Tietomurto

 

Vastaamoon kohdistuneesta tietomurrosta on tullut nyt vuorokauden ajan epäselviä tietoja.

 

Tätä kysymystä en ole kuullut: onko todella mahdollista, että mielenterveysasioita ainakin 12 psykiatrin voimin antava yritys on säilyttänyt potilastiedot yhdessä paikassa?

 

Kun näitä tietoja on vuotanut kiristäjille ”kymmeniä tuhansia” on vaikea edes kuvitella muuta. Tiedot ovat olleet palvelimella tai pilvessä.

 

Se ei ole oikeastaan kiinnostavaa, ovatko ne olleet salattuja, koska monien tietotekniikkaa syvällisemmin osaamattomien henkilöiden käytössä olevien tiedostojen salauksen tason tiedän. Kovalla ammattitasolla salaamisen murtaminen on ajan funktio. Jotkut tuon alan ammattilaiset sanovat joskus vitsikkäästi, että jokin tietty salausjärjestelmä on tietysti murrettavissa, mutta murtoon tarvittaisiin enemmän kuin maailmankaikkeuden vielä käytettävissä oleva aika.

 

Tilanne on kauhea. Tuollaiset tiedot ovat ”kassakaappitavaraa”. Yksinkertaistan esimerkkiä: tiedot ja tiedostot voi säilyttää tietokoneen ulkoisella kovalevyllä, joka on varkailta turvassa. Terapeutti voi käyttää niitä kirjoittautumalla salattuun järjestelmään.

 

Jos potilastietoja on käytetty verkossa olevalla tietokoneella, ne ovat vaarassa. Suhteellisen uskottava tapa – yksinkertaistettu esimerkki jälleen – on käyttää potilasasioihin erillistä tietokonetta, joka ei ole koskaan verkossa. Ulkoisia kovalevyjä on USB-tikuista erinomaisiin ja nopeisiin SSD-levyihin. Potilastietoihin ja lääkemääräyksiin sopivia tietokoneita saa muutamalla satasella.

 

Kun lakeja muutettiin, pidin tässä blogissa aika paljon meteliä tietosuoja-asetuksen ja sen taustalla olevan EU-asetuksen järkyttävän huonosta tasosta. Säädöksen nimi esimerkiksi on Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus). Suomessa on tietosuojalaki 1050/2018. Tietosuojavaltuutetun toimisto on julkaissut verkossa ohjeita. Rikoslaissa on pykäliä tietomurroista ja muun muassa oikeushenkilön vastuusta.

 

Esimerkki: olin siis 10 vuotta näiden asioiden professori ja olen opettanut ammattilaisia myös näistä uusista laeista. Minulta meni tänään tunti koota tätä kirjoitusta varten valmiista aineistostani pari perustietoa, muun muassa järjestelmää luultavasti ylläpitäneen Vastaamon vastuusta. Kaipailin rangaistuksen luonteista sakkoa, jollainen on käytössä kilpailuasioissa.

 

Lakina Suomessa voimassa oleva EU-asetus näyttää lakimiehen silmissä sopimattomalta ivamukaelmalta – miten asiat voi ilmaista todella vaikeasti. Yleistä puuromaisuutta lisäävät harvoin käytetyt termit ja tiheät viittaukset lakitekstin eri kohtiin. 

 

Niinpä myös tietosuojaa sivuavissa viroissa olevat henkilöt, jotka ovat nyt tapahtuneen suuronnettomuuden johdosta puhuneet mediassa, ovat puhuneet johdonmukaisesti jostain muusta kuin itse ongelmasta. Sama koskee yhtä ministeriä, ja pelkään, ettei valtioneuvosto keksi keskiviikkona mitään varsinaista sanottavaa. 

 

Monet terapeutin saamat vakavia mielenterveyshäiriöitä koskevat tiedot ovat ihmiselle raunioittavia vääriin käsiin joutuneina.

 

Lain salattaviksi määräämät henkilöä koskevat tiedot ovat välillä jokseenkin joutavia. Lakiteksteistä huokuu huoli kaupallisesta väärinkäytöstä, joka nyt ei useinkaan ole se tärkein asia. Olen mielissäni siitä, että Spotify mainostaa minulle uusista Schubertin jousi- ja pianomusiikkia sisältäviä levyjä, ja samoin siitä, että The Economist lähettää yhteenvedot artikkeliensa aiheista. Yksityisyyteni ei kärsi.

 

On terveystietoja, joiden on oltava suhteellisen helposti saatavilla niille, jotka hoitavat kiireellisiä tapauksia. Minulla on lompakossani kortti, jossa kerrotaan, että syön lääkettä joka vaikuttaa veren hyytymiseen. Esimerkiksi autokolarin jälkeen tuo tieto kiinnostaa ambulanssin väkeä suuresti. Sairaalat ovat siis asia erikseen.

 

Digitaalista aikaamme on nytkin päivitelty julkisuudessa. Siihen on syytä, mutta tietojen kulkeutumisen kannalta ongelma on sama kuin ennenkin, ihminen.

 

Ei paraskaan pankkiholvi ole turvallinen, jos pankin toimihenkilö kuljettaa kriittisen numerosarjan sisältävää paperia rintataskussaan, ja kiinnostuneet tahot saavat vihiä tästä.

 

Jos päätyisin vielä pitämään luentoa erittäin tärkeistä tiedoista ja niiden vuotamisesta – Herra armahda tästä – en ehkä malttaisi olla kertomatta toisen maailmansodan ajasta ja muutamasta vuodesta sen päätyttyä. Neuvostoliitto sai tiedot muun muassa ydinaseen kehittämisestä lähes suoraan, ja sillä oli käytettävissään erittäin eteviä vakoilijoita. En oikein usko, mutta lukemieni kirjojen mukaan Englanti ja USA eivät onnistuneet soluttamaan kuin yhden korkeamman päättävän tahon henkilön Moskovan sisäpiireissä. Siihenkään en muuten usko, että suunnattoman paljon kirjoissa ja kirjoituksissa esitelty Enigma ja Geheimschreiber eli Saksan käyttämät salakirjoituskoneet ja niiden viestien avaaminen olisivat oikeasti pysyneet salaisuuksina Stalinilta.

 

Saksa kai ei tosiaankaan tiennyt. Väitetään että britit vastustivat ajatusta Hitlerin salamurhaamisesta, ”koska hän on niin hyödyllinen meille”.

 

Mitä tehdä? En aio nytkään jakaa neuvoja eläkkeeltä. Lukijoilleni huomautan kuitenkin, että arkaluontoisten ja salaisten tietojen säilymisen ja eheyden kannalta kaikkein vaarallisin hetki alkoi tänään. Se on järjestelmän parantaminen.

 

Kun auton moottori on purettu huoltoa ja korjauksia varten, se ei toimi. Kokoamisen jälkeen tehdään testejä eli harjoitetaan epätyypillistä käyttöä.

 

Ja mitä ihmisiin tulee – menetetty maine ei yleensä tule takaisin.