Vahva sähköinen tunnistautuminen muuttui 1.10.2019

Aiemmin Suomessa laajasti käytössä ollut TUPAS-pankkitunnistusprotokolla ei enää täytä vahvan sähköisen tunnistamisen tietoturvavaatimuksia. Asiakkaiden vahvaa sähköistä tunnistamista käyttävät palvelut ovat siis joutuneet tai joutuvat vaihtamaan TUPAS-protokollan tilalle jonkin luottamusverkostossa yleisesti käytettävän protokollan, kuten OpenID Connect ja SAML.

Palveluntarjoajien ei kuitenkaan kannata kauhistella muutosta, sillä se tarjoaa palveluntarjoajille TUPAS-protokollaa helpomman tavan hankkia vahvan tunnistamisen. Tämä johtuu siitä, että TUPAS-protokollan aikaan palveluntarjoaja joutui solmimaan sopimukset jokaisen tunnistautumispalvelun (esim. pankkien kuten OP, Danske Bank ja Nordea) kanssa erikseen, kun taas nykyisen systeemin avulla palveluntarjoaja voi hankkia vahvaan tunnistamiseen tarvittavat palvelut yhdellä sopimuksella. Muutoksen myötä palveluntarjoajan ei siis tarvitse tehdä erillisiä sopimuksia jokaisen tunnistautumispalvelun kanssa.

On tärkeää huomata, että TUPAS-protokolla korvattiin jo 1.10.2019. Tämä todellakin tarkoittaa sitä, että TUPAS-protokolla ei enää täytä lainmukaista asiakkaan vahvaa tunnistamista, ja Traficom voi sakon uhalla kieltää palveluntarjoajaa tarjoamasta TUPAS-protokollaan perustuvia tunnistautumispalveluita.

TUPAS-protokollan vaihtaminen luottamusverkoston mukaiseen vahvaan sähköiseen tunnistuspalveluun ei pitäisi olla valtavan työläs prosessi, mutta se voi Kyberturvallisuuskeskuksen mukaan kestää useita viikkoja. Tästä johtuen palveluntarjoajien olisi tärkeää aloittaa oma vaihtoruljanssinsa mitä pikimmiten.

Luottamusverkostoon kuuluvista rekisteröidyistä ja valvotuista vahvoista sähköisistä tunnistuspalveluista löytyy listaus Traficomin verkkosivuilta. Listauksen avulla palveluntarjoajat voivat varmistaa, että heidän valitsemallaan tunnistuspalveluntarjoajalla on Traficomin hyväksyntä.

Artikkelin laatimiseen osallistui myös toimistomme lakimiesharjoittelija Johannes Lottonen.

18.10.2019 MAX