiminnoilla tarkoitetaan tietoliikenneturvallisuuden testausta, hyväksyntää ja valvontaa. COMSEC-toimenpiteiden avulla pyritään turvaamaan tieto- ja telejärjestelmissä siirrettävien tietojen luottamuksellisuus, eheys ja käytettävyys. Viestintävirasto antaa teknisiä määräyksiä ja ohjeita teleyritysten toiminnasta, telepäätelaitteiden, -verkkojen ja -palveluiden varustamisesta riittävän tietoturvallisuustason mukaisesti sekä valvoo, että yleistä teletoimintaa harjoittavat teleyritykset täyttävät niille laissa asetetut tietoturvallisuuteen ja viestinnän yksityisyyden suojaamiseen liittyvät velvollisuudet. Viestintävirasto valvoo, että teleyritykset noudattavat viestintämarkkinalakia (396/1997), tässä esityksessä Markkinalaki, ja yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta annettua lakia (565/1999), tässä esityksessä Turvalaki, sekä näiden lakien perusteella annettuja säännöksiä ja määräyksiä ja että televerkot ovat niitä koskevien teknisten määräysten ja standardien mukaisia. Valvontaa hoidetaan keräämällä eri tavoin tietoa valvonnan kohteista sekä tapauskohtaisilla selvityksillä ja tarkastuksilla [FCR02b]. 

Tietoliikenneturvallisuuden Viestintävirasto jaottelee seuraaviin kohtiin: 
Internetin tietoturva
Sähköpostin tietoturva
Suojausmekanismit
Salausmenetelmät
Salausalgoritmit
Julkisen avaimen infrastruktuuri (PKI)
[FCR02b] [FCR01a]. 

Suojausmekanismien käyttötarve koskee mitä tahansa bittipohjaista liikennettä, vaikka puheessa Internet tavallisimmin mainitaan haavoittuvuutensa takia. Kuitenkin jopa perinteinen puhelinliikenne ja puhelinkeskustoiminnot nykyään perustuvat tietokoneohjelmiin, niihin siis kohdistuu samoja riskimahdollisuuksia kuin Internetissäkin. 

Viestintävirasto jakaa tietoliikenneverkot kolmeen ryhmään, nimittäin avoimiin, puoliavoimiin ja suljettuihin verkkoihin. Esimerkkeinä näistä verkkotyypeistä mainittakoon Internet (avoin), yritysten sisäverkot (puoliavoin) ja sotilaskäyttöön tarkoitetut verkot (suljettu). Tietoturvanäkökohdat ja kriittiset osa-alueet vaihtelevat verkkotyypeittäin. Tämä koskee myös suojautumismekanismeja, joilla tietoturvauhkien toteutuminen pyritään estämään tai niiden vaikutusta pyritään pienentämään [FCR01b].

4.1.1 Tietoliikenteen suojausmekanismit

Tietoliikenteen suojausmekanismit voidaan jaotella seuraavasti: 
VPN
Palomuurit
Tunkeutumisen havaitsemisjärjestelmät (IDS)
Virustorjunta 
[FCR01b]. 

Aiempana kerrottu oikeustapaus [KKO03], jossa seitsemäntoistavuotias siis mahdollisesti lähestyi tai paremminkin pommitti puhelinlinjallaan työasemaltaan pankkikeskuksen "palveluja", liittyy näistä - muun ohella - kahteen, nimittäin palomuureihin ja tunkeutumisen havaitsemisjärjestelmiin. Edellisillä pelastettiin pankkikeskus ja jälkimmäisillä etsittiin tekijä. Mainitut suojausmenetelmät ovat tuttuja Internetin vapauden, tässä tapauksessa haavoittuvuuden piiristä, ja osin etäällä totunnaisen puhelintoiminnan piiristä. Sisällytän kuitenkin ne esitelmäni piiriin ja Viestintäviraston selostamin tavoin, koska Viestintävirasto sanoo teleyrityksestä eli teleoperaattorista: "Teleyrityksen ja televiestinnän käsite on laaja ja se kattaa myös Internet-palvelun tarjoajat ja sähköpostiviestit [FCR03b]." 

VPN, jolla alan puhekielessä mielestäni silloin tällöin ymmärretään - aivan oikein - kotiinkin ulottuvaa työpaikan intranettiä, on lyhenne sanoista Virtual Private Network, joka vapaasti suomennettuna tarkoittaa virtuaalista sisäverkkoa. VPN on joko ohjelmistolla, laitteistolla tai niiden yhdistelmällä toteutettu ratkaisu, joka mahdollistaa turvallisen yhteyden luomisen avoimien (turvattomien) verkkojen, kuten Internetin, yli. VPN:n avulla voidaan luoda yhteydet luottamuksellista viestintää varten esimerkiksi etätyöntekijän, yrityksen etäisten toimipisteiden ja liikekumppanien välille. VPN:ssä siirrettävän tiedon suojaamiseen käytetään salausta, joka estää verkossa välitettävän tiedon paljastuminen kolmansille osapuolille. Salauksen lisäksi VPN-ratkaisut mahdollistavat myös keskustelevien osapuolien vahvan todennuksen. Käytännössä VPN-yhteys muodostetaan tunneloimalla suojaamaton liikenne jonkin turvallisen (salaavan) protokollan sisään. Yleisesti käytössä olevia VPN-protokollia ovat IPSec (Internet Protocol Security), L2TP (Layer 2 Tunneling Protocol) ja PPTP (Point to Point Tunneling Protocol) [FCR01c].

Palomuurit, mikä käännös englanninkielestä istuu mielestäni huononpuoleisesti suomalaiseen telesanastoon kun fyysisessä suojauksessa tarvitaan oikeitakin palomuureja, ovat joko ohjelmistolla tai laitteistolla toteutettuja järjestelmiä, jotka suojaavat esimerkiksi yrityksen sisäverkkoa ulkoverkosta tulevilta hyökkäyksiltä. Palomuurin toiminnan perusedellytykset ovat, että kaikki verkkoliikenne sisä- ja ulkoverkon välillä kulkee sen läpi ja että palomuuri päästää lävitseen vain halutunkaltaisen verkkoliikenteen. Tämän lisäksi palomuurin täytyy olla immuuni verkkohyökkäyksille. Tämä tarkoittaa muun muassa sitä, että palomuurin alustana tulee olla turvallinen käyttöjärjestelmä. Palomuuri määrittelee verkkoliikenteelle yhden valvontapisteen, joka pitää oikeudettomat käyttäjät suojatun sisäverkon ulkopuolella ja joka estää sisäverkon mahdollisesti haavoittuvien palvelujen käytön ulkoverkosta käsin. Myös verkkoliikennettä sisäverkosta ulkoverkkoon voidaan rajoittaa. Palomuureja voidaan myös käyttää sisäverkon sisäisen tietoturvatason parantamiseksi, esimerkiksi erottamalla verkkosegmentit toisistaan. Palveluihin kohdistuvien hyökkäysten lisäksi palomuuri estää useita erilaisia reititys- ja lähdeosoitteen väärennyshyökkäyksiä (spoofing). Palomuuri tarjoaa myös mahdollisuuden verkkoturvallisuuteen liittyvien tapahtumien seuraamiseen. Esimerkiksi tapahtumalokeja ja hälytystoimintoja voidaan toteuttaa palomuurin yhteyteen. Palomuuri tarjoaa myös hyvän alustan muille palveluille, joita ovat esimerkiksi NAT (Network Address Translation), VPN (Virtual Private Network) ja IDS (Intrusion Detection System). Palomuurit eivät kuitenkaan suojaa kaikilta hyökkäyksiltä. 

Hyökkääjä voi esimerkiksi käyttää hyväkseen palomuurin sallimassa palvelussa (esim. www-palvelin) olevaa tietoturva-aukkoa. Palomuuri ei myöskään anna suojaa sellaisia hyökkäyksiä vastaan, joissa palomuuri kierretään tai ohitetaan. Yhtenä esimerkkinä tällaisesta hyökkäyksestä mainittakoon huonosti toteutetun modeemisoittosarjan hyväksikäyttö. Palomuuri ei myöskään estä haittaohjelmien, kuten virusten, siirtymistä ulkoverkosta sisäverkkoon tai toisinpäin [FCR01d].

Tunkeutumista selvittävät, verkkotasolla toimivat tunkeutumisen havaitsemisjärjestelmät (IDS, Intrusion Detection System) tutkivat verkkoliikennettä ja sen ominaisuuksia. IDS-järjestelmien tarkoituksena on havaita mahdolliset tunkeutumisyritykset ja toimia ennalta määriteltyjen ohjeiden mukaisesti, jotta vältettäisiin vahinkojen syntyminen. Jos tunkeutuminen havaitaan riittävän nopeasti, hyökkääjä voidaan tunnistaa ja poistaa järjestelmästä välittömästi. Yleisesti voidaan sanoa, että mitä aiemmin hyökkäys todetaan, sitä vähemmän tuhoa siitä aiheutuu. Toimiva tunkeutumisen havaitsemisjärjestelmä voi myös toimia pelotteena, näin toimien tunkeutumisen estojärjestelmänä (kuten palomuuri). IDS-järjestelmät mahdollistavat myös tiedon keräämisen hyökkäystekniikoista, jota tietoa voidaan käyttää kehitettäessä entistä tehokkaampia tunkeutumisen eston menetelmiä. 

Tunkeutumisen havaitseminen perustuu oletukseen, että tunkeutujan käytös poikkeaa normaalin käyttäjän toimista. Ei voida kuitenkaan olettaa, että ero normaalin käyttäjän, ylläpitäjän ja tunkeutujan käytöksessä olisi suuri. Laaja tulkinta johtaa useampien tunkeutujien kiinni saamiseen, mutta myös useampiin vääriin hälytyksiin. Vastaavasti tiukka tulkinta johtaa pienempään määrään virhehälytyksiä, mutta samalla myös siihen, että useampi tunkeutuja jää huomaamatta. Kaksi käytetyintä tunkeutujan havaitsemistapaa ovat tilastollinen ja sääntöpohjainen havaitseminen. Tilastolliseen havaitsemiseen tarvitaan tietokanta, johon on tallennettu otos normaalin käyttäjän käytöksestä. Vierailijan käytöstä verrataan tilastollisin testein tähän tietokantaan, josta voidaan päätellä onko kyseessä tunkeutuja vai tavallinen käyttäjä. Sääntöpohjainen havaitseminen perustuu puolestaan joukkoon ennalta määriteltyjä sääntöjä, joilla yritetään tunnistaa, onko kyseessä tunkeutujan käytös [FCR01e].
Virustorjunnassa perinteisellä työasemaan tai tiedostopalvelimeen tarkoitetulla virustorjuntaohjelmistolla on kaksi perustilaa, staattinen tiedostojen tarkastustila ja dynaaminen reaaliaikainen tila. Tiedostojen tarkastustila on käyttökelpoinen esimerkiksi silloin, kun tarkastetaan, onko levykkeellä tai kovalevyllä saastuneita tiedostoja. Reaaliaikainen tila puolestaan estää tiedostojen saastumisen, koska virustorjuntaohjelmisto tarkastaa avattavan tiedoston ennen kuin käyttäjä saa sen auki. Virustorjuntaohjelmisto voidaan säätää toimimaan eri tavoin tilanteessa, jossa se löytää saastuneen tiedoston. Mahdollisia toimintatapoja ovat esimerkiksi tiedoston puhdistus tai karanteeniin asettaminen. Verkkotason (gateway) virustorjunta tutkii verkkoliikennettä, erityisesti sähköpostiviestejä ja niiden liitetiedostoja. Saastuneet liitetiedostot poistetaan, ja tilalle laitetaan ilmoitus poistosta. Näin ollen virus ei pääse kohdekoneelle asti aiheuttamaan vahinkoa. Joka kuukausi ilmestyy kymmeniä, jopa satoja uusia viruksia. Siksi onkin tärkeää päivittää virustorjuntaohjelmiston virustietokannat säännöllisesti, jotta torjuntaohjelma voisi suojata näiltä uusilta viruksilta. Esimerkkinä mainittakoon, että lähes kaikki uusia tartuntoja aiheuttavat sähköpostin mukana kulkevat virukset ovat viime vuoden aikana ensimmäisen kerran havaittuja [FCR01f].

4.2	Televiestinnän tietosuoja

Tietosuojassa tietoturvaa katsotaan siis henkilön kannalta, hänen yksityisyytensä suojaamisen kannalta. Suoja tarkoittaa viestin luottamuksellisuuden suojaa, mutta suoja ulottuu viestin sisällön lisäksi myös viestintään liittyviin tunnistamistietoihin. Viestintävirasto jaottelee televiestinnän tietosuojan seuraaviin otsikkoihin: 
*Televiestinnän luottamuksellisuus
*Tunnistamistietojen käsittely teleyrityksissä
*Tunnistamispalvelut
*Tietosuoja Internetissä
*Tietosuojavaltuutetun ja Viestintäviraston välinen toimivallanjako
[FCR03b]. 

Tietosuojavaltuutetulle kuuluvat henkilötietolain asiat, muun muassa puhelinluettelot. Muilta osin otsikoiden lähempi tarkastelu kuuluu esitelmäni piiriin, myös tietosuoja Internetissä johtuen aiempana sanotusta Viestintäviraston vallassaan olevasta ja päättämästä teleoperaattorin käsitteen laajennuksesta. 

Televiestinnän luottamuksellisuudesta säädetään Turvalain 4 §:ssä seuraavasti: "Televiestintä on luottamuksellista, jollei sitä ole tarkoitettu yleisesti vastaanotettavaksi. Se, joka on ottanut vastaan tai muutoin saanut tiedon luottamuksellisesta televiestistä, jota ei ole hänelle tarkoitettu, ei saa oikeudettomasti ilmaista tietoa televiestin sisällöstä tai käyttää hyväksi tietoa televiestin sisällöstä tai sen olemassaolosta." Turvalain 5 §:ssä on säädetty käyttäjän oikeudesta suojata televiestinsä haluamallaan tavalla. Hän voi käyttää hyväkseen sitä varten tarjolla olevia teknisiä mahdollisuuksia [FCR01g]. Lainsäätäjän valintaa voi puoltaa liiketoiminnan näkökulmalla: Jos joku haluaa sijoittaa vain vähän rahaa yrityksensä tai kotinsa tarvitsemiin telepalveluihin ja laitteisiin, niin hän voikoon tehdä hankinnat halvalla. Hän, joka tarvitsee suojaa bisnekselleen tai yksityisyydelleen tehköön rahalla tietoturvaa parantavia software- ja hardware-hankintoja. Arvostelen tätä näkökulmaa liiasta bisnesliberalismista: Tiedonvälityksessä joku vastaanottaa viestin, viesti saattaa sisältää juuri hänen tai hänen liikeyrityksensä kannalta suojattavaa tietoa. 
Esineellisessä liikenteessä, esimerkiksi autoliikenteessä ei sallita takaovistakaan repsottavia autoja, koska autoilijoiden turvallisuus voi vaarantua. Siinä toki suojataan ihmisen terveyttä. Mutta toisaalta rakennusviranomaisessa toimiva julkisivulautakunta voi määritellä teollisuusyrityksen tahdon vastaisesti teollisuusrakennukselle tietynlaisen ja siis todennäköisesti kalliimman ulkonäön ja vastaavasti asuinrakennuksen kohdalla; ja kaikki tämä joskus jopa vain ohikulkijoiden viihtyisyyden takia! Niin ollen televiestinnän tietoturva-asioissa suojaamisen voisi ehkä määrätä pakolliseksi, ja määrätä vastuulliseksi suojaamisesta teleoperaattorin, joka toki siirtää kustannukset myymiensä palveluiden ja laitteiden hintoihin.

Tunnistamistietojen käsittely teleyrityksissä jakautuu itse käsittelyyn ja siihen, että jos saa käsitellä, niin saako kuitenkaan ilmaista ja kenelle saa, jos saa. Teleyrityksellä on myös velvollisuus tiettyihin tunnistamispalveluihin tai paremminkin epämieluisan tunnistamisen tai jäljittämisen ehkäisemispalveluihin. Teleyritysten oikeudesta käsitellä tunnistamistietoja säädetään Turvalaissa. Tunnistamistiedoilla tarkoitetaan tilaajan ja käyttäjän liittymän numeroa tai teleyhteyden toteuttamisessa syntynyttä tai tallentunutta muuta tietoa. Teleyrityksen palveluksessa oleva Turvalain 7 §:n mukaan ei saa luvattomasti ilmaista tietoa televiestinnän sisällöstä tai televiestinnän harjoittajien tunnistamistiedoista. Lain 3 luvussa säädetään siitä, mihin tarkoituksiin teleyritys saa käsitellä tunnistamistietoja ja kenelle niitä voidaan luovuttaa. Tunnistamistiedot on pääsääntöisesti hävitettävä tai muutettava anonyymeiksi sen jälkeen kun teleyhteys on päättynyt. Teleyrityksessä voidaan kuitenkin käsitellä tunnistamistietoja laskutusta, markkinointia, televerkon ja -palveluiden ylläpitoa ja kehitystä sekä väärinkäytösten ehkäisyä ja tutkintaa varten. Teleyritysten oikeudesta antaa liittymän tilaajalle yhteyskohtainen erittely säädetään TTsL:n 13 § :ssä [FCR01h]. 

Turvalain 13 §:ssä keskeinen on kolmen viimeisen numeron sääntö: niitä ei saa antaa kuin harvoissa, lainsäädännössä nimetyissä poikkeuksellisissa tapauksissa. Vastaavassa asetuksessa, josta vastaavasti käytän nimeä Turva-asetus, säädetään muun muassa, että tunnistetietoja saadaan antaa, silloin kun tietoja ylipäätään saa antaa, vain kiinteiden puhelinliittymien ja matkapuhelinliittymien osalta, tosin tekstiviestit rinnastetaan puheluihin. Yhteydenotoista maksuttomiin numeroihin ei saa antaa tietoa [Yks99b]. Turvalain 14, 15, ja 16 §:ssä säädetään muun muassa käyttäjän, tilaajan eli kuten ennen sanottiin puhelinliittymän haltijan, oikeudesta saada maksutta teleoperaattorilta palvelu, ettei kutsuvan yhteyden puolelta voida, siis ettei numeroon soittoa yrittävä voi tunnistaa, mihin ja kenen numeroon hän soittaa ja että epätoivotuista numeroista tulevat soitot saa kokonaan estetyksi ja myös automaattiset jälleenohjaukset omaan numeroon voi estää [Yks99a], [FCR01i].

Tietosuoja Internetissä on vaihteleva, pääsääntöisesti ainakin toistaiseksi huono, tietoturvallisuutta voidaan käyttäjän toimin osin ilmaiseksi osin rahalla parantaa, mutta täyttä tietoturvallisuutta ei silloinkaan voida taata. Viestintävirasto toteaa: "Internetin yksityisyyden suoja on laaja alue. Tietoja Internetissä viestivistä henkilöistä keräävät ensinnäkin teleyritykset, joihin myös Internet-palveluiden tarjoajat (ISPt) luetaan. Internet-palveluntarjoajalla on lain mukaan oikeus käsitellä esimerkiksi Internet-yhteyden toteuttamisessa ja palvelun laskuttamisessa tarpeellisia tunnistamistietoja. Viestintävirasto valvoo, että Internet-palveluntarjoajat käsittelevät näitä tietoja siten kuin TTsL:ssa on säädetty [FCR01j]." ISP on lyhennetty sanoista Internet Service Provider ja TTsL on sama kuin Turvalaki. Viestintävirasto varoittaa lisäksi, että Internetissä liikkuu muitakin tiedon kerääjiä, kuten verkkopalveluiden ja -kaupan tarjoajat ja että tietoa voi tallentua myös automaattisesti esimerkiksi niin sanottujen cookien eli evästeiden avulla. Vielä Viestintävirasto korostaa: "Suurin osa Internetin liikenteestä kulkee myös salaamattomana, jolloin kuka tahansa, joka pystyy kuuntelemaan liikennettä, voi saada selville arkaluontoista tietoa. Tämän vuoksi on tärkeää käyttää salattuja yhteyksiä silloin kun lähettää luottamuksellista tietoa, esimerkiksi luottokorttinumeroita, Internetin välityksellä [FCR01j]."

4.3	Tietoturvaloukkausten havainnointi ja ratkaisu (CERT)

Tietoturvaloukkausten havainnointi- ja ratkaisutoiminnasta käytetään usein lyhennettä CERT, joka tulee englanninkielen ilmaisusta Computer Emergency Responce Team Ficora. Ja Ficorahan tarkoitti Viestintävirastoa itseään. Viestintävirastoon on perustettu tietoturvaloukkauksiin ja niiden ennaltaehkäisyyn keskittynyt ryhmä, ryhmän nimi on CERT-FI. Ja niin kuin anastustoimintaa tutkivien vastapuolena olevista henkilöistä tyypillisin on varas, niin tietoturvaloukkauksia tutkivien tyypillinen vastapuoli on hyökkääjä. Termi hyökkääjä - tietoturvayhteyksissä - tarkoittaa seuraavaa: "Hyökkääjänä voidaan pitää henkilöä, jonka toiminta täyttää tietoturvaloukkauksen tunnusmerkit. Hyökkääjä on usein henkilö, joka yrittää esimerkiksi estää tai hidastaa kohteensa toimintaa, tunkeutua kohteensa tietojärjestelmiin, salakuunnella kohteensa verkkoliikennettä tai varastaa kohteensa tietoja [FCR02c]." 

Kattavasti Viestintävirasto määrittelee tietoturvaloukkauksen seuraavasti: "Tietoturvaloukkauksella tarkoitetaan tilannetta, jossa organisaation, yrityksen, yhteisön tai yksityisen henkilön tietojärjestelmän tietojen käytettävyyttä, eheyttä tai luottamuksellisuutta oikeudettomasti muutetaan. Tällä voidaan käsittää esimerkiksi toisen henkilön tai organisaation tietojärjestelmän toimivuuden tahallista vaikeuttamista tai estämistä. Tietoturvaloukkaukseksi voidaan myös tulkita tilanne, jossa organisaation, yrityksen, yhteisön tai käyttäjän tietojärjestelmiä tai tietoja käytetään ilman käyttäjän lupaa [FCR02d]." Viestintävirasto esittelee useita tilanteita, jolloin kannattaa ottaa yhteyttä sen CERT-FI:n organisaatioon. Teletoiminnan ydinalueelta mainitsen niistä televerkkoon kohdistuvat vakavat hyökkäystapaukset ja niiden yrittämiset sekä uudentyyppisten hyökkäystapojen havainnoinnin ja käytön estämisen tarpeen [FCR02e]. Koska releistä ja piuhoista on siirrytty paremmat ja lisäpalvelut antaviin ratkaisuihin, joissa ohjelmistoilla on merkittävä asema, niin teletoiminnan tietoturvaongelmat ovat lähestynyt ohjelmistojen tietoturvaongelmia, joista tässä seminaarissa on toistakymmentä esitysaihetta [TNL03b]. 

Edellä mainitusta tietoturvaloukkauksen laajentavasta tulkinnasta erikoistapaus on, että työntekijät käyttävät työnantajansa tietojärjestelmiä yksityisasioihinsa. Perinteellisesti monissa yrityksissä yksityispuhelut paikallisesti tai puhelut Suomeen taikka "paremmissa asemissa oleville" puhelut mihin tahansa veloituksetta ovat olleet sallittuja. Jatkoa on seurannut yksityisen sähköpostiliikenteen ja sittemmin laskujen maksamisen muodossa, esimerkiksi laskujen maksaminen työnantajan Internet-liitännäistä työasemaa käyttäen tai työnantajan kännykkää käyttäen. Jos työehtosopimuksessa tai työsopimuksessa on määräys, että noudatetaan vanhoja käytäntöjä, niin poliisi tuskin rupeaa tutkimaan. Voiko viestintävirastoa tutkia? Ei tutki koskaan henkilöitä, mutta voiko avustaa yritystä tietoturvaloukkauksen, jollainen luvaton tietojärjestelmän käyttökin siis on, tutkinnassa? En ole varma, mutta kallistun kannalle, että kyseessä olevan kaltaiset tietoturvaloukkaukset eivät kuulu Viestintäviranomaisen toimivallan piiriin, vaan asia ratkaistaan työriitojen järjestyksessä, viime kädessä ratkaisijana yleensä työtuomioistuin. Viestintävirasto voisi silloin vain yleisesti neuvoa työnantajaa tietoturvaloukkausten löytämismenettelyistä ja ehkäisemistavoista. 

Selviääkö työnantaja ongelmastaan edes tietoturvan asiantuntijan tai yksityisetsivätoimiston avulla? Arvelen, että vaikeaa on, ellei mahdotonta: Tietoturvan neljä jalkaa - fyysinen turva, ihmiset, tietojärjestelmät ja muutostenhallinta - voidaan kyllä hoitaa kuntoon tai on jo hoidettu. Fyysisen turvan vielä lisääminen estää kuitenkin myös työntekoon pääsyn, ihmisen valvominen saa vastaansa työtaistelutoimenpiteitä tai kanteita ihmisoikeusloukkauksesta, tietojärjestelmään tehtävät rajoitukset heikentävät enemmän yrityksen tavoitteiden saavuttamista kuin mitä menetetään jättämällä tekemättä mitään, muutokset on otettu hallintaan koska pahvikortistojen ja äänipuhelimien rinnalle ja sijalle on hankittu uutta softwarea ja hardwarea. Todennäköisenä työnantajan pelastavana tietoturvaratkaisuna pidän - jos työnantajan maltti riittää - ihmisten ahneutta: Lopulta joku tai jotkut käyttävät tietojärjestelmiä suuressa määrässä omaksi, perheensä ja kavereidensa hyväksi, ja silloin ei enää voida vedota työehtosopimusten tulkintaan, vaan kyseessä on kiistämättömästi poliisiasia.

5	CERT-FI -ryhmän saavutuksista tietoturvan kehittäjänä ja tietoturvaloukkausten torjujana

Viestintäviraston CERT-toimintojen malli on dokumentoitu, dokumentti on tehty IETF:n eli Internet Engineering Task Force'n Network-työryhmän CERT-toimijoille laatimien parhaiden käytäntöjen mukaisesti yleisten toimintatapojen määrittelemiseksi sekä niiden esittämiseksi [FCR02f]. Käytännöt on esitetty RFC-dokumentissa 2350: "Request for Comments: 2350, Expectations for Computer Security Incident Response, Category: Best Current Practice [RFC98].

Suomen CERT-toiminta siis kuuluu Viestintäviraston toimialaan ja Viestintävirasto on tätä varten siis perustanut CERT-FI -nimisen ryhmän. Edellä mainitussa dokumentissa todetaan, että CERT-FI:n tehtävänä on käsitellä kaiken tasoisia tietoturvauhkia ja -loukkauksia. Kaikissa tapauksissa CERT-FI pyrkii vastaamaan yhden työpäivän kuluessa. Resurssit se allokoi seuraavien prioriteettien mukaisesti (tärkeimmästä alkaen): 
* Uhat jotka koskevat ihmisten fyysistä turvallisuutta.
* Järjestelmätason hyökkäykset, jotka kohdistuvat viestintäverkkojen toimivuuteen tai niiden hallintajärjestelmiin.
* Järjestelmätason hyökkäykset, jotka kohdistuvat laajassa käytössä oleviin palvelimiin tai tiettyihin tärkeitä tehtäviä hoitaviin palvelimiin.
*  Luottamuksellisten tietojen paljastuminen (kuten rajoitettujen käyttäjätunnusten) tai ohjelmistojen manipulointi järjestelmistä jotka käsittelevät luottamuksellista tietoa tai joita käytetään kyseisten järjestelmien hallintaan.
* Mitkä tahansa vaikutuksiltaan laajat hyökkäykset (esimerkiksi salakuuntelu, salasanojen murtaminen).
* Uhat, tietoturvaloukkaukset ja rikolliset toimenpiteet, jotka kohdistuvat yksittäiseen käyttäjään.
* Käyttäjätunnusten ja salasanojen paljastuminen usean käyttäjän järjestelmissä.
* Yksittäiseen käyttäjään kohdistuvat palvelunestohyökkäykset
[FCR02f]. 

5.1	Varoituksia tietoturvauhista

CERT-FI antaa myös varoituksia tietoturvauhista, pitämällä netissä jatkuvasti päivitettävää varoitusluetteloa [Cer03a]. Varoitusluettelosta esimerkiksi olen poiminut CERT-FI varoituksen 12/2003, 24.2.2003, jossa ilmoitetaan useista haavoittuvuuksista SIP-protokollan eli Session Initiation Protocol'in toteutuksessa [Cer03b]. Ensin siinä selostetaan missä SIP-protokollaa käytetään, muun muassa Internet puhelintekniikassa. Sitten kerrotaan haavoittuvuuden lajit, muun muassa, että hyökkääjän voi olla mahdollista saavuttaa haavoittuvuuksia hyväksikäyttämällä muun muassa itselleen käyttöoikeudet kohdetietojärjestelmään tai aiheuttaa kohdetietojärjestelmään palvelunestohyökkäyksen. Sitten on annettu linkki sivulle, jossa on lueteltu haavoittuvuudelle alttiit järjestelmät ja järjestelmän toimittajan vastaus, mitä pitää tehdä, kuten esimerkiksi että noutaa päivityspaketin toimittajan antamasta osoitteesta. 

Esimerkiksi Alcatel, joka Suomessa ennen tunnettiin paremmin puhelinkoneiden ja puhelinkeskusten valmistajana ITT:nä, vastaa löytäneensä vian yhdestä järjestelmätyypistään ja lupaa toimittaa korjauksen yhteistyöliikekumppaniensa kautta ja ilmoittaa tekevänsä kaikkensa selvittääkseen, onko jossain muissa järjestelmätyypeissä haavoittuvuusongelmaa. Nokia vastaa lueteltujen, sen toimittamien järjestelmien osalta seuraavasti: "The mentioned Nokia products are not susceptible to this vulnerability." CERT-FI esittää ratkaisu- ja rajoitusmahdollisuudet [Cer03b]. Ratkaisumahdollisuus on, että tulee päivittää haavoittuva tietojärjestelmä korjaustiedostolla, joka on ladattavissa muun muassa sen antamasta osoitteesta [Adv03]. Yleisohjeena CERT-FI suosittelee kaikkien muiden paitsi välttämättömien palvelujen sulkemista tai poistamista käytöstä. Väliaikaisena toimenpiteenä haavoittuvuuksia voi rajata estämällä pääsy verkon SIP-laitteisiin ja palveluihin.

5.2	Ohjeita tietoturvauhista

Edelleen, CERT-FI antaa myös ohjeita [Cer02b]. Ohjeet muistuttavat tyyliltään varoituksia. Esimerkiksi niistä valitsin puhelinmodeemeja koskevan ohjeen vuodelta 2002 [Cer02c]. Se antaa jonkinlaisen ratkaisun myös aiempana esiteltyyn Päijät-Hämeen Puhelin Oyj:n pelkkään "Varokaa-esitteeseen" vuodelta 1999 [PHP99]. Ratkaisu tosin jää puolitiehen sikäli, että edelleen tarvitaan käyttäjän tarkkuutta ja mielestäni myös lahjakkuutta tai kokeneisuutta. Ohje on otsikoitu: "Modeemipohjaisten Internet-liittymien yhteyksien uudelleenohjaukset kasvussa". Sitten kerrotaan ongelma kansantajuisesti: 

"Modeemipohjaisten Internet-liittymien käyttäjät ovat viime aikoina yhä useammin törmänneet suuriin puhelinlaskuihin, joille ei heidän mielestään ole perusteita. Syynä suuriin laskuihin saattavat olla Internetin kautta koneelle ladatut ohjelmat / ohjelmakomponentit, jotka uudelleenohjaavat Internet-palveluntarjoajalle soitetut puhelut edelleen joko kotimaassa tai ulkomailla sijaitseviin palvelunumeroihin. Ladattuaan koneelle tällaisen ohjelman, yhteys palveluntarjoajaan katkaistaan ja muodostetaan uusi yhteys Internetiin jonkin toisen, käyttäjälle huomattavasti kalliimman numeron kautta. Yhteys pysyy ulkoisesti katsoen ennallaan, mutta edullinen paikallispuhelu on muuttunut käyttäjän huomaamatta kalliiksi palvelu- tai ulkomaanpuheluksi. Ohjelma saattaa myös soittaa uudelleen kyseiseen palvelunumeroon tietokoneen uudelleenkäynnistyksen jälkeen, riippumatta siitä otetaanko Internet-yhteyttä käyttäjän toimesta vai ei. 
Soiton uudelleenohjaavien ohjelmien jakelu tapahtuu useimmiten joko nk. aikuisviihdesivujen tai piraattiohjelmia levittävien sivujen kautta. Käyttäjä voi saada em. kaltaisen ohjelman myös sähköpostin liitetiedostona. 
Ohjelmien taustalla ovat yleensä ammattimaiset huijarit, jotka hankkivat palvelunumeron, joka irtisanotaan tietyn ajan kuluttua. Kun tietokoneisiin ympäri maailmaa saadaan levitetyksi ohjelma, joka soittaa tähän numeroon, huijari saattaa saada kerättyä lyhyessäkin ajassa huomattavat tulot itselleen."

Haavoittuvuudelle alttiiksi järjestelmiksi ilmoitetaan kaikki tietokoneet, joissa on modeemipohjainen Internet-liittymä. Ratkaisuna ja rajoitusmahdollisuutena annetaan seuraavaa: 
* Noudata erityistä varovaisuutta ladatessasi ohjelmia Internetistä
* Internet selaimen ehdottaessa uuden ohjelman / ohjelmakomponentin asentamista, älä hyväksy asennusta jollet ole aivan varma ko. ohjelman alkuperästä ja toiminnasta
* Älä lataa ohjelmia epämääräisiltä Internet-palvelimilta, käytä ainoastaan yleisesti tunnettuja ja luotettavaksi havaittuja palvelimia
* Katkaise virta tietokoneesta ja modeemista Internet-yhteyden käytön jälkeen
* Tilaa teleoperaattoriltasi ulkomaan-/palvelunumeroesto
* Älä avaa epäilyttäviä sähköpostin liitetiedostoja.

5.3	Tietoturvaan kohdistuvien hyökkäysten yleistilanne

Lisäksi CERT-FI kiinnittää huomiota hyökkäysten yleistilanteeseen, koska tietoverkkoihin kohdistuvat hyökkäykset ovat yleistyneet. Verkottuminen sekä tietojärjestelmien kehitys ovat omalta osaltaan edesauttaneet hyökkääjien toimintaa. Nopeat Internet-yhteydet, suoritintehon kasvu ja levykapasiteetin lisääntyminen ovat kasvattaneet tietojärjestelmien kapasiteettia suoriutua tämän päivän vaatimuksista. Toisaalta ne ovat myös lisänneet potentiaalisten hyökkäyskohteiden määrää. Tämä muutos on voitu nähdä muun muassa kotikäyttäjiin kohdistuvien hyökkäyksien kasvuna. Hyökkäyksiin varautuminen ja niiden ennaltaehkäisy vaatii tietoa ja ymmärrystä tietoverkkoihin kohdistuvista uhkista. Tietoturvallisuus on ennen kaikkea asennekysymys. Siksi uhkiin tarvittavalla vakavuudella suhtautuminen on tärkeää. Toimenpiteiden hyökkääjiä vastaan tulisi olla ennakoivia ja aktiivisia [Cer02d]. 

Katson, että kotikäyttäjän kaltaisten ongelmien kanssa painii myös usea pienyrittäjä, joka on päättänyt siirtyä nykyaikaiseen liiketoimintaympäristöön, ostanut laitteet ja ohjelmistot tarjouskilpailun perusteella ja sisällyttänyt kauppaan neuvontapalvelut. Silloin voi käydä niin, että palvelunumero vastaa jos vastaa. Konkurssitapauksessa tuskin vastaa. Esimerkkinä siitä, että tunnettu tietokoneketjukin voi tehdä konkurssin mainitsen viime vuosilta SuomiPC-liikemerkillä toimineen, todellisuudessa mitä ilmeisimmin varsin ulkomaalaistaustaisen ketjun konkurssin. "Maksuttomassa", kauppaan sisältyneessä puhelinpalvelussa on aina vaaransa, ja joka tapauksessa jos paikalla käyntiä vaaditaan, niin maksuton puhelinpalvelusopimus ei kata sitä. Pienyrittäjä, jos hänen perheestäänkään ei löydy nörttiä, jää helposti myyjän armoille. Hän harvoin pystyy budjetoimaan luotettavasti nykyaikaisen liiketoiminnan edellyttämän, tele- ja Internet-palvelut mahdollistavan, software'n ja hardware'n ylläpitomenot.

5.4	Analyysi hyökkäystilanteista

Tietoturvaan kohdistuviin hyökkäyksiin varauduttaessa tai jouduttaessa niitä selvittämään kannattaa käydä läpi seuraavat seikat: 
* Hyökkääjät ja motiivit
* Hyökkääjän kohteet
* Hyökkäys prosessina
* Hyökkäystyypit
* Hyökkäystekniikat
[Cer02d]. 

Motiiveja riittää aina seikkailusta tiedustelupalvelun toimintaan, siis valtiolliseen tai teollisuusvakoiluun asti. Hyökkäyksen kohteena voi olla melkein mikä tahansa, esimerkiksi poimin soittosarjat ja reitittimet. Hyökkäyksen prosessi ja alan ammattisanasto muutoinkin tuntuu mielestäni armeijoiden sodankäynnistä otetulta: Hyökkääjä valitsee kohteensa, tekee tiedusteluja, hyökkää ja lopulta yrittää peittää jälkensä, ettei ainakaan hän näyttäisi käyneen kohteessa. Hyökkäystyypit voidaan jakaa esimerkiksi seuraavasti: Palvelunestohyökkäys (DoS, Denial of Service), jossa hyökkääjä pyrkii hidastamaan, vaikeuttamaan tai estämään kohteensa toimintaa; Luvaton käyttö, jossa hyökkääjä luvatta käyttää kohteen resursseja hyödykseen; Tietomurto tai tiedon varastaminen, jossa hyökkääjä anastaa hyökkäyksen kohteen tietoja. Hyökkäystekniikoita taitavalle hyökkääjälle riittää. Ja jos jokin tekniikka tulee vanhanaikaiseksi, uskon, että uusia keksitään. Kilpajuoksu mielestäni muistuttaa autotehtaiden ja kansainvälisten autovarkausliigojen kilpailua: Kun suuri autotehdas oli kehittänyt tietojärjestelmäpohjaisen lukitussysteemin, niin automallin tullessa markkinoille ohjelmisto oli jo vuotanut ja uuden auton vieminen sujui itse asiassa kätevämmin kuin vanhan. 

Tyypillisiä nykyhetken hyökkäystekniikkoja viestintäalalla ovat seuraavat: 1) Kohteen skannaus (Host scanning), 2) Ihmisten hyväntahtoisuuden hyväksikäyttö (Social Engineering), 3) Puhelinavaruuden läpikäynti (War Dialing), 4) Salasanojen murtaminen, 5) Puskurin/syötteen ylivuoto (Buffer overflow / Input validation), 6) Hyökkäys verkkoprotokollaa vastaan(Smurf tai Ping of Death), 7) Kuormitushyökkäys (Flooding), 8) Haittaohjelmat (Malware), 9) Domainin kaappaus (Domain hijacking / DNS spoofing), 10) Reitityksen väärentäminen (ARP spoofing, 11) Lähdeosoitteen väärentäminen (IP spoofing) [Cer02e], [Cer02f], [Cer02g], [Cer02h],[Cer02i].

Edellä mainitussa oikeustapauksessa [KKO03] seitsemäntoistavuotiaan, mahdollisen hyökkääjän motiivi samaistuu seikkailuun. Oliko kyse enemmästä, ei tullut ilmi, koska hän ei päässyt pankkitileille asti ja hän kiisti. Hän kertoi vain tutkineensa tarjolla olevia pankkipalveluja. Kohdetta hän oli tiedustellut varsin perusteellisesti, ainakin pankkikeskuksen tekemän jälkien selvityksen mukaan. Hyökkäyksen peittelyn yrittäminen ei siis onnistunut, mutta joko hyökkäystä oli kuitenkin melko hyvin peitelty tai sitten oli käynyt hyvä onni. Pankkikeskus nimittäin joutui suorittamaan varsin perusteellista tutkintaa kaiken selvittääkseen. Hyökkääjän käyttämä hyökkäystyyppi täytti tietomurron tunnusmerkistön, juridisesti katsoen vain tietomurron yrityksen tunnusmerkistön - tosin mahdollisesti enemmänkin, mutta sitä ei saatu selville. Hyökkäystekniikoista hän käytti ainakin skannausta, porttiskannauksen muodossa. Häneltä tavattiin myös paljon hyökkäysvälineitä, valmista software'ahan saa netistä. Hänen oli todettu syyllistyneen erikseen myös muuhun tahoon kohdistuneeseen tietomurron yritykseen sekä tietoliikenteen häirintään. Häirinnän kynnys on aika matala, joten välttämättä hän ei ole käyttänyt haittaohjelmaa. Tapauksessa esiintyy myös teko, joka kuuluu reitityksen väärentämisen tai lähteen väärentämisen piiriin, hänhän väitti, että joku muu oli hakkeroinut, mutta muutellut jälkensä niin, että hyökkäykset näyttivät tulleen hänen puhelinnumerostaan. Käräjäoikeus uskoi häntä - siinä mielessä, että katsoi, ettei ollut näytetty toteen että hän ja hänen puhelimensa olivat olleet asialla. Maallikkokielellä sanoen toteennäyttö tarkoittaa, että on sataprosenttisen varma todiste asiasta. 

Käräjäoikeus antoi vapauttavan tuomion. Hovioikeus ja korkein oikeus taas eivät pitäneet hänen kertomuksiaan uskottavina, kun otettiin huomioon pankkikeskuksessa muun muassa palomuurista löytyneet jäljet ja hänen ohjelmavarustuksensa.

5.5	Hyökkäyksiin varautuminen ja hyökkäyksiltä suojautuminen 

Viestintävirasto esittelee hyökkäyksiin varautumista ja niiltä suojautumista varten mallin nettisivustollaan. Kyseessä ei ole päätös, määräys eikä ohje, eikä edes suosituskaan. Mutta Viestintävirasto niin virastona kuin sen CERT-FI -ryhmä myös neuvovat. 

Neuvo kuuluu seuraavasti:
"Hyökkäyksiltä suojautuminen vaatii jatkuvaa järjestelmien ylläpitoa ja niiden seurantaa. Järjestelmien sekä ohjelmistojen turvallisuusaukkoja paljastuu lähes päivittäin. Viruksia, troijalaisia ja matoja ilmestyy lukuisia viikoittain. Hyökkäyksiin varautumisessa ja suojautumisessa on ensiarvoisen tärkeää seurata maailman tilannetta sekä reagoida muuttuviin uhkiin ja tietoturvallisuuden vaatimuksiin. Seuraavassa on esitetty yksi malli, jonka avulla hyökkäyksiin suojautuminen ja varautuminen tehostuu: 
*  Eliminoi tunnetut tietoturva-aukot järjestelmästäsi päivittämällä järjestelmäsi ohjelmistot ajantasaisilla ohjelmistoversioilla.
* Sulje järjestelmäsi palvelut, joita et tarvitse, kuten esimerkiksi ftp-server, telnet-server ja mail-server.
* Käytä verkon kontrolleja rajoittamaan ulkopuolisen tietoliikenteen pääsyä verkkoosi. Rajoita myös liikennettä omasta verkostasi yleiseen verkkoon. Rajaa myös lähiverkkosi liikennettä reititys- tai palomuurijärjestelyin.
*   Käytä järjestelmissäsi vahvaa käyttäjän todennusta esimerkiksi kertakäyttöisiä salasanoja, toimikortteja tai biometrisia tunnistusmenetelmiä hyödyntäen.
* Suojaa verkkoliikenteesi salauksella.
* Käytä pääteyhteyksissä sekä tiedostonsiirrossa salausta.
* Käytä verkon monitorointityökaluja havaitaksesi hyökkäykset ja niiden yritykset sekä järjestelmäsi tietoturva-aukot.
* Suojaa loki-tiedot niin, että niiden muokkaus ja tuhoaminen on mahdotonta.
* Vältä verkon palomuurin ohittavia järjestelmiä, kuten heikon todennuksen omaavia modeemisoittosarjoja.
* Testaa järjestelmiäsi säännöllisesti tietoturva-aukot havaitsevilla ohjelmistoilla. Tee se aina myös silloin kun olet päivittänyt järjestelmäsi ohjelmistoja tai palveluita.
* Käytä virustorjuntaa.
* Kouluta tietojärjestelmäsi käyttäjiä tietoturvalliseen työskentelytapaan
* Pyydä tietojärjestelmäsi käyttäjiä raportoimaan epäilyttävistä tapahtumista.
* Kartoita tietoturvallisuuteen liittyvät riskit.
* Dokumentoi lähiverkkosi kokoonpano ja osoitteet.
* Huolehdi järjestelmäsi fyysisestä koskemattomuudesta kulunvalvonnan ja rakenteellisten järjestelyiden avulla
[Cer02j]. 

Mielestäni tietojenkäsittelyn ja tietotekniikan kehitys näkyy mallissa, niin teleoperaattoreiden asiakkaiden ja muiden sidosryhmien toimintaa koskien kuin myös itse teleoperaattorin toimintaa koskien. Fyysisen suojauksen suhteellinen osuus on pieni, vaikka absoluuttisesti taso on vuosikymmenien takaiseen verraten kohentunut muun muassa kulunvalvontatekniikan osalta. Software on noussut keskeiseen asemaan. Kun samalla teleoperaattorin toiminnot perustuvat yhä enemmän software'en ja vähemmän hardware'en, sitä itseään koskevat samantapaiset uhat kuin sen moderneja liikeasiakkaita tai Internet-operaattoreita.

Jos tietoturvaloukkaus kuitenkin tapahtuu, neuvotaan toimenpidelista, jonka mukaan edetä: Tietojärjestelmät ovat erilaisia niin kuin hyökkäyksetkin. Hyökkäykset ovat usein taas tapauskohtaisia. Jos epäilet joutuneesi tietoturvaloukkauksen kohteeksi, voit kuitenkin edetä seuraavan muistilistan mukaisesti: 
* Pysy rauhallisena. 
* Ota yhteyttä organisaatiosi atk-tukeen tai palveluntarjoajaan. 
* Ota kopio lokitiedostoista, kuten esimerkiksi palomuurin lokitiedostosta. 
* Jos mahdollista, kirjaa ylös koneesi käynnissä olevat prosessit.
* Selvitä onko tietoa kadonnut tai onko sitä muutettu. 
* Selvitä laitteistosi tietoturva-aukko tai aukot. 
* Tee tarvittavat korjaukset. 
* Ota yhteyttä organisaatioihin, joista hyökkäys on tullut. 
* Ota yhteyttä organisaatioon, jonne hyökkäys on mahdollisesti edennyt. 
* Jos epäilet rikoksen tapahtuneen, ota yhteyttä poliisiin 
[Cer02k]. 

Neuvolistan mielestäni voisi kiinnittää myös useimpien teleoperaattorin työntekijöiden vaikkapa vaatekaappien oveen. Teleoperaattorithan harjoittavat ensisijaisesti liiketoimintaa. Liiketaloudellisesti ei kannata antaa henkilökunnan pääosalle tietoturva-asiantuntijan koulutusta. Neuvolistasta ensimmäisen kohdan mieleen muistuminen lienee hätääntyneenä vaikeaa. Mutta jos muistaa toisen kohdan, se on paljon: siis että tietää, että pitää kertoa jollekin toiselle ja mitä luultavimmin ei deletoida työasemaa tai järjestelmän osaa - koska silloin jäljet ja todisteet menevät saman tien. Pienissä liikeyrityksissä tilanne lienee samanlainen. Samoin voi olla joissakin suurissakin yhteisöissä, esimerkiksi usea kunta on ulkoistanut atk-toimintonsa. Se on viisaasti tehty, koska sijaisuudet hoituvat ja ei tule ylikuormaa eikä alikäyttöä henkilöstön suhteen. Mutta palvelunantaja saattaa silloin sijaita ajallisestikin huonosti tavoitettavissa. Arvioin mahdolliseksi senkin, että vaikka henkilökunta toimisi neuvolistan mukaisesti, niin tietoturvamenetyksiä tulee palvelun ulkoistamisen johdosta; tarkemmin sanoen pienellä rahalla ostettu tietoturvapalvelu antaa pienen tietoturvan.

5.6	Varautumismallin eräs sovellus tietoturvan järjestelmä- ja hallintotasolla

Koska esitelmäni aihe kuuluu tietoturvan hallinnan aiheryhmään, poimin edellä esitellystä mallista myös kohdan "Kartoita tietoturvallisuuteen liittyvät riskit". Tietoturvajärjestelmä saattaa olla varma joka kohdasta, mutta puute voikin olla yhtä tasoa korkeammalla: Tästä on mielestäni kyse myös aiempana mainitussa [Dig02]teleoperaattori Soneran johdon tapauksessa. Kaikkea tarvittavaa tietoa ei ole kirjattu tai tallennettu, kun taas osa siitä mitä on kirjattu tai tallennettu on hävitetty liian aikaisin tai ehkä kadonnut, ja tämä johtuu perustasoa korkeamman tason ohjeistuksen puutteellisuudesta.
Viestintävirasto vuoden 2002 lopulla on laatinut ja lähettänyt kirjeen, jonka saajaksi on merkitty 
Sonera Oyj
Lakiasiat
PL 106
00051
[HaL02]. 

Kirjeessä sanotaan muun muassa: 
"Tunnistamistietoja on Sonerassa monessa eri tietojärjestelmässä. Eri tietojärjestelmissä olevia tunnistamistietoja käsitellään eri tarkoituksiin. Järjestelmien käyttöoikeuksien hallinta, lokitietojen säilyttäminen ja niiden seuranta on järjestetty eri tavalla eri järjestelmien osalta. Vanhentuneiksi katsottuja lokitietoja on hävitetty eri järjestelmien osalta eri aikoina. Vuosina 2000 ja 2001 ei Soneran kaikissa yksiköissä ole ollut vakiintunutta tapaa tallentaa tunnistamistietojen selvittämiseen liittyviä tapahtumia eikä myöskään järjestelmien käyttölokitietojen vähimmäissisältöä ole määritelty. Edellä mainituista syistä Soneran kaikissa yksiköissä ei ole teleyrityksen tietoturvallisuuden ja tunnistamistietojen asianmukaisen käsittelyn ja sen valvonnan edellyttämällä tavalla dokumentoitu tunnistamistietojen käsittelyä eikä tietojen selvittämistä koskevia pyyntöjä." 

Kirje on julkinen. Julkisuuden uskon tuovan huomattavasti lisäarvoa, niin Soneran henkilökunnan kuin sidosryhmien tietoturvan tasoa nostavasti. Ilmiö on osa uutta yhteiskuntaa: Yläkerta, "Herra- ja rouvakerros", ei voi pimittää asioita ja haudata moitittavia tekoja. Toisaalta kirje, samoin kuin tutkimukset liittyvät myös rikostutkintaan, ja ihminen on syytön siihen asti kunnes hänet on tuomioistuimen tuomiolla syylliseksi todettu. Oikeudellisesta näkökulmasta pidän synnytettyä julkisuuden määrää liian varhaisena, koska myös yhteiskunnan yläpäähän lukeutuville ihmisille yhä tulee kuulua ihmisoikeudet.

Viestintävirasto lähetti kirjeensä myös poliisin tietoon. Varsinaisena ratkaisuasiana, suorastaan päätöksenä kirjeessä on kyse viestintäviranomaisen hallinnollisesta ratkaisusta. 

Viestintävirasto velvoittaa Soneran saattamaan harjoittamansa teletoiminnan tietoturvallisuuden ja tunnistamistietojen käsittelyn televiestinnän tietosuojalain ja teleyritysten tietoturvasta annetun määräyksen mukaiseksi.(Kyse on siis Turvalaista ja sitten Turva-asetuksen alapuolella olevasta määräyksestä). Edelleen Viestintävirasto velvoittaa Soneraa, että erityisesti tunnistamistietojen käsittelyä koskeva dokumentointi ja käsittelyn valvonta on saatava kattavaksi. Lisäksi Soneran tulee valvoa, että lakia ja Viestintäviraston antamia määräyksiä ja niiden perusteella annettuja Soneran sisäisiä ohjeita noudatetaan.

Kirjeen lopusta kannattaa panna merkille, että ratkaisuun saa hakea muutosta Helsingin hallinto-oikeudelta. Tätä pidän tärkeänä ja välttämättömänä oikeusturva seikkana, mikä oikeusturva ei aivan kaikilla hallinnon aloilla mielestäni välttämättä ole lainsäädännöllisesti vielä riittävää. Ei ole hyvä, jos virkamies tai virkamiesryhmä tekee velvoittavia päätöksiä ja asia on sillä loppuun käsitelty. 

Esillä oleva Viestintäviraston korjausmääräys Soneralle on annettu Turvalain eli tietosuojalain nojalla, mikä onkin kirjeessä velvoitekohdan alussa mainittu seuraavasti: "Televiestinnän tietosuojalain 25 §:n mukaan Viestintävirasto voi velvoittaa lakia tai sen nojalla annettuja säännöksiä rikkoneen teleyrityksen korjaamaan virheensä tai laiminlyöntinsä.

Velvoitetta voidaan perustellusta syystä tehostaa uhkasakolla tai teettämisuhalla. Uhkasakko on nimensä mukaisesti uhka: Jos toimit niin kuin määrättiin, niin ei seuraa mitään. Jos et toimi, niin tuomitaan sakkoon, uhkasakon tuomitsee yleensä tuomioistuin, vaikka sen asettaakin tavallinen hallintoviranomainen. Teettämisuhka tarkoittaa, että Viestintävirasto käy itse korjaamassa puutteet tai tilaa korjauspalvelun joltain liikeyritykseltä ja joka tapauksessa sitten jälkilaskuttaa. Jos Soneralle olisi asetettu tällainen teettämisuhka, niin Viestintävirasto lähettäisi laskun Soneralle. 

5.7	Haittaohjelmat

Haittaohjelmana voidaan pitää ohjelmaa, joka aiheuttaa tietojärjestelmissä ei-toivottuja tapahtumia. Tyypillisiä haittaohjelmia ovat virukset, Troijan hevoset, madot, Hoax-virukset (perättömät varoitukset haittaohjelmista) ja Spyware-ohjelmat. Erityisesti viruksille tietoliikenneverkko tarjoaa oivan etenemisalustan [Cer02l]. Viruksilta, Troijan hevosilta sekä madoilta suojautuminen on usein haasteellinen tehtävä niin tietojärjestelmien käyttäjille kuin niiden ylläpitäjillekin. Pääsääntönä voidaan pitää sitä, että haittaohjelmistoilta suojautuessa on seurattava jatkuvasti maailman haittaohjelmatilannetta sekä reagoitava tarvittaessa sen asettamiin haasteisiin. 

Seuraavan esimerkinomaisen listan avulla voi varautua ja suojautua haittaohjelmistoja vastaan: 
* Asenna tietojärjestelmääsi virustorjuntaohjelmisto ja päivitä sitä tarpeen mukaan.
* Pidä virustorjuntaohjelmistosi taustasuojaus aktivoituna.
* Asenna tietojärjestelmääsi matojen ja Troijan hevosien toimintaa vaikeuttava tai estävä palomuuriohjelmisto.
*  Älä asenna tai käytä tietojärjestelmässäsi tuntemattomia tai epäilyttäviä tiedostoja tai ohjelmistoja.
* Varmistu sähköpostien liitetiedostojen turvallisuudesta.
* Älä pidä levykettä käynnistyksen yhteydessä levykeasemassa, ellet ole varma, että se ei sisällä haittaohjelmistoja.
* Ota varmuuskopio tietojärjestelmästäsi säännöllisesti
[Cer02m]. 

Teleoperaattorin tulee tietysti pitää järjestelmänsä asianmukaisessa kunnossa, siten sen tulee varautua haittaohjelmiin omassa järjestelmässään ja suojata oma järjestelmänsä haittaohjelmilta. Enemmän teleoperaattori tietoliikennepalvelun tarjoajana kuitenkin hoitaa haittaohjelmien kuljetusta. En löydä säännöstä, jolla teleoperaattori voitaisiin laittaa tästä vastuuseen tai lakia, jonka nojalla voitaisiin antaa vastuuttamissäännös. Haittaohjelmien välitys tietoliikenneverkossa tosin on peräti rikos: Tieto- ja viestintärikoksista säädetään rikoslain 38 luvussa ja, mielestäni hieman yllättävästi myös 9a §:ssä (vaaran aiheuttaminen tietojenkäsittelylle) 34 lukua, 34 luvun otsikko kun on "Yleisvaarallisista rikoksista" [Rik89]. Se, ettei teleoperaattori tullessaan välittäneeksi viruksia tai muita haittaohjelmia syyllisty rikokseen, johtuu tahallisuuden puuttumisesta. Tuottamuksellisuus eli pyöreästi sanoen huolimattomuuskin puuttuu.

Syynä teleoperaattorin minkään muunkaanlaisen vastuuttamismahdollisuuden puuttumiseen pidän puuttuvaa teknologiaa ja bisneksen tärkeyttä, teknologiaa sinänsä jo löytyy - löytyyhän sitä kotipäätteisiinkin. Mutta teleoperaattorin tasolla torjunnan kustannukset olisivat epäsuhteessa liikennetuottoihin. Perusongelma on, että haittaohjelma ja ääni, kuva, kirja, kirjasto, tietokanta, muu tiedosto, multimedia tietoliikenneverkossa kulkiessaan ovat raakadataa, bitit eivät eroa toisistaan. Siten tele- ja Internet-liittymien haltijoiden vastuulle jää seuloa raakadataa bittivirrasta. Torjunta voidaan laittaa jo liikeyritykseen sisään tulevan tietoliikenteen vaiheeseen. Näinhän myös osittain jo tapahtuu. Esimerkiksi sisään tulevasta sähköpostidatasta testataan koneellisesti sisältääkö se datapätkiä, jotka muodostavat koodin joka identifioituu jonkin haittaohjelman koodiin tai lähelle sitä. Virusskannaus tosin on aiheuttanut juridista pohdiskelua siitä, loukataanko tietoturvaa toisesta puolesta, siinähän seurataan ihmisen kirjeenvaihdon sisältöä. Mielestäni vallitseva kanta on, että kun koneellisesti skannataan ja viesti tuhotaan avaamatta, jos haittaohjelma löytyy, niin luottamuksellisuuden suojaa ei rikota. Jos ei välttämättömänä niin ainakin kohtuullisena pidän sitä, että saajalle tulee jokin tieto, että automaatti tuhosi sähköpostilähetyksen johtuen viruksesta, millä yhteisnimellä haittaohjelmia puhekielessä kutsutaan.

6	Toteuttajatason tietoturvasäännökset teleoperaattorissa

Perustuslaista ja tavallisista laeista edetään asetuksiin ja liikenneministeriön päätöksiin. Toteuttamistasolle tietoturva ei näillä säännöksillä, tällä kehikolla vielä juurikaan mene, vaan toteutus tapahtuu Viestintäviraston päätöksillä, määräyksillä, ohjeilla ja suosituksilla. Yleisen säädöskehikon Viestintävirasto asettaa seuraavasti, toteamuksin, että luettelo ei kuitenkaan ole tyhjentävä: 
Suomen perustuslaki (731/1999); 10 § 
Laki viranomaisten toiminnan julkisuudesta (621/1999) 
Arkistolaki (831/1994) 
Asetus valtionhallinnon tietohallinnosta (155/1988) 
Henkilötietolaki (523/1999) 
Laki yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta (565/1999) 
Asetus yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta (723/1999) 
LMp yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta (760/1999) 
Laki yksityisyyden suojasta työelämässä (477/2001) 
Viestintämarkkinalaki (396/199) 
Radiolaki (1015/2001) 
Rikoslaki 38 luku ja 34 luku 9 a § 
Laki eräiden suojauksen purkujärjestelmien kieltämisestä (1117/2001) 
Laki tietoyhteiskunnan palvelujen tarjoamisesta (458/2002) 
Laki sähköisestä asioinnista viranomaistoiminnassa (13/2003) 
Laki sähköisistä allekirjoituksista (14/2003) 
[FCR03c]. 

Kehikon sisällä sitten teleoperaattorin toteuttajatason säännökset ovat Viestintäviraston päätökset, määräykset, ohjeet ja suositukset. Viestintävirasto ilmoittaa päätöksensä, määräyksensä, ohjeensa ja suosituksensa seuraavasti: " 
Viestintävirasto 9/2002 M, määräys televerkkojen ja -palvelujen tietoturvaloukkausten sekä vika- ja häiriötilanteiden ilmoittamisvelvollisuudesta 
-SMS 9/2002, suositus määräyksen Viestintävirasto 9/2002 M soveltamisesta 
- -Liite 1 Televerkkojen ja -palvelujen tietoturvaloukkausten ilmoituslomake (Word, Pdf ) ja Liite 2 Televerkkojen ja -palvelujen vika- ja häiriötilanteiden ilmoituslomake (Word, Pdf) 
-THK 47/1999 M, määräys teleyritysten tietoturvasta 
-SMS 47, suositus määräyksen THK 47/1999 M soveltamisesta 
-THK 48/1999 M, määräys teleyritysten tilojen ja televerkkojen fyysisestä suojaamisesta 
-SMS 48, suositus määräyksen THK 48/1999 M soveltamisesta. 
Tietoturvaa käsitellään myös muissa Viestintäviraston antamissa määräyksissä ja suosituksissa [FCR03c]." 

Mainittujen muiden määräysten ja suositusten linkki johtaa noin kolmeenkymmeneen Viestintäviraston määräykseen tai suositukseen. Niissä on myös takaraja, mihin asti ne ovat voimassa. Usean kohdalla ja vaikka takaraja ei vielä lähestyisikään, lukee maininta, että säännös on uusittavana [FCR03d]. Aikaa siis seurataan. Tärkeimmät säännöksistä, käytännössä, löytyvät kuitenkin jo edellä olevasta listasta, vaikka fyysinen tietoturva onkin eri säännöksessä. Tärkeimmät ovat 
THK 47/1999 M, määräys teleyritysten tietoturvasta 
SMS 47, suositus määräyksen THK 47/1999 M soveltamisesta. 
Suositus, tässä tapauksessa, on tarkoitettu niille, jotka eivät osaa lukea määräystä. [Leh03]. Myös näitä uudistetaan parhaillaan [FCR03d]. 

THK 47/1999 M, määräys teleyritysten tietoturvasta, päivitettynä viimeksi 24.03.2003 ja siis tällä hetkellä (20.04.2003) voimassa olevassa muodossaan kuuluu kokonaisuudessaan seuraavasti:
 
THK 47/1999 M Määräys TELEYRITYSTEN TIETOTURVASTA Annettu Helsingissä 19 päivänä toukokuuta 1999 
Telehallintokeskus on määrännyt 22 päivänä huhtikuuta 1999 yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta annetun lain (565/1999) 23 §:n nojalla: 
Soveltamisala Tätä määräystä sovelletaan teleyritysten yleisten televerkkopalvelujen tai telepalvelujen tuottamiseen liittyvään toimintaan sekä teleyritysten yleiseen teletoimintaan käyttämiin telelaitteisiin, televerkkoihin ja telepalveluihin.
2 § Teleyrityksen toiminnan tietoturvallisuus
Teleyrityksessä on oltava kirjalliset ohjeet siitä, miten tämän määräyksen vaatimukset toteutetaan.
Teleyrityksen on seurattava säännöllisesti oman tietoturvallisuutensa tasoa. Teleyrityksen on varmistettava, että tämän määräyksen vaatimukset täyttyvät myös silloin, kun teleyritys käyttää alihankkijoita.
Teleyrityksen on suojattava laitteistonsa ja tiedostonsa luvatonta pääsyä ja käyttöä vastaan.
Teleyrityksen on pidettävä rekistereitä kunkin järjestelmänsä osalta siitä, kenellä on järjestelmän käyttäjätunnuksia ja mitä oikeuksia milläkin käyttäjätunnuksella on.
Teleyrityksen on valvottava tietojensa, asiakirjojensa, televerkkojensa, laitteistojensa, palvelujensa ja tiedostojensa tietoturvallisuuteen vaikuttavia tapahtumia niin, että tietoturvallisuuden kannalta merkittävät tapahtumat havaitaan Jälkikäteen on säädösten määräämän ajan pystyttävä tarvittaessa jäljittämään vianhallintaan, konfiguraation hallintaan, veloituksen hallintaan, suorituskyvyn hallintaan ja tietoturvallisuuden hallintaan liittyvät tapahtumat.
3 § Tietoliikenneturvallisuus
Teleyrityksen televerkkojen ja telepalveluiden avulla välitettävät viestit ja niiden osapuolten tunnistamistiedot eivät saa teleyrityksen televerkoista tai telepalveluista paljastua asiaankuulumattomille.
Asiaankuulumattomat eivät saa päästä teleyrityksen televerkoissa tai telepalveluissa muuttamaan tai tuhoamaan niissä välitettäviä viestejä tai tunnistamistietoja.
Teleyrityksen televerkoissa ja telepalveluissa on oltava tilaajan tai käyttäjän ja teleyrityksen väliseen sopimussuhteeseen liittyvät todentamis-, pääsynvalvonta- ja kiistämättömyysmenettelyt. Asiaankuulumattomat eivät saa päästä käsiksi teleyrityksen televerkkojen ja telepalveluiden hallinta-, reititys-, veloitus-, loki- ja käyttäjätietoihin.
4 § Laitteisto- ja ohjelmistoturvallisuus
Teleyrityksen on käytettävä teletoimintaan sellaisia laitteistoja ja tietojärjestelmiä, joista aiheutuva tietoturvallisuusriski on pieni.
Teleyrityksen on käytettävä teletoimintaan sellaisia ohjelmistoja, joista aiheutuva tietoturvallisuusriski on pieni. Teleyrityksen on järjestettävä televerkkonsa ja telepalvelunsa toiminnan kannalta tärkeiden ohjelmistojen varmuuskopiointi ja turvallinen säilytys.
5 § Tietoaineistoturvallisuus
Teleyrityksen on järjestettävä tietoaineistojensa turvallinen käsittely hyvän tietojenkäsittelytavan mukaisesti.
Teleyrityksen on järjestettävä tietoaineistojen varmuuskopiointi ja turvallinen säilytys.
Teleyrityksen on määriteltävä suojattavaksi luokiteltavat asiakirjat, tietovarastot ja tiedot.
6 § Voimassaoloaika
Tämä määräys tulee voimaan 1 päivänä heinäkuuta 1999 ja on voimassa 30 päivään kesäkuuta 2004.

Säännöslistassa säännöksen nimi on samalla laitettu linkiksi, joten säännös avautuu siitä [FCR03c]. 

Teknisen tietoturvan osalta siis laitteistoa ja ohjelmistoa ei saa valita vapaasti vaan pitää valita sellaiset, joilla on pieni tietoturvallisuusriski. Tietoturvan hallinnan osalta ilmenee, että pitää antaa kirjalliset ohjeet, pitää seurata ja pitää kyetä myös jälkikäteen pystyä todentamaan mitä on tapahtunut. Ihmisten käyttöoikeudet pitää luetella ja rekisteröidä ja ei pidä antaa enempää oikeuksia eikä enemmälle ihmisjoukolle kuin mitä toiminnan ylläpitoon tarvitaan. Tietojärjestelmä kokonaisuudessaan pitää laatia sellaiseksi, että määräyksen vaatima taso saavutetaan, merkittävää on että vaaditaan hyvää tietojenkäsittelytapaa. Siis ei riitä, että määräyksen voimaan astuessa oli laittanut tasonsa kuntoon, vaan jos hyvän tietojenkäsittelytavan taso nousee, niin pitää tehdä parannuksia, vaikka mainittu määräys THK 47/1999 M ei olisi muuttunut pilkun vertaa. Sama koskee ohjelmisto- laitteistoteknologiaa. Henkilöstöpoliittisesti kaipaan, reaalisen toteuttamishalukkuuden kannustamiseksi, jo tämän määräyksen sisälle teleoperaattorin velvoitetta kouluttaa henkilökuntansa ja johdon vastuuta siitä.

Vielä totean, että määräys THK 47/1999 M valmistaa tietä myös fyysisen tietoturvan lohkolle. Tarkemmin fyysisestä tietoturvasta on säädetty edellä listatussa määräyksessä THK 48/1999 M, määräys teleyritysten tilojen ja televerkkojen fyysisestä suojaamisesta. Ja siis vastaava suositus on myös annettu. Tilat ja laitteet mukaan lukien siirtotiet on jaoteltu tärkeysluokitukseen: perustason tilat, tärkeät tilat, erittäin tärkeät tilat. Ensin on annettu yleiset määräykset, sitten on tilatyypeittäin annettu perustason vaatimukset, lisävaatimukset tärkeille tiloille ja lisälisävaatimukset erittäin tärkeille tiloille. Vaatimukset alkavat tavallisesta lukituksesta ja päätyvät muun muassa K-luokan teräsbetonisuojarakenteeseen sekä videovalvontaan, rikosilmoitusjärjestelmään ja olosuhdehälytysjärjestelmään. Säännöslistassa säännöksen nimi on samalla laitettu linkiksi, joten säännös avautuu siitä [FCR03c].

Määräyksessä THK 47/1999 M teleoperaattorilta vaadittiin myös sellaista varustusta, että se kykenee täyttämään asiakkaidensa kanssa tekemänsä sopimukset. Teleoperaattoreiden toimitusehdot ovat, niin kuin yleensä kaupan alalla kun liikeyrityksellä on paljon samanlaisia asiakkaita, laaditut vakiosopimusehtoina yksipuolisesti. Esimerkkinä teleoperaattori dna:n "Yleiset toimitusehdot 1.2.2003" [dna03]. Kuluttajaviranomaiset kuitenkin etukäteisneuvotteluilla teleoperaattorien kanssa ovat varmistaneet ehtojen kohtuullisen laadukkuuden ja kuluttajaviranomaiset voivat myös jälkikäteen puuttua ehtoihin ja ehtojen soveltamiseen. Ehtojen merkittävin sisältö koskeekin muuta kuin tietoturvaa. Asiakassuhteessa liikeyritykseen teleoperaattori voi tehdä itseään vähemmän velvoittavaankin suuntaan asiakassopimuksia, mutta tietoturvasäännösten minimeitä ei silloinkaan saa alittaa. Oma kokemukseni käytännön puhelinlaitostoiminnasta - tosin hallinnosta ja vain 1980-luvulta lankaliittymien mutta osin digitaalikeskusten ajalta - oli, että asiakastyytymättömyys niin kuluttaja- kuin liikeyritystasolla koski liittymän sulkemista maksamattomien laskujen johdosta ja korkeaa avausmaksua suhteessa maksamattomien laskujen kokonaissummaan [Oma89]. 

7	Teleoperaattorin ja Internet-operaattorin konvergenssi

Markkinalain [Vie97] 4§:ssä määritellään teletoiminnan ja muut keskeiset telekäsitteet. Mielestäni määrittely on kuin hakupuun läpikäymistä juurisolmusta lehtiin, mutta kuitenkin siten että rekursio kyllä pysähtyy lehtiin mutta lehdissä ei ole mitään ratkaisua, joka purkautuisi lopulta juuressa olevan teletoiminnan käsitteen yksikäsitteiseen selvittämiseen. Kun en halua käyttää ikävää sanaa "kehäpäätelmä", niin sanon matemaattisesti, että teletoiminta on määritelty implisiittisesti. Tällaiseen ongelmaan toki tultaisiin, vaikka puhuttaisiin puhelimesta, tulisi vaikeuksia selittää, mikä puhelin lopulta on. Rajaan teleoperaattorin käsitteen mainitun lain 3 §:n 3 momentin 4-kohdan kanssa samankaltaisesti. Kohta kuuluu: " Tämä laki ei koske ... 4) teletoimintaa, joka liittyy pääasiallisesti muuhun televiestintään kuin puheluiden välittämiseen, siinä laajuudessa kuin ministeriö erikseen päättää;".

Kestääkö näkökulma tulevaisuuden, voiko tietoturvavelvoitteet kiertää? Ennustaminen on vaikeaa, erityisesti tulevaisuuden ennustaminen. Pyynnöstäni Viestintäviraston tietoturvallisuusyksikön päällikkö suostui ennustamaan seuraavaa suurta mullistusta teletoiminta-alalla. Hän ennusti, että puhelut siirtyvät Internettiin [Leh03]. Siis ei päinvastoin, että Internet sulautuisi teleen. Viestintämarkkinalain antama rajoitus kestää tämän kehityksen, koska viestinnän fyysistä siirtotapaa ei ole rajoitettu: Televiesti voi siirtyä esimerkiksi niin kuparijohtoa, radio- tai muuta aaltoa kuin valokaapelia käyttäen. Asia ei muutu toiseksi, vaikka valokaapeli olisi asennettu ensisijaisesti Internet -verkkoa varten. Myöskään verkon ratkaisutapa tai sanoman koodaustapa ei vie toimintaa teletoiminnan ulkopuolelle, puhelu- tai muussa televiestissä voi olla niin cdma-, umts- tai TCP/IP-teknologiaa. 

Rajanveto-ongelmiin on kuitenkin jo jouduttu vastaamaan lainmuutoksilla. Esimerkiksi Turvalain sovellusalan laajennuksella, kun Internet-palvelut ja puhelinpalvelut myös liiketoiminnan muodossa kulkivat konvergoivaan suuntaan. Esimerkiksi Saunalahti (Jippii Group Oyj) tarjoaa myös teleyhteyksiä, ja nimenomaan myös aivan perinteellistä teleyhteyttä eli puhelinyhteyttä ja puhelinyhteyden nimelläkin. Näin Saunalahti markkinoi 27.03.2003 päivätyssä nettitarjouksessaan: "Uusin GSM-liittymämme Saunalahti R tarjoaa erityisen edulliset puhelu- ja tekstiviestihinnat, nyt myös soitettaessa Radiolinjan liittymiin! Puhelut Radiolinjan liittymiin maksavat vain 0,12 euroa/min. Saunalahden liittymiin soitat vieläkin edullisemmin, 0,10 euroa/min, eivätkä muutkaan puheluhinnat päätä huimaa [Sau03]!" 

Jos yritys toimii pääsääntöisesti Internet -palveluiden tarjoajana, se välttyy perinteisiä puhelinlaitoksia ja niiden nykyaikaisimpia liiketoimintamuodostelmia, kuten Elisa Oyj:tä koskevilta markkinoiden yleisiltä tietoturvavelvoitteilta, mutta ei Turvalain 4 §:ssä ja 5 §:ssä säädetyltä televiestinnän luottamuksellisuuden ja suojauksen velvoitteelta. Ja jos sen verkko liittyy yleiseen televerkkoon, niin Turvalaki koskee sitä täydessä laajuudessaan. Tämä teknisen ja kaupallisen kehittymisen huomioon ottava muutos säädettiin Turvalain 1 luvun 2 §:ään vuonna 2001 [Yks99]. Markkinat ovat kulkeneet siihen suuntaan, että Internet-operaattorit ovat itse tarjoutuneet myös teleoperaattoreiksi [RHWxx, 109, 117]. 

Edellä kerrotun ennusteen perusteella ennustan tietoturvalainsäädännön muutamassa vuodessa tulevaa muutostarvetta. Seuraavassa lainattava Suomen uusimman valtakunnan tason teleoperaattorin, dna:n, ja sen yhden suuromistajan PHP:n tiedote kännykkäpohjaisesta videopuhelimesta konvergoi hyvää vauhtia kahden Internet-käyttäjän välillä olevan vuorovaikutteiseen webbikamerayhteyden kanssa: 
"PHP ja DNA esittelivät Lahdessa videopuhelun UMTS-verkossaan. Tuttujen teksti-, kuva- ja multimediaviestien jälkeen videopuhelu tuo mukaan tosiaikaisen liikkuvan värikuvan. Välittämiseen tarvitaan UMTS-verkon datakapasiteettia, joka on merkittävästi suurempaa kuin tutussa GSM-verkossa. 
-DNA ja Finnet esittelivät Suomen ensimmäisen videopuhelun Helsingissä marraskuussa. Nyt meillä on Lahdessa mahdollisuus samaan. UMTS-verkon ensimmäiset tukiasemat esittelimme Lahdessa jo runsas vuosi sitten, mutta nyt käytössämme on päätelaitteita, joilla voimme näyttää nopeaa tiedonsiirtoa vaativia palveluita käytännössä, PHP:n toimitusjohtaja Arto Kaikkonen sanoi. 
- Puhelinten kamerat kuvaavat samanaikaisesti kumpaakin keskustelukumppania, jotka näkevät puhelimessa sekä keskustelukumppaninsa että itsensä. Vuosikymmeniä puhuttu näköpuhelin on nyt kokeiltavana testikäyttöön kehitetyissä kännyköissä. 
Laajakaista kännykkään: 
-Laajakaistaiset tietoliikenneyhteydet ovat kiinteän televerkon ja digitaalisen kaapeli-tv-verkon puolella tuttuja palveluita. Kännykkään saatavat laajakaistaiset palvelut lisäävät tietoliikenteen palveluvalikoimaa, kun asiakkaat ovat tottuneet kotien ja työpaikkojen hyviin ja nopeisiin Internet-yhteyksiin, Arto Kaikkonen sanoi. DNA Finland tarjoaa asiakkailleen GSM-verkon palveluja, jotka toimivat Suomen 2G Oy:n verkossa. Verkko on Finnetin puhelinyhtiöiden kanssa yhteistyössä rakennettu. UMTS- verkon verkko-operaattori on niin ikään Finnetiin kuuluva Suomen 3 G Oy. 
- UMTS on luonteva jatke nykyisille GSM- ja GPRS-palveluille; mitään erityistä vallankumousta tuskin tapahtuu, johtaja Taneli Ropponen DNA Finland Oy:stä arvioi. Suomen 3 G Oy sai UMTS-toimiluvan vuonna 1999. Verkko avattiin koekäyttöön joulukuussa 2001 ja sitä esiteltiin silloin jo Lahdessakin. Nyt pystytään esittelemään ensimmäiset suoraan matkapuhelimesta toiseen soitetut videopuhelut ja matkapuhelimen laajakaistaiset yhteydet Internetiin [PHP03]." 

Mainosluonteisesta tiedotteesta riittää toki matkaa toimivaan palveluun, koska verkko on vielä suppea ja päätelaitteita ei varsinaisesti löydy markkinoilta. Käyttäjälle mainitunlainen mediakonvergenssi tulee tuomaan niin työn, viihteen kuin bisneshyötyjä, mutta tietoturva heikennee. Puhelintoimen perintönä varsinaisen televiestinnän tietoturva-aukkoja on ilmennyt vähän. Nyt muutaman vuoden päästä Internetin perinteellisesti heikko tietoturva avannee aukkoja teletoiminnan tietoturvaan. 

Esimerkkinä haavoittuvuudesta (vulnerability) tuon esiin leikelmäni Cisco-yhtiön tiedotteesta heinäkuulta 2002: 
"Network Time Protocol (NTP) is used to synchronize time on multiple devices. A vulnerability has been discovered in the NTP daemon query processing functionality. This vulnerability has been publicly announced. The following products are identified as affected by this vulnerability: ...
* Media Gateway Controller (MGC) and related products 
...
Affected Products
The following products are affected:
...
* Media Gateway Controller (MGC) and related products, they encompass the following products:
...
o Cisco PGW2200 Public Switched Telephone Network (PSTN) Gateway
...
* Cisco IP Manager 
The following products are not affected:
* Cisco routers 1600/1600-R, running an IP-only image
...
* Cisco Secure PIX Firewall [Cis03]. 

Ei vain teletoiminta ja Internet vaan koko media konvergoituu. Tähän valmistaudutaan myös tietojenkäsittelytieteen ja teknologian alueella tiiviillä tutkimustyöllä. HIIT'in eli Helsinki Institute for Information Technology'n tutkimukset kattavat muun muassa seuraavaa: "The Media Convergence research themes studies the entire production, distribution, and use process of future digital media services from contents production to service delivery through various channels such as mobile terminals, digital TV, or the Internet. Its core research topics include content management (contents production, archival, indexing, structuring, semantics), service management, and content delivery (content adaptation, XML technologies, ...) [HII02]." 

8	Vastaukset asettamiini kysymyksiin

Toteutuvatko laissa tietotuvalle asetetut tavoitteet Viestintäviraston määräyksillä ja sen muilla akteilla? Kyllä. Mutta se edellyttää teleoperaattoreissa ammattitaitoisia ja vastuullisia tietoturvan hallitsijoita. Selostettu Sonera-tapaus [Dig02] ennakoi, että tietoturvaongelma, siis ainakin ongelma vaikkei mahdollisesti rikosta. voi puhjeta maailman huippuakin ajatellen aivan huippuyrityksessä. Ja suurin vaara saattaa vaania teleoperaattorin sisällä, aivan kuin Tsernobylin ydinvoimalassa: Johdon oma pyrky bisnesmenestykseen rikkoi turvallisuuden. Vahingoittaako kilpailun edistäminen tai markkinahenkisyys teleoperaattorin tietoturvaa? Ei vielä, Suomessa ja EU:ssakin teletoiminnan tietoturvamääräykset kiristyvät koko ajan. Mutta muistettava on, että EU:n ensisijainen tavoite on kaupan vapaus, siis ainakin teoreettinen ristiriita tietoturvan kanssa säilyy. 

Olisiko edellä selostetussa oikeustapauksessa [KKO03] tapahtumainkulku edennyt toisin jos hakkeri olisi kohdistanut hyökkäyksen pankkikeskuksen sijasta teleoperaattoriin? Kyllä. Viestintäviraston määräykset velvoittavat teleoperaattorin raportoimaan sille viivytyksittä tietoturvan loukkauksista, vieläpä määrätynlaista lomaketta käyttäen, ja myös siinä tapauksessa, että teleoperaattori katsoo tietoturvauhkaa muodostuneen vain sen omalle toiminnalle eikä asiakkaille ollenkaan. Uskon, että Viestintävirasto olisi myös käynyt paikan päällä teleoperaattorissa, mutta pankkikeskuksen toiminta ei sille kuulu, vaikka Internet-viestintä kuuluu sen valvottaviin asioihin. Spekuloin samalla sitä, että Viestintävirasto olisi luultavasti paljastanut pankkikeskuksesta tietoturva-aukkoja, mutta nyt pankkikeskus sai vahingonkorvausta siitä, että se joutui käyttämään paljon aikaa sen selvittämiseen, minne kaikkiin kohtiin oli hakkeroitu. Avoimeksi jää kysymys, laskuttiko pankkikeskus siinä laskussaan itse asiassa oman järjestelmänsä heikkouden selvittämisestä seitsemäntoistavuotiaalta hakkerilta, mikä tutkinta sen olisi pitänyt tehdä ilman laskutusta minnekään jo ennen Internet-perusteisen tietojärjestelmänsä käyttöön ottamista. 

Pitäisikö tuomioistuimiin lisätä tietotekniikkajäseniä alan ammattilaisista? Tietojenkäsittelytieteen ja tietotekniikan kannalta pitää, tuomitsemisen kannalta ei; kallistun jälkimmäiselle kannalle - on sittenkin parempi, että tuomioita jakavat vain ne, joilla on siihen vaadittava pätevyys ja kokemus.

Sillä välin kun teleoperaattorien tietoturvaa pohditaan, koko ajan etenee aivan toisenlainen tietoturvauhka. Se ei kuulu niinkään tietojenkäsittelytieteen tai teknologian vaan yleispolitiikan alaan. Jo vuonna 1998 painetussa kirjassa kerrottiin ja siis samalla tultiin neuvoneeksi, miten palvelimella vierailevasta käyttäjästä kootaan tiedot; sitten mainitaan vielä, että lokiin keräämisien ja lokin analysoimisen sijasta kannattaa käyttää tietokantaa samaan tarkoitukseen [AKY98]. Ihmiset itsekin edistävät sitä, että heistä kerätään tietoa. Lapset ovat yksi tällainen ryhmä. Lapsen ymmärryskyvyn kehitystä voidaan kuvata kolmeportaisesti vaikkapa seuraavasti: "Eräs käytettävyyden tutkimussuunta nimeltään CSE (Cognitive Systems Engineerin) jaottelee toiminnan käyttäen jaotteluperusteena henkilön taitoja tehdä asiaa: Taso 1. hitain taso eli tietotaso (knowledge-based-level), 2. sääntötaso (rule-based-level), 3. nopein taso eli taitotaso (skill-based level). Tasoista esimerkkeinä käy: Tasosta 1 punaisen liikennevalon tietäminen, tasosta 2 alaslasketun rautatiepuomin aiheuttaman esteen merkityksen tajuaminen, tasosta 3 yliviivauksella varustettuun silitysrautaan sisältyvän sanoman ymmärtäminen [SKP02, 275-280]. Internetissä liikkuva usea aikuinen mielestäni laiskuuttaan tai ajattelemattomuuttaan tai tietämättömyyttään ei yllä edes silitysrautatasolle.

Sinänsä toivottu teletoiminnan ja Internet-toiminnan konvergoituminen, siis sulautuminen yhdeksi, ja perässä seuraava median konvergoituminen voivat muuttua epätoivotuksi, jos myös omistaminen - tietoverkkojen, palvelimien, älykkäiden ohjelmistojen omistaminen - konvergoituu. Sisältöjen - tietokantojen ja tiedostojen ja tietovirtojen - konsolidoituminen on sekä toivottu että ei-toivottu ilmiö: toki tiedostoja nimenomaan pitää yhdistää ja seuloa toisiaan vastaan. Mutta jos tulokset tulevat vääriin käsiin ja suorastaan tulevat kauppatavaraksi ja tämän kauppatavaran omistus keskittyy, mahdollisesti vielä edellä mainitulle omistuskeskittymälle, niin tietoturva vaarantuu paljon enemmän kuin jos pyytäsi ohikulkijan viereensä kuuntelemaan kännykkäpuheluaan. En tiedä, miten käy. 

Poimin tähän kuitenkin yhden maailmanlopuntyylisen ennustuksen. Se on tieteellinen, mutta tiedemiehetkin voivat iskeä harhaan. Näin yhden kanadalaisen yliopiston viestintätiedekunnassa: 

If an ironic twist, perhaps the excessively integrated, hermetically self- referential conceit of the `new economy' has finally met the flipside of cybernetics: entropy  the loss of information and meaning. Perhaps media consolidation and the idea that convergence is merely code for corporate control of cyberspace are entropic processes. If this is the case, we have much to be concerned about. Because, after all, in information economies, where information has become a primary source of value, entropic processes not only lead to the collapse of meaning, but economies, markets and firms as well.         ...
This is not a problem if there are multiple gateways to cyberspace and an unconstrained range of information sources. However, neither potential matches reality. The Internet is not immune from the forces of consolida- tion. Consolidation already exists in terms of ownership over the Internet backbone linking cities together worldwide and is emerging among Internet Service Providers." 

9	Pieni tietoturva-analogia kehityksestä historiallinen puhelinlaitos -> teleoperaattori -> cyberroottori

Poimin aluksi vielä kaksi näkökulmaa tietoturvan hallitsemiseen, Siposen tieteellisen ja Järvisen kokeneen.
Siponen: Turvallisuuspolitiikat jaetaan kahteen ryhmään: 1) Tietokonesuuntautuneet eli tekniset politiikat ja 2) ihmis- ja organisaatiosuuntautuneet eli ei-tekniset politiikat. Ensin mainittuuun ryhmään kuuluvat muun muassa luotettavuus ja salaisuus tai eheys. Jälkimmäisen politiikan suhteen ei ole viitsitty nähdä niin paljon vaivaa, vaikka se on turvallisuuden kannalta ratkaisevin alue. Ihmisten ja organisaatioiden tutkimus ja tieteellistäminen on toki vaikeampaa: Huomiota voidaan kiinnittää ihmisen kokemuksiin, mielipiteisiin, arvojärjestykseen tai tuntemuksiin, mutta ongelmien matematisointi on vaikeaa eikä ole herättänyt paljonkaan mielenkiintoa turvallisuustutkijoiden valtavirran piirissä. Voidaan luoda viisi päälinjaa turvallisuuden lisäämiseksi ihmisten ja organisaatioiden toiminnassa: 1. Sotilaallinen eli kielto- ja käskylinja, 2. Liberaali linja: kielletyt asiat ovat kiellettyjä, mutta mikä ei ole kiellettyä on sallittua, 3. Prima facie -linja: Turvallisuuslinjat määritellään yleisesti, mutta ristiriitatilanteessa sallitaan etujen ja haittojen punninta ja valinta siltä pohjalta, 4. Kuvailevien ja ennaltaehkäisevien ohjeiden linja, loppukäyttäjään vetoaminen, 5. Kantilainen ja juutalais-kristillinen etiikka: saat tehdä niin, jos muutkin saavat niin tehdä ja jos olisit administraattorin asemassa sallisitko itse toimenpiteen Y kaikille luotettaville X-henkilöille. Asia vaatii kuitenkin myös empiiristä tutkimusta [Sip00].

Järvinen: Tietoturva ja tietosuoja tietoturvan ihmiskohtaisena sovelluksena näyttävät erilaisilta riippuen siitä kenen näkökulmasta katsoo: 1. Henkilökohtainen näkökulma, 2. Yrityksen näkökulma, 3. Yhteiskunnallinen näkökulma ja 4. Kansainvälinen näkökulma [Jär02].

Tietotekniikan kehitys johti puhelinlaitosten syntyyn 1800-luvun jälkipuoliskolla. Tosin jo ennen ajanlaskun alkua käyttivät persialaiset huutotiedotusta yli valtakuntansa aina Kreikkaan saakka. Miehestä mieheen huutamalla viesti eteni noin 20 km tunnissa. Huutotiedotuksen ohella käytettiin optisia tiedotusvälineitä: päivällä savumerkkejä ja yöllä tulimerkkejä. Vielä Krimin sodanaikana v. 1854 olivat vartioroviot muun muassa Göteborgin tienoilla miehitetyt. Kaukoputken käyttöön perustuvat optiset lennättimet levisivät laajalle 1800-luvun alussa. Ruotsi-Suomessa A.N. Edelcrantz (1754 - 1821) kehitti optisen lennättimen, joka käytti binäärikoodia ja pystyi siirtämään 1500 erilaista lukua. Sittemmin tuli sähkölennätin, morsekonemallilla, Suomeen vuonna 1855, kun rakennettiin lennätinlinja Pietarista Helsinkiin. 

Puhelimen keksimiselle ratkaisevat oivallukset ovat vuoden 1820 tienoilta, mutta käyttökelpoinen puhelin keksittiin vasta 1876 (Bell Alexander Graham). Suomeen puhelin tuli 1877 [Rah77]. Puhelin alkoi levitä Suomessa 1880-luvulla. Yksittäisissä, pienissäkin kauppa- tai teollisuuskeskuksissa liikemiehet perustivat telefooniyhtiöitä. Yhtiöt, osuuskunnat, taloudelliset yhdistykset ovat myöhemmin sulautuneet toisiinsa niin, että 1980-luvulla oli kuutisenkymmentä puhelinlaitosta sekä lisäksi valtion puhelin (Posti-Tele), jolle jäivät lähinnä syrjäseudut sekä kokonaan kaukopuhelinliikenne [Uol85]. Määräykset puhelintoiminnasta annettiin yhdellä lailla, tarkemmin sanoen yhdellä laintasoisella säädöksellä. Tämä oli nimeltään Puhelinjulistus eli Julistus niistä ehdoista, joilla telefoonijohtoja saadaan maahan asettaa ja käyttää [Puh86].

Viimeksi mainituista kolmesta lähteestä ilmenee, että valtio - siis Suomen Suuriruhtinaanmaan yksinvaltias, Venäjän keisari - oli huolissaan tietoturvasta. Mutta huoli ilmeni siten, että muilla ei olisi saanut olla hallussa tietoa. Siksi puhelinlaitosten perustaminen eteni aluksi nihkeästi. Sitten kun sallivuus lisääntyi, puhelinlaitoksia syntyi tiuhaan tahtiin. Ne toimivat kaupallisina tai puolikaupallisina yrityksinä. 

Tietoturvasta tai tietosuojasta nykyaikaisessa mielessä en mainituista lähteistä löytänyt otsikkoa tai hakusanaa. Päättelen, että katsantokulma ei ollut muodikas sataan vuoteen ja toisaalta sellaista tietoa, joka olisi kelvannut kauppatavaraksi, ei ollut. Se, mitä kaupallista arvoa oli, niin ei ollut välineitä millä muuntaa tiedon kauppatavaraksi. Sodan uhkien edellä keisarit kuitenkin määräsivät puhelinkeskuksia ja merenrannikolla jopa kaapeleita vartioitavaksi vihollisten vakoojien kuuntelulta ja hävitykseltä - niissä tilanteissa siis viestien luottamuksellisuuden säilymisestä huolehdittiin. Alakeskuksia tai reitittimiä ei pitkään aikaan ollut, sellaisina toimivat puhelunvälittäjät, sentraalisantrat: heiltä edellytettiin vaitioloa, vain sen verran sai puhelua kuunnella, että tiesi milloin se on loppunut. Yleisen kansalaisperimätiedon mukaan sentraalisantrat nimenomaan kuuntelivat puheluja. Jos niin oli, niin irvokkaasti voi sanoa, että tarvittaessahan sitten yhteyden kiistämättömyys ainakin voitiin luotettavasti selvittää. Ja tietysti puhelun tullessa piti saada tieto, mihin puhelu menee, että osasi yhdistää. Nykyään teleoperaattori automaattisine digitaalilaitteineen kohtaa yhä samat määräykset: sisällöstä ei saa ottaa selkoa, yhteyden tunnistetietoja saa selvittää vain välttämättömään määrään. Viestin kiistämättömyys toteutui sillä, jos sentraalisantran muisti vaan riitti. Tulevan maailman viestintäyritys, jolle tähän hätään annoin nimen cyberroottori, joutunee Internet-konvergenssin alkuvaiheessa vaikeuksiin tiedon luottamuksellisuuden säilyttämisvelvoitteen kanssa, ennen kuin Internetin haavoittuvuus saadaan paikattua.

Tiedon välitysyhteyden saamatta jääminen tai tiedon kulkemisen katkeaminen on Viestintäviraston määräyksissä huomioon otettu antamalla aikamääriä, minkä ylittävät katkot pitää sille ilmoittaa. Historiallisessa puhelinlaitoksessa katkot olivat melko suuri ongelma, muun muassa myrskyjen takia. Toisaalta sentraaleissa, joita hoitivat muutkin kuin "Santrat", esimerkiksi opettajat sivutyönään, yhdistämisiä jäi tekemättä kun hoitajat teettivät yhdistämistyötä jopa viisivuotiailla lapsillaan. Luonnonvoimista teleoperaattoritkaan ilmakaapelialueillaan eivät ole kaikista katkotilanteista kunnialla selvinneet. Yhteyksien saamatta jäämisiä ruuhkan takia muistan kuulleeni viimeksi 1970-luvulla, jolloin paperitehtaan johdolla saattoi olla yksi sihteeri vain sitä varten, että tämä soittelee kaukopuheluita Helsinkiin. Tulevaisuuden puhelimet, kännykät tai muut pikkupäätelaitteet toiminevat kaikkialle levittäytyvän tietojenkäsittelyn (ubiquitous computing) maailmassa [Pro02]. Silloin esimerkiksi ketjukolariin joutuneiden henkilöiden kännyköiden pitää pystyä automaattisesti muodostamaan ad hoc -verkko, ja sitten kännykät vaihtavat automaattisesti vaikkapa henkilötiedot. Yhteydenoton toteutus kangertaa toistaiseksi useastakin seikasta - muun muassa virtalähteiden, joiden pitää tietysti olla hyvin pieniä, tehottomuudesta. Yhteyksiä ei siis saada.

Edellä oli jo ennustettu, että teleoperaattorien seuraaja voi olla omistuskeskittymä, joka hallitsee kaikkea tietoa. Mutta osattiin sitä viimevuosisadan alussakin, ainakin Suomen tasolla - ja myös omistavan luokan vastaluokassa: Vuoden 1918 tapahtumissa punaisen, vallankumouksellinen työväen johto määräsi, että puhelimen käyttö muuhun kuin työväenjärjestöjen sotilaitten ja virkapuheluihin oli kielletty. Yhden puhelinkeskuksen hoitaja raportoi, että kolme miestä kielsi väkivallanuhkauksella "väärien" puheluiden välittämisen. Sodan lopussa punaiset myös rikkoivat puhelinkeskuslaitteita, jotta saivat lisää aikaa pakoon. Vuodesta 1918 eteenpäin - valkoisten siis jo voitettua ja rauhan vallitessa - punaisen taustan omaavat kohtasivat osin vaikeuksia puhelinliittymän hankinnassa. Muun muassa eräs puhelinlaitos päätti vuonna 1920, että "punakapinaan osallistuneille myönnetään puhelinjohto vain ehdolla, että jos mainitut henkilöt jollakin tavalla ryhtyvät kommunistisiin toimiin niin silloin johto heti katkaistaan" [Tur77]. Poikkeusoloista, jos nyt teleoperaattoreiden aikakautena sellaiset tulisivat, voi todeta, että on olemassa poikkeustilalainsäädäntö eli niin sanotut kassakaappilait. Ne antavat puitteet - tämän esitelmän kannalta katsoen - asiakkaiden tietoturvan heikentämiselle. Miten se tapahtuu käytännössä, niitä määräyksiä ei tietystikään ole asetettu saataville. 

Jos yhteys toissavuosisadalla tai viimevuosisadan alussa saatiin, niin kuuluvuusvaikeuksia ilmeni maaseudun perukoilla - hieman samaan tapaan kuin sähkö voi olla liian "heikkoa" korpikesämökillä. Ubiquitous computing -tasolla signaalin käsittelykin on ongelma, joten viestin eheyttä ei sielläkään voida taata. Teleoperaattorin tarjotessa Internet-palveluita kaistan laajuus, tai siis laajuuden puute, on ongelma kun ostajan varat eivät riitä siirtokyvyn hankintaan.

Jossain taivaanrannassa häämöttää jo ongelma, että kunpa saisi olla niin vastaanottamatta kuin lähettämätikin tietoa. Hakulaitteiden kohdalla, ennen kuin kännykkä ne syrjäytti, päästiin jo siihen, että henkilön arvoaseman, suuri herra tai rouva, tunnisti siitä, että häntä ei velvoitettu pitämään hakulaitetta. Nythän sähköpostissa vallitsee sama tilanne. Esimerkiksi Helsingin kaupunginjohtajaa ei voinut lähestyä viime keväänä sähköpostilla, kun halusin otsikolla "Takaisin kivikauteen" valittaa siitä, että kaupungin opetustoimi ei tunne sähköistä asiointiliikennettä koskevaa lakia ainakaan sähköisten hakemusten sallittavuuden osalta. Ubiquitous computing -maailmassa Onni-kuvan, jossa me vaan kännyköillä kaiken tulemme hoitamaan, takana häämöttää Orwellin maailman tietoturvan kauhukuva, jossa työmuurahaisihmisten salatuintakin tietoa katselee huvikseen Yläkerran väki, eikä välttämättä edes totuuden mukaisin tiedoin vaan niin ihmisistä kuin liikeyrityksistä verkossa synnytettynä digitaalisena minänä [Hei01].

Lähteet: 

(Malli lähdeluettelon Suomen säädöskohtien löytämiseksi sivuilta http://www.finlex.fi on esitetty edempänä viitteen Vie97 eli viestintämarkkinalain kohdalla. Säädöskohdat ovat haettavissa myös ruotsiksi. Myös alemman tason säädöksiä löytyy ajantasaisesta lainsäädännöstä. Hallituksen esitykset löytyvät samasta paikasta, mutta lainsäädäntöpalkin sijasta pitää valita hallituksen esityksiä koskeva palkki. Huomaa: Palveluntuottajat eli Oikeusministeriö ja Edita Publishing Oy eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä. Euroopan unionin säädökset löytyvät sivulta http://europa.eu.int/eur-lex/fi/search/search_lif.html, jolloin valittuna on palkki Lainsäädäntö. Säädöksien pitää olla saatavissa kullakin kansalliskielellä.)   
(Suomen oikeuskäytäntö löytyy samasta osoitteesta luin säädöksetkin http://www.finlex.fi, valitaan vain linkki Oikeuskäytäntö. Euroopan yhteisöjen tuomioistuimen oikeuskäytäntö on samassa päätietokannassa kuin Euroopan unionin lainsäädäntö, nyt vaan valittuna palkki Oikeuskäytäntö, http://europa.eu.int/eur-lex/fi/search/search_case.html.)

[Kaikki nettilähteet avautuvat uuteen ikkunaan.]

Adv03     Advisory CA-2003-06: Multiple vulnerabilities in implementations of the Session Initiation Protocol (SIP), toimittanut CERT® Coordination Center (CERT/CC). Software Engineering Institute, Carnegie Mellon University, 2003. http://www.cert.org/advisories/CA-2003-06.html. [16.04.2003] 
AKY98     Allen, C., Kania, D., Yaeckel, B., Internet world - guide to one-to-one web marketing, United States of America, tarkempaa painopaikkaa ei ole mainittu, 1998. 
Cer02a     CERT-FI/Computer Emergency Response Team (CERT)/FICORA eli Viestintävirasto,2002. http://www.ficora.fi/englanti/tietoturva/certfi.htm. [02.03.2003] 
Cer02b     CERT-FI,Ohjeet. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/ohjeet.htm. [16.04.2003] 
Cer02c     CERT-FI,Ohje 8/12.8.2002 Modeemipohjaisten Internet-liittymien yhteyksien uudelleenohjaukset kasvussa. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/ohjeet/ohje-2002-08.htm. [16.04.2003] 
Cer02d     CERT-FI, Yleistä hyökkäyksistä. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/hyokkays.htm. [17.04.2003] 
Cer02e     CERT-FI, Hyökkääjät ja motiivit. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/motiivi.htm. [17.04.2003] 
Cer02f     CERT-FI, Hyökkääjän kohteet. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/kohteet.htm. [17.04.2003] 
Cer02g     CERT-FI, Hyökkäys prosessina. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/prosessi.htm. [17.04.2003] 
Cer02h     CERT-FI, Hyökkäystyypit. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/tyypit.htm. [17.04.2003] 
Cer02i     CERT-FI, Hyökkäystekniikat. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/tekniikat.htm. [17.04.2003] 
Cer02j     CERT-FI, Suojautuminen hyökkäyksiltä. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/suojautuminen.htm. [17.04.2003] 
Cer02k     CERT-FI, Toimet tietoturvaloukkaustilanteessa. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/loukkaus.htm. [17.04.2003] 
Cer02l     CERT-FI, Yleistä haittaohjelmista. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/haittaohj.htm. [17.04.2003] 
Cer02m     CERT-FI, Suojautuminen haittaohjelmistoilta. Viestintävirasto/ CERT-FI,2002. http://www.ficora.fi/suomi/tietoturva/suojhaitta.htm. [17.04.2003] 
Cer03a     CERT-FI, Varoitukset. Viestintävirasto/CERT-FI, 2003. http://www.ficora.fi/suomi/tietoturva/varoitukset.htm. [16.04.2003] 
Cer03b     CERT-FI varoitus 12/24.2.2003, Useita haavoittuvuuksia SIP-protokollan toteutuksessa. Viestintävirasto/CERT-FI, 2003. http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-12.htm. [16.04.2003] 
Cis03     Cisco Systems, Inc., NTP Vulnerability.Cisco Security Advisory, Cisco 7800 Series Media Convergence Server,Document ID: 23445, Revision 1.6, Cisco Systems,Inc.2003. http://www.cisco.com/en/US/products/hw/voiceapp/ps378/products_security_advisory09186a00800b13d9.shtml. [08.04.2003] 
Dig02     Digitoday 27.11.2002, Tutkinta kohti syyteharkintaa etenee normaalia rataa. Syytteiden nostaminen pikana Sonera-jutussa raukesi. Digitoday Finland Oy, 2002. http://www.digitoday.fi/digi98fi.nsf/pub/te20021127220111_kni_27296864. [14.04.2003] 
dna03     DNA Finland Oy, Yleiset toimitusehdot 1.2.2003. DNA Finland Oy, Helsinki, 2003. http://www.dnafinland.fi/yksityisille/liittymat_ja_palvelut/gsm/toimitusehdot.shtml. [20.04.2003] 
Eli03a     Elisa Communications, yhteistyökumppaneineen, Efodi verkko-oppimisympäristö. ElisaCom Oy. Elisa Oyj,2003. http://www.efodi.com/. [08.04.2003] 
Eli03b     Elisa Internet Oy, Miss Galaxy 03. ElisaCom Oy. Elisa Oyj,2003. http://elisa.net/elisatv/page?tpl=clip&id=1365&format=1. [08.04.2003] 
ELV02     Eduskunnan liikennevaliokunnan mietintö 26/2002 vp Hallituksen esitykseen viestintämarkkinoita koskevan lainsäädännön muuttamisesta LiVM 26/2002 vp - HE 112/2002 vp, 2002.   http://www.eduskunta.fi/. [02.03.2002] 
Asiakirjan löytäminen eduskunnan sivuilta: 
Eduskunnan sivulta valitaan linkki 'Eduskuntatyö', 
sitten valitaan linkki 'VALIOKUNNAT' 
sitten linkki 'LiV Liikennevaliokunta' 
sitten linkki Mietinnöt: 2002'. 
Eur02     Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY, annettu 12 päivänä heinäkuuta 2002, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi), 2002. http://europa.eu.int/servlet/portail/RenderServlet?search=Query&lg=fi&nb_docs=25&domain=Legislation&coll=&in_force=YES&title=&party=&year_from=2001&month_from=1&day_from=1&year_to=&month_to=&day_to=&text=s%E4hk%F6isen+viestinn%E4n+tietosuojadirektiivi+&inforce=on&from=1%2F1%2F2001&to=. [02.03.2003] 
FCR01a     Ficora eli Viestintävirasto/Internetin tietoturva, 2001.   http://www.ficora.fi/suomi/tietoturva/tietoverkot.htm. [15.04.2003] 
FCR01b     Ficora eli Viestintävirasto/Suojausmekanismit, 2001.   http://www.ficora.fi/suomi/tietoturva/suojausm.htm. [15.04.2003] 
FCR01c     Ficora eli Viestintävirasto/Virtual personal net, 2001.   http://www.ficora.fi/suomi/tietoturva/vpn.htm. [15.04.2003] 
FCR01d     Ficora eli Viestintävirasto/Palomuurit, 2001.   http://www.ficora.fi/suomi/tietoturva/palomuuri.htm. [15.04.2003] 
FCR01e     Ficora eli Viestintävirasto/Tunkeutumisen havaitsemisjärjestelmät, 2001.   http://www.ficora.fi/suomi/tietoturva/tunkeutu.htm. [15.04.2003] 
FCR01f     Ficora eli Viestintävirasto/Virustorjunta, 2001.   http://www.ficora.fi/suomi/tietoturva/virustorjunta.htm. [15.04.2003] 
FCR01h     Ficora eli Viestintävirasto/Tunnistamistietojen käsittely teleyrityksissä , 2001.   http://www.ficora.fi/suomi/tietoturva/tunnistamistiedot.htm. [16.04.2003] 
FCR01i     Ficora eli Viestintävirasto/Tunnistamispalvelut, 2001.   http://www.ficora.fi/suomi/tietoturva/tunnistamis.htm. [16.04.2003] 
FCR01j     Ficora eli Viestintävirasto/Tietosuoja Internetissä, 2001.   http://www.ficora.fi/suomi/tietoturva/internet_tietosuoja.htm. [16.04.2003] 
FCR01k     Ficora eli Viestintävirasto/Kansallinen ja kansainvälinen yhteistyö, 2001.   http://www.ficora.fi/suomi/tietoturva/yhteistyo.htm. [19.04.2003] 
http://www.ficora.fi/suomi/tietoturva/yhteistyo.htm 
FCR02a     Ficora eli Viestintävirasto/Tietoturva, 2002.   http://www.ficora.fi/suomi/tietoturva/index.htm. [02.03.2003] 
FCR02b     Ficora eli Viestintävirasto/ Tietoliikenneturvallisuus (COMSEC), 2002.   http://www.ficora.fi/suomi/tietoturva/tietoliikenne.htm. [15.04.2003] 
FCR02c     Ficora eli Viestintävirasto/ CERT-FI, FAQ - Usein kysyttyjä kysymyksiä, 2002.   http://www.ficora.fi/suomi/tietoturva/faq.htm#CERT-FI. [16.04.2003] 
FCR02d     Ficora eli Viestintävirasto/Tietoturvaloukkausten havainnointi ja ratkaisu (CERT), 2002.   http://www.ficora.fi/suomi/tietoturva/cert.htm. [16.04.2003] 
FCR02e     Ficora eli Viestintävirasto/CERT-FI, 2002.   http://www.ficora.fi/suomi/tietoturva/certfi.htm. [16.04.2003] 
FCR02f     Ficora eli Viestintävirasto/Viestintäviraston (FICORA) CERT-toimintojen (CERT-FI) toimintamalli , 2002.   http://www.ficora.fi/suomi/tietoturva/toimintamalli.htm. [16.04.2003] 
FCR03a     Ficora eli Viestintävirasto/ Esittely; viraston nimi on englanniksi Finnish Communications Regulatory Authority, josta lyhenne FICORA tulee, 2002. http://www.ficora.fi/suomi/esittely/n2382.htm. [15.04.2003] 
FCR03b     Ficora eli Viestintävirasto/Televiestinnän tietosuoja, 2003.   http://www.ficora.fi/suomi/tietoturva/tietosuoja.htm. [02.03.2003] 
FCR03c     Ficora eli Viestintävirasto/Tietoturvasäädökset, 2003.   http://www.ficora.fi/suomi/tietoturva/saadokset.htm. [02.03.2003] 
FCR03d     Ficora eli Viestintävirasto/Teletoimintamääräykset, 2003.   http://www.ficora.fi/suomi/tele/n2540.htm.[20.04.2003] 
FCR03d     Ficora eli Viestintävirasto/Standardointi, 2003.   http://www.ficora.fi/suomi/tele/n2405.htm. [06.04.2003] 
HaL02     Hagman, R., Lehtimäki, T., Tunnistamistietojen käsittely Sonera Oyj:ssä, 2002.   Kyseessä on kirje 13.11.2002 493/531/02 saajalle "Sonera Oyj,Lakiasiat, PL 106,00051". Viranomaisen puuttumisen kirjeestä uskon olevan nettivirhe, ehkä ylätunniste ei ole tallentunut nettisivulle. Linkistä, josta tulin tiedostoon, päättelen, että lähettäjä on Viestintävirasto.  http://www.ficora.fi/suomi/document/soneraselvitys.pdf. [17.04.2003] 
Hei01     Heinonen, R., Digitaalinen minä. Edita Oyj, Helsinki 2001. 
HII02     Helsinki Institute for Information Technology, Media Convergence. Helsinki Institute for Information Technology,Helsinki, 2002.   http://www.hiit.fi/mc/. [20.04.2003] 
Jär02     Järvinen, P., Tietoturva & yksityisyys. Docendo Finland Oy, Porvoo 2002. 
KKO03    KKO:2003:36, Tietomurto, Vahingonkorvaus - Korvauksen sovittelu. Diaarinumero R 2001/678, Esittelypäivä 8.11.2002, Taltionumero 811, Antopäivä 8.4.2003. Kysymys tietomurron yrityksen tunnusmerkistön täyttymisestä. Kysymys myös vahingonkorvauksen sovittelemisesta.RL 38 luku 8 §,VahL 2 luku 1 § 2 mom,VahL 2 luku 2 §   http://www.finlex.fi. [14.04.2003]    
Avautuvalta Finlex-tietopankin sivulta valitaan palkki Oikeuskäytäntö. Avautuvan sivun oikeanpuoleisesta kehikosta valitaan linkki 2003. Avautuvasta sivusta selataan numeroon 36 asti, ja siitä kohdassa olevasta kirjankuvan linkistä painamalla avautuu asianomainen ennakkotapaus. Sitten edelleen myös ennakkotapauksen koko selostus on linkattavissa. 
Kre01     Kreikkaa koskeva Euroopan yhteisöjen tuomioistuimen kuudennen jaoston tuomio 21.10.2001.   EY-tuomioistuin, 2001.   http://europa.eu.int/servlet/portail/CuriaServlet?curiaLink=%26lang%3DFI%26ident%3D79988983C19990397%26model%3Ddoc_curia. [15.04.2003] 
KRL92    Laki kilpailunrajoituksista 27.5.1992/480, 1992.   http://www.finlex.fi. [14.04.2003]    
KVL98     Laki kuluttajavirastosta 18.12.1998/1056, 1998.   http://www.finlex.fi. [08.04.2003]    
Leh03     Lehtimäki, T., Viestintäviraston tietoturvallisuusyksikön päällikön, DI Timo Lehtimäen haastattelu 24.02.2003 Viestintävirastossa. Viestintävirasto, Helsinki, 2003. 
LVM02     Liikenne- ja viestintäministeriön luonnos hallituksen esitykseksi eduskunnalle Sähköisen viestinnän tietosuojalaiksi ja eräiden siihen liittyvien lakien muuttamisesta, ei vuosilukua, mutta kirje, jolla luonnoksesta on pyydetty kymmeniltä asiantuntijoilta lausuntoa, on päivätty 13.12.2002.   http://www.mintc.fi/ . [02.03.2002] 
Asiakirjan löytäminen liikenne- ja viestintäministeriön sivulta: 
Ministeriön pääsivulta valitaan linkki 'VIESTINTÄTIETOA', 
sitten oikeanpuolen kehykseen avautuvasta Ajankohtaista-otsikon alla olevasta neljännestä ranskalaisesta viivasta painetaan tekstiä 'Sähköisen viestinnän tietosuojalaki lausuntokierroksella', se on linkki luonnokseen. 
OLT03     Ohjelmistoliiketoimintaprojekti: Kurssi 582416 Ohjelmistoliiketoimintaprojekti 2003, Tietojenkäsittelytieteen laitos. Helsingin yliopisto, 2003. http://www.cs.helsinki.fi/u/eahyvone/courses/ohli/opro03/. [08.04.2003] 
Oma89     Esitelmän pitäjän oma kokemus 1979 - 1989, jolloin toimi Porin kaupungin energia-, puhelin- ja vesilaitoksella yhteisenä juristina ja sihteerinä. Porin kaupungin puhelinlaitos, Pori, 1989. 
PHP99     Päijät-Hämeen Puhelin Oyj:n asiakastiedote 6/99, toimittajia ei ole mainittu, Soitellaan!. Sponte Oy, Painopaikkaa ei ole mainittu, 1999. 
PHP03     PHP Finnet ,Videopuhelu esiteltiin Lahdessa 06.03.03. Tiedotteet. PHP Finnet (Päijät-Hämeen Puhelin Oyj), 2003.   http://www.php.fi/index.html. [08.04.2003] 
Pro02     Proaktiivinen tietojenkäsittely, 58302313 Seminaari: Proaktiivinen tietojenkäsittely (2 ov). Tietojenkäsittelytieteen laitos, Helsingin yliopisto, 2002.   http://www.cs.helsinki.fi/hiit_bru/courses/proactive2/. [20.04.2003] 
Puh86     Puhelinjulistus eli Julistus niistä ehdoista,joilla telefoonijohtoja saadaan maahan asettaa ja käyttää (41/1886),1886, huomaa vuosisata!   Säädös on kumottu vuonna 1987. Siitä löytyy Finlex-tietokannasta vain viitekortti. Säädös löytyy paperisesta Suomen säädöskokoelmasta asianomaiselta vuodelta ja myös vuotta 1987 vanhemmista Suomen Laki -teoksista.   http://www.finlex.fi. [02.03.2003]    
Pöy99     Pöysti, T., Tietoturvallisuus. Teoksessa Encyclopedia Iuridica Fennica, Mattila, H. et al., toimittajat, Vol. VII Oikeuden yleistieteet. Suomalainen lakimiesyhdistys, Jyväskylä, 1999, sivut 1189 - 1203. 
Rah77     Rahko, R., Puhelimen keksiminen ja alkuajan puhelitekniikka. Teoksessa Puhelin ja puhelinlaitokset Suomessa 1877 - 1977, Jutikkala, E. toimittaja, Puhelinlaitosten Liitto r.y., Turku 1977, sivut 15 - 33. 
RFC98     Brownlee, N., Guttman,E., RFC 2350, Request for Comments: 2350, Expectations for Computer Security Incident Response. The University of Auckland, Sun Microsystems ja The Internet Society, 2002.   http://www.armware.dk/RFC/rfc/rfc2350.html. [16.04.2003] 
RHWxx     Roschier-Holmberg & Waselius, Attorneys Ltd., toimittajia ei ole mainittu, Business law in Finland, julkaisuvuotta ei ole mainittu.     http://www.roschier.com/rhw/rhawww.nsf/images/BLiF.pdf/$FILE/BLiF.pdf. [02.03.2003]    
Rik89     Rikoslaki (39/1889), 1889, huomaa vuosisata!   Lakia on ehditty muuttaa lähes joka kohdasta, mutta kokonaisuudistus on yhä tekeillä.   http://www.finlex.fi. [02.03.2003]    
SAK03     Sähköiset allekirjoitukset: Laki sähköisistä allekirjoituksista 24.1.2003/14, 2003.   http://www.finlex.fi. [14.04.2003]    
Sau03     Saunalahti (Jippii Group Oyj), Uudella GSM-liittymällä puhut erityisen edullisesti Radiolinjan liittymiin.Jippii Group Oyj, 2003     http://saunalahti.fi/tiedote/tiedote.php?index=17. [08.04.2003]    
Sip00     Siponen,M., Policies for construction of information Systems' security guidelines. Teoksessa Information security for global information infrastructures, Qing, S. ja Eloff J.,toimittajat. Proc. IFIP TC11 Sixteenth Annual Working Conference on Information Security , Beijing, China, elokuu 2000, sivut 111 - 120. 
SKP02     Sinkkonen, I., Kuoppala H., Parkkinen J., Vastamäki, R., Käytettävyyden psykologia. Edita Oyj IT Press, Helsinki 2002. 
Säh02     Sähköisen viestinnän tietosuojadirektiivi: Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY, annettu 12 päivänä heinäkuuta 2002, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla. Euroopan parlamentti ja neuvosto (EU), 2002.  http://europa.eu.int/servlet/portail/RenderServlet?search=DocNumber&lg=fi&nb_docs=25&domain=Legislation&coll=&in_force=NO&an_doc=2002&nu_doc=58&type_doc=Directive.[14.04.2003] 
Tek01     Tekniikan Sanastokeskus ry, toimittajia ei ole mainittu, Matkaviestinsanasto (TSK 29), Mobilordlista, Vocabulary of Mobile Communication. Finnet Focus, Forssa, 2001. 
TNL03a     Tietoturvallisuus nykyaikaisessa liiketoimintaympäristössä, seminaari 58303111 (2 ov), Yleisesittely. Tietojenkäsittelytieteen laitos, Helsingin yliopisto, 2003.   http://www.cs.helsinki.fi/group/turvasem/turvasem_14_1.pdf. [16.04.2003] 
TNL03b     Tietoturvallisuus nykyaikaisessa liiketoimintaympäristössä, seminaari 58303111 (2 ov), Aihekalvot. Tietojenkäsittelytieteen laitos, Helsingin yliopisto, 2003.   http://www.cs.helsinki.fi/group/turvasem/Turvasem_aiheet.pdf. [16.04.2003] 
TSV94     Laki tietosuojalautakunnasta ja tietosuojavaltuutetusta 27.5.1994/389, 1994.   http://www.finlex.fi. [08.04.2003]    
TTO01     Tietotekniikkaoikeus, kurssi 582308 Johdatus tietotekniikkaoikeuteen (1 ov). Tietojenkäsittelytieteen laitos, Helsingin yliopisto, 2001. http://www.cs.helsinki.fi/kurssit/cum_laude/582308/. [09.04.2003] 
Tur77     Turpeinen, O., Puhelimen merkitys suomalaisessa yhteiskunnassa sadan vuoden aikana. Teoksessa Puhelin ja puhelinlaitokset Suomessa 1877 - 1977, Jutikkala, E. toimittaja, Puhelinlaitosten Liitto r.y., Turku 1977, sivut 445 - 467. 
Uol85     Uola, M., Puhelin 100 vuotta Rauman seudulla, Rauman Seudun Puhelin Oy, Rauma, 1985. 
Vie03     Viestintämarkkinalaki, 2003.   http://www.finlex.fi. [02.03.2003]    
Tämä uusi laki kumoaa linkissä Vie97 mainitun viestintämarkkinalain. Uusi laki on hyväksytty eduskunnassa, mutta sitä ei ole vielä julkaistu Finlex' issä eikä se ole vielä voimassa. Hallituksen esityksen numero on HE 112/2002, ja Finlex-tietokannasta kohdasta hallituksen esitykset voi sen lukea. Yksittäisen hallituksen esityksen löytää vastaavalla tekniikalla kuin yksittäisen lain. Eduskunta tosin ei hyväksynyt hallituksen esitystä aivan sellaisenaan. 
Vie97     Viestintämarkkinalaki 30.4.1997/396, 1997.   http://www.finlex.fi. [02.03.2003]    
Selaamisohje Finlex-tietokantaan: 
Valitse 'Lainsäädäntö'. 
Jos kysytään, hyväksytkö käyttöehdot, niin pitää vastata myöntävästi, jos haluaa jatkaa. 
Kehyksestä 'Ajantasainen lainsäädäntö vuosittain' valitaan ryhmä 'V - Z'. 
Sitten viestintään liittyvä sana 'Viestintähallinto'. 
Sitten valitaan 'Laki viestintähallinnosta', painamalla pykälän '§' kuvalla varustettua kirjapainiketta. 
Aukeavasta laista havaitaan, että se ei koske haetunlaista viestintämarkkinalakia, eikä myöskään toinen linkki ole oikea. (Tietokanta ei kaikissa tapauksissa ole indeksoitu tai järjestetty kattavasti.) 
Tehdään yritys kehyksestä 'Ajantasainen lainsäädäntö vuosittain' ja kirjoitetaan kohtaan 'Hae säädöstekstin perusteella' sana 'Viestintämarkkinalaki'. 
Osumia tuli yksi, avataan se, ja painetaan avautuneesta "pykäläkirjasta". 
Win02     Winseck, D., Netscapes of power: convergence, consolidation and power in the Canadian mediascape. Carleton university, Ottawa, Canada. Julkaisuviite: Media, Culture & Society, toimittajia ei ole mainittu, Vol. 24:795819, vuosikertaa ei ole mainittu. SAGE Publications, London, Thousand Oaks and New Delhi,2002.   http://www.google.fi/search?q=cache:te3hSiCR91EC:www.calumet.yorku.ca/cocu6511/winseckmedia.pdf+threat+media+convergence+consolidation&hl=fi&ie=UTF-8. [02.03.2003]    
Yks99a     Laki yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta (565/ 1999), 1999.   http://www.finlex.fi. [02.03.2003]    
Yks99b     Asetus yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta 11.6.1999/723, 1999.   http://www.finlex.fi. [02.03.2003]