VAHTI 4/2013 Henkilöstön tietoturvaohjeen uusi tukimateriaali - 9. liite 6 tietoturvallisuuden huomioiminen ulkomaille matkustettaessa tai siellä työskenneltäessä

Johdanto
 

Tarve hyödyntää tietotekniikan tarjoamia palveluita näkyy myös ulkomailla tapahtuvassa työskentelyssä. Usein edellytetään, että käytettävissä pitää olla samat palvelut ja käyttömahdollisuudet kuin kotimaassa työskenneltäessä. Ulkomailla tapahtuvaa työskentelyä voi verrata satunnaiseen etäkäyttöön Suomessa, mutta siihen liittyy selvästi suurempia riskejä.

Tämä dokumentti ohjeistaa julkisen sekä korkeintaan ST IV –tasoisen tietoaineiston käsittelyä ulkomailla. Salassa pidettävien tietojen käsittely ulkomailla on mahdollista suojaustason IV-tietojen osalta, mutta tämä edellyttää ennakolta käyttötarpeiden selvittämistä, riskien arviointia sekä mahdollisia toimenpiteitä riskien pienentämiseksi – jo ennen matkaa, sen aikana sekä mahdollisesti matkan jälkeen. Koska ST III -tietoaineistojen käsittelyvaatimukset ovat merkittävästi tiukemmat kuin ST IV -tietoaineistojen, niiden käsitteleminen ei ole sallittua ilman organisaation erillistä ohjeistusta.

Tätä tukimateriaalia voidaan käyttää apuna suunniteltaessa työmatkaa tai muuta toimintaa ulkomailla, työskenneltäessä ulkomailla sekä matkan jälkeen. Tässä ei ohjeisteta yleisistä matkustamiseen liittyvistä asioista vaan niissä tulee noudattaa organisaation muita matkustus- ja turvallisuusohjeita.

Tämän materiaalin tarkoituksena on varmistaa tietoturvallinen toiminta ulkomailla matkustettaessa ja toimittaessa. Se on tarkoitettu ICT-palveluista, turvallisuudesta ja matkustamisesta vastaaville sekä ulkomaille matkustaville henkilöille.  Sitä voidaan käyttää täydentämään organisaation olemassa olevaa tietoturvaohjeistusta, ja sitä tulee muokata organisaation omiin tarpeisiin.

Tämän materiaalin on tuottanut Valtionhallinnon tieto- ja kyberturvallisuuden johtoryhmän (VAHTI) asettama tekninen jaosto ja se vastaa tämän ylläpidosta. Lisätietoja ja ohjeita voit pyytää oman organisaatiosi tietoturvallisuudesta tai matkustamisesta vastaavilta henkilöiltä.

Riskien arviointi ja jatkuvuuden hallinta
 

Ulkomaille matkustettaessa tulee työskentelyssä ja päätelaitekäytössä ottaa huomioon samat asiat kuin työskenneltäessä kotimaassa, joko työpaikalla, etätyössä tai julkisissa tiloissa. Lisäksi tulee ottaa huomioon mahdollinen tiedustelutoimintaan liittyvä kohonnut riski. Matkaan ja siellä tapahtuvaan työskentelyyn liittyvät riskit tulee arvioida jo ennen matkaa.

Riskit voidaan jaotella esimerkiksi seuraaviin osa-alueisiin:

• matkustamiseen ja kohdemaahan liittyvät riskit
• työskentely- ja toimitiloihin liittyvät riskit
• tietoliikenteeseen liittyvät riskit
• tiedusteluun liittyvät riskit

Matkaa suunniteltaessa tulee ottaa huomioon, että organisaation toiminnan jatkuvuuden kannalta kaikki keskeiset avainhenkilöt eivät matkusta samalla liikennevälineellä. Tässä tulee ottaa huomioon sekä organisaation johtamiseen että yksittäisten palveluiden jatkuvuuteen liittyvät näkökulmat.

Matkustamiseen ja kohdemaahan liittyvät riskit

Matkustamiseen liittyviä riskejä arvioitaessa tulee selvittää kyseisen maan turvatilanne. Tämän voi tehdä ulkoasiainministeriön palvelusta Etusivu => Palvelut => Matkalla =>Matkustustiedotteet => Matkustustiedotteet maittain.

Ennen matkustusta on syytä tehdä matkustusilmoitus (https://matkustusilmoitus.fi)

Kohdemaahan liittyvät riskit koskevat ennen kaikkea henkilöturvallisuutta, mutta osittain myös tiedustelutoimintaa ja tietoliikenneyhteyksien turvallisuutta.

• Maissa, joissa esiintyy säännöllisesti vaarallisia luonnonilmiöitä (esimerkiksi myrskyjen aiheuttamat tulvat, mutavyöryt, maanjäristykset, tsunamit, tulivuorten purkaukset, metsäpalot), seuraa paikallista mediaa tai pyydä, että sinua varoitetaan Suomesta, mikäli tällaisen riskin mahdollisuus kasvaa. Mikäli organisaation käyttämä matkatoimisto tarjoaa tiedotteita palveluna, suositellaan niiden käyttöä ja palvelun ohjeistamista henkilöstölle.

• Ole varovainen ict-laitteiden käytössä; älä koskaan jätä älypuhelinta, kannettavaa tietokonetta, tablettia (jatkossa ”päätelaite”) muualle kuin lukittuun tai muuten valvottuun, turvalliseen tilaan, turvattomammissa maissa niitä tulee kuljettaa aina mukana. Hotellien turvakaapit (”safety box”) eivät ole riittävän turvallisia salassa pidettävän tietoaineiston säilyttämiseen.

• Ole varovainen mm. lentokentillä, kadulla kulkiessasi, hotelleissa tai ravintoloissa asioidessasi, sillä joku saattaa ottaa kuvia, joita voi käyttää hyväkseen. Joku saattaa myös pyrkiä aiheuttamaan tilanteen tai saattamaan kohteen tilanteeseen, jonka dokumentointia voidaan käyttää henkilöä vastaan uhkailemalla sen julkaisemisella. Ilmoita mahdollisista epäilyistä organisaatiosi turvaorganisaatiolle.

• Muistitikku häviää helposti – älä tallenna tikuille muuta kuin julkista materiaalia. ST IV -tasoista aineistoa voi tallentaa omalle muistitikulle, jos tiedot on salattu organisaation hyväksymällä salaustuotteella. Älä käytä muita kuin organisaation käyttöösi antamia muistitikkuja. Älä käytä lahjana saatua tikkua työtehtävien hoitamisessa tai edes kotikoneessasi, vaikka tuntisit sen lahjoittajan.

Tietojen ja laitteiden luovuttaminen viranomaisille
 

Mikäli vieraan valtion viranomainen kohdemaan säädöksiin vedoten edellyttää sinua luovuttamaan salassa pidettäviä asiakirjoja tai avaamaan lukitun laitteen tutkittavaksi, luovuta pyydetyt asiakirjat ja laitteet niitä vaadittaessa. Ennen kuin luovutat tietoja, pyri varmistamaan että kyseessä on toimivaltainen viranomainen. Pyydä tarkastuksesta tai laitteiden luovuttamisesta kirjallinen dokumentti (todistus, pöytäkirja tai vastaava). Ota tämän jälkeen, heti kun mahdollista, yhteys omaan esimieheesi tai organisaatiosi turvallisuuden vastuuhenkilöihin ja kerro tapahtuneesta.

Älä liitä tutkittavana ollutta päätelaitetta viraston verkkoon tai avaa siitä VPN-etäyhteyttä. Älä kytke laitteeseen muistitikkuja. Pyri välttämään laitteen käyttöä. Älä käsittele tutkittavana olleella puhelimella salassa pidettäviä asioita. Toimita tutkitut laitteet välittömästi matkalta palattuasi organisaatiosi ICT-tukeen / tietoturvavastaavalle tai toimi muuten saamiesi ohjeiden mukaisesti. Liitä mukaan kuvaus tapahtuneesta sekä saamasi asiakirja, jos olet sellaisen saanut. Organisaation pitää arvioida tilanne ja ottaa tarvittaessa yhteyttä suojelupoliisiin ja/tai viestintävirastoon.

Älä koskaan suojele tai puolusta asiakirjojasi tai laitteitasi mikäli koet väkivallan uhkaa!

Työskentelytiloihin liittyvät riskit
 

Ulkomailla työskenneltäessä lähtökohta on, että käytettävät työskentelytilat vastaavat julkisia työskentelytiloja. Esimerkiksi hotellissa, vieraassa organisaatiossa, seminaarissa, kulkuneuvossa tai muussa tilassa työskenneltäessä tulee huomioida se, että sinua voidaan muun muassa tarkkailla kameroin, käymäsi keskustelut voidaan nauhoittaa tai ne voivat muuten päätyä kolmansien osapuolien tietoon. Suomeksi keskustelu edes ulkomailla puhelimessa ei tarkoita tiedon minkäänlaista suojaamista. Tällöin korkein mahdollinen käsiteltävän salassa pidettävän tiedon suojaustaso on ST IV.

Mikäli työskentely edellyttää turvallista tilaa, täytyy päästä sellaiseen tilaan, jonka turvallisuus voidaan paremmin taata. Eräs keino on ottaa yhteyttä Suomen suurlähetystöön, jos kohteessa sellainen löytyy ja selvittää onko mahdollista hoitaa kyseinen, korkeampaa turvallisuutta edellyttävä asia siellä.

Tietoliikenteeseen liittyvät riskit
 

Suomen ulkopuolella toimittaessa tietoliikenneyhteydet päätelaitteista Suomessa sijaitseviin palveluihin kulkevat lukuisten kolmansien osapuolien hallinnassa olevien verkkolaitteiden ja tietoliikenneverkkojen kautta. Eri valtioiden läpi kulkevien yhteyksien turvallisuudesta ei ole mitään varmuutta. Oletuksena on, että kaikki salaamaton tietoliikenne päätyy kyseisissä maissa sijaitsevien palveluntarjoajien ja mahdollisesti tiedusteluorganisaatioiden käyttöön.

On myös mahdollista, että tiedusteluorganisaatiolla on käytettävissä sellaista teknologiaa, joka mahdollistaa myös salatun tietoliikenteen purkamisen.

• Riskiä voidaan pienentää sillä, että kannettava tietokone tai tabletti muodostaa yhteyden Suomeen käyttäen salattua tietoliikenneyhteyttä (VPN, virtual private network), joka mahdollistaa ST IV -tietoaineistojen käsittelyn niissä tietojärjestelmissä ja palveluissa, joihin päätelaitteilla on pääsy.

• Älypuhelimen tietoliikenne on oletuksena salaamatonta, mutta sitä voidaan erikseen salata sähköpostin ja kalenterin osalta. Puhelimen käyttöä ST IV –tietoaineistojen käsittelyyn ulkomailla tulee pyrkiä rajaamaan mahdollisimman vähäiseksi; lähinnä puhumiseen sekä sähköpostin ja kalenterin hyödyntämiseen.

• Organisaatiokohtaisesti saattaa olla mahdollista rajoittaa käytettäviä palveluita siten, että ulkomailta on mahdollista käyttää esimerkiksi vain sähköposti- ja kalenteripalveluita.

Tiedusteluun liittyvät riskit
 

Riski joutua ulkomailla tiedustelun kohteeksi riippuu henkilön tehtävästä ja asemasta sekä kohdemaasta. Ulkomailta Suomeen suuntautuviin tietoliikenneyhteyksiin kohdistuu ns. signaalitiedustelua, jonka avulla yritetään kerätä tiedustelijaa kiinnostavaa tietoa.
Päätelaitteisiin voidaan yrittää upottaa tietoisesti vakoiluohjelma joko tietoliikenneyhteyksien kautta tai kun laite sijaitsee valvomattomana, esimerkiksi hotellihuoneessa. Jälkimmäinen menetelmä edellyttää enemmän työtä, mutta tällaisesta toiminnasta on todisteita.

Erityisesti massatilaisuuksissa (merkittävät kansainväliset seminaarit, juhlatilaisuudet, isot tapahtumat) eri maiden tiedusteluorganisaatioilla on mielenkiintoa signaalitiedusteluun sekä kyberturvallisuus- ja vaikuttamiskyvykkyytensä testaamiseen. Samalla voidaan selvittää millaisia kyvykkyyksiä ja suojautumiskeinoja muiden maiden vastaavilla organisaatioilla on käytettävissään. Jos paikalle tiedetään saapuvan esimerkiksi useiden valtioiden päämiehiä tai muuta valtiojohtoa, tarjoaa se mahdollisuuden selvittää suojauskeinoja ja yrittää murtaa niitä.

Edellä kuvattujen tilaisuuksien osallistujien on arvioitava riski ja harkita mahdollisuutta ottaa käyttöön matkaa tai kyseistä tilaisuutta varten dedikoidut päätelaitteet. Tällöin niitä käytetään vain matkan tai tilaisuuden ajan, ja laitteet hävitetään tai tyhjennetään tietoturvallisesti matkan päätyttyä.

Ennen matkaa tehtävät toimenpiteet

Mitä pitempikestoisesta matkasta tai työskentelystä on kyse, sitä huolellisempaa suunnittelua se vaatii. Myös matkan tärkeys tai kriittisyys vaikuttaa suunnitteluun; millaisia ongelmia voi syntyä, jos vaadittavia tietoja tai palveluita ei matkalla saada käyttöön, ja onko niihin mahdollista varautua ennakolta? Lisäksi tulee huolehtia tarvittavien tietojärjestelmien ja –aineistojen saatavuudesta myös esimerkiksi mahdollisten tietoliikenneyhteysongelmien aikana.

Kun henkilö saa tietää matkasta ulkomaille, tulee hänen välittömästi olla yhteydessä organisaation ict-tukeen sekä käydä läpi ja sopia tässä materiaalissa mainituista asioista.
Ennen matkaa tulee tehdä ainakin seuraavat asiat:

• Selvittää matkan aikana tarvittavat palvelut
  • perinteisesti edellytetään vähintään sähköposti- ja kalenteripalveluiden, www-selaamisen sekä mahdollisesti organisaation omien intranet- sekä mahdollisesti talous-  ja henkilöstöhallinnon palveluiden käyttömahdollisuutta
  • käytettävät palvelut vaikuttavat siihen mitä päätelaitteita ja tietoliikenneyhteyksiä matkalle tarvitaan
  • lyhyellä työmatkalla voi tulla toimeen pelkällä älypuhelimella, mutta matkan pidentyessä tai tarvittavien palveluiden määrän kasvaessa ja käyttötapojen lisääntyessä saattaa tulla tarve käyttää myös kannettavaa tietokonetta
• Tarkistaa operaattorin asiakaspalvelusta matkapuhelimen toimivuus sekä mahdolliset dataverkon käyttökustannukset
• Selvittää mitä tietoaineistoja mukana tarvitaan
  • älä ota matkalle mukaan muita kuin tilaisuuden vaatimia salassa pidettäviä tietoaineistoja
  • tietoaineistojen suojaustaso vaikuttaa siihen missä niitä on mahdollista käsitellä
  • kiinnitä erityistä huomiota siihen, millaista salassa pidettävää tietoa voit kuljettaa paperimuotoisena sekä mukana kulkevissa päätelaitteissa, edes salattuna

Toimintaohjeet matkan aikana

Tähän lukuun on koottu tiivistetyt toimintaohjeet eri tilanteissa ulkomailla. Organisaatio voi tehdä alla olevista kohdista tiivistetyn, sen omaan toimintaan mukautetun ohjeen. Samoin ohjeeseen voidaan kertoa yksityiskohtaisempia toimintaohjeita esimerkiksi varalaitteiden, matkaan annettavien 4g/wlan-tukiasemien ja muiden organisaatiokohtaisten toimenpiteiden osalta.

Päätelaitteet

1. Kuljeta päätelaitteet ja tietovälineet matkustaessasi aina käsimatkatavaroissa (esimerkiksi juna, laiva tai linja-auto).
2. Älä jätä päätelaitetta valvomattomaan, lukitsemattomaan tilaan. Riskialttiilla alueella matkustaessasi pidä päätelaitteet aina mukanasi. Tällöin niitä ei saa jättää esimerkiksi hotellihuoneeseen ilman luotettavan henkilön valvontaa.
3. Mikäli kohdemaan viranomainen vaatii salassa pidettävien tietoaineistojen luovuttamista tai pääsyä käytössäsi oleviin päätelaitteisiin, salli se. Pyydä tästä kirjallinen todistus. Ota tilanteen jälkeen välittömästä yhteys omaan esimieheesi tai turvallisuusorganisaatioosi lisäohjeiden saamiseksi.
4. Ole normaalia varovaisempi päätelaitteiden käytössä, käytä niitä vain työtehtävien hoitamiseen. Jos käytössäsi on työmatkalla erillinen, muuta kuin työtehtäviä varten tarkoitettu laite, esimerkiksi älypuhelin tai tabletti, älä hoida sillä työtehtäviin liittyviä asioita.
5. Mikäli havaitset päätelaitteellasi huolestuttavaa, normaalista poikkeavaa toimintaa, lopeta laitteen käyttö ja ota yhteys organisaatiosi ICT-palvelupisteeseen lisäohjeiden saamiseksi.
6. Mikäli päätelaitteesi katoaa tai se varastetaan, ota välittömästi yhteys organisaatiosi ohjeistamaan tahoon, jotta laitteen käyttö voidaan estää ja näin pienentää tilanteesta syntynyttä riskiä.
7. Palattuasi matkalta takaisin Suomeen, toimi saamiesi ohjeiden mukaisesti. Jos olet saanut matkaa varten erillisen päätelaitteen, lopeta sen käyttö ja palauta se saamiesi ohjeiden mukaisesti.
8. Jos epäilet esimerkiksi jonkin työtehtäviin tai vapaa-ajan käyttöön liittyvän palvelun salasanan päätyneen ulkopuoliselle taholle, vaihda salasana välittömästi.
9. Ole normaalia tarkkaavaisempi matkasi jälkeen esimerkiksi sinulle saapuvien sähköpostiviestien suhteen. Mikäli käytät sosiaalisen median palveluita, ole huolellinen hyväksyessäsi mahdollisia linkittymispyyntöjä.
10.  Matkalla saadut mahdolliset ICT-tekniikkaa sisältävät tai muut sähköiset lahjat on syytä tuhota. Niitä ei missään tapauksessa saa liittää työnantajasi käyttöösi antamiin laitteisiin tai ottaa käyttöön organisaatiosi toimitiloissa. Samoin niitä ei voi suositella liitettäväksi myöskään vapaa-ajan laitteisiin tai kotona.

Tietoliikennelaitteet ja verkkoyhteydet

1.  Selvitä, miten ja millaisia tietoliikenneyhteyksiä voit käyttää kohdemaassa. Suosituksena EU-alueella on, että käytät sähköpostin ja kalenterin osalta operaattorin tarjoamia 3/4G-yhteyksiä eli luet sähköpostia / kalenteria ensisijaisesti älypuhelimella. Tällöin tietoliikenne ei kulje lainkaan tuntemattoman wlan-tukiasemayhteyden tarjoajan kautta. Ota huomioon, että laajamittainen päätelaitteella olevien kaikkien palveluiden käyttö saattaa aiheuttaa merkittäviä tietoliikennekustannuksia etenkin EU-alueen ulkopuolella, jolloin saattaa tulla tarve käyttää wlan-yhteyksiä. Pyri hyödyntämään tällöin hotellin tai kohdeorganisaation käyttöösi tarjoamaa langatonta wlan-/wifi-yhteyttä.
2. Matkustettaessasi EU-alueen ulkopuolelle matkapuhelinverkon kautta toteutettavia datayhteyksiä ei tule käyttää ilman erillistä ohjeistusta. Tällöin on suositeltavaa hankkia paikallinen, esimerkiksi 3/4G langaton wlan-/wifi-reititin, joka tarjoaa kustannustehokkaan tietoliikenneyhteyden. Niitä voi vuokrata esimerkiksi lentokentiltä tai hotelleista. Mikäli organisaatiossasi matkustetaan säännöllisesti tiettyihin kohteisiin ulkomaille, laitteiden hankinta ja lainaaminen henkilöstölle kannattaa toteuttaa keskitetysti.
3. Pyri ensisijaisesti käyttämään edellä kuvattuja matkapuhelinverkon kautta toteutettavia tietoliikenneyhteyksiä, koska ne ovat hieman turvallisempia kuin tuntemattomien wlan-/wifi-verkkojen kautta toteutettavat yhteydet.
4. Jos joudut käyttämään avoimia wlan-/wifi-tietoliikenneyhteyksiä, varmista sellaiseen liittyessäsi, että se ei edellytä henkilökohtaisten tietojesi luovuttamista tai ettei sen käytöstä aiheudu mitään piilokustannuksia. Hotellia varattaessa kannattaa etukäteen selvittää, millainen langaton yhteys siellä on tarjolla ja pyrkiä hyödyntämään sitä. Osa hotelleista, etenkin EU-alueen ulkopuolella, saattaa tarjota wlan-/wifi-yhteyksiä vain tietyissä tiloissa tai kerroksissa.
5. Käytä liikennöintiin aina päätelaitteeseen asennettua VPN-yhteysohjelmaa.
6. Älä pidä bluetooth-yhteyttä turhaan päällä; sitä hyödyntäviä haavoittuvuuksia tulee esiin säännöllisesti, lisäksi se kuluttaa aiheettomasti virtaa. Varmista, että bluetooth-yhteyttä ei voi avata ilman hyväksyntääsi. 

Tilaturvallisuus

1. Sovita työskentelysi ja keskustelusi käytössä olevaan tilaan. Jos et voi olla varma tilan turvallisuudesta, voit keskustella asioista vain julkisella tasolla. Mikäli joudut keskustelemaan salassa pidettävistä, esimerkiksi ST IV-tietoja sisältävistä asioista, hakeudu turvallisempaan tilaan kuten hotellihuoneeseen.
2. Kuten kotimaassa toimittaessa, tarkista aina ympäristösi ennen kuin soitat puhelimella tai aloitat työskentelysi päätelaitteella.
3. Ole erityisen varovainen kun käsittelet salassa pidettäviä tietoaineistoja tai syötät päätelaitteisiin käyttäjätunnuksia ja salasanoja, jotta kukaan ei pääse niitä näkemään. Käytä päätelaitteissa näyttösuojaa (privacy filter), joka rajoittaa lähistöllä olevien henkilöiden mahdollisuutta nähdä näyttösi sisältö. Huomaa, että se ei estä suoraan takaapäin tapahtuvaa katselua tai kameravalvontaa.
4. Huomioi, että päätelaitteessa mahdollisesti kiinteästi olevat kamerat tai muut tallentamiseen soveltuvat laitteet (mikrofoni) eivät ole missään vaiheessa päällä tietämättäsi.
5. Säilytä salassa pidettäviä asiakirjoja koko matkan ajan erillisessä lukitussa, käyttöösi annetussa turvalaukussa, jonka tulee kulkea mukanasi, tai säilytä niitä esimerkiksi hotellihuoneessasi lukitussa matkalaukussa.

Salassa pidettävien tietoaineistojen käsittely

1. Vältä paperimuotoisen, salassa pidettävän aineiston kuljettamista ja käsittelyä ulkomailla.
2. Mikäli joudut kuljettamaan salassa pidettävää, paperimuotoista tai sähköisessä muodossa olevaa tietoaineistoa, huolehdi että sinulla on sen kuljettamiseen ja turvaamiseen käyttötarkoitukseen sopiva, lukittava turvalaukku. Säilytä turvalaukkua saamiesi ohjeiden mukaisesti.
3. Kun käsittelet salassa pidettäviä tietoja päätelaitteellasi, varmista tässä dokumentissa aiemmin mainittujen seikkojen toteutuminen.
4. Oletuksena ulkomailla tapahtuva työskentely mahdollistaa enintään ST IV-tietoaineistojen käsittelyn. Mikäli sinulla on tarve käsitellä ST III -tason tietoaineistoja, se vaatii erityistä käsittely-ympäristön huomioimista ja turvallista toimitilaa sekä organisaation erillistä päätöstä.