avs Online

Oikeusministeriön ehdotus hallituksen esitykseksi vaalilain muuttamisesta sähköisen äänestyksen mahdollistamiseksi sanoo perusteluissaan monta hyvää asiaa. Erityisesti on tärkeää tunnustaa suomalaisen äänestysjärjestelmän hyvä nykyinen tekninen toiminta. Tämä herättääkin kysymyksen, miksi sähköistä äänestämistä pitäisi lainkaan sallia. Esityksen sivulla 5 todetaan, ettei vaalipäivän äänestystä juuri voida nopeuttaa sähköisellä äänestyksellä. Käytännössä ainoaksi eduksi sähköisestä äänestämisestä mainitaan viranomaistehtävien vähentyminen ja ennakkoäänestyksen nopeutuminen sekä tulosten saannin nopeutuminen. Nämä edut ovat sinänsä varsin kyseenalaisia kun otetaan huomioon järjestelmän kehityskustannukset sekä myös se, että äänestystulosten saannin nopeuttamisella nykyisestä ei juuri ole nyky-yhteiskunnassa enää merkitystä. Päinvastoin, vaalivalvojaisilla voidaan ehkä olettaa olevan jopa yhteiskunnallisesti positiivisia vaikutuksia.

Sähköinen äänestäminen toisi merkittäviä etuja silloin, jos äänestystapahtuma olisi hyvin monimutkainen (jos esimerkiksi päätettäisiin useista asioista samalla kertaa kuten Yhdysvaltain osavaltioiden vaaleissa), jolloin tietokoneelle voidaan luoda äänestyslipuketta helppokäyttöisempi äänestystapahtuma. Suomalaiset äänestykset kuitenkin ovat äärimmäisen yksinkertaisia.

Toinen tilanne, jossa sähköinen äänestäminen toisin etuja olisi, jos useammista asioista äänestettäisiin suoralla kansanvaalilla ja sähköisellä äänestämisellä saavutettaisiin merkittäviä kustannus- tai aikahyötyjä nykyiseen manuaaliseen järjestelmään nähden. Kuitenkin esitys toteaa, että perinteinen äänestystapa on edelleen aina mahdollinen, jolloin säästöt ja äänestysten järjestämisen nopeus eivät toteudu.

Tietojärjestelmien oikeanlaisen toiminnan varmistaminen on hyvin hankalaa. Perustelujen sivulla 13 on useita lauseita, jotka ovat ennemminkin unenomaista fiktiota kuin todellisuutta. Esimerkkejä:

"...äänestysjärjestelmä olisi täydellisesti suojattu tietomurroilta..." "...uurnassa olevat tiedot eivät voisi hävitä..." "...[suorittaessaan korjaustoimia, tietotekniikkahenkilöt] eivät voisi saada selville sitä, keille ehdokkaille annettuja ääniä uurnassa on."

Esitys putoaa itse kaivamaansa kuoppaan todetessaan sivulla 14: "Jos ääniä ei jostain syystä voitaisi laskea sähköisesti, laskenta suoritettaisiin käyttäen varmuustulosteita" mutta juuri vähän ennen sivulla 13 varmuustulosteita "...[ei otettaisi], jos selkeää tarvetta niiden käyttämiseen ei ilmenisi". Lienee hieman myöhäistä todeta, että selkeä tarve tuleekin siinä vaiheessa kun ääniä ei voidakaan sähköisesti laskea (tuskin siis tulostaakaan).

Kun analysoidaan äänestyksessä käytettävän tietojärjestelmän turvallisuutta, on selkeästi ymmärrettävä, mitkä asiat on auditoitu ja todettu turvallisiksi ja kaikki muut osat tietojärjestelmästä tulee olettaa turvattomiksi. Tämän jälkeen on kysyttävä, että voidaanko äänestystulokseen edelleen luottaa, vaikka nämä nimetyt osat oletetaan turvattomiksi. Yleensä vastaus on "ei".

Yksinkertainen esimerkki selventänee asiaa. Mikäli äänestykseen käytettävässä tietokoneessa on esimerkiksi kosketusnäyttö, järjestelmän auditoinnin on varmistettava se, että näytöllä todella näkyy se, mitä (auditoitu) äänestysohjelma luulee näytölle piirtävänsä, ja että informaatio kosketuksesta todella vastaa sitä kohtaa, mitä käyttäjä on koskettanut. Pelkästään äänestysohjelmiston oikeellisuuden varmistaminen ei siis riitä, vaan äänestyskoneen koko ohjelmisto (mukaanlukien näytön laiteajurit sekä jopa näytön oman mikroprosessorin ajama ohjelmisto) tulee varmistaa. Muutoin kommunikaatioon äänestäjän kanssa ei voi luottaa ja näin ollen äänestystulokseenkaan ei voi luottaa.

Toisena esimerkkinä esimerkiksi varmuustulosteita otettaessa myöskään tulosteisiin ei voisi luottaa, ellei sen sisäistä ohjelmistoa, tietokoneen tulostinajuria ja yhteyttä tulostimeen ole varmistettu. Esityksen epämääräiset vihjeet tarvittaessa otettavista varmuustuloksista eivät ole missään määrin riittäviä järjestelmän oikean toiminnan varmistamiseksi.

Kaikkien äänestystietojärjestelmän osien kattava varmentaminen on käytännössä mahdotonta. Jos joku väittää muuta, hän ei todennäköisesti ole asiantuntija tai sitten hän on myyntimies.

Tämän vuoksi ainoa tapa varmistua siitä, että annettu ääni todella on äänestäjän tahdon mukainen on liittää äänestystietokoneeseen fyysinen laite, joka tulostaa jokaista annettua ääntä kohti paperisen varmennustulosteen, jonka äänestäjä pystyy tarkistamaan ennen kuin äänestystapahtuma on ohi. Käytännössä sähköinen äänestäminen siis tuottaisi normaalia äänestämistä vastaavan paperitulosteen, josta äänestäjä voi tarkistaa, että annettu ääni oli oikein. Vaalitulos saadaan silti nopeasti sähköisestä uurnasta, mutta järjestelmän antaman tuloksen oikeellisuus voidaan varmistaa laskemalla fyysiset varmuustulosteet, jotka säilötään perinteisen uurnan kaltaiseen säiliöön. Sen lisäksi, että tämä ratkaisee luottamusongelman laitteistoon, ratkaisee se myös mahdollisista sähköisten äänien tuhoutumisista syntyvän ongelman.

Yhdysvalloissa paperille tulostettava, äänestäjän hyväksymä äänikohtainen varmuustuloste on vaatimuksena Alaskassa, Kaliforniassa, Nevadassa, Oregonissa, Washingtonissa, Idahossa, Utahissa, Montanassa, Coloradossa, New Mexicossa, Etelä-Dakotassa, Minnesotassa, Missourissa, Illinoisissa, Ohiossa, Länsi-Virginiassa, Pohjois-Carolinassa, New Yorkissa, New Jerseyssä, Connecticutissa, Vermontissa, New Hampshiressa ja Mainessa.

Ei ole mitään syytä tyytyä Suomessakaan vähempään, jos kansalaisten luottamus sähköiseen äänestykseen halutaan joskus voittaa.