Tietoturvapolitiikka. Tietoturvakäytännön toimintaperiaatteet ja ohjeisto

Transkriptio

1 Tietoturvapolitiikka Tietoturvakäytännön toimintaperiaatteet ja ohjeisto

2 Sisällysluettelo TIETOTURVAPOLITIIKKA Johdanto Yleistä Tavoite Vaatimuksenmukaisuus Tarkoitus Suojattavat kohteet Tietoturvallisuuden perustason määrittely Tärkeimmät hallinnolliset tietoturvatoimet Tärkeimmät teknisluontoiset tietoturvatoimet Valtuudet ja vastuut Tarkemmat ohjeet Soveltaminen /8

3 3/8 TIETOTURVAPOLITIIKKA 1 Johdanto 1.1 Yleistä 1.2 Tavoite Kanta-Hämeen sairaanhoitopiirin kuntayhtymän (jatkossa K-HSHP ky.) tehtävänä ensisijaisesti on potilaille annettava hoito. Tämän tehtävän suorittaminen edellyttää kuitenkin useita tukevia toimintoja. Eräs näistä on potilastietojen käsittely. Tutkimusten ja hoidon yhteydessä tarvitaan erilaisia tietoja potilaiden tilasta ja aikaisemmasta hoidosta. Samassa yhteydessä syntyy myös uutta tietoa, kun kokeiden tuloksia, havaintoja ja tietoja annetusta hoidosta talletetaan myöhempää käyttöä varten. Hoidon dokumentointi on K-HSHP ky:n lakisääteinen velvollisuus ja olemassa olevan tiedon hyödyntäminen puolestaan hyvän hoidon edellytys. Luottamus K-HSHP ky:n ja potilaan välillä on ehdoton edellytys toimivalle hoitoprosessille. Mikäli potilas ei luota K-HSHP ky:ään, hän saattaa jättää hoidon kannalta olennaisia tietoja kertomatta tai ei lainkaan tule hoitoon. Osa tästä luottamusvaatimuksesta kohdistuu potilaan tietoihin ja niiden asianmukaiseen käsittelyyn. Tietoturvan ensisijainen tarkoitus on varmistaa tietojen asianmukainen käsittely K-HSHP ky:ssä. Päivittäisessä työssä tämä tarkoittaa pääasiassa sitä, että tietoja voivat käyttää ainoastaan niitä työssään tarvitsemat henkilöt, mutta järjestelmiä suunniteltaessa on otettava huomioon myös järjestelmille asetettavat käytettävyysvaatimukset sekä tiedon muuttumattomuuden turvaaminen. Liittyessään kansalliseen potilastietoarkistoon ja reseptikeskukseen K- HSHP ky. sitoutuu noudattamaan yhteisiä vaatimuksia. Koska tietoja voidaan siirtää K-HSHP ky:n rajojen yli, on kaikkien osapuolien voitava luottaa toisiinsa. K-HSHP ky:n tietoja ei saa luovuttaa arkistosta kolmannelle osapuolelle, joka ei ole sitoutunut noudattamaan yhteisiä vaatimuksia. Tietoja käsitellään K-HSHP ky:ssä niin, että kaikki osapuolet voivat luottaa käsittelyn asianmukaisuuteen. Samalla turvataan ensisijaisen tehtävän mahdollisimman sujuva ja häiriötön toiminta. Tietoturvallisuus ei saa estää tai haitata potilaiden hoitoa, mutta samalla potilaan tahtoa tietojensa käsittelystä on kunnioitettava. Tämän päämäärän saavuttamiseksi : kaikkien tietoa käsittelevien henkilöiden on ymmärrettävä tietojen käsittelyn periaatteet: mitä tietoa saa käsitellä, missä tarkoituksessa tietoa saa käsitellä, milloin tietoa saa käsitellä sekä ymmärtää ja hyväksyä potilaan halu ja oikeus tietyissä tilanteissa kieltää tietojensa käsittely Käyttäjien, ylläpitäjien ja johdon tietoturvatietoisuus on oltava hyvä. Kaikki ymmärtävät oman merkityksensä sekä tehtävänsä ja velvollisuutensa tietoturvallisuuden ylläpidossa. Tietoturvaa toteutetaan kaikilla tasoilla siten, että tietoturva on mukana kaikessa toiminnassa.

4 4/8 Tietojen luottamuksellisuuden, eheyden ja saatavuuden vaatimus toteutuu kaikessa tietojenkäsittelyssä ja se mahdollistaa tietoturvallisen asioinnin ja tietojen käytön. Tietoturvallisuuden vaatimukset otetaan huomioon kaikessa kehittämistoiminnassa. Tietoturvallinen toimintatapa on sisäänrakennettuna K-HSHP ky:ssä, toimintaprosesseissa ja tietojärjestelmissä niin, että helpoin ja luontevin tapa tehdä jokin asia on myös tietoturvallisuuden kannalta paras. 1.3 Vaatimuksenmukaisuus 1.4 Tarkoitus 1.5 Suojattavat kohteet K-HSHP ky:n tietojenkäsittelyn ja sen turvaamisen periaatteet noudattavat kansallisia ja kansainvälisiä tietoturvallisuutta koskevia säädöksiä, standardeja, terveydenhuollon auditointivaatimuksia ja suosituksia. Näistä keskeisimpiä ovat henkilötietolaki, julkisuuslaki, laki potilaan asemasta ja oikeuksista, laki potilastietojen sähköisestä käsittelystä sekä Euroopan unionin tietosuojadirektiivi. Kaikessa toiminnassa noudatetaan hyvää tietojenkäsittelytapaa, velvoitteita ja sopimuksia. Tietoturvaratkaisujen tulee noudattaa myös taloudellisia realiteetteja, eivätkä ne saa vaikeuttaa merkittävästi tietojärjestelmien hyötykäyttöä ja asiakaspalvelua Tietoturvatoimilla estetään tietojen luvaton käyttö ja haltuunotto. Suurin osa K-HSHP ky:ssä käsiteltävästä tiedosta on luottamuksellista, arkaluonteista sekä salassa pidettävää ja voi paljastuttuaan rikkoa yksityisyyden suojaa. Tietoturvatoiminnan tavoitteena on vastata siitä, että tieto on oikeaan aikaan, oikeassa paikassa ja oikean muotoisena niiden henkilöiden käytettävissä, joilla on siihen laillinen tai työtehtävänsä vaatima valtuutus. Tietoturvatoimilla vähennetään ja ennaltaehkäistään tietoturvariskien syntyminen, varmistetaan tietojen saatavuus poikkeuksellisissa olosuhteissa, toiminnan jatkuvuus, asiakkaiden oikeusturva ja yksityisyyden suoja lainsäädännön ja muiden määräysten edellyttämällä tavalla, tietojen oikeellisuus ja luotettavuus sekä se, että asianosaiset ovat tiedostaneet tietoturvan merkityksen. Varsinaisen toiminnan lisäksi sekä arkistotoimella että tietohallinnolla on yhteisenä tavoitteena tietojen saatavuuden ja käytettävyyden turvaaminen. Tiedon käytettävyydellä ja saatavuudella tarkoitetaan, että tieto on tallennettu siten ja sellaisessa muodossa, että se on luettavissa, ymmärrettävissä, tulkittavissa oikein, kattava, ajantasainen, oikeellinen ja muuten käyttökelpoinen vaadittavalla tavalla ja helppokäyttöisesti ilman tulkinta- ja väärinkäyttömahdollisuutta. Tiedon, tietojärjestelmän ja palvelun on oltava saatavilla ja hyödynnettävissä siihen oikeutetuille riittävän esteettömästi, vaivattomasti ja nopeasti vaaditulla tavalla ja vaadittuna aikana. Turvattavia tietoja ovat sekä manuaalisessa että sähköisessä muodossa olevat tiedot. Tarkat tietojen suojelu- ja tietoturvaluokitukset on esitetty K-HSHP ky:n asiakirjahallinnan ja tietoturvasuunnitelmissa. Erityistä huomiota kiinnitetään K-HSHP ky:n toiminnan kannalta kriittisiin tietojärjestelmiin ja niiden sisältämiin tietoihin. Kriittisiä tietojärjestelmiä ovat

5 5/8 potilastieto- ja potilastietojen hallintajärjestelmät sekä talous- ja henkilöstöhallinnon ohjelmat. Tietojen turvaamisen kannalta erityisen tärkeitä ovat väestörekisteri, potilastietorekisterit, hoitoilmoitusrekisteri sekä muut terveydenhuollon valtakunnalliset rekisterit. Em. tietojärjestelmät kuuluvat samaan tietoturvaluokkaan ja niiden turvaamisesta vastataan yhdenmukaisin menettelyin. Tiedot, tietojenkäsittelyjärjestelmät ja -palvelut pidetään asianmutkaisesti suojattuina sekä normaali- että poikkeusoloissa hallinnollisten, teknisten ja muiden toimenpiteiden avulla. Jokaisella tietojärjestelmällä tai sen osalla on oltava yksikäsitteinen omistaja/haltija. Tietoturvallisuuden toteuttamista ohjaavat dokumentit ovat vahvistettuja ja asianomaisten kohderyhmien saatavissa 2 Tietoturvallisuuden perustason määrittely 2.1 Tärkeimmät hallinnolliset tietoturvatoimet Tietoturvallisuus on laaja toiminnallinen kokonaisuus, jonka keskeisimmät turvallisuustekijät liittyvät ihmisten toimintaan. Tietoturvallisuuden vaikutukset ulottuvat koko K-HSHP ky:ään ja sen ylläpitäminen on jatkuva prosessi, jota toteutetaan hallinnollisten, fyysisten ja teknisten ratkaisujen avulla. Käyttäjien toimintaa ohjataan niihin sisältyvillä käyttösäännöillä ja toiminta-ohjeilla sekä tietoturvakoulutuksella. Hyväksytyn tietoturvapolitiikan mukaiset tietoturvatoimet tulee sisällyttää luonnollisena osana kaikkeen toimintaan. Tietoturvan kehittäminen ja ylläpito ovat osa K-HSHP ky:n yleistä turvallisuustoimintaa, riskien hallintaa ja sisäistä valvontaa. Tietoturva on terveydenhuollon kriittinen tekijä, koska potilaan on luotettava ehdottomasti tietojensa tietosuojaan. Tämä luottamus on hoidon kulmakivi. K-HSHP ky:n tietoturvallisuustyön tulee luoda potilaille ja henkilöstölle luottamus siitä, että salassapito- ja vaitiolovelvollisuus sekä yksityisyyden suoja toteutuvat säädösten mukaisesti. Lisäksi heidän tietojaan käsitellään kaikissa vaiheissa huolella ja asianmukaisesti. K-HSHP ky:n toiminnalle tärkeiden tietojärjestelmien ja tietoverkkojen keskeytymätön toiminta turvataan ja estetään tietojen ja tietojärjestelmien joutuminen ulkopuolisille. Tietojen ja tietojärjestelmien valtuudeton käyttö ja tahaton tai tahallinen tiedon tuhoutuminen tai vääristyminen estetään sekä minimoidaan aiheutuvat vahingot. Normaaliajan toiminnan tietojenkäsittelyn turvaamisen lisäksi varaudutaan toiminnan keskeyttäviin uhkatilanteisiin ja niistä toipumiseen. Varautuminen on kuvattu K-HSHP:n valmiussuunnitelmassa. Potilaan informointi potilastietojen käytöstä ja laadinnasta hoidetaan lakien ja Kelan laatimien ohjeiden sekä vaatimusten mukaisesti. K-HSHP ky:n tietoturvallisuuden kehittäminen tapahtuu kansallisten ja kansainvälisten tietoturvallisuutta koskevien lakien ja asetusten pohjalta sekä erilaisia tietoturvallisuudesta annettuja ohjeita ja suosituksia noudattaen. K-HSHP ky:n toimintaa ohjaavat mm. tietosuojasäädökset sekä joukko muita lakeja, säädöksiä, ohjeita ja standardeja. Tietoturvallisuutta koskevat määräykset ovat keskeisiä ja velvoittavia. Velvoitteissa korostetaan salassapidon, vaitiolovelvollisuuden ja yksityisyyden suojan

6 6/8 toteutumista sekä tietoturvallisuuden, tietosuojan, hyvän tietojenkäsittelytavan ja laadun merkitystä. Voimassa olevat velvoittavat säädökset on luetteloitu ja niiden vaikutukset tietoturvajärjestelyihin on selvitetty. Lainsäädäntöä ja ohjeistusta tulee seurata jatkuvasti. Muutosten vaikutus on otettava huomioon K- HSHP ky:n tietoturvallisuuden kehittämisessä. K-HSHP ky:n tiedot, tietojenkäsittelyjärjestelmät ja -palvelut pidetään asianmutkaisesti suojattuina sekä normaali- että poikkeusoloissa hallinnollisten, teknisten ja muiden liitteissä kuvattujen toimenpiteiden avulla. Tietoturvariskejä hallitaan erikseen määriteltävän ja kuvattavan riskienhallinta-prosessin avulla. Hyväksyttävän riskitason määrittelee johtoryhmä riskianalyysin tulosten perusteella ja yhteisesti valmisteltujen kriteeristöjen ja mittarien avulla. 2.2 Tärkeimmät teknisluontoiset tietoturvatoimet Toiminnan jatkuvuuden hallintaprosessi tulee toteuttaa onnettomuuksien ja turvallisuushäiriöiden (joita voivat aiheuttaa esim. luonnonmullistukset, onnettomuudet, laiteviat ja ilkivalta) aiheuttamien keskeytysten vähentämiseksi hyväksyttävälle tasolle yhdistämällä ehkäiseviä ja palautumista edistäviä turvamekanismeja. Jatkuvuussuunnitelmia tulee kehittää ja toteuttaa käytännössä varmistamaan, että toimintaprosessit saadaan palautettua toimintaan vaaditussa ajassa. Suunnitelmia tulee pitää yllä ja harjoitella, jotta niistä tulee muiden hallinnollisten prosessien rinnalla integroitunut osa toimintaa. Toiminnan jatkuvuuden hallintaan tulee sisältyä turvamekanismit riskien havaitsemiseen ja vähentämiseen, niillä tulee rajoittaa uhkan mahdollisen toteutumisen aiheuttamia seurauksia ja niillä tulee varmistaa olennaisen tärkeiden toimintojen nopea palautuminen. Toiminnan jatkuvuussuunnitelmia tulee pitää yllä säännöllisin arvioinnein ja päivityksin tehokkuuden säilymisen varmistamiseksi. Kriittisten komponenttien, palvelinten, työasemien, käyttöjärjestelmien sekä ohjelmistojen turvapäivityksiä varten on toimintasuunnitelma. Päivitystarvetta seurataan aktiivisesti ja päivitysten kriittisyys arvioidaan ennakolta, jos mahdollista. Kriittiset päivitykset asennetaan välittömästi viivytyksettä. Turvapäivitysten asennukset keskitetään ja automatisoidaan mahdollisuuksien mukaan. Hätäpäivitykset voidaan suorittaa tarvittaessa dokumentoidusti ohi normaalin prosessin. Käyttöturvallisuudella luodaan ja ylläpidetään tietotekniikan turvallisen käytön vaatimat toimintaolosuhteet huolehtimalla tekniikan toimivuuden valvonnasta, käyttöoikeuksista, käytön ja lokien valvonnasta, ohjelmistotukeen, ylläpito-, kehittämis- ja huoltotoimintoihin liittyvistä turvallisuustoimenpiteistä, varmuus- ja suojakopioinnista sekä häiriöraportoinnista. Lokien muuttumattomuus ja kiistämättömyys tulee taata vaatimustenmukaisesti koko niille määritellyn säilytysajan. Kansalaisen tiedonsaanti lokitiedoista toteutetaan kansallisten määritysten mukaisesti. Käyttölokin osalta julkisuuslain mukaisen valitusprosessin ollessa kesken, lokitietoja ei saa tuhota talletusajan mahdollisesti päättyessä.

7 7/8 Tietohallinto vastaa järjestelmien teknisestä tietoturvasta ja laadusta. Yksiköiden esimiehet päättävät kenelle alaisista käyttöoikeuksia annetaan. Tietohallintojohtaja yhdessä järjestelmän omistajan kanssa päättävät millä tasolla palvelujen saatavuus, käytettävyys ja luotettavuus pidetään, kuka operoi, hallinnoi ja valvoo järjestelemää, kenellä on oikeus tehdä muutoksia jne. sekä päättävät, millä menettelyillä ja valvontamekanismeilla tehtävät suoritetaan. Käyttö- ja pääsyoikeudet on pystyttävä myöntämään ja poistamaan nopeasti. Tietylle henkilölle myönnetyt oikeudet ja tiettyyn tietoon oikeutetut henkilöt on kyettävä selvittämään nopeasti. Järjestelmän omistaja voi tarvittaessa delegoida tehtävän tai osan siitä pääkäyttäjälle. Tietojärjestelmien käyttöoikeudet ja valtuudet anoo ko. käyttäjän esimies ja hakemuksen hyväksymisestä päättää järjestelmän omistaja tai hänen edustajansa. Käyttöoikeuksien ja valtuuksien teknisestä määrittelystä vastaavat nimetyt vastuuhenkilöt Käyttäjätunnukset ovat henkilökohtaisia eikä niitä saa luovuttaa toiselle Käyttäjille määritellään tehtävän mukaiset käyttöoikeudet. Tietoturvapoikkeamista, haitallisista ja toimintaa vaarantavista tapahtumista raportoidaan kaikilla tasoilla viivytyksettä poikkeamien hallintaprosessin mukaisesti. Kaikki merkittävät haitalliset tapahtumat kirjataan tulevien kehittämistoimien perustaksi. Myös ns. läheltä piti tapaukset rekisteröidään. Onnettomuuksien, turvallisuusrikkomusten ja palvelujen keskeytysten seuraukset tulee analysoida. Haitallisista tietoturvatapahtumista kerätään jatkuvasti ajan tasalla olevaa tilannekuvaa yhdyshenkilö-verkoston ja teknisten valvontatietojen avulla. Tilannekuva havainnollistaa tietoturva-poikkeamatilanteen ja niiden aiheuttamat vaikutukset. Se toimii yhtenä perustana riskianalyyseissä tulevien tieto-turvatoimien suunnittelussa ja priorisoinnissa. Fyysisin turvallisuustoimenpitein luodaan ja ylläpidetään tietotekniikan vaatiman käyttöympäristön tilat, laitteet, tiedonsiirto, käyttö toimintaolosuhteet ja suojataan ja valvotaan kiinteistö, sen erikoistilat ja laiteyms. tilat luvattomia tai rikollisia toimia vastaan, onnettomuuksilta ja luonnontuhoilta sekä varmistetaan teknisten järjestelmien toiminta. Viestit ja dokumentit välitetään luokitusten vaatimin salausmenettelyin. Viestinvälityksen tietosuojaa koskevat vaatimukset ja vastuut on määritelty K-HSHP ky:n ja viestinvälitysoperaattorin välisissä sopimuksissa. Palveluja ulkoistettaessa huolehditaan Suomen lainsäädännön ja terveydenhuollon vaatimustenmukaisesta luottamuksellisen aineiston käsittelystä siten, että tiedot eivät voi joutua sivullisten osapuolten käsiin. Tietoturvallisuusmääritykset tarkistetaan ja arvioidaan vähintään vuosittain tai suurten muutosten yhteydessä. Tietoturvallisuuden hallintajärjestelmän ja kehittämissuunnitelman hyödyllisyys ja toimivuus käsitellään johdon katselmoinnissa ja johto päättää tarvittavista laajavaikutteisista muutoksista. Tietoturvallisuuskuvausten teknisestä ylläpidosta tietosuojan osalta vastaa tietosuojavastaava. Kunkin hallinnollisen ja teknisen tietoturvallisuuden osa-alueen tietoturvaperiaatteet on tarkemmin kuvattu liitteessä 2.

8 8/8 3 Valtuudet ja vastuut Käytännön tietoturvatoimia hallinnoidaan ja hoidetaan nimetyn tietoturvaorganisaation toimesta. Toimintaan kuuluvat päivittäisten toimien ohella tietojen turvaamismenettelyjen määrittely ja ylläpito, työhön osoitettujen riittävien resurssien turvaaminen sekä välineistön ja toimenpiteiden turvallisuudesta ja tietoturvaominaisuuksista huolehtiminen. Tietoturvaorganisaatioon kuuluu tietosuojavastaava, tietohallintojohtaja, johtajaylilääkäri ja tietoturvatyöryhmä. Tietoturvatehtävät ja organisointi on kuvattu liitteessä Tarkemmat ohjeet Tietoturvapolitiikassa esitetään yleiset periaatteet, joita K-HSHP ky:ssä tulee noudattaa kaikessa tietojen käsittelyssä. Tarkempi kuvaus tietoturvasta ja sen toteuttamisesta on järjestelmäkohtaisissa tietoturvaohjeissa, valmiussuunnitelmassa, arkistonmuodostussuunnitelmassa ja arkistotoimen ohjeessa. 3.2 Soveltaminen K-HSHP ky:n hallituksen hyväksymä kirjallinen tietoturvapolitiikka annetaan tiedoksi jokaiselle työntekijälle ja tietojärjestelmien käyttäjälle. Tietoturvapolitiikkaa noudatetaan kaikessa toiminnassa ja ne koskevat kaikkia K-HSHP ky:n palveluksessa olevia henkilöitä ja luottamushenkilöstöä. Tietoturvapolitiikkaa noudatetaan myös toiminnassa K-HSHP ky:n ulkopuolisten yhteistyökumppaneiden kanssa. Tietoturvapolitiikka on voimassa toistaiseksi ja voimassaolo jatkuu, ellei sitä nimenomaisesti kumota. Tietoturvallisuuden toteutuminen varmennetaan vuosittain toimintakertomukseen tai sen liitteeseen tulevalla maininnalla suoritetuista toimenpiteistä.