Kuinka lähettää salattu sähköposti?

Tässä blogissa kerron miksi sähköposti ei aina ole turvallinen sekä mitä vaihtoehtoja sinulla on tiedon turvalliseen lähettämiseen ja vastaanottamiseen.

Miksi sähköposti ei ole turvallinen?

Lyhyt oppimäärä siitä, miten sähköpostiviesti liikkuu tietokoneelta (tai älypuhelimelta) vastaanottajalle.

1. 1. 1. Yhteys päätelaitteelta organisaation sähköpostipalvelimelle on lähes varmasti salattu, käytit sitten webmailia tai Outlookia (ainakin Etevän asiakkailla!)
    2. Yhteys vastaanottajan sähköpostipalvelimelta vastaanottajan päätelaitteelle on myös tyypillisesti salattu (toki tieto voi vuotaa vastaanottajan päädystä monella eri tavalla)
    3. Sähköpostipalvelimien välinen liikenne EI VÄLTTÄMÄTTÄ ole salattu!
    4. Itse viestin sisältö ei käytännössä koskaan ole salattu

Miksi sähköpostipalvelimien välinen liikenne ei ole salattu?

Sähköpostipalvelimien tekniikka on yhtä vanhaa kuin itse internet. Tietoturvaa ei alunperin oltu suunniteltu osaksi sähköpostipalveluja. TLS-salausta palvelimien välillä on hyödynnetty jo pitkään, mutta se vaatii sen, että kaikki palveluntarjoajat ottavat sen käyttöön. Ei ole viranomaistahoa, joka tätä valvoisi tai pakottaisi.

Miksi kaikkia viestejä ei ole sitten alusta loppuun salattu? Syynä voi olla palveluntarjoajan halu lukea viestisi, mutta lähtökohtaisesti kyseessä on salaamisen haaste. Koska toimijoita on useampia, tulee kaikilla olla yhteiset pelisäännöt. Suurin haaste on se, että vastaanottajalla tuskin on samaa erillistä salausjärjestelmää tai sähköpostijärjestelmää kuin sinulla. Tästä sopiminen jokaisen uuden viestittelykumppanin kanssa on turhan työlästä ja byrokraattista.

Google tarjoaa statistiikkaa siitä, kuinka moni heidän kautta lähtenyt viesti on salattu palvelimien välillä. Salausprosentti on noin 89%. Muutama vuosi sitten tämä oli lähemmäs 60-70%.

Lähtökohtaisesti, jos vastaanottajan sähköpostipalvelu on ison palveluntarjoajan takana tai vastaanottaja on vaikka suomalainen viranomainen, on viestintä palvelimien välillä todennäköisesti salattua. Tämän arvailun varaan ei kuitenkaan organisaation tietosuojaa voi missään tapauksessa jättää. Itse sisältö ei kuitenkaan ole koskaan salattu, tässä tapauksessa vain sen siirto.

Onko yrityksen sisäinen sähköposti turvallinen?

Kyllä on! Jos lähetät kollegalle viestin (samaan @firma.com -osoitteeseen), ei viesti koskaan lähde pois teidän omalta sähköpostipalvelimelta. Täten tiedonsiirto on verrattain turvallista ja firman sisällä voi sähköpostitse lähettää myös arkaluontoisempaa materiaalia. On hyvä huomioida, että viestit ja tiedostot eivät itsessään ole salattuja automaattisesti.

Mitä saa ja mitä ei saa lähettää sähköpostilla

En suosittele lähettämään sähköpostilla esimerkiksi:

- - - Henkilötietoja (HETU, pankkitilinumero)
    - Työsopimuksia, verokortteja tai skannauksia henkilöllisyystodistuksista
    - Salasanoja ja käyttäjätunnuksia

Mielestäni taas on OK lähettää sähköpostilla mm.

- - - Kaupallisia tietoja kuten sopimuksia ja laskuja (ellei ole jotain erikoisen arkaluonteista)
    - Kirjanpitomateriaalia kuten kuitteja, tilinpäätöksiä ja hallituksen kokouksen pöytäkirjoja

Jokaisella organisaatiolla tulisi olla kirjallinen tietosuojapolitiikka, minkä puitteissa arkaluontoisen tiedon säilyttämisestä ja lähettämisestä sovitaan.

Miten lähettää tietoa turvallisesti?

Paras tapa on lähettää ns. salattu viesti sähköpostilla, joka katsotaan selaimella. Lähetetyssä viestissä on siis vain linkki. Suuri plussa on, jos tätä varten lukijan pitää saada esim. tekstiviestitse koodi, jolla saa selaimessa olevan viestin auki. Jo ilman salasanaa järjestelmä on turvallisempi, koska tyypillisesti lähettäjä saa ilmoituksen, kun viesti on luettu (eli linkkiä klikattu). Linkille voi myös laittaa vanhenemisajan, joka parantaa tietoturvaa.

Todella salaisessa tiedonsiirrossa pitäisi toisen osapuolen kanssa sopia tiedon salaamisen tavasta. Yksi lähestymistapa on käyttäjien päädyissä tapahtuva PGP-tyylinen salaus. Jokaisen vastaanottajan kanssa sovitaan erikseen salausavaimesta, joka on kommunikoitu etukäteen ennen viestien lähettämistä. Lisätietoa PGP:stä voit lukea täältä.

Esimerkkinä oheinen Outlook.com (Microsoft 365 -käyttäjät) salatun viestin ohjeistus. Tämä ei ole niin turvallinen kuin PGP, mutta askel oikeaan suuntaan.

salattu_sähköposti

Miten vastaanottaa tietoa turvallisesti?

Tarvitseeko sinun saada työntekijältä tai asiakkaalta arkaluontoista tietoa? Monissa pilvipalveluissa on tiedon pyytäminen linkillä -toiminto, joka mahdollistaa tiedon pyytämisen turvallisesti. Sen sijaan, että tiedosto lähetetään sinulle salaamattomalla sähköpostilla turvattomasti, voisi lähettäjä klikata sinulta saamaasi linkkiä, joka avaa verkkosivun, jota kautta tiedoston voi turvallisesti lähettää. Lähettäjä raahaa tiedoston selainikkunan päälle ja tiedosto latautuu suoraan sinun määrittämäsi pilvitallennuspaikan kansioon. Tämä vaatii lähtökohtaisesti maksullisen version käytettävistä sähköpostipalveluista. Google Drivessä ei ole suoraan verrannollista toimintoa tätä varten.

Tällainen toiminto on käytettävissä mm. seuraavissa palveluissa.