Verkkopankkitunnistuksen yhteyskäytännön siirtymälle ei jatkoaikoja - Traficom valvoo ja velvoittaa korjaamaan

Verkkopankkitunnistuksessa yleisesti käytössä oleva TUPAS-yhteyskäytäntö ei enää täytä nykypäivän vahvalle sähköiselle tunnistamiselle asetettuja turvallisuusvaatimuksia ja se voi heikentää tunnistautuvan asiakkaan tietoturvaa ja -suojaa. Siksi vuonna 2016 säädettiin velvoite parantaa TUPAS:en tietoturvallisuutta tai vaihtaa yhteyskäytäntöä annetussa siirtymäajassa.

Suomessa toimiala päätti luopua TUPAS:sta ja siirtyä käyttämään kansainvälisiä OpenID Connect (OIDC) ja SAML-yhteyskäytäntöjä. Tunnistuspalvelun tarjoajan vastuulla on varmistaa, että sen tarjoama vahva sähköinen tunnistuspalvelu täyttää lainsäädännön vaatimukset ja että se tarjoaa tunnistuspalvelun käytön asiakkailleen vain vaatimusten mukaisena. Tunnistuspalvelujen tarjoajilla korvaavat OIDC- ja SAML-yhteyskäytännöt ovat jo käytössä ja tarjolla asiointipalveluille.

Osalla verkkopalveluiden tarjoajista vaaditut muutokset ovat vielä tekemättä

Tunnistuspalvelun tarjoajan vastuulla on huolehtia, että sen palvelua käyttävät verkkopalvelut täyttävät lainsäädännön vaatimukset. Pahimmassa tapauksessa tunnistuspalvelun tarjoaja voi joutua jopa lopettamaan palvelun tarjoamisen sellaiselle verkkopalvelulle, joka ei täytä näitä vaatimuksia.

Tunnistuspalveluilta saatujen selvitysten mukaan useilla niiden sähköisiä verkkopalveluita tarjoavista asiakkaista tarvittavat muutostyöt ovatkin vielä tekemättä. Aikaa muutosten tekemiselle on syyskuun 2019 loppuun saakka. Tämän jälkeen TUPAS:een perustuva tunnistus ei täytä vahvan sähköisen tunnistamisen vaatimuksia ja sen tarjoamiseen ja käyttöön liittyy vastuuriskejä. Tunnistuspalvelun tarjoajat joutuvatkin pohtimaan, miten ne varmistavat, että heidän asiakkaana toimivat verkkopalvelutkin toteuttavat vaaditut muutokset.

Traficom valvoo lokakuun alussa, tarjoavatko tunnistuspalvelut vahvaa sähköistä tunnistuspalvelua vielä asiakkaille TUPAS-yhteyskäytännöllä. Jos vaatimustenvastaista palvelua tarjotaan, virasto aloittaa tunnistuspalvelun tarjoajaan kohdistuvat hallinnolliset valvontatoimet ja velvoittaa päätöksellä lopettamaan vaatimustenvastaisen tunnistuspalvelun tarjoamisen kohtuullisessa määräajassa. Päätöksessä määriteltävä korjausaika tulee olemaan lyhyt, sillä määräaikaa on jo vuonna 2018 jatkettu vuodella ja TUPAS-yhteyskäytännön käytön jatkaminen on epätasapuolista niiden tunnistuspalveluiden tarjoajien kannalta, jotka ovat tehneet muutokset asiakkaidensa kanssa ajoissa. Päätöksen toimeenpanoa voidaan tehostaa uhkasakolla.

"Tärkeintä on, että sähköisiä palveluja käyttävien tietoturvaa ja tietosuojaa parantavat muutokset saadaan tehtyä ilman aiheetonta viivyttelyä. Tulemme myös harkitsemaan uhkasakkojen antamista, mikäli vaatimustenvastaisten tunnistuspalvelujen tarjoamista ja käyttämistä jatketaan huomautuksesta huolimatta", toteaa Liikenne- ja viestintäviraston Turvallisuussääntely-yksikön päällikkö Jukka-Pekka Juutinen.