KOKKOLAN KAUPUNKI KARLEBY STAD Tietoturvaohje Sosiaali- ja terveyspalvelut Laatijat Hyväksyjä Tanja Witick, Marjo Meriläinen Tietoturvatyöryhmä 20.10..2009
Kokkolan Sosiaali- ja terveyspalvelut Tietoturvaohje 1 TIETOTURVA...3 1.1 Tietoturvallisuuden tavoitteet...3 1.2 Mitä tietoturvallisuus on käytännössä?...3 1.3 Työntekijän velvollisuus huolehtia tietoturvasta...4 1.4 Lainsäädäntö tietoturvallisuuden perustana...4 2 TIETOJEN KÄSITTELY...5 2.1 Tietojen käyttöoikeus ja huolellisuusvelvollisuus...6 2.2 Lokitiedot...6 2.3 Tietojen hävittäminen...7 2.4 Ilmoitusvelvollisuus ja toiminta ongelmatilanteessa...7 2.5 Seuraamukset...7 3 TIETOTURVA TIETOKONEELLA...8 3.1 Tietokoneen käyttö...8 3.2 Käyttöoikeudet ja salasanat...8 3.3 Tallentaminen ja varmuuskopiointi...9 3.4 Tiedon siirtäminen...10 3.5 Tietojen ja tallennus- /tiedonsiirtovälineen hävittäminen...10 3.6 Internet ja sähköposti...11 3.7 Sähköposti...11 3.8 Internet...13 3.9 Virukset ja virustorjunta...13 3.10 Huolto...14 4 TIETOTURVA MUUSSA TIEDONVÄLITYKSESSÄ...14 4.1 Puhelin...14 4.2 Faksi...15 4.3 Posti...15 4.4 Sisäinen posti...15 4.5 Ulkoinen posti...16 5 TOIMITILOJEN TURVALLISUUS...16 5.1 Työhuone...16 5.2 Vierailut työtiloissa...17 5.3 Kulunvalvonta...17 6 LIIKKUVA TYÖ, ETÄTYÖ JA MATKATYÖ...18 6.1 Liikkuva työ ja mobiililaitteet...18 6.2 Etätyö ja etäkäyttö...19 6.3 Matkatyö...20 7 TIETOISKU KOTIKONEEN TIETOTURVASTA...20 8 MISTÄ SAA LISÄTIETOJA?...21 9 TIETOTURVAOHJEIDEN YLLÄPITO...22 2
3 1 TIETOTURVA Tämä tietoturvaohje on tarkoitettu Kokkolan kaupungin sosiaali- ja terveyspalveluiden henkilöstölle, sen toimeksiannosta työskenteleville (esim. palvelutoimittajat) ja sen tietojärjestelmiä tai toimitiloja säännönmukaisesti käyttäville henkilöille (esim. opiskelijat). Ohjeeseen on koottu keskeisimmät tietoturvallisuuden perusasiat. Se antaa neuvoja tietoturvallisuuden toteuttamiseen omassa työssä ja muissa käytännön tilanteissa. 1.1 Tietoturvallisuuden tavoitteet Tietoturvajärjestelyjen tarkoituksena on, että tiedot, tietojärjestelmät ja palvelut saavat asianmukaista suojaa niin, että niiden luottamuksellisuuteen, eheyteen ja käytettävyyteen liittyvät riskit ovat hallinnassa. Tietoturvallisuus on osa sosiaali- ja terveystoimen kokonaisturvallisuutta ja laatujärjestelmää. Tietoturvatoimenpiteillä turvataan yksilön, yhteisön ja yhteiskunnan etuja. Tietoturvallisuus on yhteiskunnan toimintojen, palvelujen, sovellusten ja tietoteknisen infrastruktuurin perusedellytys. Yhteiskunnan toiminnot ovat suurelta osin riippuvaisia tietojen käsittelystä ja siirrosta. Verkottuneessa toimintaympäristössä harva organisaatio on enää vastuussa yksinomaan omasta tietoturvallisuudestaan. 1.2 Mitä tietoturvallisuus on käytännössä? Tietoturva kattaa kaikki sosiaali- ja terveyspalveluiden tietojenkäsittelytehtävät sisältäen myös toimistotyön ja siihen sisältyvän arkistoinnin. Tietoturvatoimet koskevat sähköisessä, puhutussa ja kirjallisessa muodossa olevan tiedon käsittelyä, luovutusta, siirtoa ja säilytystä. Käytännössä tämä merkitsee mm. sitä, että osa tiedoista ja tietojärjestelmistä pidetään vain niiden käyttöön oikeutettujen saatavilla. Tällöin sivullisille ei anneta mahdollisuutta käsitellä, muuttaa tai poistaa tietoja. Tietojen käsittelyyn oikeutetutkin saavat käyttää tietoja ja järjestelmiä vain asianmukaisesti työtehtävissään. Tietojen, järjestelmien ja palveluiden on oltava luotettavia, oikeita ja ajantasaisia. Ne eivät saa paljastua, muuttua tai tuhoutua hallitsemattomasti
4 asiattoman toiminnan, haittaohjelmien, laitteisto- tai ohjelmistovikojen tai muidenkaan vahinkojen ja tapahtumien seurauksena. Tietojen, järjestelmien ja palveluiden on myös pysyttävä toiminnassa ja oltava saatavilla silloin kun niitä tarvitaan sekä normaalioloissa että uhka- ja poikkeustilanteissa ja niistä toivuttaessa. Sähköisen asioinnin yleistyttyä on lisäksi entisestään korostunut vaatimus, että asioinnin osapuolet tunnistetaan luotettavasti ja että asiointitapahtumien olemassaolo ja sisältö voidaan jälkikäteenkin todistaa. 1.3 Työntekijän velvollisuus huolehtia tietoturvasta Tietoturvallisuus perustuu lainsäädäntöön ja tietoturvallisuudesta huolehtiminen ja siihen liittyvä osaaminen on jokaisen organisaatiossa työskentelevän velvollisuus. Suurimmat tietoturvallisuuden ongelmat liittyvät yleisesti kiireeseen, huolimattomuuteen, osaamattomuuteen ja muihin tietojärjestelmien toteutuksen ja käytön laadullisiin tekijöihin. Tietoturvallisuus on juuri niin hyvä kuin sen heikoin lenkki, ei siis vain tekniikka vaan myös jokapäiväiset toimintatapamme ja asenteemme. Puutteellinen tietoturvallisuus vaarantaa valtion, kansalaisten, yhteisöjen ja asiakkaiden etuja sekä aiheuttaa lisätyötä ja -kustannuksia. Tietoturvallisuutta kehittämällä parannetaan toimintojen luotettavuutta ja jatkuvuutta. 1.4 Lainsäädäntö tietoturvallisuuden perustana Julkishallinnossa käsitellään runsaasti sekä julkista että salassa pidettävää tietoa. Suomen lainsäädännössä on laajasti tietoturvavelvoitteita ja tietoturvallisuus perustuu viranomaisten toiminnan julkisuudesta annetun lain ja asetuksen lisäksi useisiin muihinkin lakeihin. Yksityiselämän suoja ja julkisuusperiaate ovat jo perustuslaissa säädeltyjä perusoikeuksia. Julkisuuslainsäädännön mukaan tieto on julkista, ellei se julkisuuslain tai muiden säädösten perusteella ole salassa pidettävää. Tietojen lainmukaisesta käsittelystä on aina huolehdittava. Viranomaisen tulee hyvän tiedonhallintatavan luomiseksi ja toteuttamiseksi huolehtia asiakirjojen ja tietojärjestelmien sekä niihin sisältyvien tietojen asianmukaisesta saatavuudesta, käytettävyydestä ja suojaamisesta sekä eheydestä ja muista tietojen laatuun vaikuttavista tekijöistä. (Laki viranomaisten toiminnan julkisuudesta 18, Hyvä tiedonhallintatapa)
5 Rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. (Henkilötietolaki 32, Tietojen suojaaminen). 2 TIETOJEN KÄSITTELY Asiankirjahallinto tarkoittaa organisaation toimintaprosesseihin sisältyvien asioiden ja asiakirjojen käsittelyn ohjaamista niiden koko elinkaaren ajan. Asiakirjahallinto pyrkii tehostamaan asioiden valmistelua, käsittelyä, päätöksentekoa, julkaisemista ja arkistointia sekä asiakirjamuodossa olevien tietojen (asiakirjalliset tiedot) hallintaa. Asiakirjalliset tiedot ovat osa organisaation pääomaa, jolloin niiden laatuvaatimukset on turvattava, käsittelykäytännöt suunniteltava huolellisesti ja suojaaminen varmistettava. Asiakirjallisten tietojen laatuun liittyviä vaatimuksia ovat alkuperäisyyden, eheyden, luotettavuuden ja käytettävyyden takaaminen. Tiedolla tarkoitetaan eri muodoissa tallennettavaa, käsiteltävää tai siirrettävää tietoa. Tieto voi olla esimerkiksi yksittäisessä asiakirjassa, puheessa, sähköposti- tai tekstiviestissä, tietokannassa, tietokoneen tai matkapuhelimen muistissa, ääni- tai kuvanauhassa tai vaikkapa yksittäisen ihmisen muistissa. Tietoa on tarkasteltava tiedon koko elinkaaren ajalla, jolloin tietoturvanäkökulmasta merkittäviä käsittelyvaiheita ovat mm. tiedon luominen, käyttäminen, muuttaminen, tallettaminen, siirtäminen, jakelu, kopioiminen, arkistointi ja hävittäminen. Tietoja käsiteltäessä tulee huomioida, että käsiteltävät tiedot ovat usein merkittävästi arvokkaampia kuin tietojen käsittelyyn mahdollisesti liittyvä tekninen väline.
6 2.1 Tietojen käyttöoikeus ja huolellisuusvelvollisuus Selvitä itsellesi tietojen ja asiakirjojen luokittelu ja siihen liittyvät käyttöä, luovutusta ja käsittelyä koskevat säännöt ja rajoitukset. Mikäli laadit salassa pidettävää asiakirjaa, vastaat tehtäviesi mukaisesti myös sen luokittelusta ja merkinnästä. Jokainen vastaa käsiteltävinä olevista asiakirjoista. Käsittele tietoja huolellisesti välineestä riippumatta olipa tiedon välittäjänä sitten henkilö, tietokone, paperi, puhelin tai telekopio. Siirrä asiakirjat heti käsittelyn jälkeen liitettäväksi lähiarkistoon. Muista, että voit käyttää ja käsitellä käyttöösi saamiasi salassa pidettäviä ja arkaluonteisia tietoja vain työtehtäviesi hoitamisessa. Esimerkiksi henkilörekisterin tietojen käyttötarkoituksen vastainen käyttö on lainvastaista. Huomioi myös, että tietojärjestelmien käyttöä valvotaan ja tietojen käytöstä jää merkintä lokitietoihin ja että organisaation laitetta, verkkoa tai sähköpostia käyttäessäsi näyt ja esiinnyt tietoverkossa aina, tahtomattasikin, organisaation edustajana. Kaikki ovat vaitiolovelvollisia toisten viesteistä, jotka on työtehtävissään vahingossa saanut tietoonsa. Asiakkaita koskevia asiakirjoja ei saa viedä pois työpaikalta, poikkeusmenettelystä on sovittava esimiehen kanssa. 2.2 Lokitiedot Huomioi, että tietojärjestelmiin ja tietoverkon laitteisiin tallentuu yksityiskohtaista lokitietoa järjestelmien käytöstä. Tietoja käytetään ylläpidossa, vianmäärityksessä ja tietoturvallisuuden valvonnassa. Lokitietoja tarkastetaan väärinkäytösepäilyn yhteydessä, asiakkaan pyynnöstä sekä säännönmukaisessa seurannassa. Mikäli tarkastuksen yhteydessä ilmenee huomautettavaa lokitiedoissa, vastaa kyseisen työntekijän esimies jatkotoimista. Säännönmukaisen tarkastuksen tavoitteena on tarkistaa henkilötietolain ja lain potilaan asemasta ja oikeuksista noudattaminen Asiakas-/potilasasiakirjojen lokitiedoista annetaan myös asiakkaalle, hänen sitä pyytäessä, selvitys siitä kuka on käyttänyt hänen tietojaan tai kenelle on luovutettu häntä koskevia tietoja sekä mikä on ollut käytön tai luovutuksen peruste.
7 2.3 Tietojen hävittäminen Käytä salassa pidettäviä tietoja hävittäessäsi suojausluokituksen mukaisia silppureita tai hävittämispalveluun kuuluvia keräyssäiliöitä. Hävittäessäsi tietoja varmista asiakirjahallinnon ja arkistotoimen toimintakäsikirjasta tai arkiston -/ osa-arkistonhoitajalta, että kyseisen tiedon saa hävittää. Päivittäin muodostuva tuhottava materiaali (vanhat reseptit, turhat kopiot asiakas-/ potilaspapereista jne.) tuhotaan heti silppurilla (keskusarkiston hyväksymä silppurimalli) tai jos silppuria ei ole käytettävissä, toimitetaan tuhottava materiaali päivittäin hävitettäväksi. Tuhottava materiaali toimitetaan välittömästi arkistohävityssäiliöön tai säilytetään erillään lukitussa tilassa/omassa työhuoneessa ja toimitetaan päivittäin hyvin suljetussa ja teipatussa laatikossa arkistohävityssäiliöön. Lisätietoja: Hävittämisohje 2.4 Ilmoitusvelvollisuus ja toiminta ongelmatilanteessa Mikäli hallussasi oleva laite, kulkukortti, avain, tunniste tms. katoaa tai varastetaan, ilmoita siitä välittömästi ao. vastuuhenkilölle oman vastuusi rajaamiseksi. Ilmoita aina haittaohjelmista (esim. virukset, madot tai troijalaiset) ja muista tietoturvallisuuteen liittyvistä epäilyistä, ongelmista tai suojauspuutteista välittömästi IT yksikköön, jonka velvollisuutenaan on ryhtyä tarvittaviin toimenpiteisiin. Ilmoita aina myös muista turvallisuuteen liittyvistä epäilyistä, suojauspuutteista tai ongelmista esimiehelle. 2.5 Seuraamukset Lakien, määräysten ja ohjeiden rikkomisesta käyttöoikeudet tietojärjestelmiin voidaan peruuttaa. Rikkomuksista tiedotetaan aina esimiehelle. Vakavissa tapauksissa väärinkäyttö voi johtaa myös vahingonkorvausvaatimuksiin ja rikosoikeudellisiin seuraamuksiin. Seurauksena voi olla myös irtisanominen tai palvelussuhteen purkaminen.
8 3 TIETOTURVA TIETOKONEELLA Tietokoneen käyttö sisältää sekä oman työaseman että verkon kautta käytettävien palveluiden käytön. Jokaisen velvollisuus on seurata tietoturvallisuuteen liittyviä tiedotteita, tutustua ohjeisiin ja osallistua tarjottuun koulutukseen sekä pyytää tarvittaessa neuvoa organisaation asiantuntijoilta. 3.1 Tietokoneen käyttö Vastaat käyttäjänä omasta koneestasi. Ole siis huolellinen. Älä anna ulkopuolisen käyttää tietokonettasi. Vain it-yksikkö saa asentaa tietokonelaitteita verkkoon, siirtää niitä ja asentaa, päivittää koneisiin ohjelmia tai tehdä niiden asetusmuutoksia. Kokkolan kaupungin hankkimia ohjelmia ei saa kopioida. Estä asiaton pääsy tietojärjestelmiin lukitsemalla työasemasi (Windowstyöasemalla paina Ctrl+Alt+Del ja valitse Lukitse tietokone) aina kun poistut työpisteestäsi. Kirjaudu ulos sekä ohjelmistoista että koneeltasi työpäivän päättyessä. Sammuta tietokone viikonlopuksi. Työaseman käytössä on otettava huomioon tietoverkon ja palvelinlaitteiden rajoitettu kapasiteetti. Kuvia, grafiikkaa ja äänitiedostoja saa välittää verkossa tai tallentaa palvelimelle vain työtehtävien vaatiessa ja sen jälkeen poistaa välittömästi. IT-yksiköllä on oikeus tarkistaa työasemat (lukuun ottamatta henkilökohtaiset profiilit kuten sähköposti ja henkilökohtaiset tiedostot) ja niissä toimivat ohjelmat sekä niiden laillisuus. Luvattomasti asennetut ohjelmistot poistetaan. 3.2 Käyttöoikeudet ja salasanat Kirjaudu koneelle aina omilla käyttöoikeuksillasi. Käyttöoikeus on henkilökohtainen ja se on yhdistetty juuri sinun henkilöllisyyteesi ja työtehtävääsi. Käsittele käyttäjätunnusta ja salasanaa samalla tavalla kuin pankkikorttiasi ja tunnuslukuasi. Salasanan tulee olla vähintään 8 merkkiä pitkä ja sen tulee koostua pienistä ja isoista kirjaimista ja siihen tulee sisältyä vähintään 1 numero.
9 Kun käsittelet salassa pidettävää tietoa, huolehdi, etteivät sivulliset näe tietoja asiakirjoistasi tai tietokoneesi näytöltä. Älä anna sivullisten nähdä tietokoneesi näyttöä tai näppäimistöä, kun käsittelet arkaluontoista tietoa tai kun syötät käyttäjätunnuksia ja salasanoja. Älä luovuta henkilökohtaisia käyttäjätunnuksiasi, salasanojasi tai PINkoodejasi toisen henkilön käyttöön. Suhtaudu epäilevästi kaikkiin tiedusteluihin, jotka liittyvät salasanoihisi tai järjestelmien käyttöoikeuksiisi. Vaihda salasanat riittävän usein ja heti, jos epäilet niiden paljastuneen. Ota yhteys IT-yksikköön, jos epäilet jonkun ulkopuolisen käyttävän konettasi tai käyttäjätunnusta ja salasanaa. Huolehdi, että salasanat ovat riittävän monimutkaisia ja vältä tuttujen jokapäiväisten sanojen käyttöä salasanana. Hyvä salasana on sinun helppo muistaa, mutta vaikea ulkopuolisen arvata. Älä kirjoita salasanoja muistiin ainakaan sellaiseen paikkaan, mistä ne ovat helposti löydettävissä. Älä käytä organisaation antamaa käyttäjätunnusta ja salasanaa Internetin palveluihin rekisteröityessäsi. Mikäli joissain tilanteissa tai järjestelmissä on pakko käyttää yhteistunnuksia, siitä päättää järjestelmän tai tietojen omistaja. 3.3 Tallentaminen ja varmuuskopiointi Tallenna tekemäsi työ mahdollisuuksien mukaan palvelimen verkkolevyille, jonka varmuuskopioinnista IT-yksikkö huolehtii. Vältä tilannetta, jossa asiakirja tai muu aineisto olisi ainoastaan sellaisella laitteella tai tietovälineellä, jonka varmuuskopiointi on epäsäännöllistä (esim. oman tietokoneesi työpöytä tai kiintolevyasema). Tallenna työsi käyttäen välitallennuksia. Älä jätä työtä tallentamatta, kun poistut työpisteestäsi. Vältä turhaa tulostamista ja kopiointia, koska ylimääräiset kopiot, väliversiot ja epäkelvot kappaleet (kustannus- ja ympäristövaikutusten ohella) lisäävät tiedon vääriin käsiin joutumisen vaaraa ja siten turvaamistehtäviä erityisesti säilyttämisen tai hävittämisen osalta.
10 Omia henkilökohtaisia tiedostoja ei pidä tarpeettomasti tallentaa työpaikan matkapuhelimeen, työasemaan tai palvelimelle. Luo itsellesi selkeä kansiorakenne. 3.4 Tiedon siirtäminen Mikäli aineistoa siirretään muistitikun tai muun muistivälineen avulla, valvo siirtoa aina henkilökohtaisesti. Varo tilannetta, jossa omalla tietovälineelläsi olisi siirrettävän tiedoston lisäksi muuta aineistoa suojaamattomana. Tarkista organisaatiosi ulkopuolelta tuotu muistitikku, CD-/DVD-levy tai muu tietoväline virustorjuntaohjelmalla ennen käyttöä. Käyttäjä vastaa aina mahdollisista seuraamuksista käyttäessään ulkopuolelta tuotuja aineistoja. Mikäli aineisto luovutetaan tietovälineellä sähköisessä muodossa (CDlevy, muistitikku), tulee käytettävän tietovälineen ehdottomasti olla uusi ja aiemmin käyttämätön. Varo toimistojärjestelmäsovelluksilla (esim. tekstinkäsittely, esitysgrafiikka, taulukkolaskenta) tehtyjen tiedostojen piiloon jääviä tietoja (ns. meta-, jäännös- ja piilotiedot) erityisesti organisaation ulkopuolelle tiedostoja lähettäessäsi tai tietovälineellä siirtäessäsi. Tiedosto voi sisältää siinä aiemmin ollutta tietoa tai muuta järjestelmässä olevaa tietoa, vaikka se ei näytöllä näkyisikään. Varmista, mihin tulostimeen tulostat ja missä tulostin sijaitsee. Hae tulosteesi verkkotulostimesta heti tulostuksen jälkeen. 3.5 Tietojen ja tallennus- /tiedonsiirtovälineen hävittäminen Hävitä säännöllisesti sähköisessä muodossa olevat tarpeettomat työkappaleet tiedostoistasi. Tuhoa oman tietokoneen roskakorisi sisältö säännöllisesti ja varmista, että tietokoneen roskakoriin ei jää hävitettävää tietoa. Jos työaseman kiintolevy tai muu tallennusväline, kuten esimerkiksi muistitikku tai CD-/DVD-levy rikkoutuu tai poistetaan muuten käytöstä, ei sitä saa laittaa roskakoriin. Huolehdi hävittämisestä toimittamalla tallennusväline IT-yksikölle hävitettäväksi.
11 Tietokonetta vaihdettaessa kovalevyjen tietojen hävittäminen on ITyksikön vastuulla, mutta käyttäjän on huolehdittava omien tiedostojensa poistamisesta tai kopioimisesta. 3.6 Internet ja sähköposti Internet ja sähköposti ovat hyviä työvälineitä sekä tiedon hakuun että yhteydenpitoon. On kuitenkin muistettava, että sähköpostissa tai Internetissä ei itsessään ole mitään suojausta, vaan tiedot liikkuvat salaamattomana julkisessa verkossa. Sähköpostin ja Internetin käyttö vaativatkin käyttäjältä huolellisuutta. Kokkolan kaupungin sähköpostipalvelinjärjestelmässä toimii automaattinen viruksentorjunta siten, että kaikki organisaatioon tulevat ja organisaatiosta lähtevät sähköpostit tarkistetaan ja tietoturvauhat eliminoidaan. Internet ja sähköposti on työpaikalla tarkoitettu pääsääntöisesti työkäyttöön. Käytä vain sellaisia palveluita, jotka tiedät asiallisiksi. Lisätietoja: Sähköpostin käsittelysääntö 3.7 Sähköposti Käytä henkilökohtaiseen viestintääsi yksityistä sähköpostiosoitettasi. Muista, että vastaat henkilökohtaiseen sähköpostiin tulevasta työpostista virkavelvollisuuksien mukaisesti ja että viranomaisella on velvollisuus käsitellä virkasähköposti. Kts. myös sähköpostin käsittelysääntö. Ohjaa sähköisesti asioivat asiakkaat lähettämään käsittelyyn tulevat, vireille saatetut asiat organisaation määrittelemään sähköpostiin. Asiakkaan henkilökohtaisia/ arkaluontoisia asioita ei käsitellä sähköpostin välityksellä. Älä anna työsähköpostiosoitettasi ulkopuolisille muissa kuin työhön liittyvissä yhteyksissä. Varmista, että sähköpostisi käsittelyyn liittyvät velvollisuudet tulevat hoidettua myös poissaolosi aikana virkavelvollisuuksien mukaisesti ja laita sähköpostiisi automaattinen poissaolovastaus. Työsähköpostia ei saa (esim. lomalle lähtiessä) kääntää organisaation ulkopuoliseen sähköpostijärjestelmään (esim. henkilökohtaiseen sähköpostiin kuten Hotmail tai vastaava).
12 Huolehdi, että lähettämäsi sähköpostiviesti on kohdistettu oikeille henkilöille ja oikeisiin osoitteisiin, myös valmiita jakelulistoja käyttäessäsi. Jakelulista on henkilöluettelo, jonka jokainen vastaanottaja saa tietoonsa ja se voi olla henkilörekisteritieto tai salassa pidettävä tieto, jonka luovuttamisesta on erikseen säädetty. Voit käyttää sähköpostin piilokopiotoimintoa, jos haluat estää jakelulistalla olevien osoitteiden näkymisen vastaanottajille. Mikäli saat toiselle henkilölle kuuluvan sähköpostin, ohjaa viesti oikealle vastaanottajalle ja ilmoita lähettäjälle vastaanottajan oikea sähköpostiosoite. Mikäli oikea osoite ei ole tiedossa, ilmoita virheellisestä lähetyksestä lähettäjälle. Muista, että sinulla on vaitiolovelvollisuus saamastasi viestistä (Yksityisyyden suojasta televiestinnässä ja teletoiminnasta annettu laki 4.2 ) Lähetä sähköpostit tekstimuodossa (ei html) ja käytä turvallisia liitetiedostomuotoja esim. rtf, jpg ja gif. Sähköpostin liitetiedostot voivat sisältää haittaohjelmia (viruksia, matoja tai troijalaisia). Varo kaikkia epätavallisia sähköposteja ja erityisesti liitetiedostoja. Kaksoispäätteellä varustettuja tiedostoja ei saa avata: esim. asiakirja.doc.pif. Älä avaa epäilyttäviä viestejä. Tarvittaessa voit ilmoittaa asiasta it yksikköön. Ole terveen epäluuloinen sähköpostiviestin luotettavuuteen. Sähköpostiviesti voi tulla myös muualta kuin viestin lähettäjäkentässä näkyvältä taholta. Myös virukset voivat lähettää sähköpostia ilman käyttäjän toimenpiteitä. Varo ns. kalasteluviestejä., joissa sinua pyydetään syöttämään tunnuksia ja salasanoja aidontuntuisiin palveluihin. Roskapostia voivat olla esim. sähköpostiin tilaamatta tulleet mainokset. Roskapostiin ei kannata vastata, vaan se kannattaa tuhota heti. Jos viestiin vastaa, tietää roskapostittaja sähköpostiosoitteesi toimivaksi ja jatkaa roskapostien lähettämistä ja lisäksi välittää osoitteesi myös muille roskapostittajille. Vältä turhien sähköpostien lähettämistä. Esimerkiksi joulutervehdysten lähettäminen kuormittaa sekä sähköpostijärjestelmää että vastaanottajan sähköpostilaatikkoa. Älä välitä ketjukirjeitä eteenpäin.
13 Työsuhteen päättyessä sähköpostiosoite ja -laatikko poistetaan. Siirrä virkapostisi työnantajan käyttöön ja poista mahdolliset henkilökohtaiset viestit. IT-yksiköllä on oikeus rajoittaa palvelujen käyttöä. 3.8 Internet Internetin kautta ei ole luvallista välittää salassa pidettävää tietoa. Ohjelmien lataus Internetin kautta on organisaatiossasi kokonaan kiellettyä, IT-yksikkö asentaa kaikki tarvittavat ohjelmat. Jos käytät julkisia päätteitä tai tilapäisesti toisen henkilön hallussa olevaa tietokonetta, muista tyhjentää Internet-selaimen välimuisti ja evästeet (cookies). Pyydä tarvittaessa it-yksiköltä apua. 3.9 Virukset ja virustorjunta Virus on haittaohjelma, joka voi liittää itsensä muihin ohjelmiin, tiedostoihin ja levykkeisiin. Virukset leviävät internet selaimen, sähköpostin liitetiedostojen, levykkeiden ja cd-levyjen välityksellä. Virus voi tuhota kovalevyn sisällön ja hävittää tietoa, varata muistitilaa, hidastaa koneen toimintaa tai näyttää ylimääräisiä viestejä sähköpostissa. Jokaisessa organisaation omistamassa tietokoneessa on konekohtainen viruksentorjuntaohjelma. Epäiltäessä työaseman olevan tietokoneviruksen saastuttama, työasemalla työskentely on lopetettava välittömästi. Tietokonetta ei tarvitse sulkea, mutta irrota lähiverkkokaapeli työasemastasi. Kirjoita ylös, mitä mahdollisessa ilmoituksessa tai varoituksessa luki. Ilmoita aina haittaohjelmista (esim. virukset, madot tai troijalaiset) ja muista tietoturvallisuuteen liittyvistä ongelmista välittömästi ITyksikköön tai omalle esimiehellesi. Kerro mitä olit tekemässä, kun kone alkoi toimia odottamattomasti. Auta tutkinnassa. Toimi saamiesi ohjeiden mukaisesti. Virkakäytössä olevissa kotikoneissa tulee olla sama virustorjuntataso kuin organisaation koneissa. Tietokoneen tai tietojärjestelmän toimintahäiriöistä ilmoitetaan IT-yksikköön.
14 3.10 Huolto IT-yksikkö huolehtii tarvittaessa koneiden huoltoon toimittamisesta. Koneen noutamisesta työpisteestä on sovittava etukäteen. Koneen saa luovuttaa vain henkilökortilla varustetulle IT-yksikön työntekijälle. Tietokoneen tai tietojärjestelmän toimintahäiriöistä ilmoitetaan IT-yksikköön. 4 TIETOTURVA MUUSSA TIEDONVÄLITYKSESSÄ 4.1 Puhelin Yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta lain 4 :ssä säädetään televiestinnän luottamuksellisuudesta: Televiestintä on luottamuksellista, jollei sitä ole tarkoitettu yleisesti vastaanotettavaksi. Se, joka on ottanut vastaan tai muuten saanut tiedon luottamuksellisesta televiestistä, jota ei ole hänelle tarkoitettu, ei saa oikeudettomasti ilmaista tietoa televiestin sisällöstä tai käyttää hyväksi tietoa televiestin sisällöstä tai sen olemassaolosta. Vältä puhumasta luottamuksellisista työasioista julkisilla paikoilla ja kulkuvälineissä. Jos joudut käyttämään matkapuhelinta julkisissa tiloissa, ole huolellinen ja valitse puhumiseen sopiva tila. Jos et ole varma soittajan henkilöllisyydestä, varmista se soittamalla takaisin henkilölle, jolle tietoja pitäisi luovuttaa. Varo antamasta viattomankin oloisten keskustelujen ja lomakkeiden yhteydessä tietoa salassa pidettävistä ja yksityisyyden suojan piiriin kuuluvista tiedoista. Älä lainaa puhelintasi kenellekään. Älä anna tuntemattomien henkilöiden käyttää puhelintasi valvomatta; näin voit estää, että puhelimeesi ei tehdä kutsunsiirtoja tietämättämäsi. Huolehdi, että matkapuhelimessasi on päällä PIN-kysely. Vaihda laitevalmistajan tai palveluntarjoajan antamat PIN-koodit. Älä luovuta henkilökohtaisia PIN-koodejasi toisen henkilön käyttöön. Jos käytät puhelimessasi vastaajapalvelua, suojaa se salasanalla, jos tähän ei ole teknistä rajoitetta; näin estät vastaajaan jätettyjen viestien luvattoman kuuntelun.
15 4.2 Faksi 4.3 Posti Faksia voi vain poikkeustapauksissa käyttää salassa pidettävän aineiston lähettämiseen. Lähettäessäsi varmistu siitä, että vastaanottaja on paikalla. Lähetettäessä faksia tulee käyttää faksin saate-lehteä, josta ilmenee lähettäjän ja vastaanottajan tiedot. Tarvittaessa soita vastaanottajalle ja varmista, että faksi on tullut perille. Vastaanottaessasi faksia varmistu siitä, että lähettäjällä on osastosi/yksikkösi faksi numero, joka on tarkoitettu asiakas- /potilasasiakirjojen vastaanottamiseen. Tietylle henkilölle osoitetun postin saa avata vain ao. henkilö, mutta tehtävänimekkeelle osoitetun postin voi avata kaikki kyseisellä tehtävänimikkeellä työskentelevät. Työpisteelle osoitetun postin saavat avata kaikki työpisteen työntekijät. Pitkäaikaisten poissaolojen varalta on hyvä sopia, miten postin kanssa toimitaan. Pidä osoitetietosi ajan tasalla. Organisaation nimellä lähetetyn postin avaa toimistovirkailija/ -sihteeri ja toimittaa asianomaiselle henkilölle. 4.4 Sisäinen posti Sisäisen postin avoimessa kansiossa voi lähettää postia, joka ei sisällä henkilötietoja Salaisia tietoja (potilas-/asiakastietoja, henkilöstön tietoja) sisältävät asiakirjat lähetetään suljetussa käyttämättömässä kuoressa. Uudelleenkäyttökuoria käytetään vain sisäisessä postissa, joka ei sisällä salassa pidettävää tietoa. Käyttäessäsi uudelleenkäyttökuoria, varmista, että vanhoja nimi/osoitetietoja ei jää näkyviin. Merkitse sisäiseen postiin vastaanottajan nimen lisäksi toimipisteen tiedot. Organisaation sisäinen, toimintayksiköiden välinen, posti kuljetetaan lukituissa salkuissa.
16 4.5 Ulkoinen posti Uudelleenkäyttökuoria käytetään vain sisäisessä postituksessa Organisaation ulkopuolelle menevä posti tulee lähettää käyttämättömissä logolla varustetuissa kirjekuorissa. Ulkoiseen postiin tulee laittaa nimi ja täydellinen osoite. Huom! Ulkoista postia on myös esim. Kruunupyyhyn ja kouluterveydenhoitajille lähetetty posti. Käytä saantitodistusmenettelyä aina kun on tarve varmistaa, koska posti on vastaanotettu ja /tai se sisältää salassa pidettäviä tietoja. 5 TOIMITILOJEN TURVALLISUUS Toimitilojen turvallisuudella varmistetaan, että tietoja, asiakirjoja ja tietokonelaitteita säilytetään ja käsitellään asianmukaisesti turvallisissa tiloissa. Toimitilojen turvallisuus sisältää mm. kulunvalvonnan, teknisen valvonnan ja vartioinnin, palo-, vesi-, sähkö-, ilmastointi ja murtovahinkojen torjunnan sekä lähettipalvelujen ja tietoaineistoja sisältävien lähetysten turvallisuuden. 5.1 Työhuone Suuntaa asiakaspalvelupisteessä ja -tilanteessa tietokoneesi näyttö harkitusti onko tarkoitus, että tiedot näkyvät asioijalle vai ei? Luottamukselliset ja salaiset asiakastiedot paperilla, disketillä, cd-levyllä tai muistitikulla on säilytettävä lukitussa kaapissa eivätkä ne saa olla esillä, kun työhuoneessa on asiakkaita. Tarkista työpisteeseesi tullessasi, ettei mitään asiatonta ole tapahtunut poissaolosi aikana. Säilytä tieto ja laitteet turvassa, mahdollisuuksien mukaan lukitussa kaapissa ja huoneessa. Älä jätä kannettavaa tietokonetta tai matkapuhelinta ilman valvontaa. Säilytä laitteita lukitussa tilassa. Huolehdi myös muistitikkujen, CD-/DVD-levyjen, paperitulosteiden ym. asianmukaisesta säilyttämisestä. Noudata puhtaan pöydän periaatetta. Työpöydällä ei saa säilyttää salassa pidettävää tietoa.
17 Estä asiaton pääsy tietojärjestelmiin lukitsemalla työasemasi aina kun poistut työpisteestäsi ja työpäivän päättyessä. Työpäivän päättyessä kirjaudu tietojärjestelmästä ulos ja sammuta työasemasi. Älä jätä kulunvalvonnassa olevia tai muuten suljettuina pidettäväksi tarkoitettuja ovia auki. 5.2 Vierailut työtiloissa Jokaisella vieraalla tulee olla isäntä. Isäntä vastaa vieraidensa oleskelusta ja kulkemisesta toimitiloissa: älä jätä vierasta yksin tai valvomatta työhuoneeseesi tai muihin organisaation tiloihin. Pyri käyttämään vierailuihin neuvottelutiloja. Huolehdi, ettei neuvottelutiloissa ole esillä asiaankuulumatonta materiaalia. Vastaavasti neuvottelun päättyessä huolehdi, ettei pöydille, tauluihin, roskakoreihin tai muualle jää käsiteltyjä luottamuksellisia aineistoja tai muistiinpanoja. Älä jätä vierasta yksin tai ilman valvontaa työhuoneeseesi tai muihin toimitiloihin. Kuvaaminen organisaation tiloissa: Valvo vieraidesi toimintaa ja esim. kamerakännyköiden käyttöä. Ohjaa vieraat tai eksyneet. henkilöt oikeisiin paikkoihin. Älä päästä asiattomia henkilöitä toimitiloihin esim. töistä lähtiessäsi. 5.3 Kulunvalvonta Kulunvalvonnan avain/kellokortti on henkilökohtainen koodiavain (=etälukuavain) Henkilökohtaista etälukuavainta on käytettävä aina töihin tultaessa, töistä lähtiessä ja poistuttaessa työhuoneesta tai työpisteestä esim. palaveri ja koulutuspäivät. Leimauksella tieto välittyy puhelinkeskukseen. Etälukuavain tilataan neuvonnasta vastuualueen esimiehen allekirjoittamalla kirjallisella määräyksellä. Etälukuavain luovutetaan henkilökohtaisesti järjestelmään kirjatulle käyttäjälle. Opastusta kulunvalvontalaitteen käytöstä antaa neuvonnan henkilöstö etälukuavaimen luovuttamisen yhteydessä tai tarvittaessa.
18 Virheleimaukset tai leimaamatta jäämisen korjaukset tekee neuvonnan henkilöstö. Jos leimauksessa on ongelmia tai vikoja, on asiasta ilmoitettava välittömästi neuvontaan. Mikäli hallussa oleva etälukuavain katoaa tai varastetaan, siitä on ilmoitettava välittömästi neuvonnan henkilöstölle vastuun rajaamiseksi. Etälukuavain palautetaan palvelusuhteen päätyttyä neuvontaan. Etälukuavainta voi käyttää myös kaupungintalon ruokalassa, terveyskeskuksen kanttiinista ja keskussairaalan ruokalasta ostettaessa aterioita. Aterian hinta peritään seuraavan kuukauden palkasta. 6 LIIKKUVA TYÖ, ETÄTYÖ JA MATKATYÖ 6.1 Liikkuva työ ja mobiililaitteet Monet liikkuvan työn välineet voivat vastata ominaisuuksiltaan ja sisällöltään työpaikan työasemia. Laitteet eivät enää ole esim. pelkkiä puhelimia. Liikkuvan työn välineisiin ja niiden käyttöön liittyy vastaavia uhkia kuin kiinteämmin asennettuihin, joten kyseeseen tulevat soveltuvin osin samat turvallisuusohjeet. Kun välineitä lisäksi kuljetetaan ja käytetään työpaikan toimitilojen tarjoamien turvatoimien ulkopuolella, tarvitaan erityistä huolellisuutta. Huolehdi työnteossa käyttämiesi kannettavien tietokoneiden, matkapuhelinten, kommunikaattoreiden ja kämmentietokoneiden turvallisuudesta, äläkä säilytä niissä ylimääräistä tietoa. Tutustu laitteen ja siinä olevien ohjelmien käyttöohjeisiin ja turvallisuusominaisuuksiin (mm. PIN-kyselyt, Bluetooth-asetukset, sovellusten lataaminen). Huolehdi, että matkapuhelimessasi on päällä PIN-kysely. Vaihda laitevalmistajan tai palveluntarjoajan antamat PIN-koodit. Älä lataa ja asenna laitteisiin mitään työhön kuulumatonta. Käytä tietojen salausta mahdollisuuksien mukaan. Huolehdi tietojen varmuuskopioinnista tallentamalla tiedot verkkolevylle ja/tai tarvittaessa synkronoinnista muuhun tietojärjestelmään.
19 6.2 Etätyö ja etäkäyttö Etätyöllä tarkoitetaan muualla kuin organisaation vakituisessa toimipisteessä suoritettavaa työtä. Tyypillinen etätyö on kotoa tehtävää toimistotyötä. Etätyötä voidaan tehdä myös muusta vakituisesta paikasta (esim. organisaation järjestämä etätyöpiste) tai matkoilla (esim. hotelli tai toisen organisaation tilat), jolloin käyttöympäristöt vaihtelevat eikä ympäristön turvallisuuteen voida juurikaan vaikuttaa. Etätyöntekijän omilla toimenpiteillä ja menettelytavoilla on tällöin suuri merkitys. Etäyhteys on tietoliikenneyhteys organisaation sisäverkon ulkopuolelta ja etäkäyttö tietoteknisten palvelujen käyttöä etäyhteyden avulla. Langattomien verkkoyhteyksien yleistyessä etätyöntekijän on entistä useammin kyettävä tekemään itsenäiset arviot etätyöympäristön turvallisuudesta. Muista, että kaikkea organisaatiossa tehtävää työtä ei voida tehdä tietoturvallisesti etätyönä. Tunnista nämä työt. Joidenkin järjestelmien etäkäyttö voi olla kielletty tai estetty. Kiinnitä kaikessa toiminnassasi huomiota tietoturvallisiin menettelytapoihin. Erityisen tärkeää tämä on toimittaessa vakituisten toimistotilojen ulkopuolella. Etätyössä sinun tulee noudattaa soveltuvin osin kaikkia samoja turvallisuusperiaatteita kuin ollessasi organisaation varsinaisissa toimitiloissa. Pääsääntöisesti työnantaja hoitaa etäkäytössä vaadittavien laitteiden, ohjelmistojen ja tietoliikenneyhteyksien hankinnan ja asentamisen. Huolehdi, että etätyössä käyttämäsi laitteistot, ohjelmistot, tietoliikenneyhteydet ja paperiaineistot ovat ja pysyvät vain sinun käytössäsi. Huolehdi, että käyttämäsi käyttäjätunnukset, salasanat, mahdolliset toimikortit ja muut todennusvälineet ovat vain sinun hallussasi ja tiedossasi. Käytä sovittuja suojausohjelmia ja varmista, että ne ovat ajan tasalla. Kuljeta mukanasi vain välttämätön määrä tietoaineistoa ja varmistu aina aineiston asianmukaisesta suojauksesta. Asiakirjojen käsittelyssä on noudatettava samoja periaatteita kuin normaalisti, etätyön erityisriskit huomioon ottaen. Etätyö on rajattava aineistoon, jonka paljastuminen ei vaaranna tietoturvallisuutta. Myös etätyössä on otettava huomioon aineiston luokittelu ja siihen liittyvät
20 käyttösäännöt sekä luovutusta, käyttöä ja käsittelyä koskevat rajoitukset. Huolehdi tietoaineistosi varmuuskopioinnista sekä turvallisesta säilytyksestä ja hävittämismenettelystä. 6.3 Matkatyö Mikäli työskentelet julkisessa kulkuvälineessä, varmistu, etteivät kanssamatkustajat pysty kurkistamaan ja näkemään käsittelemiäsi tietoja ja asiakirjoja. Varo myös aiheettomien langattomien yhteyksien aktivoitumista koneeseesi. Säilytä tieto ja laitteet turvassa. Älä jätä kannettavaa tietokonetta tai matkapuhelinta ilman valvontaa. Säilytä laitetta lukitussa paikassa. Muista myös tietovälineiden, paperitulosteiden ym. asianmukainen säilyttäminen. Kannettavia tietokoneita ja matkapuhelimia ei saa jättää autoon näkyvälle paikalle, eikä niitä saa säilyttää autossa yön yli. Vältä julkisten päätteiden (esim. nettikahvilat, kirjastot) käyttöä työasioihin. Et voi vaikuttaa siihen, mitä tietoja käytöstäsi kerätään ja mitä tiedoilla tehdään. Yleensä sinulle ei myöskään tarjoudu mahdollisuutta poistaa näitä tietoja laitteelta. 7 TIETOISKU KOTIKONEEN TIETOTURVASTA Mikäli sinulla on oma tietokone ja Internet-liittymä, on tärkeää huolehtia myös niiden tietoturvallisuudesta. Tee jokaiselle käyttäjälle omat henkilökohtaiset tunnukset, joilla on vain ns. normaalikäyttäjän oikeudet. Käytä ylläpitäjän tunnusta (esim. Järjestelmänvalvoja, Administrator) vain ylläpitotehtäviin. Asenna vain virallisia, ajan tasalla olevia ohjelmistoja. Pyydä ajoittain luotettavaa tietotekniikka-asiantuntijaa tarkistamaan, että työasemaympäristösi on turvallinen. Huolehdi käyttöjärjestelmän ja muun varusohjelmiston jatkuvasta automaattisesta päivittymisestä. Käytä tunnettua ja hyvämaineista tietoturvaohjelmapakettia (sis. mm. virustorjunta, palomuuri, vakoiluohjelmatorjunta, roskapostisuodatus) ja huolehdi sen jatkuvasta automaattisesta päivittymisestä. Älä avaa epäilyttäviä sähköpostiviestejä ja -liitteitä.