Fæðingar­hríðir fjórðu iðn­byltingarinnar: Til fjár­mála­fyrir­tækja

Yfirlýsing: Undirrituð beinir þessu erindi til allra starfandi banka, sparisjóða, lánshæfnimatsfyrirtækja og eftirlitsstofnana, auk félaga- og hagsmunasamtaka neytenda á innan íslenskrar lögsögu. Markmið er ekki að bera saman þjónustugæði fjármálafyrirtækja, heldur að hvetja alla aðila á fjármálamarkaði til að tryggja aukið stafrænt öryggi og vernd persónuupplýsinga í einstaklingsviðskiptum.

Mér þykir brýnt að benda á alvarlegan öryggisbrest í stafrænum samskiptum fjármálafyrirtækja og lánshæfnimatsaðila, þar sem trúnaðarskilaboð sem send eru í gegnum lokaða samskiptagrunna eru sjálfvirkt afrituð og áframsend á almenn netföng einstaklinga.

Meginboðskapur orða minna er að ítreka nauðsyn þess að tryggja örugg samskipti milli einstaklinga og fjármálageirans og hvetja til innleiðingar aukinna öryggisvarna í einstaklingsviðskiptum við fjármálafyrirtæki hér á landi.

Við lifum á tímum þar sem stafrænar lausnir móta daglegt líf okkar. Fjármálafyrirtæki og lánshæfnimatsaðilar hafa tekið sér stöðu í sjálfu hjarta þessarar umbreytingar. Við, almennir borgarar, verðum að treysta því að samskipti okkar við innlend fjármálafyrirtæki séu örugg og varin trúnaði, í samræmi við lög og siðferðilega ábyrgð.

Sendir maður bara viðhengi með tölvupósti á netfang bankans?

Þegar einstaklingar senda fyrirspurnir í gegnum vefgáttir fjármálafyrirtækja og lánshæfnimatsaðila, gáttir sem ætlaðar eru til að tryggja öryggi viðkvæmra fjárhagsupplýsinga, vill svo oft til að kerfið sjálft sendi afrit skilaboðanna sjálfkrafa á almenn netföng notenda.

Fáum neytendum, sem eiga í einstaklingsviðskiptum við þessi fyrirtæki, gefst kostur á að afþakka slíka sjálfvirka afritun eða að óska svars gegnum öruggt kerfi. Að auki bjóða fjölmörg fjármálafyrirtæki hérlendis neytendum ekki upp á slíkar öruggar samskiptagáttir.

Við erum öll um borð í sama bát

Einstaklingar neyðast til að senda viðkvæmar fyrirspurnir á almenn netföng fjármálafyrirtækja án nokkurrar vissu um hver les skilaboðin eða hversu lengi þau hvíla í pósthólfi fyrirtækisins.

Þar með er stafrænu öryggi trúnaðarupplýsinga aflétt. Í kjölfarið berast svör sömu fjármálafyrirtækja á almenn netföng notenda í stað þess að fara gegnum lokað samskiptakerfi, á borð við öryggisgátt Heilsuveru.

Hér á ég við alla innlenda viðskiptabanka, sparisjóði og lánshæfnimatsaðila – án þess að gera greinarmun á því hver eigi í hlut. Við erum öll um borð í sama bát.

Afrituð og áframsend trúnaðargögn geta gleymst í pósthólfi

Almenn pósthólf búa yfir veikari öryggisvörnum, sérstaklega ef notendur nýta hvorki tveggja þátta auðkenningu né dulkóðun. Afrituð og áframsend skilaboð, sem innihalda viðkvæmar fjárhagsupplýsingar, geta því safnast upp í pósthólfum og legið þar óvarin árum saman.

Verði almennt pósthólf fyrir innbroti verða þessi gögn aðgengileg óviðkomandi aðilum, sem getur leitt til auðkennisþjófnaðar, fjármálamisferlis og valdið einstaklingum óafturkræfum skaða.

Að auki geta notendur, óviljandi, áframsent sjálfvirk skilaboð úr eigin pósthólfi. Með þeirri aðgerð missa þeir endanlega stjórn á öryggi upplýsinganna, sem hægt er að áframsenda og vinna úr í hið óendanlega.

Í faglegu starfsumhverfi er einnig hætta á að slík skilaboð, þ.e. afrit fyrirspurna einstaklinga sem send eru frá vinnunetföngum, verði hluti af víðfeðmu gagnasafni fyrirtækja og hvíli þar án skýrra aðgangstakmarkana.

Hvað merkir óveruleg áhætta?

Hér má jafnvel spyrja hvort fjármálafyrirtæki fullnægi kröfum 27. gr. laga um persónuvernd nr. 90/2018, þar sem þeim er gert að gera „viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja viðunandi öryggi persónuupplýsinga“.

Samkvæmt lögunum skulu slíkar ráðstafanir byggja á áhættumati sem tekur mið af eðli, umfangi, samhengi og tilgangi vinnslunnar, sem og þeirri áhættu – mismunandi líklegri og misalvarlegri – sem steðjar að réttindum og frelsi einstaklinga.

Ef upp kemur öryggisbrestur, þ.e. að persónuupplýsingar séu gerðar aðgengilegar óviðkomandi eða að öryggi þeirra sé verulega ógnað, ber ábyrgðaraðila að tilkynna bæði Persónuvernd og viðkomandi einstaklingum án ótilhlýðilegrar tafar, og eigi síðar en innan 72 klst., nema ljóst sé að áhættan sé óveruleg.

Meðan ekki er tryggð örugg boðleið fyrir fyrirspurnir einstaklinga og svör sérfræðinga á einstaklingssviði fjármálafyrirtækja er hins vegar erfitt að greina með skýrum hætti hvenær, hvernig og hverjum beri að tilkynna slíkan öryggisbrest.

Stafrænt viðmót Heilsuveru er til fyrirmyndar

Örugg samskipti milli heilbrigðisstarfsfólks og skjólstæðinga í gegnum Heilsuveru fara fram í lokuðum gagnagrunni, hvort sem um ræðir fyrirspurnir eða svör. Þegar notendur fá svar, berst þeim stutt tilkynning. Þeir staðfesta auðkenni sitt rafrænt og lesa skilaboðin í öruggu, lokuðu kerfi.

Ég hvet fjármálafyrirtæki og lánshæfnimatsaðila til að taka örugga samskiptagátt Heilsuveru sér til fyrirmyndar og tryggja öllum einstaklingum sambærilega örugga boðleið svo ofangreind öryggisvá heyri loks sögunni til.

Höfundur er almennur borgari og hvetur fjármálafyrirtæki til að efla öryggisvarnir á sviði einstaklingsviðskipta.