# Tietoturva

Verkkotunnusvälittäjän on huolehdittava toimintansa tietoturvasta.

Tietoturvasta huolehtiminen on välittäjän lakisääteinen velvollisuus, josta
säädetään sähköisen viestinnän palveluista annetun lain 170.1 §:n kohdassa 6
sekä GDPR artiklassa 32.

Tietoturvalla tarkoitetaan sähköisen viestinnän palveluista annetun lain 3.1
§:n 28 kohdan mukaan hallinnollisia ja teknisiä toimia tietojen
luottamuksellisuuden, eheyden ja saatavuuden turvaamiseksi.

Verkkotunnusmääräyksen 68 luvussa neljä kuvataan vähimmäisvaatimukset
tietoturvan hallinnoinnille, jotka verkkotunnusvälittäjän tulee toteuttaa
toiminnassaan.

Verkkotunnusmääräyksen perustelut ja soveltaminen tarkentaa konkreettisemmin,
miten tietoturvavaatimuksia tulee soveltaa käytännössä.

## Välittäjän ilmoitusvelvollisuus tietoturvahäiriöistä

Verkkotunnusvälittäjän on ilmoitettava välitystoimintaan kohdistuvista
tietoturvauhkista ja -loukkauksista.

Tietoturvaloukkauksista ilmoitetaan Traficomin asiointilomakkeella, joka löytyy
sisäänkirjautuneen välittäjän www-käyttöliittymässä vasemmasta navigaatiosta.

Välittäjän on ilmoitettava viipymättä Traficomille, jos sen verkkotunnusten
välitystoimintaan kohdistuu

- merkittävä tietoturvaloukkaus
- uhka merkittävästä tietoturvaloukkauksesta tai tapahtumasta, joka estää tai
  häiritsee toimintaa olennaisesti.

Samalla on myös ilmoitettava häiriön tai sen uhan

- arvioitu kesto
- vaikutukset
- korjaustoimenpiteet
- toimenpiteet, joilla häiriön toistuminen pyritään estämään.

Traficomille annettavassa merkittävää tietoturvahäiriötä koskevassa
ilmoituksessa tulee mahdollisuuksien mukaan selvittää häiriön tai uhan syy ja
kuvata, miten häiriö on aiheutunut.

**Tietoturvahäiriöstä on ilmoitettava välittömästi**

Häiriöilmoitus on tehtävä 24 tunnin kuluessa siitä, kun häiriötilanne on tullut
välittäjän tietoon.

Esimerkiksi tilanteessa, jossa verkkotunnusvälittäjän järjestelmään on
tunkeuduttu, on välttämätöntä, että valvova viranomainen saa asiasta viipymättä
tiedon. Vaarana on, että tunkeutuja voi päästä vapaasti muuttamaan kyseisen
välittäjän hallinnoimien verkkotunnusten tietoja, kuten esimerkiksi
nimipalvelimia. Uhka voi koskea laajaakin asiakasmäärää riippuen välittäjän
asiakaskunnasta.

Jos kaikkia ilmoituksessa esitettyjä tietoja ei ole saatavilla ja tilannetta on
tutkittava tarkemmin, tehdään viimeistään 24 tunnin kuluessa ns. alustava
ilmoitus, jota täydennetään mahdollisimman pian, viimeistään kuitenkin kolmen
(3) päivän kuluttua alustavasta ilmoituksesta.

Jos tutkimuksista huolimatta verkkotunnusvälittäjä ei pysty antamaan kaikkia
tietoja kolmen päivän kuluessa alustavasta ilmoituksesta, on ilmoitettava
kyseisessä määräajassa käyttöön saadut tiedot ja perusteltava, miksi loput
tiedot ilmoitetaan määräajan jälkeen.

## Merkittävät tietoturvaloukkaukset

Merkittävistä välittäjätoimintaan kohdistuvista tietoturvaloukkauksista on
ilmoitettava Traficomille.

Tietoturvaloukkausten vaikutukset voivat kohdistua tietojen tai
tietojärjestelmien luottamuksellisuuteen, eheyteen tai saatavuuteen.

Luottamuksellisuus: Tiedot ja käyttäjätunnuksiin liittyvät todentamistiedot
ovat vain niihin oikeutettujen tahojen tiedossa.

Eheys: Tietoja ei ole mahdollista muuttaa oikeudettomasti. Sivullisten ei ole
mahdollista vaikuttaa tietojärjestelmien toimintaan.

Saatavuus: Palvelu ja sen sisältämät tiedot ovat siihen oikeutettujen tahojen
saatavissa.

## Tietoturvaloukkausten merkittävyyden arviointi

Tietoturvaloukkauksen tai muun tapahtuman merkittävyyttä arvioitaessa on
kiinnitettävä huomiota tapauksen haitallisiin vaikutuksiin tai tietoturvauhan
vakavuuteen. Merkittävänä voidaan pitää aina sitä, että tietoturvahäiriö
kohdistuu johonkin seuraavista suojattavista kohteista:

- verkkotunnusvälittäjän omiin palveluihin ja palvelujen tuotantoon käytettäviin
  tieto- ja viestintäjärjestelmiin
- verkkotunnusvälittäjän asiakkaiden tietoturvaan, henkilötietojen suojaan tai
  yrityssalaisuuksien suojaan
- Traficomin hallinnoimaan Suomen fi-juureen (joko suoraan tai välillisesti
  verkkotunnusvälittäjään kohdistuneen tietoturvaloukkauksen seurauksena).

Merkittävänä voidaan myös pitää usein toistuvaa, poikkeuksellisen pitkäkestoista
tai tahalliselta vaikuttavaa toimintaa, jolla on negatiivisia vaikutuksia
verkkotunnusvälittäjän kykyyn huolehtia välitystoimintansa tietoturvasta.
Lisäksi merkittävänä voidaan pitää sitä, että häiriötä ei ole mahdollista
poistaa pelkillä verkkotunnusvälittäjän omilla toimenpiteillä.

## Ilmoitusvelvollisuuteen kuuluvia tietoturvaloukkaustyyppejä

Alla oleva luettelo ilmoitettavista tietoturvaloukkaustyypeistä ei ole
tyhjentävä, vaan sen on tarkoitus kuvata ilmoituskynnyksen vakavuustasoa.
Harkinnan mukaan myös vähäisemmistä tietoturvaloukkauksista ja niiden uhkista
kannattaa ilmoittaa Traficomille.

Traficomille ilmoitettavia merkittäviä tietoturvahäiriöitä ovat esimerkiksi:

- tietomurrot verkkotunnusvälittäjän tietojärjestelmiin
- oikeudeton pääsy verkkotunnusvälittäjän järjestelmään
- verkkotunnusvälittäjän järjestelmässä oleva tietoturvaa vaarantava
  haavoittuvuus tai konfiguraatiovirhe.
- sisäänkirjautumistunnusten päätyminen kolmannen osapuolen tietoon
- Traficomin järjestelmiin käytettävien sisäänkirjautumistunnusten päätyminen
  ulkopuolisille.

Oikeudettomat muutokset

- mahdollisuus oikeudettomasti muuttaa verkkotunnusvälittäjän hallinnoimien
  verkkotunnusten tietoja
- verkkotunnusvälittäjän oman henkilöstön oikeudettomasti suorittamat muutokset
  Traficomin verkkotunnusrekisteriin
- oikeudeton pääsy verkkotunnusvälittäjän asiakkailleen tarjoamaan
  itsepalveluportaaliin, jonka avulla asiakkaat voivat itse ylläpitää
  verkkotunnustensa tietoja.

Palvelunestohyökkäykset

- jos verkkotunnusvälittäjän järjestelmä lamaantuu ja/tai asiakkaiden pääsy
  järjestelmään estyy tai
- järjestelmän häiriö vaikuttaa Traficomin järjestelmän toimintaan.

## Suositus vapaaehtoisista ilmoituksista

Traficom suosittelee, että verkkotunnusvälittäjät ilmoittavat harkintansa mukaan
Traficomille myös merkittävää vähäisemmistä tietoturvaloukkauksista ja niiden
uhkista. Näillä tiedoilla voi olla merkitystä Traficomin muiden
tietoturvatehtävien hoitamisen kannalta.

Traficomilla on oikeus ryhtyä välttämättömiin toimiin fi-verkkotunnuksia
hyödyntämällä toteutettavien yleisiin viestintäverkkoihin tai -palveluihin
taikka niiden käyttäjiin kohdistuvien merkittävien tietoturvaloukkausten
havaitsemiseksi, estämiseksi, selvittämiseksi ja esitutkintaan saattamiseksi.
Traficom voi ryhtyä näihin toimiin verkkotunnuksen käyttäjää kuulematta.

Traficomin suorittamat välttämättömät toimet voidaan kohdistaa fi-juuren
nimipalvelintietoihin ja ne voivat käsittää:

- verkkotunnukseen suuntautuvan liikenteen estämisen tai rajoittamisen
- verkkotunnukseen suuntautuvan liikenteen ohjaamisen toiseen
  verkko-osoitteeseen
- muut näihin rinnastettavat tekniset toimenpiteet.
