Tietoturvan tavoitteet

Järvisen (2002, 22-23) mukaan tietoturvalla on kuusi tavoitetta. Ensinnäkin tietoturvan tulisi perustua luottamuksellisuuteen. Kenenkään ei siis pidä oikeudettomasti käyttämään tietoa, jota ei tarkoitettu hänelle. Tietoa voi selailla, lukea ja välittää vain henkilöt, joille se oikeus on etukäteen annettu. Toiseksi tiedon pitäisi täyttää eheysvaatimukset. Kenenkään ei siis pidä luvatta päästä muokkaamaan tai poistamaan tietoja. Esim. haktivistit, jotka lisäilevät www-sivuille omia iskulauseitaan tai merkkejään, ovat uhka tiedon eheysvaatimukselle.

Kolmas tavoite on, että tiedon tulisi olla saatavilla. Internetissä tiedon saatavuutta voidaan tahallisesti häiritä ylikuormittamalla www-palvelinta. Tällöin hyökkääjä ei pyri murtautumaan palvelimelle (luottamuksellisuus) eikä sotkemaan (eheys) mitään, vaan hänen tavoitteena on palvelun estäminen. Tekoa kutsutaan palvelunestohyökkäykseksi. Neljäs tavoite liittyy todentamiseen eli siihen, että varmistutaan olion aitoudesta. Käyttäjät todetaan yleensä salasanan perusteella. Tämä perustuu olettamukseen, että salasana on vain oikean henkilön tiedossa. (Järvinen 2002, 24-25.)

Viides tavoite koskee pääsynvalvontaa. Kyse on siitä, että vain todennetut henkilöt pääsevät järjestelmän tietoihin. Pääsynvalvontaan liittyy myös käytön seuranta eli järjestelmä pitää esim. kirjaa käyttäjistä, jotka ovat avanneet ja muokanneet tiedostoja. Kuudenneksi olisi noudatettava kiistämättömyyden periaatetta. Tämä on erityisen tärkeää sähköisessä kaupankäynnissä, jossa on voitava kiistattomasti todistaa kaupanteon eri vaiheet: tilaus, tilauksen vastaanotto ja tuotteen toimittaminen. (Järvinen 2002, 27.)

Internet Engineering Task Force (IETF) on määritellyt kuusi turvapalvelua hieman eri sanakääntein kuin Järvinen. IETF:n mukaan turvapalvelut perustuvat seuraviin kivijalkoihin.
a) luottamuksellisuus (confidentiality),
b) eheys (integrity),
c) todennus (authentication),
d) kiistämättömyys (non-repudiation),
e) pääsynvalvonta (access control) ja
f) käytettävyys (availability). (Ks. TIVEKE).

1) Mitä haittaa yritykselle syntyy siitä, jos jokin kuudesta em. tietoturvan tavoitteesta ei täyty?
2) Mitä haittaa yksityishenkilölle syntyy siitä, jos jokin em. kuudesta tavoitteesta ei täyty?