Terveydenhuollon tietoturvan nykytilaa ja ajankohtaisia haasteita - kyselyraportti -

Transkriptio

1 Terveydenhuollon tietoturvan nykytilaa ja ajankohtaisia haasteita - kyselyraportti -

2 Johdon ja tietohallinnon edustajat näkevät haasteet suurempina kuin käyttäjät. Erityisesti julkisella sektorilla johto käsittelee tietoturvateemaa laajemmin ja käytännön työssä olevilla fokus on arkipäivän haasteissa. Tiivistelmä Selvitimme terveydenhuollon alan tietoturvan nykytilaa ja ajankohtaisia haasteita Suomessa. Kartoitus toteutettiin puhelinhaastatteluina joulukuussa 2015 ja tammikuussa Haastatteluja toteutettiin 60. Haastateltavista 58% edusti julkista sektoria ja 42% edusti yksityistä sektoria. Lähestulkoon kaikki kyselyyn vastanneista kokivat tietoturvateeman kiinnostavaksi ja ajankohtaiseksi. Tietoturvan lisäksi tietosuoja nousi esiin kaikissa keskusteluissa. Tietoturva muodostuu toimenpiteistä, joiden tarkoituksena on varmistaa tiedon saatavuus, eheys ja käytettävyys sekä tietojen salassapito ja tietojen rajatut käyttäoikeudet. Tietosuoja puolestaan tarkoittaa henkilötietojen turvallista käsittelyä siten, ettei henkilöiden yksityisyyden suojaa tai oikeusturvaa vaaranneta. Suurimpia haastealueita tällä hetkellä ovat: budjettivalmius maksaa korvauksia mobiililaitteiden suojaus reagointivalmius tietovuototapauksessa sähköinen arkistointi. Haasteet painottuvat eri tavalla eri rooleissa. Huolimatta siitä, missä tehtävissä haastateltavat toimivat, inhimillinen tekijä tietoturvariskinä nousi esiin hyvin monessa keskustelussa. Tietoturvavalmiuksien lisääminen työyhteisössä koettiin tarpeen. Pyysimme myös haastateltavat arvioimaan kolmen haastealueiden nykytilaa; mobiilitietoturvaa, roolipohjaista kirjautumista ja lokitietojen hallintaa. Kaikissa on pitkä matka edelläkävijä-aseman saavuttamiseksi. Eniten kehitettävää on lokitietojen hallinnassa, tämän jälkeen mobiilitietoturvassa ja roolipohjaisessa kirjautumisessa. Erot ovat kuitenkin pieniä. Yhteenvetona voi sanoa että tietoturva ja tietosuoja puhuttavat läpi organisaatioiden - siivoojasta ylimpään johtoon - sekä asiakkaisiin. Eniten puhuttaa potilastietojen suojaamiseen, luovutukseen ja jakamiseen liittyvät teemat.

3 Tetoturvan ja tietosuojan laadukas toteuttaminen on erityisen tärkeää terveydenhuollossa, jossa hyvä hoito edellyttää luottamuksellista hoitosuhdetta. Arkaluontoisia potilastietoja pitää suojata niin, etteivät ulkopuoliset pääse niihin käsiksi, samalla varmistaen,että tiedot ovat heti käytettävissä kun asianomaiset niitä tarvitsevat. Kyselymme osoittaa, että tasokkaan tietoturvan toteuttamisessa riittää haasteita. Ei pelkästään tekniikan osalta, vaan myös henkilökunnan perehdyttämisessä. En edes tiedä mikä on toimintamalli, jos minulta häviää (mobiili)laitteita, kuten yksi vastaajista sanoi. On ymmärrettävää, että tietoturvan toteuttaminen voidaan kokea vaikeaksi. Ohjeistuksia uudistetaan terveydenhuollon alalla jatkuvasti ja organisaatioiden pitää huolehtia siitä, että ohjeista ollaan tietoisia ja että niitä noudatetaan läpi linjan. Hyvä asia on se, että tietoturvan ja -suojan tärkeydestä ollaan hyvin tietoisia ja että niihin panostetaan. Lisäämällä tiedotusta ja koulutusta voitetaan monet haasteet, sillä tietoturva ei ole pelkkä it-asia moneen otteeseen on osoitettu, että ihmillinen tekijä on suurin riski. Kiitämme kaikkia kyselyyn vastanneita! Tietoturvallista työskentelyä toivottaen, Karin Bienek Myyntijohtaja Pedab Finland Oy

4 Vastaajien profiili N = 60

5 1. Mikä terveydenhuollon tietoturvassa puhututtaa tällä hetkellä eniten? Miksi? Potilastietojen suojaus, tietojen siirtäminen, luvat ja oikeudet puhututtavat ylivoimaisesti eniten. 37% maininnoista koskee tätä teemaa, erityisesti painottuen julkiseen sektoriin ja on kaikissa rooleissa eniten puhuttava teema. Eri järjestelmien toimimattomuus keskenään ja yli toimialarajojen on myös aktiivisesti keskusteluissa; 12% maininnoista. Tämä asia korostuu erityisesti hallinto-roolin vastauksissa. Hankalakäyttöisyys ja hitaus puhuttaa myös, 11% maininnoista. Korostuu yksityisellä sektorilla ja käyttäjien keskuudessa. Perehdytys ja henkilökunnan kouluttaminen, 9%. Pilvipalvelut, cyber, 7%, liki kaikki maininnat IT/ICT edustajilta. Potilaan hoito kärsii, kun ei voida avoimesti välittää tietoa. Myöskään järjestelmä ei tue tiedonsiirtymistä riittävästi. Tiukka lainsäädäntö, 7%, korostuu IT/ICT roolin vastauksissa Hakkerointi, 5%, korostuu Hallinto-ja IT/ICT roolin vastauksissa

6 2. Mitkä ovat suurimmat tietoturva-haasteet? Julkinen sektori pitää haasteita suurempina kuin yksityisen sektorin edustajat:

7 3. Millä organisaatiotasolla tietoturvakeskustelua käydään? Ketkä osallistuvat keskusteluun? 4. Kuka viimekädessä vastaa tietoturva-asioista organisaatiossanne / sairaanhoitopiirissänne? 60% vastaajista sanoo, että tietoturvasta käydään keskustelua läpi organisaation. Tietoturva on vahvasti johdon agendalla ja sitoutuneisuus tietoturva-asioihin korostuu. Tietohallinto on myös edustettuna maininnoissa Yksityisellä sektorilla 50% vastuu on tietohallinnossa, loput vastuut jakautuvat näille: Johtava lääkäri Johtoryhmä, toimitusjohtaja, ylin johto Palvelu-, laatujohtaja Talousjohtaja. Julkisella sektorilla myös 50% vastuu on tietohallinnossa, lisäksi 8% turva- ja turvallisuuspäälliköillä, loput vastuut Jakautuvat näille: Hallitus, toimitusjohtaja, hallintojohtaja, ylin johto Ylilääkäri, johtava lääkäri Muut: Kuntayhtymän johtaja, Sote-johtaja, arkistotoimen johtaja, arkistopäällikkö

8 5. Miten hyvät toimintamallit ja -ohjeistukset teillä on mahdollisten tietovuotojen varalta? 55% vastaajista sanoo, että heillä on olemassa toimivat ohjeet mahdollisten tietovuotojen varalta. -> 37% korosti, että ohjeita on vaikea löytää. -> 37% kertoi, että toiminta pohjaa jatkuvaan kouluttamiseen ja perehdyttämiseen. 35% vastaajista sanoo, että toimintaohjeet löytyy, mutta niissä on parannettavaa. Jos joku tietovuoto olisi, en tiedä mitä pitäisi tehdä. 11% vastaajista sanoo, että toimintaohjeita ei ole tai niiden pohjalta ei osata toimia. -> 10% korosti turvapäällikön tai turvaihmisten roolia, jotka neuvovat ongelmatilanteissa

9 6. Kolmen haasteen nykytila Haaste 1: Mobiilitietoturva Nykyaikainen mobiilitietoturva suojaa älypuhelimen tietoja tilanteissa, joissa laite häviää, varastetaan, siihen iskee virus tai se joutuu vakoilun kohteeksi. Päivitykset hoidetaan automaattisesti, hallinta ja valvonta keskitetysti. Haaste 2: Roolipohjainen kirjautuminen Roolipohjainen kirjautumisessa käyttöoikeuksia haetaan, myönnetään tai poistetaan kerralla (nopeasti ja hallitusti) roolien avulla sen sijaan, että oikeuksia hallittaisiin yksittäisinä. Haaste 3: Lokitietojen hallinta. Nykyaikainen lokitietojen valvonta ja seuranta on automatisoitua järjestelmä hälyttää asetettujen ehtojen täyttyessä. Manuaalisen työn määrä ja samalla virheet käsittelyssä vähenevät.

10 Vastaajat kuvaavat olevansa pisimmällä Roolipohjaisen kirjautumisen saralla (3,73) Seuraavana tulee Mobiilitietoturva (3,52) Eniten tehtävää on Lokitietojen hallinnan kanssa (3,26) Erot haasteiden välillä ovat hyvin pieniä. Yleisesti voidaan sanoa, että kaikilla kolmella osaalueella on paljon tehtävää, jotta ylletään edelläkävijäksi.

11 Kysy meiltä lisää! Autamme mielellämme kaikissa tietoturvaan liittyvissä kysymyksissä! Karin Bienek, myyntijohtaja Pedab Finland Oy Tel Mobile Sähköposti: