Pro Sähköinen allekirjoitus säästää aikaa, rahaa ja hermoja

Sähköisen allekirjoituksen sanotaan olevan paitsi lain edessä pätevä, myös jopa varmempi kuin käsin kirjoitettu. Siihen liittyvät ennakkoluulot on siis paras heittää paperikoriin.

Palvelussamme sähköinen allekirjoitus syntyy omilla henkilökohtaisilla käyttäjätunnuksilla, nappia painamalla. Käyttäjätunnus voi olla esimerkiksi sähköpostiosoite ja sen salasana. Se on hyvin huolehdittuna henkilökohtainen ja vahva. On olemassa myös sähköisiä allekirjoitusjärjestelmiä, joissa vahva tunnistautuminen tapahtuu mobiiliavaimella, pankkitunnuksilla tai Väestörekisterikeskuksen myöntämällä varmenteella.

Isännöitsijät, rakennustyömaiden työnjohtajat, suunnittelijat ja valvojat, tiehoitokunnat, urheiluseurat, yhdistykset ja vaikkapa metsästysseurat ja yritysten ja taloyhtiöiden hallitukset voivat siirtyä vaivattomaan, sähköiseen asiakirjojen allekirjoitukseen. Asiakirjan voi allekirjoittaa missä tahansa milloin tahansa. Pahimmassa tapauksessahan asiakirjoja joudutaan lähettämään allekirjoitettavaksi postin välityksellä, ja se on tunnetusti yhä hitaampi ja epävarmempi tapa.  

Sähköinen allekirjoitus sallii asiakirjan vahvistamisen etänä, ja silti kumpikin osapuoli voi olla varma siitä, että allekirjoittaja on juuri se kuka hänen pitääkin olla. Järjestelmä myös takaa, ettei kukaan ulkopuolinen voi muuttaa sopimusta jälkikäteen. Se, että allekirjoittajan ei tarvitse fyysisesti siirtyä allekirjoituspaikalle on suuri helpotus monessa mielessä monille ihmisille ja nopeuttaa merkittävästi asioiden käsittelyä.

(juttu jatkuu videon jälkeen)

Pro Pilvipalveluiden HSEQ-järjestelmä kalvosarjana

Olemme koostaneet ytimekkään kalvosarjan, jonka avulla voitte tutustua palvelutarjontaamme. Lataa pdf-muotoinen kalvosarja alla olevasta linkistä.

Lataa kalvosarja (pdf)

HSEQ-järjestelmä videona

www.propilvipalvelut.fi/pro-palveluiden-esittely

Kevyt vai vahva sähköinen allekirjoitus?

Suomessa säädettiin laki sähköisestä allekirjoittamisesta vuonna 1999. Sähköinen allekirjoitus on pätevä kaikissa EU-maissa, joissa sen juridinen pätevyys perustuu EU-lainsäädäntöön. 

Kevyt ja vahva allekirjoitusprosessi eroavat toisistaan vain allekirjoitushetkellä. Vahvassa tunnistautumisessa käytetään esimerkiksi verkkopankkitunnuksia tai mobiilivarmennetta, kevyessä tunnistautumisessa riittää oma tunnus ja napin painallus, eikä tarvita joistakin järjestelmistä tuttua hiirellä, muovitikulla tai omalla sormella tehtyä allekirjoitusta. 

Yrityksessä ja muissa organisaatioissa (urheiluseuroissa, kansalaisjärjestöissä, osuuskunnissa jne.) sähköinen allekirjoitusprosessi etenee niin, että yrityksestä tai muusta organisaatiosta lähetetään sähköposti, jonka liitteenä on allekirjoitettavan tiedoston linkki. Allekirjoittaja vastaanottaa allekirjoituskutsun, siirtyy sisäänkirjautumiseen ja allekirjoittaa asiakirjan. 

Lähettäjä näkee tiedot allekirjoitetusta asiakirjasta palvelussa ja molemmat osapuolet voivat halutessaan tallentaa allekirjoitetun asiakirjan palvelusta itselleen. Ja se on siinä! Kevyt tunnistautuminen on juridisesti yhtä sitova kuin vahvaakin tunnistusmenetelmää käyttäen. Tietoturvakin on taattu, jos asiakirjan voivat nähdä ainoastaan allekirjoittajat ja heidän määrittelemänsä tahot.

Vahvan ja kevyen tunnistautumistapojen perustana on EU:n asetus, jossa on määritelty sähköisen allekirjoituksen kolme osaa: luotettavuus, asiakirjan muuttumattomuus ja kolmannen osapuolen arviointimahdollisuus asiakirjan aitoudesta.  

Kevyemmin kätevästi

Pro Pilvipalveluilla on reilusti yli 800 eri kokoisten organisaatioiden käyttöön soveltuvaa työelämässä tarvittavaa lomaketta. Suuri osa näistä vaatii hyväksynnän tai allekirjoituksen, jotkut useampia. Kun monissa organisaatioissa tehdään paljon jokapäiväiseen toimintaan liittyviä asiakirjoja (muistioita, kokouspöytäkirjoja, lupia ym.), niin päädyimme kompromissiin ja suosittelemme useimmissa tapauksissa käytettäväksi kevyttä sähköistä allekirjoitusta. Se on riittävän turvallinen ja pätevä, koska sen käyttö edellyttää ainoastaan kirjautumista palveluun omilla henkilökohtaisilla tunnuksilla ja salasanalla.

Yksilöllinen ja luotettava tunniste

Organisaatio voi tehdä sopijaosapuolensa kanssa sopimuksen sähköisen allekirjoituksen käyttämisestä kaikissa keskinäisissä asiakirjoissa. Sopimukseen voidaan lisätä myös maininta, että allekirjoitukset on mahdollista kirjoittaa myös kynällä.

Pro PK-Pilvipalvelut Oy on kehittänyt sähköisen allekirjoituspalvelun, joka on tarkoitettu tämän yrityksen järjestelmissä olevien dokumenttien luotettavaan ja helppoon allekirjoittamiseen.

Järjestelmässä käyttäjällä on yksilöllinen käyttäjätunnus, joka yhdessä salasanan kanssa käytettynä toimii tunnisteena. Tunnistetulle käyttäjälle voidaan järjestelmässä näin ollen muodostaa yksilöllinen ja luotettava salasana.

Täten kukin allekirjoittaja saa allekirjoituksen, joka sisältää yksilöidyn allekirjoittajan, allekirjoituksen aikaleiman ja järjestelmän luoman yksilöllisen sähköisen allekirjoituksen. Allekirjoitus perustuu kyseessä olevaan dokumenttiin, ja mikäli sitä muutetaan jälkikäteen, allekirjoitus ei enää ole pätevä.

Kokemuksemme mukaan pankkitunnuksilla, mobiilivarmenteella tai Väestörekisterin tunnisteella toimiminen on usein työlästä ja jopa mahdotonta, koska tunnukset eivät aina ole saatavilla, eikä monilla ulkomaalaisilla työntekijöillä edes ole näitä tunnuksia. Henkilökohtaisten sähköpostitunnusten käyttö on näin ollen helppoa. 

On myös ihan hyvä käytäntö allekirjoittaa esimerkiksi työsopimukset tai vuokrasopimukset perinteisesti käsin, koska tällöin molemmat osapuolet saavat varmasti saman sisältöiset versiot ja allekirjoittajat kohtaavat toisensa ”silmästä silmään”.

Mutta esimerkiksi perehdytys- ja koulutusdokumentteihin, erilaisiin erikoistyölupiin tarvittavat asiakirjat ja muistiot voidaan hyvin allekirjoittaa sähköisesti täysin turvallisesti.

Turvallisuus paranee

Sähköinen allekirjoitus on monissa tapauksissa kynäkirjoitusta varmempi ja turvallisempi tapa. Useimmiten allekirjoitustapahtumassa ei varmisteta allekirjoittajan henkilöllisyyttä. Allekirjoitus voi tapahtua tilanteessa, jossa allekirjoituksen pyytäjä ei tunne allekirjoittajaa, jolloin väärentämisen mahdollisuus on aina olemassa.

Jos asiakirjoja taas lähetetään normaalisti postissa, pyydetään allekirjoittamaan asiakirjat ja lähettämään ne takaisin, voi allekirjoittaja olla periaatteessa kuka tahansa. Sama koskee vanhanaikaista faksausta ja edelleen käytössä olevaa skannausta. Todellinen allekirjoittaja ei välttämättä ole asiakirjassa mainittu henkilö.

Henkilökohtaisien sähköisten tunnusten käyttö on muita tapoja varmempaa, ja tietenkin erittäin vahvaa tunnistautumista tarvittavissa tilanteissa pankkitunnusten, mobiilivarmenteen tai virallisen sirullisen henkilökortin käyttö on tarpeellista. Läheskään kaikki allekirjoitusta vaativat asiakirjat eivät kuitenkaan tarvitse noin vahvaa tunnistusta ollakseen juridisesti päteviä. 

Tietoturvan oltava kunnossa

Sähköisen allekirjoitusjärjestelmän luotettavuutta epäillään yleisesti. Usko paperin ja kynän voimaan laillisuuden takaajina istuu meissä vahvana.

Ajat ovat kuitenkin muuttuneet, niin myös tavat allekirjoittaa laillisesti päteviä sopimuksia, suunnitelmia, hankintapöytäkirjoja, työmaakatsauksia jne.

On selvää, että kaikessa toiminnassa on aina myös riskinsä. Rikolliset käyttävät turvallisuusaukot hyväkseen. Tietomurtoja tapahtuu, mutta sähköinen allekirjoitusjärjestelmäkin pysyy turvassa, jos osapuolten järjestelmien tietoturva on riittävän vahva ja jatkuvasti ajan tasalla. 

Käyttäjän tietokoneella ei saa olla haittaohjelmia, jotka voisivat varastaa käyttäjän salasanan tai PIN-koodin tai voisivat kopioida salausavaimet. Pahimmillaan tietoturva-aukot voivat johtaa siihen, että luvattomia allekirjoituksia voitaisiin tehdä oikean omistajan nimissä.

Tästä syystä tietoturvasta huolehtimista ei pidä missään olosuhteissa laiminlyödä. Siitä voi yritykselle tai muulle organisaatiolle, myös yksittäiselle ihmiselle, koitua mittaamattomia vahinkoja, joiden korvaaminen voi olla mahdotonta.

ASIANTUNTIJAN MIETTEITÄ

Sähköinen allekirjoitus ei ole pelkästään isojen yritysten käyttöön tarkoitettu järjestelmä. Sähköisestä allekirjoituksesta on merkittävää hyötyä myös pk-yrityksille, järjestöille ja julkisorganisaatioille.

– Totta, sähköinen allekirjoitus nopeuttaa allekirjoitusprosessia, kun allekirjoittajien ei tarvitse liikkua fyysisesti samaan paikkaan. Lisäksi allekirjoituksen varmuus paranee, kun osapuolet on tunnistettu ja yksilöity allekirjoitusprosessin alussa, sanoo yrittäjä Olli Turpeinen Fides Optio Oy:stä (www.fidesoptio.fi).

Hän uskoo, että sähköistä allekirjoitusta tarjoavia palveluja tulee lisää ja näin myös vaihtoehdot käyttöön paranevat. Turpeisen ennuste on, että palveluntarjoajissa tapahtuu jako niihin, jotka tarjoavat vahvaan tunnistamiseen perustuvia ja toisaalta kevyempää tunnistamista tarjoaviin palveluihin.

Olli Turpeisella on usean vuosikymmenen ICT-alan kokemus alan tuotteiden kehittäjänä ja palveluja tarjoavana yrittäjänä.

Hän haluaa konkretisoida sähköistä allekirjoitusta vertaamalla sitä prosessiin, jossa osapuolet skannaavat asiakirjoja toisilleen allekirjoitettavaksi. 

– Sähköinen allekirjoitus on yksinkertaisempi, nopeampi ja luotettavampi. Tiedämme, että skannatun dokumentin viimeinen versio on usein jo aika epäselvä, sanoo Turpeinen.

Hän muistuttaa myös siitä, ettei kynällä tehtyihin allekirjoituksiin voi täysin luottaa, koska osapuolet eivät tunnistaudu toisilleen, eikä heillä yleensä ole vastapuolen allekirjoitusmallia, johon allekirjoitusta voitaisiin verrata.

Markkinoilla on vahvaa ja kevyempää 

Mikä sitten on esimerkiksi pk-yritykselle, yleishyödylliselle organisaatiolle tai vaikkapa isolle urheiluseuralle paras järjestelmä? Markkinoillahan on sekä vahvaan että kevyempään tunnistautumiseen tarkoitettuja allekirjoituspalveluja.

– Suurin perusero näiden järjestelmien välillä on juuri tuossa käyttäjätunnistuksessa. Vahva tunnistaminen nostaa palvelun hintaa, koska näissä ratkaisuissa käytetään aina akkreditoitua vahvan tunnistamisen tarjoavaa palvelua, Olli Turpeinen kiteyttää.

Kevyemmässä ratkaisussa käytetään yleensä palveluntarjoajan omaa tunnistamismenetelmää, joka yleensä on yksilöllinen käyttäjätunnus ja siihen liitetty salasana. Useimmissa tapauksissa tämä kevyempi tunnistautuminen on juridisesti pätevä. Laki vaatii vahvaa tunnistamista sähköisen allekirjoituksen yhteydessä vain harvoissa tapauksissa.

– Näin ollen pk-yritykselle riittää normaalisti kevyemmin käyttäjän tunnistavat allekirjoituspalvelut. Pk-yritykselle tulee harvoin vastaan tarvetta allekirjoittaa sähköisesti dokumentteja, jotka vaativat vahvaa tunnistamista, sanoo yrittäjä Olli Turpeinen.

Kynä koteloon on edistyksen merkki

Bisnesympyröissä käytetään edelleen varsin yleisesti manuaalista allekirjoitusta, siis nimi asiakirjan alle rustataan kynällä. Usein se on melkoinen sutaisu, joskus jopa hilpeyttä herättävä, eikä kukaan kirjoita nimeään 100-prosenttisesti samalla tavalla kerrasta toiseen.

– Edistyksellisimmät yhtiöt ovat siirtymässä sähköiseen allekirjoitukseen. Syyt tähän ovat selvät: vaivattomuus, nopeus, turvallisuus. Eikä tämän päivän tekniikka tai hintakaan enää rajoita palvelun käyttöönottoa, listaa Olli Turpeinen.

Kynän pitäminen kotelossa ja sähköisen allekirjoituksen käyttö kertoo siis yrityksen edistyksellisyydestä ja voi toimia täten myös imagon kohottajana. Turpeisen mukaan on kuitenkin ainakin yksi asiakirja, jonka allekirjoittamiseen kynä on hyvä ottaa kotelosta.

– Työsopimus on sellainen, ainakin toistaiseksi.  

Tietoturva takaa luotettavuuden

Edellä olleen perusteella on jo selvää, että Sähköinen allekirjoitus on luotettava. Silti sen luotettavuuteen ja lain edessä pätevyyteen tunnetaan edelleen ennakkoluuloja. Mitä luotettavuuteen tulee, niin siihen pätee sama nyrkkisääntö kuin kaikkeen verkossa asiointiin: Tietoja tulee säilyttää turvallisesti, niin etteivät asiattomat pääse niihin käsiksi.

– Kun sähköisen allekirjoituksen luonnissa noudatetaan olemassa olevia standardeja, muodostettuun allekirjoitukseen voidaan luottaa. Sähköinen allekirjoitus liittyy sekä käyttäjään että allekirjoitettavaan dokumenttiin.

Jos jompikumpi muuttuu tai muutetaan jälkikäteen, järjestelmä pystyy todentamaan muutokset, eikä allekirjoitettu dokumentti enää ole pätevä. Sähköistä allekirjoitusta ei myöskään voida käyttää toisen dokumentin allekirjoittamiseen, koska käyttäjän on tunnistauduttava aina, kun hän käyttää allekirjoitusta.

Palomuuri, virustorjunta, yksilölliset salasanat

Sähköisestä allekirjoituksesta puhuttaessa törmätään aina myös ongelmien mahdollisuuteen. Kuinka torjua väärinkäyttö, tietomurrot ja kaappaukset?

Alan ammattilaisena Olli Turpeinen sanoo, että voisi kirjoittaa aiheesta helposti 150-sivuisen opuksen, mutta jaksaisiko joku lukea sen? Paras siis tiivistää. Tässä ensisijaisista vaatimuksista:

• palomuuri
• virustorjunta
• yksilölliset käyttäjätunnukset
• yksilölliset salasanat
• turvalliset verkkoprotokollat (SSL-salaus palvelussa)
• käyttäjäoikeuksien hallinta, käyttäjä näkee ainoastaan ne tiedot, joita tarvitsee  
• luottamuksellisen tiedon sijoittaminen eri paikkoihin
• eri käyttäjäryhmillä eri verkot (verkkosegmentointi)
• vierailijasäännöt (ei ulkopuolisia käyttäjiä)

– Sähköisen allekirjoituksen käyttäminen ei vaadi asiakkaan tietojärjestelmiltä mitään erityistä, koska palveluita käytetään Saas-periaatteella ja näin ollen palveluntarjoaja huolehtii palvelun tietoturvasta. Tärkeintä on, että asiakasyritys huolehtii käyttäjätunnusten ja salasanojen hallinnasta ja omasta virustorjunnasta, sanoo Olli Turpeinen.

Lisätietoa aiheeseen liittyvistä tietosuojasta ja -turvasta sekä lisääntyvistä identiteettivarkauksista:

www.tietoturva.pro 

www.tietosuoja-asetus.org

www.tietoturvaloukkaus.fi