Haittaominaisuus

Haittaominaisuus on termi, jota käytetään kuvaamaan ominaisuutta ohjelmistossa, laitteistossa tai niiden hallintajärjestelmissä, joka voi aiheuttaa haittaa turvallisuudelle tai yksityisyydelle. Ominaisuus voi olla alun perin suunniteltu hyödyttämään käyttäjää tai järjestelmän toimintaa, mutta siihen liittyy riskejä, jos sitä voidaan hyväksikäyttää väärin tai se paljastuu ilman käyttäjän suostumusta. Haittaominaisuudet voidaan nähdä eräänlaisina suunnittelun ulottuvuuksina, jotka antavat järjestelmälle ylimääräisen toiminnallisuuden, mutta samalla luovat potentiaalisia väärinkäyttömahdollisuuksia.

Haittaominaisuuksia voi esiintyä esimerkiksi takaporttien, piilotetun etäohjauksen, telemetrian, datankeruun tai asetusten muuttamisen mekanismien muodossa. Ominaisuus ei välttämättä ole virhe, vaan osa järjestelmän suunnittelua tai sen liiketoiminnallisen mallin seurausta, ja siksi sitä voidaan pitää sekä epätoivotettuna että mahdollisesti hyväksyttävänä, jos sen olemassaolo ja vaikutukset ovat läpinäkyvästi kerrottu sekä käyttäjän hallittavissa. Haittaominaisuudet voivat ilmentyä sekä tuottajan että hyökkääjän näkökulmista: ne voivat paljastua esimerkiksi ohjelmiston tai laitteen turvallisuusarvioinnissa, ja ne voivat toimia keinoina luvattomaan pääsyyn, tietojen vuotamiseen tai järjestelmän vääristämiseen.

Haittaominaisuuksien vähentämiseksi käytetään turvallisuutta suunnittelussa (security by design), pienennettyä pääsyä, avoimuutta, mahdollisuutta kytkeä ominaisuus pois (opt-in/opt-out), riippumattomia turvallisuustestejä sekä selkeää dokumentaatiota.