TELEVISIO

Tietoturva

Sisällysluettelo


  • 2025-01-18 Lisätty kappaleet Data, Tunnistus. Lisätty TUPAS, Luottamusverkosto, VeraCrypt, YubiKey, Skenaario: 1Password korkattu.
  • 2024-11-19 Lisätty Kotivara, Mobiilivarmenne.
  • 2024-10-24 Lisätty Kahdennus yleisellä tasolla.
  • 2024-09-27 Lisätty Skenaarioharjoitukset.
  • 2024-09-26 Teksti tarkistettu.
  • 2024-07-20 Lisätty varoitus automaattisista ohjelmistopäivityksistä.
  • 2024-07-10 Teksti tarkistettu. Lisätty salasanatietokannan varmuuskopiointi ja tietojen pseudonymisointi. Lisätty iCloud Backup, Time Machine ja AirTag.
  • 2021-11-17 Lisätty luottokorttiharhautus.
  • 2021-08-13 Teksti tarkistettu.
  • 2020-12-17 Päivitetty viestintäsovellukset. Lisätty varmuuskopiointiin Tulostin.
  • 2020-11-12 Lisäys (Vastaamo).
  • 2017-08-12 Teksti julki.
  • 2017-07-27 Teksti alkaa.

Motivaatio

Ihmisten resurssit ja oikeastaan koko persoona ja itseilmaisu, Maslow'n tarvehierarkian ylimmät tasot, siis korkeimman tason elämä ylipäänsä, on kasvavassa määrin siirtymässä digitaaliseen maailmaan (viite). Enää ei ole kyse ainoastaan lomamatkakuvien varmuuskopioinnista, vaan esimerkiksi digitaalisten identiteettien ja sosiaalisten verkostojen suojelusta. Ihmisten tilejä ja laiteita voidaan käyttää myös hyökkäyksissä kolmansia osapuolia vastaan, joten hyvin hoidettu tietoturva on itse asiassa kansalaisvelvollisuus.

Tunnettuja tietoturvaloukkauksia viime vuosilta ovat esimerkiksi Suomen Ulkoministeriön vakoilutapaus (2014) (viite), toimitusjohtajahuijaus (2016) (viite) ja Saksan liittokanslerin salakuuntelu kymmenen vuoden ajan (2002-2013) (viite). Kymmenien tuhansien suomalaisten salaiset terveystiedot valuivat internetiin (2020) (viite). Suomen liityttyä Natoon lukuisia merikaapeleita on katkennut (2023-2024) (viite) (viite) (viite) ja on ollut pitkäkestoisia pankkien palvelunestohyökkäyksiä (2024) (viite) ja vesihuoltolaitosmurtoja (2024) (viite).

Tietoturvahyökkäysten määrä ja vaikutus näyttävät olevan kasvussa.

Ratkaisu

Tietoturvaan eli digitaaliseen suojautumiseen ei ole yhtä kaiken kattavaa ratkaisua, paitsi jos lopettaa laitteiden käytön kokonaan (viite). Koska yhtä ratkaisua ei ole, on keskityttävä vaikuttavimpiin toimiin, eli riskien hallintaan, kuten fyysisessäkin maailmassa. Henkilöautolla ajaminen on vaarallista, muttemme kuitenkaan lopeta sitä, vaan käytämme turvavöitä, AirBagia ja muita teknisiä ratkaisuja, esimerkiksi kaistavahtia, mutta myös psykologisia, esimerkiksi Red Bullia.

Ensimmäinen askel tietoturvassa on määritellä, mitkä dataresurssit ovat tärkeitä, ja kuinka tärkeitä ne ovat. Sen jälkeen voi suunnitella, miten minkäkin resurssin suojaa, jotta yhtäältä oma pääsy on varmistettu, mielellään kahdennettu, ehkä jopa kolminnettu, ja vieläpä niin, ettei resurssin päivittäinen käyttö ole kohtuuttoman vaivalloista, ja toisaalta myös niin, etteivät muut, ihmiset tai koneet, pääse resurssiin käsiksi oikeudetta – ei edes silloin, jos yksi osa suojauksesta pettää.

Tietoturvaan liittyviä muutoksia tulee tehdä virkeänä ja keskittyneesti, koska virhe kriittisessä kohdassa voi aiheuttaa katastrofin, vaikka tarkoitus oli parantaa tilannetta. Esimerkiksi jos varmuuskopioinnin tekee väärinpäin, niin saattaa ylikirjoittaa primääridatan tyhjällä, tai jos kiireessä kadottaa juuri luodun kryptausavaimen tai salasanahallintaohjelman pääsalasanan. Tietoturvatoimet tulee tehdä hillitysti ja harkitusti askel kerrallaan – niin, ettei yksittäinen virhe ole koskaan kohtalokas.

Tarmokas toimija järjestää itselleen reaalimaailman skenaarioharjoituksia, missä simuloi epätoivottuja tilanteita ja tarkistaa käytännön tasolla, onnistuuko palautuminen edes siististi kotioloissa ilman kiirettä.

Kyperturvallisuuskeskus tarjoaa erilaisia uutiskirjeitä, viikkokatsauksia ja RSS-feedejä, joiden seuraaminen on suositeltavaa, mutta joista osa näyttää kirjoitushetkellä olevan pois käytöstä (viite). Yle julkaisee tärkeimmät tietoturvauutiset, joka riittää peruskäyttäjälle. Kattavammin tietoturvasta voi lukea Kyperturvallisuuskeskuksen lisäksi esimerkiksi Iltalehden ja MikroBitin sivuilta (viite) (viite).

Tunnistus

Digitaalisen suojauksen eli tietoturvan tärkein komponentti on tunnistus, eli miten tietokone varmistaa, kuka sitä käyttää. Tunnistaminen voidaan tehdä sekä biometrisesti esimerkiksi sormenjäljestä, kasvoista, nimikirjoituksesta, DNA:sta tai kävelytavasta (viite) että tietopohjaisesti esimerkiksi salasanalla, PIN-koodilla tai turvakysymyksillä.

Salasana

Salasana eroaa muista tunnistautumistavoista kahdella tavalla. Ensinnäkin salasana on teknisesti helppo toteuttaa, joten salasana on erittäin laajasti käytetty – esimerkiksi allekirjoittaneella on kirjoitushetkellä yli 163 salasanaa (2025-01-18). Toisekseen salasanatunnistautumisessa vastuu on käyttäjällä, kun oikeastaan kaikissa muissa tunnistautumistavoissa vastuu on järjestelmällä.

Salasana on siis laajasti käytetty, mutta myös vaarallinen, joten yleisohjeena on todettava, että jos järjestelmä sen mahdollistaa, ainakin jos kyseessä on moderni ja laajasti käytetty järjestelmä, niin on parempi käyttää sen suosittelemaa ja joskus jopa pakottamaa kirjautumistapaa.

Jos salasanaa joutuu kuitenkin käyttämään, niin on valittava salasanojenhallintaohjelma sekä muodostettava yksilöllinen salasanojen generointistrategia. Kaksivaiheisella tunnistautumisella voi paikata huonon salasanan, mutta silloin samalla altistuu uusille uhkille, jos esimerkiksi kahdennuslaitteena käytettävä puhelin häviää, joten tällöin on joko käytettävä autentikaatiosovellusta, jonka tiedot ovat varmuuskopiotuna pilvessä (esim. Google Authenticator), kahdennettava puhelin (esim. iCloud Backup) ja vähintäänkin säilöä kaksivaiheiden tunnistautumisen palautumiskoodit, mielellään turvapussissa kassakaapissa tai pankin tallelokerossa.

Mestarillinen ratkaisu on tehdä kaikki yllä mainittu, mutta vähintään on siis valittava salasanojenhallintaohjelma ja muodostettava yksilöllinen salasanojen generointistrategia, ainakin jos haluaa suojata resurssinsa ja identiteettinsä maailmassa, missä saatamma kohta olla (viite).

Hallintaohjelma

Valitaan siis ensimmäisenä salasanojenhallintaohjelma. Vaihtoehtona ovat ulkoinen pilvessä toimiva palvelu, kuten 1Password (tai LastPass, tai Googlen, Applen tai muun teknojätin tarjoama palvelu), tai paikallisesti toimiva palvelu, kuten KeePass tai pass (viite). Pilvessä toimivat ovat helppokäyttöisiä ja ne integroituvat moderneihin selaimiin ja laitteisiin, mutta niiden tietokannat ovat internetissä, joten tällöin pitää varautua siihen, että eräänä päivänä heidän tietokantansa vuotavat. Varautuminen tarkoittaa käytännössä sitä, että tärkeimmissä palveluissa pitää käyttää kaksivaiheista tunnistautumista, eikä sen lisäksi voi säilyttää kaksivaiheisen tunnistautumisen palautumiskoodeja samassa salasanojen hallintaohjelmassa, missä varsinaiset (vuotaneet) salasanat ovat. Lisäksi tärkeimpien palveluin salasanat, tai ainakin sähköpostitilien salasanat, joiden avulla tyypillisesti vaihdetaan muiden järjestelmien salasanat, pitää joko muistaa ulkoa, tai niistä pitää säilyttää fyysistä kopiota esimerkiksi kassakaapissa turvapussissa tai pankin tallelokerossa.

On siis käytännössä muistettava joitakin salasanoja ulkoa. Jos elää kassakaappien ja pankkiholvien maailmassa, on muistettava vähintään yksi salasana eli salasanojenhallintaohjelman pääsalasana. Lisäturvallisuuden ja myös käytännöllisuuden vuoksi on kuitenkin parempi muistaa muutama muukin salasana, kuten juuri mainitun sähköpostitilin salasana, koska ensinnäkin se mahdollistaa nopeamman puolustaumisen, jos käytössä oleva salasanatietokanta korkataan, kun voi heti uutisen kuultua vaihtaa sähköpostitilin salasanan – olipa sitten itse missäpäin maailmaa tahansa. Sähköpostitilin salasanan vaihtamisen jälkeen pitää tietenkin vaihtaa myös muiden palveluiden salasanat, ja tärkeimmät ensimmäisenä, ja erityisesti ne, joihin puhelimessa oli kirjauduttu sisään, mutta koska tyypillisesti nimenomaan sähköpostin avulla hyökkääjä voi ottaa haltuun myös muita tilejä, niin siksi se pitää suojata ensimmäisenä.

Sähköpostin salasanan muistaminen mahdollistaa myös palautumisen tilanteessa, missä puhelin häviää ulkomailla, eikä käytössä ole varapuhelinta, tai mahdollisuutta ostaa uutta laitetta, johon voisi ladata vanhan puhelimen tiedot, jos käytössä on ollut automaattinen varmuuskopiointi, jolloin sähköpostiin pääsy on tärkeää sekä kommunikaation vuoksi esimerkiksi suurlähetystön suuntaan, jos kohta aina voi tietenkin luoda myös uuden sähköpostitilin sitä varten, mutta myös sen vuoksi, että yllä kuvatun tavoin sähköpostin avulla pääsee tyypillisesti muiden palveluihin. On kuitenkin muistettava, että jos sähköpostissa – ja niissä muissa palveluissa, joita tarvitsee varkaustilanteessa – on käytössä kaksivaiheinen tunnistautuminen, kuten on hyvä olla, niin kaksivaiheisen tunnistautumisen palautumiskoodit pitää olla matkan aikana joko fyysisenä repussa tai pilvessä piilossa yhden salasanan takana, koska muuten kirjautuminen ei onnistu.

Yksi mahdollinen paikka säilöä matkan ajaksi tärkeimpien palveluiden kaksivaiheisen tunnistautumisen palautumiskoodit on luoda erillinen sähköpostitili (esim. Gmail), missä ei ole käytössä kaksivaiheinen tunnistus, paitsi jos ihosi alla on sopiva siru, ja minkä tunnuksen ja salasanan, tai ainakin salasanan muistaa ulkoa. Tällöin pääset siihen käsiksi, vaikka repusta lähtien kaikki häviäisi. Ja sen jälkeen pääset niihin palveluihin sisään, joiden kaksivaiheisen tunnistautumisen palautumiskoodit ovat kyseisellä varatilillä. Varasähköpostitilin käyttäminen pelkällä sähköpostilla on siis piilossa oleva takaportti, jota teoreettisessa mielessä voi myös hyökkääjä hyödyntää, jos hän onnistuu pääsemään salasanatunnistuksesta läpi, joten palautumiskoodeja ei pidä säilyttää varatilillä yhtään pidempään kuin sen aikaa, kun on matkalla ja kun voi joutua vaikeaan tilanteeseen. Palautumiskoodit voi myös vaihtaa matkan jälkeen, ainakin jos epäilee niiden vuotaneen. Reaalimaailmassa todennäköisempi skenaario on, että joutuu kertomaan salasanat kiristettynä.

Edellä kuvatun perusteella on siis muistettava kolme salasanaa: salasanojenhallintaohjelman pääsalasana (1), sähköpostitilin salasana (2) sekä varasähköpostitilin salasana (3), ainakin kun matkustaa. Näiden avulla pääsee sisään kaikkiin muihin palveluihin, joihin kyseinen sähköpostitili on linkitetty ja joiden kaksivaiheisen tunnistautumisen palautumiskoodit ovat varasähköpostitilin takana.

Neljännen ja viidennen salasanan muistaminen ulkoa mahdollistaa täydellisen palautumisen ulkomalla, vaikka puhelin häviäisi, jos käytössä on ollut automaattinen järjestelmätason varmuuskopiointi, kuten iCloud Backup, ja jos muistaa puhelimen käyttämän ekosysteemin salasanan, ja ekosysteemin kaksivaiheisen tunnistautumisen palautumiskoodit ovat käytettävissä, kuten edellä kerrottiin (3. muitettava salasana), voi datan ladata uuteen puhelimeen. Muistamalla viidennen salasanan, eli verkko-operaattorin asiakasportaalin salasanan (esim. Oma Elisa), niin puhelimeen saa vanhan liittymän latamaalla uuden eSim-kortin, jolloin saa pääsyn puhelinnumeroon sidottuihin palveluihin (esim. WhatsApp, Telegram, Signal). Kirjoitushetkellä Elisa ei tue kaksivaiheista tunnistautumista ilman puhelinta, joten sitä ei voi kytkeä päälle, ainakaan matkan ajaksi, jos haluaa saada vanhan numeronsa käyttöön jo matkan aikana.

Ja siinäpä se: viisi salasanaa on muistettava, joilla pärjää sekä kotimaassa että ulkomailla. Ja teoriassa myös salasanojenhallintaohjelman salasanaa ei ole pakko muistaa, koska se ei ole pakollinen matkalla, jos muistaa sähköpostitilin ja varasähköpostitilin salasanat, ja myös kotimaassa sähköpostihallintaohjelman salasanan voi joka kerta tavata merkki kerrallaan kassakaapin turvapussissa säilytettävästä paperista, mistä on varmuuskopio pankin tallelokerossa, mutta käytännöllisempää on tietenkin muistaa salasana. Jos taas ei koskaan matkusta, niin viiden sijaan muistettavia on kaksi, tai yksi, jos säilyttää sähköpostitilin salasanasta fyysistä kopiota.

Edellä mainitusta voidaan johtaa periaate, että täysipainoiseen ja järkevän varautumistason elämään pitää muistaa viisi salasanaa. Näiden lisäksi palveluissa pitää olla päällä kaksivaiheinen tunnistautuminen, paitsi varasähköpostitilin ja verkko-operaattorin asiakasportaalin osalta yllä kerrotun mukaisesti, joka tarkoittaa, että palveluiden kaksivaiheiden tunnistamisen palautumiskoodit pitää olla varmuuskopioituna jossakin muualla kuin puhelimessa, jota (tyypillisesti) käytetään kaksivaiheisen tunnistautumisen ensisijaisena välineenä, eikä palautumiskoodeja pidä säilyttää myöskään salasanojenhallintaohjelmassa, missä on kaksivaiheisen tunnistautumisen ensimmäinen osa. Palautumiskoodien mahdollisia säilöjä ovat esimerkiksi salasanasuojattu 7z-paketti paikallisella kiintolevyllä, tai kassakaapin turvapussi, tai pankin sinetöity tallelokero, jolloin koodeihin pääsee käsiksi, vaikkei olisi pääsyä internet-palveluihin, joihin käyttää normaalitilanteessa.

On huomattava, että jos syystä tai toisesta ei ole pääsyä ensisijaiseen sähköpostitiliin (2. muistettava salasana), esimerkiksi jos Google kaatuu, ja varsinkin jos samaan aikaan kaatuu myös käytössä oleva salasanojenhallintaohjelma, kuten juuri Google Chromen tarjoama palvelu, niin tällöin joko pitää muistaa salasanat muihin palveluihin, tai sitten niihin voi etukäteen liittää useamman eri toimijan tarjoaman sähköpostitilin, jos palvelu sen mahdollistaa, kuten esimerkiksi Apple, Facebook ja LinkedIn. Salasanoista voi olla myös paikallinen kopio, fyysinen tai digitaalinen, yllä kuvatulla tavalla.

Tässä kohtaa olisi lukijaa varten tehty yhteenveto, miten allekirjoittanut on asian hoitanut, mutta koska se antaisi liikaa tietoa mahdollista hyökkäystä varten, niin asia jää kertomatta, mutta lukijalla on varmasti joka tapauksessa erilainen uhkaprofiili, niin jokaisen tulee tehdä oma suunnitelma, johon yllä on annettu aineksia. Siltä varalta, että haluaa todella varautua myös sitä vastaan, että salasanojenhallintaohjelma korkataan, tai jokin muu suuri toimija, niin on oltava hereillä ja toimia, kun se tapahtuu. On todennäköistä että suuresta vuodosta kuulee joka tapauksessa, mutta varman päälle ottava seuraa aktiivisesti tietoturvauutisia ja pyytää have i been pwned? -palvelua ilmoittamaan, kun jokin omista tunnuksista vuotaa (viite).

Generointistrategia

Koska käytännössä on salasanoja, jotka pitää muistaa, niin seuraava tärkeä aihe on salasanojen generointistrategia, eli miten luodaan tietokoneille ja muille ihmisille pitkiä ja vaikeita salasanoja, jotka ovat kuitenkin itselle helppoja muistaa ja luoda uusia. Tälläisiä salasanoja voi luoda esimerkiksi kaavalla POLIITIKKO + AJONEUVO + VIHANNES + oma syntymävuotesi kaksi viimeistä numeroa tai jokin muu henkilökohtainen leima, esimerkiksi postiosoitteesi. Näin voisi muodostua esimerkiksi mielikuva Sanna Marinista hevosen päällä laulamassa hoosiannaa pidellen samalla koria, missä on 83 kirsikkaa ("SannaKirsikkaMarin83HevosenPäälläHoosiannaa") tai Donald Trump soutuveneessä banaanitertun kanssa ("DonaldBanaaniTrump83SoutuveneenKunkku"). Poliitikkojen tilalla voi olla sarjakuvasankarit, vihannesten tilalla soittimet eli vaikkapa Batman soittamassa viulua uima-altaalla, missä ui valkohai + 83. Yhdistä noin kolme erilaista elämänaluetta ja luo jotain mahdollisimman hullua, ja kehittele mielikuvaa jonkun matkaa eteenpäin, jolloin yhtäältä muistat salasanan helposti ja toisaalta kukaan tai mikään muu ei voi sitä arvata, ainakaan ennen kvanttitietokoneen läpimurtoa, ja ainakaan, jos et kerro salasanaa muille kuin salasananhallintapalvelulle.

Monivaiheisuus (2FA, MFA)

Monet palvelut tarjoavat kaksivaiheista tunnistautumista lisätietoturvana (2FA) (viite), ja niinhän se onkin, että kun kirjautumisen joutuu kuittamaan toisella laitteella, niin suoja on vahvempi, mutta kuten aina tietoturvan kanssa, niin kaksivaiheisen tunnistamisenkin käyttöönotto pitää hoitaa huolella, eli tallentamalla kolmanteen paikkaan tunnistuksen purkukoodit siltä varalta, että menettää varmennuslaitteen. Purkukoodit voi olla hyvä laittaa talteen internetiin asti, esimerkiksi sähköpostiohjelmaan, jonne pääsee käsiksi myös julkiselta tietokoneelta. Tällöin luonnollisesti korostuu sähköpostiohjelman vahvan salasanan tarve.

Jos kaksivaiheisen tunnistuksen varmennuslaitteena käyttää omaa puhelinta, niin on hyvä ymmärtää, että jos puhelimessa on valmiiksi kirjautuneena sähköpostiin ja jos hyökkääjä onnistuu ohittamaan puhelimen kasvontunnistuksen tai PIN-koodin, niin sähköpostin kautta hyökkääjä voi päästä käsiksi kaikkiin tileihin, siis vaikka kaksivaiheinen tunnistus olisikin ollut käytössä. Näin ollen jos puhelin tarjoaa tuen, niin myös sähköpostiohjelman käyttö kannattaa laittaa vähintään kasvontunnistuksen taakse. Sähköpostiohjelmaan voi tietenkin kirjautua myös joka kerta erikseen, kun tarkistaa viestit esimerkiksi kerran päivässä.

Kaksivaiheisen tunnistamisen voi tehdä myös erillisellä autentikaatiolaitteella, esimerkiksi YubiKeyllä, joka ei toisaalta eroa puhelimesta siinä mielessä, että kumpaakin pitää kuljettaa mukana, jos haluaa kirjautua palveluihin tien päällä, eli se on yksi tavara lisää huolehdittavana, mutta toisaalta YubiKey on nopeampi käyttää, eikä se vaadi internet-yhteyttä (viite).

Vahva sähköinen

Kirjoitushetkellä pankit ja viranomaiset suosivat vahvassa sähköisessä tunnistamisessa TUPAS- ja Luottamusverkosto-tunnistautumisjärjestelmiä, joita todennäköisesti jokainen on hyödyntänyt esimerkiksi maksaessaan verkko-ostoksensa pankkitunnuksillaan (viite). Pankkitunnukset on hyvä olla ainakin kahteen eri pankkiin.

Mobiilivarmenne on pankkitunnusten ohella toinen tapa tunnistautua eri palveluihin, mutta kirjoitushetkellä Elisa (eSim) ei tue järjestelmää (viite).

Data

Data jota ei halua kenenkään muun saataville, pitää kryptata (esim. VeraCrypt). Tällöin datan voi myös helposti varmuuskopioida internetiin, jolloin on suojautunut tulipaloa ja hirmumyrskyä vastaan (ns. offsite-backup tai disaster-backup). Kryptattu kiintolevy suojaa myös varkaudelta, jos esimerkiksi kotijuhlissa levy lähtee vieraan matkaan. Kryptauksen korruptoitumisen ja kryptausavaimen menettämisen varalle levystä on hyvä olla olemassa myös säännöllisesti otettu kryptaamaton kopio, jota säilytetään turvapussissa, tai turvateipillä käärityssä paketissa, esimerkiksi pankin tallelokerossa tai kassakaapissa. Näin toimimalla saa tietää, jos levy on oikeudettomasti avattu. Lisäksi kiintolevyn värivalinnalla voi vaikuttaa siihen, ettei huomiota herättämättömän väristä levyä sekoita samanväriseen lapaseen, kuten allekirjoittaneen juhlissa eräälle vieraalle kävi. Punaista kiintolevyä ei sekoita niin helposti muihin tavaroihin.

Salaamattoman primääridatan ylikirjoituksen ammattimainen datanpalauttaja voi onnistua palauttamaan (esimerkiksi HammarData).

Varmuuskopiointi

On sanomattakin selvää, että kaikki itselle tärkeä kannattaa kahdentaa. Vähemmän selvää lienee se, että nykypäivänä puhelimen ja tietokoneen kahdennus on erittäin helppoa ja yksinkertaista, ainakin Apple-maailmassa, jolloin laitteen voi luoda aina uudestaan pilvestä. Apple-palveluiden nimet ovat iCloud Backup ja Time Machine. Allekirjoittanut ottaa säännölliset varmuuskopiot myös monesta muusta, kuten Google-asiakirjoista (Docs, Sheet), Youtube-playlistoista sekä selaimen bookmarkeista.

Jos ja kun liikeyhtiö menee joskus konkurssiin, kuten vaikkapa Apple, niin sillä hetkellä liikeyhtiön velvollisuudet asiakkaita kohtaan lähestyvät hyvin nopeasti nollaa, koska yhtiöt ovat tyypillisesti sanoutuneet irti kaikista velvollisuuksista sillä hetkellä, kun käyttäjä luo tilin. Tällä hetkellä maailma näyttää siltä, ettei Apple ole mihinkään häviämässä tai jos onkin, niin joku toinen yhtiö ostaa heidän käyttäjäkuntansa ja tiedot pysyvät tallessa, mutta jos haluaa varmistaa selustan, niin kaikista tärkeimmät resurssit voi tallentaa säännöllisesti paikalliselle kiintolevylle, joka on pääosan ajasta kirjahyllyssä kytkettynä pois muusta maailmasta - esimeriksi sen vuoksi, että kaikki muut järjestelmät kryptautuvat yhdellä hetkellä kiinni. Säännöllistä tallentamista varten ei tarvitse välttämättä rakentaa automatisoitua scriptiä, vaan varmuuskopioinnin voi tehdä myös käsin esimerkiksi kerran vuodessa hyödyntäen kalenteria ja sen muistuttavaa luonnetta.

Paikallisten kiintolevyjen lisäksi Amazon Glacier ja Google Storage ovat palveluita, joissa voi säilyttää suuria määriä dataa halvalla (viite) (viite).

Varmuuskopioinnissa - kuten oikeastaan kaikessa tietoturvassa - on olennaista tarkistaa säännöllisesti, että varmuuskopiointi toimii edelleen. Hyvä tapa on etsiä jokin todellinen tieto, jolloin varmistuu, että koko ketju toimii alusta loppuun asti.

Puhelimen kameralla on helppo varmuuskopioida fyysisen maailman asioita digitaaliseen muotoon, esimerkiksi asiakirjoja. Vastaavasti tulostimella voi varmuuskopioida digitaalista sisältöä fyysiseen maailmaan.

Kahdennus

Kuten yllä mainittu, varmuuskopiointi on kahdennusta, täsmälleen ottaen datan kahdennusta, mutta kahdennuksen idea on käyttökelpoinen myös laajemmassa mielessä, sillä digitaalisia resursseja voi suojata esimerkiksi kahdentamalla puhelimen, internet-liittymän ja pankkiyhteyden siltä varalta, että jokin tietty verkko-operaattori ei toimi. On hyvä olla varayhteys, joskus jopa varayhteyden varayhteys.

Myös veden, ruoan ja viemärin voi kahdentaa kaivon, pullotetun veden, pussiruoan ja kannellisen ämpärin avulla. Myös viranomaistiedotteita varten radion voi kahdentaa ostamalla veivattavan matkaradion (viite). Sähköjakelun voi kahdentaa agregaattorilla tai varavirtapankilla.

Luottokortinkin voi kahdentaa, joka varsinkin ulkomailla on hyvä idea. Esimerkiksi Stockmann MasterCard ja S-pankki Visa ovat kirjoitushetkellä ilmaisia luottokortteja (2024-10-24), joten näiden kautta saa siis itselleen ilmaiseksi kaksi luottokorttia ja lisäksi kahdet verkkopankkitunnukset siltä varalta, että ensisijainen pankkipalvelu on DDoS-hyökkäyksen kohteena (viite) (viite). Verkkopankkitunnukset voi kahdentaa aiemmin mainitulla mobiilivarmenteella.

Vuoto

Merkittäviä tietokantavuotoja tapahtuu kuukausittain (viite).

Tietokantavuotoja tapahtuu jatkuvasti, missä omat autentikointitiedot voivat päätyä rikollisille. Näistä voi kuulla Ylen kautta, esimerkiksi seuraamalla heidän 20:30 iltauutisia, mutta koska Yle ei voi kertoa jokaisesta maailman internet-palvelun vuodosta, niin halutessaan asiaa voi seurata tarkemmin Kyperturvallisuuskeskuksen uutiskirjeiden (viite) sekä filantropisen have i been pwned? -palvelun kautta (viite).

Vuotoja vastaan voi varautua myös käyttämällä pseudonymisoituja tietoja, kun se on mahdollista, eli kertomalla itsestään väärät tiedot. On mahdollista luoda myös useita sähköpostitilejä, vaikka jokaista palvelua varten oma (viite). Tämän ominaisuuden tarjoavat ainakin Apple, Proton ja Fastmail.

Puolustussuunnitelma

Varmuuskopioiden säännöllisen tarkistuksen, valittujen salasanastrategioiden hallinnan ja muiden myöhemmin esiteltävien tietoturvatoimien vuoksi on oikeastaan hyvä olla olemassa henkilökohtainen puolustussuunnitelma, missä on listattuna tärkeimmät resurssit, niiden suojaus ja kahdennus, ja lisäksi kuinka niihin pääsee käsiksi, jos ensisijainen tapa ei ole enää syystä tai toisesta käytettävissä.

Ohjelmistopäivitykset

Kaikki ohjelmistot, ainakin kriittisimmät, on tärkeä pitää ajantasalla ja helpoin tapa siihen on sallia automaattiset päivitykset, joskin kääntöpuolella silloin voi käydä niin, että eräänä aamuna mikään omista laitteista ei käynnisty, jos yön aikana laitteisiin on asentunut ohjelmistovirhe esimerkiksi jonkin matalan tason kirjaston kautta, kuten kävi kesällä 2024 (viite). Ratkaisu tähän on sallia automaattiset päivitykset esimerkiksi kaikkiin muihin laitteisiin, paitsi puhelimeen, jonka päivitykset hoitaa manuaalisesti esimerkiksi joka sunnuntai riippuen omista muista rutiineista. Kalenteriteknologialla manuaalisetkaan päivitykset eivät unohdu.

Virustutka

Virustutka estää osan hyökkäyksistä, muttei suojaa kaikelta, joten käyttäjän tulee ymmärtää aina, miten toimii internetissä. Kaikkia linkkejä ei tule seurata, varsinkaan niitä, jotka vetoavat tunteisiin. Salasanoja ja muita tietoturvatietoja ei tule kertoa kenellekään. Ohjelmia ei tule asentaa ilman varmuutta siitä, mitä on tekemässä. Karkeasti voi ajatella, että virustutka saa kiinni 20 % hyökkäyksistä, mutta loput 80 % riippuu siitä, miten tietokonetta käyttää.

Yksityisyys

Aiemmin mainitun pseudonymisoitujen tietojen lisäksi yksityisyyttä voi internetissä suojata käyttämällä selaimen anonymiteettitilaa, jota Chrome-selaimessa kutsutaan termillä Incognito, vaikkakin on oletettava, että niidenkin käytöstä tieto kulkee viranomaisille yritysten kautta, kuten on jo kertaalleen todistetusti tapahtunut (viite). Todellista anonymiteettiä tarjoavat VPN-palvelut ja Tor-verkko.

Selaimessa voi käyttää mainonnanestosuodatinta (uBlock Origin) ja verkkosivusten evästekyselyissä voi kieltää kaiken ylimääräisen, minkä voi myös automatisoida esimerkiksi selainlaajennuksilla CookieBlock tai "I don't care about cookies".

Täydellistä yksityisyyttä haluava menee golf-kentälle, ei järvenselällä, koska vesi on hyvä kuljettamaan ääniaaltoja. Lähtökohta on se, että kaikkia laitteita voidaan kuunnella ja valvontakamerat lisääntyvät (viite).

Viestintä

Viestinnän salauksesta ei tarvitse peruskäytössä erityisemmin murehtia, mutta jos haluaa viestiä niin, ettei kolmas osapuoli pääse siihen käsiksi, ei edes Yhdysvaltojen viranomaiset, niin parhaan olemassa olevan tiedon perusteella hyviä sovelluksia tähän ovat julkisella avaimella kryptatut sähköpostit (viite) sekä Signal (viite) (2024-07-10).

Viestinnän salauksessa on hyvä muistaa, että mikään suojaus ei ole riittävä, jos viestin vastaanottaja jakaa tiedon eteenpäin. Digitaalisessa ympäristössä tiedon levittäjällä on olemassa myös aina todiste viestin lähettäjästä, kun taas golf-kentällä todistetta varten pitää olla asennettuna salakuuntelu päälle.

Kodin verkkolaitteet

Tietokoneiden ja puhelimien lisäksi kodin lähiverkon reitittimien ja kytkimien sekä tietenkin televisioiden, jääkaappien, web-kameroiden, itkuhälyttimien ja kaikkien muiden verkossa olevien laitteiden oletussalasanat tulee vaihtaa vahvoiksi. Ammattilainen varmistaa myös, etteivät laitteet ole auki koko internetiin, paitsi silloin, kun se on välttämätöntä. Porttien ja IP-osoitteiden vaihtaminen epätyypillisiksi parantaa suojausta. Omia käytössä olevia IP-osoitteita vasten voi ja saa ajaa porttiskannauksen, jonka avulla voi tutkia oman lähiverkon haavoittuvuuksia (viite).

Kaikkien laitteiden järjestelmäpäivitykset tulee pitää ajantasalla, jos kohta voi olla niinkin, ettei nykymaailmassa laitevalmistajien digitaalinen vastuu ole kummoinen, eli siinä mielessä olemme edelleen villissä maailmassa, koska käyttäjä ei voi käytännössä mitenkään varmistua etukäteen, toimivatko yritykset oikein, ja toisekseen palvelua käyttääkseen on jokaisen hyväksyttävä, etteivät yritykset ole vastuussa mistään.

Fyysinen maailma

Kirjoituksessa on tähän asti käsitelty digitaalisen maailman tietoturvaa, mutta myös fyysistä maailmaa voi johonkin mittaan asti suojata.

Vakuutuksilla voidaan turvata omaisuutta, jonka voi rahalla korvata, ainakin silloin, kun kyseessä ei ole force majeure -tapaus, joista vakuutusyhtiöt tyypillisesti sanoutuvat irti (viite). Sotatila ja luonnonkatastrofi voivat olla tälläisiä.

Tärkeitä asiakirjoja voi säilyttää kassakaapissa tai pankin tallelokerossa. Kassakaappi voidaan varastaa ja lisäksi sen palokestävyys on tyypillisesti noin tunti. Pankkien tallelokerot sen sijaan ovat paremmin suojattuja, mutta niihin liittyy pakkokollektivoinnin riski, joka historiallisesti katsottuna on harvinaista. Asiakirjoista voi ottaa myös valokuvan ja tallettaa sen esimerkiksi sähköpostijärjestelmään.

Testamentin tekeminen kannattaa, jos varallisuutta on paljon ja sen haluaa jakaa poikkeuksellisella tavalla. Testamentin laadintaan tarvitaan kaksi todistajaa ja jotta sen muotovaatimukset täyttyvät, on hyvä käyttää asianajotoimistoa tai lukea kirja (viite). On myös hyvä miettiä, haluaako lisätä digitaalisten palveluiden tunnukset testamenttiin ja esittää toive, mitä niillä tulee kuolemantapauksessa tehdä. Testamentin tulee olla ulkopuolisen helposti löydettävissä.

Matkoilla - miksei myös muulloinkin - voi kantaa mukana yhteystietoja luottokortin sulkupalveluun, matkavakuutuksen tarjoajaan sekä lähiomaisten puhelimiin. Näitä tietoja ei tule säilyttää lompakossa tai puhelimessa, koska ne varastetaan ensimmäisenä. Luottokortin taakse voi kirjoittaa harhautukseksi väärän PIN-koodin.

Apple-maailmassa on tarjolla AirTag-teknologia eli esimerkiksi avaimiin, polkupyörään tai matkalaukkuun kiinnitettävä nappi, jolla tavara voidaan paikantaa.

Pitkiä sähkökatkoksia ja muita yhteiskunnan häiriötilanteita varten on tärkeä olla kotivara (viite).

Skenaarioharjoitus

On hyvä järjestää skenaarioharjoituksia ja kokeilla käytännön tasolla, miten palautuminen onnistuu kotioloissa ilman paniikkia.

Perusskenaario 1: Puhelin häviää ulkomailla.

Ratkaisu: Jos muistat laitteesi ekosysteemin salasanan ja tunnuksen, esim. Apple ID:n, ja olet käyttänyt iCloud Backup -palvelua, niin voit ostaa uuden laitteen ja ladata siihen edellispäivän datan. Muistamalla salasanan ja tunnuksen viestipalveluun, esimerkiksi sähköpostiin ja Facebookiin, voit olla yhteydessä muihin ilman puhelinta. Jos puhelin käyttää sähköistä sim-korttia (eSim), niin operaattori voi yhtäältä sulkea vanhan puhelimen liittymän ja toisaalta antaa ladattavaksi uuden liittymän eSim-kortin. Toimivan liittymän tarvitsee käyttääkseen viestipalveluja WhatsApp, Telegram ja Signal. Find My iPhone -palvelulla voi hakea puhelimen takaisin. Käytä mahdollisuuden mukaan puhelimessa sovellustasoista kasvotunnistusta, joka estää puhelimen varastajan pääsyn avoinna olevaan sähköpostitiliin, jonka kautta hän voisi vaihtaa muiden palveluiden salasanoja.

Perusskenaario 2: Kaikki laitteet lukittuvat yön aikana (ransomware) (viite).

Ratkaisu: Ota digitaalisesta materiaalista säännölliset varmuuskopiot eri medioille, jotka eivät ole kytketty internetiin eli esimerkiksi muistikortille, ulkoiselle kovalevylle tai paperille. Pidä laitteissasi päällä automaattista järjestelmätason varmuuskopiointia, jotta voit tehdä Time Machine -siirtymän taaksepäin hetkeen, jolloin laitteet eivät olleet vielä kryptautuneet kiinni. Ennen taaksepäin siirtymistä pitää varmistaa, ettei lukko pääse tulemaan uudestaan. Kaikissa laitteissa ei siis kannata olla päällä automaattiset päivitykset päällä, jotteivat kaikki laitteet lukkiudu random hyökkäysvektorin vuoksi samalla hetkellä, joten esimerkiksi puhelin kannattaa päivittää manuaalisesti esimerkiksi joka sunnuntai. Muista kuitenkin pyhittää lepopäivä.

Perusskenaario 3: 1Password korkataan eli kaikki salasanat vuotavat internetiin.

Ratkaisu: Seuraa tietoturvauutisia, että kuulet asiasta. Aloita uusi tietokanta paikallisessa salasanojenhallintaohjelmassa (esim. KeePass). Vaihda sähköpostien salasanat. Jos 1Password on alhaalla, etsi sähköpostien salasanat fyysisestä varmuuskopiosta, jota säilytät turvapussissa pankkiholvissa. Sen jälkeen vaihda muiden palveluiden salasanat tärkeysjärjestyksessä (esim. Apple, Facebook, LinkedIn, jne.)

Perusskenaario 4: Internet ja sähköt eivät toimi viikkoon.

Ratkaisu: Omista kynttilä, tulitikut ja sähkötöntä viihdettä (esimerkiksi egyptiläinen Lego-pyramidi, tai italialainen Ferrari). Omista myös matkaradio, veivattava sellainen, varavirtapankki, vettä, kannellinen sankko, ruokaa ja paperilla tärkeät radiokanavat. Viinipullo.