Sudenkuopat, sopimusriskit ja viralliset lähteet
Penetraatiotestauksen lupa ja rikoslaki: tietomurto 38:8, kirjallinen valtuutus ja kolmannen osapuolen palvelut
Miksi penetraatiotestaus tarvitsee kirjallisen luvan, mitä rikoslain 38:8 tietomurrosta sanoo ja mitä lupa-asiakirjaan ja pilvipalvelujen ehtoihin liittyy.
Penetraatiotestaus on lupa hyökätä omiin järjestelmiin, ja ilman järjestelmän haltijan lupaa sama toiminta voi olla rikos. Rikoslain (39/1889) 38 luvun 8 §:n mukaan tietomurrosta tuomitaan se, joka käyttämällä hänelle kuulumatonta käyttäjätunnusta tai muuten turvajärjestelyn murtamalla oikeudettomasti tunkeutuu tietojärjestelmään tai sen erikseen suojattuun osaan. Rangaistus on sakkoa tai vankeutta enintään kaksi vuotta, ja yrityskin on rangaistava. Oikeutuksen testaukselle antaa järjestelmän haltijan kirjallinen, tarkasti rajattu lupa. Jos testattava järjestelmä on kolmannen osapuolen – pilvipalvelun, ylläpitäjän tai vuokranantajan verkon – myös sen ehdot ja lupa on selvitettävä. Opas kuuluu kokonaisuuteen tietoturvapalvelun hankinnan sudenkuopat. Tämä ei ole oikeudellista neuvontaa.
Mitä rikoslaki sanoo
| Säännös | Sisältö (tiivistelmä) | Rangaistus |
|---|---|---|
| RL 38:8 tietomurto | Oikeudeton tunkeutuminen tietojärjestelmään toisen tunnuksella tai turvajärjestelyn murtamalla; myös oikeudeton tiedon selon ottaminen teknisin keinoin turvajärjestelyn ohittaen tai haavoittuvuutta hyödyntäen | Sakko tai vankeutta enintään 2 vuotta; yritys rangaistava |
| RL 38:8 a törkeä tietomurto | Tietomurto osana järjestäytyneen rikollisryhmän toimintaa tai erityisen suunnitelmallisesti ja kokonaisuutena törkeä | Sakko tai vankeutta enintään 3 vuotta |
Rikoslain 38 luvussa on lisäksi muita tietojärjestelmiä koskevia säännöksiä, kuten tietoliikenteen häirintä (5 §) ja tietojärjestelmän häirintä (7 a §), joista kummastakin voi seurata sakkoa tai vankeutta enintään kaksi vuotta ja joiden tunnusmerkistö voi täyttyä, jos testaus aiheuttaa palvelun katkoksen. Kirjallinen lupa ja sovitut rajat suojaavat sekä testaajaa että tilaajaa.
Ratkaiseva sana on oikeudettomasti. Kun järjestelmän haltija on antanut luvan testata tiettyä kohdetta tietyllä tavalla tiettynä aikana, toiminta luvan rajoissa ei ole oikeudetonta. Luvan rajojen ylittäminen – toinen kohde, toinen ajankohta, tietojen kopiointi yli sovitun – voi olla.
Kuka voi antaa luvan
Lupa on saatava siltä, jolla on oikeus päättää järjestelmästä. Pk-yrityksessä tilanne on usein monimutkaisempi kuin näyttää:
- Oma palvelin omassa konesalissa: yritys itse, valtuutetun henkilön (esim. toimitusjohtaja) allekirjoituksella.
- Pilvipalvelu (IaaS/PaaS): yritys omistaa oman ympäristönsä, mutta palvelun tarjoajan käyttöehdot määrittävät, mitä saa testata ja pitääkö testauksesta ilmoittaa. Tarkista ehdot ennen testausta.
- SaaS-palvelut (taloushallinto, asiakasrekisteri, sähköposti): yritys ei yleensä voi antaa lupaa testata palvelun tarjoajan järjestelmää. Testaus rajataan yrityksen omiin asetuksiin ja käyttöoikeuksiin palvelun sallimissa rajoissa.
- Ylläpitäjän hallinnoima ympäristö: ylläpitosopimus voi edellyttää ylläpitäjän suostumusta ja ilmoitusta.
- Jaettu toimitila tai verkko: vuokranantajan tai kiinteistön verkko ei ole yrityksen testattavissa ilman lupaa.
Mitä lupa-asiakirjaan kirjataan
- Osapuolet ja luvan antajan asema ja oikeus päättää
- Kohteet yksilöitynä: IP-osoitteet, verkkotunnukset, sovellukset, ympäristöt
- Rajaukset: mitä ei saa testata (esim. tuotannon maksurajapinta, kolmannen osapuolen palvelut)
- Ajankohta: päivät ja kellonajat
- Menetelmät: sallitaanko sosiaalinen manipulointi, palvelunestotestit, fyysinen pääsy
- Lähdeosoitteet, joista testaus tehdään, jotta valvonta voi tunnistaa sen
- Tietojen käsittely: miten testissä nähtyjä henkilötietoja ja luottamuksellisia tietoja käsitellään ja milloin ne hävitetään
- Yhteyshenkilöt ja keskeytys: kuka voi pysäyttää testin, jos jokin menee pieleen
- Raportin luottamuksellisuus ja säilytys
- Vastuu mahdollisista häiriöistä ja vakuutukset
Henkilötiedot testauksessa
Testaaja näkee usein henkilötietoja: käyttäjätunnuksia, sähköposteja, asiakasrekisterin rivejä. Testaaja toimii silloin henkilötietojen käsittelijänä, ja tietosuoja-asetuksen 28 artiklan mukainen käsittelysopimus on tarpeen. Raportissa henkilötietoja kannattaa käyttää vain sen verran kuin löydöksen todistaminen vaatii. Lisää käsittelysopimuksesta: sopimusehdot, vastuu ja irtisanominen.
Kalasteluharjoitukset ja työntekijät
Sosiaalisen manipuloinnin testit, kuten kalasteluharjoitukset, kohdistuvat ihmisiin. Kirjaa tarkoitus, kohderyhmä ja se, miten tuloksia käsitellään. Hyvä käytäntö on raportoida tulokset koostettuina eikä yksittäisten työntekijöiden mukaan, ja kertoa henkilöstölle etukäteen, että harjoituksia tehdään ajoittain. Työsuhteeseen liittyvissä kysymyksissä, kuten sähköpostin käsittelyssä, noudatetaan myös työelämän tietosuojaa koskevaa lainsäädäntöä; kysy tarvittaessa asiantuntijalta.
Havainnollinen esimerkki: liian väljä rajaus
Kuvitellaan, että yritys tilaa verkkosivujensa testauksen ja antaa luvan "verkkotunnuksen ja sen alla olevien palvelujen" testaamiseen. Verkkotunnuksen alla on kuitenkin myös ulkopuolisen ylläpitäjän hallinnoima varauspalvelu, jonka testaukselle ylläpitäjä ei ole antanut lupaa. Testaus laukaisee ylläpitäjän hälytykset, ja testaajan osoitteet estetään. Oikea rajaus olisi yksilöinyt kohteet osoitteittain ja sulkenut kolmannen osapuolen palvelut pois tai hankkinut niille erillisen luvan.
Ennen testiä: viiden kohdan tarkistus
| Tarkistus | Kysymys | Jos vastaus on ei |
|---|---|---|
| Valtuutus | Onko luvan allekirjoittajalla oikeus päättää kaikista kohteista? | Hanki lupa oikealta taholta |
| Kolmannet osapuolet | Onko pilvi-, ylläpito- ja SaaS-palvelujen ehdot tarkistettu? | Rajaa kohteet pois tai hanki lupa |
| Yksilöinti | Onko kohteet lueteltu osoitteittain? | Täsmennä ennen aloitusta |
| Keskeytys | Tietävätkö molemmat osapuolet, kuka voi pysäyttää testin ja miten? | Sovi yhteystiedot |
| Tiedot | Onko sovittu, miten testissä nähtyjä tietoja käsitellään ja hävitetään? | Lisää ehto sopimukseen |
Kun testaus on osa MSSP-sopimusta
Monet hallitun tietoturvan palvelut sisältävät jatkuvaa haavoittuvuusskannausta tai vuosittaisen testauksen. Myös silloin tarvitaan lupa: sopimukseen kirjataan, mitä kohteita palvelu saa skannata ja testata, millä menetelmillä ja milloin. Uusien järjestelmien lisääminen testauksen piiriin kannattaa tehdä kirjallisesti, jotta laajuus on aina ajan tasalla. Kun yritys vaihtaa palveluntarjoajaa, vanhan palveluntarjoajan oikeus skannata pitää lopettaa ja sen testausosoitteet poistaa sallittujen listalta.
Rikosoikeudellisen arvion lisäksi luvan laajuus ratkaisee usein myös sopimusvastuun: jos testaus aiheuttaa katkoksen sovitun laajuuden sisällä, vastuu määräytyy sopimuksen mukaan; jos testaaja on ylittänyt luvan, tilanne on toinen.
Usein kysyttyä
Riittääkö sähköposti luvaksi?
Pienessä testissä sähköposti voi olla näyttönä luvasta, mutta allekirjoitettu ja yksilöity lupa-asiakirja on selvästi parempi. Sen pitää kattaa vähintään yllä luetellut kohdat.
Saako omaa järjestelmää testata itse ilman lupaa?
Oman järjestelmän testaaminen omalla oikeudella ei ole oikeudetonta, mutta työntekijän on hyvä saada lupa työnantajalta, ja kolmansien osapuolten palveluihin pätevät niiden ehdot.
Mitä jos testaaja löytää haavoittuvuuden toisen yrityksen tuotteesta?
Silloin noudatetaan koordinoitua haavoittuvuuksien julkistamista. Kyberturvallisuuskeskus toimii koordinaattorina haavoittuvuuksien julkistamisessa. Katso penetraatiotestauksen hinta ja viralliset lähteet.
Lähteet ja lisätietoa
- Finlex – rikoslaki 39/1889, 38 luku 5, 7 a, 8 ja 8 a §
- Kyberturvallisuuskeskus – haavoittuvuuksien koordinoitu julkistaminen
- Tietosuojavaltuutetun toimisto – henkilötiedot ja käsittelijän velvollisuudet
- Poliisi – tietomurtojen rikosilmoitukset
