- Henkilötietojen käsittelyssä on noudatettava lakia
- Tietoturva sähköpostiviestinnässä on oletuksena heikko
- Miten suojaan sähköpostini?
Henkilötietojen käsittelyssä on noudatettava lakia
Jos joudut käsittelemään henkilötietoja, muista että henkilötietolaki (www.finlex.fi/fi/laki/ajantasa/1999/19990523 ![[ulkoinen linkki]](https://ict.oulu.fi/wp-content/uploads/2012/02/external_link_icon.png){kind=icon}
) rajoittaa mm. arkaluonteisten tietojen käsittelyä. Silloin kun henkilötietojen käsittely on perusteltua, vastuullasi on käsitellä niitä siten, että ne eivät päädy muille kuin asianosaisille (henkilölle itselleen ja asiaa hoitaville henkilöille). Esimerkiksi työsopimusta, jossa on henkilötunnus, ei tule lähettää Oamkin ulkopuoliseen sähköpostiosoitteeseen sellaisenaan tavallisessa sähköpostissa, sillä tavallinen sähköposti kulkee verkossa suojaamattomana.
Tietoturva sähköpostiviestinnässä on oletuksena heikko
Sähköisen viestinnän tietoturvahaasteet on melko helposti kuvattavissa hyvin perinteisellä CIA (Confidentiality, Integrity, Availability) -kolmiolla:
CIA-kolmio
Confidentiality/Luottamuksellisuus: Vain asianomaiset tahot pääsevät näkemään viestin sisällön
Integrity/Eheys: Viestin sisältö ei saa muuttua
Availability/Saatavuus: Tieto pitää olla asianomaisten tahojen saatavilla kun sitä tarvitaan
Em. termien yhteydessä puhutaan myös usein kiistämättömyydestä ja digitaalisista allekirjoituksista. Toisin sanoen halutaan tietää, että viestintä on tapahtunut onnistuneesti ja että viesti on oikealta taholta.
Sähköisen viestinnän ja dataliikenteen luottamusongelma kulminoituu siihen, että vain omista laitteista, verkosta ja palvelimista voi olla tietoturvamielessä suhteellisen varma (tai ainakin yrittää pitää järjestelmät turvallisena). Kun viesti poistuu oman verkon piiristä, ei voida sanoa varmasti mitään välissä olevista tahoista tai kohdeorganisaation verkosta tai palvelimien tietoturvasta. Tämä tarkoittaa sitä, että aina kun viestit tai olet tietoliikenneyhteydessä Oamkin verkon ulkopuolelle, joudut luottamaan melko sokeasti ulkopuolisten tietoverkkojen tietoturvaan.
Sähköposti on tietoteknisessä mielessä hyvin vanha keksintö. Kuten muissakin hyvin vanhoissa protokollissa, ei sähköpostin välityksessä palvelimien välillä ole useimmiten käytössä minkäänlaista digitaalista allekirjoitusta, salausmenetelmiä tai juuri muitakaan suojausmenetelmiä. Kuka tahansa ulkopuolinen taho, jonka verkon läpi sähköpostiviestisi kulkee, kykenee tyypillisesti näkemään viestin lähettäjä- ja vastaanottajatiedot ja sisällön sellaisenaan. Huomaa että tässä on siis kyse palvelimien välisestä liikenteestä. Kun luet Oamkin sähköpostisi Outlookilla tai esimerkiksi Webmaililla, niin asiakasohjelmasi ja Oamkin sähköpostipalvelin käyttää salattua yhteyttä.
Miten suojaan sähköpostini?
Sähköpostisi on suojattavissa. Tässä on muutama vaihtoehto:
-
- Sähköpostin salaus Outlookissa (tämä on se vaihtoehto, jota tulisi käyttää Oamkin sähköpostissa)
- Sähköpostiliitteiden pakkaaminen salasanasuojattuun ZIP-pakettiin
- PGP -perinteinen sähköpostin suojaustapa, jonka käyttö on vähenemässä
Sähköpostiliitteiden pakkaaminen salasanasuojattuun ZIP-pakettiin
Toinen, käytettävyydeltään hieman helpompi vaihtoehto on käyttää sellaista erillistä tiedostojen pakkausohjelmaa, esim. 7-Zip , joka tukee zip-pakettien salasanoja ja AES-salausta. Pakkaat vain siirrettävät tiedostosi zip-paketiksi ja asetat zip-paketin purkuun vahvan salasanan. Sitten lähetät zip-paketin tavanomaisena sähköpostin liitetiedostona vastaanottajalle. Lisää viestiin linkki http://www.7-zip.org/download.html , jotta vastaanottaja voi tarvittaessa hakea itselleen 7-zip-ohjelman, sillä hän tarvitsee ohjelman saadaksen avattua lähettämäsi paketin. Varsinainen salasana tuon zip-paketin purkuun sinun tulee lähettää vastaanottajalle erillistä kanavaa käyttäen, esimerkiksi faxilla tai tekstiviestinä.
Salatun tiedostopaketin teko-ohje:
- Valitse tiedostot/kansiot, jotka haluat mukaan 7-Zip-pakettiin.
- Valitse hiiren kakkospainike ja vie hiiren kursori 7-zip-kohtaan, josta avautuu 7-zip-pikatoimintojen alavalikko
- Valitse ”Add to archive” -vaihtoehto
- Avautuvassa asetusikkunassa:
- Anna paketille nimi
- Valitse arkistointiformaatti (archive format, mieluiten .7z koska tällöin vastaanottaja tunnistaa, että paketti on avattava 7-zip:llä eikä jollain toisella zip-ohjelmalla.)
- Valitse pakkaustaso (compression level, esim. ultra).
- Kirjoita sitten haluamasi salasana Encryption-kohdassa olevaan salasanakenttään ja valitse salausmetodiksi AES. Huom! Valitsethan hyvän salasanan.
- Paina lopuksi Ok
- Odota, että 7-zip lisää tiedostoillesi salasanasuojauksen ja pakkaa tiedostosi.
- Paketti tallentuu samaan kansioon, missä pakattavat tiedostotkin ovat, ellet muuttanut paketin tallennuspaikkaa aiemmassa asetusikkunassa. Kun nyt yrität avata zip-paketin, sinulta kysytään ensin salasana, etkä saa pakettia auki ilman sitä. Huomaa, että sinun kannattanee jättää alkuperäiset tiedostot itsellesi talteen, sillä jos poistat ne ja unohdat zip-pakettisi salasanan, niin et saa tiedostoja enää avattua.
PGP – perinteinen sähköpostin suojaustapa, jonka käyttö on vähenemässä
Perinteinen tapa suojata sähköposti on PGP – Pretty Good Privacy (en.wikipedia.org/wiki/Pretty_Good_Privacy ). PGP mahdollistaa erittäin vahvan salauksen ja myös viestien digitaalisen allekirjoituksen. Lähetettävä viesti salataan vastaanottajan avaimella. PGP on vain hyvin harvojen organisaatioiden tai vastaanottajien käyttämä menetelmä: syynä tähän lienee palvelun hankalaksi koettu käytettävyys ja riittämätön ymmärrys palvelun tarpeellisuudesta. PGP:stä on tarjolla muutamakin versio. GnuPGP on kaikille ilmainen vaihtoehto ja sen voi halutessaan hakea täältä: http://www.gnupg.org/download/ – tosin edes PGP:n keksijäkään ei enää käytä sitä itse! .