Tietoturvallinen pilvipalvelu sosiaali- ja terveydenhuollossa

Abstract

Opinnäytetyö tehtiin osana 2M-IT:n ja sen asiakkaiden Pata-ohjelmistokehityshanketta, joka toteutti sosiaali- ja terveydenhuollon työvälineitä asiakasohjauksen tarpeisiin. 2M-IT on julkisten sosiaali- ja terveydenhuollon toimijoiden omistama tietotekniikkayhtiö. Työn tavoitteena oli tukea hanketta ja organisaatiota tietoturvallisuuden kehittämisessä. Pata-järjestelmä toteutettiin Microsoft-pilvipalvelualustalle hyödyntäen pääosin Power Platform- ja Dynamics 365 -teknologioita.

Menetelmänä käytettiin kirjallisuuskatsausta tietoturvallisuuden perusteista ja julkisten pilvipalvelujen tietoturvallisuuden erityispiirteistä. Lisäksi selvitettiin Suomessa käytössä olevia tietoturvallisuuden arvioinnin menetelmiä sekä sosiaali- ja terveydenhuollon tiedonkäsittelyn keskeistä lainsäädäntöä. Käytännön tutkimustapauksena esiteltiin tietoturvallisuuden kannalta oleellisia Pata-järjestelmän piirteitä. Toteutetun järjestelmän tietoturvallisuutta arvioitiin Kyberturvallisuuskeskuksen tarjoaman pilvipalvelujen tietoturvallisuuden arviointikriteeristön (PiTuKri) mukaisesti itsearviointina. Arvioinnin tulokset, joita ei julkaista, tuotettiin erilliseen PiTuKri-arviointityökaluun.

Tietoturvallisuuden itsearvioinnin suorittamisen aikaan Pata-järjestelmän kehittäminen oli vielä kesken. Kuten oli oletettavaa, arvioinnissa ilmeni useita tietoturvallisuuden kehittämiskohteita, joiden havaitseminen edesauttoi järjestelmän jatkokehittämistä sekä tietoturvallisuuden yleistä kehittämistä organisaatiossa.

Vastaus keskeiseen kysymykseen, soveltuuko monikansallisen yhtiön tuottama pilvipalvelualusta suomalaiseen sosiaali- ja terveydenhuollon tietojen käsittelyyn, osoitettiin teorian ja käytännön toteutuksen ja tietoturvallisuuden arvioinnin avulla. Tuloksena havaittiin, että Pata- järjestelmä, joka ei ole varautumisen kannalta kriittinen, voidaan rakentaa pilvipalvelualustalle, kun pilvipalvelun tarjoajan toimintatavat ja palvelut tukevat vahvaa tietoturvallisuutta ja pilvipalvelun tarjoaja noudattaa paikallista lainsäädäntöä.

Kehittämisajatuksena esitettiin, että Pata-järjestelmän ehkä voisi toteuttaa matalamman tason kehittämisvälineillä, jolloin ympäristö ei olisi yhtä altis jatkuville muutoksille kuin Power Platformin tuotteet. Lisäksi ohjelmistojen lisensointikustannukset pysyisivät tällä tavoin maltillisempina tekijänoikeuksien ollessa laajemmin omissa käsissä. Tosin matalamman tason ohjelmistoteknologian hyödyntäminen voi johtaa hitaampaan etenemiseen ja sitä kautta korkeampiin kehittämiskuluihin.