6 vinkkiä terveydenhuollon tietoturvaan

Työn, tiedon ja viestinnän digitalisoituminen tuovat mukanaan valtavan määrän liiketoimintahyötyjä, mutta samalla myös aivan uudenlaisia riskejä. Suuri osa niistä liittyy digitaalisen toimintaympäristön tietoturvaan. Näiden riskien hallinta on erityisen tärkeää terveydenhuollon organisaatioissa, jotka käsittelevät arkaluontoisia henkilötietoja, kuten potilastietoja.

Törmäsin jokin aika sitten erään laajan tietomurron yhteydessä lausuntoon, jossa todettiin, että ”näihin tietomurtoihin tulee nykypäivänä vain tottua.” Toteaisiko joku vaikkapa ’perinteisemmän’ varkauden yhteydessä näin? Epäilen. Vaikka täysin aukotonta suojausta on mahdotonta rakentaa, paljon on kuitenkin tehtävissä (ja tulee tehdä) riskipinta-alan pienentämiseksi. Rikolliset ovat aina askeleen edellä, mutta organisaatiossa pystytään vaikuttamaan siihen, onko tuo askel sentin vai kilometrin mittainen. Tulevaisuudessa koneoppiminen ja automatiikkaa tulevat yhä vahvemmin mukaan myös tietoturvaan ja kurovat hyökkäyksen etumatkaa kiinni entisestään.

Tämän päivän tietoturvassa tärkeintä on löytää organisaation tarpeisiin soveltuva kokonaisuus, joka muodostuu tasapainoisesta yhdistelmästä suojausta, hallintaa, havainnointia, ennakointia ja reagointia. Painopiste on vahvasti siirtynyt reaktiivisesta toimintamallista proaktiiviseen. Proaktiivinen tietoturva on ennakoivaa, suunnitelmallista ja hallittavaa. Perinteinen reaktiivinen toimintamalli, eli ympäristön suojaaminen ja reagoiminen poikkeustilanteisiin, ei nykypäivänä enää riitä.

Tietoturvan kivijalka ovat nykypäivän vaatimuksiin vastaavat teknologiat. Tässä koottuna muutama tietoturvavinkki, joiden myötä esimerkiksi terveydenhuollon organisaatioissa on mahdollista saavuttaa korkea tietoturvataso.

1. Hanki kokonaisnäkyvyys IT-ympäristön tapahtumiin

Jotta tietoturvatapahtumia voi hallita, on organisaatiossa oltava kokonaisnäkyvyys IT-ympäristön tapahtumiin. IT-ympäristöt ovat usein monimutkaisia ja eri toimintoja saattaa ylläpitää useita eri tiimejä. Käytössä on monenlaisia järjestelmiä ja teknologioita ja toisistaan irrallista tapahtumadataa on runsaasti. Ilman järjestelmädataa yhdistävää teknologiaa on kokonaisuuden hallinta ja poikkeustilanteiden selvittäminen haastavaa ja resursseja kohdistetaan vääriin paikkoihin.

Useat tietomurrot voitaisiin välttää sillä, että organisaatiossa olisi käytössä teknologiaa, jonka avulla havainnoida yhdestä näkymästä useista pienistä palasista koostuvia suurempia tapahtumia. Tämänkaltaiset ratkaisut vaativat ennen suuriakin investointeja teknologiaan ja henkilöresursseihin. Nykyään automatiikalla ja koneälyllä pystytään minimoimaan vaadittavat henkilöresurssit ja oikeilla teknologioilla tai palvelumallilla pystyy pienillä investoinneilla parantamaan merkittävästi organisaation tietoturvatasoa. Kokonaisnäkyvyys on mahdollista saavuttaa esimerkiksi SIEM-ratkaisulla, joka kerää, tallentaa, ja hyödyntää eri lokilähteiden tuottamaa dataa.

2. Hanki kattava näkyvyys IT-ympäristön haavoittuvuuksiin

Organisaatioiden IT-ympäristöissä on ja tulee aina olemaan haavoittuvuuksia. Hyökkääjät eivät kehitä uusia haavoittuvuuksia vaan uusia keinoja hyödyntää olemassa olevia haavoittuvuuksia. Tästä syystä kyky tunnistaa, hallita ja korjata haavoittuvuuksia ennen kuin ne aiheuttavat ongelmia, on erittäin tärkeä osa ennakoivaa tietoturvaa. Mikäli maailmalla havaitaan organisaation ympäristössä olevaa haavoittuvuutta hyödyntävä hyökkäys, pystytään se paikantamaan ja korjaamaan välittömästi. Ilman näkyvyyttä haavoittuvuudet havaitaan usein vasta siinä vaiheessa, kun jotain on jo tapahtunut.

3. Suojaa päätelaitteet tehokkaasti

Ennen yritysten ja julkishallinnon verkot nähtiin linnoituksina. Verkon ulkolaidalle rakennettiin suojaukset ja valvottiin sen läpi kulkevaa liikennettä. Työn luonne on muuttunut ajasta ja paikasta riippumattomaksi, jolloin palomuuriin ja antivirukseen luottaminen eivät yksin riitä. Tarvitaan entistä kehittyneempiä Next Generation-suojaustekniikoita. Parhaissa suojausratkaisuissa tarkkaillaankin haittaohjelmien lisäksi myös käyttäytymisessä tapahtuvia muutoksia, jolloin uhkiin voidaan reagoida entistä nopeammin ja tehokkaammin.  Lisäksi on tärkeää, että suojausratkaisut tukevat toisiaan ja kommunikoivat keskenään, jolloin saavutetaan paras mahdollinen suojaus.

4. Minimoi inhimillisen virheen mahdollisuus

Organisaation työntekijät ovat hyökkääjien ”lempikohde”. On huomattavasti helpompaa huijata käyttäjä lataamaan haitallinen tiedosto tai luovuttamaan tietoa kuin esimerkiksi murtautua organisaation palomuurin läpi. Tämä näkyy muun muassa nk. ”johtajahuijausten” yleistymisenä.

Käyttäjien tietoturvakoulutuksia kannattaa pitää säännöllisesti ja huolehtia, että yrityksen tietoturvapolitiikkaa noudatetaan. Inhimillisen virheen riskiä voidaan pienentää myös erilaisilla teknologiaratkaisuilla, näistä esimerkkinä DLP-palvelut (Data Loss Prevention), joissa on mahdollista esimerkiksi automaattisesti estää arkaluonteisen (esimerkiksi henkilötiedon) tiedon käsittelemisen organisaation tietoturvapolitiikan vastaisesti.

5. Muista pilven tietoturva

Pilven liiketoimintahyödyt ovat kiistattomia ja organisaatiot siirtävät enenevissä määrin toimisto- ja konesaliympäristöjään pilveen. Toimintojen siirtyessä pilveen on tärkeää varmistaa, että pilvipalveluiden tietoturvakerrokset ovat riittävät ja vastuunjako palveluntarjoajan kanssa selkeä. Käytössä oleva palvelumalli (IaaS/SaaS/PaaS) määrittää pitkälti vastuun jakautumisen palveluntarjoajan ja asiakasorganisaation välillä, mutta loppukädessä vastuu tietoturvasta on aina asiakkaalla. On hyvä huomioida, että mitä enemmän sopimuksissa on määritelty palveluntarjoajan vastuulle, sitä haastavampaa asiakasorganisaatiossa on todentaa pilvipalveluiden tietoturvan taso ja hallita kokonaisuutta. Tässäkin tapauksessa avainasemaan nousee kyky havainnoida kaikkia IT-ympäristön tapahtumia, olivatpa ne fyysisesti pilvessä tai omassa ympäristössä.

6. Huomioi kaikkien verkkoon kytkettävien laitteiden tietoturva

Kokonaisuus on yhtä vahva kuin heikoin lenkki. IOT koskettaa vahvasti myös terveydenhuoltoa ja yhä useampi terveydenhuollon laite on kytketty verkkoon. Oli kyseessä sitten röntgenlaite, jääkaappi, paikannus-tai etämonitorointilaite, niin jos se on liitetty verkkoon, on olemassa riski tietoturvan vaarantumiselle. Riskinä voi olla joko käytettävyys tai tietojen vaarantuminen. Verkot voidaan eristää, mutta mikäli verkkoon pääsee haittaohjelma tai verkko vaarantuu, korostuu jälleen suojauksen ja näkyvyyden merkitys. Jos laitteita ei ole mahdollista suojata, on tärkeää huomata, mikäli verkossa ilmenee poikkeavia tapahtumia.

Tervetuloa keskustelemaan tietoturvaan liittyvistä asioista ja monesta muusta sote-päättäjien kanssa DigiSote 2019 -tapahtumaan 19.-20. marraskuuta Finnkino Tennispalatsiin!