Tietoturva, some ja työyhteisöt

Wikipedian määrittelyn mukaan tietoturva tarkoittaa tietojen, palvelujen, järjestelmien ja tietoliikenteen suojaamista. Tietoturvan ensisijaisia ulottuvuuksia ovat saatavuus (ts. käytettävyys), luottamuksellisuus ja eheys. Toissijaisia ulottuvuuksia ovat kiistämättömyys, tunnistettavuus ja todennettavuus, jotka täydentävät tiedon luotettavuutta liittämällä ne luonnollisiin henkilöihin tai oikeushenkilöihin.

Tietoturva somettavien työyhteisöjen näkökulmasta

Työyhteisössä somettajien täytyy olla erityisen tarkkana etenkin siinä tapauksessa, että työyhteisö käsittelee tietosuojan piiriin määriteltyä tietoa asiakkaistaan. Kaikista suojausohjelmistoista huolimatta käyttäjät ovat edelleen tietosuojan ykkösriski ja esimerkiksi huoleton sairaanhoitaja saattaa ladata koneelle vahingossa ohjelman, joka avaa yleensä hyötymistarkoituksessa toimiville tiedonkalastelijoille portin sairaalan tietojärjestelmiin, mitä kautta henkilöistä voidaan kerätä hyvin henkilökohtaisia tietoja. Tämän takia on tärkeää, että asiakkaat ymmärtävät, mitä tietoja mikin organisaatio heistä kerää. On myös tärkeää, että tietovuodon tapahtuessa asiakkaat saavat tiedon heitä koskevasta vuodosta, jotta he voivat toimia vahinkojen laajenemisen estämiseksi.

Työyhteisöt voivat kuitenkin myös hyötyä henkilökohtaisten tietojen jakamisesta. Kun organisaatiot puhuvat ihmisten kasvoilla, viesti on uskottavampi vastaanottajille. Kasvollisesti somea hyödyntämällä organisaatio saattaa varsinkin suurempien organisaatioiden tapauksessa myös vahvistaa ihmisten ja tiimien välisiä suhteita, kun persoonattomien, usein yksisuuntaisten muistioiden sijasta somessa organisaatio voi saavuttaa vuorovaikutteisemman tyylin toimia.

Suurin vahinko henkilökohtaisten tietojen joutumisesta vääriin käsiin on identiteettivarkaus, joka voi saada monia muotoja. Väärällä identiteetillä voidaan hankkia esimerkiksi suuriakin määriä lainaa ja siirtää ne tilille, jotka on avattu henkilötietoja hyödyntäen, josta rahat nostetaan käteisenä mihin yleensä huijarien jäljet päättyvät. Toisaalta identiteettivarkaat saattavat saada selville tietoja, joita hyödyntämällä voidaan ihmisiä kiristää.

Kuinka paljon Internet tietää minusta? Vaatiiko se minulta toimia?

Google haku nimelläni tuottaa (onneksi) vähän tuloksia. Tärkein some-kanavani eli Facebook siellä kuitenkin komeilee ensimmäisenä. Onnekseni Facebook antaa minulle lähes täydellisen hallinnan, mitä tietoa hakukoneet ja muut Internetin käyttäjät minusta julkisesti näkevät. Pikahaun perusteella muuten löytyvät tiedot ovat hyvin vähäisiä, eikä niissä ole mitään pelottavaa.

JOS päättäisin syystä tai toisesta pyrkiä hakeutumaan julkiseen toimeen, pitäisin lähes välttämättömänä virtuaali-imagoni tarkoituksenmukaista rakentamista. Lähes kaikki ihmiset, jotka välittävät ja kiinnostuvat julkisuuteen pulpahtaneesta uudesta tyypistä, googlaavat tästä löytyviä tietoja. Jos minun pitäisi myös markkinoida itseäni, tuskin tehokkaampaa kanavaa on olemassakaan. Esimerkkinä käy Halla-Aho, jonka (epä)suosio räjähti, kun hänen ristiriitoja herättävä Internet-identiteettinsä nousi netin keskustelupalstojen ykkösaiheeksi. Lopputuloksena Halla-ahon edustama marginaalipuolue nousi eduskunnan toiseksi suurimmaksi puolueeksi ja hänen itse keräämänsä äänipotti oli myös Suomen suurimpien joukossa.

Ei ole vaikea kuvitella tilannetta, jossa netistä löytyvä ja siellä levitettävä tieto voi kääntyy henkilöä vastaan. Tuoreena poliittisena esimerkkinä käy hyvin Laura Räty, jonka varmalta vaikuttaneen eduskuntapaikan tärväsi kokoomuksen oma puoluelehti, jossa esitetyt harhaiset yleistä tulotasoa koskevat kommentit levisivät somessa salamana äänestäjien suuren massan silmiin. Toisaalta… eikö äänestäjillä ole oikeus tietää ehdokkaansa yleistiedon tasosta?

Kannattaako organisaatioiden yrittää laatia somea varten pelisäännöt?

Katsoin läpi muutamia Internetistä löytämiäni sosiaalisen median pelisääntöjä. Päällimmäisenä niistä jäi mieleen Taitoluisteluliiton ohjeet, jotka oli laadittu selkeästi lajin imagoa suojelemaan. Sinänsä ohjeissa yleensäkin muistutetaan lähinnä hyvistä käytöstavoista ja nostetaan tietoisuutta siitä, että ihmiset olisivat tietoisempia siitä, miltä asiat saattavat näyttää ulkopuolisen silmin. Monissa ohjeissa koin suurimmaksi ongelmaksi niiden jalkauttamisen osaksi päivittäistä toimintaa – ne olivat usein hyvin monisanaisia, pitkiä sepostuksia, joista asian ytimen esiin kaivaminen oli työlästä. Tärkeää olisikin, että säännöt pystyttäisiin kiteyttämään korkeintaan 10 ytimekkään säännön muotoon. Mitenköhän kristityn arvomaailman peruskiven, 10 käskyn, olisi käynyt, jos ne olisi kirjoitettu yhtä monimutkaisesti kuin useimmat somesäännöt? Veikkaanpa että ei olisi tarttunut ihan samalla tavalla ihmisten arvomaailmaan.

Organisaatioiden kuitenkin kannattaa laatia mahdollisimman yksinkertainen säännöstö, jos somettaminen on luonnollinen osa sen toimintaa. Aloitteen tai ainakin tuen sille täytyy tulla organisaation todellisilta päättäjiltä ja heidän täytyy myös osallistua sen määrittelemiseen, miten organisaatio haluaa näyttäytyä työntekijöidensä kautta somessa. Kun päälinjat on määritelty, ihmisten mukaan tempaamiseksi heille täytyy antaa mahdollisuus vielä vaikuttaa sisältöön ja keskustella avoimesti siitä, miksi säännöt on valittu sellaiseksi kuin ne on valittu. Jäljelle jää pelisääntöjen soveltaminen päivittäisessä toiminnassa ja niiden hienosäätö hyvän tuloksen aikaansaamiseksi.

Keskustelua tietoturvasta

Petteri Järvinen on jo pitkään ollut suomalainen tietoturvan tietoisuuden nostattaja ja kirjoittaa säännöllisesti asiallista blogia ajatuksistaan ja ajankohtaisista tapahtumista. Esimerkiksi viimeisin posti Younitedin myynnistä Yhdysvaltalaiselle yritykselle ja jenkkien ylivoimasta somepalveluiden viidakosta nostaa mielenkiintoisia ajatuksia esiin siitä, kehen voi ja kannattaisi luottaa omien tietojensa säilytys. Tosin Järvisen varoituksista huolimatta käytän melko huoletta jenkkipalveluita, koska vaihtoehdot ovat surkeita käyttää tai vielä monta astetta epäilyttävämpiä. Säilyttämäni sisältö on kuitenkin hyvin viatonta, enkä koe ongelmaksi sitä, että jokin yhtiö saattaa yrittää kaivaa jotain tilastotietoja sisällöstäni.