Tietoturvan vähimmäistaso sosiaali- ja terveydenhuollon tietojärjestelmissä

Abstract

Sosiaali- ja terveydenhuollon tietojärjestelmät muodostavat olennaisen osan suomalaisen hyvinvointivaltion arkea. Niissä käsitellään arkaluonteista tietoa, jonka paljastuminen voi johtaa merkittäviin haittoihin. Vastaamon tapaus havainnollisti, miten vakavia ja kauaskantoisia seuraukset voivat olla tietoturvan puutteiden vuoksi, ja korosti sosiaali- ja terveydenhuollon tietoturvan laajaa yhteiskunnallista merkitystä. Sosiaali- ja terveydenhuollon tietojärjestelmät luokitellaan A- ja B-luokkiin, mikä vaikuttaa sekä vaadittavien tietoturvatoimenpiteiden laajuuteen että ulkopuolisiin arviointeihin. Noin 70 prosenttia kaikista tietojärjestelmistä kuuluu omavalvonnan piiriin, ja 30 prosenttia tietoturva-arvioinneista tehdään puolueettoman arviointilaitoksen toimesta.

Opinnäytetyön tarkoituksena oli selvittää, mikä on tietoturvan nykyinen vähimmäistaso sosiaali- ja terveydenhuollon toimialalla sekä millaisia eroja on korkeimman ja tyypillisimmän järjestelmätyypin tietoturvavaatimusten välillä. Opinnäytetyön tavoitteena oli lisätä yhteiskunnan ja toimialalla toimivien tietoisuutta tietoturvan vaatimustasosta.

Tutkimuksessa hyödynnettiin kvalitatiivista sisällön analyysiä, jonka avulla aineisto rajattiin, pelkistettiin, koodattiin ja luokiteltiin systemaattisesti. Aineisto koostui THL:n määräyksen 5/2024 tietoturvavaatimuksista. Tutkimuksessa toteutettiin kaksi erillistä sisällönanalyysiä: 1) korkeimmalle järjestelmäluokalle ja 2) tyypillisimmälle järjestelmäluokalle. Saatuja tuloksia verrattiin toisiinsa.

Vertailu osoitti, että korkeammalle järjestelmätyypille asetetut vaatimukset muodostivat laajan ja perusteellisen kokonaisuuden tietoturvan tasolle, kun taas tyypillisen järjestelmätyypille asetetut vaatimukset olivat huomattavasti suppeammat. Puutteita havaittiin erityisesti hallintayhteyksien ja järjestelmien välisen tunnistamisen, luvattomien muutosten havaitsemisen sekä lokien luotettavan jäljitettävyyden osalta.

Tulevaisuudessa on arvioitava, tulisiko vähimmäisvaatimuksia tiukentaa esimerkiksi lisäämällä pakollisia vaatimuksia sekä tuomalla uusia vaatimuksien, jotka liittyvät riskienhallintaa, vastuunjakoon ja integraatioiden tietoturvaan. Tulevaisuudessa tulisi tarkemmin tutkia, saavuttavatko SOTE-vaatimukset kyberturvallisuuslain vaatimustason sekä miten uudet teknologiat kuten tekoäly, automaatio ja IoT-ratkaisut muokkaavat tietoturvatarpeita sosiaali- ja terveydenhuollon alalla.

Social and healthcare information systems form an essential part of everyday life in the Finnish welfare state. They process sensitive data, the disclosure of which can lead to significant harm. The Vastaamo case illustrated how serious and far-reaching the consequences of security shortcomings can be and highlighted the broad societal importance of information security in social and healthcare systems. Social and healthcare information systems are classified into Class A and Class B, which affects both the scope of required security measures and the extent of external evaluations. Approximately 70 percent of all information systems fall under self-monitoring, while 30 percent of security assessments are carried out by an independent evaluation body.

The purpose of this thesis was to identify the current baseline level of information security within the social and healthcare systems and to compare the requirements of the highest and the most common system classes. The objective of the thesis was to increase awareness within society and among sector stakeholders regarding the required level of information security.

The study employed qualitative content analysis, through which the material was systematically delimited, simplified, coded, and categorized based on the essential requirements of THL regulation 5/2024. Two separate content analyses were conducted. The first one was on the highest system class and the second one on the most typical system class, and the results were compared.

The comparison showed that the requirements set for the higher system type formed a broad and comprehensive framework for the level of security, whereas the requirements for the typical system type were narrower. Deficiencies were observed particularly in the recognition of administrative connections and system integrations, in detecting unauthorized changes, and in ensuring the reliable traceability of logs.

In the future, it should be considered further raising the minimum requirements for information security in the social and healthcare systems by increasing the number of mandatory requirements and by evaluating the need for introducing additional requirements for risk management, responsibilities and integrations. Future research should also examine whether the social and healthcare requirements reach the level set by the Cyber-security Act, and how new technologies such as artificial intelligence, automation, and IoT solutions (Internet of Things) reshape information security needs in the social and healthcare sector.