Nappo 3'2012 - Kuluttajaliitto

Kirjoittaja on Tietoyhteiskunnan kehittämiskeskusTieken tutkimus- ja kehittämisjohtaja.Kuluttajantiedot turvassaElämä siirtyy tietoverkkoihin, ja kuluttajien tietoja on yhä useammissatietojärjestelmissä. Asiakkaiden tietojen turvaaminen on tietoyhteiskunnankuluttajansuojan suuri haaste.Aiemmin yritykset olivathaluttomia kertomaanhakkereiden murtautuneentietojärjestelmiinsä.Asiakkaiden pelättiin, syystä,menettävän luottamuksensapalveluntarjoajaan, jonkatietoturva on pettänyt.teksti jyrki kasvi kuvat shutterstockEdes tietoturva-ammattilaiset eivät ole turvassa.Kanta-asiakaskortit, nettiostoksetja korttimaksut,kaikista jää kauppiaan tietokantoihintietoa asiakkaista,henkilötietoja, ostostietojaja maksuyhteystietoja, kaikkirahanarvoisia markkinoijille ja rikollisille.Samoja tietoja kertyy myös sosiaalisenmedian, nettihuutokauppojen janettipelien tietojärjestelmiin.Valistunut kuluttaja lukee siis huolellakäyttämiensä sähköisten palveluidenlisenssisopimukset (end user licenceagreement), noudattaa tiukkaasalasanakuria ja seuraa sosiaalisen medianpalveluiden jatkuvasti muuttuviayksityisyysasetuksia.Todellisuudessa lisenssisopimuksia eikuitenkaan lue juuri kukaan, puolisontyttönimeä käytetään salasanana useissaeri palveluissa, eikä yksityisyysasetuksiinkajota. Kenellä riittää moiseenaikaa? Ketä minun tietoni muka kiinnostavat?Kaikkia! Esimerkiksi facebook eiole mikään hyväntekeväisyysjärjestö,vaan voittoa tekevä yritys. Facebookinliki miljardin käyttäjän järjestelmäänsyöttämät tilapäivitykset, kaverisuhteetja tykkäykset ovat raaka-ainetta, jostafacebook jalostaa todellisille asiakkailleeneli mainostajille myytäviä palveluita.Vuonna 2011 nämä palveluttuottivat 3,71 miljardin dollarin liikevaihdon.Tietoyhteiskunnan arkeaYritysten lisäksi kuluttajien tietoja havittelevatrikolliset. Viime kuukausinaolemme saaneet kuulla yhä uusista tietomurroista,joissa sähköisten palveluidenkäyttäjien tietoja, jopa salasanojaja luottokorttien numeroita on päätynytvääriin käsiin. Identiteettivarkaudetja toisten nimissä tehdyt rikokset ovattietoyhteiskunnan arkea.Yhden luottokortin numeron hintaei ole mustassa pörssissä kuin muutamaneuron, mutta esimerkiksi GlobalPayments Inc -yhtiön tietomurrossapäätyi vääriin käsiin puolitoista miljoonaaVisa- ja MasterCard-kortin numeroa.Edes tietoturva-ammattilaiset eivätole turvassa. Vuosi sitten joku murtautuitietoliikenteen suojaamiseen käytettyjädigitaalisia sertifikaatteja tarjonneenhollantilaisen DigiNotar-yhtiönjärjestelmään ja generoi yli 500 väärennettyäsertifikaattia. Oliko kyseessädigitaalista rahaliikennettä havittelevarikollisjärjestö vai esimerkiksi toisinajattelijoidentietoliikennettä urkkivanvaltion salainen poliisi, kukaan ei tiedä.Vastuu tietoturvastaKuluttajan on mahdotonta arvioidakäyttämiensä sähköisten palveluidentietoturvallisuutta, vastuu on palveluitatarjoavilla yrityksillä ja viranomaisilla.Vastuun perääminen voi olla kuitenkinvaikeaa, jos nettikauppa taipalveluntarjoaja toimii Suomen taiEuroopan Unionin ulkopuolella. Lisenssisopimusvoi määrätä riita-asiatsovittavaksi toisella puolella maailmaasijaitsevassa tuomioistuimessa.Tietoturvan lähtökohdaksi on otettavavahinkojen minimointi, kun tietoturvaennemmin tai myöhemminpettää. Kuluttajien tietojen on oltavasuojattuja myös järjestelmän sisälläsiltä varalta, että ulkopuolinen onnistuumurtautumaan järjestelmään.Yrityksillä on oltava myös valmistoimintasuunnitelma sen varalta, ettäasiakkaiden tietoja päätyy vääriinkäsiin.Kuluttajien on silti ymmärrettävä,että täysin aukotonta tietoturvaa eiole olemassa. Viimeistään inhimillinenlenkki pettää, kun ihmiset kiertävätliian työläiksi kokemiaan tietoturvakäytäntöjä.Kuluttajan vastuulle jää minimoidavahingot omalta osaltaan huolehtimallaomasta tietoturvastaan suojaamalla omatietokoneensa urkintaohjelmien varalta,käyttämällä eri salasanoja eri palveluissaja olemalla antamatta tietojaan, jos eiole varma, miksi niitä kysytään.Vastuu vahingoistaAiemmin yritykset olivat haluttomia kertomaanhakkereiden murtautuneen tietojärjestelmiinsä.Asiakkaiden pelättiin,syystä, menettävän luottamuksensa palveluntarjoajaan,jonka tietoturva on pettänyt.Kuluttajien on kuitenkin saatavamahdollisimman nopeasti tieto tietojensapäätymisestä väärin käsiin. Miten muutenhe voivat muuttaa salasanansa ennenkuin käyttäjätunnukset kaapataantai seurata pankki- ja luottotiliensä tapahtumiatavallista tarkemmin. Monessamaassa sähköisten palveluiden ylläpitäjilleonkin määrätty lakisääteinen velvollisuusilmoittaa viipymättä tietomurroistapaitsi viranomaisille myös asiakkaille,joiden tiedoista on kyse.Tietomurron kohteen asiakkaille aiheutuvatkustannukset ja vahingot jäävätpahimmassa tapauksessa asiakkaiden itsensämaksettavaksi. Jos tekijää ei saadakiinni, korvausten hakeminen ulkomaiseltayritykseltä voi osoittautua ylivoimaiseksi,etenkin jos se on tietomurronseurauksena ajautunut konkurssiin.Vaikka varastettuja tietoja ei käytettäisiväärin, jo pelkkä luottokorttienvaihtaminen ja tilitapahtumien seuraaminenteettää ylimääräistä vaivaa. EsimerkiksiYhdysvalloissa on yrityksiä, jotkahuolehtivat asiakkaan puolesta korttienkuoletuksesta ja rahaliikenteen tarkkailusta.Kustannukset maksaa murronkohteena olleen yrityksen vakuutus.4 5