Kukahan minä olen?
Kukahan minä olen?
Sähköinen tunnistaminen, digitaalinen identiteetti on avain sähköisiin palveluihin. Nettiostokset, pankkipalvelut, auton käynnistäminen, kaikki vaativat tulevaisuudessa käyttäjän sähköistä tunnistamista.
Identiteetistä on tullut ihmisen arvokkain omistus, jonka hukkaaminen voi käydä todella kalliiksi. Identiteettivarkaudet yleistyvät maailmalla nopeasti, ja identiteettirikosten aiheuttamien vahinkojen arvioidaan yksin Yhdysvalloissa nousevan kymmeniin miljooniin euroihin vuodessa.
Suomen lainsäädäntö ei kuitenkaan pidä identiteettivarkautta vielä edes rikoksena. Laki ei myöskään velvoita kertomaan identiteettivarkauden uhrille, että hänen identiteettiään on käytetty rikosvälineenä.
Ihmisen identiteettiä on pidetty niin itsestään selvänä asiana, että sen varastamista ei ole osattu kieltää laissa. Vastaavan esimerkin historiasta tarjoaa sähkö, jonka varastaminen ei ollut aluksi rikos, koska varastaminen määriteltiin laissa tavaraan kajoamisena, eikä sähkö ole tavaraa.
Toistaiseksi identiteettirikoksia on tehty lähinnä helposti rahaksi muutettavilla henkilötiedoilla kuten luottokorttien numeroilla tai verkkopalveluiden käyttäjätiedoilla. Niille on jo syntynyt maailmanlaajuiset mustan pörssin markkinat, joissa henkilötietovarkaat ja henkilötietoja hyödyntävät identiteettivarkaat kohtaavat.
Yksittäisten ihmisten henkilötiedoilla on tehty rikoksia jo pitkään, mutta kun viranomaiset ja yritykset käsittelevät kansalaisten henkilötietoja sähköisessä muodossa, rikollisiin käsiin voivat joutua miljoonien ihmisten tiedot kerralla.
Esimerkiksi Isossa-Britanniassa on kateissa kaksi cd-levyä, joilla on 25 miljoonan britin henkilötiedot ja miljoonien ihmisten pankkitilien numerot. Yhdysvalloissa on juuri nostettu syytteet 41 miljoonan luottokorttinumeron varastamisesta. Mappiaikaan vastaavan vahingon tekemiseen olisi tarvittu saattueellinen rekka-autoja.
Viranomaiset ja yritykset eivät aina ymmärrä, että niiden tietokannoissa olevat henkilötiedot ovat rahanarvoista tavaraa, joka kiinnostaa rikollisia. Tietosuojavaltuutettu joutui viime talvena tekemään rikosilmoituksen useista suomalaisista verkkopalveluista, joista oli tietoturvan puutteiden vuoksi onnistuttu imuroimaan 78 000 suomalaisen käyttäjätunnukset ja salasanat.
Henkilötietojen tietoturvan on oltava aukoton! Hyvän esimerkin tarjoaa tapaus viime keväältä, jolloin käyttäjä kirjautui vahingossa väärällä nimellä Kelan verkkopalveluun käytettyään tunnistautumiseen väärän pankin tunnuksia.
Tapauksen todennäköisyys oli Nordean mukaan lottovoiton luokkaa, mutta lotossakin joku voittaa joka viikko.
Paperilla menetetyn identiteetin tilalle voi sentään viime kädessä hankkia uuden, jos identiteettivaras on onnistunut tekemään peruuttamatonta vahinkoa. Jopa nimen vaihtaminen on mahdollista.
Viime aikoina ihmisistä on alettu kuitenkin kerätä tunnistamista varten myös niin sanottuja biometrisiä tietoja, joita nimenomaan ei voi vaihtaa. Juuri siksi biometriset tiedot houkuttelevat sekä turvallisuusviranomaisia että rikollisia. Esimerkiksi passien rfid-siruille sijoitetaan vuodesta 2009 alkaen passinhaltijoiden tunnistamisen varmistamiseksi myös heidän sormenjälkensä.
Eikä kehitys pysähdy sormenjälkiin. Maailmalla keskustellaan myös dna-tietojen ja silmän iiriksen kuvan lisäämisestä passeihin. Varmuuden vuoksi.
Jos ja kun identiteettivaras saa uhrinsa biometriset tiedot haltuunsa, hän voi tehdä tämän nimissä ihan mitä tahansa! Ja viranomaisen tai yrityksen keräämät biometriset tiedot hankittuaan identiteettivaras voi tehdä kenen tahansa nimissä mitä tahansa.
Jos esimerkiksi pankkiautomaattien tunnusluku tai autojen virtalukot korvattaisiin sormenjälkien lukijoilla, sormenjälkitietokannan avulla voisi murtojälkiä jättämättä tyhjentää kaikki pankkitilit ja varastaa jokaisen auton.
Vuodesta 2009 alkaen meidän sormenjälkemme leviävät ympäri maailmaa. Ei riitä, että me luotamme Suomen poliisiviranomaisten suojelevan meidän sormenjälkitietojamme asianmukaisesti, meidän on luotettava myös jokaiseen rajaviranomaiseen, joka maailmalla lukee meidän passimme rfid-sirun tiedot. Yksi korruptoitunut rajaviranomainen riittää.
Onneksi Suomen rfid-passien käyttämä tietojen kryptausavain on tukevampaa tekoa kuin esimerkiksi Saksassa tai Hollannissa, joiden passien suojaus on jo murrettu, tiedot luettu ja vaihdettu toisen henkilön tiedoiksi.
Kansalaisten perusoikeudet on kirjattu perustuslakiin, jotta lainsäätäjät ja viranomaiset muistaisivat, että tarkoitus ei pyhitä keinoja. Että edes turvallisuuden nimissä ei saa tehdä mitä tahansa.
Tietoyhteiskunnassa vanhojen tuttujen kansalaisoikeuksien, yksityisyyden, sananvapauden ja kotirauhan rinnalle onkin lisättävä uusi perusoikeus, oikeus henkilökohtaisen identiteetin suojaan.
