Tietoturvapolitiikka käytäntöön. Suunnitelma sairaanhoitopiirin tietoturvallisuuden kehittämiseen.

Abstract

Tietoturvapolitiikka on organisaation ylimmän johdon kannanotto tietoturvallisuuden ja tietosuojan toteuttamiseen. Tämän kehittämistehtävän tarkoituksena oli jalkauttaa tietoturvapolitiikka sairaanhoitopiirin yksiköihin ja tehdä suunnitelma tietoturvallisuuden ja tietosuojan edistämiselle. Työ on osa sairaanhoitopiirin laajempaa tietoturvallisuuden kehittämisprosessia.

Tavoitteena oli selvittää hoitohenkilöstön tietosuoja- ja tietoturvaosaamista sekä organisaation tietoturvallisuuteen liittyviä keskeisiä kehittämistarpeita. Aineisto kerättiin haastattelemalla hoitotyön lähiesimiehiä, kirjaamalla kehittämistarpeita osastotunneilta ja analysoimalla tietoturvapoikkeamia. Aineiston pohjalta laadittiin tietoturvallisuuden kehittämissuosituksia toimenpide-ehdotuksineen sekä keskeisten kehittämistoimenpiteiden vuosikello vuodelle 2013.

Tietoturvallisuuden kehittämisalueita ovat: - Tietoturvallisuuteen ja tietosuojaan liittyvä johtaminen - Tietoturvapoikkeamaraportoinnin kehittäminen - Tietoturvallisuuteen ja tietosuojaan liittyvä koulutus - Tietoverkon ja tietojärjestelmien kirjautumisratkaisut - Potilastietojen käytön seuranta ja valvonta - Tietosuoja- ja tietoturvaohjeistusten kehittäminen

Kehittämistehtävän tulokset syventävät kuvaa sairaanhoitopiirin tietoturvallisuuden tasosta. Suositusten avulla kehittämistoimenpiteitä voidaan kohdentaa tehokkaammin. Osa suosituksista onkin jo jalkautettu käytännön toiminnaksi.

The information security policy in a statement of the organisation`s management to implement information security and data protection. The purpose of this master´s thesis was to implement data security policy into organisation units and plan methods, which will improve the information security in the future. This thesis was a part of larger development process in hospital district.

In this development process, the nursing personnel´s competence of information security and data protection and essential demands of organisational information security were studied. The data was collected by interviewing the nursing managers, by documenting information from unit meetings and by analysing the information of security threats. Based on the results the recommendations were provided to the organisation.

The information security can be improved by: - developing management and leadership of information security and data protection - building up the process of collecting information security threats - educating personnel - developing login systems of information networks - developing monitoring and controlling of medical records use - clarifying information security and data protection instructions

The results of this master´s thesis support and deepen the image of the information security of the organisation. The recommendations can be utilised in targeting organisation´s activities by developing information security. Some of the recommendations are already implemented in practise.