Studia monetaria -yleisöluento rahamuseossa 10.10.2017 Hanna Heiskanen, johtava digitalisaatioasiantuntija, Finanssivalvonta Tomi Kinnari, tietoturva-asiantuntijaViestintävirasto, Kyberturvallisuuskeskus

1. #CyberSecMonth
Verkkoturvallisuuskuukausi:
Ovatko tilisi ja tietosi turvassa?
Studia monetaria -yleisöluento rahamuseossa 10.10.2017
Hanna Heiskanen, johtava digitalisaatioasiantuntija,
Finanssivalvonta
Tomi Kinnari, tietoturva-asiantuntija
Viestintävirasto, Kyberturvallisuuskeskus

2. #CyberSecMonth
Esityksen sisältö
• Hanna Heiskanen: Miten palveluiden
turvallisuus varmistetaan?
• Tomi Kinnari: Mitkä uhat vaanivat
palvelujen käyttäjää ja miten niihin voi
varautua?

3. #CyberSecMonth
Miten palveluiden
turvallisuus
varmistetaan?
Hanna Heiskanen

4. #CyberSecMonth
Mitä tietoturva ja tietosuoja
tarkoittavat?
• Tietoturvan CIA-malli = Condidentiality + Integrity + Availability
• Luottamuksellisuus
• Luottamuksellisten tietojen turvaaminen
• Tiedot vain niiden saatavilla, joilla on tietoihin oikeus
• Eheys
• Tieto ei pääse muuttumaan vahingossa
• Tietoa voivat muuttaa vain ne, joilla on siihen oikeus
• Tietoihin tehdyt muutokset ovat havaittavissa
• Saatavuus
• Tiedot ovat saatavilla, kun niitä tarvitaan
• Tarvittavat varajärjestelyt käytössä vika- ja häiriötilanteiden varalta
• Tietosuoja = henkilötietojen suojaaminen, yksityisyyden
turvaaminen

5. #CyberSecMonth
Useilla viranomaisilla rooli
tietoturvan hallinnassa
• Finanssivalvonta
• Viestintäviraston kyberturvallisuuskeskus
• Tietosuojavaltuutettu
• Poliisi – Keskusrikospoliisin kyberrikos-yksikkö
• Euroopan Keskuspankin yhteinen pankkivalvonta suurten
pankkien valvonnassa

6. #CyberSecMonth
Tietoturvallisuuden tila on
Suomessa hyvä
Lähde: Microsoft Security Intelligence Report

7. #CyberSecMonth
Tietoturva on yhteispeliä
Palveluiden
suunnittelu
Palveluiden
toteutus
Testaus
ennen
käyttöönottoa
Auditointi
Vienti
tuotantoon
Ylläpito ja
päivitykset
Palvelun
käyttäjä

8. #CyberSecMonth
Miten finanssipalveluiden
turvallisuus varmistetaan?
• Valvonnassa kiinnitetään erityistä huomiota operatiivisiin riskeihin
• Tarkastelu toimilupaprosessin yhteydessä
• Tarkastukset
• Valvojan arvio ja ulkoistusilmoitukset merkittävistä ulkoistuksista
• Jatkuva valvonta
• Operatiivinen riski = tappionvaaraa, joka aiheutuu:
• riittämättömistä tai epäonnistuneista sisäisistä prosesseista
• henkilöstöstä
• järjestelmistä
• ulkoisista tekijöistä

9. #CyberSecMonth
Miten uusien palveluiden
turvallisuus varmistetaan?
• Pankin hallituksen on hyväksyttävä operatiivisen riskin hallinnan periaatteet
• Riskin tunnistaminen, arviointi, seuranta ja rajoittaminen
• Periaatteiden säännöllinen uudelleenarviointi
• Pankin on arvioitava uuden tuotteen ja palvelun riskit ennen niiden
käyttöönottoa
• Myös uuden palvelumallin käyttöönoton yhteydessä tai jos tuotteita ja palveluita on
yhdistelty uudella tavalla
• Pankin sisäinen ohjeistus uuden tuotteen ja palvelun hyväksymiselle
• Riippumattomien osapuolten tietoturva-auditoinnit
• Edellytetään verkkopalvelujen osalta
• Datan kryptauksen vaatimus
• Käytäntönä, että pankki esittelee merkittävän uuden tuotteen tai palvelun
Finanssivalvonnalle hyvissä ajoin ennen sen käyttöönottoa
• Riskiarvio – erityisesti tietoturvariskit
• Tarvittaessa lisäselvitys tai jopa käyttöönoton lykkääminen

10. #CyberSecMonth
Entä jos jotain tapahtuu?
• Vahingon rajoittaminen
• Käyttäjätiedotus
• Ilmoitus Finanssivalvonnalle
• Toiminnan häiriöistä
• Toiminnan virheistä
• Operatiivisen riskin tappiotapahtumista
• Ensi-ilmoitus viipymättä heti häiriöiden tai virheiden ilmaannuttua
• Täydentävä ilmoitus yksityiskohdista mahdollisimman pian
• Häiriön syyn analysointi
• Toimenpiteet sille, miten vastaava häiriö voidaan jatkossa estää
• Vapaaehtoinen ilmoitus Kyberturvallisuuskeskukselle (Cert-Fi)
• Jos henkilötietoja vaarantuu, ilmoitus myös Tietosuojavaltuutetulle

11. #CyberSecMonth
Suomalaiset tietokoneet hyvin
suojattuja Reaaliaikainen suojaus 92,2 %
suomalaisista tietokoneista.
Luku on maailman korkein!

12. #CyberSecMonth
Kiitos!

13. Mitkä uhat vaanivat palveluiden käyttäjää ja miten
niihin voi varautua?

14. |
Viestintäviraston Kyberturvallisuuskeskus
Kyberavaruuden toimijat ja toiminnan kohteet
Palveluiden käyttäjiä vaanivat uhkat
» Tietojenkalastelut ja tilausansat
» Huonot salasanat
» Esineiden internet
» Haittaohjelmat
Miten käyttäjän tulisi toimia?
Sisältö
10.10.2017Tomi Kinnari 2

15. |
Viestintäviraston
Kyberturvallisuuskeskus
10.10.2017Tomi Kinnari 3

16. |
Mikä on Kyberturvallisuuskeskus?
Kyberturvallisuuskeskus on Kansallinen
tietoturvaviranomainen, joka kehittää ja
valvoo viestintäverkkojen ja -palveluiden
toimintavarmuutta ja turvallisuutta.
» Kyberturvallisuuskeskus on osa Viestintävirasta
» N. 70 työntekijää
Tietoturvaloukkausten ilmoituspiste
» Neuvoja ja tukea
» Tilannekuva
Tietoturvaloukkausten havainnointi
(HAVARO)
Yhteistyöverkostot
Haavoittuvuuskoordinointi
Järjestelmäturvallisuus
Salaustuotteiden hyväksynnät
Suojatut satelliittien aika- ja paikkasignaalit
Harjoitustoiminta
10.10.2017Tomi Kinnari 4

17. |
Kyberavaruuden toimijat ja toiminnan kohteet
5
KANSALAISET YKSITYINEN
SEKTORI
KRIITTINEN
INFRASTRUKTUURI
VALTIO
TEINIT JA HAKTIVISTIT
PIKKURIKOLLISET
RIKOLLISJÄRJESTÖT
KYBERVAKOILU
KYBERTERRORISMI
KYBEROPERAATIOT
510.10.2017
Erittäin
harvinaista
Nähty maailmalla, mutta
ei Suomessa
Nähty myös
Suomessa
Tomi Kinnari

18. |
Tietojenkalastelut ja
tilausansat
10.10.2017Tomi Kinnari 6

19. |
Tietojenkalastelu
Huijataan tietoa esiintymällä jonakin toisena
tahona
esimerkiksi pankkina, verottajana, poliisina, jne.
Tavoitteena esimerkiksi pankkitunnukset,
luottokortti, sähköpostitunnukset, Apple ID,
Outlook Web Access -tunnukset, Google
Drive -tunnukset
Alkaa usein sähköpostilla, jossa on linkki
tietojenkalastelusivulle
Joskus saattaa liittyä myös tekstiviesti tai
puhelinsoitto
Kuva: Sähköpostiviesti, jossa uhri yritetään saada
Apple-teemaiselle tietojenkalastelusivustolle
10.10.2017Tomi Kinnari 7

20. |10.10.2017Tomi Kinnari 8

22. |
Harhaanjohtavalla mainonnalla ja verkkosivun
ulkoasulla pyritään saamaan kuluttaja tilaamaan
asia, jota hän ei ehkä tiennyt tilaavansa
Teemana on usein arvonta, johon voi osallistua
maksamalla euron
» Voittona Gigantin, Finnairin tai Prisman 500 euron
lahjakortti tai uusi iPhone
Todellisuudessa sitoutuu johonkin palveluun,
jossa on jatkuva kuukausittainen veloitus
Tilausansat
10.10.2017Tomi Kinnari 10

23. |10.10.2017Tomi Kinnari 11

24. |10.10.2017Tomi Kinnari 12

25. |
Heikot salasanat
10.10.2017Tomi Kinnari 14

26. |
Salasanoihin liittyviä riskejä
Tietomurto ja sama salasana muissakin
palveluissa
Helposti arvattavissa oleva salasana
» Verkossa on erilaisia salasanalistoja, johon on kerätty
yleisimpiä salasanoja
Liian lyhyt salasana
» Tietokone voi murtaa lyhyen salasanan nopeasti.
» Esimerkki: 8 merkkisen salasanan murto kestää
kotikoneella muutamia tunteja, mutta 15 merkkisen jo
vuosisatoja
Oletussalasanan käyttö
» Internetiin kytkettyjä laitteita skannataan jatkuvasti ja
niihin kokeillaan kirjautua oletussalasanoilla
• Älypää.com tietomurron datasta (2010) kerätty
suomalaisten yleisimmät salasanat:
1. salasana : 419 kpl
2. 123456 : 304 kpl
3. älypää : 184 kpl
4. kissa : 134 kpl
5. johanna : 128 kpl
6. 54321 : 113 kpl
7. perkele : 108 kpl
8. hevonen : 96 kpl
9. nallepuh : 93 kpl
10. aurinko : 93 kpl
11. tappara : 92 kpl
12. koira : 90 kpl
13. tiikeri : 89 kpl
14. tietokone : 86 kpl
15. qwerty : 85 kpl
10.10.2017Tomi Kinnari 15

27. |
1. Älä kierrätä samoja salasanoja eri palveluissa.
» Käytä salasananhallintaohjelmia, kuten KeePass, joilla voi luoda ja säilöä eri
palveluille oman uniikin salasanan
2. Käytä kaksivaiheista tunnistautumista (two factor authentication)
3. Valitse hyvä salasana
» Vähintään 15 merkkiä pitkä ja sisältää numeroita, isoja ja pieniä kirjaimia
sekä erikoismerkkejä
» Salalause on helpompi muistaa kuin pitkä salasana. Esimerkiksi "Bussilla
matkustaa 2 mustaa kissaa ja 3 valkoista koiraa"
» Älä käytä helposti arvattavia yleisiä salasanoja, kuten kissa, kissa11, salasana
tai 123456. Näitä murtajat kokeilevat ensimmäisenä.
Vinkkejä hyvään salasanaturvallisuuteen
10.10.2017Tomi Kinnari 16

28. |
Esineiden internet
10.10.2017Tomi Kinnari 17

29. |10.10.2017Tomi Kinnari 18

30. |
Esimerkkejä esineiden internet-laitteista
10.10.2017Tomi Kinnari 19

31. |
"Älykkään laitteen" ruumiinavaus
10.10.2017Tomi Kinnari 20
Ympäristöään
mittaava tai siihen
vaikuttava laite
Pieni
tietokone
VerkkoyhteysKäyttöjärjestelmä
• Linux-ydin
• Minimaalinen
perusohjelmisto,
kuten Busybox
Ohjelmistoja
• WWW-palvelin
• Muita kenties
tarpeellisia
palvelimia
• Ohjelmistoja, jotka
vaikuttavat
laitteeseen

32. |
Lypsykone osallistuu
palvelunestohyökkäykseen
Kokoushuoneen varauspaneeli lataa
ja näyttää mainoksia
Maalämpöpumppu skannaa
haavoittuvuuksia
Kotiteatterivahvistin on osa bot-
verkkoa
Verkkokamerassa kutsumattomia
katselijoita
Esimerkkejä Suomessa nähdyistä tapauksista
10.10.2017Tomi Kinnari 21

33. |
Suojautumisvinkkejä esineiden internetiin
1. Älä yhdistä laitteita nettiin, ellei se ole tarpeellista
2. Liitä laitteet jaetun ulkoisen IP-osoitteen alle, jolloin ne eivät
ole suoraan internetistä tavoitettavissa (kotireitittimen NAT-
toiminto)
3. Vaihda oletussalasanat
4. Päivitä ohjelmisto aina kun mahdollista
5. Ennen ostopäätöstä Googleta, onko laitteella tiedossa olevia
tietoturvaongelmia
10.10.2017Tomi Kinnari 22

34. |
Haittaohjelmat
10.10.2017Tomi Kinnari 23

35. |
Haittaohjelmat
Haittaohjelmilla on erilaisia tarkoituksia
» Kiristyshaittaohjelmat
» Etähallintaohjelmat (RAT)
» Pankkihaittaohjelmat
» Kryptovaluutan louhinta
» Roskapostin lähettäminen
Haittaohjelmien ympärille on muodostunut
ekosysteemi, josta erilaisia palveluita voi
ostaa
» Rikollisen ei välttämättä tarvitse osata koodata
lainkaan
» Laadukkaita haittaohjelmia voi ostaa verkon
hämäräpalstoilta valmiina
» Myös haittaohjelmien jakelun voi ulkoistaa
10.10.2017Tomi Kinnari 24

36. |10.10.2017Tomi Kinnari 25
Lähde: F-Securen State of cyber security 2017 -raportti

37. |
Miten haittaohjelmia nykyään levitetään?
Sähköpostin liitetiedostot suosituin
» Zip-pakattu ja salasanasuojattu
» Makroja sisältävä Office-tiedosto
Haitalliset verkkosivustot, joissa toimii
haittaohjelmien jakelualusta
Ohjelmistojen jakeluketjut
USB-tikut ja muut siirrettävät mediat
10.10.2017Tomi Kinnari 26
Tyypillisiltä hyökkäysmenetelmiltä VOI suojautua!
Ns. nollapäivähaavoittuvuuksia käyttävät yleensä vain valtiolliset toimijat

38. |10.10.2017Tomi Kinnari 27
Miten käyttäjän tulisi toimia?

39. |
Miten käyttäjän tulisi toimia?
10.10.2017Tomi Kinnari 28
Twitter 18.11.2016: @mikko
Käytä valppautta sähköpostien kanssa!
Päivitä!
» Pidä laitteet ajan tasalla
» Pidä ohjelmistot ajan tasalla
» Päivitä vanhat laitteet hankkimalla uusia
Varmista!
» Tee kaikesta tärkeästä tiedosta aina
varmuuskopiot. Mielellään fyysisesti eri paikkaan.
» Kovalevyt EIVÄT ole luotettavia
» Tietokoneet EIVÄT ole luotettavia
Käytä tietoturvaohjelmistoa!
Ilmoita jos olet joutunut
tietoturvaloukkauksen kohteeksi!

40. |
Ota yhteyttä!
10.10.2017Tomi Kinnari 29
www.viestintavirasto.fi/
kyberturvallisuus
www.viestintavirasto.fi/
kyberturvallisuus
sähköpostitse: cert@ficora.fisähköpostitse: cert@ficora.fi
asiakaspalvelu: 0295 390 230asiakaspalvelu: 0295 390 230
www.facebook.com/NCSC.FIwww.facebook.com/NCSC.FI
twitter.com/certfitwitter.com/certfi

41. www.kyberturvallisuuskeskus.fi
www.viestintävirasto.fi