Avarn securityn puutteet

Olen perehtynyt kolmeen eri ammattikorkeakoulujen opinnäytetyöhön, jotka on tehty Avarn Security Oy:n toimeksiannosta vuosina 2021–2023. Näiden raporttien perusteella yrityksen tekninen ja hallinnollinen tietoturva on ollut pitkään haavoittuvainen. On sanottava suoraan, jos nämä havainnot pitävät paikkansa, puhutaan vakavista rakenteellisista puutteista, sellaisista, joihin minkä tahansa turvallisuusalan yrityksen pitäisi puuttua välittömästi.

1. IT modernisointi (Ekholm 2021)

Ekholmin työ kuvaa tilannetta, jossa Avarn Securityn IT-ympäristö koostui seitsemästä erillisestä toimialueesta. Esimerkiksi arok.fi, prevent360.biz, turvatiimi.local ja g4s.fi, joita ei ollut koskaan yhdistetty hallitusti. Tämä tarkoitti käytännössä sitä, että käyttäjät eivät voineet liikkua toimipisteiden välillä ilman kirjautumisongelmia ja tietoa ei pystytty hallitsemaan keskitetysti.

Raportissa mainitaan, että 47 työntekijällä oli järjestelmänvalvojan oikeudet ja 12:lla Domain Admin -taso, eli korkein mahdollinen pääsy yrityksen verkkoon. Lisäksi osa palvelimista käytti Windows Server 2012 -versiota, jonka tietoturvapäivitykset olivat jo päättyneet. DNS- ja DHCP-palvelut oli määritelty väärin, mikä aiheutti yhteysongelmia ja jopa kymmenen minuutin kirjautumisaikoja. https://www.theseus.fi/handle/10024/501538

Tietoteknisesti tämä tarkoittaa, että yrityksen sisäinen verkko oli altis sekä sisäisille väärinkäytöksille että ulkoisille hyökkäyksille. Hallinnollisesti kyse on valvonnan ja vastuun puutteesta: kenelläkään ei ollut kokonaiskuvaa siitä, kuka hallinnoi mitäkin.

GDPR:n näkökulmasta tällainen ympäristö on riski, koska käyttäjätunnusten ja käyttöoikeuksien hallinta on keskeinen osa henkilötietojen suojaamista. Jos henkilöllä on laajemmat oikeudet kuin työtehtävä vaatii, yritys ei pysty osoittamaan “riittävää suojaustasoa” rekisterinpitäjänä. Tällöin syntyy mahdollisuus, että tietosuojavaltuutettu voisi vaatia selvitystä tietojen käsittelyn valvonnasta.

2. Laitteiden kierrätys ja tietoturvamateriaalin hävittäminen (Granholm 2023)

Granholmin opinnäytetyö nosti esiin konkreettisen ja ehkä kaikkein huolestuttavimman ongelman: tietoturvamateriaalia sisältävien laitteiden hävittämisestä ei ollut kirjallista prosessia. Tämä tarkoittaa esimerkiksi tallentimia, kameroita, kovalevyjä ja muistikortteja, jotka sisälsivät asiakkaiden video- tai henkilötietoja.

Raportissa mainitaan, että sarjanumeroita ei kirjattu ylös, eikä laitteiden tuhoamisesta ollut todisteita. Joissakin tapauksissa laitteet toimitettiin kierrätykseen ilman, että muistikortti tai kovalevy oli poistettu. Työntekijöiden haastattelut osoittivat, että monilla ei ollut selvää käsitystä siitä, miten tietoturvamateriaalia pitäisi käsitellä. https://www.theseus.fi/handle/10024/804111

Tietoteknisesti tämä tarkoittaa, että yrityksellä ei ollut kykyä todentaa, mitä tietoja oli hävitetty ja miten. Hallinnollisesti tämä paljastaa prosessiohjauksen puutteen eli ei ole vastuuhenkilöä, ei lomakkeita, ei valvontaa.

GDPR:n näkökulmasta tämä on riskialue: henkilötietoja sisältävän laitteen tuhoaminen ilman dokumentointia voi täyttää laiminlyönnin tunnusmerkistön, koska yritys ei pysty osoittamaan, että tiedot on hävitetty lain vaatimalla tavalla. Tämä ei automaattisesti tarkoita rikkomusta, mutta on selvästi tilanne, joka voisi johtaa tietosuojavaltuutetun yhteydenottoon, jos esimerkiksi asiakas epäilisi tietovuotoa.

Erityisen ongelmallista tämä on siksi, että Avarn käsittelee monien suurten asiakkaiden, kuten pankkien, viranomaisten ja sairaaloiden tietoja. Niiden osalta myös mahdollinen väärä käsittely voisi tarkoittaa ilmoitusvelvollisuutta viranomaisille.

3. CRM-järjestelmän käyttö ja ohjeistus (Pippingsköld 2022)

Pippingsköldin työ toi esiin inhimillisen mutta merkittävän ongelman: uusi asiakkuudenhallintajärjestelmä otettiin käyttöön ilman kunnollista ohjeistusta. Järjestelmä laajennettiin marraskuussa 2021 koskemaan koko organisaatiota, mutta työntekijöitä ei koulutettu.

Tuloksena oli sekava ja virheellinen asiakastietokanta. Järjestelmässä oli useita päällekkäisiä asiakasprofiileja ja vanhentuneita tietoja, mikä johti vääriin myyntiraportteihin ja tehottomuuteen. Lisäksi ohjeet olivat hajallaan eri paikoissa, eikä kukaan vastannut niiden päivittämisestä. https://www.theseus.fi/handle/10024/748632

Tietoteknisesti tämä näkyi virheellisenä datana ja heikentyneenä järjestelmän luotettavuutena. Hallinnollisesti kyse on sisäisen ohjeistuksen ja vastuun puutteesta. GDPR:n näkökulmasta tilanne on ongelmallinen, koska rekisterinpitäjä ei voi varmistaa henkilötietojen paikkansapitävyyttä, mikä on asetuksen 5. artiklan mukainen velvoite.

Vaikka opinnäytetyö ei väitä suoranaista rikkomusta, se osoittaa selvästi, että yritys ei ole kyennyt hallitsemaan tietojenkäsittelyn laatua ja jäljitettävyyttä tavalla, jota nykyinen tietosuojalainsäädäntö edellyttää.