Delikaatsete registrite turvaanalüüs

1. Delikaatsete registrite turvaanalüüs Jan Willemson, Cybernetica Valgeranna 25.05.2006

2. Elektroonilised registrid • Eestis on palju riiklikke andmekogusid, milles sisaldub informatsiooni riigi elanike kohta • Järjest rohkemaid neist andmekogudest on võimalik kasutada elektrooniliselt • Arvutipõhine andmehaldus võimaldab elanikele ja ettevõtetele pakkuda ka täiesti uuelaadseid teenuseid ning muuta olemasolevaid teenuseid käideldavamaks • Heaks näiteks selles valdkonnas on Eesti riiklik andmekogude ristkasutuse süsteem X-tee

3. Digitaalse andmehalduse ohud • Digitaalinformatsiooni kaitsmise meetodid on uued ning kasutajale raskemini hoomatavad kui tavalised füüsilised turvameetmed • Arvutis failide kujul hoitavate andmete kopeerimine on võimalik kiiresti, ilma kvaliteeti kaotamata ning jälgi jätmata • Varastatud elektrooniliste andmekogude töötlemine (nt erinevate andmekogude üheks kokkupanemine) käib väga efektiivselt • Erinevaid registreid kuritahtlikult kombineerides võib väga paljude inimeste kohta panna kokku küllalt täieliku profiili

4. Uurimuse eesmärgid • Analüüsida riiklikesse registritesse kuuluvate isikute privaatsuse tagamise meetodeid • Kaardistada Eestis hetkel toimivate delikaatseid isikuandmeid sisaldavate andmekogude kasutusjuhud • Anda ülevaade meditsiiniliste registrite pidamise rahvusvahelisest kogemusest • Teha ettepanekud Eesti seadusandluse muutmiseks tagamaks ühest küljest andmete maksimaalne käideldavus ning teisest küljest delikaatsete isikuandmete kaitse

5. Registrite pidamine • Registreid on mõtet pidada ainult siis, kui neid kasutatakse • Registritel on kaks põhilist kasutusjuhtu: • Operatiivkasutus • Justiitsministeeriumi kriminaalhooldusregister ja kinnipeeturegister • Politeiameti karistusregister ja politsei infosüsteem PolIS • Informatiiv-statistiline kasutus • Sotsiaalministeeriumi terviseosakonna registrid, nt tuberkuloosiregister, vähiregister, raseduskatkeregister • Sotsiaalministeeriumi tööhõiveosakonna registrid Tööturuametist, Töötukassast, Sotsiaalkindlustusametist ja Tööinspektsioonist

6. Delikaatsete isikuandmetega registrid • On rida registreid, mis on nii tundlikud, et isegi neisse kuulumise fakt on delikaatne, samas tuleb neid kuidagi kasutada ja omavahel linkida • Näiteks EV Tervise infosüsteemi arengukava aastateks 2005--2008 näeb ette 29 medinfot sisaldava elektroonilise andmekogu loomist, sh • AIDSi register • HIVi andmekogu • Narkomaaniaravi register • Käesolev uurimus keskendub narkoregistrile

7. Registrite linkimine • ... on sisuliselt ristkasutus, st mitme registri peale ühe suurema moodustamine või ühest registrist andmete teise kandmine, näiteks • Surmapõhjuste registrist vähiregistrisse postmortaalselt avastatud vähijuhtude kandmine • SotsMin'i tööhõiveosakonna registrite ühendamine tööhõivestatistika saamiseks • HIVi andmekogu ja narkoregistri ühendamine saamaks ülevaadet HIV-positiivsetest narkomaanidest • Mitmed terviseregistrite ristkasutuse juhud teadusuuringute eesmärgil

8. Õiguslik ruum • Pole ühtki seadusakti, mis registrite linkimist kuidagi reguleeriks • AKI käest tuleb iga kord eraldi luba küsida • Teadusuuringuteks ei piisa sellestki. IKS §14 (3): • Delikaatsete ja eraeluliste isikuandmete töötlemine on ilma andmesubjekti nõusolekuta lubatud: • seaduse või välislepinguga ettenähtud ülesande täitmiseks; • andmesubjekti või muu isiku elu, tervise ja vabaduse kaitseks. • Euroopa Liidu baasdirektiiv 95/46/EC lubab samas ilmutatult delikaatseid isikuandmeid avalikes huvides teadusuuringuteks kasutada • Sama nt Põhjamaade vastavas seadusandluses

9. Isikukood • Isikukoodi sisseviimise algne motivatsioon oli luua isikutele ühene identifikaator, et muuhulgas lihtsustada andmekogude linkimist • Samas kasutatakse isikukoodi sageli vääralt • Näiteks pangad autendivad kliente telefoni teel isikukoodi abil, et pangakaarte kinni panna • Paradoksaalselt leidsid riigiisad, et isikukood võimaldab linkimist liiga lihtsalt (!). IKS §16: • Isikukoodi töötlemine on lubatud ilma andmesubjekti nõusolekuta, kui isikukoodi töötlemine on ette nähtud välislepingus, seaduses või määruses. • Kokkuvõttes ei täida isikukood oma eesmärki

10. Isikute tuvastatavus (I) • Narkootiliste ja psühhotroopsete ainete ning nende lähteainete seaduse §111 lõige 5 ütleb narkoregistri kohta nõnda: • Andmekogu peetakse kujul, mis ei võimalda registrisse kantud isikut tuvastada. • Pole selge, mida see säte tegelikult tähendab, sest andmed tuleb füüsiliste isikutega siduda vähemalt • andmekogu uuendamisel • teiste andmekogudega linkimisel

11. Isikute tuvastatavus (II) • See tähendab, et kusagil tuleb (kasvõi mitme osapoole vahel hajutatult) hoida vahendeid registrikirjete ja füüsiliste isikute kokkuviimiseks • Ükskõik milliseid turvameetmeid me ka ei rakendaks, alati jääb kusagil alles isik või isikute rühm, kes suudab(vad) kõik registrisse kuulujad kindlaks teha

12. Kodeerimiskeskus (I) • Varjamaks volitatud töötleja eest registrisse kuuluva isiku identiteeti (nime, isikukoodi), töötas Sotsiaalministeerium välja nn kodeerimiskeskuse kontseptsiooni • Kodeerimiskeskus on sisseostetav teenus, mis • saab narkomaani isikukoodi, • krüptib selle ära ja • saadab volitatud töötleja (TAI) andmebaasi.

13. Kodeerimiskeskus (II) • Selleks, et krüptitud isikukoodi teiste andmetega kokku viia, kasutatakse üht arsti infosüsteemi poolt genereeritud võtit, mis liigub kaasa nii andmetega kui ka krüptitud isikukoodiga. • Mis on selle kontseptsiooni puudus? • Kodeerimiskeskus omandab narkomaanide isikukoodid!

14. Registrisse kuulumise tõenäosus • Vaatleme narkoregistrit, kust on kustutatud nimed ja isikukoodid, kuid alles on jäetud inimeste vanus, rahvus ja elukoht • Olgu nende väljade mingite konkreetse väärtustega kirjeid narkoregistris k tükki • Kui ründaja suudab välja selgitada, et asulas X elab antud vanusega antud rahvusest isikuid n tükki, siis võib ta väita, et igaüks neist kuulub vaadeldavasse registrisse tõenäosusega k/n • Kui k=n, siis pole isikukoodide kustutamisel andmete varjamise seisukohast mingit efekti

15. Ründe hind • Registrile ligipääsemine ja väärtuse n leidmine ei pruugi olla odavad • Saamaks teada, palju elab asulas X teatud rahvusest teatud vanusega inimesi, võib ründaja • üritada osta ära rahvastikuregistri volitatud töötlejat • sõita kohapeale ja külameeste käest asja uurida • Kui ründaja ründab kasu saamise eesmärgil, peab ründe hind jääma väiksemaks oodatavast tulust • Ründe hinda ei ole reeglina lihtne leida, kuid analüüsiks piisab sellest, et hind on olemas

16. Ründed narkoregistri vastu • SotsMin sõnastas järgmised ohud: • Ründaja tahab kompromiteerivaid andmeid kätte saada selleks, et nende abil inimest või tema lähedasi santažeerida või manipuleerida • Ründajaks on pank, kindlustusselts või mõni muu finantsasutus, kes otsustab andmete põhjal inimese kuulumise mõnesse riskirühma, et siis tema makseid suurendada • Ründajaks on uuriv ajakirjanik, kes on saanud mõne tuntud isiku kohta vihje ning tahab kontrollida, kas see isik tõepoolest kuulub sellesse registrisse • Millised neist rünnetest toimivad, kui me teame isiku kuulumist registrisse tõenäosusega k/n?

17. Santaažirünne • Suur osa narkomaane pole heal rahalisel järjel, kuid nt poliitikuid võib santažeerida küll • Kas santažeerimine on võimalik, kui me teame poliitiku kuulumist narkoregistrisse mitte 100%, vaid mingi tõenäosusega k/n? • Jah, sest poliitik ju ei tea, mida ründaja täpselt teab. Kui 100%-lise kindluse korral oleks ründaja ootetulu x, siis nüüd on see k/n * x • Seega ei kaota kodeerimiskeskuse sisseviimine santaažirünnet, vaid kahandab ainult tema tulukust

18. Panga/kindlustusseltsi rünne • Ründajal polegi põhimõtteliselt oluline registris inimesi sajaprotsendiliselt identifitseerida • Teadmist, et konkreetne finantsteenust sooviv isik on tõenäosusega k/n narkomaan, saavad nii pangad kui kindlustusseltsid oma riskiarvutustes täiesti kasutada • See omakorda tähendab, et kodeerimiskeskuse mõte kahandada ründajate motivatsiooni isikute peitmise läbi ei ole selle stsenaariumi puhul kuigi tõhus

19. Uuriva ajakirjaniku rünne • Erinevalt pangast peab uuriv ajakirjanik oma väidetes 100% kindel olema • Selle ründe vastu kodeerimiskeskus aitab ... • ... kui ei kehti k=n • See, kas k=n või ei, sõltub narkoregistri andmekoosseisust, mis muutub • Seega tuleb ajakirjanikuründe välistamiseks registrit monitoorida ja vajadusel välju kustutada • Vajadus tekib hetkel, kui k=n, see aga tähendab, et monitoorija suudab narkomaane identifitseerida

20. Kuidas registreid linkida? • Isikukoodi kodeerimiseks on kaks võimalust: • kasutada universaalset asenduskoodi • kodeerida igas registris isikukood eraldi • Esimesel juhul on linkimine lihtne, kuid asenduskood muutub kiiresti isikukoodi aliaseks • Kujutame ette kuritegelikku tagasitesiendusteenust • Teisel juhul tuleb linkimiseks luua eraldi teenistus, mis erinevaid asenduskoode ühendab • See teenistus on jälle suur turvarisk • Tagasiteisendusteenus on raskem, aga võimalik

21. Kokkuvõtteks (I) • Teiseste andmete järgi on isikute tuvastamine küll raskem ega tööta 100%, kuid mitte võimatu • Kui isik on kord tuvastatud, saab seda infot kasutada mitu korda • See toob ründe omahinna alla • Pahategemiseks polegi 100%list kindlust vaja • Küll aga on täpseid andmeid vaja heategemiseks • Kodeeritud identiteetidega andmebaasi tuleb turvata sama rangelt nagu ilma kodeerimata • Volitatud töötleja eest pole mõtet isikuid varjata • Iskuandmed (sh isikukood) võivad registrites lahti olla • See kergendab ka tuntavalt registrite legaalset kasutust

22. Kokkuvõtteks (II) • Registrite linkimiseks tuleb luua nii seadusandlik kui tehnoloogiline raamistik • Iga delikaatseid isikuandmeid sisaldava registri kohta tuleb määrata vähemalt • isikute klassid, kes omavad registrile mingil tasemel ligipääsu (iga inimene kuulub potentsiaalselt mingisse klassi); • millise täpsusega mingisse klassi kuulujad andmeid näha võivad; • vajalikud koostööstsenaariumid, mille alusel ründajad info omandamiseks koopereeruma peavad

23. Kokkuvõtteks (III) • Isikukoodi (pool)salastamine on • Lootusetu ( ldap://ldap.sk.ee) • Mõttetu, sest isikukood ei sisalda delikaatset infot, sisuliselt on tegu inimese unikaalse nimeosaga • Kahjulik, sest eeskätt kannatavad registrite legaalsed kasutajad, ründajate elu aga oluliselt raskemaks ei muutu