Käyttäjätunnusten ja salasanojen hallinta

- Kirjoittanut Petri Salonen, projektipäällikkö

Salasanoilla ja käyttäjätunnuksilla suojataan tietoja, joiden ei haluta päätyvän sivullisten saataville. Käyttäjätunnus ja salasana yhdessä ovat ikäänkuin lukko, jota käyttämällä tiedon portit suljetaan sivullisilta.

Salasanojen turvallisesta käytöstä puhutaan mediassa nykyään alinomaa. Tuskin kukaan meistä voi todeta välttyneensä neuvoilta, jotka kertovat kuinka turvallinen salasana muodostetaan – tai että salasanaa ei saa säilyttää helposti arvattavassa paikassa, kuten kirjoituspöydän ylälaatikossa.

Kotona…

Muistilapulle kirjoitettu salasana työpöydän ylälaatikossa on tyypillinen käyttäjätason tietoturvauhka. Kyseessä on käytännöllisesti katsoen lähes sama asia kuin kotoa lähtiessäsi lukitsisit ulko-oven ja piilottaisit avaimen kynnysmaton alle. Eihän kukaan toimi niin enää nykyään – vai toimiiko?

Oletko koskaan laskenut montako erilaista henkilökohtaista käyttäjätunnusta, PIN-koodia tai salasanaa sinun tulisi muistaa? Muistatko ne kaikki? Välttämättä ei ihan helppo urakka – ainakaan ilman muistiinpanoja. Salasanoja ei voi lakaista ikäänkuin ”ovimaton alle piiloon”, vaan niiden hallitsemiseksi on hyvä käyttää jotain sopivaa menetelmää. Yksilötasolla tietoturvaan vaikuttaa monet inhimilliset seikat. Jos salasana on liian pitkä muistettavaksi, se päätyy helposti paperilapulla kirjoituspöydän ylälaatikkoon. Tämänkin tietoturvauhan yksi perimmäisiä syistä on ristiriita käytettävyyden ja korkean tietoturvan välillä. Vastuuta oikeista toimintatavoista ei voikaan vyöryttää pelkästään yksittäisten käyttäjien kontolle.

…ja työpaikalla!

Eri toimijoiden (yritykset, yhteisöt, julkishallinto) parissa tietoturvaa lyö joskus korvalle priorisointi. Joissakin tapauksissa organisaatiot saattavat rikkoa jopa itse asettamiaan tietoturvasääntöjä vastaan. Tyypillisesti erilaisten verkkopalvelujen hankkimisessa saatetaan tyytyä useamman työntekijän kesken yleiskäyttöisiin tunnuksiin – jopa niissä tilanteissa, joissa tietoturvan toteutuminen periaatteessa vaatisi käyttäjän henkilöllisyyden tunnistamista.

ICT-toiminnoista vastuullisten tulisikin olla ajan tasalla siitä, kuinka tunnuksia järjestelmissä todellisuudessa käytetään. Lisäksi olisi hyvä tiedostaa, että yhteiskäyttöiset tunnukset saattavat mm. rikkoa lisenssiehtoja.

Yhteiskäyttöisten käyttäjätunnusten riskit ja säännökset sähköisissä potilastietojärjestelmissä

Yhteiskäyttöisiä tunnuksia hallitaan usein epämuodollisesti tai ei käytännössä lainkaan. Tietojärjestelmään pääsy saattaa sen seurauksena avautua asiattomille tahoille. Yhteiskäyttöisten tunnusten käyttäminen voi huomaamatta vaarantaa tietoturvan tasoa.

Yhteiskäyttöisten tunnusten käyttöä järjestelmässä, jonne pitäisi kirjautua vain henkilökohtaisilla tunnuksilla, voidaan verrata siihen, kuin ulko-oven avain jaettaisiinkin ovimaton alle piilottamisen asemesta kaikille kadun varren asukkaille.

Käytettäessä verkkopalvelua yhteiskäyttöisellä tunnuksella, saattaa käyttäjän todellisen henkilöllisyyden luotettava selvittäminen väärinkäyttötapauksissa olla mahdotonta. Kyseessä ei siten ole pelkästään asiakasorganisaation tai järjestelmätoimittajan, vaan myös jokaisen yksittäisen loppukäyttäjän etu.

Esimerkiksi terveydenhuollolle suunnatussa Potilasasiakirjojen laatiminen ja käsittely¹ -oppaassa todetaan, että  ”sähköisten potilastietojärjestelmien käyttäjä on yksilöitävä ja tunnistettava siten, että hänet todennetaan yksiselitteisesti. Siksi sähköisiä potilastietojärjestelmiä ei saa käyttää toisen henkilön käyttöön oikeuttavilla yksilöintimenetelmillä, esimerkiksi toisen työntekijän taikka yhteiskäyttöisillä käyttäjätunnuksilla”.

Lisäksi yritysten ja julkisten toimijoiden kannattaa huomioda tulevan EU:n tietosuoja-asetuksen tuomat vaatimukset sähköisen rekisterinpitäjälle. Tietosuoja-asetus tuli voimaan 24.5.2016 ja sitä sovelletaan 25.5.2018 alkaen. Silloin henkilötietojen käsittelyn on oltava tietosuoja-asetuksen mukaista. Tietosuojavaltuutettu on julkaissut hyvän oppaan ”Miten valmistautua EU:n tietosuoja-asetukseen”, josta aiheesta löytyy lisätietoa myös terveydenhuollon ja sosiaalialan toimijoille.

Pienillä muutoksilla alkuun

Tarvittavat korjausliikkeet käyttäjätunnusten ja salasanojen turvalliseksi käsittelemiseksi eivät todennäköisesti vaadi kovinkaan suuria ponnistuksia.

Normaalisti juuri missään verkkopalveluissa ei pitäisi käyttää yhteiskäyttöisiä tunnuksia. Yhteiskäyttöisten ryhmätunnusten asemesta työpaikoilla asianosaisille olisi syytä jakaa henkilökohtaiset tunnukset tietojärjestelmään kirjautumiseksi. Lisäksi tulisi huolehtia, että kukin käyttäjä saa vain omien työtehtäviensä suorittamiseksi tarvittavat käyttöoikeudet.

Yksityinen käyttäjä voi taas kiinnittää huomiota siihen, missä ja miten säilyttää käyttäjätunnuksiaan ja salasanojaan. Tarkoitusta varten on saatavilla esimerkiksi salasanoja taltioivia sovelluksia, kuten avoimen lähdekoodin KeePass. Sen ja vastaavien ohjelmien käyttö saattaa tosin vaatia maallikolta ensi alkuun pientä paneutumista, mutta vaiva kannattaa mikäli muistettavia salasanoja on useampia.

Tietoturvallisten ja hyvien käytäntöjen noudattaminen on meidän kaikkien parhaaksi. Kukapa meistä ei haluaisi suojata omaisuuttaan, oli se sitten virtuaalisessa muodossa verkossa tai konkreettisessa muodossa kotona.

Yksityishenkilön että organisaation tietoturvallisuudesta löytyy lisätietoa mm. Valtiovarainministeriön julkaisusta sekä Viestintäviraston julkaisuista.

¹ Potilasasiakirjojen laatiminen ja käsittely -opas. Sosiaali- ja terveysministeriön julkaisuja 2012:4. 3.1.3 Potilastietojen käyttöoikeudet ja niiden hallinta.

Kategoriat: HILKKA