AKI konverents: isikuandmete kaitse ja meedia

Ma olen viimasel ajal vägagi out-of-the-loop olnud, aga üks tabavamaid analoogiaid sel teemal tuli hiljuti Cory Doctorow’lt: Database leaks are as immortal and toxic as nuclear spills — let’s start acting like it.

Cory on vinge. Kusjuures esimene asi mis seda lugedes meenub on e-tervise lood viimase aja meedias. Ei leia matsust head linki aga eks nad kõik kordavad seda “aga registratuuris saab tädi jälge jätmata kaarti vaadata” mantrat.

Cory: “If we are going to contain every heap of data plutonium for 200 years, that means that every single person who will ever be in a position to see, copy, handle, store, or manipulate that data will have to be vetted and trained every bit as carefully as the folks in the rubber suits down at the local fast-breeder reactor.”

Kas meil on see tase e-tervise puhul olemas? (olen just mõelnud saadet teha ja oleks vajanud kedagi sinusugust skeptikut oponendiks kampa…)

Riigikontrollis on üks Ülle Madise selle aasta audititest nimelt isikuandmete kaitse, teemapüstitus vähemalt osalt tingitud nende e-teenuste auditi tulemustest (ehk KOV tasemel võib vabalt saada vastuse “meil tegeleb isikuandmetega ainult paar inimest ja sellega seoses ei pea kontrolliprotseduuri loomist põhjendatuks”).

Tõstataks lisaks veel küsimuse, kas 01.01.08 kehtima hakanud Isikuandmete kaitse seaduses mainitud biomeetriliste andmete loetelu on ammendav või avatud. Ja kui tegemist on avatud loeteluga, kas siis tuleb ka allkirja kasutamine isikusamasuse tuvastamiseks delikaatsete isikuandmete töötlemisena registreerida.

AKI andmetel (http://www.dp.gov.ee/index.php?id=309) Biomeetrilised isikuandmed …. Dünaamilised biomeetrilised isikuandmed on nt isiku hääl, allkiri, klahvivajutus.

Kui hääl ja klahvivajutus on nüüd biomeetrilised isikuandmed, siis kas näiteks Ärapanijas näidatud klipp kus Marvet klahve toksis ja häält tegi on nüüdsest videoteos, mida ilma AKI loata ei tohi kõvakettal hoida?

E-tervise sepad ajavad võltsdillemat. Registratuuris saab tädi loomulikult kaarti vaadata, (seal kaardil on, muide, ainult kohalik info, mitte kõigist raviasutustest kokku koondatud info) aga andmete tsentraliseerimine on veel hullem. Tolle lekitamiseks on vaja suurema kaliibriga tädi, aga kui tema juba lekitab, siis lekib absoluutselt kõik. Kui meie krüptosepad (ja need vähesed, kes on, on meil suhtkoht maailma tasemel) suutsid välja mõelda turvalise ja privaatse ID-kaardi põhise valimisprotokolli (mida minu teada siiski veel kasutatud pole — viimastel e-valimistel oli kasutusel mingi light-versioon asjast) siis miks mitte välja mõelda tõestatult turvalist e-tervise süsteemi, kuhu ei oleks, nagu muuseas, sisse jäetud võimalust ravimifirmadel (ja teistel huvitatud osapooltel) kõigi inimeste andmetele juurde pääseda ning kus andmete lugemisest jääks alles krüptograafiliselt tõestatud märge, mitte ainult logiteade.

Või siis nagu Dr. Punab hiljutises Postimehe arvamusloos kirjutas saaks kriitilise info (allergiad, veregrupp, hetkel võetavad ravimid) kirjutada kiipkaardile ja krüptida näiteks kaardiomaniku sõrmejälje või muu biomeetrilise infoga, millele kiirabiarst ligi pääseb. Vajadusel mahuks kasvõi kogu haiguslugu kiibile ära.

Kui hääl ja klahvivajutus on nüüd biomeetrilised isikuandmed, siis kas näiteks Ärapanijas näidatud klipp kus Marvet klahve toksis ja häält tegi on nüüdsest videoteos, mida ilma AKI loata ei tohi kõvakettal hoida?

Mõeldud on siiski saadet nimega Pealtnägija :P

Elver:

Turvalist e-valimiste protokolli pole võimalik realiseerida enne, kui kõik arvutid ja operatsioonisüsteemid toetavad Trusted Computing platvormi ning operatsioonisüsteem ise on loodud formaalselt verifitseeritud mikrokernelile. Ilma selleta pole võimalik tagada, et valija saadab oma arvutist välja ikka selle hääle, kelle poolt ta valimisprogrammis näiliselt hääle andis. Seni kuni pole võimalik riistvaraliselt tagada arvutil konfiguratsiooni pole võimalik e-valimiste usaldusväärsust tagada ning pole absoluutselt vahet millist e-valimiste süsteemi kasutada.

Mis puutub biomeetriliste andmete kasutamist krüptimiseks, siis on see iseenesest mõtetu ning isegi ohtlik. Esiteks pole sõrmejälgede kogumine või iirise skänn probleem ning teiseks oleks väga kahju, kui andmed jääksid kätte saamata, sest õnnetus viis sult pöidla või silma. Kolmandaks näeb arst neid krüptimata kujul ja saab neid näiteks fotoaparaadi või printscreen nupuga kopeerida. St. need andmed peaksid kaardil olema krüptimata ja soovitatavalt visuaalselt loetavad, kuna erakorralises meditsiinis on kättesaadavus olulisem kui privaatsus.

Trusted Computing ei taga ka turvalisust. Siis kontrollib häält arvuti ja/või tarkvara tootja ja võib teha seda täiesti avastamatul viisil. See on minu arust on märksa ohtlikum kui Keskerakonna häkker, kes troojalase abiga mõned hääled Savisaarele pühendab.

Number üks probleem on siiski arvutikast, mis hääled kokku loeb. Kui 100,000 inimest hääletab IDkaardiga ja 10,000 neist on ühe erakonna troojalasega nakatunud, siis on juba väga suur oht, et see troojalane avastatakse, erakond saab vitsa ja valimistulemused kuulutatakse kehtetuks. Sest kogu skeemis on 10,000 probleemi ja kui üks neist ilmsiks tuleb on kõik läbi. Isegi kui keegi troojalast ei avasta ei pruugi 10,000 kõrvale läinud häält veel valimistulemusi väga oluliselt kõigutada.

Kõik hääled koondatakse kokku ühte kohta ja inimene, kes kontrollib toda pudelikaela kontrollib ka valimistulemusi. Tegu on kogu protsessis kohaga, kus väga vähestel inimestel on väga palju võimu ning hilisem üht- või teistpidi tõestamine (häälte ülelugemine) on võimatu.

Mis puutub kiipkaardil haigusloo hoidmisse, siis biomeetrilise infoga selle krüptimine on täiesti okei lahendus. Eestis on igal aastal vist keskmiselt 10 või 12 juhtumit, kus kiirabiarst määrab sellise rohu, mis inimese ära tapab kuna tal pole juurdepääsu inimese allergiatele ja igapäevaselt võetavatele ravimitele. Õnnetusi, kus laialt levinud rohule allergiline inimene kaotab õnnetuses kindla sõrme (ja sõrm ära kaob!) ja arst ta seejärel kogemata ära tapab juhtub Eestis võib-olla üks iga tuhande aasta kohta :P

Inimeselt sõrmejälje saamine ei ole tõesti keeruline, kuid lahenduseks võib siinjuures olla kaheastmeline süsteem. Sõrmejäljega saad teada veregrupi, allergiad ja hetkel võetavad ravimid mis võivad erakorralise meditsiiniga kombineerituna ohtlikud olla. Kogu haigusloo nägemiseks on lisaks vaja neljakohalist PIN-koodi või muud parooli.

Kolmandaks näeb arst neid krüptimata kujul ja saab neid näiteks fotoaparaadi või printscreen nupuga kopeerida.

Kui sa mõtled välja viisi kuidas arst saab haiguslugu näha ilma haiguslugu nägemata, siis ole hea, räägi mulle ka.

Mul tekkis nüüd seoses selle isikuandmete värgiga küsimus, et kas sugupuu loomine internetis, mis on kõigile kättesaadav, on ka siis isikuandmete mittekohane kasutamine, juhul kui mul ei ole kõikidelt inimestelt nõusolekut nende sugupuuse paigutamise kohta?

Peeter: kaardi vaatamise teemat lahatakse pigem kommentaariumites, näiteks http://www.delfi.ee/news/eesti/eesti_uudised/article.php?id=17687427 on üks selline.

Elver: ei pea olema suurema kaliibriga tädi. e-tervise eesmärk ongi ju see, et kõik andmed oleksid kõikjalt kätte saadavad. Erandid tehakse ainult isiku enda poolt salastatud andmetele, kuid sellele on omakorda erand erakorralise meditsiini töötajate jaoks.

Valimised… riigikogu valimistel on juba paar korda juhtunud, kus esimese ja teise koha vahe on suurusjärk tuhatkond häält. Arvestades viimase aja valimisaktiivsust, on 10tuhat häält suurusjärk alla poole protsendi. Samas kui jägida arenguid siis e-hääletajate arv on kahe aastaga kolmekordistunud (viimati ca 30tuhat). Seega pole ilmselt kaugel aeg, kus e-hääletajate osa on juba suurusjärgus kolmandik. Seal tekitada paari protsendi (hääletajate üldarvust) suurune libahääletajate kogum, pole enam mingi probleem.

Uljam: kiire ja konkreetne vastus oleks “jah”, kuid siin on mõned “agad” ja neil agadel on sabad taga :)

Peeter: http://www.epl.ee/artikkel/414384 on näiteks üks arutelu.