KOMISSION TIEDONANTO NEUVOSTOLLE, EUROOPAN PARLAMENTILLE, TALOUS- JA SOSIAALIKOMITEALLE JA ALUEIDEN KOMITEALLE Verkko- ja tietoturva: Ehdotus eurooppalaiseksi lähestymistavaksi

Tiivistelmä

Tietoturvasta on tulossa keskeinen painopiste, koska viestinnästä ja tiedosta on tullut keskeinen tekijä talouden ja yhteiskunnan kehittymisessä. Verkot ja tietojärjestelmät välittävät palveluja ja siirtävät tietoja nykyään laajuudessa, jota ei voitu kuvitellakaan vielä muutama vuosi sitten. Niiden käytettävyys on kriittinen tekijä muille infrastruktuureille, kuten veden- ja sähkönjakelulle. Koska kaikki - yritykset, yksityishenkilöt, julkishallinnot - haluavat hyödyntää viestintäverkkojen mahdollisuuksia, näiden järjestelmien turvallisuudesta on tulossa edellytys jatkokehitykselle.

23. - 24.3.2001 kokoontunut Tukholman Eurooppa-neuvosto päätti tätä taustaa vasten, että "neuvosto ja komissio laativat sähköisten verkkojen turvallisuutta koskevan kattavan strategian, johon sisältyy myös käytännön täytäntöönpanotoimia; strategia olisi esitettävä hyvissä ajoin ennen Göteborgin Eurooppa-neuvostoa." Tämä tiedonanto on Euroopan komission vastaus tähän pyyntöön.

II.

Turvallisuudesta on tullut päättäjille keskeinen haaste, mutta sopivan politiikan löytäminen on tulossa yhä monimutkaisemmaksi. Viestintäpalveluja eivät enää tarjoa valtion omistamat monopolit, vaan useat yksityiset operaattorit ja palveluntarjoajat keskenään kilpaillen ja yhä enemmän Euroopan tai koko maailman laajuudessa. Verkot lähentyvät toisiaan: ne pystyvät tukemaan samoja palveluja, niitä liitetään yhä enemmän yhteen ja ne käyttävät osin samaa infrastruktuuria.

Turvallisuuden vähimmäistason varmistamiseksi on sekä kansallisella että EU:n tasolla annettu suuri määrä oikeussäännöksiä televiestinnän sääntelykehyksen ja tietosuojalainsäädännön puitteissa. Näitä säännöksiä on sovellettava tehokkaasti nopeasti muuttuvassa ympäristössä. Niiden on myös kehityttävä tulevaisuudessa, kuten voidaan jo nähdä ehdotetusta telealan uudesta sääntelyjärjestelmästä tai verkkorikollisuuskeskusteluun liittyvistä tulevista ehdotuksista. Päättäjien on siten ymmärrettävä taustalla olevat turvallisuuskysymykset ja niiden rooli turvallisuuden parantamisessa.

Turvallisuudesta on tullut markkinoilla ostettava ja myytävä kauppatavara ja osapuolten välisten sopimusten osa. Yleinen olettamus on, että hintamekanismi tasapainottaa turvallisuuden tuottamisen kustannukset ja erityiset turvallisuustarpeet. Monet turvallisuusriskit ovat kuitenkin yhä ratkaisematta tai ratkaisujen tulo markkinoille on hidasta markkinoiden tiettyjen puutteiden takia. Näitä puutteita koskevin erityisin poliittisin toimin voidaan vahvistaa markkinaprosessia ja samalla parantaa sääntelyjärjestelmän toimivuutta. Tällaisten toimien on oltava osa eurooppalaista lähestymistapaa sisämarkkinoiden varmistamiseksi, yhteisistä ratkaisuista hyötymiseksi ja jotta voitaisiin toimia tehokkaasti maailmanlaajuisella tasolla.

Verkko- ja tietoturvaan liittyvät poliittiset ehdotukset on nähtävä nykyisen televiestintä-, tietosuoja- ja verkkorikollisuuspolitiikan yhteydessä. Verkko- ja tietoturvapolitiikka tarjoaa tästä poliittisesta kehyksestä puuttuneen renkaan. Oheinen kaavio osoittaa nämä kolme politiikan aluetta ja kuvaa muutamin esimerkein niiden välisiä suhteita:

>VIITTAUS KAAVIOON>

III.

Verkko- ja tietoturva voidaan ymmärtää verkon tai tietojärjestelmän tietyn tasoiseksi kyvyksi kestää onnettomuuksia tai ilkivaltaa. Tällaiset tapahtumat voisivat vaarantaa tallennettujen tai siirrettyjen tietojen ja muiden verkoissa ja järjestelmissä tarjottujen tai välitettävien palvelujen käytettävyyden, aitouden, eheyden ja luottamuksellisuuden. Turvallisuusuhat voidaan ryhmitellä seuraavasti:

| | Sähköistä viestintää voidaan siepata ja tietoja kopioida tai muuttaa. Tämä voi aiheuttaa vahinkoa sekä henkilöiden yksityisyyden loukkauksena että siepattujen tietojen hyväksikäyttönä.

| | Tietokoneiden ja tietokoneverkkojen luvattomaan käyttöön liittyy yleensä tietojen kopioiminen, muuttaminen tai tuhoaminen ilkivaltaisessa tarkoituksessa.

| | Häirintähyökkäykset Internetiä vastaan ovat tulleet melko yleisiksi, ja tulevaisuudessa myös puhelinverkko voi olla haavoittuvampi.

| | Ilkivaltaiset ohjelmistot, kuten virukset, voivat lamauttaa tietokoneita ja poistaa tai muokata tietoja. Eräät äskettäiset virushyökkäykset ovat olleet erittäin tuhoisia ja kalliita.

| | Naamioituminen muiksi ihmisiksi tai yhteisöiksi voi aiheuttaa mittavaa vahinkoa. Asiakkaat voivat esimerkiksi ladata ilkivaltaisia ohjelmistoja www-sivustosta, joka esiintyy luotettavana lähteenä, sopimuksia voidaan kumota ja luottamuksellisia tietoja voidaan lähettää väärille henkilöille.

| | Monet turvallisuushäiriöt johtuvat odottamattomista ja tahattomista tapahtumista, kuten luonnonmullistuksista (tulvat, myrskyt, maanjäristykset), laitteisto- ja ohjelmistohäiriöistä tai inhimillisestä erehdyksestä.

IV.

Ehdotetut toimet:

| | Tietoisuuden lisääminen: Olisi käynnistettävä yleinen tiedotus- ja koulutuskampanja, ja parhaita käytäntöjä olisi tuettava.

| | Eurooppalainen varoitus- ja tiedotusjärjestelmä: Jäsenvaltioiden tulisi vahvistaa omia tietotekniikan kriisiryhmiään (Computer Emergency Response Teams; CERT) ja parantaa niiden välistä koordinaatiota. Komissio tutkii yhdessä jäsenvaltioiden kanssa parhaita tapoja organisoida Euroopan laajuinen tietojen kerääminen, analysointi sekä pitkän aikavälin toimenpiteiden suunnittelu nykyisiä ja uusia turvallisuusuhkia vastaan.

| | Tekniikan tukeminen: Turvallisuuteen liittyvän tutkimuksen ja teknologian kehittämisen tuen tulisi olla keskeinen tekijä kuudennessa puiteohjelmassa ja se tulisi kytkeä laajempaan verkko- ja tietoturvan parantamisstrategiaan.

| | Markkinasuuntautuneen standardoinnin ja sertifioinnin tuki: Eurooppalaisia standardointijärjestöjä pyydetään tehostamaan työtä yhteentoimivuuden alalla; komissio jatkaa sähköisten allekirjoitusten ja IPv6:n ja IPSecin jatkokehityksen tukemista; komissio arvioi todistusten vastavuoroista tunnustamista koskevan oikeudellisen aloitteen tarpeen; jäsenvaltioiden tulisi tarkistaa kaikkia tietoturvastandardejaan.

| | Sääntelyjärjestelmä: Komissio selvittää, mitä yhteisön oikeuden mukaisia kansallisia säännöksiä on annettu tähän mennessä. Jäsenvaltioiden on tuettava salaustuotteiden vapaata liikkuvuutta. Komissio ehdottaa verkkorikollisuuteen liittyvää lainsäädäntöä.

| | Tietoturva valtionhallinnossa: Jäsenvaltioiden tulisi sisällyttää tehokkaita ja yhteentoimivia turvallisuusratkaisuja sähköistä hallintoa ja sähköisiä hankintoja koskeviin toimiinsa. Jäsenvaltioiden tulisi ottaa käyttöön sähköiset allekirjoitukset tarjotessaan julkisia palveluja. Komissio tiukentaa turvallisuusvaatimuksia omissa tieto- ja viestintäjärjestelmissään.

| | Kansainvälinen yhteistyö: Komissio tehostaa kansainvälisten järjestöjen ja kumppaneiden välistä vuoropuhelua verkko- ja tietoturvasta.

Seuraavaksi jäsenvaltioiden ja Euroopan parlamentin on keskusteltava kehyksestä ja ehdotetuista toimista. 15. ja 16. kesäkuuta pidettävä Göteborgin Eurooppa-neuvosto saattaa antaa suuntaviivoja tulevalle kehitykselle.

Komissio ehdottaa perusteellisen keskustelun käynnistämistä teollisuuden ja käyttäjien kanssa ehdotettujen toimien täytäntöönpanoa koskevista käytännön yksityiskohdista. Kommentteja voi lähettää sähköpostiosoitteeseen eeurope@cec.eu.int elokuun 2001 loppuun mennessä. Siksi tässä tiedonannossa pyydetään asianosaisilta kommentteja lopullisten konkreettisten toimien laatimiseksi. Ehdotuksista voisi koota suunnitelman, joka kehitetään vuoden 2001 loppuun mennessä.

***

Verkko- ja tietoturva: Ehdotus eurooppalaiseksi lähestymistavaksi

Sisällysluettelo

1. Johdanto

2. Verkko- ja tietoturvakysymysten tarkastelu

2.1. Mikä on verkko- ja tietoturva-

2.2. Yleiskatsaus turvallisuusuhkiin

2.2.1. Sanomien sieppaus

2.2.2. Tietokoneiden ja tietokoneverkkojen luvaton käyttö

2.2.3. Verkkojen häirintä

2.2.4. Tietoja ilkivaltaisesti muuttavat tai tuhoavat ohjelmat

2.2.5. Ilkivaltainen naamioituminen

2.2.6. Ympäristöstä johtuvat ja tahattomat tapahtumat

2.3. Uudet haasteet

3. Eurooppalainen lähestymistapa

3.1. Julkisen politiikan perustelut

3.2. Tietoisuuden lisääminen

3.3. Eurooppalainen varoitus- ja tiedotusjärjestelmä

3.4. Tekniikan tukeminen

3.5. Markkinasuuntautuneen standardoinnin ja sertifioinnin tuki

3.6. Sääntelyjärjestelmä

3.7. Tietoturva valtionhallinnossa

3.8. Kansainvälinen yhteistyö

4. Seuraavat vaiheet

1. Johdanto

Huoli sähköisten verkkojen ja tietojärjestelmien turvallisuudesta on lisääntynyt verkkokäyttäjien lukumäärän ja verkkotapahtumien arvon nopean kasvun myötä. Tietoturvasta on tullut niin kriittinen tekijä, että se on edellytys sähköistä kauppaa käyvien yritysten kasvulle ja koko talouden toiminnalle. Useat seikat ovat saaneet yhdessä aikaan sen, että tietojen ja viestinnän turvallisuus on nyt EU:n asialistan ensisijainen aihe:

| | Valtiot ovat ymmärtäneet, kuinka riippuvaisia niiden taloudet ja kansalaiset ovat viestintäverkkojen toimivuudesta, ja monet niistä ovat alkaneet tarkistaa turvajärjestelyjään.

| | Internet on mahdollistanut yhteydet kaikkialle maailmaan liittämällä yhteen miljoonia verkkoja, suuria ja pieniä, ja satoja miljoonia henkilökohtaisia tietokoneita (sekä yhä useammin muita laitteita, kuten matkapuhelimia). Tämän ansiosta pääsy arvokkaisiin taloudellisiin tietoihin on etähyökkäyksiä tekeville nyt huomattavasti edullisempaa.

| | Internetissä on levinnyt laajalti muutamia viruksia, jotka ovat aiheuttaneet suurta vahinkoa tuhotessaan tietoja ja estäessään verkkoon pääsyn. Tällaiset turvallisuusongelmat eivät ole pelkästään yksittäisten maiden asia, vaan ne leviävät nopeasti jäsenvaltiosta toiseen.

| | Lissabonin ja Feiran Eurooppa-neuvostot totesivat eEurope 2002 -toimintasuunnitelman käynnistämisen kynnyksellä, että Internet on keskeisessä asemassa parannettaessa EU:n talouksien tuottavuutta.

23. - 24.3.2001 kokoontunut Tukholman Eurooppa-neuvosto päätti tätä taustaa vasten, että "neuvosto ja komissio laativat sähköisten verkkojen turvallisuutta koskevan kattavan strategian, johon sisältyy myös käytännön täytäntöönpanotoimia; strategia olisi esitettävä hyvissä ajoin ennen Göteborgin Eurooppa-neuvostoa." Tämä tiedonanto on Euroopan komission vastaus tähän pyyntöön.

Muuttuva ympäristö

Samalla kun turvallisuudesta on tullut päättäjille keskeinen haaste, sopivan politiikan löytäminen on tulossa yhä monimutkaisemmaksi. Vain muutamia vuosia sitten verkkoturva oli tärkeä asia lähinnä valtioiden monopoleille, jotka tarjosivat julkisiin verkkoihin, varsinkin puhelinverkkoon, perustuvia erikoispalveluja. Tietokonejärjestelmien tietoturva koski vain suuria organisaatioita ja keskittyi pääsyn valvontaan. Turvapolitiikan laatiminen oli suhteellisen yksinkertaista. Tämä tilanne on nyt muuttunut huomattavasti, mikä johtuu laajemmassa markkinayhteydessä tapahtuneista lukuisista kehityskuluista, kuten markkinoiden vapautumisesta, konvergenssista ja maailmanlaajuistumisesta:

Verkot ovat nykyisin enimmäkseen yksityisessä omistuksessa ja hallinnassa. Viestintäpalvelujen tarjonta perustuu kilpailuun, ja turvallisuus on osa markkinoiden tuotevalikoimaa. Monet asiakkaat ovat kuitenkin verkkoon yhteyden ottaessaan edelleen tietämättömiä ottamiensa turvariskien laajuudesta ja tekevät siksi päätöksiä tilanteessa, jossa heidän tietonsa ovat puutteelliset.

Verkot ja tietojärjestelmät lähentyvät toisiaan. Verkkojen ja tietojärjestelmien väliset yhteydet lisääntyvät, ne tarjoavat samankaltaisia saumattomia ja henkilökohtaisiin tarpeisiin sovitettuja palveluja ja ne käyttävät jossain määrin samaa infrastruktuuria. Päätelaitteista (henkilökohtaisista tietokoneista, matkapuhelimista, jne.) on tullut verkkoarkkitehtuurin aktiivinen osa, ja niitä voidaan yhdistää erilaisiin verkkoihin.

Verkot ovat kansainvälisiä. Merkittävä osa nykyisestä viestinnästä ylittää valtioiden rajat tai kulkee kolmansien maiden kautta (joskus loppukäyttäjän tietämättä), joten kaikissa turvariskejä käsittelevissä ratkaisuissa on otettava tämä huomioon. Useimmat verkot rakennetaan kansainvälisiltä kauppiailta saatavien kaupallisten tuotteiden avulla. Tietoturvatuotteiden on oltava kansainvälisten standardien mukaisia.

Poliittinen merkitys

Kuvattu kehityskulku rajoittaa valtioiden kykyä vaikuttaa kansalaisten ja yritysten sähköisen viestinnän turvallisuuden tasoon. Tämä ei kuitenkaan tarkoita sitä, ettei julkinen sektori voi enää vaikuttaa asioihin, monestakin syystä:

Ensinnäkin yhteisön tasolla on toteutettu useita lainsäädännöllisiä toimia, jotka vaikuttavat erityisesti verkko- ja tietoturvaan. Erityisesti Euroopan televiestintä- ja tietosuoja-alan sääntelyjärjestelmä sisältää operaattoreita ja palveluntarjoajia koskevia säännöksiä sen varmistamiseksi, että turvallisuuden taso on esiintyviin riskeihin nähden kohtuullinen.

Toiseksi huoli kansallisesta turvallisuudesta on alkanut lisääntyä, koska tietojärjestelmistä ja viestintäverkoista on tullut ratkaisevan tärkeitä muille infrastruktuureille (esim. veden- ja sähkönjakelulle) ja muille markkinoille (esim. maailmanlaajuisille rahoitusmarkkinoille).

Lopuksi on olemassa syitä, miksi valtioiden on reagoitava markkinoiden puutteisiin. Markkinahinnat eivät aina heijasta tarkoin verkkoturvan parantamiseksi tehtyjen investointien kustannuksia ja etuja, ja tarjoajat ja käyttäjät eivät aina ole vastuussa käyttäytymisensä kaikista seurauksista. Verkonhallinta on hajanaista, ja yhden järjestelmän heikkouksia voidaan hyödyntää hyökättäessä toiseen järjestelmään. Verkkojen monimutkaisuuden takia käyttäjien on vaikea arvioida mahdollisia vaaroja.

Siksi tässä tiedonannossa pyritään osoittamaan ne alueet, joilla tarvitaan lisää tai tehokkaampia julkisia toimia Euroopan tasolla tai kansallisella tasolla.

Luvussa 2 määritellään verkko- ja tietoturva, kuvataan tärkeimpiä turvallisuusuhkia ja arvioidaan nykyisiä ratkaisuja. Sen tavoitteena on tarjota ehdotettujen toimien kuvaamisen kannalta välttämätön ymmärrys verkko- ja tietoturvasta. Tarkoituksena ei ole kuitenkaan laatia mitään kattavaa teknistä yleiskatsausta turvallisuuskysymyksiin.

Luvussa 3 ehdotetaan eurooppalaista poliittista lähestymistapaa, jolla pyritään parantamaan verkko- ja tietoturvaa. Siinä analysoidaan tarvetta täydentää markkinoiden ratkaisuja poliittisin toimin. Luvussa luetellaan konkreettisia poliittisia toimia Tukholman Eurooppa-neuvoston pyynnön mukaisesti. Ehdotettu politiikka tulisi nähdä kiinteänä osana nykyistä sääntelyjärjestelmää sähköisten viestinnän palvelujen ja tietosuojan sekä - sittemmin - verkkorikollisuuden alalla.

2. Verkko- ja tietoturvakysymysten tarkastelu

2.1. Mikä on verkko- ja tietoturva-

Verkot ovat järjestelmiä, joissa tallennetaan ja käsitellään tietoja ja joiden kautta tiedot kulkevat. Niiden osia ovat tiedonsiirtokomponentit (kaapelit, langattomat yhteydet, satelliitit, reitittimet, yhdyskäytävät, välityslaitteet jne.) ja tukipalvelut (verkkotunnusjärjestelmä, mukaan luettuina juuripalvelimet, kutsuvan linjan tunnistus, todentamispalvelut jne.). Verkkoihin on liitetty mitä erilaisimpia sovelluksia (sähköpostijärjestelmiä, selaimia jne.) ja päätelaitteita (puhelimia, palvelimia, PC:itä, matkapuhelimia, henkilökohtaisista kalentereita, kodinkoneita, teollisuuden koneita jne.)

Verkkojen ja tietojärjestelmien yleisiin turvallisuusvaatimuksiin voidaan katsoa kuuluvan seuraavat toisiinsa liittyvät ominaisuudet:

i) Käytettävyys - tarkoittaa sitä, että tiedot ovat saatavissa tai palvelut toimivat huolimatta mahdollisista häiriöistä, kuten virtakatkoksista, luonnonmullistuksista, onnettomuuksista tai hyökkäyksistä. Tämä on erityisen tärkeää tilanteissa, joissa viestintäverkon viat voivat häiritä muita elintärkeitä verkkoja, kuten lentoliikennettä tai sähkönjakelua.

ii) Todentaminen - tarkoittaa yhteisöjen tai käyttäjien väitetyn henkilöllisyyden vahvistamista. Asianmukaisia todentamismenetelmiä tarvitaan moniin sovelluksiin ja palveluihin, kuten sopimuksen tekemiseen verkossa, tiettyihin tietoihin ja palveluihin pääsemisen valvontaan (esim. etätyönteossa) ja www-sivustojen (esim. Internet-pankkien sivustojen) todentamiseen. Todentamiseen täytyä sisältyä myös mahdollisuus toimia anonyymisti, koska monissa palveluissa ei tarvita käyttäjän henkilöllisyyttä vaan pelkästään tiettyjen kriteereiden, kuten maksukyvyn, luotettavaa vahvistamista (ns. anonyymit valtuustiedot).

iii) Eheys - tarkoittaa sen varmistamista, että lähetetyt, vastaanotetut tai tallennetut tiedot ovat täydellisiä ja muuttumattomia. Tämä on erityisen tärkeää sopimusten tekoon liittyvässä todentamisessa tai silloin, kun tietojen oikeellisuus on kriittistä (terveydenhoitoon liittyvät tiedot, teollinen muotoilu jne.)

iv) Luottamuksellisuus - tarkoittaa viestinnän tai tallennettujen tietojen suojelua niiden luvattomalta sieppaukselta ja lukemiselta. Sitä tarvitaan erityisesti lähetettäessä arkaluontoista tietoa, ja se on yksi vaatimuksista, joilla vastataan viestintäverkkojen käyttäjien yksityisyyttä koskeviin huoliin.

Kaikki turvallisuutta uhkaavat tapahtumat on otettava huomioon eikä ainoastaan niitä, joihin liittyy ilkivalta. Ympäristöstä johtuvien häiriöiden tai inhimillisten erehdysten kaltaiset verkkohäiriöuhat voivat olla käyttäjän näkökulmasta yhtä kalliita kuin ilkivaltaiset hyökkäykset. Verkko- ja tietoturva voidaan siten ymmärtää verkon tai tietojärjestelmän tietyn tasoiseksi kyvyksi kestää onnettomuuksia tai ilkivaltaa, jotka vaarantavat tallennettujen tai siirrettyjen tietojen ja muiden verkoissa ja tietojärjestelmissä tarjottujen tai välitettävien palvelujen käytettävyyden, aitouden, eheyden ja luottamuksellisuuden.

2.2. Yleiskatsaus turvallisuusuhkiin

Yritykset, jotka nojautuvat myynnissään tai tuotteiden jakelun järjestämisessään verkkoon, voivat lamaantua hyökkäyksestä, jolla pyritään palvelun estämiseen. Henkilökohtaisia ja taloudellisia tietoja voidaan siepata ja käyttää väärin. Kansallista turvallisuutta voidaan uhata. Nämä esimerkit kuvaavat uhkia, joita aiheutuu riittämättömästä tietoturvasta. Tiedonannossa on tehty ero tahallisten hyökkäysten (kohdat 2.2.1 - 2.2.5) ja tahattomien tapahtumien (kohta 2.2.6) välillä. Näiden kohtien tavoitteena on eritellä erilaiset turvallisuusriskit, jotta niiden pohjalta voitaisiin laatia puitteet turvallisuuden parantamiseen tähtäävälle politiikalle kohdassa 3.

2.2.1. Sanomien sieppaus

Sähköistä viestintää voidaan siepata ja tietoja kopioida tai muuttaa. Sieppaus voidaan toteuttaa monin tavoin, kuten kytkeytymällä fyysisesti verkkolinjoihin (esim. salakuuntelu) ja valvomalla radiolähetyksiä. Viestiliikenteen sieppauksen kannalta ratkaisevassa asemassa ovat verkon hallintaan ja keskittämiseen tarvittavat laitteet, kuten reitittimet, yhdyskäytävät, välityslaitteet ja verkkopalvelimet.

Ilkivaltainen tai laiton sanomien sieppaus on erotettava laillisesta sieppauksesta. Kaikki EU:n jäsenvaltiot ovat sallineet yleiseen turvallisuuteen liittyvän sanomien sieppauksen erityistapauksissa ja rajallisiin tarkoituksiin. Voimassa on säädöksiä, joiden nojalla lainvalvontaviranomaiset voivat hankkia tuomioistuimen määräyksen tai - kahdessa jäsenvaltiossa - johtavan ministerin henkilökohtaisesti hyväksymän luvan sanomien sieppaukseen.

Mahdollinen vahinko - Laiton sieppaus voi aiheuttaa vahinkoa sekä henkilöiden yksityisyyden loukkauksena että siepattujen tietojen, kuten salasanojen tai luottokorttitietojen, hyväksikäyttönä kaupallista hyötyä tai sabotaasia varten. Tämän katsotaan olevan yksi suurimmista sähköisen kaupankäynnin käynnistymisen esteistä Euroopassa.

Mahdolliset ratkaisut - Sieppauksen torjuntaa voivat toteuttaa operaattorit, jotka turvaavat verkon esimerkiksi direktiivissä 97/66/EY [1] edellytetyllä tavalla, ja käyttäjät, jotka salaavat verkossa siirrettävät tiedot.

[1] Yksityisyyden suojasta televiestinnän alalla annettu direktiivi (EYVL 24, 30.1.1998).

Operaattoreille verkon turvaaminen mahdolliselta sieppaukselta on monimutkainen ja kallis tehtävä. Perinteisesti teleoperaattorit ovat turvanneet verkon valvomalla fyysistä pääsyä laitteisiin ja ohjeistamalla työntekijöitä. Liikennettä on salattu ainoastaan satunnaisesti. Langattomia ratkaisuja käytettäessä on varmistettava, että radiolähetykset on salattu riittävällä tavalla. Matkaviestintäoperaattorit salaavat liikenteen matkapuhelimen ja tukiaseman välillä. Salauksen taso on useimmissa EU:n jäsenvaltioissa pienempi kuin se on teknisesti mahdollista, mikä johtuu laillisen sieppauksen helpottamisvaatimuksista. Samasta syystä salaus voidaan ottaa käyttöön ja poistaa käytöstä tukiasemista käyttäjän tietämättä.

Käyttäjät voivat itse päättää tietojen tai äänisignaalien salauksesta verkon turvallisuussäännöistä riippumatta. Asianmukaisesti salatut tiedot voi tulkita ainoastaan luvallinen vastaanottaja, vaikka ne siepattaisiinkin. Salausohjelmistoja ja -laitteistoja on yleisesti saatavilla käytännöllisesti katsoen kaikentyyppiseen viestintään [2]. Erikoistuotteilla voidaan salata puhelinkeskustelu tai faksilähetys. Sähköposti voidaan salata erikoisohjelmistojen avulla tai tekstinkäsittelyohjelmaan tai sähköpostiasiakasohjelmaan yhdistettyjen ohjelmistojen avulla. Käyttäjien kannalta ongelmana on se, että jos he salaavat sähköpostin tai puheviestinnän, vastaanottajien on kyettävä tulkitsemaan se. Laitteiden tai ohjelmistojen on oltava yhteentoimivia. Käyttäjien on myös tiedettävä salausavain, mikä edellyttää avaimen vastaanottojärjestelmää, mukaan luettuna avaimen asianmukainen todentaminen. Salaaminen vie runsaasti sekä rahaa että aikaa, ja käyttäjillä ei useinkaan ole riittävästi tietoa turvallisuusriskeistä ja -hyödyistä, minkä vuoksi heidän on vaikea tehdä parhaita päätöksiä.

[2] Ks. komission tiedonanto "Tietoturvan ja luottamuksen varmistaminen sähköisessä viestinnässä", 8.10.1997, KOM(1997) 503 lopullinen.

>VIITTAUS KAAVIOON>

Internetissä yleisesti käytössä oleva turvajärjestelmä on nimeltään Secure Socket Layer (SSL). SSL-tekniikalla salataan www-palvelimen ja käyttäjän www-selaimen välinen viestintä. Tämän tekniikan ja erityisesti sen vahvimman (128-bittisen) version käyttöönottoa jarruttivat aikaisemmin Yhdysvaltain vientirajoitukset. Yhdysvaltain vientirajoitusjärjestelmää on äskettäin tarkistettu sen jälkeen, kun EU:ssa hyväksyttiin aikaisempaa vapaampi kaksikäyttötuotteiden ja -teknologian vientiä koskeva valvontajärjestelmä [3]. Tilastot osoittavat, että Euroopassa on paljon vähemmän turvattuja Internet-palvelimia kuin Yhdysvalloissa (katso kaaviokuvaa).

[3] Neuvoston asetus (EY) N:o 1334/2000 kaksikäyttötuotteiden ja -teknologian vientiä koskevan yhteisön valvontajärjestelmän perustamisesta (EYVL L 159 , 30.6.2000).

Sekä operaattoreilla, käyttäjillä että tuottajilla on ongelmia kilpailevien ja ei-yhteentoimivien standardien kanssa. Esimerkiksi turvatun sähköpostin alalla kaksi standardia [4] kilpailee hallitsevasta asemasta. Euroopan vaikutusvalta tässä asiassa on ollut rajallinen. Tämä on johtanut valtavaan määrään ei-eurooppalaisia tuotteita, jotka täydentävät näitä standardeja ja joiden saanti eurooppalaisille käyttäjille riippuu Yhdysvaltain vientirajoituspolitiikasta. Samalla kun monien näiden tuotteiden tarjoama tietoturvan taso herättää huolta (vrt. Echelon-järjestelmä [5]), jotkin EU:n jäsenvaltiot harkitsevat avoimen lähdekoodin sisältävien ohjelmistojen käyttöä lisätäkseen luottamusta salaustuotteisiin. Kyse on kuitenkin vasta kokeiluista [6], joita ei ole vielä koordinoitu, ja markkinavoimat saattavat yksinkertaisesti olla voimakkaampia kuin hallitusten yksittäiset ponnistelut. Tätä kysymystä voidaan käsitellä arvioimalla kattavasti sekä kaupallisia että avoimen lähdekoodin sisältäviä tuotteita.

[4] S-MIME (secure multiple Internet mail extensions) ja OpenPGP (Pretty Good Privacy) ovat molemmat IETF (Internet Engineering Task Force) -standardeja.

[5] Echelon-järjestelmää väitetään käytettävän maailmanlaajuisissa tietoliikenneverkoissa siirrettävien tavallisten sähköpostiviestien, faksien, sähkeiden ja puheluiden sieppaukseen. Katso myös Euroopan parlamentin Echelon-järjestelmää käsittelevän väliaikaisen valiokunnan verkkosivu osoitteessa http://www.europarl.eu.int/-committees/echelon_home.htm.

[6] Saksan hallitus rahoittaa hanketta, joka perustuu OpenPGP-standardiin ja joka on nimeltään GNUPG (http://www.gnupg.org/).

2.2.2. Tietokoneiden ja tietokoneverkkojen luvaton käyttö

Tietokoneiden ja tietokoneverkkojen luvattomaan käyttöön liittyy yleensä tietojen kopioiminen, muuttaminen tai tuhoaminen ilkivaltaisessa tarkoituksessa. Teknisesti tätä kutsutaan tunkeutumiseksi, ja se voi tapahtua monella tavalla, kuten sisäpiirin tietoja hyödyntämällä, sanakirjahyökkäyksillä, väsytysmenetelmällä (käyttämällä hyväksi ihmisten taipumusta käyttää ennustettavia salasanoja), sosiaalisilla menetelmillä (käyttämällä hyväksi ihmisten taipumusta paljastaa salasanoja näennäisesti luotettaville ihmisille) ja sieppaamalla salasanoja. Se toteutetaan usein organisaatioiden sisällä (sisäpiirin hyökkäykset).

Mahdollinen vahinko - Joskus luvattoman tunkeutumisen vaikuttimena on pikemminkin älyllinen haaste kuin taloudellinen hyöty. Kiusantekona alkanut toiminta (jota kutsutaan usein hakkeroinniksi) on kuitenkin tuonut esiin tietoverkkojen haavoittuvuuden ja motivoinut henkilöitä, joilla on rikollisia tai ilkivalta-aikomuksia, käyttämään hyväkseen näitä heikkouksia. Suoja luottamuksellisten tietojen luvatonta saantia kohtaan, mukaan luettuina taloudelliset tiedot, pankkitilit ja terveystiedot, on yksilöiden oikeus. Julkisen sektorin ja teollisuuden kohdalla uhat vaihtelevat taloudellisesta vakoilusta sisäisten tai julkisten tietojen mahdolliseen muuttamiseen ja myös www-sivustojen turmelemiseen.

Mahdolliset ratkaisut - Yleisimpiä keinoja suojautua luvattomalta verkkoon pääsyltä ovat salasanat ja palomuurit. Ne antavat kuitenkin ainoastaan rajoitetun suojan, ja niitä on täydennettävä muilla turvakeinoilla, joita voisivat olla hyökkäyksen tunnistus, tunkeutumisen paljastus ja sovellustasoiset valvontakeinot (mukaan luettuina sellaiset, joissa käytetään älykortteja). Valvontalaitteiden tehokkuus riippuu siitä, kuinka niiden toiminta vastaa johonkin erityisympäristöön liittyviä riskejä. Verkon suojelu ja sen vapaan käytön edut on saatava tasapainoon. Verkkojen nopeiden muutosten ja niihin siitä syystä kohdistuvien uusien uhkien takia verkkoturvallisuuden valvontakeinoja on tarkistettava jatkuvasti ja riippumattomasti. Mahdollisia ratkaisuja ei voida tutkia ennen kuin käyttäjät ja tarjoajat ovat täysin tietoisia verkkonsa mahdollisesta haavoittuvuudesta. Oheisessa kaaviossa luodaan yleiskatsaus turvallisuustuotteiden nykyiseen käyttöön Euroopan unionissa (tilastot perustuvat tutkimukseen, joka tehtiin helmikuussa 2001 eEurope 2002 -toimintasuunnitelmaa koskevan vertailuanalyysin yhteydessä).

>VIITTAUS KAAVIOON>

2.2.3. Verkkojen häirintä

Verkot ovat nykyään enimmäkseen digitaalisia ja tietokoneiden valvonnassa. Ennen yleisin syy verkkohäiriöihin oli vika verkkoa valvovassa tietokonejärjestelmässä, ja verkkoja vastaan tehtävät hyökkäykset kohdistuivat lähinnä näihin tietokoneisiin. Nykyään pahimmissa häirintähyökkäyksissä käytetään tyypillisesti hyväksi verkkokomponenttien (käyttöjärjestelmät, reitittimet, välityslaitteet, nimipalvelimet jne.) heikkouksia ja haavoittuvuutta.

Vaikka häirintähyökkäykset puhelinjärjestelmää vastaan eivät aikaisemmin ole olleetkaan mikään suuri huolenaihe, hyökkäykset Internetiä vastaan ovat melko yleisiä. Tämä johtuu siitä, että puhelimen ohjaussignaalit ovat erillään liikenteestä ja niitä voidaan suojella, kun Internet puolestaan antaa käyttäjille mahdollisuuden päästä keskeisiin hallintatietokoneisiin. Puhelinverkosta saattaa kuitenkin tulla tulevaisuudessa suojattomampi, kun siihen integroidaan Internetin keskeisiä komponentteja ja sen ohjausjärjestelmä avataan muille verkoille.

Hyökkäykset voivat olla monenmuotoisia:

| | Nimipalvelimiin kohdistuvat hyökkäykset: Internet on riippuvainen verkkotunnusjärjestelmästä (DNS), jonka välityksellä käyttäjäystävälliset nimet (esim. www.europa.eu.int) muuttuvat abstrakteiksi verkko-osoitteiksi (esim. IP-osoite 147.67.36.16) ja päinvastoin. Jos jokin osa DNS-järjestelmästä menee epäkuntoon, www-sivustoja ei voida paikantaa ja sähköpostin jakelujärjestelmät voivat lakata toimimasta. DNS-juuripalvelimien tai muiden ylätason nimipalvelimien vahingoittuminen saattaa johtaa laajoihin häiriöihin. Useimmissa nimipalvelimissa käytettävän ohjelmiston suojauksesta löydettiin aikaisemmin tänä vuonna tiettyjä puutteita [7].

[7] Lähde: CERT/CC verkkosivulla http://www.cert.org/advisories/CA-2001-02.html.

| | Reititykseen kohdistuvat hyökkäykset: Internetin reititys on hyvin hajautunut. Jokainen reititin tiedottaa määräajoin lähireitittimille tiedossaan olevista verkoista ja siitä, kuinka niihin pääsee. Heikkoutena on se, ettei tätä tietoa voida tarkistaa, koska jokainen reititin on suunniteltu siten, että sen tiedot verkon rakenteesta ovat erittäin vähäiset. Sen takia jokainen reititin voi esiintyä parhaana polkuna mihin tahansa määränpäähän keinona tuohon määränpäähän johtavan liikenteen sieppaamiseen, estämiseen tai muuttamiseen.

| | Hukuttaminen ja palvelun estämiseen tähtäävät hyökkäykset: Tällaiset hyökkäykset häiritsevät verkkoa ylikuormittamalla sitä keinotekoisilla viesteillä, jotka estävät laillisen verkkoon pääsyn tai haittaavat sitä. Tämä vastaa tilannetta, jossa faksilaitteet tukitaan pitkillä ja toistuvilla viesteillä. Hukuttamishyökkäysten tavoitteena on ylikuormittaa www-palvelimet tai Internet-palveluntarjoajien toimintakapasiteetti automaattisesti syntyvillä viesteillä.

Mahdollinen vahinko - Häiriöt ovat olleet vahingollisia joillekin julkisuudessa paljon esillä oleville www-sivustoille. Muutamissa tutkimuksissa on laskettu, että eräs hiljattain tehty hyökkäys aiheutti useiden satojen miljoonien eurojen vahingot ja lisäksi aineetonta vahinkoa maineelle. Yritykset ovat liiketoiminnassaan yhä useammin riippuvaisia www-sivustojensa käytettävyydestä, ja yritykset, joiden sivustolle keskeistä on oikea-aikainen tarjonta, ovat erityisen suojattomia.

Mahdolliset ratkaisut - DNS-palvelimiin kohdistuvista hyökkäyksistä voidaan periaatteessa selviytyä helposti laajentamalla DNS-yhteyskäytäntöjä, esimerkiksi käyttämällä turvattuja DNS-laajennuksia, jotka perustuvat julkisilla salausavaimilla toimivaan salaustekniikkaan. Tämä edellyttää kuitenkin uusien ohjelmistojen asennusta asiakaskoneisiin eikä tämä ratkaisu ole laajalti käytössä. DNS-verkkoalueiden välisen luottamuksen parantamiseen tarvittavaa hallintoprosessia on myös tehostettava.

Reititysjärjestelmään kohdistuvia hyökkäyksiä on paljon vaikeampi torjua. Internetin suunnittelussa reitityksestä pyrittiin tekemään mahdollisimman joustava, koska tämä vähentää palvelun menetyksen todennäköisyyttä, jos verkkoinfrastruktuurin yksi osa menee epäkuntoon. Reititysyhteyskäytäntöjen turvaamiseen, varsinkin runkoreitittimissä, ei ole olemassa tehokkaita keinoja.

Siirrettävien tietojen paljous ei salli yksityiskohtaista suodatusta, koska tällainen tarkistus pysäyttäisi verkot. Tästä syystä verkoissa on käytössä ainoastaan suodatukseen ja käytönvalvontaan liittyviä perustoimintoja, kun yksityiskohtaisemmat turvatoiminnot (esim. todentaminen, eheys, salaus) on sijoitettu verkkojen rajoille eli päätelaitteisiin ja verkkopalvelimiin, jotka toimivat päätepisteenä.

2.2.4. Tietoja ilkivaltaisesti muuttavat tai tuhoavat ohjelmat

Tietokoneet toimivat ohjelmistojen avulla. Valitettavasti ohjelmistoja voidaan käyttää myös tietokoneen vaurioittamiseen ja tietojen poistamiseen tai muuttamiseen. Kuten edellä esitetyt kuvaukset osoittavat, jos tällainen tietokone on mukana verkonhallinnassa, sen toimintahäiriöillä voi olla kauaskantoisia seurauksia. Virus on yksi ilkivaltaisten ohjelmistojen muoto. Se on ohjelma, joka kopioi omaa koodiaan kiinnittymällä muihin ohjelmiin siten, että viruskoodi käynnistyy, kun saastunut tietokoneohjelma käynnistetään.

On olemassa monentyyppisiä ilkivaltaisia ohjelmistoja: jotkin vahingoittavat ainoastaan tietokonetta, johon ne kopioidaan, kun taas toiset levittäytyvät muihin verkossa oleviin tietokoneisiin. On esimerkiksi ohjelmia (joita kutsutaan dramaattisesti "loogisiksi pommeiksi"), jotka ovat tietokoneessa piilevinä, kunnes ne käynnistyvät jostakin tapahtumasta, kuten tietystä päivämäärästä. Esimerkiksi perjantai 13. päivä on usein käytössä. Toiset ohjelmat vaikuttavat harmittomilta, mutta käynnistävät avauksen yhteydessä ilkivaltaisen hyökkäyksen (minkä vuoksi niitä kutsutaan "Troijan hevosiksi"). Toiset ohjelmat (joita kutsutaan "madoiksi") eivät saastuta muita ohjelmia, kuten virukset, mutta tekevät sen sijaan itsestään kopioita, jotka puolestaan tekevät lisää kopioita, ja lopulta lamauttavat koko järjestelmän.

>VIITTAUS KAAVIOON>

Mahdollinen vahinko - Virukset voivat olla erittäin tuhoisia, mistä olivat osoituksena ne suuret kustannukset, joita aiheutui muutamista hiljattain tehdyistä hyökkäyksistä (esim. "I love you", "Melissa" ja "Kournikova"). Seuraavassa kaaviossa esitetään tiivistelmä niiden virusten lisääntymisestä, joita EU:ssa asuvat Internetin käyttäjät kohtasivat vuoden 2000 lokakuun ja vuoden 2001 helmikuun välisenä aikana (jäsenvaltioittain). Keskimäärin noin 11 prosenttia eurooppalaisista Internetin käyttäjistä on saanut viruksen kotitietokoneeseensa.

Mahdolliset ratkaisut - Tärkeimpiä suojakeinoja ovat viruksentorjuntaohjelmistot, joita on saatavana erimuotoisina. Esimerkiksi virusskannerit ja viruksenpuhdistimet tunnistavat ja poistavat tunnettuja viruksia. Niiden suurimpana puutteena on se, etteivät ne löydä uusia viruksia, vaikka niitä päivitettäisiin säännöllisesti. Eheydentarkistus on toinen esimerkki virustorjunnasta. Jotta virus kykenisi saastuttamaan tietokoneen, sen on muutettava jotakin tietokoneen järjestelmässä. Eheydentarkistus voisi tunnistaa nuo muutokset, vaikka ne olisivatkin tuntemattomien virusten aiheuttamia.

Vaikka suojatuotteet ovatkin suhteellisen kehittyneitä, ilkivaltaisten ohjelmistojen aiheuttamat ongelmat ovat lisääntyneet. Tähän on lähinnä kaksi syytä. Ensinnäkin Internetin avoimuuden ansiosta hyökkääjät voivat oppia toisiltaan ja kehittää keinoja suojajärjestelmien kiertämiseen. Toiseksi Internet laajenee ja saa lisää käyttäjiä, joista monet eivät ole tietoisia varotoimien tarpeesta. Turvallisuus riippuu siitä, kuinka paljon suojaohjelmistoja käytetään.

2.2.5. Ilkivaltainen naamioituminen

Verkkoon yhteyden ottaessaan tai tietoja vastaanottaessaan käyttäjä päättelee viestintäkumppaninsa henkilöllisyyden viestintäkontekstin perusteella. Verkko tarjoaa joitakin indikaattoreita, mutta suurimman hyökkäysriskin aiheuttavat henkilöt, jotka tuntevat kontekstin, eli sisäpiirin jäsenet. Kun käyttäjät valitsevat puhelinnumeron tai kirjoittavat tietokoneeseen Internet-osoitteen, heidän tulisi päästä olettamaansa kohteeseen. Tämä riittää monissa sovelluksissa, mutta ei keskeisissä liiketoimintaan, terveyteen tai talouteen liittyvässä tai virallisessa viestinnässä, jossa edellytetään korkeampaa todentamisen, eheyden ja luottamuksellisuuden tasoa.

Mahdollinen vahinko - Naamioituminen muiksi ihmisiksi tai yhteisöiksi voi aiheuttaa vahinkoa monella tavalla. Asiakkaat voivat ladata ilkivaltaisia ohjelmistoja www-sivustosta, joka esiintyy luotettavana lähteenä. He saattavat paljastaa luottamuksellisia tietoja väärälle henkilölle. Naamioituminen voi johtaa muun muassa sopimusten kumoamiseen jne. Suurimpana vahinkona on ehkä se, että todentamisen puuttuminen jarruttaa potentiaalista liiketoimintaa. Monissa tutkimuksissa on korostettu, että turvallisuushuolet ovat suurin syy olla harjoittamatta liiketoimintaa Internetissä. Jos ihmiset voisivat olla varmoja viestintäkumppaninsa henkilöllisyydestä, luottamus Internet-kaupankäyntiin lisääntyisi.

Mahdolliset ratkaisut - Pyrkimys todentamisen käyttöönottoon verkoissa liittyy SSL-tekniikan käyttöönottoon, josta on jo hyötyä tietyntasoisessa luottamuksellisuuden varmistamisessa. Virtuaalisissa erillisverkoissa (VPN) käytetään SSL- ja IPsec-tekniikkaa, jonka avulla viestit voivat kulkea turvaamattomissa Internet- ja avoimissa kanavissa säilyttäen tietyn turvallisuustason. Näiden ratkaisujen hyödyllisyys on kuitenkin rajallinen, koska ne perustuvat sähköisiin varmenteisiin, eikä ole olemassa mitään takeita siitä, ettei näitä varmenteita väärennetä. Kolmas osapuoli, jota kutsutaan usein "varmenneviranomaiseksi" tai sähköisistä allekirjoituksista annetun direktiivin [8] mukaan "varmennepalvelujen tarjoajaksi", voi tarjota tällaisen takeen. Tämän ratkaisun yleisen käyttöönoton ongelma on samanlainen kuin salauksessa - se edellyttää yhteentoimivuutta ja salausavainten hallintaa. VPN-verkossa tämä ei ole ongelma, koska niitä varten voidaan kehittää omia yrityskohtaisia ratkaisuja, mutta julkisille verkoille tämä on merkittävä haitta.

[8] Direktiivi 1999/93/EY, annettu 13. joulukuuta 1999, sähköisiä allekirjoituksia koskevista yhteisön puitteista (EYVL L 13, 19.1.2000, s. 12).

Sähköisistä allekirjoituksista annettu direktiivi parantaa oikeusperustaa helpomman sähköisen todentamisen varmistamiseksi EU:ssa. Se tarjoaa kehyksen, jossa markkinat voivat kehittyä vapaasti, mutta se tarjoaa myös kannustimia turvallisempien allekirjoitusten kehittämiseen niiden oikeudellista tunnustamista varten. Direktiiviä saatetaan parhaillaan osaksi kansallista lainsäädäntöä.

2.2.6. Ympäristöstä johtuvat ja tahattomat tapahtumat

Monet turvallisuushäiriöt johtuvat odottamattomista ja tahattomista tapahtumista, joiden aiheuttajia ovat:

| | luonnonmullistukset (esim. myrskyt, tulvat, tulipalot, maanjäristykset)

| | kolmannet osapuolet, jotka eivät ole sopimussuhteessa operaattoriin tai käyttäjään (esim. palvelun keskeytyminen rakennustöiden takia)

| | kolmannet osapuolet, jotka ovat sopimussuhteessa operaattoriin tai käyttäjään (esim. laitteisto- tai ohjelmistovirheet toimitetuissa komponenteissa tai ohjelmissa)

| | inhimilliset virheet tai huono hallinta operaattorin (mukaan luettuna palveluntarjoaja) tai käyttäjän (verkonhallinnan ongelmat, ohjelmiston virheellinen asennus) taholla.

Mahdollinen vahinko - Luonnonmullistukset aiheuttavat häiriöitä verkkojen käytettävyydessä. Valitettavasti juuri tällaisissa tapauksissa viestintälinjojen toimivuus on kaikkein tärkeintä. Laitteistohäiriöt ja heikko ohjelmistosuunnittelu voivat aiheuttaa suojattomuutta, joka aiheuttaa välitöntä häiriötä tai jota hyökkääjät käyttävät hyväkseen. Verkkokapasiteetin huono hallinta voi johtaa ruuhkautumiseen, joka hidastaa tai häiritsee viestintäkanavia.

Tässä yhteydessä keskeinen kysymys on vastuun jakaminen osapuolten kesken. Useimmissa tapauksissa käyttäjillä ei ole vastuuta, mutta heillä on vähäiset tai olemattomat mahdollisuudet korvausvaatimuksiin.

Mahdollinen ratkaisu: Ympäristöstä johtuvien häiriöiden riskit ovat tuttuja teleoperaattoreille, jotka ovat rakentaneet varakapasiteettia ja suojajärjestelmiä verkkoinfrastruktuuriinsa. Lisääntyvällä kilpailulla voi olla kaksitahoinen vaikutus operaattoreiden käyttäytymiseen. Toisaalta hintanäkökohdat voivat ajaa operaattorit vähentämään varakapasiteettiaan, toisaalta markkinoiden vapauttamisen myötä lisääntynyt operaattorien määrä antaa käyttäjälle mahdollisuuden kääntyä toisen operaattorin puoleen, jos palvelu ei ole käytettävissä (pitkälti samaan tapaan kuin lentomatkustaja siirretään toisen lentoyhtiön lennolle, jos hänen oma lentonsa peruutetaan). Yhteisön lainsäädännössä edellytetään kuitenkin, että jäsenvaltioiden on toteutettava kaikki tarpeelliset toimet julkisten verkkojen käytettävyyden varmistamiseksi laajamittaisissa verkkoyhteyksien katkeamistilanteissa tai luonnonmullistusten sattuessa (yhteenliittämisdirektiivi 97/33/EY [9] ja puhelintoimintadirektiivi 98/10/EY [10]). Tällä alueella on kaiken kaikkiaan liian vähän tietoa turvallisuuden tasosta, mikä johtuu yhteenliitettyjen verkkojen määrän kasvusta.

[9] EYVL L 199, 26.7.1997.

[10] EYVL L 101, 1.4.1998.

Laitteisto- ja ohjelmistotoimittajien välisen kilpailun tulisi lisätä painetta tuotteiden turvallisuuden parantamiseen. Kilpailu ei ole kuitenkaan riittävää johtaakseen turvallisuusinvestointeihin, ja turvallisuus ei aina ole ostopäätöksessä keskeisellä sijalla. Turvallisuuden heikot kohdat havaitaan usein liian myöhään, kun vahinko on jo tapahtunut. Terveen kilpailun säilyttäminen tietotekniikan markkinoilla luo parempia edellytyksiä turvallisuudelle.

Inhimillisten ja käyttövirheiden riskien määrää voidaan vähentää tehostamalla koulutusta ja lisäämällä tietoisuutta. Asianmukaisen turvallisuuspolitiikan luominen yhtiötasolla auttaisi vähentämään näitä riskejä.

2.3. Uudet haasteet

Verkko- ja tietoturvasta tulee todennäköisesti keskeinen seikka tietoyhteiskunnan kehittämisessä, koska verkot ovat keskeisemmässä asemassa taloudellisessa ja yhteiskunnallisessa elämässä. Keskeisiä kysymyksiä on kaksi: suuremmat mahdolliset vahingot ja uuden tekniikan kehittäminen.

i) Verkoissa ja tietojärjestelmissä siirretään yhä enemmän arkaluontoisia tietoja ja arvokasta taloudellista tietoa, mikä lisää houkutusta tehdä hyökkäyksiä. Nämä hyökkäykset voivat olla vähäisiä ja merkityksettömiä kansallisella tasolla - esim. jos kyseessä on viruksen aiheuttama henkilökohtaisen www-sivuston turmeltuminen tai kovalevyn alustus. Häiriöt voivat kuitenkin olla myös paljon vakavampia, ja kyse saattaa olla hyvin arkaluontoisen viestinnän häirinnästä, merkittävistä virtakatkoksista tai liiketoiminnan huomattavista menetyksistä palvelun estämiseen tähtäävien hyökkäyksien tai luottamuksellisuuden loukkausten kautta. Verkkoturvan puutteista aiheutuvien todellisten ja mahdollisten vahinkojen tarkkaa laajuutta on vaikea arvioida. Ei ole olemassa mitään järjestelmällistä raportointimenetelmää, ja monet yritykset eivät kielteisen julkisuuden pelossa halua myöntää havaittuja hyökkäyksiä. Saatavilla olevat todisteet perustuvat siten lähinnä kertomuksiin. Hyökkäyksistä aiheutuu paitsi välittömiä kustannuksia (tulonmenetystä, arvokkaan tiedon menetystä, verkon korjauksesta johtuvia työvoimakuluja) myös monia aineettomia kustannuksia - erityisesti maineen menetys - joita on vaikea arvioida.

ii) Verkko- ja tietoturva on dynaaminen kysymys. Tekniikan muutosten nopeus tuottaa jatkuvasti uusia haasteita, kun aikaisemmat ongelmat katoavat ja nykyiset ratkaisut ovat merkityksettömiä. Markkinoilla tarjotaan lähes päivittäin uusia sovelluksia, palveluja ja tuotteita. Jotkin kehityskulut aiheuttavat kuitenkin selvästi merkittäviä haasteita yksityiselle ja julkiselle turvallisuuspolitiikalle:

| | Verkoissa tullaan siirtämään erilaisia digitaalisia objekteja, kuten multimediaobjekteja, verkosta ladattavia ohjelmistoja tai liikkuvia agentteja, joihin kuuluu sisäänrakennettuja turvallisuusjärjestelyjä. Termi "käytettävyys" ymmärretään nykyään mahdollisuudeksi käyttää verkkoja, mutta se muuttuu kohti valtuutettua käyttöä, esimerkiksi oikeutta käyttää videopeliä tietyn ajan, ottaa yksi kopio jostakin ohjelmasta jne.

| | Tulevaisuudessa IP-verkkojen operaattorit haluavat ehkä parantaa turvallisuutta valvomalla verkkoliikennettä jatkuvasti ja hyväksyä vain erikseen sallitun liikenteen. Tällaisten toimien on kuitenkin oltava tietosuojasääntöjen mukaisia.

| | Käyttäjät tulevat siirtymään "aina päällä" oleviin Internet-yhteyksiin, jotka lisäävät hyökkääjien mahdollisuuksia ja tekevät suojaamattomista päätelaitteista haavoittuvia, ja hyökkääjien on helpompi välttää paljastuminen.

| | Useita laitteita yhdistäviä kotiverkkoja otetaan laajalti käyttöön, mikä tarjoaa uusia hyökkäysmahdollisuuksia ja lisää käyttäjien suojattomuutta (on esimerkiksi mahdollista, että hälyttimet kytketään pois päältä etätietokoneen avulla).

| | Langattomien verkkojen (langattomat tilaajayhteydet, langattomat lähiverkot, kolmannen sukupolven matkaviestintä) laaja käyttöönotto edellyttää radiosignaalien välityksellä siirrettävien tietojen tehokasta salausta. Siksi on yhä ongelmallisempaa vaatia lainsäädännössä näiden signaalien alhaista salaamistasoa.

| | Verkkoja ja tietojärjestelmiä - kiinteiden ja langattomien yhdistelmiä - tulee olemaan kaikkialla, ja ne tarjoavat "älykkään toimintaympäristön" eli omatoimisia toimintoja, jotka käynnistyvät automaattisesti ja tekevät käyttäjän aikaisemmin tekemiä päätöksiä. Haasteena on välttää kohtuuton haavoittuvuus ja integroida järjestelmiin turvallisuus.

3. Eurooppalainen lähestymistapa

3.1. Julkisen politiikan perustelut

Viestintäverkkojen suojelua pidetään yhä useammin päättäjien ensisijaisena tavoitteena lähinnä tietosuojan, talouden toimivuuden ja kansallisen turvallisuuden varmistamisen vuoksi sekä sähköisen kaupankäynnin edistämishalun takia. Tämä on johtanut melkoiseen määrään oikeudellisia takeita EU:n tietosuojadirektiiveissä ja EU:n telealan sääntelyjärjestelmässä (kuten kohdassa 3.6 on kuvattu). Näitä säännöksiä on kuitenkin sovellettava nopeasti muuttuvassa uusien tekniikoiden, kilpailumarkkinoiden, verkkojen lähentymisen ja maailmanlaajuistumisen leimaamassa ympäristössä. Näihin haasteisiin liittyy se tosiasia, että markkinoilla tulee olemaan taipumus ali-investoida turvallisuuteen jäljempänä tarkasteltavista syistä.

Verkko- ja tietoturva on markkinoilla ostettava ja myytävä kauppatavara ja osapuolten välisten sopimusten osa. Turvallisuustuotteiden markkinat ovat kasvaneet merkittävästi muutamana viime vuonna. Joidenkin tutkimusten mukaan Internet-turvaohjelmistomarkkinoiden arvo koko maailmassa oli vuoden 1999 lopulla noin 4,4 miljardia dollaria [11], ja markkinat kasvavat 23 % vuodessa niin, että vuonna 2004 niiden arvo on 8,3 miljardia dollaria. Euroopassa sähköiseen viestintään liittyvien turvallisuusmarkkinoiden ennustetaan kasvavan vuoden 2000 465 miljoonasta dollarista 5,3 miljardiin dollariin vuonna 2006 [12], ja tietotekniikoiden turvallisuusmarkkinoiden arvioidaan kasvavan vuoden 1999 490 miljoonasta dollarista 2,74 miljardiin dollariin vuonna 2006 [13].

[11] IDC : Internet security market forecast and analysis, 2000-2004 Report

W23056 - Lokakuu 2000.

[12] Frost&Sullivan : The European Internet communication security markets, report 3717 - Marraskuu 2000.

[13] Frost&Sullivan : The European Internet system security markets, report 3847 - Heinäkuu 2000.

Yleinen olettamus on, että hintamekanismi tasapainottaa turvallisuuden tuottamisen kustannukset ja erityiset turvallisuustarpeet. Jotkut käyttäjät toivovat suurta turvallisuutta, kun toisille taas riittää pienemmät takeet - vaikka valtio saattaakin huolehtia vähimmäisturvallisuudesta. Heidän mieltymyksensä oletetaan näkyvän hinnassa, jonka he ovat halukkaita maksamaan turvatoiminnoista. Kuten kohdan 2 tarkastelussa kuitenkin osoitettiin, monet turvallisuusriskit ovat yhä ratkaisematta tai ratkaisujen tulo markkinoille on hidasta markkinoiden tiettyjen puutteiden takia:

i) Yhteiskunnalliset kustannukset ja edut: Investointi verkkoturvallisuuden parantamiseen aiheuttaa yhteiskunnallisia kustannuksia ja etuja, jotka eivät heijastu riittävästi markkinahintoihin. Kustannusten osalta markkinatoimijat eivät ole vastuussa kaikesta vahingosta, joka liittyy heidän turvallisuutta koskevaan käytökseensä. Käyttäjien ja tarjoajien, joiden turvallisuustaso on alhainen, ei tarvitse korvata sivullisille aiheutuvia vahinkoja. Heidän tilanteensa on sama kuin huolimattoman autonkuljettajan, jonka ei katsota olevan vastuussa aiheuttamaansa onnettomuutta seuranneen liikenneruuhkan kustannuksista. Internetissä on samalla tavoin toteutettu monia hyökkäyksiä suhteellisen huolimattomien käyttäjien huonosti suojattujen koneiden välityksellä. Turvallisuuden edutkaan eivät heijastu täysin markkinahintoihin. Kun operaattorit, tavarantoimittajat tai palveluntarjoajat parantavat tuotteidensa turvallisuutta, suuri osa tämän investoinnin eduista koituu paitsi heidän asiakkailleen myös kaikille niille, joita sähköinen viestintä koskee suoraan tai epäsuorasti - eli periaatteessa koko taloudelle.

ii) Tietojen epäsymmetrisyys: Verkoista on tulossa yhä monimutkaisempia, ja ne saavuttavat laajempia markkinoita, joilla olevista käyttäjistä monet eivät juurikaan ymmärrä tekniikkaa tai sen mahdollisia vaaroja. Tämä tarkoittaa, etteivät käyttäjät ole täysin tietoisia kaikista turvallisuusriskeistä, ja monien operaattoreiden, kauppiaiden tai palveluntarjoajien on vaikea arvioida suojattomuutta ja sen leviämistä. Monissa uusissa palveluissa, sovelluksissa ja ohjelmistoissa tarjotaan houkuttelevia toimintoja, mutta usein nämä toiminnot aiheuttavat uutta suojattomuutta (esim. Internetin suosio perustuu osittain helposti ladattavien multimediasovellusten laajaan valikoimaan, mutta nämä ohjelmistolaajennukset ovat myös sisääntuloväylä hyökkäyksille). Vaikka edut ovatkin selviä, riskit eivät sitä ole, ja tavarantoimittajille on houkuttelevampaa tarjota uusia toimintoja kuin parempaa turvallisuutta.

iii) Julkisten toimien ongelma: Operaattorit valitsevat yhä useammin Internet-standardit tai yhdistävät jotenkin verkkonsa Internetiin. Internetin suunnittelussa ei kuitenkaan ajateltu turvallisuutta, vaan päinvastoin se kehitettiin tiedonsaannin varmistamiseksi ja tiedonvaihdon helpottamiseksi. Tämä on ollut sen menestyksen perusta. Internetistä on tullut ennennäkemättömän runsas ja monimuotoinen maailmanlaajuinen verkkojen verkko. Turvallisuusinvestointi kannattaa usein ainoastaan, jos tarpeeksi moni muu tekee samoin. Turvallisuusratkaisujen luominen edellyttää siten yhteistyötä. Yhteistyö toimii kuitenkin vain silloin, kun mukana on kriittinen massa toimijoita, mihin on vaikea päästä, koska "vapaamatkustajanakin" voi tehdä voittoa. Tuotteiden ja palvelujen yhteentoimivuus mahdollistaa kilpailun turvallisuusratkaisujen välillä. Tämä saattaa kuitenkin aiheuttaa huomattavia koordinointikustannuksia, koska saatetaan tarvita maailmanlaajuisia ratkaisuja, ja joillakin toimijoilla on houkutus tyrkyttää markkinoille oma ratkaisunsa. Koska monissa tuotteissa ja palveluissa käytetään yhä omia yrityskohtaisia ratkaisuja, sellaisten turvallisten standardien käyttö ei tuo mitään etua, jotka parantavat turvallisuutta ainoastaan, jos kaikki muutkin tarjoavat niitä.

Näiden puutteiden vuoksi televiestintä- ja tietosuoja-alan sääntelyjärjestelmä sisältää jo operaattoreita ja palveluntarjoajia koskevia oikeudellisia velvoitteita tietyn turvallisuustason varmistamiseksi viestintä- ja tietojärjestelmissä. Eurooppalaisen verkko- ja tietoturvapolitiikan perusteita voidaan kuvata seuraavasti. Ensinnäkin EU:n tason oikeussäännöksiä on sovellettava tehokkaasti, mikä edellyttää yhteistä näkemystä niiden taustalla olevista turvallisuuskysymyksistä ja tarvittavista erityistoimista. Sääntelyjärjestelmän on myös kehityttävä tulevaisuudessa, kuten voidaan jo nähdä ehdotetusta sähköisen viestinnän uudesta sääntelyjärjestelmästä tai verkkorikollisuuskeskusteluun liittyvistä tulevista ehdotuksista. Toiseksi tietyt markkinoiden puutteet johtavat siihen johtopäätökseen, että markkinavoimat eivät aja riittäviin investointeihin turvallisuustekniikkaan tai turvallisuuden harjoittamiseen. Poliittisin toimin voidaan vahvistaa markkinaprosessia ja samalla parantaa sääntelyjärjestelmän toimivuutta. Lopuksi viestintä- ja tietopalveluja tarjotaan rajojen yli. Siksi tarvitaan eurooppalaista lähestymistapaa näiden palvelujen sisämarkkinoiden varmistamiseksi, yhteisistä ratkaisuista hyötymiseksi ja jotta voitaisiin toimia tehokkaasti maailmanlaajuisella tasolla.

Verkko- ja tietoturvaan liittyviä poliittisia ehdotuksia ei tule nähdä pelkästään nykyisen tele- ja tietosuoja-alan lainsäädännön yhteydessä vaan myös suhteessa uudempiin verkkorikollisuuspolitiikkoihin. Komissio on äskettäin julkaissut verkkorikollisuutta koskevan tiedonannon [14], jossa muiden aloitteiden ohella esitetään verkkorikollisuutta koskevan EU-foorumin perustamista. Foorumin tarkoitus on parantaa yhteisymmärrystä ja yhteistyötä EU:n tasolla kaikkien osapuolten kesken. Verkko- ja tietoturvapolitiikka tarjoaa tästä poliittisesta kehyksestä puuttuneen renkaan. Oheinen kaavio osoittaa nämä kolme politiikan aluetta ja kuvaa muutamin esimerkein niiden välisiä suhteita:

[14] Turvallisempaan tietoyhteiskuntaan tietojärjestelmien turvallisuutta parantamalla ja tietokonerikollisuutta ehkäisemällä, KOM(2000) 890, http://europa.eu.int/ISPO/eif/internetPoliciesSite/Crime/crime1.html.

>VIITTAUS KAAVIOON>

3.2. Tietoisuuden lisääminen

Liian monet käyttäjät (yksityiset/julkiset) eivät ole vieläkään tietoisia mahdollisista uhkista, joita he kohtaavat viestintäverkkoja käyttäessään, tai ratkaisuista, joita on jo olemassa niitä varten. Turvallisuuskysymykset ovat monimutkaisia, ja riskien arviointi on usein vaikeaa jopa asiantuntijoille. Riittämätön tieto on yksi markkinoiden puutteista, joita turvallisuuspolitiikassa olisi ratkaistava. Vaarana on, että jotkut käyttäjät saattavat monista turvallisuusuhkaraporteista pelästyneinä yksinkertaisesti välttää koko sähköistä kaupankäyntiä. Toiset, jotka ovat joko tietämättömiä riskeistä tai aliarvioivat niitä, saattavat olla liian varomattomia. Jotkin yritykset saattavat vähätellä riskejä asiakkaiden menetyksen pelossa.

Paradoksaalisesti Internetissä on tarjolla valtavasti tietoa verkko- ja tietoturvasta, ja tietokonelehdissä tätä aihetta käsitellään melko laajasti. Käyttäjien kannalta ongelmana on löytää sellaista tarkoituksenmukaista tietoa, joka on ymmärrettävää, ajan tasalla ja joka vastaa heidän erityistarpeitaan. Autoteollisuus antaa hyvän esimerkin siitä, kuinka monimutkaiset turvallisuuseritelmät voidaan muuntaa keskeiseksi markkinointivälineeksi. Lopuksi yleisesti saatavilla olevien telepalvelujen tarjoajat ovat EU:n lainsäädännön nojalla velvollisia tiedottamaan tilaajilleen erityisistä verkon turvallisuusriskeistä ja mahdollisista korjauskeinoista, mukaan luettuina asiaan liittyvät kustannukset (vrt. direktiivin 97/66/EY 4 artikla).

Kansalaisten, hallintoviranomaisten ja yritysten tietoisuuden lisäämistä koskevan aloitteen tavoitteena on siksi tarjota ymmärrettävää, riippumatonta ja luotettavaa tietoa verkko- ja tietoturvasta. Tarvitaan avointa keskustelua turvallisuudesta. Kun tietoa on tarpeeksi, ihmiset voivat vapaasti tehdä omia valintojaan sen tasoisesta suojasta, joka sopii heille.

Ehdotetut toimet:

| | Jäsenvaltioiden olisi käynnistettävä yleinen tiedotus- ja koulutuskampanja, ja jo käynnissä olevaa työtä on tehostettava. Tähän olisi sisällyttävä joukkotiedotusvälinekampanja ja toimia, jotka kohdistetaan kaikille osapuolille. Hyvin suunniteltu ja tehokas tiedotuskampanja ei ole halpa. Sellaisen sisällön laatiminen, jossa ihmisiä turhaan pelästyttämättä ja mahdollisia hakkereita kannustamatta kuvataan riskejä, edellyttää huolellista suunnittelua.

Euroopan komissio helpottaa parhaiden käytäntöjen vaihtoa ja varmistaa EU:n tasolla eri jäsenvaltioiden tiedotuskampanjoiden tietyn asteisen koordinoinnin erityisesti sisällön suhteen. Tämän toiminnan yhtenä elementtinä olisi sekä kansallinen että eurooppalainen www-linkkejä sisältävä portaalisivusto. Näiden portaalien linkittämistä kansainvälisten kumppanien luotettuihin www-sivustoihin voitaisiin myös harkita.

| | Jäsenvaltioiden olisi edistettävä nykyisiin toimiin perustuvien parhaiden turvallisuuskäytäntöjen käyttöä. Yksi tällainen käytäntö on ISO/IEC 17799 (tietoturvan hallinnan käytännöt, http://www.iso.ch/). Pienten ja keskisuurten yritysten olisi oltava erityisen huomion kohteena. Komissio tukee jäsenvaltioita näiden työssä.

| | Jäsenvaltioiden koulutusjärjestelmissä olisi pantava enemmän painoa turvallisuutta käsitteleviin kursseihin. Olisi edistettävä kaikentasoisten koulutusohjelmien kehittämistä, esimerkiksi avointen verkkojen turvallisuusriskejä käsittelevää koulutusta ja tehokkaiden ratkaisujen ottamista osaksi koulujen tietokoneopetusta.

Opettajien on puolestaan saatava oppia turvallisuudesta omissa koulutusohjelmissaan. Euroopan komissio tukee tutkimusohjelmansa yhteydessä uusien opinto-ohjelmakokonaisuuksien laatimista.

3.3. Eurooppalainen varoitus- ja tiedotusjärjestelmä

Vaikka käyttäjät olisivatkin tietoisia turvallisuusriskeistä, heidät on silti saatava huomaamaan uudet uhat. Ilkivaltaiset hyökkääjät löytävät lähes väistämättä uusia heikkouksia, joiden avulla he voivat kiertää senhetkiseen tekniikan tasoon perustuvan suojan. Teollisuudessa kehitetään jatkuvasti uusia ohjelmistosovelluksia ja palveluja, joiden avulla tarjotaan paremmanlaatuisia palveluja ja tehdään Internetistä houkuttelevampi, mutta samalla luodaan tahattomasti uusia heikkouksia ja riskejä.

Jopa kokeneet verkkosuunnittelijat ja turvallisuusasiantuntijat yllättyvät usein joidenkin hyökkäysten omaperäisyydestä. Siksi tarvitaan sellaista ennakkovaroitusjärjestelmää, jonka avulla kaikkia käyttäjiä voidaan varoittaa nopeasti, sekä lähdettä, joka tarjoaa nopeita ja luotettavia neuvoja hyökkäysten torjumiseen. Yritykset tarvitsevat myös luottamuksellisen järjestelmän hyökkäysten raportoimiseksi ilman pelkoa julkisen luottamuksen menettämisestä. Tätä on täydennettävä laajemmalla ja pitkän aikavälin turvallisuusanalyysillä, jolla kerätään todisteita ja arvioidaan riskejä laajemman näkemyksen avulla.

Suuri osa tämän alan työstä tehdään julkisten ja yksityisten tietotekniikan kriisiryhmien (Computer Emergency Response Teams (CERT)) tai vastaavien elinten välityksellä. Esimerkiksi Belgia on perustanut virusvaroitusjärjestelmän, jonka avulla Belgian kansalaisille voidaan tiedottaa kahdessa tunnissa virusuhkista. CERT-ryhmät toimivat kussakin jäsenvaltiossa kuitenkin eri tavalla, mikä hankaloittaa yhteistyötä. Nykyisten CERT-ryhmien varustus ei ole aina hyvä, ja niiden tehtäviä ei ole useinkaan määritelty selvästi. Maailmanlaajuista koordinointia hoitaa CERT/CC, jota Yhdysvallat osittain rahoittaa. Euroopassa toimivat CERT-ryhmät ovat riippuvaisia CERT/CC:n ja muiden tahojen tiedonjulkaisupolitiikasta.

Tämän monimutkaisuuden takia eurooppalainen yhteistyö on tähän asti ollut rajallista. Yhteistyö on välttämätöntä ennakkovaroituksen varmistamiseksi kaikkialla unionissa, ja tietoja on vaihdettava välittömästi, kun yhdessä jäsenvaltiossa ilmenee ensimmäisiä merkkejä hyökkäyksestä. Siksi CERT-järjestelmässä Euroopan unionin piirissä tehtävää yhteistyötä olisi kiireellisesti tehostettava. Ensimmäisestä toimenpiteestä, jolla pyritään edistämään julkisen ja yksityisen sektorin yhteistyötä tietojärjestelmien luotettavuuskysymyksissä (mukaan luettuna ennakkovaroitusjärjestelmien kehittäminen) ja parantamaan CERT-ryhmien yhteistyötä, on sovittu eEurope-toimintasuunnitelman yhteydessä.

Ehdotetut toimet:

| | Jäsenvaltioiden olisi tarkistettava CERT-järjestelmäänsä nykyisten CERT-ryhmien varustuksen ja toimivallan vahvistamiseksi. Kansallisia ponnisteluja tukeakseen Euroopan komissio laatii konkreettisen ehdotuksen yhteistyön lujittamiseksi Euroopan unionissa. Tämä sisältää hanke-ehdotuksia TEN-Telecom-ohjelmassa tehokkaan verkotuksen varmistamiseksi ja liitännäistoimia IST-ohjelmassa tiedonvaihdon helpottamiseksi.

| | Kun CERT-verkosto on vakiintunut EU:n tasolla, tämä olisi yhdistettävä vastaaviin instituutioihin kaikkialla maailmassa, esimerkiksi G8-maiden ehdottamaan vaaratilanteiden ilmoitusjärjestelmään.

| | Komissio ehdottaa, että se tutkisi yhdessä jäsenvaltioiden kanssa parhaita tapoja organisoida Euroopan laajuinen tietojen kerääminen, analysointi sekä pitkän aikavälin toimenpiteiden suunnittelu nykyisiä ja uusia turvallisuusuhkia vastaan. Mahdollisen elimen organisatorisesta luonteesta on keskusteltava jäsenvaltioiden kanssa.

3.4. Tekniikan tukeminen

Investoinnit verkko- ja tietoturvaratkaisuihin eivät ole nykyisin optimaalisia. Tämä koskee sekä tekniikan käyttöönottoa että uusien ratkaisujen tutkimista. Tilanteessa, jossa kehittyvät uudet tekniikat tuovat väistämättä mukanaan uusia riskejä, jatkuva tutkimus on erittäin tärkeää.

Verkko- ja tietoturva sisältyy jo EU:n tutkimuksen viidennen puiteohjelman Tietoyhteiskunnan tekniikat- eli IST-ohjelmaan (määrärahat noin 3,6 miljardia euroa neljän vuoden aikana), ja turvallisuustekniikoita koskevaan tutkimusyhteistyöhön on käytettävissä vuosina 2001-2002 noin 30 miljoonaa euroa.

Euroopassa tehdään korkeatasoista salaustekniikan tutkimustyötä. Belgialainen algoritmi "Rijndael" voitti Advanced Encryption Standard -kilpailun, jonka järjestää Yhdysvaltain standardointijärjestö (NIST). IST-hankkeessa NESSIE (New European Schemes for Signature, Integrity and Encryption) on käynnistetty laaja kilpailu salausalgoritmeille, jotka täyttävät uusien multimediasovellusten, langattoman kaupankäynnin ja älykorttien vaatimukset.

Ehdotetut toimet:

| | Komissio ehdottaa turvallisuuden sisällyttämistä tulevaan tutkimuksen kuudenteen puiteohjelmaan, joka on parhaillaan neuvoston ja parlamentin käsiteltävänä. Jotta rahankäyttö olisi optimaalista, se olisi yhdistettävä verkko- ja tietoturvan parantamisen laajempaan strategiaan. Ohjelmassa tuetun tutkimuksen tulisi kehittää tekniikoita keskeisiin tietoturvahaasteisiin, joita aiheutuu toimintaympäristön digitalisoitumisesta ja tarpeesta turvata yksilöiden ja yhteisöjen oikeudet. Tutkimustoiminnassa keskitytään perustietoturvamekanismeihin ja niiden yhteentoimivuuteen, dynaamisiin tietoturvaprosesseihin, kehittyneisiin salaustekniikoihin, yksityisyyden suojan parantamiseen, digitaalisten hyödykkeiden käsittelytekniikoihin ja tekniikoihin, joilla tuetaan yritysten ja muiden organisaatioiden toimintojen luotettavuutta dynaamisissa ja liikkuvuuden sallivissa järjestelmissä.

| | Jäsenvaltioiden tulisi aktiivisesti edistää suoraan kytkettävien [15]salaustuotteiden käyttöä. Suoraan kytkettäviä salausratkaisuja ("plug in encryption") on asetettava saataville vaihtoehtona käyttöjärjestelmien kiinteille ratkaisuille.

[15] "Pluggable"; salausohjelmisto voidaan asentaa helposti ja tehdä täysin toimivaksi käyttöjärjestelmätasolla.

3.5. Markkinasuuntautuneen standardoinnin ja sertifioinnin tuki

Jotta turvallisuutta parantavat ratkaisut voisivat olla tehokkaita, markkinatoimijoiden on toteutettava ne yhdessä sovitulla tavalla, ja ratkaisujen on mielellään perustuttava avoimiin kansainvälisiin standardeihin. Monien turvallisuusratkaisujen, esimerkiksi sähköisten allekirjoitusten, käyttöönoton yksi tärkeimmistä esteistä on ollut se, etteivät eri toteutukset ole olleet yhteentoimivia. Jos kaksi eri ympäristössä työskentelevää käyttäjää haluaa viestiä keskenään turvallisesti, on varmistettava yhteentoimivuus. Standardoitujen yhteyskäytäntöjen ja käyttöliittymien käyttöä olisi edistettävä samoin kuin yhdenmukaisuustestejä ja "yhteentoimivuustapahtumia". Avoimet standardit, jotka mieluiten perustuvat avoimen lähdekoodin sisältäviin ohjelmistoihin, voivat omalta osaltaan edistää nopeampaa vikojen korjausta ja suurempaa avoimuutta.

Myös tietoturvan arviointi vaikuttaa käyttäjien luottamukseen. Yhteisten kriteerien käyttö on helpottanut turvallisuustodistusten vastavuoroista tunnustamista arviointimenetelmänä monissa maissa [16], ja nämä maat ovat myös tehneet sopimuksen Yhdysvaltojen ja Kanadan kanssa tietotekniikan alan turvallisuustodistusten vastavuoroisesta tunnustamisesta.

[16] Neuvoston suositus 95/144/EY yleisistä tietotekniikan turvallisuuden arviointiperusteista (pantu täytäntöön useimmissa EU:n jäsenvaltioissa).

Liiketoimintaprosessien ja tietoturvallisuuden hallintajärjestelmien sertifiointia tuetaan eurooppalaisella akkreditointiyhteistyöllä [17]. Sertifiointielinten akkreditointi parantaa luottamusta niiden pätevyyteen ja puolueettomuuteen, mikä puolestaan edistää niiden todistusten hyväksyntää koko sisämarkkinoilla.

[17] Eurooppalainen akkreditointiyhteisötyö 25:n EU-, EFTA- ja ehdokasmaan akkreditointielimen kesken.

Sertifioinnin lisäksi olisi tehtävä myös yhteentoimivuustestejä. Tästä on esimerkkinä eurooppalainen sähköisten allekirjoitusten standardointialoite EESSI, jossa kehitetään yhteisiä ratkaisuja sähköisistä allekirjoituksista annetun EU:n direktiivin tueksi. Muita esimerkkejä ovat eEurope-suunnitelman älykortti ja julkisen avaimen salaustekniikan (PKI) toteutushankkeet hallintojen välistä tiedonvaihtoa koskevassa IDA-ohjelmassa.

Standardointiponnisteluista ei ole puutetta, mutta kilpailevia standardeja ja eritelmiä on paljon, mikä johtaa markkinoiden hajautumiseen ja yhteentoimimattomiin ratkaisuihin. Siksi nykyisiä standardointi- ja sertifiointitoimia on koordinoitava paremmin myös siksi, että ne pysyisivät uusien turvallisuusratkaisujen käyttöönoton vauhdissa. Eritelmien yhdenmukaistaminen lisää yhteentoimivuutta ja mahdollistaa samalla markkinatoimijoille nopean toteuttamisen.

Ehdotetut toimet:

| | Eurooppalaisia standardointijärjestöjä pyydetään tehostamaan työtä yhteentoimivien ja turvallisten tuotteiden ja palvelujen osalta kunnianhimoisessa ja kiinteässä aikataulussa. Tarvittaessa on omaksuttava uusia suorite- ja menettelymuotoja työn nopeuttamiseksi ja kuluttajien edustajien kanssa tehtävän yhteistyön ja markkinatoimijoiden sitoutumisen lujittamiseksi.

| | Komissio tukee jatkossakin IST- ja IDA-ohjelmissa sähköisten allekirjoitusten käyttöä, käyttäjäystävällisten yhteentoimivien PKI-ratkaisujen toteuttamista ja IPv6:n ja IPSecin [18] käyttöönottoa (eEurope 2002 -toimintasuunnitelman mukaisesti).

[18] IPv6 on Internet-yhteyskäytäntö, joka lisää mahdollisten IP-osoitteiden määrää, mikä optimoi viestien reitittämisen ja lisää mahdollisuuksia käyttää IPSeciä. IPSec on toinen Inernet-yhteyskäytäntö, jonka tarkoitus on turvata luottamuksellisuus, estää pakettien katselu muilta kuin vastaanottavalta palvelimelta ja varmistaa todentaminen ja eheys sen takaamiseksi, että paketin sisältämät tiedot ovat alkuperäiset ja oikealta lähettäjältä.

| | Jäsenvaltioita pyydetään edistämään yleisesti hyväksyttyjen eurooppalaisten ja kansainvälisten standardien mukaisten sertifiointi- ja akkreditointimenetelmien käyttöä ja suosimaan todistusten vastavuoroista tunnustamista. Komissio arvioi todistusten vastavuoroista tunnustamista koskevan oikeudellisen aloitteen tarpeen ennen vuoden 2001 loppua.

| | Euroopan markkinatoimijoita kannustetaan osallistumaan aktiivisemmin eurooppalaiseen (CEN, Cenelec, ETSI) ja kansainväliseen standardointitoimintaan (Internet Engineering Task Force (IEFT), World Wide Web Consortium (W3C)).

| | Jäsenvaltioiden tulisi tarkistaa kaikkia tietoturvastandardejaan. Komission kanssa voitaisiin järjestää kilpailuja, joissa etsitään eurooppalaisia salaus- ja turvallisuusratkaisuja kansainvälisesti sovittujen standardien edistämiseksi.

3.6. Sääntelyjärjestelmä

Voimassa on useita viestintäverkkojen ja tietojärjestelmien turvallisuuteen vaikuttavia oikeudellisia tekstejä, joista televiestintäalan sääntelyjärjestelmä on kattavin. Verkkojen lähentymisen takia turvallisuuskysymyksissä yhdistyvät nyt eri alojen sääntely ja sääntelyperinteet. Näitä ovat televiestintä (sisältäen kaikki viestintäverkot), jonka sääntelyä sekä lisätään että puretaan, laajalti sääntelemätön tietokoneteollisuus [19], Internet, joka on toiminut lähinnä "kädet irti" -lähestymistavan pohjalta, ja sähköinen kaupankäynti, jonka erityissääntely lisääntyy. Turvallisuuskysymyksissä ovat merkityksellisiä säännökset, jotka koskevat korvausvastuuta, verkkorikollisuutta, sähköisiä allekirjoituksia, tietosuojaa ja viennin sääntelyä. Näistä eri säännöksistä erityisen merkityksellisiä ovat tietosuojadirektiivit, televiestintäalan sääntelypaketti ja useat verkkorikollisuutta käsittelevään tiedonantoon liittyvät oikeudelliset aloitteet.

[19] On olemassa tietokoneen sähköosia koskevia turvallisuusvaatimuksia, mutta ei tietokoneen käsittelemien tietojen turvallisuutta koskevia vaatimuksia.

Yksityisyyden suoja on Euroopan unionin politiikan keskeinen tavoite. Se tunnustettiin perusoikeudeksi Euroopan ihmisoikeussopimuksen 8 artiklassa [20]. Euroopan unionin perusoikeuskirjan 7 ja 8 artiklassa [21] säädetään myös oikeudesta perhe- ja yksityiselämän, kodin ja viestien kunnioittamiseen sekä henkilötietojen suojaan.

[20] http://europa.eu.int/comm/internal_market/en/media/dataprot/inter/con10881.htm - HD_NM_15

[21] EYVL C 364, 18.12.2000, http://www.ue.eu.int/df/docs/en/CarteEN.pdf.

Tietosuojadirektiiveissä [22] ja erityisesti televiestintäalan tietosuojadirektiivin 5 artiklassa [23] jäsenvaltiot velvoitetaan varmistamaan luottamuksellisuus yleisissä televerkoissa ja yleisesti saatavilla olevissa telepalveluissa. Lisäksi ja 5 artiklan täytäntöönpanemiseksi julkisten palvelujen ja verkkojen tarjoajien on toteutettava saman direktiivin 4 artiklan nojalla asianmukaiset tekniset ja organisatoriset toimenpiteet tarjoamiensa palvelujen turvallisuuden varmistamiseksi. Artiklan mukaan näillä toimenpiteillä on myös voitava varmistaa riskiin suhteutettu turvallisuustaso, kun otetaan huomioon tekniikan senhetkinen taso ja toimenpiteiden käyttöönottokustannukset. Tämä tarkoittaa, että kaikilla verkko-operaattoreilla on laillinen velvollisuus suojella viestintää laittomalta sieppaukselta. Palvelujen yleiseurooppalainen luonne ja suurempi rajat ylittävä kilpailu edellyttävät näiden säännösten suurempaa yhdenmukaistamista.

[22] Direktiivit 95/46/EY (EYVL L 281, 23.11.1995) ja 97/66/EY (EYVL L 24, 30.1.1998) http://europa.eu.int/ISPO/infosoc/telecompolicy/en/9766en.pdf

[23] "Jäsenvaltioiden on kansallisilla säännöksillä taattava yleisen televerkon ja yleisesti saatavilla olevien telepalvelujen välityksellä tapahtuvan viestinnän luottamuksellisuus. Niiden on erityisesti kiellettävä se, että muut kuin käyttäjät voisivat ilman kyseisten käyttäjien suostumusta kuunnella, salakuunnella, tallentaa tai muulla tavalla siepata tai valvoa viestejä, jollei se ole laillisesti sallittua 14 artiklan 1 kohdan mukaisesti."

Yleisen tietosuojadirektiivin 95/46/EY 17 artiklassa säädetään, että rekisterinpitäjät ja käsittelijät toteutettavat toimenpiteitä asianmukaisen turvallisuuden tason takaamiseksi suhteessa käsittelyn riskeihin ja suojattavien tietojen luonteeseen, erityisesti jos käsittely muodostuu tietojen siirtämisestä verkossa. Heidän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi vahingossa tapahtuvalta tai laittomalta tuhoamiselta, vahingossa tapahtuvalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietojen antamiselta, erityisesti jos käsittely muodostuu tietojen siirtämisestä verkossa, sekä kaikelta muulta laittomalta käsittelyltä. Nämä säännökset vaikuttavat tällaisten henkilöiden ja organisaatioiden, kuten sähköisen kaupankäynnin palveluntarjoajien, käyttämien verkkojen ja tietojärjestelmien turvallisuusvaatimuksiin. Palvelujen yleiseurooppalainen luonne ja suurempi rajat ylittävä kilpailu lisäävät tarvetta löytää keinoja näiden säännösten noudattamiseksi.

EU:n televiestinnän sääntelyjärjestelmä sisältää useita säännöksiä, jotka liittyvät "verkon toimintojen varmistamiseen" (eli verkkojen toimivuuteen hätätilanteessa) ja "verkon toimintakyvyn ylläpitoon" (eli yhteenliitettyjen verkkojen normaalin toiminnan varmistamiseen) [24]. Komissio ehdotti uutta sähköisen viestinnän palvelujen sääntelyjärjestelmää heinäkuussa 2000 (tällä hetkellä yhteispäätösmenettelyssä ja siten Euroopan parlamentin ja neuvoston käsiteltävänä). Komission ehdotuksissa toistetaan periaatteessa - joskin muutettuna - nykyiset verkkoturvaa ja eheyttä koskevat säännökset.

[24] Kilpailun vapauttamisdirektiivi 90/388/EY, yhteenliittämisdirektiivi 97/33/EY, puhelintoimintadirektiivi 98/10/EY.

Nykyinen sääntelyjärjestelmä kattaa siten paitsi kunkin oikeudellisen tekstin erityisaiheet myös joitakin tässä tiedonannossa käsiteltyjä verkkoihin ja tietojärjestelmiin liittyviä näkökohtia.

Verkkorikollisuutta käsittelevä tiedonanto on saanut Euroopan unionissa aikaan keskustelun siitä, miten tietokoneita ja sähköisiä verkkoja käyttävään rikolliseen toimintaan on reagoitava. Keskustelu jatkuu kaikkien osapuolten kesken EU:n tason foorumissa, joka perustetaan piakkoin verkkorikollisuutta käsittelevän tiedonannon mukaisesti. Jäsenvaltioiden rikoslainsäädännön olisi käsitettävä tietokoneverkkojen luvaton käyttö, mukaan luettuna henkilökohtaisten tietojen suojan loukkaus. Tämän alan rikoslainsäädäntöä ei ole nykyisin lähennetty Euroopan unionin tasolla. Tämä voi aiheuttaa ongelmia näiden rikosten tutkinnalle, eikä nyt ole olemassa vahvaa pelotetta niitä vastaan, jotka suunnittelevat hakkerointia tai vastaavia hyökkäyksiä. Tietokoneverkkoihin tunkeutumisen torjuntaan tarkoitetun rikoslainsäädännön lähentäminen on tärkeää myös jäsenvaltioiden välisen juridisen yhteistyön helpottamiseksi.

Aiheellinen huoli verkkorikollisuudesta tekee tarpeelliseksi tehokkaan lainvalvonnan. Oikeudellinen huoli ei saa kuitenkaan tuottaa ratkaisuja, joissa oikeudelliset vaatimukset johtavat viestintä- ja tietojärjestelmien turvallisuuden heikentymiseen.

Ehdotetut toimet:

| | Tarvitaan yhteisymmärrys sähköisen viestinnän turvallisuuden oikeudellisista vaatimuksista. Tätä varten komissio selvittää, mitä yhteisön oikeuden mukaisia kansallisia säännöksiä on annettu tähän mennessä.

| | Jäsenvaltioiden ja komission olisi edelleenkin tuettava salaustuotteiden ja -palvelujen vapaata liikkuvuutta yhdenmukaistamalla enemmän hallinnollisia vientimenettelyjä ja jatkamalla vienninvalvontatoimien väljentämistä.

| | Komissio tekee Euroopan unionin perustamissopimuksen VI osaston nojalla lainsäädäntöehdotuksen lähentääkseen jäsenvaltioiden rikoslainsäädäntöä, joka koskee tietokonejärjestelmiin kohdistuvia hyökkäyksiä sekä hakkerointia ja palvelun estämiseen tähtääviä hyökkäyksiä.

3.7. Tietoturva valtionhallinnossa

eEurope 2002 -toimintasuunnitelman tavoitteena on tehostaa vuorovaikutusta kansalaisten ja julkishallinnon välillä. Koska suuri osa kansalaisten ja hallinnon välillä vaihdettavasta tiedosta on luonteeltaan henkilökohtaista tai luottamuksellista (lääketieteellistä, taloudellista, oikeudellista, jne.), turvallisuus on tavoitteen saavuttamisen varmistamisessa ratkaisevan tärkeää. Lisäksi sähköisen hallinnon kehitys tekee julkishallinnosta sekä mahdollisen esimerkin näyttäjän tehokkaiden turvaratkaisujen osoittamisessa että markkinatoimijan, joka kykenee vaikuttamaan kehitykseen hankintapäätöstensä välityksellä.

Julkishallinnon tehtävänä on paitsi hankkia turvallisuusvaatimukset täyttäviä tieto- ja viestintäjärjestelmiä myös kehittää organisaation turvallisuuskulttuuria. Tämä voidaan saavuttaa laatimalla "organisatorisia turvallisuuspolitiikkoja", jotka räätälöidään instituution tarpeisiin.

Ehdotetut toimet:

| | Jäsenvaltioiden tulisi sisällyttää tehokkaita ja yhteentoimivia tietoturvaratkaisuja sähköistä hallintoa ja sähköisiä hankintoja koskeviin toimiinsa yhtenä perusvaatimuksena.

| | Jäsenvaltioiden tulisi ottaa käyttöön sähköiset allekirjoitukset tarjotessaan verkossa julkisia palveluja.

| | Komissio toteuttaa omassa sähköisessä toimintaympäristössään ("e-Commission") joukon toimia sen tieto- ja viestintäjärjestelmien turvallisuusvaatimusten tiukentamiseksi.

3.8. Kansainvälinen yhteistyö

Samaan tapaan kuin viestit siirtyvät sekunnin murto-osassa rajojen yli, siirtyvät myös niihin liittyvät turvallisuusongelmat. Verkko on ainoastaan yhtä turvallinen kuin sen heikoin lenkki, eikä Eurooppa voi eristää itseään muusta maailmanlaajuisesta verkosta. Niinpä turvallisuuskysymysten ratkaisu edellyttää kansainvälistä yhteistyötä.

Euroopan komissio myötävaikuttaa jo G8-maiden, OECD:n ja YK:n kaltaisten kansainvälisten foorumien työhön. Yksityissektori käsittelee turvallisuuskysymyksiä omissa organisaatioissaan, kuten Global Business Dialogue (http://www.gbde.org/) tai Global Internet Project (http://www.gip.org/). Jatkuva vuoropuhelu näiden järjestöjen kesken on olennaista maailmanlaajuiselle turvallisuudelle.

Ehdotettu toimi:

| | Komissio tehostaa kansainvälisten järjestöjen ja kumppaneiden välistä vuoropuhelua verkkoturvasta ja erityisesti sähköisten verkkojen luotettavuuden parantamisesta.

4. Seuraavat vaiheet

Tämä tiedonanto tarjoaa tämän alan toiminnan strategiset pääpiirteet. Se on ainoastaan ensimmäinen askel eikä vielä lopullinen Euroopan verkkoturvallisuutta koskeva toimintasuunnitelma. Siinä kuitenkin ehdotetaan jo toimia kehyksen laatimiseksi yhteiselle eurooppalaiselle lähestymistavalle. Seuraavaksi jäsenvaltioiden ja Euroopan parlamentin on keskusteltava kehyksestä ja ehdotetuista toimista. 15. ja 16. kesäkuuta pidettävä Göteborgin Eurooppa-neuvosto saattaa antaa suuntaviivoja tulevalle kehitykselle.

Komissio ehdottaa perusteellisen keskustelun käynnistämistä teollisuuden, käyttäjien ja tietosuojaviranomaisten kanssa ehdotettujen toimien täytäntöönpanoa koskevista käytännön yksityiskohdista. Kommentteja voi lähettää sähköpostiosoitteeseen eeurope@cec.eu.int elokuun 2001 loppuun mennessä. Siksi tässä tiedonannossa pyydetään asianosaisilta kommentteja lopullisten konkreettisten toimien laatimiseksi. Ehdotuksista voisi koota suunnitelman, joka kehitetään vuoden 2001 loppuun mennessä.

***