Kiinalaisiin elektroniikkalaitteisiin ja sosiaalisen median palveluihin liittyvistä tietoturvariskeistä on keskusteltu viime aikoina paljon. Kiinan tiedustelulain takia kaikki laitteiden keräämä data voidaan tarvittaessa luovuttaa maan tiedusteluviranomaisille.
Riski on tiedostettu niin hyvin, että esimerkiksi eduskunnan työlaitteille on kiellettyä asentaa Tiktok-sovellusta ollenkaan. Kiinalaisten laitteiden ja sovellusten käyttöä on rajoitettu muissakin organisaatioissa.
Vähemmälle huomiolle on jäänyt asian tarkastelu tavallisen kuluttajan näkökulmasta. Nykyisin yhä useamman suomalaisen kodista voi löytyä kiinalainen älypuhelin, älytelevisio, reititin tai kodin sisä- ja ulkotiloja kuvaava valvontakamera. Sen lisäksi ranteessa saattaa kulkea vuorokauden ympäri jokaista liikettä seuraava kiinalainen älykello.
Kiinalainen elektroniikka on siis vahvasti läsnä monen kuluttajan arjessa. Jopa niin vahvasti, ettei asiaan kiinnitä enää edes huomiota. Samalla voi helposti unohtua, että laitteiden käyttöön liittyy oleellinen riski.
Kuinka suuren riskin kiinalaiset elektroniikkalaitteet aiheuttavat tavalliselle kuluttajalle, joka ei ole poliittisesti vaikutusvaltainen ja jolla ei ole yhteyksiä yhteiskunnallisesti merkittäviin tahoihin? Kysyimme asiasta Jyväskylän yliopiston kyberturvallisuuden professorilta Markus Miettiseltä.
Miettisen mukaan kiinalaiseen elektroniikkaan liittyvät riskit koskevat yhteiskunnallisten toimijoiden lisäksi myös tavallisia kuluttajia. Hänen mukaansa riskiä ei kuitenkaan kannata liioitella.
Miettisen mukaan asiaan liittyy kaksi erillistä kysymystä. Ensimmäinen on laitteen tavallinen tietoturva: halvassa ja nopeasti markkinoille tuodussa tuotteessa voi olla vakaviakin haavoittuvuuksia. Kalliimmassa ja laadukkaammassa kiinalaistuotteessa tietoturva voi olla paremmalla tasolla.
Toinen koskee sitä, minne laitteen keräämä tieto päätyy ja kuka siihen voi päästä käsiksi. Monet esimerkiksi valvontakameroista ja muista esineiden internetiin (IoT) kuuluvista laitteista käyttävät pilvipalvelua, johon niiden keräämää tietoa siirretään.
– Silloin on tietysti kysymys, että minne se data tallentuu ja kenellä on pääsy siihen dataan. Se on täältä Euroopasta käsin aika vaikea tietää, Miettinen sanoo Verkkouutisille.
Kiinan tiedustelulaki edellyttää datan luovuttamisen pyydettäessä
Kiinalaisiin laitteisiin liittyy tavallisen tietoturvan lisäksi erillinen valtiollisen tiedustelun riski. Kiinan kansallisen tiedustelulain mukaan maan organisaatioiden ja kansalaisten on lain mukaisesti tuettava ja avustettava valtion tiedustelutoimintaa sekä tehtävä yhteistyötä tiedusteluviranomaisten kanssa.
Käytännössä yritysten on siis luovutettava kaikki keräämänsä data Kiinan tiedusteluviranomaisille, jos viranomaiset sitä vaativat.
– Halutessaan valtiolla on hyvin laajat mahdollisuudet suostutella tai pakottaa nämä firmat tekemään juuri sitä, mitä he haluavat, Miettinen huomauttaa.
Kiinalaisten laitteiden kohdalla tämä riski on aina olemassa, olivat valmistajan omat tietoturvakäytännöt kuinka hyviä tahansa.
Eurooppalainen tytäryhtiö ei poista riskejä
Monilla kiinalaisilla yrityksillä on eurooppalaiset tytäryhtiönsä. Jotkut kiinalaiset laitevalmistajat pyrkivät saamaan kuluttajat tällä tavalla vakuuttuneiksi siitä, että heistä kerätty tieto pysyy Euroopassa tytäryhtiön hallussa eikä sitä luovuteta Kiinassa toimivalle emoyhtiölle.
Eurooppalainen tytäryhtiö ei Miettisen mukaan automaattisesti poista tätä huolta. Euroopassa toimivan yrityksen on noudatettava EU:n ja toimintamaansa lainsäädäntöä, mutta Miettinen pitää mahdollisena ristiriitatilannetta, jos yhtiö kuuluu kiinalaisen emoyhtiön määräysvaltaan tai sen toiminnassa on Kiinan kansalaisia, joita maan tiedustelulainsäädäntö koskee.
– Jos tällainen tytäryhtiö on ison konsernin vaikutusvallan alaisena ja siellä on kyseisen maan työntekijöitä, siinä on aina pieni riski, Miettinen arvioi.
Hänen mukaansa olennaista on lopulta se, missä laitteen keräämä data käsitellään ja kenellä siihen on pääsy.
Pienistä tiedoista voi syntyä laaja kokonaiskuva
Moni tavallinen kuluttaja voi ajatella, että hänestä kerätty data tuskin edes kiinnostaisi ketään. Varsinkaan valtiollista toimijaa.
Miettisen mukaan tavallinen kansalainen ei lähtökohtaisesti olekaan vieraan valtion tiedustelun ensisijainen kohde. Tämä ei kuitenkaan tarkoita, ettei hänen laitteistaan saatavalla tiedolla voisi olla merkitystä.
Esimerkiksi yksittäisen asuintalon pihaa kuvaavan valvontakameran kuva voi vaikuttaa vähäpätöiseltä. Jos suuri määrä kameroita kuitenkin näyttää esimerkiksi liikenneväyliä tai muita ympäristön tapahtumia, tiedoista voisi ainakin periaatteessa muodostaa laajempaa tilannekuvaa.
Sama koskee muitakin kodin älylaitteita. Mikrofonilla varustettu laite voi kerätä ääntä ja verkkoon yhdistetty laite havaita lähellä olevia Bluetooth- tai wifi-laitteita. Käyttötiedoista voidaan puolestaan päätellä esimerkiksi sitä, milloin ihminen on kotona.
– Tällaisia tietoja suuressa mittakaavassa korreloimalla pystyy ehkä tekemään johtopäätöksiä ihmisten suhteista, että ketkä ihmiset tapaavat toisiaan ja ketkä liikkuvat missäkin mihin aikaan, hän sanoo.
Kun monien ihmisten laitteista saadaan tietoa siitä, mitä tapahtuu ja miten ihmiset käyttäytyvät, se voi olla arvokasta tiedustelutietoa.
– Tiedustelutiedon kerryttäminen on tällaista isolla haravalla pienten tietomurusten haalimista ja yhdistämistä. Siellä minä näen riskejä, Miettinen sanoo.
Tämä asia kuluttajan on hyvä tiedostaa. Vaikka hän ei itse olisi tavallisena kansalaisena tiedustelun kohteena, hänen laitteensa keräämiä tietoja voidaan hyödyntää muussa tarkoituksessa.
Kuluttaja ei välttämättä huomaa mitään
Jos laitteen tiedot siirtyvät ulkopuoliseen pilvipalveluun, kuluttajan voi olla käytännössä mahdotonta tietää, mitä niille palveluntarjoajan järjestelmissä tapahtuu.
Miettisen mukaan epävarmuus syntyy juuri siitä, ettei käyttäjä näe, mitä pilvipalvelun sisällä tiedoille tehdään.
Hän korostaa kuitenkin, ettei siitä ole näyttöä, että jokin ulkovalta käyttäisi aktiivisesti tavallisten kuluttajien IoT-laitteita tällaisen tiedon keräämiseen. Lisäksi aktiivinen seuranta vaatisi runsaasti voimavaroja, mikä ei välttämättä olisi järkevää.
Toisin sanoen se ei ole kovin realistista, että valtiollinen toimija käyttäisi aikaa tavallisten ulkomaan kansalaisten seuraamiseen.
– Siksi kannattaa olla vähän varovainen ”alarmismin” suhteen. Kannattaa silti tiedostaa, että tällainen riski on olemassa vaikka siitä ei ole suoraa näyttöä, että sitä aktiivisesti tällä hetkellä käytettäisiin.
Riski kasvaa, jos laitteen käyttäjä on esimerkiksi merkittävässä poliittisessa tai virallisessa asemassa. Silloin ulkopuolisella toimijalla voi olla selkeämpi intressi kohdistaa tiedustelua juuri häneen. Tässäkin tapauksessa asian näyttäminen toteen voi kuitenkin olla vaikeaa tai lähes mahdotonta.
Tavallinen hakkeri voi olla suurempi uhka
Kuluttajan arjessa konkreettisempi ongelma voi Miettisen mukaan olla huomattavasti arkisempi kuin valtiollinen tiedustelu.
Huonosti suojattu verkkokamera voi joutua esimerkiksi tavallisen kyberrikollisen tai muun ulkopuolisen haltuun, jos käyttäjä ei muuta oletussalasanaa tai huolehdi laitteen turvallisuusasetuksista.
– Suurempi riski on aivan muunlainen kyberhyökkääjä, joka huomaa, että tuollahan verkosta löytyy oletusasetuksilla oleva valvontakamera. Hyökkääjä voi murtautua sinne ja ruveta katselemaan valvontakameran kuvaa ihan huvikseen, Miettinen sanoo.
Tämä riski ei koske vain kiinalaisia tuotteita, vaan kaikkia verkkoon liitettäviä laitteita.
Ole tarkkana laitteiden sijoittelun kanssa
Entä suostuisiko Miettinen itse asentamaan kotiinsa kiinalaisen valvontakameran tai sijoittamaan sinne muita verkkoon kytkettyjä kiinalaisia elektroniikkalaitteita?
– Suhtautuisin varovaisesti niihin. Sijoittaisin tällaiset laitteet omaan verkkoonsa erilleen tietokoneista ja puhelimista.
Myös sillä on merkitystä, miten esimerkiksi valvontakamerat sijoitetaan. Miettinen neuvoo miettimään kameran sijoittelua niin, ettei mahdollinen väärinkäyttö paljastaisi tarpeettomasti kodin yksityisiä tiloja. Siksi kannattaa olla tarkkana sen kanssa, mitä alueita antaa kiinalaisen valvontakameran kuvata.
Pitäisikö kiinalaisesta elektroniikasta hankkiutua eroon?
Kiinalaiseen elektroniikkaan liittyvä huoli voi herättää kysymyksen, pitäisikö kaiken kiinalaisen elektroniikan käyttö lopettaa välittömästi.
Täydellistä irtautumista kiinalaisesta teknologiasta Miettinen ei pidä välttämättä realistisena tai edes tarpeellisena tavoitteena. Kiina on keskeinen elektroniikan valmistusmaa ja globaaleissa tuotantoketjuissa eri maiden teknologia kietoutuu toisiinsa. Siksi täydellinen irtautuminen kiinalaisesta elektroniikasta voisi olla jopa vaikeaa.
Kuluttajalle tärkeämpää on hänen mukaansa suhtautua kodin älylaitteisiin terveellä skeptisyydellä: pohtia, tarvitseeko laitetta todella, mitä tietoa se kerää ja mihin tarkoitukseen sitä käytetään.
Lisäksi perustietoturvasta, kuten vahvoista salasanoista ja turvallisuusasetuksista, kannattaa huolehtia.
– En menisi ketään kieltämään ostamasta näitä [kiinalaisia] laitteita, mutta harkinnan käyttö on paikallaan siinä, millaisia laitteita käyttää ja mihin tarkoitukseen.
LUE MYÖS:
Sanna Ukkola Show: Kiina on Suomelle Venäjää vaarallisempi
Löytyykö kodistasi tällainen valvontakamera? Yksityisyytesi voi olla vaarassa
