Asianajajan selitys toimista ja tapauksista, joita 'Japanin luvaton käyttöä koskeva laki' kieltää

Laiton tietojärjestelmään tunkeutuminen -laki (virallinen nimi “Laki laittoman tietojärjestelmään tunkeutumisen kieltämisestä jne.”) astui voimaan helmikuussa 2000 (Heisei 12) ja sitä muutettiin toukokuussa 2012 (Heisei 24). Tämä laki on edelleen voimassa. Se on laki, jonka tarkoituksena on estää kyberrikollisuus ja ylläpitää järjestystä sähköisen viestinnän alalla, ja se koostuu 14 pykälästä.

“Laki laittoman tietojärjestelmään tunkeutumisen kieltämisestä jne.” (Tarkoitus)

1 § Tämän lain tarkoituksena on estää laiton tietojärjestelmään tunkeutuminen ja määritellä rangaistukset siitä sekä alueellisten turvallisuuskomiteoiden tukitoimet sen estämiseksi. Tavoitteena on estää rikoksia, jotka tehdään tietokoneiden kautta sähköisen viestinnän linjoja pitkin, ja ylläpitää järjestystä sähköisessä viestinnässä, joka toteutetaan pääsynvalvontatoimintojen avulla, ja siten edistää terveen tietoyhteiskunnan kehitystä.

Mitä laiton tietojärjestelmään tunkeutuminen -laki konkreettisesti kieltää? Mitä todellisia tapauksia on ollut, ja mitä toimenpiteitä tulisi toteuttaa rikosoikeudellisesti ja siviilioikeudellisesti? Selitämme laittoman tietojärjestelmään tunkeutumisen kieltämislain yleiskatsauksen ja toimenpiteet, jotka tulisi toteuttaa, jos olet joutunut sen uhriksi.

Toimet, jotka on kielletty Japanin luvattoman tietojärjestelmään tunkeutumisen estämistä koskevassa laissa

Japanin luvattoman tietojärjestelmään tunkeutumisen estämistä koskevassa laissa kielletään ja rangaistaan pääasiassa seuraavat kolme toimintaa:

• Luvaton tietojärjestelmään tunkeutuminen (3. pykälä)
• Toimet, jotka edistävät luvatonta tietojärjestelmään tunkeutumista (5. pykälä)
• Toisten tunnistetietojen luvaton hankkiminen, säilyttäminen tai syöttäminen (4., 6. ja 7. pykälät)

Tässä yhteydessä tunnistetiedoilla tarkoitetaan koodia, joka on määritelty jokaiselle tietojärjestelmän käyttöoikeuden haltijalle ja jota käyttöoikeuden myöntäjä käyttää erottamaan käyttöoikeuden haltijat toisistaan (2. pykälän 2. momentti).

Tunnistetietojen tyypillinen esimerkki on salasana, jota käytetään yhdessä käyttäjätunnuksen kanssa. Lisäksi viime aikoina on yleistynyt järjestelmiä, jotka tunnistavat henkilön sormenjäljen tai silmän iiriksen perusteella. Nämäkin kuuluvat tunnistetietoihin. Lisäksi, jos henkilö tunnistetaan allekirjoituksen muodon tai kirjoituspaineen perusteella, numeroidut ja koodatut allekirjoitukset ovat myös tunnistetietoja.

Mitä luvaton tietokonejärjestelmään tunkeutuminen tarkoittaa

Erityisesti pykälän 2 artiklan 4 kohdassa määritellään, että luvaton tietokonejärjestelmään tunkeutuminen tarkoittaa toisen henkilön tunnistetietojen väärinkäyttöä eli “identiteettivarkautta” ja tietokoneohjelman puutteiden hyödyntämistä eli “tietoturva-aukon hyödyntämistä”. Japanin luvattoman tietokonejärjestelmään tunkeutumisen kieltävä laki (Unauthorised Computer Access Prohibition Law) kieltää näillä menetelmillä toisen henkilön tietokoneeseen tunkeutumisen.

Toisen henkilön tunnistetietojen väärinkäyttö

Niin sanottu “identiteettivarkaus” tarkoittaa toisen henkilön tunnistetietojen väärinkäyttöä siten, että käytetään tietokonetta, johon ei ole oikeutta päästä.

Lyhyesti sanottuna, kun käytät tiettyä tietokonejärjestelmää, sinun on syötettävä tunnistetiedot, kuten ID ja salasana, tietokoneeseen. Tässä yhteydessä tarkoitetaan toimintaa, jossa syötetään toisen henkilön, jolla on oikeus käyttää järjestelmää, tunnistetiedot ilman tämän lupaa.

Hieman monimutkaisemmin ilmaistuna, “toisen henkilön” tarkoittaa tässä yhteydessä tunnistetietoja, kuten ID:tä ja salasanaa, jotka joku muu on jo luonut (ja käyttää), ja “identiteettivarkaus” tarkoittaa yksinkertaisesti toimintaa, jossa “kaapataan” toisen henkilön jo käyttämä tili, kuten Twitter tai muu sosiaalisen median tili.

Koska luvattoman tietokonejärjestelmään tunkeutumisen kieltävä laki edellyttää, että tunnistetiedot on syötetty ilman henkilön lupaa, esimerkiksi tilanteessa, jossa pyydät työmatkalla olevaa kollegaa tarkistamaan sähköpostisi antamalla hänelle salasanasi, ei rikota lakia, koska olet saanut henkilön suostumuksen.

Yleisesti ottaen “identiteettivarkaus” tarkoittaa toimintaa, jossa luodaan uusi tili käyttäen toisen henkilön nimeä tai valokuvaa ja käytetään esimerkiksi Twitteriä tai muuta sosiaalisen median palvelua toisen henkilön nimissä. Luvattoman tietokonejärjestelmään tunkeutumisen kieltävä laki kieltää kuitenkin erilaisen toiminnan. Yleisen merkityksen mukaisesta “identiteettivarkaudesta” kerrotaan yksityiskohtaisemmin alla olevassa artikkelissa.

https://monolith.law/reputation/spoofing-dentityright[ja]

Tietokoneohjelman puutteiden hyödyntäminen

“Tietoturva-aukon hyödyntäminen” tarkoittaa toimintaa, jossa hyödynnetään toisen henkilön tietokoneen tietoturva-aukkoja (turvallisuuspuutteita) ja tehdään tietokone käyttökelpoiseksi. Tätä varten käytetään hyökkäyssovelluksia ja muita keinoja antamaan tunnistetietojen ulkopuolista tietoa tai ohjeita hyökkäyksen kohteelle, ohittamaan toisen henkilön tietokoneen pääsynvalvontatoiminnot ja käyttämään tietokonetta ilman lupaa.

Tässä yhteydessä “pääsynvalvontatoiminto” tarkoittaa toimintoa, jonka avulla pääsynvalvoja rajoittaa tietyn tietokoneen tai tietyn tietokoneen ja tietoliikenneyhteyden kautta yhdistetyn tietokoneen tiettyä käyttöä niin, ettei kukaan muu kuin oikeutettu käyttäjä voi käyttää sitä (2 artiklan 3 kohta).

Selkeämmin ilmaistuna, kyse on järjestelmästä, joka vaatii tietokonejärjestelmään pääsyä yrittävää henkilöä syöttämään verkkoon ID:n ja salasanan, ja joka sallii käytön vain, jos oikea ID ja salasana on syötetty.

Toisin sanoen, “tietoturva-aukon hyödyntäminen” tarkoittaa sitä, että tämä järjestelmä tehdään tehottomaksi, jolloin kyseistä tietokonejärjestelmää voidaan käyttää ilman oikean ID:n ja salasanan syöttämistä.

Kaksi tyyppiä luvatonta tietokonejärjestelmään tunkeutumista

Kuten edellä mainittiin, luvattomassa tietokonejärjestelmään tunkeutumisessa on kaksi tyyppiä.

Huomionarvoista on, että molemmissa tapauksissa luvattoman tietokonejärjestelmään tunkeutumisen edellytyksenä on, että se tapahtuu tietokoneverkon kautta. Siksi, vaikka syöttäisit salasanan ilman lupaa tietokoneeseen, joka ei ole yhteydessä verkkoon, eli niin sanottuun standalone-tietokoneeseen, se ei täytä luvattoman tietokonejärjestelmään tunkeutumisen edellytyksiä.

On kuitenkin huomattava, että tietokoneverkko ei tarkoita vain avointa verkkoa, kuten internetiä, vaan myös suljettua verkkoa, kuten yrityksen sisäistä lähiverkkoa (LAN).

Lisäksi luvattoman tietokonejärjestelmään tunkeutumisen avulla tehtävän luvattoman käytön sisältöön ei ole rajoituksia. Esimerkiksi luvaton tilaaminen, datan katselu, tiedostojen siirto ja kotisivun muokkaaminen ovat kaikki luvattoman tietokonejärjestelmään tunkeutumisen kieltävän lain rikkomuksia.

Näiden kahden tyyppisen luvattoman tietokonejärjestelmään tunkeutumisen tekemisestä voi seurata “enintään kolmen vuoden vankeusrangaistus tai enintään miljoonan jenin sakko” (11 artikla).

Mitä tarkoitetaan toiminnalla, joka edistää luvatonta pääsyä

Japanin luvatonta pääsyä koskevan lain (Japanese Unauthorized Access Prohibition Law) mukaan toiminta, joka edistää luvatonta pääsyä, tarkoittaa toisen henkilön tunnistetietojen tai salasanan luovuttamista kolmannelle osapuolelle ilman kyseisen henkilön lupaa. Tämä voi tapahtua esimerkiksi puhelimitse, sähköpostitse tai verkkosivuston kautta. Jos kerrot toiselle henkilölle esimerkiksi “Henkilön XX tunniste on YY ja salasana on ZZ”, ja tämä mahdollistaa sen, että joku pääsee luvattomasti käsiksi toisen henkilön tietoihin, kyseessä on luvatonta pääsyä edistävä toiminta.

Jos syyllistyt toimintaan, joka edistää luvatonta pääsyä, saatat joutua maksamaan sakkoa enintään 500 000 jeniä tai sinut voidaan tuomita enintään vuoden vankeuteen (lain 12 §:n 2 kohta).

Huomaa, että saatat joutua maksamaan sakkoa enintään 300 000 jeniä myös silloin, jos luovutat salasanan tietämättä, että se mahdollistaa luvattoman pääsyn (lain 13 §).

Mitä tarkoittaa toisen henkilön tunnistetietojen luvaton hankkiminen, säilyttäminen tai syöttöpyyntö

Japanin luvattoman tietojen käytön kieltävässä laissa (Unauthorised Access Prohibition Law) kielletään toisen henkilön tunnistetietojen (ID, salasana) luvaton hankkiminen, säilyttäminen tai syöttöpyyntö.

• 4 §: Toisen henkilön tunnistetietojen luvaton hankkiminen on kielletty
• 6 §: Toisen henkilön tunnistetietojen luvaton säilyttäminen on kielletty
• 7 §: Toisen henkilön tunnistetietojen luvaton syöttöpyyntö on kielletty

Tämän kiellon tyypillinen esimerkki on “syöttöpyyntö”, joka on niin sanottu phishing-toiminta. Esimerkiksi, huijari saattaa esiintyä pankkina ja houkutella uhri väärennetylle kotisivulle, joka näyttää aivan aidolta. Tällä väärennetyllä sivulla uhria pyydetään syöttämään salasanansa ja ID:nsä.

Phishing-toiminnalla hankittuja tunnistetietoja voidaan käyttää esimerkiksi huutokauppahuijauksissa, tai ne mahdollistavat uhrin tililtä rahojen siirtämisen toiselle tilille ilman uhrin lupaa.

Näiden toimien suorittaminen voi johtaa enintään vuoden vankeusrangaistukseen tai enintään 500 000 jenin sakkojen määräämiseen (12 § 4 kohta).

Mikä laki säätelee kyberrikollisuutta, joka ei liity luvattomaan tietojärjestelmään tunkeutumiseen?

Kuten mainittu, luvattoman tietojärjestelmään tunkeutumisen kieltävä laki (Japanese Unauthorized Access Prohibition Law) on laki, joka on suunniteltu käsittelemään tiettyjä tyyppejä niin sanotuista kyberrikoksista. Jos puhumme “kyberrikollisuuden” kokonaisuudesta, muita lakeja, kuten tietokoneiden vahingoittamista tai liiketoiminnan häirintää, petollista liiketoiminnan häirintää ja kunnianloukkausta, saattaa myös tulla kyseeseen. Kyberrikollisuuden kokonaiskuvaa käsitellään yksityiskohtaisesti alla olevassa artikkelissa.

https://monolith.law/corporate/categories-of-cyber-crime[ja]

Pääsynvalvojan velvollisuudet

Käymme läpi velvollisuudet, jotka on määritelty Japanin luvattoman pääsyn estämistä koskevassa laissa (jatkossa “Japanin luvaton pääsy -laki”). Pääsynvalvoja on henkilö, joka hallinnoi tietyn tietokoneen toimintaa, joka on yhteydessä telekommunikointilinjaan (Lain 2 artiklan 1 kohta).

Tässä yhteydessä hallinnointi tarkoittaa päätöksentekoa siitä, kuka saa käyttää tiettyä tietokonetta verkon kautta ja minkä laajuista käyttöoikeutta hänelle myönnetään. Henkilö, jolla on valtuudet päättää näistä käyttäjistä ja käyttöoikeuksista, on Japanin luvaton pääsy -lain mukainen pääsynvalvoja.

Esimerkiksi, kun yritys käyttää tiettyä tietokonejärjestelmää, se nimittää järjestelmänhoitajan työntekijöidensä joukosta hallinnoimaan sitä. Kuitenkin, yksittäiset järjestelmänhoitajat hallinnoivat järjestelmää vain yrityksen tahdon mukaisesti. Siksi tässä tapauksessa pääsynvalvoja ei ole järjestelmänhoitaja, vaan tietokonejärjestelmää käyttävä yritys.

Japanin luvaton pääsy -laki ei ainoastaan määrittele luvatonta pääsyä ja siihen liittyviä rangaistuksia, vaan se myös asettaa palvelimien ym. hallinnoinnille velvollisuuksia estää luvaton pääsy.

Pääsynvalvojan puolustustoimenpiteet

8 artikla: Pääsynvalvojan, joka on lisännyt pääsynvalvontatoiminnon tiettyyn tietokoneeseen, tulee pyrkiä asianmukaisesti hallinnoimaan tunnistuskoodia tai koodia, jota käytetään vahvistamaan kyseinen pääsynvalvontatoiminto, sekä jatkuvasti tarkistamaan kyseisen pääsynvalvontatoiminnon tehokkuus ja tarvittaessa nopeasti parantamaan sen toimintoja tai toteuttamaan muita tarvittavia toimenpiteitä kyseisen tietokoneen suojaamiseksi luvattomalta pääsyltä.

“Tunnistuskoodin asianmukainen hallinta”, “pääsynvalvontatoiminnon tehokkuuden jatkuva tarkistaminen” ja “tarvittaessa pääsynvalvontatoiminnon parantaminen” ovat velvollisuuksia, mutta koska ne ovat pyrkimysvelvollisuuksia, niiden laiminlyönnistä ei seuraa rangaistusta.

Kuitenkin, jos hallinnoijalla on merkkejä siitä, että tunnukset tai salasanat ovat vuotaneet, hänen on nopeasti toteutettava pääsynvalvontatoimenpiteitä, kuten tilien poistaminen tai salasanojen muuttaminen.

Toimenpiteet luvattoman pääsyn tapauksessa

Kun käytät sähköpostia tai sosiaalista mediaa, saatat joutua luvattoman pääsyn kohteeksi. Mitä voit tehdä tässä tilanteessa?

Rikosilmoituksen tekeminen

Ensinnäkin, voit tehdä rikosilmoituksen henkilöstä, joka on tehnyt luvattoman pääsyn. Luvaton pääsy on rikos, ja henkilö, joka on tehnyt luvattoman pääsyn, voi joutua rikosoikeudelliseen vastuuseen. Kuten aiemmin selitimme, henkilö voi saada enintään kolmen vuoden vankeusrangaistuksen tai enintään miljoonan jenin sakon. Jos joku on edistänyt tätä, hän voi saada enintään vuoden vankeusrangaistuksen tai enintään 500 000 jenin sakon.

Huomaa, että luvattoman pääsyn kieltävä laki (Japanese Unauthorized Access Prohibition Law) on rikos, josta voidaan aloittaa tutkinta ilman rikosilmoitusta. Jos poliisi saa tietää rikoksesta, he voivat aloittaa tutkinnan ja pidättää rikoksentekijän. Lisäksi, vaikka et olisi henkilö, joka on joutunut luvattoman pääsyn kohteeksi, voit ilmoittaa asiasta poliisille, jos tiedät siitä.

Kuten mainitsimme aiemmin artikkelissa, joka koskee liiketoiminnan häirintää, rikos, josta voidaan nostaa syyte vain uhriksi joutuneen rikosilmoituksen perusteella, ei tarkoita, että syytettä ei voida nostaa, jos se ei ole rikos, josta voidaan nostaa syyte vain uhriksi joutuneen rikosilmoituksen perusteella. Vaikka rikos olisi sellainen, josta voidaan nostaa syyte ilman uhriksi joutuneen rikosilmoitusta, uhri voi silti tehdä rikosilmoituksen.

Vaikka rikos olisi sellainen, josta voidaan nostaa syyte ilman uhriksi joutuneen rikosilmoitusta, rikoksesta epäillyn tilanne voi huonontua, jos uhri tekee rikosilmoituksen, ja rangaistus voi olla ankarampi. Jos huomaat, että sinulle on tehty luvaton pääsy, kannattaa konsultoida asianajajaa ja jättää rikosilmoitus tai syyte poliisille. Kun poliisi on hyväksynyt rikosilmoituksen, he jatkavat tutkintaa nopeasti ja voivat pidättää tai syyttää rikoksesta epäiltyä.

Siviilioikeudellisen korvauksen vaatiminen

Jos olet joutunut luvattoman pääsyn uhriksi, voit vaatia siviilioikeudellista korvausta tekijältä Japanin siviililain (Japanese Civil Code) 709 §:n perusteella.

Siviililaki 709 §

Henkilö, joka tahallisesti tai huolimattomuuden vuoksi loukkaa toisen oikeuksia tai laillisesti suojattuja etuja, on velvollinen korvaamaan siitä aiheutuneen vahingon.

Jos tekijä on tehnyt luvattoman pääsyn ja levittänyt siinä saatuja henkilötietoja, varastanut sosiaalisen pelin esineitä tai päässyt käsiksi luottokortti- tai pankkitilin tietoihin ja aiheuttanut taloudellista vahinkoa, sinun tulisi vaatia korvausta, kuten vahingonkorvausta. Tietysti, jos luottokortti- tai pankkitilin tietoihin on päästy käsiksi ja todellista taloudellista vahinkoa on aiheutunut, voit myös vaatia korvausta näistä vahingoista.

Kuitenkin, jotta voit vaatia korvausta tekijältä, sinun on tunnistettava rikoksentekijä ja kerättävä todisteita siitä, että hän todella teki luvattoman pääsyn, joten tarvitset erittäin erikoistunutta tietoa. Jos olet joutunut luvattoman pääsyn uhriksi, sinun tulisi konsultoida asianajajaa, jolla on paljon kokemusta internetongelmista, ja pyytää häntä hoitamaan menettely.

Yhteenveto

Laiton tietojärjestelmään tunkeutuminen -laki (Japanin ‘Fushō Akusesu Kinshi-hō’) on yhä tärkeämpi merkitys nykyaikaisessa yhteiskunnassa, jossa IT:n käyttö lisääntyy. Kuitenkin, vaikka olisitkin joutunut laittoman tietojärjestelmään tunkeutumisen uhriksi, tekijän tunnistaminen voi olla teknisesti haastavaa.

Lisäksi, koska laiton tietojärjestelmään tunkeutuminen on rikosoikeudellisesti rangaistava teko, voit tehdä siitä rikosilmoituksen poliisille. Koska kyseessä on uusi rikostyyppi, poliisi ei välttämättä ymmärrä tilannetta heti. Tästä syystä, rikosilmoitusta tehdessäsi on tärkeää selittää tilanne huolellisesti sekä oikeudellisesta että teknisestä näkökulmasta, jotta poliisi ymmärtää tilanteen paremmin. Tässä mielessä, koska laiton tietojärjestelmään tunkeutuminen -lain noudattaminen vaatii erityistä asiantuntemusta, on tärkeää konsultoida asianajajaa, joka on perehtynyt myös IT:n teknisiin näkökohtiin.