Informaatioteknologia. Terveydenhuollon tietotekniikka. Tietoturvallisuuden

hallintajärjestelmät.

ISO 27799 -standardiOpetusaineisto oppilaitoksille

Suomen Standardisoimisliitto SFS ry2017

9.1.2017 1

Tervetuloa luentoaineiston käyttäjäksi!

Aineisto on suunnattu ammattikorkeakoulujen ja yliopistojen opettajille ja opiskelijoille.

Diasarja esittelee standardin ISO 27799, Tiedonhallinta terveydenhuollossa standardin ISO/IEC 27002 avulla. On huomattava, että ISO 27799 ei ole itsenäinen standardi eikä sitä voida käyttää irrallaan.

Kalvosarjan on tehnyt Teemupekka Virtanen SFS:n projektirahoituksella.

9.1.2017 | 2

Opetuskokonaisuus

• Opetuskokonaisuus on kaksi 45 min oppituntia

• Kalvot soveltuvat standardin esittelyyn ainakin terveydenhuollon tietotekniikkaan ja johtamiseen, tietojenkäsittelytieteisiin, tietoturvaan, johtamiseen ja standardisointiin liittyvillä syventävillä kursseilla yliopistoissa ja ammattikorkeakouluissa.

9.1.2017 | 3

Aineiston käyttö ja tekijänoikeudet

• Tämän luentoaineiston tekijänoikeudet omistaa Suomen Standardisoimisliitto SFS ry.

• Esitystä saa vapaasti käyttää opetustarkoituksiin ja sitä saa tarvittaessa muokata. Aineistoa lainattaessa lähde tulee mainita.

• Aineiston käyttö kaupallisiin tarkoituksiin on kielletty.

• Tämä materiaali on päivitetty viimeksi 15.9.2016.

9.1.2017| 4

Sisältö

• Opetuskokonaisuus• Tietojenkäsittely terveydenhuollossa• Turvallisuuden kokonaisuus• Tietoturvallisuuden hallinta• ISO/IEC 27002 - standardi• ISO 27799 - standardi• Tietoturvauhkat• Standardit ja lainsäädäntö• Kokemuksia ja hyötyjä standardien käytöstä

9.1.2017 | 5

Tietojenkäsittely terveydenhuollossa

• Perustuu Potilaslakiin ja Terveydenhuoltolakiin

• Terveydenhuollon ammattihenkilön on perehdyttävä potilaan historiaan

• Terveydenhuollon ammattihenkilön on kirjattava potilaskertomukseen kaikki havainnot, diagnoosit ja toimenpiteet

• Potilaskertomus on arkaluonteinen henkilötieto– Suojattava sivullisilta

• Potilaskertomusta on säilytettävä keskeisiltä osiltaan koko henkilön eliniän ajan– Suojattava muutoksilta ja häviämiseltä

9.1.2017 | 6

Sähköinen potilaskertomus• Laki sosiaali- ja terveydenhuollon asiakas ja

potilasasiakirjojen sähköisestä käsittelystä– Asiakastietolaki

• Potilastietoja voidaan käsitellä ja säilyttää myös sähköisesti

• Keskeiset tiedot on talletettava kansalliseen Potilastietojen arkistoon– Tietosisältö määritellään yksityiskohtaisesti asetuksessa

• Kanta-arkisto on Arkistolaitoksen hyväksymä sähköinen pysyväisarkisto

• Sähköisessä käsittelyssä on huomioitava tietoturvallisuuden vaatimukset

9.1.2017| 7

Lääkinnälliset laitteet

• Sellaiset tietotekniset laitteet, joilla käsitellään yksittäisen potilaan tietoja ja jotka vaikuttavat suoraan hoitoon, on luokiteltava lääkinnällisiksi laitteiksi

• Valmistaja määrittelee käyttötarkoituksen ja vastaa ohjelman sopivuudesta määriteltyyn tarkoitukseen

• Useita luokkia, joiden vaatimukset ja sertifiointitapa vaihtelevat

• Raportointijärjestelmä havaituista vaaratilanteista

9.1.2017 | 8

Kansallisen järjestelmän asettamat vaatimukset

• Kansalliseen potilastiedon arkistoon liittyvä järjestelmät on sertifioitava– Olennaiset vaatimukset (THL)– Sertifiointi (Viestintävirasto/Ilmoitetut laitokset)

• Vaatimusten perustana yhteentoimivuuden varmistaminen ja yhtenäinen tietoturvan taso

• Organisaatioiden on tehtävä omavalvontasuunnitelma, jossa ne kuvaavat tietoturvaan liittyvät käytäntönsä– Voi olla osa esim. laatujärjestelmää

02.05.23 | 9

Tietoturvallisuuden hallintajärjestelmän tarve

• Laki edellyttää potilastietojen turvaamista sivullisilta, muutoksilta ja katoamiselta potilaan eliniän ajan

• Terveydenhuollon organisaatio ei pysty toimimaan ilman tietoja. – Potilastietojen lisäksi on paljon toiminnan

ohjaamiseen liittyvä tietoja• Ihmiset ovat hyvin kriittisiä itseään koskevien

terveystietojen käsittelyyn– Selvityspyynnöt– Maine

9.1.2017 | 10

Tietoturvallisuuden hallintajärjestelmä

• On osa yleistä johtamista• Perustuu arvioituihin riskeihin• Helpottaa johtamista• On jatkuva prosessi, jossa havaitut

poikkeamat johtavat toiminnan kehittämiseen ja virheistä opitaan

• Kattaa kaikki turvallisuutta parantavat toimenpiteet

• Sisältää mm. riskianalyysin, tietoturvapolitiikan ja suunnitelmat tietoturvan ja toiminnan jatkuvuuden ylläpitämiseksi

9.1.2017| 11

27000-standardiperhe• ISO/IEC 27000 viittaa kasvavaan standardiperheeseen,

jonka yhteinen otsikko on "Informaatioteknologia.

Turvallisuus. Tietoturvallisuuden hallintajärjestelmät".

• Tarjoaa suosituksia tietoturvallisuuden hallintaan,

riskeihin ja kontrollointiin tietoturvallisuuden

hallintajärjestelmissä.

• Myös muut 27-alkuiset tietoturvallisuuteen liittyvät

standardit lasketaan toisinaan perheeseen kuuluvaksi.

9.1.2017 | 12

27000-standardiperheen historia ja kehittyminen

• Englannin aloite– 1992: Code of Practice for Information Security

Management (hallituksen opaste)– 1995: Muutetaan BSI standardiksi BS 7799– 1999: Sertifiointi alkaa täysimääräisenä

• 2000: ISO/IEC 17799 ISO/IEC 27002:2005• 2002: BS7799-2 Information Security

Management Specification ISO/IEC 27001:2005

• 2013: 27001 ja 27002:n päivitetyt versiot• 2014: 27000 päivitetty versio

9.1.2017 | 13

27000-standardiperhe…• 27000:2015 - Yleiskatsaus ja sanasto - Overview and

vocabulary• 27001:2013 - Vaatimukset - Requirements• 27002:2013 - Tietoturvallisuuden hallintakeinojen

menettelyohjeet - Code of practice for information security controls

• 27003:2010 - Tietoturvallisuuden hallintajärjestelmän toteuttamisohjeita - Information security management system implementation guidance

• 27004:2009 - Mittaaminen - Measurement• 27005:2011 - Tietoturvariskien hallinta - Information

security risk management

9.1.2017 | 14

…27000-standardiperhe

• 27044 - Guidelines for Security Information and Event Management (SIEM)

• 27050-1 - Electronic discovery - Part 1: Overview and concepts

• 27799:2016 - Terveydenhuollon tietotekniikka. Tiedonhallinta terveydenhuollossa standardin ISO/IEC 27002 avulla

9.1.2017 | 15

Yleistä 27002-standardista

• Yhteydessä 27001-standardiin, jossa annetaan vaatimuksia tietoturvallisuuden hallintajärjestelmään yleisesti

• Standardi kertoo, mitä pitää määritellä• Se ei kerro tarkalleen, miten jokin asia pitäisi

tehdä– Standardi auttaa ottamaan kaikki tarvittavat

asiat huomioon, mutta ei kerro mitään sisällöstä• Standardia käyttämällä syntyy eri asiat

huomioon ottava ja vakiomuodossa esitetty suunnitelma tietoturvallisuuden toteuttamisesta

9.1.2017 | 16

Yleistä 27799-standardista

• 27799 ei ole itsenäinen standardi– Sitä pitää käyttää yhdessä 27002-standardin

kanssa• 27799 tarkentaa 27002-standardia erityisesti

sellaisissa tilanteissa, joissa 27002 antaa mahdollisuuden erilaisiin toimintatapoihin

• 27799 ohjeistaa, kuinka 27002-standardia sovelletaan erityisesti terveydenhuollossa

• Rakenteeltaan 27799 on identtinen 27002-standardin kanssa ja niitä voidaan hyvin lukea rinnakkain

9.1.2017 | 17

27799-standardin sisältö• Tietoturvapolitiikat• Tietoturvallisuuden organisointi• Henkilöstöturvallisuus• Suojattavan omaisuuden hallinta• Pääsynhallinta• Salaus• Fyysinen turvallisuus ja ympäristön turvallisuus• Käyttöturvallisuus• Viestintäturvallisuus• Järjestelmien hankkiminen ja kehittäminen• Suhteet toimittajiin• Tietoturvahäiriöiden hallinta• Liiketoiminnan jatkuvuuden hallinta• Vaatimustenmukaisuus

9.1.2017 | 18

Hallintakeinot

• 14 pääkohtaa• 35 pääturvallisuusluokkaa

– Tavoite– hallintokeinot

• 114 hallintakeinoa– Kuvaus toteuttamisohjeet

9.1.2017 | 19

Esimerkki hallintakeinoista -

Järjestelmien hankkiminen

• Tavoite: Varmistaa, että tietoturvallisuus on olennainen osa tietojärjestelmiä koko niiden elinkaaren ajan. Tähän sisältyvät myös palveluita julkisten verkkojen välityksellä tarjoavia tietojärjestelmiä koskevat turvallisuusvaatimukset

9.1.2017 | 20

Tietoturvavaatimusten analysointi ja määrittely

• Hallintakeino– Sovelletaan standardin ISO/IEC 27002:2013

kohtaa 14.1.1• Toteuttamisohjeet

– Sovelletaan standardin ISO/IEC 27002:2013 kohtaa 14.1.1

• Terveydenhuoltoa koskevat toteuttamisohjeet– Ei lisäohjeistusta koskien terveydenhuollon

tietoturvallisuuden hallintaa

9.1.2017 | 21

Hoidon kohteiden tunnistaminen yksiselitteisesti

• Terveydenhuoltoa koskeva hallintakeino– Henkilökohtaisia terveystietoja käsittelevien

terveystietojärjestelmien on• varmistettava, että kukin hoidon kohde voidaan

tunnistaa yksiselitteisesti järjestelmän sisällä• kyettävä yhdistämään identtiset tai useat

tallenteet, jos määritetään, että samalle hoidon kohteelle on vahingossa tai hätätilanteessa luotu useampia tallenteita

9.1.2017 | 22

Hoidon kohteiden tunnistaminen yksiselitteisesti

• Terveydenhuoltoa koskevat toteuttamisohjeet– Ensihoitoa annettaessa tai muissa tilanteissa, joissa hoidon

kohteita ei ole välttämättä kyetty tunnistamaan, syntyy väistämättä useampia tallenteita samalle potilaalle. Jokaisessa terveystietojärjestelmässä on oltava jonkinlainen mahdollisuus yhdistää useampia samaa potilasta koskevia tallenteita yhdeksi tallenteeksi. Tällainen yhdistäminen vaatii erityistä huolellisuutta, joten tehtävään koulutetun henkilöstön on suoritettava se. Alkuperäisissä tallenteissa olevien tietojen yhdistäminen yhdeksi kokonaisuudeksi saattaa myös vaatia teknisiä työkaluja.

– Henkilökohtaisia terveystietoja käsittelevien organisaatioiden olisi varmistettava, että dataa, josta henkilöllisyys voidaan selvittää, säilytetään vain tarpeen mukaan, ja että poistamis-, anonymisointi- ja pseudonymisointitekniikoita käytetään asianmukaisesti siten, että henkilötietojen tahattoman paljastumisen riski on mahdollisimman pieni

9.1.2017 | 23

Sovelluspalveluiden suojaaminen julkisissa verkoissa

• Hallintakeino– Sovelletaan standardin ISO/IEC 27002:2013 kohtaa 14.1.2

• Toteuttamisohjeet– Sovelletaan standardin ISO/IEC 27002:2013 kohtaa 14.1.2

• Terveydenhuoltoa koskevat toteuttamisohjeet– Standardissa ISO/IEC 27002 esitetyn ohjeistuksen lisäksi on tärkeää

ottaa huomioon huolellisuus, jota on noudatettava määritettäessä, sisältyykö sähköiseen kaupankäyntiin tai verkkoasiointiin liittyvään dataan henkilökohtaisia terveystietoja. Jos sisältyy, tätä tietoa pitää suojata asianmukaisesti. Terveydenhuollossa tämä koskee erityisesti laskutukseen, korvaushakemuksiin, hankintoihin ja muuhun verkkokaupankäyntiin liittyvää dataa, josta henkilöllisyys voidaan päätellä

• Lisätiedot– Sovelletaan standardin ISO/IEC 27002:2013 kohtaa 14.1.2.

9.1.2017 | 24

Samat esimerkit 27002-standardissa 1

• Hallintakeino– Tietoturvallisuuteen liittyvät vaatimukset olisi sisällytettävä uusia tai

parannettavia tietojärjestelmiä koskeviin vaatimuksiin

• Toteuttamisohjeet– Tietoturvavaatimukset olisi yksilöitävä erilaisilla menetelmillä, kuten johtamalla

vaatimustenmukaisuusvaatimukset poliitikoista ja säännöksistä, uhkanmallinnuksella, häiriökatselmuksilla tai käyttämällä haavoittuvuuskynnyksiä. Yksilöinnin tulokset olisi dokumentoitava ja kaikkien sidosryhmien olisi katselmoitava ne.

– Tietoturvavaatimusten ja -hallintakeinojen olisi kuvastettava tiedon liiketoiminnallista arvoa (ks. kohta 8.2) ja puutteellisen turvallisuuden liiketoiminnalle aiheuttamaa mahdollista vahinkoa.

– Tietoturvavaatimusten ja niihin liittyvien prosessien yksilöinti ja hallinta olisi integroitava osaksi tietojärjestelmäprojektien alkuvaiheita. Alkuvaiheessa suoritettu tietoturvavaatimusten selvittäminen, esim. suunnitteluvaiheessa, voi johtaa vaikuttavampiin ja kustannustehokkaampiin ratkaisuihin.

9.1.2017 | 25

Samat esimerkit 27002-standardissa 2

• Hallintakeino– Julkisten verkkojen kautta siirrettävää sovelluspalveluihin kuuluvaa tietoa olisi suojattava vilpilliseltä

ja sopimuksen vastaiselta toiminnalta ja luvattomalta paljastumiselta ja muuttamiselta.

• ToteuttamisohjeetJulkisten verkkojen kautta kulkevien sovellusten tietoturvallisuudessa olisi otettava huomioon seuraavat asiat:a) minkä tasoista luottamusta toisen väitettyyn henkilöllisyyteen kumpikin puoli edellyttää esim.

todennuskeinoinb) valtuutusprosessit, jotka määrittävät, kuka voi hyväksyä liiketoimiin liittyvien avainasiakirjojen sisällöt tai

kuka voi julkaista tai allekirjoittaa nec) varmistus, että viestintäkumppanit ovat täysin tietoisia valtuuksistaan käyttää palveluad) vaatimusten määrittäminen toimituksen luottamuksellisuudelle, eheydelle, avainasiakirjojen lähetyksen ja

vastaanoton kuittaamiselle ja sopimuksen kiistämättömyydelle, esim. tarjous- ja sopimusprosesseissa, ja näiden vaatimusten täyttäminen

e) avainasiakirjojen eheydeltä edellytettävä luotettavuustasof) mahdollisen luottamuksellisen tiedon suojausvaatimuksetg) tilausten, maksutietojen, toimitusosoitteiden ja toimitusten kuittauksen eheys ja luottamuksellisuus

h) .

9.1.2017 | 26

Toteuttamisohjeet (jatkuu)

h) asianmukainen asiakkaan esittämien maksutietojen todentamisen tasoi) sopivimman maksukeinon valitseminen, jotta voidaan ehkäistä vilppiäj) suojaustaso, jota tilaustietojen luottamuksellisuuden ja eheyden ylläpito edellyttääk) kauppaa koskevien tietojen häviämisen tai kopioinnin välttäminenl) mahdollisiin vilpillisiin tapahtumiin liittyvä vahinkovastuum) vakuutusvaatimukset

9.1.2017 | 27

Standardin käyttö lakisääteisten velvoitteiden toteutuksessa

• Asiakastietolaki ei edellytä 27799-standardin käyttöä terveydenhuollon omavalvontasuunnitelmaa tehtäessä– Sama lopputulos voidaan saavuttaa myös

muilla tavoilla• Standardi muodostaa kuitenkin hyvän rungon

ja pohjan suunnitelmalle– Valmis pohja suunnitelmalle– Kaikki olennaiset asiat mukana– Helppo tarkastaa

9.1.2017 | 28

Terveystietojen turvallisuuteen kohdistuvia uhkia 1

• Sisältä peräisin oleva tekeytyminen• Palveluntuottajalta peräisin oleva tekeytyminen• Ulkoa peräisin oleva tekeytyminen• Terveystietosovelluksen luvaton käyttö• Vahingoittavan tai häiritsevän ohjelmiston lataaminen• Järjestelmäresurssien väärinkäyttö• Viestintäverkkoon tunkeutuminen• Viestinnän sieppaaminen• Kiistäminen• Verkkovirheet (sisältäen terveydenhuollon tietoverkkojen

vikaantumiset)• Haittaohjelmien upottaminen• Tahaton väärin reitittäminen• Isäntäkoneen, tietovaraston tai verkkoinfrastruktuurin tekninen

vikaantuminen

9.1.2017 | 29

Terveystietojen turvallisuuteen kohdistuvia uhkia 2

• Ympäristöstä johtuvat vikaantumiset• Järjestelmä- tai verkko-ohjelmiston vikaantuminen• Sovellusohjelmiston vikaantuminen• Käyttövirheet• Ylläpitovirhe• Käyttäjävirhe• Henkilöstövajaus• Sisältäpäin tehty varkaus • Ulkoapäin tehty varkaus• Sisältäpäin tehty tahallinen vahingonteko• Ulkoapäin tehty tahallinen vahingonteko• Terrorismi

9.1.2017 | 30

Näkökulmia standardisointiin

• 27799-standardin käyttö varmistaa sen, että kaikki terveydenhuollon tietoturvaan liittyvät asiat otetaan huomioon ja ne on esitetty yhdenmukaisella tavalla

• Suunnitelma varmistaa sen, että kaikki osaavat toimia oikein eri tilanteissa

• Valmis suunnitelma säästää aikaa erilaisissa tilanteissa

• Järjestelmä sitoo yhdenmukaiseen toimintatapaan

9.1.2017 | 31