Tätä ei voi tapahtua!

Pari päivää sitten katsoin elokuvan Die Hard 4.0. Tässä jo vuonna 2007 valmistuneessa elokuvassa rikolliset lamaannuttivat koko infrastruktuurin päästäkseen käsiksi valtion datapankkiin, jonne oli tallennettu ihmisten henkilökohtaisten tietojen lisäksi kaikki valtion finanssitiedot. Muistan elokuvan ensimmäisen kerran nähdessäni ajatelleeni, että onneksi tuo on fiktiota. Ei kukaan oikeasti ole niin hölmö, että tallentaisi ihan kaiken yhteen paikkaan ja suojaisi tiedot niin huonosti, että ulkopuoliset voivat päästä niihin käsiksi.

Näkyy se kuitenkin olevan mahdollista. Psykoterapiakeskus Vastaamo joutui tietomurron kohteeksi, ja valtava määrä arkaluontoisia potilastietoja päätyi roistojen käsiin. Nyt ihmiset ovat ruvenneet saamaan henkilökohtaisia kiristyskirjeitä ja hätäkeskukset sekä poliisin sähköinen rikosilmoitusjärjestelmä tukkeutuvat. Arkaluontoisia tietoja on jo julkaistu netissä kiristyksen tehostamiseksi. Helsingin Sanomat on tehnyt asiaa käsittelevistä uutisistaan hyvän koosteen.

Laki vaatii niin potilastietojen kirjaamista kuin niiden suojaamistakin.Tämä on tähän asti pahin tietoyhteiskuntaan kohdistuva rikos, ja sillä tulee olemaan mittavat seuraukset. Viestintäkouluttaja Katleena Kortesuo sanoo tapausta kybertason ketjukolariksi Kehä III:lla. Sitä se epäilemättä on, kenties vielä pahempaakin. Se paljasti koko tietoyhteiskunnan haavoittuvuuden lähes yhtä konkreettisesti kuin Die Hard 4.0.

Pahinta tämä on tietysti niille, joiden tiedot on varastettu ja jotka joutuvat kiristyksen uhreiksi. He joutuvat nyt tekemään rikosilmoituksen, ottamaan itselleen luottokiellon, tekemään PRH:lle rekisteröintikiellon, Postille lomakekiellon sekä Digi- ja väestötietovirastolle tietojen luovuttamiskiellon. Kaikki tämä riesa tilanteessa, jossa päällimmäisenä on huoli omasta turvallisuudesta ja tietojen vuotamisesta julkisuuteen.

Järjestelmämme ei ole varautunut näin mittavaan kyberrikokseen. Lainsäädäntöä on uudistettu vuonna 2018 EU:n tietosuoja-asetuksella (GDPR),mutta näköjään se ei riitä. On voinut käydä niinkin, että sen mukaisesti on suojattu sen voimaantulon jälkeen tallennetut tiedot, mutta vanhemmat on jätetty vähemmälle suojaamiselle. Näin voisi epäillä siksi, että rikos kohdistui ennen vuotta 2018 tallennettuihin tietoihin. En tiedä enkä väitä mitään, mutta Vastaamon tietosuojauksen taso selvitetään varmasti, kunhan ensin keskitytään uhrien auttamiseen ja rikollisten tavoittamiseen.

Uhrien asema on todella hankala, sillä he joutuvat kaiken huolen keskellä tekemään rikosilmoituksen ja kieltämään tietojensa luovuttamisen. Tämän he joutuvat tekemään siinä samassa kyberavaruudessa, joka on osoittautunut haavoittuvaksi ja viranomaisten asiointisivujen kapasiteetin osalta riittämättömäksi. Lainsäädäntökään ei ole varautunut tilanteeseen, jossa valtava joukko ihmisiä joutuu tekemään rikosilmoituksen asianomistajarikoksesta. Näin suuren mittaluokan rikoksen pitäisi oikeastaan olla yleisvaarallinen rikos, josta poliisi voisi aloittaa esitutkinnan ilman rikosilmoituksiakin. Lisäksi tulee mieleen, että ehkä henkilötunnuksen käyttämisestä tunnistautumiseen pitäisi luopua ja tunnuksen muuttaminen tehdä helpommaksi.

Kun rikos saadaan selvitettyä, niin tulemme näkemään melkoisia muutoksia monissa tietoturvaan liittyvissä asioissa. Ainakin toivon niin, sillä olemme tuudittautuneet siihen uskoon, että tietomme ovat suojassa ja verkko on sen suhteen turvallinen paikka. Olemme tehneet viimeisen kymmenen vuoden aikana sellaisen digiloikan, että tällaista vanhempaa ja aina muutaman askelen jäljessä tulevaa on hirvittänyt.

Jäljessä olen tullut sekä konservatiivisuuttani että siksi, että tiedän rikollisten olevan aina muutaman askelen lakia ja viranomaisia edellä. Se ei johdu laista eikä viranomaisista, vaan siitä, että rikolliset ovat kekseliäitä ja yhteiskunta osaa reagoida vasta sitten, kun jokin uudenlainen rikos tapahtuu.

Toivon rikoksen uhreille kaikkea mahdollista tukea tässä hirveässä tilanteessa.