TUPAS

Tupas on sähköinen tunnistautumisjärjestelmä. Alkujaan suomalaisten pankkien kehittämä järjestelmä on noussut Suomessa johtavaan asemaan nk. vahvassa tunnistautumisessa, jota käytetään muiden muassa pankkiasiointiin. Merkittävä osa myös julkisista verkkopalveluista käyttää Tupas-tunnistautumista. Tupas-tunnukset ovat käytössä yli neljällä miljoonalla suomalaisella ja niillä tehdään yli 90 prosenttia kaikista tunnistautumiskerroista.^[1]

Tämä artikkeli käsittelee pankkien tunnistamispalvelua. Tupas voi tarkoittaa myös tietynlaisia mättäitä.

Pankkien Tupas-palvelua käyttävät siis myös muut tahot sähköiseen asiointiin. Tupas-palvelussa pankki tunnistaa asiakkaan vahvalla sähköisellä tunnistamisella omien rekisteriensä perusteella. Tupas-palvelua käytetään ensisijaisesti sähköiseen tunnistamiseen ja sähköiseen allekirjoittamiseen palveluntarjoajan asiointipalveluissa.^[2]

Tupas-palvelu on pankkien yhteisesti määrittelemä. Kukin pankki tunnistaa asiakkaansa samoilla pankkikohtaisilla tunnisteilla, joita asiakas käyttää pankin omissa palveluissa. Tupas-palvelu soveltuu käytettäväksi verkkopalveluihin, joissa on tarve tunnistaa asiakkaat luotettavasti. Pankkien käyttämät vaihtuvat tunnusluvut täyttävät turvallisen tunnistustapahtuman kriteerit.^[2]

Tupas on Finanssialan Keskusliiton tavaramerkki. Finanssialan Keskusliitto hallinnoi, kehittää ja ylläpitää Tupas-määritystä ja siihen liittyvää dokumentaatiota.

Tupas ei nykymuodossaan täytä EU-sääntelyn kanssa yhdenmukaistetun vahvan sähköisen tunnistamisen vaatimuksia, eikä sitä enää jatkokehitetä. ^[3] Tupaksen korvaa Luottamusverkosto. ^[4]

Tunnistautumisen kulku

Palveluntarjoaja tunnistaa asiakkaansa lähettämällä tunnistuspyynnön asiakkaalle, joka siirtyy pankkinsa tunnistepalveluun painamalla pankkinsa tunnistuslinkkiä. Palveluntarjoajan tunnistuspyyntö välittyy asiakkaalta pankin Tupas-palveluun, joka lähettää tunnistamisen jälkeen asiakkaalle vastaussanoman (”Tupas-tunniste” tai ”Tunniste”). Asiakas tarkastaa vastaanottamansa Tunnisteen tiedot, joiden hyväksymisen jälkeen hän palaa takaisin palveluntarjoajan palveluun, jolloin Tunnisteen tiedot välittyvät palveluntarjoajalle. Asiakas voi halutessaan peruuttaa tai hylätä tunnistustapahtuman joko ennen tunnistautumistaan tai Tunnisteen tarkastamisen yhteydessä.^[2]

Kritiikkiä ja ratkaisuja

Arvion mukaan tuhansille ihmisille Suomessa ei myönnetä verkkopankkitunnuksia, jolloin myöskään Tupas-tunnistautuminen ei ole mahdollinen. Tällöin osaa julkisistakin palveluista ei ole mahdollista käyttää, mikä vaikeuttaa yhteiskunnassa selviämistä.^[5]

Myös Tupas-tunnistautumisen hintaa on kritisoitu. Kritisoijien joukossa on ollut mm. Kela ja Verohallinto.^[6]

Palveluntarjoajan on tehtävä erillinen sopimus kaikkien niiden pankkien kanssa, joiden tuottamaa Tupas-palvelua palveluntarjoaja tahtoo käyttää.^[2] Tätäkin on kritisoitu, sillä sopimusprosessin kestosta ja määrästä johtuen palveluihin ei välttämättä ole heti ensivaiheessa tehty sopimuksia kaikkien tunnistuspalveluiden (esim. kaikkien pankkien) tuottajien kanssa joka on rajannut osan asiakaskunnasta pois.^[7]

Esitettyyn kritiikkiin on kehitetty myös ratkaisuja. Uuden maksutilidirektiivin mukaan luottolaitoksille säädetään velvollisuus tarjota vahvoja sähköisiä tunnisteita, eli käytännössä verkkopankkitunnuksia. Muutoksen pitäisi parantaa niiden ihmisten asemaa, jotka eivät aiemmin ole verkkopankkitunnuksia saaneet.^[8][9] Uusi laki luottamusverkostoista taas määrää tunnistamiselle enimmäishinnan^[6], ja luottamusverkoston myötä sähköisen palveluntarjoajan olisi tehtävä sopimus vain yhden toimijan kanssa.^[1]

Suomi.fi-tunnistamispalvelulle (keskitetty tunnistautumispalvelu julkisen hallinnon tuottamiin digitaalisiin palveluihin) tupas-tunnusten hyväksyminen julkisiin palveluihin maksaa noin 5 miljoonaa euroa vuodessa^[10]. Nämä kustannukset maksaa valtio (veronmaksajat) pankeille. Tupas-järjestelmä ei ole saavutettavuus-direktiivin mukainen tai noudata Eidas-regulaatiota, jonka avulla suomalaiset voivat käyttää digitaalisia palveluita muissa EU-maissa.