Talous- ja sosiaalikomitean lausunto aiheesta "Komission tiedonanto neuvostolle, Euroopan parlamentille, talous- ja sosiaalikomitealle ja alueiden komitealle - Verkko- ja tietoturva: Ehdotus eurooppalaiseksi lähestymistavaksi"

(2002/C 48/07)

Komissio päätti 7. kesäkuuta 2001 Euroopan yhteisön perustamissopimuksen 262 artiklan nojalla pyytää talous- ja sosiaalikomitean lausunnon edellä mainitusta tiedonannosta.

Asian valmistelusta vastasi "liikenne, energia, perusrakenteet, tietoyhteiskunta" -jaosto. Esittelijä oli Daniel Retureau. Jaosto antoi lausuntonsa 6. marraskuuta 2001.

Talous- ja sosiaalikomitea hyväksyi 28. ja 29. marraskuuta 2001 pitämässään 386. täysistunnossa (marraskuun 28. päivän kokouksessa) seuraavan lausunnon. Äänestyksessä annettiin 113 ääntä puolesta, 2 vastaan, ja 3 pidättyi äänestämästä.

1. Johdanto

1.1. Yritysten, hallinnon ja muiden elinten sisäisten tietoverkkojen kehittäminen sekä mainittujen tahojen ja yksityishenkilöiden liittyminen Internet-verkkoon yleistyy eksponentiaalisessa tahdissa. Ilman lähiaikoina käyttöön otettavaa nopeaa Internetiä(1) ja uutta ensiluokkaista verkkotunnusjärjestelmää verkon kylläisyys saavutettaisiin pian.

1.2. Yhteiskunta, talouselämä, hallinto sekä kansakuntien sisäinen ja sotilaallinen turvallisuus ovat yhä riippuvaisempia hyvin toimivista ja luotettavista verkoista, niiden keskinäisistä yhteyksistä ja päästökaistan leveydestä sekä verkkojen sisältämästä eheästä tietokokonaisuudesta ja useissa tilanteissa lisäksi tietojen luottamuksellisuudesta tai verkossa asioivien henkilöiden tarkasta tunnistamisesta.

1.3. Verkko- ja tietoturva on vastedes äärimmäisen tärkeä strateginen kysymys, joka edellyttää unionin jäsenvaltioiden kesken ja maailmanlaajuisesti yhteensovitettua ja johdonmukaista politiikkaa.

1.4. Komitean mielestä hyvin perustellussa tiedonannossa komissio jäsentelee syntyneet ongelmat ja tilanteen erittäin perinpohjaisesti ja ehdottaa toimia.

2. Komission ehdotukset

2.1. Komission tiedonannolla tavoitellaan yhteistä lähestymistapaa kysymyksiin, jotka koskevat verkkoturvallisuutta ja tiedonsiirtoa Euroopassa. Tarkoituksena on nostaa suojelu samalle tasolle kaikissa jäsenmaissa sekä edistää järjestelmien yhteentoimivuutta, yleisen turvallisuuden kannalta välttämättömiä Internet-toimia ja jäsenvaltioiden roolia sääntelijänä.

2.2. Tavoitteena on taata eräänlainen vähimmäisturva verkossa ja yksityishenkilöiden Internet-liittymissä sekä heidän keskinäisissä verkkoliittymissään ja kehittää turvakulttuuri ongelmien ja ratkaisujen yleisen tiedostamisen edistämiseksi.

2.3. Kokonaisturvallisuus riippuu heikoimmasta lenkistä. Erittäin nopeiden yhteyksien (ADSL, kaapeli) ja yksityishenkilöillekin suunnattujen aina auki olevien Internet-yhteyksien progressiivinen ilmestyminen markkinoille synnyttää uusia suojeluvaatimuksia. Sama koskee sähköistä kaupankäyntiä, jossa on turvattava kuluttajien henkilötiedot ja maksuviitteet. Myös elektronisen hallinnon edistäminen edellyttää kansalaisten henkilötietojen suojaamista.

2.4. Tarvitaan myös riittävän yhdenmukaistettua rikoslainsäädäntöä, jotta tunkeutumisen, tietojen turmelemisen, hyökkäävän verkossa toimimisen ja virusten tahallisen levittämisen kaltaiset rikokset määritetään samalla tavalla ja niistä saa samanlaisen rangaistuksen joka maassa.

2.5. Tiedonannossa ehdotetaan eurooppalaisen varoitus- ja tiedotusjärjestelmän perustamista. Komissio tähdentääkin koulutuksen ja tiedotuksen tarvetta yrityksissä ja yksityishenkilöiden taholla, mikä on asiakirjan ydinsisältö.

2.6. Ehdotuksen ensisijaisena tavoitteena on kansalaisten ja kuluttajien yksityiselämän ja heidän henkilökohtaisten tietojensa luottamuksellisuuden suojeleminen.

3. TSK:n huomiot

3.1. Yleishuomioita

3.1.1. Komitea hyväksyy verkko- ja tietoturvaa koskevan eurooppalaisen poliittisen kehyksen oikeuttavat analyysit ja perusteet täysin ja pitää ehdotettuja toimia yleisesti ottaen asiallisina, mutta tekee muutamia niitä koskevia huomioita ja antaa erityisneuvoja.

3.1.2. Internet-verkkoa ei ole suunniteltu sähköiseen kaupankäyntiin, sopimustentekoon, tekijänoikeudella suojatun sisällön (musiikki, kuvat ja elokuvat) myymiseen, pääomasiirtoihin saati muihin talousoperaatioihin, jotka edellyttävät erityistä suojaamista. Alun perin tarpeita vastasivat pitkät salausavaimet sotilaskäytössä ja tieteellisten kokeiden tai tiedostojen julkaiseminen avoimesti yliopistokäytössä. Kansallisen turvallisuuden perusteella "vahva" salaaminen ja tiettyjen ohjelmien vienti olivat usein kiellettyä yksityishenkilöiltä vuoteen 2000 asti monissa, pääasiassa Euroopan ulkopuolisissa maissa. Komissio on onneksi antanut virikkeen yrityksille ja hallinnolle välttämättömien, luottamuksellisten tietojen linjasiirrossa tarpeellisten suojausvälineiden kehittämiseen ja markkinointiin.

3.1.3. Sittemmin Internetiä on alettu käyttää vapaamuotoisemmin kaupankäynnissä, rahoituksessa, teknologian ja teollisuuden palveluksessa sekä ajanvietetoiminnassa, puhumattakaan huomattavan tuottavista pornosivuista, jotka ovat online-pelien kanssa teknologisessa kehityksen kärjessä etenkin kuvanlaadussa ja -nopeudessa sekä turvatuissa maksujärjestelyissä, joissa toimitaan avoimesti tai nimettömänä.

3.1.4. Nämä kaikki käyttötavat ovat edelleen olemassa ja uusia kehitetään. Yhä suurempi osa verkkoja ja Internetiä muodostaa yhteiskunnan ja talouselämän toimintaa kantavan voiman, edistää ratkaisevasti sosiaalista kehitystä ja kansallista turvallisuutta sekä edellyttää turvatoimia siirretyn tiedon ja tehtyjen operaatioiden luonteen huomioon ottaen. Tämä toteutetaan yksityisyyttä kunnioittaen ja kyseenalaistamatta Internetin perusajatusta, joka on tiedon vapaa kulku sekä tietojen, ajatusten, tieteellisten tutkimustulosten jne. avoin vaihto.

3.1.5. Komitean mielestä on käyttöönotettavat turvatoimet aina suhteutettava niiden hintaan, suojattavien tietojen ja toimintojen luonteeseen ja tärkeyteen sekä asianomaisiin käyttäjiin.

3.1.6. Yleisesti komitea on samaa mieltä komission kuvaamista mahdollisista vahingoista ja niihin etsityistä mahdollisista ratkaisuista. Se kannattaa myös näkemystä, jonka mukaan turva on dynaaminen kysymys, joka edellyttää mukautumista ja jatkuvia mukautuksia teknologian, ohjelmistojen ja vaarojen kehittyessä. Siksi komitea ehdottaakin, että tässä tiedonannossa ehdotetusta teollisuuden, käyttäjien ja verkkoturvasta vastaavien tahojen kuulemisesta ja näiden kanssa käytävästä vuoropuhelusta tehdään pysyvää tai säännöllisin väliajoin tapahtuvaa. Järjestäytynyt kansalaisyhteiskunta tulisi kutsua siihen mukaan, sillä verkko- ja viestintäturvapolitiikka vaikuttaa kansalaisten tiettyihin perusoikeuksiin, taloudelliseen ja yhteiskunnalliseen toimintaan sekä hallintoon.

3.1.7. Vastikään antamissaan lausunnoissa tietokonerikollisuudesta(2) ja lasten suojelemisesta Internetissä(3) komitea on jo ilmaissut tärkeimmät periaatteensa, jotka koskevat Internetin vilpillisen tai rikollisen käytön vastaista toimintaa. Se hylkää ajatuksen sensuurista, yleisestä valvonnasta ja ilmaisu- ja viestintävapauden esteistä maailmanlaajuisessa verkossa. Internet ei kuitenkaan jää lainkäytön ulkopuolelle.

3.1.8. Komitean mielestä yksittäisten käyttäjien ja kuluttajien kaikenkattava turvallisuus tulisi asettaa keskeisemmälle sijalle komission ajattelussa ja yhteisön strategiassa. Vaikka yksityishenkilön tietokoneeseen kohdistuvasta virushyökkäyksestä ei olekaan suunnattomia suoria seurauksia taloudelle tai yleiselle turvallisuudelle, on syytä muistaa, että tietyt hyökkäykset ovat laajoja ja etenevät asiakkaiden verkkoliittymien välityksellä. Toisinaan tiedotusvälineet korostavat niitä suhteettomasti varsinaiseen vaaraan nähden. Tämä kaikki vähentää huomattavasti kansalaisten luottamusta Internetin etuihin ja hyödyllisyyteen, mikä rasittaa merkittävällä tavalla sähköisen kaupankäynnin ja koko sähköisen yritystoiminnan kehittämismahdollisuuksia sekä uusien työpaikkojen luomista.

3.1.9. Ensisijaisina tavoitteina olevien yksityiselämän ja henkilötietojen suojelun lisäksi kuluttajilla on oikeus saada tosiasiallisesti tehokasta suojelua "vakoojaohjelmien" (spyware ja web bugs) tai muiden vastaavien aiheuttamalta haitalliselta nimeävältä profiloinnilta. Näistä väärinkäytöksistä on usein seurauksena "sanomiin hukuttamista" (spamming - "odottamattomien" viestien lähettäminen laajalla vastaanottajakunnalle), jota olisi myös voitava rajoittaa tehokkaasti. Hinnan näistä tunkeutumisista maksavat uhrit(4).

3.1.10. Yksityiselämän suojelu tulee taata kaikille talous- ja elinkeinoelämässä toimiville. Siten työntekijät ja muut yritysten kanssa yhteistyötä tekevät kuuluvat sen piiriin. Yritysten sisäisistä turvallisuussäännöistä tulisi sopia työmarkkinaosapuolten kesken ja kaikkien yrityksen piirissä toimivien tulisi tuntea ne hyvin ja noudattaa kyseisen jäsenmaan säädöksiä ja oikeuskäytäntöä. Tässä yhteydessä on syytä korostaa, että sellaisia määräyksiä on tärkeä soveltaa yhdenmukaisella tavalla ja Nizzassa hyväksyttyä Euroopan unionin perusoikeuskirjaa noudattaen ja myös viitaten suositukseen eurooppalaisista yksityiselämän takeista ja direktiiviin 95/46 henkilötietojen suojelusta.

3.1.11. Vaikuttaa siis välttämättömältä antaa yksityishenkilöille ja yrityksille tehokkaampia oikeudellisia keinoja saattaa operaattorit ja ohjelmistojen valmistajat taloudelliseen vastuuseen silloin, kun vakavat turvallisuuden laiminlyönnit ja tietojen puutteellinen suojaaminen voidaan osoittaa niiden syyksi tuotevastuun nojalla(5).

3.1.12. Komitean mielestä komission tulisi hyödyntää ja myös tehdä tunnetuksi aiempaa enemmän sitä myönteistä roolia, joka vapaasti saatavissa olevilla (open source), käyttäjien muunnettavissa olevilla ilmaisilla käyttöjärjestelmillä ja verkko- ja viestintäohjelmilla on resurssien ja suojelun suhteen. Open source -ohjelmoijat reagoivat nopeasti puutteita ja ongelmia korjatakseen. Tämän käsitteen varaan on kehittynyt yritystaloudellisesti merkittävä palveluala, jota tietotekniikkateollisuuden tietyt jättiläiset tukevat. Suuri määrä palvelimia kaikkialla maailmassa toimii näiden ohjelmistojen avulla yleensä varmasti ja vakaasti, kun taas toisinaan käy niin, että tietyt omistusohjelmat korjataan käyttäjiä haittaavalla viipeellä tai niistä saatetaan uusia toimintoja sisältäviä uusia versioita markkinoille liian kiireesti. Kaupalliseen kilpailuun tai uutuuden etsimiseen hinnalla millä hyvänsä liittyvät syyt ohittavat joskus turvallisuuskulttuurin, jota kaikkien, sekä kaupallisten että ilmaisohjelmistojen toimittajien, on lujitettava, jotta tuotteet ovat tosiasiallisesti turvallisia suunnitteluvaiheesta alkaen.

3.1.13. Toimittajakohtaiset hallintajärjestelmät ja ohjelmat, joiden alkuperäiskoodia ei ole julkaistu, eivät myöskään takaa riittävän tehokkaasti yksityiselämän turvaa ja suojelua, varsinkaan jos käyttöoikeus rekisteröidään ja korjaukset ja päivitykset (patches) tehdään Internetissä, sillä ne voidaan kääntää keräämään tietoa asiakas- ja palvelinjärjestelmistä (arkkitehtuuri ja sisältö, osoite- ja yhteysluettelot). Komitea katsoo, että kaikki käytänteet, joissa pelkkä ohjelmiston käyttöoikeuden haltijan nimen ja osoitteen rekisteröiminen ei riitä aktivointiavaimen tai väliaikaisen palvelukoodin saamiseen, on tunkeutumista ja pitäisi siksi kieltää.

3.1.14. Ilmaisohjelmat (freeware) takaavat myös terveen kilpailun ohjelmistomarkkinoiden ja voimakkaasti kehittyvien verkkopalvelumarkkinoiden monopolistisiin suuntauksiin nähden.

3.1.15. Olisi syytä hyväksyä yleinen julkinen käyttöoikeus (GPL(6)) ja noudattaa sitä. Komitea katsoo, että Internetistä saatavia tai siellä vaihdettavia ohjelmia ja sisältöjä varten tulisi kehittää erityisiä tekijänoikeutta koskevia lähestymistapoja ja sääntöjä. On esimerkiksi äärimmäisen helppoa turvautua tuotemerkkilainsäädäntöön ja haitata kuluttajien tai palkansaajien vapautta ilmaista mielipiteitään jonkin yrityksen politiikasta tai toiminnasta ja sen tuotteista tai palveluista. Patentti- ja tuotemerkkioikeus näyttävät törmäävän rajoihinsa ja soveltamisongelmiin, kun verkot kehittyessään edellyttävät - toistaiseksi riittämättömästi valmisteltua - erityistä suojaamisoikeutta.

3.1.16. Ottaen lisäksi huomioon, että arkaluonteisten tietojen sieppaamis-, hallitsemis- tai varastamisyritykset kohdistetaan pääasiassa sotilas-, hallinto- ja yritysverkkoihin, komitea kehottaa unionin toimielimiä ja kaikkia jäsenvaltioita yhteistyössä estämään kaikenlaisia sotilaalliseen, teolliseen tai kaupalliseen vakoiluun tähtääviä sieppaamisia ja tunkeutumisyrityksiä, sillä ne ovat Euroopan unionin strategisen ja taloudellisen edun vastaisia.

3.1.17. Turvatoimet, pääsynvalvonta, sisäiset säännöt ja etiketit sekä runsas materiaali (virransyöttösuojaa parantava UPS-laite, peilausparit ja välityspalvelin [proxy], tietojen tallentaminen tiheään ja eri paikkoihin) edellyttävät ohjelmistoja ja laitteistoja sekä erittäin ammattitaitoisten henkilöiden hoitamaa jatkuvaa päivystystä ja päivityksiä. Niistä kertyy myös hyvin suuret kustannukset. Sekä puutteellisen teknisen tiedon ja tuntemuksen että taloudelliset mahdollisuudet huomioon ottaen - etenkin pk-yrityksissä ja -teollisuudessa - ne aiheuttavat lisäksi suuria toteuttamisvaikeuksia julkisille ja yksityisille yrityksille sekä hallinnolle. Hälytysryhmät tulisi varustaa hyvin ja niissä olisi otettava huomioon pk-yritysten ja -teollisuuden tarpeet.

3.2. Erityishuomioita

3.2.1. Erityishuomioita ennakoiduista vaaroista ja niiden varalle suunnitelluista ratkaisuista

3.2.1.1. Yksityiselämän suojelu ja tietokonerikollisuuden ja vakoilun vastainen taistelu

3.2.1.1.1. Komitea on komission kanssa täysin samaa mieltä ensisijaisesta asemasta, johon tämä ehdottamassaan politiikassa yksityiselämän suojelun ja henkilökohtaisen tietosuojan asettaa. Perusoikeuksien ja tieto- ja viestintävapauden suojelun on kuuluttava jokaisen tieto- ja viestintäsuojaa koskevan strategian ytimeen. Sama koskee myös yhteisen edun mukaista tarvetta varmistaa kansallinen turvallisuus sekä demokraattisten instituutioiden ja julkishallinnon normaali toiminta. Komitea kannattaa ajatusta näitä päämääriä varten tarkoitettujen keinojen kehittämisestä ja mukauttamisesta lainsäädännön, yhteistyön, tutkimuksen ja standardoinnin saralla.

3.2.1.1.2. Mikäli mahdollisuus asianmukaisten oikeusmenettelyjen mukaiseen lailliseen tunkeutumiseen täytyy säilyttää, voivat "vahvat" salauskeinot kuitenkin tehdä salattujen viestien purkamisen mahdottomaksi. Suurrikollisuudessa käytetään nykyaikaisimpia ja varmimpia menetelmiä viestien suojaamiseen. Eurooppalais-kansainvälisellä tasolla on siksi ryhdyttävä oikeudelliseen ja teknologiseen suurrikollisuuden ja terrorismin vastaiseen yhteistyöhön, kuten komitea on nimenomaisesti tähdentänyt lausunnoissaan rahanpesun ja tietokonerikollisuuden vastaisesta toiminnasta(7).

3.2.1.1.3. On myös välttämätöntä, että kilpailupolitiikassa valvotaan sisältöjen (tieto, kulttuuri jne.) ja Internet-tiehyiden eri osien keskittymistä ja monopolisoitumista. Komission tulisi myös pitää huoli siitä, että perustetaan nykyisiä 370 miljoonaa käyttäjää tasapuolisemmin edustava ja tosiasiassa avoin "verkkohallitus", sillä nykyinen moniosainen "johto" on keskittynyt Pohjois-Amerikkaan ja se on Yhdysvaltain kauppaministeriön tiukassa valvonnassa, varsinkin verkkotunnusten hallintaa ja nimeävien yritysten (registrars)(8) valintaa koskeva toimivalta.

3.2.1.1.4. Asiakkaidensa yksityiselämän ja tietosuojan suojelemiseksi operaattoreiden tulee tehokkaasti taata, että niiden laitteistoissa hyödynnetään aineellisen valvonnan välineitä ja salataan suojeltaviin oikeuksiin suhteuttaen tärkeitä viestejä teknisen kehityksen mukaisesti. Näistä velvoitteista onkin säädetty muun muassa direktiivissä 97/66/EY(9).

3.2.1.1.5. Käyttäjien tulee puolestaan voida salata riittävän varmalla tavalla arkaluontoiset tiedot, joita ne saattavat joutua siirtämään verkkoon, mutta monetkaan heistä eivät yleensä tunne asianmukaisia keinoja siihen saati osaa soveltaa niitä. Kasvavan salaamis- ja turvaamistarpeen tyydyttämiseksi on ehdottomasti koulutettava riittävä määrä asiantuntijoita.

3.2.1.1.6. Tietokoneisiin ja verkkoihin tunkeutuminen millä perusteella tahansa (älyllinen haaste, henkilökohtainen kosto tai vahingoittamisen halu, tietojen varastaminen tai tietojen hallitseminen eri tarkoitusperiin) ja tietokonevirusten levittäminen vaarantavat käyttäjien oikeudet ja edun sekä tietojen ja verkkojen eheyden.

3.2.1.1.7. Vaikka komitea onkin täysin samaa mieltä komission kanssa joskus jopa järjestelmän vaivihkaiseen haltuunottoon johtavien erilaisten tunkeutumismuotojen mahdollisesti aiheuttamien vahinkojen suuruudesta, se katsoo kuitenkin, että olisi liioiteltua samastaa vailla rikollista päämäärää toimivat, pelkästään turvallisuuden puutteita osoittavat hakkerit (viat ovat heidän ansiostaan korjattavissa) järjestelmiin rikollisessa tarkoituksessa tunkeutuviin cracker eihin. TSK:n mielestä komission tulee esittää rikosoikeudellista lainsäädäntöä, joka on suhteutettu mahdollisiin tarkasti määritettyihin rikoksiin ja rikkomuksiin nähden. Siinä tulee ottaa huomioon tunkeutujien aikeet.

3.2.1.2. Sovellettava yhteisön oikeus ja käytettävissä oleva teknologia

3.2.1.2.1. Yhteisön oikeus edellyttää, että jäsenvaltiot tekevät kaikki tarvittavat toimet julkisten verkkojen käytettävyyden varmistamiseksi tapauksissa, joissa verkko vahingoittuu luonnonkatastrofissa (yhteenliittämisdirektiivi 97/33/EY(10) ja puhelintoimintadirektiivi 98/10/EY(11)). Komitea ehdottaa nyt, että komissio teettää jäsenvaltioittain vertailevan tutkimuksen tehdyistä toimista ja niiden vaikutuksesta.

3.2.1.2.2. Fyysisten tai juridisten henkilöiden tekemät valheelliset ilmoitukset saattavat aiheuttaa vahinkoa, joten jokaisen merkittävän liiketoimen yhteydessä on tarpeen varmistaa toimijoiden henkilöllisyys ja ilmoitusten oikeellisuus.

3.2.1.2.3. SSL- ja IPsec-tekniikan avulla viestit voivat kulkea turvaamattomissa Internet- ja avoimissa kanavissa säilyttäen tietyn turvallisuustason, mikä ei kuitenkaan ole riittävä takuu. Sähköisistä allekirjoituksista annetun direktiivin(12) mukaan kolmas osapuoli, "varmennepalvelujen tarjoaja", voi tarjota tällaisen takeen.

3.2.1.2.4. Tämän ratkaisun käyttöönotossa on samanlainen ongelma kuin salauksessa. Edellytyksenä on yhteentoimivuus ja salausavainten hallinta. Virtuaalisessa erillisverkossa (VPN) voidaan turvautua yrityskohtaisiin ratkaisuihin. Julkisille verkoille se on sen sijaan merkittävä haitta.

3.2.1.2.5. Sähköisistä allekirjoituksista annettu direktiivi on näistä syistä oikeusperusta ja olennaisen tärkeä väline pyrittäessä parantamaan sähköisen todentamisen varmistamista EU:ssa.

3.2.1.3. Uudet haasteet, uudet vaarat ja kustannus-hyöty-analyysi

3.2.1.3.1. Komitea pitää onnistuneena teknologian nopeaan kehitykseen, päätelaitteiden moninkertaistumiseen ja monipuolistumiseen liittyvien uusien haasteiden ja uusien vaarojen jäsentelyä. Tämä koskee myös jatkuvasti kytkettyinä olevien, pysyvässä osoitteessa sijaitsevien päätelaitteiden yleistyessä lisääntyvää laitonta kopiointia. TSK tukee lähestymistapaa, jossa pyritään yhdistämään turvallisuus ja vapaudet, verkkojen suojelu ja yksityiselämän suojelu sekä tietosuoja.

3.2.1.3.2. Vaikka lainsäädäntöä oli muutettava varmempien salauskeinojen käyttämiseksi ja vahvan salauksen sallimiseksi, lainsäädännön kehitys on turvallisuusnäkökohtien huomioon ottamisen vuoksi ollut toisinaan hyvin hidasta. Viestien peittäminen kuva- tai äänikohinalla (steganografia) tarjosi kuitenkin jo keinon peittää koodatun viestin lähettäminen henkilöille, jotka halusivat kiertää lakia henkilöllisyyttään paljastamatta.

3.2.1.3.3. Käytössä on useita algoritmejä, ja entistä taidokkaampia uusia algoritmejä kehitetään. Siitä seuraa huomattavia eri viestijöiden eri menetelmin salaamien viestien hallintaa koskevia ongelmia. Vaikka suositettu eurooppalainen järjestelmä voikin helpottaa viestintää sisämarkkinoilla, se törmää muualla maailmassa käytössä oleviin erilaisiin järjestelmiin. Tämä nostaa turvallisuuden ja hallinnoinnin hintaa, vaikka tietyt tehokkaat järjestelmät ovatkin julkisia ja ilmaisia.

3.2.1.3.4. Yhä arkaluontoisempien tietojen liikkuessa turvattomuuden hinta on kuitenkin vielä korkeampi. Turva sisällytetään tietyssä määrin yhä selvemmin tuotteisiin.

3.2.1.3.5. Komitea suhtautuu myönteisesti komission ehdottamaan yhteisön lähestymistapaan, jonka rajat se ymmärtää. Se katsoo, että suurien haasteiden vuoksi tarvitaan julkisen vallan toimintaa markkinoiden nykyisten aukkojen poistamiseksi.

3.2.1.3.6. EU:n tietosuojadirektiiveissä ja televiestintäsäädöksissä on jo oikeudellisia takuita. Kyseiset toimet tulee kuitenkin toteuttaa nopeasti kehittyvässä ympäristössä, oli sitten kyse teknologiasta, kilpailusta, verkkojen yhdistämisestä tai maailmanlaajuistumisesta. Vaikka turvamarkkinat kasvavatkin nopeasti kaikkialla maailmassa, markkinasuuntauksena kuitenkin on, ettei turvallisuuteen investoida riittävästi - tiedonannossa täsmällisesti kuvatuista syistä.

3.2.1.3.7. Kuten komissio toteaa, turvamarkkinat eivät ole vielä täydelliset. Turvallisuuteen investoiminen kannattaa ainoastaan silloin, jos riittävä määrä ihmisiä omaksuu saman menettelyn. Ratkaisuja voidaan siis etsiä vain yhteistyössä. Mikäli monissa tuotteissa ja palveluissa sovelletaan edelleen toimittajakohtaisia ratkaisuja, on syytä kannustaa tavoittelemaan yleisemmin hyväksyttyjä ja varmempia standardeja ja turvajärjestelmien keskinäistä yhteensopivuutta. Komitean mielestä on parempi kannustaa laatimaan yhteisiä kansainvälisiä kriteereitä kuin tunnistusjärjestelmiä, jotka saattavat haitata lopullista kuluttajaa.

3.2.1.3.8. EU:ssa voimassa olevat oikeussäännökset on ensinnäkin pantava toimeen tehokkaalla tavalla. Oikeudellisen järjestelmän on oltava tarkoituksenmukainen ja tehokas ja sitä on siis välttämätöntä uudistaa jatkuvasti.

3.2.1.3.9. Toiseksi, mikäli markkinavoimat eivät tällä hetkellä mahdollista riittävää investointia turvateknologiaan ja sen soveltamiseen, ovat komission ehdottamat poliittiset toimet joka tapauksessa omiaan vahvistamaan aluillaan olevaa markkinaprosessia.

3.2.1.3.10. Viestintä- ja tietopalvelut ovat rajatylittäviä. Kyseisten alojen sisämarkkinoiden takaamiseksi tarvitaan eurooppalaista poliittista lähestymistapaa, jotta hyödytään yhteisistä ratkaisuista ja voidaan toimia tehokkaammin maailmanlaajuisesti.

3.2.1.3.11. Komitea hyväksyy ajatuksen, jonka mukaan verkkoturvallisuuden parannusinvestoinneista aiheutuu sosiaalisia kustannuksia ja hyötyjä, jotka eivät kuvastu oikeudenmukaisesti markkinahinnoissa. Markkinatoimijoiden ei nykyisin oleteta vastaavan kaikista turvallisuuden alan toimistaan syntyvistä kustannuksista. Komitean mielestä tällainen tilanne on kestämätön.

3.2.1.3.12. Komitea tukee myös analyysiä, jonka mukaan turvallisuusedutkaan eivät heijastu täysin markkinahintoihin. Kun operaattorit, tavarantoimittajat tai palveluntarjoajat investoivat tähän alaan, se hyödyttää heidän asiakkaidensa lisäksi koko taloutta ja viestinnän yleistä turvallisuutta.

3.2.1.3.13. TSK hyväksyy myös ajatuksen, jonka mukaan kaikki käyttäjät eivät tiedosta kaikkia turvallisuusriskejä ja monien operaattoreiden, kauppiaiden tai palveluntarjoajien on vaikea arvioida suojattomuutta ja sen leviämistä. Vastaavasti monissa uusissa palveluissa, sovelluksissa ja ohjelmistoissa tarjotaan houkuttelevia toimintoja, mutta usein nämä toiminnot voivat aiheuttaa uutta suojattomuutta. Tuotteet olisi testattava läpikotaisemmin ennen niiden asettamista markkinoille.

3.2.2. Erityishuomioita ehdotetusta unionin poliittisesta kehyksestä

3.2.2.1. Komitea on tietoinen maailmanlaajuisen verkon luontaisesta haavoittuvuudesta, varsinkin mitä tulee tietopakettien reititykseen ja siihen, että liikenteessä olevan ja jatkuvasti kasvavan tietomäärän vuoksi on mahdotonta kaavailla yleistä suodatukseen perustuvaa varmistamista päätelaitteiden ulkopuolella. Yleisesti ottaen komitea kannattaa ehdotettuun poliittiseen kehykseen sisältyviä ehdotuksia.

3.2.3. Tietoisuuden lisääminen

3.2.3.1. Kaikkien asianomaisten henkilöiden ja organisaatioiden tietoisuutta on järkevä parantaa tehtyjen ehdotusten avulla. Päätelaitteiden ja viestien suojaaminen riippuu ennen muuta käyttäjien tiedoista ja tietoisesta toiminnasta.

3.2.4. Eurooppalainen pikatiedotusjärjestelmä

3.2.4.1. Komitea kannattaa ehdotettua nopeaa eurooppalaista varoitus- ja tiedotusjärjestelmää, jolla välitetään tietoa ongelmista ja niihin sovellettavista ratkaisuista, sekä komission muita ehdotuksia, jotka koskevat analysoimista, ennakkoon varoittamista, tiedon ja neuvojen välittämistä sekä eurooppalaista ja maailmanlaajuista yhteistyötä. Jälkimmäiseen sisältyy soveltuvien perusrakenteiden kehittäminen koko unionissa ja niiden asianmukainen pysyvä yhteistyö.

3.2.4.2. Yritysten - ja komitean mielestä myös hallinnon ja muiden vastaavien tahojen - tehtäväksi osoitettujen selvitysten laatiminen merkitsee kuitenkin, että hyökkäysten raportointimekanismin luottamuksellisuus suosii palautteen saamista. Komitea muistuttaa kuitenkin, että vuotoja on aina ja että hakkerit tekevät paljastuksia. Yleisön luottamus riippuisi pikemminkin hyökkäysten ja heikkojen kohtien ja etenkin niiden torjunta- ja korjaustoimien selvittämisestä hyvin nopeasti.

3.2.4.3. Komitean mielestä havaitsemis- ja varoitusjärjestelmät tulisi suunnata myös kaupallisten tai ilmaisohjelmien heikkoihin kohtiin ja kaikkiin teknisiin tai muihin tekijöihin, jotka voivat tarjota tilaisuuden hyökkäyksiin. Tästä voitaisiin huolehtia ennakoivalla analysointijärjestelmällä samoin kuin teknologisella valvonnalla ja seuraamalla hakkereiden ja piraattien sivuja ja undergroundjulkaisuja, joissa muokataan käytettävissä olevia menetelmiä ja jopa julkaistaan avaimet käteen -ohjelmia virusten luomista ja tunkeutumista varten. Jälkimmäisiä suosivat script kiddies(13).

3.2.5. Tekniikan tukeminen

3.2.5.1. Komitea kannattaa tutkimustoimintaan kaavailtua tukea. Se tahtoo kuitenkin muistuttaa, että salaustekniikka on koko maailmassa korkeintaan muutaman kymmenen asiantuntijan hallitsemaa tiedettä. Moni heistä on NSA:n(14) palveluksessa. Miten saada alan eurooppalaiset asiantuntijat kehittämään tutkimusta? Millaiset ovat Euroopan tosiasialliset mahdollisuudet? NSA:lla on 10 tai 15 vuoden etumatka ja sillä on lasku- ja salauksenpurkutaitoa, joita lienee vaikea saavuttaa nopeasti. Mitä konkreettisia ja tarvittavan laajoja resursseja tutkimuskäyttöön osoitetaan?(15)

3.2.5.2. Nykyisten hakkereiden ja "epävirallisten" asiantuntijoiden integroimiseen tähtäävä politiikka saattaisi olla täydentävä keino. Koska aihe yhdistetään vakaviin tekoihin, Euroopassa näyttää kuitenkin kehittyvän kohtuuton syrjimisen ja rankaisemisen asenne kyseisiä henkilöitä kohtaan, vaikka nämä eivät aiheuttaisikaan mitään suoraa vahinkoa toiselle henkilölle tai yritystoiminnalle. Verkkopiratismin ja -terrorismin vastaiset sanktiot tulisi säilyttää pelotteena, mutta tämäntyyppiseen toimintaan ei tulisi järjestelmällisesti rinnastaa ohjelmistontoimittajien tai verkonhallinnoijien tiedonhankintamielessä toteuttamaa turvallisuusvikojen etsimistä, jolla pyritään vahvistamaan suojausta. Poikkeuksena tästä on vahingoittamistarkoituksessa tehty turvallisuusvikojen etsintä, kuten sabotaasi, luottamuksellisten tietojen kaappaaminen, verkon salainen käyttö, henkilökohtainen taloudellinen hyötyminen tai tietokonevirusten levittäminen.

3.2.5.3. Löytöjen julkistaminen ilman, että asianosaisille tiedotetaan asiasta hyvissä ajoin etukäteen, tai ilman heidän suostumustaan, on kuitenkin moitittava teko, joka saattaa olla aiheena asianmukaiseen rikossyytteeseen. Kuitenkin henkilöt, jotka eivät tee rikosta eivätkä vakavaa rikkomusta saati aiheuta taloudellista vahinkoa, olisi syytä yrittää saattaa laillisuuden piiriin ja heidän pätevyyttään olisi hyödynnettävä yhteiskunnassa. Näin tätä harvinaista kyvykkyyttä ei käytettäisi kaappaamiseen, rikoksiin tai terroritekoihin, kuten on vaarana silloin, kun se suljetaan yhteiskunnan ulkopuolelle ja leimataan rikolliseksi.

3.2.6. Markkinasuuntautuneen standardoinnin ja sertifioinnin tuki

3.2.6.1. Komitea pitää oikeaan osuvana komission toteamusta liian monista kilpailevista standardeista ja järjestelmistä, jotka haittaavat turvallisuutta ja turvallisten sähköisten maksuvälineiden ja allekirjoituksen kehittämistä. Se korostaa, että tarvitaan yhteisiä standardeja ja perusteita markkinoiden joustamattomuuden voittamiseksi ja keskinäisen yhteentoimivuuden saavuttamiseksi.

3.2.6.2. TSK tukee ehdotettuja toimia, mutta tähdentää tiettyjä vaikeuksia, jotka liittyvät etenkin nykyisin yksityiseen ja edustukseltaan suppeaan Internetin standardihallinnointiin. Kyseinen pitkän aikavälin työ edellyttää kärsivällisyyttä ja yhteistoimintaa.

3.2.7. Sääntelyjärjestelmä

3.2.7.1. Komitea suhtautuu myönteisesti suunnitelmaan nykyisen televiestintä- ja tietosuoja-alan lainsäädännön eriyttämisestä verkkoja ja Internetiä varten.

3.2.7.2. Ehdotetut toimet ovat järkeviä, ja komitea kannattaa suunniteltuja aloitteita, joilla pyritään yhdenmukaistamaan rikosoikeus ja lujittamaan jäsenvaltioiden välistä tietokonerikollisuuden vastaista rikosoikeudellista yhteistyötä. Niissä ei kuitenkaan kyseenalaisteta vahvan salaamisen välineiden kaupan vapauttamista, sillä ainoastaan niiden avulla turvallisuus voidaan taata tehokkaasti. Yhteistyö siviili- ja kauppaoikeuden alalla on myös tärkeää tietokonerikollisten (rahan kierrättäminen, veropetokset jne.) vastaisessa taistelussa.

3.2.7.3. Rangaistusyhteistyö olisi komitean mielestä kuitenkin ulotettava maailmanlaajuiseksi ja ehdotetussa poliittisessa kehyksessä olisi kehitettävä toimintaohjelma alan eurooppalaista yhteistyötä varten. Komitea toteaa tyytyväisenä, että komissiolta odotetaan virallista ehdotusta asiasta lähiviikkoina.

3.2.8. Tietoturva julkishallinnossa

3.2.8.1. Komitea kannattaa ehdotettuja toimia, ottaen huomioon, että suuri osa julkishallinnon käsittelemistä tiedoista on henkilökohtaisia ja että julkishallinnon sivuille voidaan tehdä terroristihyökkäyksiä joko sisä- tai ulkopoliittisista valtiollisista syistä. Tästä tuoreina osoituksia ovat polymorfinen Code Red -virus ja Nimda-virus. Komission olisi nähtävä jälkimmäiset hyökkäysmotiivit lisäsyynä suojat omat ja jäsenvaltioidensa sivut ja viralliset verkot alati paremmin.

3.2.9. Kansainvälinen yhteistyö

3.2.9.1. Komitea pitää kansainvälistä yhteistyötä olennaisena, mutta arkaluontoisena ja vaikeana yhteisön verkko- ja tietoturvapolitiikan osana. Se aiheuttaa vakavia ongelmia sisäisen solidaarisuuden, ulkopolitiikan ja yhteisen turvallisuuden sekä keskenään kytkettyjen verkkojen ja Internetin hallinnoinnin suhteen.

3.2.9.2. Tämän alan toimintalinjaksi ehdotetaan verkkojen luotettavuutta koskevan yhteistyön jatkamista ja kehittämistä kansainvälisten eri osapuolten kesken. Ehdotus on muotoiltu diplomaattisesti harmittomin sanakääntein.

3.2.9.3. Komitea katsoo kuitenkin, että asianmukaisissa kansainvälisissä instansseissa ja Atlantin ylittävässä vuoropuhelussa olisi myös syytä jatkaa keskustelua turvatoimista, salausavainten ja -järjestelmien keskinäisestä yhteentoimivuudesta ja vain yhden osapuolen tiedossa olevista tiettyjen normien mahdollisista heikkouksista. Olisi myös toivottavaa tehdä tiivistä yhteistyötä henkilötietojen kansainvälisen toimittamisen ja tietokonerikollisuuden vastaisen rikos- ja yksityisoikeudellisen yhteistyön aloilla. Jälkimmäisellä tarkoitetaan maailmanlaajuisen verkon todellista turvaamista ja avointa ja tasapuolista hallintaa. Kyseisen verkon strateginen merkitys tunnustetaan nykyään yhteiskuntiemme elämän ja hyvinvoinnin kannalta olennaiseksi. Verkkojen turvallisuusongelmien parissa työskentelevä OECD on asiaankuuluvimpia kansainvälisiä alan yhteistyötahoja. Käytännön tuloksia on kiireellistä saavuttaa maailmanlaajuisesti.

3.2.9.4. Komitea kannattaa ja pitää erittäin tärkeänä komission ehdotusta Euroopan tasolle perustettavasta foorumista, johon kaikki asianomaiset toimijat kokoontuvat keskustelemaan kaikista ongelmista ja ehdottamaan ratkaisuja toimielimille.

4. Päätelmät

4.1. Jatkuvasti kehittyviä ohjelmisto- ja laitteistoratkaisuja on olemassa. Osa niistä on varsin tehokkaita, kuten tiedonannossa kuvataan. Tiedoston eheys voidaan lisäksi taata numeerista algoritmiä käyttämällä. Ainutkertainen jälki osoittaa, ettei siirrettyä tiedostoa ole muutettu.

4.2. Komitean mielestä kuitenkin käyttäjien valveuttaminen, tiedotus ja koulutus muodostavat jokaisen turvallisuusstrategian ytimen, sillä ilman niitä ei käytettävissä olevia keinoja ja ratkaisuja sovelleta oikein. Ne vahvistavat myös luottamusta järjestelmän maailmanlaajuiseen luotettavuuteen silloin, kun kaikki osapuolet tekevät säännöllisesti kaikki perusvarotoimet ja kun yritykset investoivat vaadittavassa määrin järjestelmiensä turvaamiseen.

4.3. Turvallisuuden hinta on kuitenkin hyvin korkea, ja ratkaisujen puutteellinen keskinäinen yhteentoimivuus on huomattava este, jota voitaisiin madaltaa valmistajasta riippumattoman lähteen (open source) virittämällä kilpailulla.

4.4. Ellei näitä ongelmia ratkaista pian Euroopassa ja kansainvälisellä tasolla - yhteisön tulee saada tosiasiallinen rooli Internetin hallinnossa - ne haittaavat jatkossakin eEuropen ja sähköisen kaupankäynnin kehittämistä sekä hallinnollista työtä yritysten, julkispalveluiden ja -hallinnon piirissä.

4.5. Verkkoturvallisuuden kannalta on joka tapauksessa välttämätöntä saada käyttöön tehokkaiden ja sopusuhtaisten turvatoimien yleinen sovellus, olipa kyse sitten yksityishenkilöille tarkoitetuista ohjelmistoratkaisuista (säännöllisesti päivitettävä virussuojaus) tai muille käyttäjille tarkoitetuista yhdistelmäratkaisuista, jotka saattavat olla raskaitakin (palomuuri, ulkoisen viestinnän liitäntäpisteiden valvonta, DMZ-erotus(16), silmukat ja muut asiaankuuluvat tekniikat, ohjelmat ja laitteistoratkaisut).

4.6. Rangaistuspelotteen asettaminen on jäsenvaltioiden vastuulla, mutta komitean mielestä komissio voisi ehdottaa yhdistävää laajaa kehystä, johon kuuluisivat rikosoikeudellinen toimintamalli ja kansainvälinen oikeudellinen yhteistyö.

4.7. Sellaisten tuotteiden saattaminen markkinoille, joissa voi olla tahallisia ja vasta vuosien kuluttua paljastuvia takaovia(17), on syytä ottaa huomioon ja säätää rangaistavaksi teoksi. Saman tulisi koskea myös vakoiluohjelmia (spyware), joita esiintyy usein ohjelmistojen esittelyversioissa, tietyissä ilmaisohjelmissa ja tietyissä verkkovälitteisissä ohjelmien käyttöoikeuksien rekisteröintijärjestelmissä.

4.8. Asiantuntevat henkilöt saattavat käyttää takaovina myös tahattomia aukkoja, joiden korjaaminen on aikavievää työtä.

4.9. Tilapäisten, riippumattomien, puolueettomien ja edustavien kansallisten viranomaisten, olivat ne sitten toimivaltansa laajentamista odottavia nykyisiä elimiä tai muodostettavia toimielimiä maissa, joissa niitä ei vielä ole (assosioimista odottavat hakijamaat), olisi tarkkailtava näitä turvallisuusongelmia suositusten ja normien muotoilun jatkamista ja perusoikeuksien suojelua ajatellen. Valmisteilla olevia säädösluonnoksia olisi tarkasteltava seikkaperäisemmin, jotta niissä saadaan yhdistettyä terrorismin vastaisen taistelun vaatimat näkökohdat varjeltaviin henkilökohtaisen vapauden periaatteisiin.

4.10. TSK katsoo, että Internet tulee joka tapauksessa säilyttää joustavana ja käyttäjien ulottuvilla. Avoimessa ja demokraattisessa yhteiskunnassa sen tulee jatkossakin muodostaa käyttäjille alati varmempi tieto- ja viestintäväylä, ottaen huomioon, että tietoverkoilla ja Internetillä on monilukuisia laillisia ja entisestään laajenevia käyttötarkoituksia.

Bryssel 28. marraskuuta 2001.

Talous- ja sosiaalikomitean

puheenjohtaja

Göke Frerichs

(1) IPv6-standardi mahdollistaa 6000 miljardia IP-osoitetta.

(2) Talous- ja sosiaalikomitean lausunto aiheesta "Komission tiedonanto neuvostolle, Euroopan parlamentille, talous- ja sosiaalikomitealle ja alueiden komitealle - Turvallisempaan tietoyhteiskuntaan tietojärjestelmien turvallisuutta parantamalla ja tietokonerikollisuutta ehkäisemällä - eEurope 2002" (CES 1115/2001) (ei vielä julkaistu Virallisessa lehdessä).

(3) Valmisteilla oleva TSK:n lausunto ohjelmasta lasten suojelemiseksi Internetissä.

(4) Ks. TSK:n lausunto aiheista "Sähköisen viestinnän verkot" (EYVL C 123, 25.4.2001, s. 50), "Sähköinen kaupankäynti" (EYVL C 169, 16.6.1999, s. 36) ja "Sähköisen kaupankäynnin vaikutukset yhtenäismarkkinoihin (SMO)" (EYVL C 123, 25.4.2001, s. 1).

(5) TSK:n lausunto EYVL C 117, 26.4.2000, s. 1.

(6) General public licence, yleinen julkinen käyttöoikeus, jossa tekijänoikeus myönnetään kuuluvan ilmaisohjelman tekijälle.

(7) Valmisteilla oleva TSK:n lausunto ohjelmasta lasten suojelemiseksi Internetissä. Ks. TSK:n lausunto aiheista "Sähköisen viestinnän verkot" (EYVL C 123, 25.4.2001, s. 50), "Sähköinen kaupankäynti" (EYVL C 169, 16.6.1999, s. 36) ja "Sähköisen kaupankäynnin vaikutukset yhtenäismarkkinoihin (SMO)" (EYVL C 123, 25.4.2001, s. 1).

(8) Joidenkin tärkeimpien nimien jakamisesta ja hallinnasta vastaavat yritykset.

(9) Direktiivi henkilötietojen käsittelystä ja yksityisyyden suojasta televiestinnän alalla - EYVL L 24, 30.1.1998.

(10) EYVL L 199, 26.7.1997.

(11) EYVL L 101, 1.4.1998.

(12) Direktiivi 1999/93/EY, annettu 13. joulukuuta 1999, sähköisiä allekirjoituksia koskevista yhteisön puitteista (EYVL L 13, 19.1.2000, s. 12).

(13) Nuoria piraatteja, jotka vailla alan koulutusta kopioivat undergroundsivuja ja -julkaisuja.

(14) National Security Agency, Yhdysvaltain kansallinen turvallisuustoimisto.

(15) TSK:n lausunto tutkimuksen, teknologian kehittämisen ja esittelyn kuudennesta puiteohjelmastade - EYVL C 260, 17.9.2001, s. 3.

(16) DMZ: Demilitarized Zone, "demilitarisoitu" alue eli eräänlainen suoja-alue, joka eristää sisäisen verkon.

(17) Backdoor, tietoturvaratkaisussa suojaukseen jätetty aukko.