Digi HTA- arviointi ja sen vaikutus yrityksen tietoturvan ja tietosuojan toteutumiseen

Abstract

Opinnäytetyössä pyrittiin kyselytutkimuksen avulla selvittämään, miten Digi-HTA-arviointiin osallistuminen vaikutti SaraWell Oy:n tietoturva- ja tietosuojaosaamiseen. Digi-HTA on Suomessa kehitetty digitaalisten terveysteknologiaratkaisujen arviointimenetelmä. Menetelmä koostuu useasta eri osasta, mutta tämä opinnäytetyö keskittyy ainoastaan tietoturva- ja tietosuojaosaan. Tietosuojaosaan liittyen käsitellään myös tietosuojan vaikutustenarviointia, koska vaikutustenarvio on osa Digi-HTA:n tietosuojaosaa. Opinnäytetyön tavoite oli selvittää, miten Digi-HTA- arviointiin osallistuminen vaikuttaa pienyrityksen tietoturva- ja tietosuojaosaamiseen.

Digi-HTA-työhön osallistui SaraWell Oy-yrityksestä kaksi henkilöä, joten pienen otannan takia tämä opinnäytetyö ei ota kantaa Digi-HTA-arvioinnin vaikutuksiin pienyrittäjien tietoturva- ja tietosuojaosaamiseen yleisesti, vaan koskee ainoastaan SaraWell Oy-yritystä. Kyselytutkimuksessa selvitettiin, millä tasolla yrityksen edustajat kokivat tietoturva- ja tietosuojaosaamisensa olevan ennen Digi-HTA-työn aloittamista ja miten he kokivat osaamisensa kehittyvän työn aikana. Vastausten perusteella Digi-HTA- prosessiin osallistuneet kokivat osaamisensa lisääntyneen prosessin aikana.

This study aimed to determine how participating in the Digi-HTA- process impacts the information security and data protection proficiency level of SaraWell Oy. Digi-HTA is a Finnish method for assessing the suitability of a digital health care service for use in the social and health care sector. The Digi-HTA assessment involves several aspects, however this thesis will focus only on the domains of data protection and information security. Since the data protection domain involves a DPIA (Data Protection Impact Assessment), it will also be discussed in this thesis.

Only two individuals took part in the digi-HTA- process (due to the small size of the company); hence this thesis does not claim to address the impact of Digi-HTA on the data protection and information security skills in general, this study only covers the company SaraWell Oy. In the survey the entrepreneurs were asked to assess their cybersecurity and data protection skills before participating in the Digi-HTA as well as to assess how their skills evolved during the process. The assumption was that their skills and level of awareness of cybersecurity and data protection would increase during the work. Based on the responses this was the case.

The theoretical framework describes information security and data protection in general. The General Data Protection Regulation (GDPR) is also reviewed along with Data Protection Impact Assessment (DPIA).