Turvallisuus ja lainmukaisuus

Palaa resurssit sivulle

Sähköinen allekirjoitus

Sähköinen allekirjoitus on lainsäädännölliseltä asemaltaan vastaava kuin perinteinen allekirjoitus. Sähköiset allekirjoitukset ovat EU-alueella yhdenmukaisesti säädeltyjä ja luotettuja ristiin jäsenvaltioiden kesken. Sähköisen allekirjoituksen pätevyyttä EU:ssa säätelee eIDAS-asetus (910/2014), joka on Euroopan Unionin jäsenvaltioissa suoraan velvoittavaa lainsäädäntöä. 

SignSpace-palvelussa voidaan tehdä tavallisia sähköisiä allekirjoituksia ja eIDAS-asetuksen 26 artiklan mukaisia kehittyneitä sähköisiä allekirjoituksia.  

Allekirjoitustekniikka

SignSpace-palvelussa tehdyt sähköiset allekirjoitukset perustuvat aina julkisen avaimen järjestelmään (PKI).

Järjestelmäallekirjoituksissa käytetään Väestörekisterikeskuksen (VRK) myöntämiä järjestelmäallekirjoitus-varmenteita, joiden salaiset avaimet suojataan turvallisella laitteistolla (Hardware Security Module, HSM).

SignSpace Key -sovellusta käyttäen tehdyt sähköiset allekirjoitukset ovat tasoltaan kehittyneitä sähköisiä allekirjoituksia perustuen käyttäjien henkilökohtaisiin varmenteisiin. Varmentajana käytetään SignSpace-palvelun ylläpitämää varmennejärjestelmää.

Asiakirjan alkuperäinen versio, joka sisältää kiistämättömyyden osoittamiseen liittyvät tiedot, säilytetään SignSpace-palvelussa. Asiakirjasta muodostetaan jakeluversio, joka sisältää PDF-muotoisen allekirjoitussivun PDF-dokumentin viimeisenä sivuna tai muun tiedostomuodon tapauksessa erillisenä PDF-tiedostona. 

Allekirjoitetun asiakirjan sisällön muuttumattomuus taataan käyttämällä järjestelmäallekirjoituksia (FIPS140-2 sertifioitu HSM-laitteisto) ja aikaleimapalveluita (RFC 3161:n mukainen palvelu). HSM-laitteiston käyttö takaa sen, että allekirjoitusavaimet ovat vain ja ainoastaan SignSpace-palvelun saatavilla. Turvallisen aikaleiman käyttö vahvistaa allekirjoituksen todistusvoimaa tarjoamalla kolmannen osapuolen vahvistuksen sille, että allekirjoitus on tehty tiettynä ajanhetkenä.

SignSpace-palvelussa allekirjoituspyynnön lähettäjä voi valita, millä tasolla allekirjoittajien on oltava tunnistettu. Allekirjoitussivu sisältää tiedon allekirjoittajien tunnistamisen vahvuudesta seuraavasti:

  • Vahva – Käyttäjä on tunnistettu vahvan tunnistamisen menetelmällä joko kyseisen allekirjoitustapahtuman yhteydessä tai kehittynyttä sähköistä allekirjoitusta käytettäessä käyttäjä on tunnistettu ennen allekirjoitustapahtumaa henkilökohtaisen kehittyneen sähköisen allekirjoituksen varmenteen luomisen yhteydessä.
  • Kevyt – Käyttäjä on tunnistettu sähköpostiosoitteen varmennuksen kautta joko SignSpace-tilin rekisteröimisen yhteydessä tai tämän allekirjoitustapahtuman yhteydessä käyttäjän sähköpostiosoitteeseen lähetetyn kertakäyttöisen koodin avulla. 

Rekisteröityneet käyttäjät kirjautuvat palveluun käyttäjätunnuksilla ja salasanoilla. Allekirjoitustapahtumia ja muita palvelussa jaettuja sisältöjä voi lisäksi suojata turvatoiminnolla, joka edellyttää kaksivaiheista tunnistusta.

Käyttäjän vahvassa tunnistamisessa tunnistamisessa hyödynnetään Signicat Connect -tunnistuksenvälityspalvelua, joka on Viestintäviraston hyväksymä Luottamusverkostoon kuuluva palvelu. Käyttäjät tunnistautuvat Signicat Connect -palveluun vahvasti mobiilivarmenteilla tai pankkitunnuksilla. 

Käyttäjä voi tehdä SignSpace-palvelussa allekirjoituksia yrityksen edustajana. Tätä edeltää rekisteröitymistoiminto, jossa käyttäjän oikeus toimia yrityksen edustajana tarkistetaan huolellisesti. 

Autenttisuuden tarkistaminen 

SignSpace-palvelu tarjoaa käyttöliittymän sähköisten allekirjoitusten tarkastamiseen. Palvelu on sekä palvelun käyttäjien, että ulkoisten tahojen käytössä. Palvelun avulla vastaanottaja voi varmistua, että hänelle toimitettu allekirjoitettu asiakirjakokonaisuus on alkuperäinen ja muuttumaton. 

Tarkistuspalvelussa käyttäjän palveluun lataamien tiedostojen eheys tarkistetaan ja näitä verrataan palvelussa tallennettuihin alkuperäisiin tietoihin.

Tietoturvakäytännöt

SignSpace-palvelu sitoutuu säilyttämään allekirjoitetun aineiston ja tähän liittyvät tunnistetiedot vähintään 10 vuoden ajan allekirjoitushetkestä.

Aineiston luotettava säilyttäminen SignSpace-palvelussa taataan esimerkiksi seuraavilla tavoilla:

  • Tietojen muuttumattomuus taataan käyttämällä järjestelmäallekirjoituksia (FIPS140-2 sertifioitu HSM-laitteisto) ja aikaleimapalveluita (RFC 3161:n mukainen palvelu). HSM-laitteiston käyttö takaa sen, että allekirjoitusavaimet ovat vain ja ainoastaan SignSpace-palvelun saatavilla. Turvallisen aikaleiman käyttö vahvistaa allekirjoituksen todistusvoimaa tarjoamalla kolmannen osapuolen vahvistuksen sille, että allekirjoitus on tehty tiettynä ajanhetkenä.
  • Turvallinen säilytys taataan käyttämällä keskitettyä lokipalvelua, asianmukaisia salausmenetelmiä ja roolipohjaista käyttäjähallintaa. Turvallinen lokitus takaa sen, että allekirjoitustapahtumista kerättävää lokitietoa ei voida muokata jälkikäteen.
  • Järjestelmä on kehitetty noudattaen tietoturvallisen sovelluskehityksen (SDLC) käytäntöjä. 
  • Palvelun johtamisjärjestelmä on ISO 27001 -vaatimusten mukainen. Sertifiointiauditointi tehty 9/2019. 
  • Palvelu ollaan liittämässä reaaliaikaisen, keskitetyn kyberturvallisuuden valvonnan ja tietoturvapoikkeamien hallinnan piiriin.
  • Palveluun tallennettaville tiedostoille ja palvelusta ladattaville tiedostoille tehdään automaattinen virustarkistus.

Sopimusehdot

Käyttöehdot

Henkilötietojen käsittely

EU:n yleisen tietosuoja-asetuksen artiklan 28 mukainen henkilötietojen käsittelysopimus on SignSpace-palvelun käyttöehtojen liitteenä. 

Palveluun tallennetut asiakaskohtaiset sisällöt ovat tallennettuina Euroopan talousalueen sisällä olevissa palvelukeskuksissa. 

Toimittaja on henkilötietojen käsittelijä ja asiakas on rekisterinpitäjä asiakaskohtaiseen sisältöön liittyvien henkilötietojen osalta. 

Toimittaja on rekisterinpitäjä palvelun lokitiedoille sekä asiakas- ja markkinointiviestinnän rekisterille, SignSpace-varmennerekisterille ja allekirjoitustapahtumarekisterille. Toimittajan rekisterinpitäjänä pitämän SignSpacen asiakas- ja markkinointiviestinnän rekisterin käsittelyssä voidaan käyttää pilvipohjaisia palveluita, joissa osa henkilötietojen käsittelystä voi tapahtua Euroopan talousalueen ulkopuolella. Henkilötietojen käsittely on kuvattu tarkemmin palvelun tietosuojaselosteessa.

SignSpace varmennepolitiikat ja varmennuskäytännöt

SignSpace-palvelun käyttämien varmenteiden kulloinkin voimassaolevat Certificate Policy and Certification Practise Statement -dokumentit julkaistaan palvelun verkkosivuilla: