Teksti: Satu Rantakokko [English version below]<\/strong><\/p>\n <\/p>\n \u201dMinulla ei ole mit\u00e4\u00e4n salattavaa\u201d ei ole koskaan ollut j\u00e4rkev\u00e4 l\u00e4hestymistapa yksityisyydensuojaan. Silti viel\u00e4kin sit\u00e4 kuulee ja usein h\u00f6ystettyn\u00e4 rehellisyyslis\u00e4ll\u00e4; vain rikollisilla on salattavaa. Kirjoitin aiheesta Vaasan yliopiston V\u00e4it\u00f6skuiskaaja-blogiin marraskuussa 2020 pian Vastaamon tietomurron tultua julki (https:\/\/blogs.uwasa.fi\/thesis\/minulla-ei-ole-mitaan-salattavaa\/<\/a>). Tuolloin yli 30\u00a0000 ihmisen psykoterapiamerkint\u00f6j\u00e4 k\u00e4ytettiin kirist\u00e4misen v\u00e4lineen\u00e4 ja sittemmin my\u00f6s julkaistiin. Mukana meniv\u00e4t henkil\u00f6tiedot, mukaan lukien henkil\u00f6tunnus. Rikoksesta tuomitun Aleksanteri Kivim\u00e4en rangaistusta korotettiin hovioikeudessa helmikuussa kuukautta vaille maksimiin;<\/p>\n 6 vuotta 11 kuukautta maamme historian laajimmasta ja julmimmasta tietomurrosta kiristyksineen.<\/p>\n Kun tapaus tuli julki 21.10.2020, se sai aikaan valtavan mediajulkisuuden ja paljon vaatimuksia, toiveita ja pyrkimyksi\u00e4kin menn\u00e4 parempaan suuntaan tietoturvassa, kun karuimmalla tavalla oli k\u00e4ynyt ilmi, miten konkreettinen ja kaikkia koskeva uhka tietoturvan lipsuminen on. Erityisen voimakkaasti vaadittiin, ettei henkil\u00f6tunnusta en\u00e4\u00e4 k\u00e4ytett\u00e4isi tunnistamisen v\u00e4lineen\u00e4, kuten ei olisi pit\u00e4nyt k\u00e4ytt\u00e4\u00e4 silloinkaan, sill\u00e4 henkil\u00f6tunnus on tarkoitettu vain yksil\u00f6intiin, ei tunnistamiseen.<\/p>\n Vastaamon tapauksessa satuttavinta varmasti oli yksityisten ja arkaluontoisten, terapiassa kerrottujen asioiden k\u00e4ytt\u00e4minen kirist\u00e4misen v\u00e4lineen\u00e4, niiden julkaiseminen, sek\u00e4 siit\u00e4 seurannut pelko ja huoli, ett\u00e4 ihmiset saavat tiet\u00e4\u00e4 kaikkein satuttavimmat asiat ja niit\u00e4 voidaan ehk\u00e4 k\u00e4ytt\u00e4\u00e4 itse\u00e4 vastaan. Silti jo niinkin pienest\u00e4 asiasta kuin henkil\u00f6tunnuksen vuotamisesta seurasi silloin ja seuraa yh\u00e4 edelleen melkoisesti harmia, vaivaa ja vahinkoa siit\u00e4kin.<\/p>\n Viimeksi muutama p\u00e4iv\u00e4 sitten minut \u201dtunnistettiin\u201d puhelimessa henkil\u00f6tunnuksella ja osoitteella. Kyseess\u00e4 oli terveydenhuollon toimija. Hiljattain n\u00e4in toimi my\u00f6s teleoperaattori tehdess\u00e4ni tilausta. Rekisterinpit\u00e4j\u00e4 ei saa k\u00e4ytt\u00e4\u00e4 pelk\u00e4st\u00e4\u00e4n henkil\u00f6tunnusta asiakkaan tunnistamiseen, mutta ei osoitteen kysyminen lis\u00e4\u00e4 turvallisuutta kuin korkeintaan marginaalisesti. Esimerkiksi Vastaamon tietomurrossa osoitteet meniv\u00e4t tietysti samalla kuin henkil\u00f6tunnuksetkin, mutta henkil\u00f6tunnuksella saa kyll\u00e4 yleens\u00e4 tietoonsa ihmisen osoitteenkin halutessaan. Viime vuosina muistan vain hyvin harvoja tapauksia puhelinasioinnissa, joissa tunnistaminen on tehty siten, ett\u00e4 koen tulleeni aidosti tunnistetuksi. \u00a0Vahva tunnistaminen on tietysti paras, mutta my\u00f6s kyselem\u00e4ll\u00e4 on v\u00e4lill\u00e4 satsattu kysymyksiin, joita ei ihan jokainen voisi helposti selvitt\u00e4\u00e4, ellei juuri kyseinen rekisteri olisi vuotanut.<\/p>\n Vastaamon tietomurron yhteydess\u00e4 uhreille selvisi nopeasti, ett\u00e4 kattavaa ja hyv\u00e4\u00e4 ohjeistusta tarvittaviin toimenpiteisiin ei oikein ollut saatavilla. Netiss\u00e4 k\u00e4ytiinkin paljon keskustelua siit\u00e4, mit\u00e4 pit\u00e4isi tehd\u00e4 ja uhrit auttoivat toisiaan jakamalla muillekin, mit\u00e4 olivat saaneet selville. Nyt tarjolla on viranomaisyhteisty\u00f6ss\u00e4 toteutettu, mielest\u00e4ni aika n\u00e4pp\u00e4r\u00e4 tietopaketti tietomurron uhreille tai uhriksi joutumista ep\u00e4ileville. Oppaassa ohjeistetaan erilaisissa tapauksissa siihen, miten voi huomata henkil\u00f6tietojen v\u00e4\u00e4rink\u00e4yt\u00f6n, mit\u00e4 kieltoja kannattaa tehd\u00e4 ja miten voi minimoida vahingot ja est\u00e4\u00e4 v\u00e4\u00e4rink\u00e4yt\u00f6kset. Opas l\u00f6ytyy t\u00e4\u00e4lt\u00e4: https:\/\/www.suomi.fi\/oppaat\/tietovuoto?a=552a&a=b1da<\/a> ja siihen kannattaa tutustua, vaikka ei juuri nyt ep\u00e4ilisik\u00e4\u00e4n joutuneensa tietomurron uhriksi.<\/p>\n Henkil\u00f6tunnuksen vuotamisesta opas neuvoo tekem\u00e4\u00e4n seuraavat toimet:<\/p>\n Se on aikamoinen urakka pelk\u00e4st\u00e4\u00e4n siit\u00e4, jos henkil\u00f6tunnus vuotaa jossakin tietomurrossa, vaikka henkil\u00f6tunnusta ei pit\u00e4isi edes voida k\u00e4ytt\u00e4\u00e4 henkil\u00f6llisyyden todistamiseen, eik\u00e4 sen vuotamisesta siten pit\u00e4isi voida seurata mit\u00e4\u00e4n. Eik\u00e4 urakka ole edes kertaluonteinen, sill\u00e4 esimerkiksi henkil\u00f6kohtainen luottokielto vaikuttaa tavalliseen el\u00e4m\u00e4\u00e4n toistuvasti ja vaatii my\u00f6s uusimista kahden vuoden v\u00e4lein. V\u00e4\u00e4rink\u00e4yt\u00f6ksi\u00e4 voi tapahtua viel\u00e4 vuosienkin j\u00e4lkeen, joten ostotietojen tarkkailu ei lopu oikeastaan koskaan. Yhteystietojen luovutuskielto aiheuttaa ylim\u00e4\u00e4r\u00e4ist\u00e4 ty\u00f6t\u00e4 esimerkiksi muuttaessa, koska uusi osoite on sitten muistettava itse ilmoittaa tarvittaville tahoille.<\/p>\n Toisaalta nuo toimenpiteet olisi hyv\u00e4 tehd\u00e4 jokaisen jo ennen kuin tulee tietomurron uhriksi ja minimoida haitat n\u00e4in ennalta. Uusia, laajoja tietomurtoja tulee ilmi usein ja tietomurron paljastuminenkin voi tulla pitk\u00e4ll\u00e4 viiveell\u00e4. Vastaamon tietomurrot olivat tapahtuneet vuosina 2018 ja 2019 ja ne tulivat ilmi vasta lokakuussa 2020, kun Vastaamo sai kiristysviestin asiasta.<\/p>\n Maailmanlaajuisesti tietom\u00e4\u00e4r\u00e4 kaksinkertaistuu kahden vuoden sykleiss\u00e4 ja pilvipalveluiden k\u00e4ytt\u00f6 kasvaa vauhdilla. Tietomurroista on tullut samalla yh\u00e4 yleisempi\u00e4, monimutkaisempia ja taloudellisesti vahingollisempia. V\u00e4h\u00e4n poimintoja tietomurtodatasta (l\u00e4hde: https:\/\/www.datastackhub.com\/insights\/data-breach-statistics\/<\/a>)<\/p>\n Olen vahvasti sill\u00e4 kannalla, ett\u00e4 jokaisella on salattavaa \u2013 jo henkil\u00f6tunnuksesta alkaen – sen vuoksi, ett\u00e4 sit\u00e4 v\u00e4\u00e4rink\u00e4ytet\u00e4\u00e4n tunnistamisen v\u00e4lineen\u00e4. Muissakaan asioissa oma rehellisyys ja kunnollisuus ei takaa muiden olevan samanlaisia, vaan hyvinkin harmittomia tiedonpalasia voidaan k\u00e4ytt\u00e4\u00e4 v\u00e4\u00e4rin ja yhdistell\u00e4 toisiinsa saaden selville yll\u00e4tt\u00e4v\u00e4n paljon asioita. Siit\u00e4 tulevissa blogeissa enemm\u00e4n. Vaikka omasta tietoturvastaan voi ja kannattaa huolehtia mahdollisimman hyvin, meist\u00e4 ker\u00e4t\u00e4\u00e4n organisoidustikin paljon sellaista tietoa, jonka turvallisuuteen emme pysty vaikuttamaan. N\u00e4in on esimerkiksi juuri terveydenhuollon suhteen, kuten Vastaamon tapauksessakin.<\/p>\n Mahdolliseen tietomurron uhriksi joutumiseen kannattaa siis varautua ennalta niiss\u00e4 m\u00e4\u00e4rin, kuin se itselle on mahdollista, jotta haitat j\u00e4isiv\u00e4t mahdollisimman pieniksi, sill\u00e4 todenn\u00e4k\u00f6isyys uhriksi joutumiselle kasvaa jatkuvasti.<\/p>\n <\/p>\n *******<\/p>\n \u201cI have nothing to hide\u201d has never been a sensible approach to privacy. Yet it is still heard, often reinforced with a claim of honesty: only criminals have something to hide. I wrote about this topic in the University of Vaasa\u2019s V\u00e4it\u00f6skuiskaaja blog in November 2020, shortly after the Vastaamo data breach became public (https:\/\/blogs.uwasa.fi\/thesis\/minulla-ei-ole-mitaan-salattavaa\/). At that time, the psychotherapy records of more than 30,000 people were used as a tool for blackmail and were later also published. Personal data, including personal identity codes, were exposed. The sentence of Aleksanteri Kivim\u00e4ki, who was convicted of this crime, was increased by the Court of Appeal in February to nearly the maximum: 6 years and 11 months for the most extensive and cruel data breach in Finland\u2019s history, including extortion.<\/p>\n When the case became public on October 21, 2020, it generated enormous media attention and many demands, hopes, and efforts to improve data security, as it revealed in the harshest possible way how concrete and universal the threat of failing data protection is. There were particularly strong calls to stop using personal identity numbers as a means of identification, as they should never have been used for that purpose in the first place\u2014they are meant only for distinguishing individuals, not for verifying identity.<\/p>\n In the Vastaamo case, the most painful aspect was undoubtedly the use of private and sensitive information shared in therapy as a tool for blackmail, its publication, and the resulting fear and concern that others would learn deeply personal and hurtful things and possibly use them against the individuals. However, even something as seemingly minor as the leakage of a personal identity code caused\u2014and still causes\u2014a significant amount of harm, inconvenience, and damage.<\/p>\n Just a few days ago, I was \u201cidentified\u201d over the phone using my personal identity code and address. The caller was a healthcare provider. Recently, a telecom operator did the same when I placed an order. A data controller is not allowed to rely solely on a personal identity number to identify a customer, but asking for an address adds only marginal security. For example, in the Vastaamo breach, addresses were naturally leaked along with personal identity numbers. Moreover, with a personal identity number, it is usually possible to find out a person\u2019s address if one wishes. In recent years, I can recall only very few phone interactions where I truly felt properly identified. Strong authentication is, of course, the best option, but sometimes such additional questions are used that are not easily answered by a culprit unless a specific database has been compromised.<\/p>\n After the Vastaamo breach, victims quickly realized that there was no comprehensive or clear guidance available on what actions to take. There was a great deal of online discussion, and victims helped each other by sharing what they had learned. Now there is a practical information package created in cooperation with authorities for victims of data breaches or those who suspect they may be victims. The guide explains how to detect misuse of personal data, what types of restrictions to set, and how to minimize damage and prevent abuse. You can find the guide here: https:\/\/www.suomi.fi\/oppaat\/tietovuoto?a=552a&a=b1da<\/a> \u2014 it\u2019s worth reading even if you don\u2019t currently suspect that you\u2019ve been a victim.<\/p>\n If a personal identity number has been leaked, the guide recommends the following actions:<\/p>\n This is quite an undertaking just because a personal identity code has been leaked in a data breach\u2014even though PI code should not be usable for identity verification, and its leakage should not, in principle, lead to any consequences. Nor is this a one-time effort: for example, a personal credit ban affects everyday life repeatedly and must be renewed every two years. Misuse can occur even years later, so monitoring accounts and purchases never truly ends. Restricting the release of contact information creates extra work when moving, as you must remember to notify your new address yourself to relevant parties.<\/p>\n On the other hand, it would be wise for everyone to take these measures even before becoming a victim of a data breach to minimize harm proactively. New large-scale data breaches are frequently discovered, and the discovery of a breach may be significantly delayed. The Vastaamo breaches occurred in 2018 and 2019 but were not revealed until October 2020, when the company received a blackmail message.<\/p>\n Globally, the amount of data doubles every two years, and the use of cloud services is growing rapidly. At the same time, data breaches have become more common, more complex, and more financially damaging. Some data breach statistics (source: https:\/\/www.datastackhub.com\/insights\/data-breach-statistics\/):<\/p>\n I strongly believe that everyone has something to hide\u2014starting with their personal identity number\u2014because it is misused as a means of identification. In other matters as well, your honesty and integrity do not guarantee the same from others. Even seemingly harmless pieces of information can be misused and combined to reveal surprising amounts of detail. I will write more about this in future blog posts. Although we can and should take care of our own data security as well as possible, a great deal of information about us is also collected in organized systems over which we have no control. This is particularly true in healthcare, as demonstrated by the Vastaamo case.<\/p>\n It is therefore advisable to prepare in advance for the possibility of becoming a victim of a data breach, as much as one can, so that the harm remains as limited as possible\u2014because the likelihood of becoming a victim is continuously increasing.<\/p>\n <\/p>\n","protected":false},"excerpt":{"rendered":" New large-scale data breaches are frequently discovered, and the discovery of a breach may be significantly delayed.<\/p>\n","protected":false},"author":388,"featured_media":482,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1],"tags":[151,152,153,158,154,65,159,96,157,3,155,156,150],"class_list":["post-479","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-yleinen","tag-cybersecurity","tag-databreach","tag-dataprotection","tag-digitaalinenetiikka","tag-digitalethics","tag-ethics","tag-identiteetti","tag-identity","tag-kyberturvallisuus","tag-privacy","tag-tietosuoja","tag-tietoturva","tag-tietovuoto"],"acf":[],"post_meta":"\n
\n
Do I have something to hide?<\/h2>\n
Yes. I have things to hide\u2014and so do you.<\/h3>\n
\n
\n