Olennaiset vaatimukset, sertifiointi + omavalvonta

Transcription

Olennaiset vaatimukset, sertifiointi + omavalvonta
Olennaiset vaatimukset, sertifiointi +
omavalvonta
STEDI 5.5.2015
Kehittämispäällikkö Juha Mykkänen
THL/OPER
20m
Vastuu tietosuojasta ja tietoturvasta
•
Sosiaali- ja terveydenhuollon toimintayksikölle lainsäädännöllinen velvoite
varmistaa tietojen luotettava ja turvallinen käsittely kaikissa olosuhteissa
•
Tietosuojan ja tietoturvan toteutumista seurataan omavalvonnalla
•
Omavalvonnasta on oltava suunnitelma, jonka laadinnan ja noudattamisen
vastuu on toimintayksikön vastaavalla johtajalla
•
Toimintayksikkö vastaa:
– henkilökunnan ohjeistuksesta ja osaamisesta asiakas- ja potilastietojen käsittelyssä
– tietoturvapolitiikan laatimisesta ja noudattamisesta
– tietosuojavastaavan nimeämisestä ja toimenkuvasta
– asiakas- ja potilastietojen käsittelyn seurannasta ja valvonnasta
– väärinkäytösten selvittämisestä ja seuraamuksista ja näiden tiedottamisesta
henkilöstölle
– sertifioidun tietojärjestelmän hankinnasta, ennen valtakunnalliseen
tietojärjestelmäpalveluun liittämistä
– toimintayksikön asiakas- ja potilastietojärjestelmien käyttäjä- ja
käyttöoikeushallinnasta
•
Valvontaviranomaisella (kuten Valvira) on oikeus tehdä tarkastuksia
5.2.2015
THL / OPER
Olennaiset vaatimukset ja omavalvonta: miksi?
• Asiakastietolaissa merkittäviä muutoksia sekä
terveydenhuollon palvelunantajille että järjestelmätoimittajille
• Varmistettava, että
– Järjestelmissä on käyttötarkoituksen kannalta oikeat
toiminnallisuudet, riittävät tietoturvaominaisuudet ja että ne
pystyvät liittymään osaksi Kanta-palvelujen kautta tapahtuvaa
tietojen vaihtoa  tietojärjestelmien OLENNAISET
VAATIMUKSET
– Organisaatioissa ja palveluntuottajilla on asianmukaiset
tietoturvakäytännöt ja käyttöympäristössä huolehditaan
asianmukaisesta tietoturvasta  palvelunantajien
OMAVALVONTA
– Erityishuomio Kanta-palvelujen kautta laajenevassa tietojen
saatavuudessa
3
Tietoturvallisuuden varmistaminen
• Osapuolten riittävän tietoturvan ja tietosuojan toteutuminen
tulee varmistaa
• Kanta-palvelujen näkökulmasta osapuolia
– Palvelunantajat (sote-palvelujen tuottajat)
– Tietojärjestelmät (valmistajat, tietojärjestelmäpalvelujen tuottajat)
– Välityspalvelut
• THL antoi seuraavat määräykset, joilla varmistetaan
tietoturvan ja tietosuojan toteutuminen
•
1. Määräys A-luokkaan kuuluvien sosiaali- ja terveydenhuollon
tietojärjestelmien olennaisista tietoturvavaatimuksista (Määräys 1/2015)
–
•
2. Määräys omavalvontasuunnitelmaan sisällytettävistä selvityksistä ja
vaatimuksista (Määräys 2/2015)
–
•
Määräys 1/2015 Liite 1: Tietoturvavaatimukset A-luokkaan kuuluville järjestelmille ja
järjestelmien käyttöympäristöille
Määräys 2/2015 Liite 1: Omavalvontasuunnitelman mallipohja
Jatkossa määräysten + vaatimusten päivityksiä ja mahd. uusia määräyksiä
4
Määräysten Kanta-palveluihin liittyviä käsitteitä
•
Tietojärjestelmä: sosiaali- tai terveydenhuollon asiakastietojen sähköistä
käsittelyä varten toteutettu ohjelmisto tai järjestelmä, jonka avulla
tallennetaan ja ylläpidetään asiakas- tai potilasasiakirjoja ja niissä olevia
tietoja sekä kerätyistä tiedoista muodostettua automaattisen
tietojenkäsittelyn avulla ylläpidettävää tiedostoa tai tietovarantoa, jonka
valmistaja on erityisesti suunnitellut sosiaali- tai terveydenhuollon asiakastai potilasasiakirjojen ja niissä olevien tietojen käsittelyyn. Myös
välityspalvelut ovat tietojärjestelmiä.
•
Tietojärjestelmän valmistaja: taho, joka on vastuussa sosiaali- ja
terveydenhuollon tietojärjestelmän suunnittelusta ja valmistuksesta
•
Tietojärjestelmäpalvelun tuottaja: taho, joka tarjoaa palvelunantajalle
tietojärjestelmäpalveluja, joissa käsitellään asiakas- ja potilastietoja
•
Asiakas- ja potilastietojen välityspalvelun tuottaja: palveluntarjoaja, jota
sosiaali- ja terveydenhuollon palvelujen antaja tai apteekki hyödyntää
Kanta-palveluihin liittymisessä, ja jolla on tässä roolissa mahdollisuus
nähdä salaamattomia asiakas- ja potilastietoja esimerkiksi ylläpitotoimien
yhteydessä
5
Olennaiset vaatimukset ja Kantasertifiointi
5.5.2015
THL / OPER
6
Järjestelmien luokittelu
• Asiakastietolain mukaisesti tietojärjestelmät jaotellaan
käyttötarkoituksensa ja ominaisuuksiensa perusteella A- ja Bluokan järjestelmiin
– A-luokka: Kanta-palvelut sekä järjestelmät jotka on tarkoitettu
niihin liitettäväksi joko suoraan tai teknisen välityspalvelun kautta,
sekä välityspalvelut: vaatimustenmukaisuustodistus
käyttöönoton edellytyksenä
– B-luokka: muut asiakas- ja potilastietojen käsittelyyn tarkoitetut:
täytettävä olennaiset vaatimukset 1.1.2017
• Epäselvissä tilanteissa THL päättää kumpaan luokkaan
tietojärjestelmä kuuluu
• THL voi antaa tarkempia määräyksiä tietojärjestelmien
luokkien määräytymisestä
• Valmistajalta ilmoitus järjestelmistä Valviralle (molemmissa
luokissa)
7
Järjestelmien luokittelu (kriteerit tarkentuvat edelleen)
•
A-luokan järjestelmän kriteerejä esim.
– Liittyy suoraan Kanta-rajapintaan ja sen kautta kansalliseen potilas- tai
asiakastietojen jakamiseen
– Tuottaa CDA-asiakirjan joka toimitetaan Kanta-palveluihin
– Esim. potilaskertomusjärjestelmät
– Erillisjärjestelmät jotka tuottavat cda-asiakirjan ja arkistoivat sen itse tai
lähettävät kertomusjärjestelmän arkistoitavaksi
•
B-luokkaan kuuluvia järjestelmiä esim.
– Järjestelmä joka lähettää potilastietoa sanomana
potilastietojärjestelmälle, joka muodostaa asiakirjan ja arkistoi sen
– Tukijärjestelmät joissa ei hoidon kannalta merkittävää tietoa
– Sähköisen asioinnin palvelut, kun ne eivät ole yhteydessä Kantapalveluihin
– Jne.
8
Mitkä asiat luokitteluun vaikuttavat?
• järjestelmän, osajärjestelmän tai tietojärjestelmäpalvelun
käyttötarkoitus
• olennaisten vaatimusten sisältö
• järjestelmän, osajärjestelmän tai tietojärjestelmäpalvelun
”myyntinimi” tai tuotenimi sekä se, onko osa myynnissä ja
markkinoinnissa ilmaistuja toiminnallisuuksia Kantapalvelujen kautta toteutuvia
• järjestelmän eri komponenttien välinen työnjako
• käyttöympäristön suojaustasovaatimukset
9
Esimerkkejä / luokka A
•
•
•
•
Potilastietojärjestelmätuote (esim. sähköinen potilaskertomusjärjestelmä), joka toimittaa
tietoja Kanta-palveluihin) tai hakee tietoja Kanta-palvelusta
Apteekin tietojärjestelmä, joka on liitetty Kanta-palveluihin
Tietojärjestelmä, jolla tehdään Kanta-palveluhin välitettäviä sähköisiä lääkemääräyksiä tai
sähköisiä potilasasiakirjoja tai joka hyödyntää niitä Kanta-palvelusta tai välityspalvelun
kautta
Potilastietojärjestelmä, joka tuottaa Kanta-palveluihin välitettävän potilasasiakirjan CDAmuodossa ja välittää sen toisen potilastietojärjestelmän tai välityspalvelun kautta Kantapalveluihin
•
Tietojärjestelmä, joka hakee tietoja Kanta-palveluista mutta ei lähetä sinne uusia
dokumentteja
•
Kanta-välityspalvelu, jonka toteuttaja voi päästä käsiksi asiakas- tai potilasasiakirjojen
sisältöihin
•
Erillisenä hankittava tai myytävä tietojärjestelmäpalvelu, joka välittää muilta järjestelmiltä
tietoa Kanta-palveluihin tai välittää muille järjestelmille tietoja Kanta-palveluista
•
•
Järjestelmä, jota markkinoidaan Kanta-palveluihin liittyvänä järjestelmänä
Järjestelmä, jota markkinoidaan Kanta-palvelujen käyttötapauksissa kuvatuilla
toiminnallisuuksilla, jotka toteutuvat Kanta-palveluihin liittymisen kautta (myös siinä
tapauksessa, että tekninen liittyminen , toteutetaan ulkoista tietojärjestelmäpalvelua tai
toisen toimittajan tuotetta käyttäen)
Erikseen hankittava palvelu tai komponentti, jonka avulla voidaan toteuttaa muiden
järjestelmien liittäminen Kanta-palveluihin ja olennaisten tietoturvallisuusvaatimusten
täyttäminen kokonaan tai osittain
•
10
Esimerkkejä / luokka B
•
Sosiaalihuollon asiakastietojärjestelmä, joka ei välitä tietoja Kanta-palveluihin
•
Terveydenhuollon potilastietojärjestelmä, joka ei vielä ole liittynyt Kantapalveluihin mutta tulee liittymään niihin tulevaisuudessa (jolloin siirtyy
luokkaan A)
•
Sähköisen asioinnin palvelu tai asiointijärjestelmä, jossa käsitellään asiakastai potilastietoja, mutta joka ei liity Kanta-palveluihin
•
Terveydenhuollon potilastietojärjestelmä tai sosiaalihuollon
asiakastietojärjestelmä, jota ei myydä tai markkinoida Kanta-palveluihin
liittyvänä järjestelmänä, ja joka tuottaa yksittäisiä tietoelementtejä, joista
toinen tietojärjestelmä tai palvelu koostaa asiakirjoja, jotka välitetään toisen
tietojärjestelmän kautta Kanta-palveluihin
•
Järjestelmä, joka hyödyntää erillistä tietojärjestelmäpalvelua tai ohjelmistoa
Kanta-liittymään ja jonka osalta liittymäpalvelun kautta hoidetaan kaikkien Aluokan vaatimusten toteutuminen, ja jota ei myydä tai markkinoida Kantapalveluihin liittyvänä tai sellaisilla toiminnallisuuksilla, jotka toteutuvat Kantapalveluihin liittymisen kautta
11
Esimerkkejä / ei A- eikä B-luokkaan kuuluvat
•
Yleiset tekstinkäsittely- tai toimisto-ohjelmat, joita käytetään myös asiakas- ja
potilastietojen kirjaamiseen.
•
Suojatussa ympäristössä toimiva sairaalan tai muun palveluntuottajan
hallinnollinen tukijärjestelmä, jonka keskeisenä käyttötarkoituksena ei ole
asiakas- tai potilastietojen käsittely, vaikka se saattaa sisältää joitakin
asiakastietoja, esimerkkejä: ateriatilausjärjestelmä, materiaalihallinnon
järjestelmä, käyttövaltuuksien hallintajärjestelmä tai asiakas- tai
potilaslaskutusjärjestelmä, jonka kautta ei käsitellä salassa pidettäviä
asiakas- tai potilastietoja ja jonka nimenomainen käyttötarkoitus ei ole
asiakas- tai potilastietojen käsittely.
•
Yleiset tietokanta-, sovelluspalvelin-, integrointialusta- tai muut
infrastruktuurituotteet, elleivät ne toimi itsenäisesti Kanta-välityspalveluna
•
Viestintään käytetyt järjestelmät tai sovellukset, joiden käyttötarkoituksiin ei
kuulu asiakas- tai potilastietojen hallinta tai käsittely
•
Yleinen asianhallintajärjestelmä, jota valmistaja ei ole erityisesti suunnitellut
sosiaali- tai terveydenhuollon asiakas- tai potilasasiakirjojen ja niissä olevien
tietojen käsittelyyn, ja joka ei sisällä ominaisuuksia joilla se olisi yhteydessä
valtakunnallisiin sote-tietojärjestelmäpalveluihin.
12
Olennaiset vaatimukset tietojärjestelmille ja
välittäjille – Kanta-sertifioinnin lähtökohta
1. Toiminnalliset vaatimukset tietojärjestelmille ja välittäjille
–
–
–
–
Järjestelmän toimittaja dokumentoi ja todentaa
Erityisesti hakeutuessaan Kelan yhteistestaukseen (vrt.
yhteystestausvalmiuksien osoittaminen)
Lähtökohtana nykyiset eReseptin ja Potilastiedon arkiston määrittelyt
Tarkennetaan toiminnallisten vaatimusten todentamista ja dokumentointia
jatkossa
2. Tietojärjestelmien yhteentoimivuuteen liittyvät vaatimukset
–
–
–
Todennetaan Kelan yhteistestauksella Kanta-palveluihin liittyen
Lähtökohtana nykyiset eReseptin ja Potilastiedon arkiston määrittelyt
Kela antaa lausunnon suoritetusta testauksesta
3. Tietoturvavaatimukset
–
–
THL määräyksen mukaiset vaatimukset tietojärjestelmille ja välittäjätahoille
Viestintäviraston hyväksymä arviointilaitos todentaa ja antaa lausunnon
Hyväksytyn sertifioinnin tuloksena järjestelmä saa
vaatimustenmukaisuustodistuksen
13
Sertifiointiprosessin pääasiat
•
Toimittaja dokumentoi toiminnallisten vaatimusten toteutumisen
•
Toimittaja ilmoittautuu Kelan yhteistestaukseen
•
Hyväksytystä testauksesta lausunto toimittajalle
•
Toimittaja sopii suoraan Viestintäviraston hyväksymän
arviointilaitoksen kanssa tietoturvallisuuden auditoinnista
– Prosessista syntyvät vaatimustenmukaisuustodistus, tarkastusraportti
ja ilmoitukset
•
Toimittaja ilmoittaa käyttöönotettavissa olevasta järjestelmästä
Valviralle, kun molemmat hyväksymislausunnot saatu
– Valvira ylläpitää rekisteriä järjestelmistä
•
Myös välityspalveluille ulkoinen tietoturva-auditointi
14
Sertifiointiprosessin päävaiheet
15
Sertifioidut/auditoidut tietojärjestelmät:
sähköinen resepti
05.03.2015
20
Hyväksytty
Tietojärjestelmä
Versio
Valmistaja
18.05.2010
Linnea
eReseLinnea 1.0.0
Receptum Oy
17.09.2014 (18.05.2010)
Pegasos
8.1..SP.8.1.8
Logica Oy
19.05.2010
Reseptikeskus
18.12.2014 (23.03.2011)
Salix
18.3.2011/08.00
Pharmadata Oy
18.12.2014 (24.03.2011)
Effica
4.0. 13.00
Tieto Oyj
18.12.2014 (08.04.2011)
Uranus
8.1.1.
Logica Oy
18.12.2014 (19.04.2011)
Maxx
12.4.2011
Receptum Oy
29.12.2014 (22.11.2011)
Graafinen Finstar
4.0
Logica Oy
22.11.2011
Mediatri
2011.12
Mediconsult Oy
19.03.2012
Abilita Terveydenhuolto
v2012/01
Abilita Oy
04.01.2013
Acute
v2012.11
Acute FDS Oy
12.03.2013
Esko
PTJ v.3.7
Lääkehoitosovellusosio v3.0
Pohjois-Pohjanmaa shp
02.07.2013
DynamicHealth
7.16
Tieto Healthcare & Welfare Oy
03.02.2014
SoftMedic
5.0
CGI Suomi Oy
29.04.2014
MAXX-eResepti
Receptum Oy
AssisCare
Entteri Professional Software Oy
22.05.2014
eDoctoral
PlusTerveys Oy
20.08.2014
eRA
Atostek Oy
17.09.2014
Pegasos
16.12.2014
MediResepti
Kela
8.2
CGI Suomi Oy
Mediconsult Oy
http://www.kanta.fi/fi/web/ammattilaisille/auditoidut-jarjestelmat-ja-valittajat
16
Kelan yhteistestauksessa olevat
potilastietojärjestelmät:
Potilastiedon arkisto
05.03.2015
12
Aloitus
Tietojärjestelmä
Valmistaja
03 / 2014
*Graafinen Finstar
CGI Suomi Oy
04 / 2014
Esko
Pohjois-Pohjanmaa shp
08 / 2014
Multilab
MyLab Oy
08 / 2014
Radu
Lforce Oy
10 / 2014
Mediatri
Mediconsult Oy
02 / 2015
Diarium
Finnish Net Solutions Oy
04 / 2015
DynamicHealth
Tieto Healthcare & Welfare Oy
04 / 2015
eRA
Atostek Oy
04 / 2015
SoftMedic
CGI Suomi Oy
04 / 2015
**eDoctoral
PlusTerveys Oy
04 / 2015
**Lifecare
Tieto Healthcare & Welfare Oy
04 / 2015
**WinHIT
In Net Oy
*Kuvantamisen osalta
**Suun terveydenhuolto
http://www.kanta.fi/fi/web/ammattilaisille/testaus
17
Sertifioidut/auditoidut tietojärjestelmät:
Potilastiedon arkisto
05.03.2015
Hyväksytty
Järjestelmä
Versio
Valmistaja
(11.11.2011)
Pegasos / eArkisto (pilotti)
8.2.18
Logica Oy
22.11.2012
Mediatri / Yhteisrekisteri
2012.07
Mediconsult Oy
29.11.2012
Effica / Yhteisrekisteri (ei tth)
4.1 MF22
Tieto Oyj
28.10.2013
Effica / Potilastiedon arkisto
4.1 vuosijulkaisu 2013 (H2)
Tieto Oyj
03.02.2014
Navitas / Yhteisrekisteri
4.6
Appelsiini Finland Oy
09.03.2014
Uranus / Yhteisrekisteri
8.2.4
CGI Suomi Oy
10.03.2014
neaRIS / Yhteisrekisteri
neaLINK / Yhteisrekisteri
1.8
3.14
Neagen Oy
09.05.2014
Altti / Yhteisrekisteri
01.03.00
Fujitsu Finland Oy
22.05.2014
16.05.2014
Pegasos
9.1.00
CGI Suomi Oy
19.12.2014
22.09.2014
Uranus / Potilastiedon arkisto
8.4
CGI Suomi Oy
05.11.2014
23.10.2014
Graafinen Finstar (GFS)
5.0
CGI Suomi Oy
04.12.2014
27.11.2014
Acute
4.3
Acuvitec Oy
03.02.2015
19.12.2014
Abilita
2014.02
Abilita Oy Ab
13
02.11.2013
http://www.kanta.fi/fi/web/ammattilaisille/auditoidut-jarjestelmat-ja-valittajat
18
Omavalvontasuunnitelma
THL / OPER
Omavalvontasuunnitelma
• Terveydenhuollon palvelunantajan, välittäjien sekä
Kansaneläkelaitoksen on tehtävä Omavalvontasuunnitelma
liittyen tietoturvaan, tietosuojaan ja tietojärjestelmien käyttöön
• Laissa määritellään keskeiset omavalvontasuunnitelman
sisällöt
• THL antaa määräyksiä Omavalvontasuunnitelmaan
sisällytettävistä selvityksistä ja vaatimuksista
• Pääasiallisena lähtökohtana olleet aiemmat organisaation
itseauditointivaatimukset Kanta-käyttöönottoihin liittyen
• Omavalvonta korvaa (sisältää) aiemman
itseauditointikäytännön
20
Omavalvontasuunnitelma
Keiden on laadittava
•
Sähköistä asiakas- ja potilastietojen käsittelyyn tarkoitettua
tietojärjestelmää käyttävien
– Sosiaali- ja terveydenhuollon palvelun antajien,
– apteekkien
– itsenäisten ammatinharjoittajien
•
Kansaneläkelaitoksen
•
Kanta-välityspalveluiden tuottajien
Miksi
•
Suunnitelmassa selvitettyjen toimenpiteiden avulla ylläpidetään ja
kehitetään organisaation tietoturvaa ja tietosuojaa
Milloin
•
31.3.2015 mennessä
21
Määräys omavalvontasuunnitelmasta
• Määräys Omavalvontasuunnitelmasta
– Oli lausunnolla 21.11.2014 asti
– Palautetta antoi 88 toimijaa
– Palautteen perusteella täsmennettiin määräys
• Mm. käsitteet, välittäjien ja Kansaneläkelaitoksen huomiointi,
omavalvontasuunnitelman suhde nykyisiin auditointivaatimuksiin,
omavalvonta/ tietoturvan varmistaminen ostopalvelu- ja
ulkoistustilanteissa
• Omavalvontasuunnitelman mallipohja
– Dokumenttipohja toimijoiden hyödynnettäväksi, johon koottu
pohjaa omavalvontasuunnitelmaan kirjattaviin sisältöihin ja
viittauksiin muihin omavalvonnassa tarvittaviin dokumentteihin
22
Omavalvonta sosiaalihuollossa
• Omavalvontasuunnitelmaan sisällytetään kaikki
tietojärjestelmät, joilla käsitellään asiakas- ja potilastietoa
• Koskee siis myös sosiaalihuollon toimintaa ja
sosiaalihuollossa käytettäviä asiakastietojärjestelmiä
• Laki sosiaalihuollon asiakasasiakirjoista (HE 345/2014)
määrittelee, kenen pitää kirjata:
– ” Velvollisuus kirjata asiakastiedot alkaa, kun palvelunantaja on
saanut tiedon henkilön palveluntarpeesta tai ryhtynyt
toteuttamaan sosiaalipalvelua”.
• Yksityisten asiakkaiden kohdalla velvollisuus alkaa,
kun asiakkaan kanssa on tehty palvelun
toteuttamisesta.
5.5.2015
THL / OPER
23
Minimivaatimukset ja selvitykset
Varmistetaan, että kaikki asiakas- ja potilastietojen käsittelyyn
osallistuvat palvelun antajat ja muut tahot huolehtivat
1.
2.
3.
4.
5.
6.
7.
8.
9.
Henkilöstön riittävästä koulutuksesta ja kokemuksesta
Asianmukaisten käyttöohjeiden saatavuudesta
Asianmukaisesta käytöstä valmistajan ohjeitten mukaan
Menettelytavoista virhe- ja ongelmatilanteissa
Toimintamallista asennus-, ylläpito- ja päivitystilanteissa
Käyttöympäristön vaatimustenmukaisuudesta
Tietojärjestelmien vaatimustenmukaisuudesta
Liittymisestä valtakunnallisiin tietojärjestelmäpalveluihin
Riittävistä käytön seuranta- ja valvontatoimenpiteistä
24
Kuvattavat tietojärjestelmät
• Suoraan Kanta-palveluihin liitettävät Aluokan tietojärjestelmät
• Asiakas- ja potilastietoja käsittelevät Bluokan tietojärjestelmät
• Asiakas- ja potilastietojen asennukseen,
ylläpitoon ja päivitykseen vaikuttavat ja
niissä huomioitavat tietojärjestelmät
14.2.2015
THL / OPER
25
Esimerkki Luku 3 Yleiset tietoturvakäytännöt
Sisällytettävä kuvaukset tai viittaukset seuraavista asioista:
• Tietoturvapolitiikka: tiedot sen tarkastamisen ja
kehittämisen käytännöistä
• Yleistiedot: tietoturvan vastuutuksesta, organisoinnista,
seurannasta ja valvonnasta sekä tietosuojavastaavista
• Koulutus, ohjeistus, käyttökokemus ja niiden seuranta
• Toimintamallien koulutus ja perehdytys
• Tietojärjestelmien käyttökoulutus
• Riittävä kokemus
• Ohjeet ja koulutus potilastietojen käsittelystä
14.2.2015
THL / OPER
26
Esimerkki / Luku 4 Käyttöympäristö: Tilojen,
työasemien, tallennusvälineiden ja tulosteiden sekä
muun ympäristön turvallisuuden hallinta
Kuvataan ja luetellaan seuraavat turvallisuustekijät:
•
Suojattavat fyysiset tilat ja niiden suojauskäytännöt
•
Työasemien sijoittuminen, lukittuminen ja suojaus sivullisilta
•
Työasemien virus- ja haittaohjelmilta suojautuminen
•
Mobiililaitteiden ja –ympäristöjen suojauskäytännöt, PIN-koodien
hallinta, SIM-korttien hallinta, ohjelmalliset suojaukset
•
Oheisohjelmistojen asentaminen työasemille, palvelimille ja
mobiililaitteille
•
Tulosteiden turvallisuus ja tulosteiden turvallisen käsittelyn
käytännöt
•
Ulkoiset tallennuslaitteet ja tallennusvälineet
•
Yleiset käyttöympäristön tukipalvelut, Operaattoreitten ja
tietoliikenteen vastuut ja niiden sisällyttäminen sopimuksiin
•
Etäyhteydet, langattomat verkot ja reitittimet
14.2.2015
THL / OPER
27
Esimerkki Luku 8 Tietojärjestelmäkohtaiset
ohjeet ja suunnitelmat
•
Esim. A-luokkaan kuuluva:
–
Järjestelmä, versio, toimittaja, yhteystiedot
–
Käyttötarkoitus
–
Käyttäjäryhmät
–
Käyttöohjeet
–
Ohjeiden päivittäminen ja jakelu
–
Menettelyt virhe- ja ongelmatilanteissa
–
Järjestelmäkohtaiset tukipalvelut
–
Asennus- ja ylläpitovastuut ja -vaatimukset
–
Menettelytavat ja vastuut virhe- ja poikkeustilanteissa
–
Käyttövaltuushallinta järjestelmässä
–
Tunnistautuminen järjestelmässä
–
Lokit
–
Järjestelmän lukittuminen
–
Kantaan liittyvän järjestelmän vaatimustenmukaisuustodistuksen tietojen varmistaminen
–
Järjestelmän tiedot Valviran rekisterissä
14.2.2015
THL / OPER
28
Omavalvontasuunnitelman mallipohja
• Yleinen pohja, jossa malleja ja ”valmiita paikkoja” asioille,
joihin omavalvonnassa (ja suunnitelmassa) on vastattava
• Sovellettava omaa tilannetta vastaavalla tavalla
– Vaatimusten toteuttaminen eri tavoin mahdollista eri tyyppisissä
organisaatioissa ja palveluissa
– Perusteltavissa, mikäli jokin vaatimus tai kohta ei ole relevantti
omien palvelujen / oman käyttöympäristön kannalta
• Osa ratkaistavista asioista voi perustua esim. sopimuksiin ITpalveluja tuottavien tai tietojärjestelmäympäristöä
hallinnoivien tahojen kanssa
– Myös nämä seikat mainittava ja oltava todennettavissa
29
Vastuut ja roolit sekä hyväksymis- ja
tarkistusmenettelyt
•
Omavalvontasuunnitelman mukaisen toiminnan varmistaminen
edellyttää suunnitelman hyväksymistä organisaation omien
hyväksymiskäytänteiden mukaisesti
•
Omavalvonnan vastuu on toimintayksikön vastaavalla johtajalla
– Toteutukseen kuuluu säännöllinen toiminnan valvonta: toimenpiteet
rikkomustilanteissa, toteuman laadun arvointi, riskien hallinta ja
takaisinkytkentä jatkuvaan kehitystyöhön
•
Kirjataan vastuut myös sopimuksiin, esim.
–
–
–
–
•
Käyttöympäristö tai tietotekniikkapalvelu ulkoistettu
Tietoliikenne ja viestinvälitys ulkoistettu
Ostopalvelun yhteydessä
Asiakas- ja potilastietojärjestelmiä käyttävien toimintayksiköiden ja
ammatinharjoittajien vastuiden määrittelyiden yhteydessä
Varauduttava toiminnan toteutumisen tarkistuksiin esim.
valvontaviranomaisen taholta
•30
Itseauditoinnista omavalvontaan
Omavalvontasuunnitelman laatimisessa voi hyödyntää aiempien
Terveydenhuollon auditointivaatimusten läpikäyntiohjetta, joka löytyy
Käyttöönotonkäsikirjasta www.kanta.fi
 Henkilökunnan koulutus
 Ohjeet potilastietojen käsittelystä
 Tietoturvapolitiikka
 Nimetty tietosuojavastaava
 Muutostenhallintaprosessi
 Järjestelmän ylläpito
 Käyttövaltuushallinta, -oikeuksien
jako ja hallinta
 Tunnistautuminen järjestelmiin
 Virhetilanteiden hallinta
 Tietosuojan valvonta
 Tietoturvapoikkeamien havainnointi
ja tietojärjestelmien käytön seuranta
 Käyttäjätunnusten yksilöllisyys
 Hallintayhteydet järjestelmään
31
Kysytyimpiä kysymyksiä
THL / OPER
Vastuu järjestelmän luokittelun tekemisestä
• Kysymys: Kuka luokittelun tekee?
• Vastaus: Lain mukaan valmistaja on vastuussa sosiaalija terveydenhuollon tietojärjestelmän luokittelusta.
Valmistajan lukuun luokittelun voi tehdä myös
tietojärjestelmäpalvelun tuottaja, joka myy esimerkiksi
ulkomaista tietojärjestelmätuotetta tai tarjoaa siihen
tukipalveluja.
5.5.2015
THL / OPER
33
Mitä tietojärjestelmiä pitää ilmoittaa Valviralle?
• Kysymys: Mitkä järjestelmät kuuluvat Valviralle ilmoitettaviin
A- tai B-luokan tietojärjestelmiin?
• Vastaus: Tietojärjestelmät, joiden käyttötarkoitus (tai yksi
käyttötarkoituksista) on sosiaalihuollon asiakastietojen tai
terveydenhuollon potilastietojen käsittely. Nämä tiedot ovat
salassa pidettäviä. Yleisiä toimisto-ohjelmistoja tai vastaavia
yleiskäyttöisiä ohjelmistoja ei ilmoiteta rekistereihin.
34
Mitkä järjestelmät sisällytetään
omavalvontasuunnitelmaan?
• Mitkä järjestelmät on sisällytettävä
omavalvontasuunnitelmaan? Järjestelmät, jotka liitetty Kantapalveluihin? Millä perusteilla poimitaan mukaan otettavat?
– Omavalvontasuunnitelmaan kirjataan/linkitetään luettelo kaikista
organisaation käyttämistä asiakas- ja potilastietojen käsittelyyn
tarkoitetuista tietojärjestelmistä
– Samoin viite/kuvaus/linkki järjestelmäkohtaisiin kuvauksiin
– Jos kuvauksia ei ole tehty, tehdään suunnitelma ja aikataulu
kuvausten laatimisesta
5.5.2015
THL / OPER
35
Tietoturvapolitiikka
• Kuinka tarkka esitys omavalvontasuunnitelman liitteeksi pitää
tietoturvapolitiikasta yrityksissä tehdä? Järjestömme on
tuottanut jäsenistölle Tietoturvapolitiikan mallin. Riittääkö se,
että yrittäjä liittää sen osaksi omavalvontasuunnitelmaa
edellyttäen tietenkin, että on sisäistänyt sen sisältämän
sanoman?
– Mallipohjia voi hyvin käyttää. Keskeistä on se, että palvelun
tuottaja sisäistää asian, ja täydentää mallipohjaan oman
organisaationsa näkökulmasta
5.5.2015
THL / OPER
36
Vastuut järjestelmätoimittajan ja
palveluntuottajan välillä omavalvonnassa
Mistä tiedän, mitkä asiat omavalvonnassa kuuluvat sosiaali- ja
terveydenhuollon palveluntuottajan/ ammatinharjoittajan vastuulle ja
mitkä tietojärjestelmätoimittajan vastuulle?
•
Kokonaisvastuu omavalvontasuunnitelman laatimisesta,
suunnitelman mukaisesta toiminnasta ja toteutumisen seurannasta
on sosiaali- ja terveydenhuollon organisaatiolla
•
Järjestelmätoimittajan rooli voi vaihdella järjestelmän hankinta- ja
ylläpitomallin mukaisesti
•
Vastuut kirjattava sopimuksiin ja omavalvontasuunnitelmaan
kuvattava miten asiasta on sovittu järjestelmätoimittajan kanssa
•
Esim. hankittaessa järjestelmä palveluna järjestelmätoimittaja
vastaa järjestelmän teknisestä ylläpidosta, versioiden asennuksista,
tietoliikenteestä ym.
5.5.2015
THL / OPER
37
Omavalvontasuunnitelman julkisuus
• Tuleeko omavalvontasuunnitelman olla julkisesti nähtävillä
esimerkiksi internetissä, vai riittääkö, että suunnitelma on
henkilöstön nähtävillä?
– Omavalvontasuunnitelman ei tarvitse / pidäkään olla julkisesti
nähtävillä
– Monissa tilanteissa ja organisaatioissa suunnitelma sisältää
sellaista tietoturvallisuustietoa, joka on syytä pitää ulkopuolisten
saavuttamattomissa tai poissa julkisesta jakelusta tai
– Henkilöstön tulee olla tietoinen omavalvontasuunnitelmasta tai
ainakin niistä sen asioista jotka heitä suoraan koskevat
5.5.2015
THL / OPER
38
Mikä on riittävä henkilöstön kokemus?
• Miten määritellään henkilöstön riittävä kokemus?
– Henkilöstön kokemus järjestelmän käyttöön kasvaa käytön ja
koulutusten myötä
– Keskeistä on, että uusille työntekijöille järjestetään riittävä
koulutus ja perehdytys järjestelmän käyttöön
5.5.2015
THL / OPER
39
Tietojärjestelmän käyttäminen valmistajan
ohjeiden mukaisesti
• Omavalvontasuunnitelman kysymys: "Miten varmistetaan ja
todennetaan, että tietojärjestelmiä käytetään valmistajan
antamien ohjeistusten mukaisesti tai niitä
tarkoituksenmukaisesti soveltaen tai täydentäen."
– Kun koulutus, ohjeistus ja seuranta on toteutettu siten, että
ajantasaiset ohjeistukset ovat saatavilla ja käyttäjät tuntevat
ohjeet, ja käyttöön liittyville käyttäjien kysymyksille (myös ohjeisiin
liittyen) on määritelty selkeä ja tiedossa oleva toimintatapa, ei
pidemmälle menevää todentamista voida nykyisellään edellyttää.
5.5.2015
THL / OPER
40
Määräajat ja voimassaolot
•
Kysymys: Järjestelmämme jonka on suunniteltu liittyvän Kanta-palveluihin
ei ole vielä käynyt läpi yhteistestausta eikä sertifiointiprosessia. Ovatko
tietoturvan sertifiointivaatimukset sille voimassa?
– Vastaus: Ovat, säädösten ja määräyksen mukaisesti. Yhteistestaus, tietoturvaauditointi ja vaatimustenmukaisuustodistus tarvitaan ennen kuin järjestelmä
voidaan ottaa tuotantokäyttöön.
•
Kysymys: Järjestelmäämme on suoritettu tietoturvallisuuden auditointi ja
yhteistestaus ennen 1.1.2015. Koska tarvitaan uudelleenauditointi ja uusien
määräysten mukainen vaatimustenmukaisuustodistus?
– Vastaus: Nykyisten määräysten mukaisesti vanha auditointi on voimassa
auditointiraportissa todetun voimassaolon mukaisesti. Kelan päätöksellä ennen
1.1.2015 hyväksytty järjestelmä on voitu liittää Kanta-palveluihin enintään kahden
vuoden ajaksi. Mikäli järjestelmään on tehty vain itseauditointi, tulee huolehtia
ulkoisesta tietoturva-auditoinnista siirtymäaikojen puitteissa.
•
Kysymys: Voiko Kanta-palveluihin liittyä 1.1.2015 jälkeen sellaisen
välittäjäpalvelun kautta, joka on ennen tätä suorittanut tietoturvan
itseauditoinnin?
– Vastaus: Kyllä voi, mutta välittäjäpalvelun on huolehdittava uusien määräyksien
mukaisen sertifioinnin toteuttamisesta omavalvontasuunnitelman lisäksi 6 kk
kuluessa määräysten voimaantulosta (määräykset tulivat voimaan 1.2.2015).
5.5.2015
THL / OPER
41
Mitä jatkossa?
•
Päivityksiä ja tarkennuksia saatujen kokemusten perusteella vaatimuksiin ja
määräyksiin
•
Alustavaa tietoa: vuoden 2015 aikana toiminnallisten vaatimusten
määräyksen valmistelu?
– Mukana toiminnallisissa vaatimuksissa
•
•
Toiminnallisuudet (pääosin Kanta-käyttötapausten pohjalta)
Tietosisällöt (esim. arkiston osalta vaiheistuksen mukaisesti)
– Kohteena etenkin A-luokan järjestelmien toiminnallisten vaatimusten ”pääryhmittely”
• Tarkennettavana, missä määrin (jos lainkaan) ensimmäiseen versioon B-luokan
järjestelmien toimintojen erittelyjä
• Liikkeelle ”ylätason toiminnallisuus- ja sisältöotsikoista” + viittaukset tarkempiin
määrittelyihin
–
Tukee jatkossa myös määrittelyjen ja sertifioinnin ”rytmitystä” release-pakettien avulla (esim. ”vuoden
2015 Kanta-määrittelyjen mukainen toteutus”)
–
joissakin muissa maissa käytetty toiminnallisten vaatimusten standardeja tarkemmalla tasolla sertifioinnin
ja kansallisten vaatimusten pohjana
» esim. ISO/HL7 Electronic Health Record System Functional Model standardin käännökset ja profiilit
erityyppisille järjestelmille / Italia, Kreikka, Hollanti, USA…
– Todentamistavat yksi tarkennettavista seikoista
5.2.2015
Juha Mykkänen/ OPER
Yhteenveto
• Olennaisten vaatimusten ja omavalvonnan kautta
varmistetaan, että
– järjestelmissä on riittävällä tavalla huomioitu käyttötarkoituksen
edellyttämät yhteentoimivuus-, tietoturva- ja tietosuoja-asiat
– asiakas- ja potilastiedot suojataan asianmukaisilla tietoturva- ja
tietosuojakäytännöillä palvelujen tuottajien toiminnassa
• Olennaiset vaatimukset nojautuvat kansallisiin määrittelyihin
• Omavalvontasuunnitelman soveltaminen sovitettava palvelun
tuottajan toimintatapojen mukaiseksi
– Esim. osa asioista mahdollista hoitaa sopimusten kautta, mutta
vaatimukset pystyttävä todentamaan myös näissä tilanteissa
• Määräyksiä ja vaatimuksia päivitetään jatkossa, kun
kansallisia palveluita ja sisältöjä tulee lisää
43
Kiitos!
[email protected]
Lisätietoja:
http://www.kanta.fi/web/ammattilaisille/sert
ifiointi
https://www.thl.fi/fi/web/tiedonhallintasosiaali-ja-terveysalalla/tiedon-javaatimusten-yhdenmukaistaminen
http://www.kanta.fi/web/ammattilaisille/poti
lastiedon-arkiston-kayttoonoton-kasikirja
44