Tietoturvasuunnitelma

Suunnitelman päiväys: 17.10.2024

Tämä asiakirja on tarkoitettu ylle kirjatun tietoturvasuunnitelman kohteen sekä sen alla kirjattujen yhteistyökumppaneiden yksinomaiseen käyttöön. Tätä asiakirjaa ei saa levittää ulkopuolisille, eikä käyttää sellaisenaan hyödyksi yrityksen tai sen tässä asiakirjassa mainittujen yhteistyökumppaneiden ulkopuolella. Asiakirja voidaan tarvittaessa luovuttaa valvovien viranomaisten perehdyttäväksi tai muuhun vastaavaan rajattuun käyttöön, kuten esimerkiksi tietosuojan, lupaehtojen tai sopimusehtojen mukaiseen auditointiin.

Tämän tietoturvasuunnitelman pohjana on käytetty Suomen Kuntoutusyrittäjät ry:n ja Nordhealth Oy:n yhdessä laatimaa mallia, jonka perustana on puolestaan THL:n 20.12.2021 julkaiseman tietoturvasuunnitelman malli sekä siihen loppuvuonna 2023 lausunnolla olleet muutosehdotukset.

Familo-Minna (Minna Laine) toimii Silmuke Oy:llä ammatinharjoittajana ja käyttää tätä kautta Diarium tietoturvajärjestelmää ja noudattaa tietoturvaohjeistusta.

Familo-Minna tietosuojavastaava on Minna Laine. 050 5749256. Minna.laine(at)silmuke.fi.

Silmuke Oy:n tietosuojavastaava on Kaisu Jouha. 044 0560082. Kaisu.jouha(at)silmuke.fi

Sisällys

1. Tietoturvasuunnitelman käyttötarkoitus 3

2. Tietoturvasuunnitelman kohde ja päivityskäytännöt 4

3. Yleiset tietoturvakäytännöt 5

4. Menettelyt virhe- ja ongelmatilanteissa sekä jatkuvuudenhallinta 5

5. Henkilöstön koulutus ja osaaminen sekä tietojärjestelmien käyttöohjeet ja tietoturvallinen käyttäminen 6

5.1. Henkilöstön koulutus sekä osaamisen ylläpito ja kehittäminen 6

5.2. Tietojärjestelmien käyttöohjeet ja ohjeiden mukainen käyttö 7

6. Tietojärjestelmien tietoturvakäytännöt 7

6.1. Tietojärjestelmien perustiedot, kuvaukset ja olennaisten vaatimusten täyttyminen 7

6.1.1. Kanta-palveluihin liittyvät tietojärjestelmät (luokat A2 tai A3) 8

6.1.2. Muusta syystä tietoturva-auditoidut tietojärjestelmät (luokka A1) 8

6.1.3. Muut asiakastietoja käsittelevät järjestelmät (luokka B) 8

6.1.4. Muut tietojärjestelmät, jotka on otettava huomioon arkaluonteisten asiakastietojen suojaamisen kannalta 8

6.1.5. Tietojärjestelmien olennaisten vaatimusten täyttyminen 8

6.2. Tietojärjestelmien asennus, ylläpito ja päivitys 8

6.3. Käyttövaltuuksien hallinnan ja tunnistautumisen käytännöt 9

6.4. Asiakas- ja potilastietojärjestelmien pääsynhallinnan ja käytön seurannan käytännöt 10

7. Tietojärjestelmien käyttöympäristön tietoturvakäytännöt 11

7.1. Fyysinen turvallisuus osana tietojärjestelmien käyttöympäristön turvallisuutta 11

7.2. Työasemien, mobiililaitteiden ja käyttöympäristön tukipalveluiden hallinta 12

7.3. Alusta- ja verkkopalvelujen tietoturvallinen käyttö tietosuojan ja varautumisen kannalta 12

8. Kanta-palvelujen liittymisen ja käytön tietoturvakäytännöt 14

9. Tietojärjestelmäkohtaiset tarkemmat kuvaukset, ohjeet ja suunnitelmat 16

9.1. Järjestelmät X (luokkiin A2 ja A3 kuuluvat) 16

9.2. Järjestelmät X (luokkaan A1 kuuluvat) 17

9.3. Järjestelmät Y (luokkaan B kuuluvat) 18

9.4. Järjestelmät Z (muut järjestelmät, jotka eivät kuulu luokkiin A tai B) 18

1. Tietoturvasuunnitelman käyttötarkoitus

Tämän tietoturvasuunnitelman käyttötarkoitus on täyttää 1.1.2024 voimaan tulleen asiakastietolain1 703/2023 77 §:n ja sitä vastaavan THL:n (kevään 2024) määräyksen mukaiset velvoitteet. Suunnitelma kokoaa yhteen asiakastietolaissa vaaditut kaikilta sote-palveluntuottajilta edellytettävät tietosuojaan liittyvät selvitykset ja vaatimukset.

Tietoturvasuunnitelmaa päivitetään säännöllisesti kerran vuodessa maaliskuun loppuun mennessä. Tietoturvasuunnitelman laadinnan ja noudattamisen vastuu on sosiaali- ja terveydenhuollon vastuuhenkilöllä (aiemmassa lainsäädännössä vastaava johtaja tai itsenäinen ammatinharjoittaja yrittäjänä itse).

Tietoturvasuunnitelman laatimisessa voi hyödyntää myös esimerkiksi seuraavia lähteitä:

Kyberturvallisuuskeskus – Sosiaali- ja terveydenhuollon hankintojen tietoturva- ja tietosuojavaatimukset: https://www.kyberturvallisuuskeskus.fi/fi/ajankohtaista/ohjeet-ja-oppaat/sosiaali-ja-terveydenhuollon-hankintojen-tietoturva-ja]

Ohjeita tietoturvaan verkkokoulu
https://content.navisec.fi/diarium/tietoturva/#/

2. Tietoturvasuunnitelman kohde ja päivityskäytännöt

Tämän tietoturvasuunnitelman piiriin kuuluvat:

Tietoturvasuunnitelman tässä kappaleessa selvitetään se yritys tai ne yritykset, jotka tämä tietoturvasuunnitelma kattaa.

Tietoturvasuunnitelman ylläpidosta ja toteuttamisesta vastuussa oleva yritys:

Nimi: Familo-Minna (Silmuke Oy)

Y-tunnus: 1857131-1 ja (2914663-6)

Vastuuhenkilö/johtaja: Minna Laine (Elina Rajajärvi, Sanna Sinkko)

Toimipaikat: Osmonkatu 15 A 53100 Lappeenranta (Toikankatu 4 53100 Lappeenranta)

Suunnitelman toteuttamisessa ja päivittämisessä noudatetaan seuraavia käytäntöjä:

Suunnitelmasta ja sen päivittämisestä vastaa ylle kirjattu yrittäjä. Familo-Minna toiminnasta vastaa Minna Laine. Familo-Minna tekee työtä Silmuke Oy:lle ammatinharjoittajana.

Tarkistus- ja päivityskäytännöt: Yrittäjä on vastuussa suunnitelma ajantasaisuudesta. Suunnitelma päivitetään vuosittain maaliskuun loppuun mennessä. Tämän lisäksi suunnitelmaa tarkastellaan ja päivitetään aina uusia tietojärjestelmiä (kuten potilastietojärjestelmiä) tai laitekokonaisuuksia hankittaessa sekä yrityksen toimipisteisiin tai verkkopalveluihin tulleiden olennaisten muutosten yhteydessä.

Yrittäjä perehtyy tähän tietoturvasuunnitelmaan huolellisesti.

Suunnitelman seuranta ja seurannan dokumentointi: Tietoturvasuunnitelman viimeisin päivityspäivämäärä merkitään suunnitelman ensimmäiselle sivulle sekä sivun huomautusosioon. Suunnitelmaan tehdyistä muutoksista ei pidetä erillistä muutoslokia, mutta suunnitelman vanhat versiot tallennetaan päiväyksen mukaisesti erilliseen vanhojen tietoturvasuunnitelmien kansioon.

Suunnitelman käyttö tietojärjestelmien hankinnoissa ja päivityksissä: Hankittaessa käyttöön uusia tietosuojaan vaikuttavia järjestelmiä (kuten pilvipalveluita, potilastietojärjestelmiä, asiakashallintajärjestelmiä tai asiakirjojen hallintajärjestelmiä) suoritetaan tarpeen mukaisesti tietosuojan vaikutustenarviointi (DPIA, data protection impact assessment) käyttäen tietosuojavaltuutetun toimisto vaikutustenarviointipohjaa ja selvitetään joka tapauksessa tämän suunnitelman käytännön toteuttaminen uusissa tietojärjestelmissä. Tarvittaessa suunnitelmaa täydennetään tai muutetaan yhteensopivaksi uusien tietojärjestelmien kanssa siten, että tietosuoja- ja tietoturvavaatimukset täyttyvät.

Otettaessa käyttöön Kanta-yhteensopivaa pilvipohjaista (software as a service, SaaS) Valviran hyväksymää A-luokan potilastietojärjestelmää ei erillistä vaikutustenarviointia enää tehdä. Järjestelmän valmistaja on suorittanut vaikutustenarvioinnin ja yritys noudattaa valmistajan ohjeita järjestelmän käyttöönotossa.

3. Yleiset tietoturvakäytännöt

Tämän tietoturvasuunnitelman mukaista tietoturvallisuus-, tietosuoja-, riskienhallinta- ja asiakastietojen käsittelyn omavalvontatyötä suoritetaan tämän tietoturvasuunnitelman sekä tämän asiakirjan lopussa olevan asiakirjaluettelossa esitettyjen ohjeiden mukaisesti.

4. Menettelyt virhe- ja ongelmatilanteissa sekä jatkuvuudenhallinta

[Tietoturvasuunnitelman laatimisessa voi tässä luvussa tarvittaessa hyödyntää eOppivan aineistoja:
https://www.eoppiva.fi/koulutukset/turvaa-digitaalinen-toiminta-hairiotilanteissa]

Poikkeustilanteisiin varautumisessa ja jatkuvuuden suunnittelussa noudatetaan seuraavia toimintatapoja:

Virhe- ja ongelmatilanteissa noudatetaan seuraavia toimintatapoja

Sähköisen potilastietojärjestelmän virhe- ja ongelmatilanteissa otetaan ensisijaisesti yhteys potilastietojärjestelmätuottajaan. Diarium potilastietojärjestelmän yhteystiedot alla.

Diarium-potilastietojärjestelmä

Diarium-potilastietojärjestelmän vikatilanteista vastaa järjestelmän toimittaja Nordhealth Finland Oy. Ongelmatilanteissa tuki palvelee arkipäivisin 8-16 numerossa 09 4255 0329 ja sähköpostiosoitteessa tuki@diarium.fi.

Diarium-potilastietojärjestelmän valvonnasta, huollosta ja päivityksistä vastaa järjestelmän toimittaja Nordhealth Finland Oy. Päivitykset tapahtuvat noin kuukausittain ja niiden aikataulu ja sisältö ilmoitetaan Diarium-ohjelman sisäisellä tiedotteella ennen päivitystä. Päivitys aiheuttaa lyhyen käyttökatkon. Lisäksi korjauksia tehdään tarpeen mukaan myös muina aikoina. Tällaiset korjaukset eivät aiheuta käyttökatkoa.

Mikäli Diarium-potilastietojärjestelmässä havaitaan tietoturva- tai tietosuojauhka tai ongelma, järjestelmän toimittaja ilmoittaa siitä välittömästi.

Yrityksen palvelupisteen (toimipisteen) tietoliikenteeseen liittyvät virhetilanteet

verkko- tai tietoliikenneongelmissa otetaan yhteyttä seuraavaan yrityksen IT-kumppaniin: IT-kumppanin yhteystiedot tähän, jos sellainen on.

Internet-operaattorille kuuluvissa ongelmissa otetaan yhteyttä yrityksen verkkoliittymäkumppaniin, jonka yhteystiedot ovat tässä: Verkkoyhteyden operaattorin yhteystiedot

Muissa kuin potilastietojärjestelmään liittyvissä tietokoneiden tai mobiililaitteiden ongelmissa otetaan yhteyttä seuraavaan tahoon: Gigantti Lappeenranta (huoltosopimus)

Silloin kun epäillään tietoturva- tai tietosuojauhkien toimitaan tietoturvaloukkauksien toimintaohjeen mukaisesti (tietoturvaloukkausten toimintaohje on tämän suunnitelman liitteenä).

Jos havaitaan virus- tai haittaohjelma, otetaan yhteyttä yrityksen yllä mainittuun IT-kumppaniin.

Mikäli potilastietojärjestelmän tai muiden järjestelmien (kuten sähköpostijärjestelmien) käyttäjätunnukset ovat vuotaneet ulkopuolisille tai sellaista epäillään, otetaan yhteyttä kulloisenkin järjestelmän pääkäyttäjään tunnusten sulkemiseksi. Pääkäyttäjä on yrityksen tässä suunnitelmassa mainittu vastuuhenkilö, ellei hän osoita muuta pääkäyttäjää.

Mikäli havaitaan tietojen kalastelua, ilmoitetaan kalasteluyrityksestä ("arpajaisvoitot", kiristyskirjeet jne.) yrityksen yllä mainitulle Vastuuhenkilölle

Jos sosiaalihuollon asiakastietoja tai potilastietoja käsittelevät tietojärjestelmät aiheuttavat riskin potilasturvallisuudelle toimitaan seuraavasti:
- Potilas- tai asiakastietojärjestelmien asiakkaiden tai potilaiden oikeuksille (kuten salassapidolle tai asianmukaisten kirjausten tallentumiselle) aiheutuvista ongelmista tulee ilmoittaa Valviralle ja tietosuojavaltuutetun toimistolle, jos poikkeama aiheuttaa merkittävän riskin potilasturvallisuudelle tai tietoturvalle.

Tällainen olennainen poikkeama voi tulla kyseeseen esimerkiksi tilanteessa, jossa sosiaalihuollon asiakastiedot ja/tai potilastiedot ja/tai reseptitiedot ovat menneet väärälle asiakkaalle/potilaalle järjestelmävirheen vuoksi tai tulleet järjestelmävirheen vuoksi liian laajaan jakeluun tai pääsyoikeus tietoihin on määrittynyt liian laajasti (esimerkiksi koko yrityksen henkilökunnalle, jos tarkoitus oli rajata tiedot vain yhden yksikön henkilökunnalle).

Tietosuojapoikkeamissa ja tietoturvaloukkauksista tehdään aina tapahtuneen dokumentointi, ja mikäli tilanne sitä edellyttää, ilmoitetaan tapahtuneesta tietosuojavaltuutetulle ja rekisteröidyille erillisen ohjeen mukaisesti (kts. liite: Vaiheittainen toimintaohje terapia-alan yritykselle, kun havaitaan tietoturvaloukkaus)

Mikäli yrityksellä on muita poikkeustilanteita koskevia toimintaohjeita, voidaan tieto niistä kirjata tähän.

5. Yrittäjän koulutus ja osaaminen sekä tietojärjestelmien käyttöohjeet ja tietoturvallinen käyttäminen

5.1. Yrittäjän koulutus sekä osaamisen ylläpito ja kehittäminen

Yrittäjältä edellytetään tiettyjen tietoturvaan ja tietosuojaan liittyvien verkko- tai läsnäkoulutusten läpikäyntiä vuosittain. Edellytetty vähimmäislaajuus jatkuvalle täydennyskoulutukselle on vähintään yksi tunti vuodessa. Täydennyskoulutus voi olla esimerkiksi Kanta verkkokoulussa suoritettu maksuton koulutus tunnin mittaisen webinaarin tai webinaarisarjan katsomisesta ja siihen liitetyn tiedon omaksumisesta.Maksuttomat Kanta-verkkokoulut löytyvät tästä osoitteesta (edellyttävät rekisteröitymistä): https://verkkokoulut.kanta.fi/

Asiakastietojen käsittelyn, tietojärjestelmien käytön sekä tietosuojan ja tietoturvan toteuttamisen koulutuksissa, ohjeistuksissa ja seurannassa toimitaan seuraavasti: Yrittäjä Minna Laine on suorittanut 12.9.2024 Terveydenhuollon tietosuoja ja tietoturva, Henkilötietoja käsittelevien GDPR ja Henkilöstön tietosuoja ja tietoturvakoulutuksen. Lisäksi suoritettu Silmuke Oy:n oma tietoturvakoulutus 12.9.2024.

Diarium-potilastietojärjestelmä

Diarium-potilastietojärjestelmän alustava koulutus tapahtuu järjestelmän toimittajan toimesta ohjelman käyttöönoton yhteydessä.

Pääkäyttäjä vastaa uusien työntekijöiden perehdytyksestä tietojärjestelmän käyttöön. Tietojärjestelmän toimittaja tarjoaa koulutuspalveluita, joita voidaan käyttää hyödyksi henkilökunnan perehdytyksessä.

Muita henkilöstön tietosuoja- ja tietoturvaosaamisessa huomioitavia seikkoja:

Sosiaalihuollon asiakastietojen ja potilastietojen käsittelyn toimintamallit (esim. asiakkaiden ja potilaiden informointi, tietopyyntöihin vastaaminen jne) on kuvattu yleisesti erillisessä työntekijöiden perehdytysohjeessa tai perehdytyskansiossa.

5.2. Tietojärjestelmien käyttöohjeet ja ohjeiden mukainen käyttö

Tietojärjestelmien käyttöohjeiden hallinnassa, saatavuudessa ja ohjeiden mukaisessa käytössä toimitaan seuraavasti:

Diarium-potilastietojärjestelmä

Diarium-ohjelmiston käyttöohjeet on upotettu ohjelmiston sisään. Käyttöohjeet on toteutettu ns. inline-tyylisinä ohjeina, verkkokoulutuksena ja video-opasteina. Käyttöohjeet ovat kaikkien käyttäjien saatavilla ja tavoitettavissa.

Diarium-ohjelmiston käyttöohjeita päivitetään ohjelmiston toimittajan toimesta aina, kun ohjelmistoon tehdään muutoksia. Päivitykset jaetaan asiakkaalle automaattisesti.

6. Tietojärjestelmien tietoturvakäytännöt

6.1. Tietojärjestelmien perustiedot, kuvaukset ja olennaisten vaatimusten täyttyminen

Luettelo käytössä olevista potilas- ja asiakasjärjestelmistä

6.1.1. Kanta-palveluihin liittyvät tietojärjestelmät (luokat A2 tai A3)

Ohjelmisto: Diarium

Toimittaja: Nordhealth Finland Oy

Yhteystiedot: Aleksanterinkatu 30-34, 00100 Helsinki,

tuki@diarium.fi, puh. +358 9 425 50329

Vaatimuksenmukaisuustodistus: FI210617-84

6.1.5. Tietojärjestelmien olennaisten vaatimusten täyttyminen

Kaikissa tietojärjestelmäsopimuksissa edellytetään järjestelmiltä jatkuvaa ylläpitoa ja yhteensopivuutta Suomessa ja Euroopan Unionissa voimassa olevan lainsäädännön kanssa. Sopimusehtojen mukaisesti hankittujen asiakastietojärjestelmien on koko sopimuskauden ajan täytettävä lainsäädännön ja Kanta-palveluiden kaupallisille potilas- ja asiakashallintaohjelmille esittämät vaatimukset.

Tietojärjestelmien vaatimustenmukaisuuden voimassaolo tarkistetaan yrityksissä vuosittain maaliskuun loppuun mennessä avaamalla Valviran hyväksymien tietojärjestelmien rekisterilinkki ja etsimällä käytetyt potilas- ja asiakastietojärjestelmät luettelosta. Jos tietojärjestelmää ei löydy luettelosta tai sen hyväksyntä on vanhentunut, otetaan viipymättä yhteys järjestelmätuottajaan.

Luettelo (excel-muodossa) Valviran hyväksymistä tietojärjestelmistä löytyy tältä sivulta:https://valvira.fi/sosiaali-ja-terveydenhuolto/tietojarjestelmarekisteri

6.2. Tietojärjestelmien asennus, ylläpito ja päivitys

Pilvipalvelupohjaiset eli SaaS (software as a service) -järjestelmät eivät edellytä erillistä asennusta, ylläpitoa tai päivittämistä, vaan järjestelmän asentamisesta, ylläpidosta ja toiminnasta vastaa järjestelmän tuottanut palveluntuottaja.

Järjestelmätuottajalta saatu selvitys järjestelmän asennuksesta, ylläpidosta ja päivityksestä alla:

Diarium-potilastietojärjestelmä

Diarium-ohjelmiston asennuksesta, teknisestä ylläpidosta ja päivityksistä vastaa tietojärjestelmän toimittaja Nordhealth Finland Oy.

Toimittaja ilmoittaa tulevasta versiopäivityksestä ennakkoon asiakkaalle. Ilmoituksessa kuvataan päivityksen mukanaan tuomat uudet ominaisuudet ja mahdolliset muutokset vanhoihin toimintoihin. Päivitysilmoituksesta selviää myös päivityksen tarkka asennusajankohta ja tieto siitä, aiheutuuko päivityksen asentamisesta käyttökatkoa. Päivitystiedotteet toimitetaan Diarium-ohjelmiston sisäiselle tiedotepalstalle, jossa ne ovat kaikkien käyttäjien saavutettavissa.

Asiakkaan vastuulle jää uusien ominaisuuksien käyttöönotto. Tietyissä tilanteissa ohjelmistoon tuodaan uusia ominaisuuksia, jotka asiakkaan pääkäyttäjä voi määrittää käyttöön haluamilleen käyttäjäryhmille tai jotka tulee erikseen tilata järjestelmän toimittajalta.

Ylläpitotoimet vaativat teknistä osaamista ja asiantuntemusta. Tietojärjestelmän toimittaja huolehtii oman henkilöstönsä osaamisen ylläpitämisestä ja kouluttamisesta. Kaikki ylläpitotoimia tekevät henkilöt ovat saaneet riittävät koulutuksen ylläpitotoimien suorittamiseen.

Päivitys testataan huolellisesti ennakkoon ohjelmiston toimittajan toimesta. Päivitys asennetaan asiakkaille mahdollisimman rauhalliseen aikaan ja asennuksesta vastaa toimittajan koulutettu asiantuntija. Ohjelmiston päivityksen jälkeen toimittaja varautuu mahdollisiin ongelmatilanteisiin tarvittavin lisäresurssein, jolloin ongelmatilanteisiin voidaan puuttua nopeasti.

Toimittaja käyttää kehitystyössä versionhallintatyökalua, joka pitää kirjaa kaikista järjestelmään tehtävistä muutoksista. Mahdollisiin päivityksen aiheuttamiin häiriötilanteisiin on varauduttu niin, että toimittaja voi palauttaa asiakkaalle käyttöön järjestelmän edellisen toimivan version.

6.3. Käyttövaltuuksien hallinnan ja tunnistautumisen käytännöt

Tietojärjestelmien ja laitteiden käyttäjiä ja käyttäjäryhmiä hallinnoidaan seuraavasti:

Diarium-potilastietojärjestelmäAjantasainen listaus Diarium-potilastietojärjestelmän käyttäjistä ja käyttäjäryhmistä löytyy Diarium-potilastietojärjestelmästä.

Käyttöoikeuksien ja käyttövaltuuksien osalta noudatetaan seuraavia toimintatapoja:

Diarium-potilastietojärjestelmä

Diarium-potilastietojärjestelmän ylläpitokäyttäjät hallinnoivat käyttäjiä kohdan "Ylläpito" -> "Käyttäjät" toimintojen kautta. Järjestelmän ylläpitokäyttäjät ovat vastuussa uusien käyttäjien luomisesta, käyttäjätunnusten ja salasanojen toimittamisesta käyttäjille sekä poistuvien käyttäjien arkistoimisesta.

Tarvittaessa myös Diarium-tuki voi lähettää käyttäjälle uuden, kertakäyttöisen salasanan ennalta määriteltyyn, henkilökohtaiseen puhelinnumeroon.

Diarium-potilastietojärjestelmässä käyttäjä liitetään käyttäjäryhmään ja käyttöoikeuden määräytyvät valitun käyttäjäryhmän perusteella. Ajantasainen dokumentaatio käyttäjäryhmistä löytyy Diarium-ohjelman ylläpitotoimintojen kautta. Käyttäjäryhmiä hallitaan "Ylläpito" -> "Käyttäjäryhmät" -toiminnon avulla. Käyttäjäryhmiin liitetyt käyttäjät luetellaan käyttäjäryhmä-näkymään, jonka saa avattua käyttäjäryhmän nimeä klikkaamalla.

Diarium-ohjelman käyttäjäryhmien ja yksittäisten käyttäjien oikeuksista vastaavat järjestelmän ylläpitokäyttäjät.

Yrityksellä on yksi yrittäjän käytössä oleva käyttäjätunnus.

Käyttövaltuuksien hallinta

Käyttövaltuuksia ei hallinnoida erikseen millään keskitetyllä järjestelmällä. Yrittäjä sulkee tunnuksensa potilastietojärjestelmään viipymättä jos tunnukset ovat joutuneet vääriin käsiin tai jos potilastietojärjestelmää ei enää tarvita.

Sosiaali- ja terveydenhuollon asiakastietojen käyttöoikeusasetus

Potilas- ja asiakastietojärjestelmien käyttöoikeuksia ei ole yhden hengen yrityksessä tarpeen erikseen hallinnoida.

Käyttäjien tunnistautumisessa ja todentamisessa noudatetaan seuraavia ohjelmistokohtaisia käytäntöjä:

Diarium-potilastietojärjestelmä

Diarium-potilastietojärjestelmässä käyttäjä tunnistetaan käyttäjätunnuksen ja salasanan avulla. Ylläpitokäyttäjä toimittaa tunnistautumistiedot käyttäjille. Käyttäjä muuttaa itse salasanan haluamakseen ohjelman salasanan vaihtotoiminnon avulla. Ohjelma varmistaa, että käyttäjä syöttää salasanaksi riittävän vahvan salasanan. Ohjelma pakottaa käyttäjän vaihtamaan salasanan uudeksi 90 vuorokauden välein.

Diarium-potilastietojärjestelmässä on myös mahdollista ottaa käyttöön kaksivaiheinen tunnistautuminen. Tällöin käyttäjätunnuksen ja salasanan lisäksi käyttäjää pyydetään 7-10 päivänä välein tai aina uudelta laitteelta kirjauduttaessa antamaan kertakäyttöinen, tekstiviestitse toimitettu vahvistuskoodi. Tämä on käytössä Silmuke Oy:llä.

Sähköisen tunnistautumisen lisäjärjestelmät, kuten monivaiheinen tunnistautuminen (MFA) tai vahvan tunnistautumisen edellyttäminen

Jos yrityksessä on käytössä monivaiheinen tunnistautuminen (esimerkiksi tekstiviestillä tai erillisellä tunnistautumissovelluksella) tai vahvalla sähköisellä tunnistautumisella (mobiilivarmenteella tai pankkitunnuksilla) tulee siitä kirjata tieto tähän. Niiden käyttö ei ole kuitenkaan pakollista, mutta se on suositeltavaa. Asiakkaiden tehtävässä videopuhelussa on käytössä pankkitunnistautuminen ja salasananluominen (Nordhealth).

6.4. Asiakas- ja potilastietojärjestelmien pääsynhallinnan ja käytön seurannan käytännöt

Asiakastietoja käsittelevien järjestelmien pääsynhallinnan ja käytön seuranta (lokivalvonta)

Yrittäjä suorittaa erillistä lokivalvontaa vain, jos on syytä epäillä, että yrittäjän käyttäjätunnukset ovat joutuneet ulkopuolisten käsiin tai lokivalvonnalle on jokin muu vastaava erityinen syy.

Toisen rekisterinpitäjän, kuten hyvinvointialueen tai terapiapalveluita tilanneen toimeksiantajan (toisen rekisterinpitäjän) osalta raportoidaan toimeksiantajalle vain heidän asiakasasiakirjoihinsa liittyvistä lokivalvonnoista. Lisäksi toimeksiantajille kerrotaan lokivalvonnan yllä kuvatuista yleisistä periaatteista.

Diarium-potilastietojärjestelmä

Käyttöoikeuksia hallinnoi pääkäyttäjä. Pääkäyttäjä myöntää käyttöoikeuden järjestelmään, vastaa käyttöoikeuksien määrittämisestä ja käytön seurannasta. Käyttöoikeus myönnetään työsuhteen aloituksen yhteydessä ja käyttöoikeus poistetaan työsuhteen päättyessä. Käyttöoikeuden poisto tehdään Diarium-ohjelman käyttäjähallinnan kautta arkistointitoiminnolla. Käyttäjätunnuksen arkistoinnin jälkeen käyttäjä ei voi käyttää ohjelmaa.

Diarium-potilastietojärjestelmässä käyttäjä tunnistetaan käyttäjätunnuksen ja salasanan avulla. Pääkäyttäjä toimittaa tunnistautumistiedot käyttäjille. Käyttäjä muuttaa itse salasanan haluamakseen ohjelman salasanan vaihtotoiminnon avulla. Ohjelma varmistaa, että käyttäjä syöttää salasanaksi riittävän vahvan salasanan. Ohjelma pakottaa käyttäjän vaihtamaan salasanan uudeksi 90 vuorokauden välein.

Lokitapahtumia seurataan Diarium-ohjelman lokitoiminnon avulla. Toiminto löytyy kohdasta "Raportit" -> "Lokitapahtumat".

Lainvastaisesta asiakas- ja potilastietojen käsittelystä ilmoitetaan viipymättä viranomaisille ja tietojärjestelmän toimittajalle.

Kanta-yhteyteen liittyvät tapahtumat kirjataan erilliseen lokiin. Lokitapahtumia seurataan "Raportit" -> "Kanta-loki". Lokiin kirjataan kaikki Kanta-arkistoon tehtävät lähetykset, haut ja virhetilanteet.

Tietoturvaloukkaukset ja tietosuojapoikkeamat

Yrittäjä kouluttautuu tunnistamaan väärään paikkaan tallennettu tietoa.

Mikäli kyseessä on tietoturvaloukkaus, ilmoitetaan aina viipymättä rekisterinpitäjälle tapahtuneesta. Jos yritys on itse potilastietojen rekisterinpitäjä, tehdään EU:n yleisen tietosuoja-asetuksen edellyttämät ilmoitukset tietosuojavaltuutetun toimistolle sekä tarvittaessa myös rekisteröidylle itselleen. Tarkemmat ilmoitusohjeet tietoturvaloukkauksista löytyvät tämän tietoturvasuunnitelman liitetiedostosta (Vaiheittainen toimintaohje terapia-alan yritykselle, kun havaitaan tietoturvaloukkaus).

7. Tietojärjestelmien käyttöympäristön tietoturvakäytännöt

7.1. Fyysinen turvallisuus osana tietojärjestelmien käyttöympäristön turvallisuutta

Fyysisestä turvallisuudesta osana tietoturvallisuuden varmistamista huolehditaan asiakastietojen ja tietojärjestelmien käyttöympäristössä seuraavasti:Käyttöympäristöstä huolehditaan erillisen henkilöstön tietoturvaohjeen mukaisesti (malli liitteenä).

Avainturvallisuus

Yrityksen ulko-ovea pidetään lukittuna ja se avataan vain erikseen ovikelloa vastaan, ellei kyseessä ole erityistä tapahtumaa, jota varten yrityksen toimitilat on ennakkoon tarkastettu irtonaisten potilasasiakirjojen varalta ja tilat on muutoinkin järjestelty yleisölle esiteltävään kuntoon.

Yrityksen toimitilojen avaimia luovutetaan tai pääsy toimitiloihin hyväksytään ulkopuolisille vain erillistä salassapitosopimusta vastaan. Vaihtoehtoisesti riittää, että yhteistyökumppani (esimerkiksi huoltoyhtiö) on velvoitettu sopimuksella laatimaan salassapitosopimus oman henkilöstönsä kanssa.

Näyttöpäätteiden sijoittelu

Yrityksen tietokoneissa on käytössä näytönsuojakalvot joilla rajataan näyttöjen katselukulmaa siten, että minimoidaan vaara tietojen pääsystä ulkopuolisten katseiden kohteeksi. Näytöt sijoitetaan siten, että ruutua ei voida työkäytön aikana tarkastella yrityksen toimitilojen ulkopuolelta (esimerkiksi siten, että näytöstä näkyy ikkunaan vain selkäpuoli).

Tietokoneiden ja laitteiden sekä sähköpostin salaus ja suojaus

Tietokoneiden ja mobiililaitteiden massamuistit (kovalevyt) on suojattu salaamalla niiden tietosisältö. Salauksessa voidaan hyödyntää Windows-käyttöjärjestelmän mukana tulevaa levynsalausjärjestelmää (Windows Bitlocker). Tietokoneelle kirjautumiset ovat aina salasanasuojattuja.

Matkaviestimet ovat myös salasana- tai sormenjälkisuojattuja ja niiden sisältö salattu (esim. Samsung Knox tai vastaava).

Yleisenä periaatteena on, että tietokoneilla tai älylaitteilla ei säilytetä pitkäaikaisesti mitään potilas- tai asiakastietoja. Jos laitteelle kertyy potilas- tai asiakastietoja esimerkiksi ladatut tiedostot -kansioon tai yrityksen käyttämään sähköpostipalveluun, poistetaan tarpeettomaksi jääneet ja potilastietojärjestelmään jo tallennetut tiedot aina viipymättä. Tämä tunnetaan nimellä puhtaan pöydän periaate. Niin fyysiset kuin sähköisetkin työpöydät pidetään aina puhtaana, eikä niissä milloinkaan säilytetä tietoja pitkäaikaisesti.

Yrityksessä käytetään erillistä suojattua sähköpostia potilas- ja asiakastietojen lähettämiseen. Suojattu sähköpostipalvelu on sellainen, jolla lähetetty sähköpostiviesti poistuu automaattisesti viimeistään 30 päivän kuluttua viestin lähettämisestä.

Yhteiskäyttöisiä tunnuksia tai salasanoja ei sallita. Salasanat ovat aina henkilökohtaisia, eikä niitä saa milloinkaan paljastaa kenellekään, ei edes työkavereille.

Tietokoneet lukitaan aina kun koneelta poistutaan (WIN + L), vaikkakin lyhyeksi ajaksi.

Työntekoon käytetään vain yritykselle kuuluvia ja yrityksen hallinnoimia tietovälineitä. Potilas- ja asiakastietoja tai kuvia potilas- tai asiakastilanteista ei tallenneta milloinkaan työntekijöiden henkilökohtaisille tietovälineille.

WhatsAppin käyttö on ehdottomasti kielletty asiakasviestintään. Työlaitteisiin ei asenneta WhatsApp tai Facebook -sovelluksia jotka keräävät tietoja mahdollisista laitteelle tallennetuista potilas- ja asiakastiedoista.

Omia muistitikkuja tai ulkoisia levyasemia ei sallita. Yrityksen muistitikkuja tai levyasemia ei myöskään sallita käytettäväksi omaan käyttöön.

Yrityksen käyttämät ulkoiset massamuistit ovat aina salasanasuojattua mallia. Massamuistin tietojen on oltava salattuja siten, että mahdollinen hukkunut ja ulkopuolisen löytämä massamuisti on ulkopuoliselle hyödytön. Yrityksen käyttämät salausohjelmistot ja salausmenetelmät kirjataan tähän:

Lisätietoja kovalevyjen salauksesta:https://kuntoutusyrittajat.fi/potilasrekisterinpitaja-sai-huomautuksen-salaamattomista-levyasemista/

Yleisiä tietosuojavinkkejä sekä tietoturvaohjeita:

https://kuntoutusyrittajat.fi/kuntoutusyrittajan-tietosuojan-10-kohdan-tarkistuslista/

Tulostimien sijainti

Yrityksen käyttämät tulostimet sijaitsevat lukitussa tilassa, johon asiakkailla ei ole valvomatonta pääsyä. Tulostimia ei pidetä yleisissä tiloissa tai odotustilassa, jossa asiakkaat voisivat löytää mahdollisesti laitteeseen unohtuneita tulosteita.

Tulostettujen henkilötietojen pitkäaikainen arkistointi

Sosiaalihuollon asiakastietoja tai potilastietoja sisältäviä paperitulosteita säilytetään paloturvallisesti lukittuna ja suojassa sivullisilta.

Tarpeettomien paperitulosteiden hävittäminen

Asiakasasiakirjat hävitetään siten, etteivät sivulliset pääse tietoihin käsiksi.

paperitulosteiden hävittämisen käytännön ratkaisut, esim. lukittavat säilytysastiat ja paperisilppurit, tulostajan ja tulosteiden käyttäjän vastuut tulosteiden turvallisuudesta

7.2. Työasemien, mobiililaitteiden ja käyttöympäristön tukipalveluiden hallinta

Työasemien, mobiililaitteiden ja käyttöympäristön tukipalveluiden tietoturvallisuudesta huolehditaan seuraavasti:

[Kuvaukset ainakin seuraavista:

Työasemat ja mobiililaitteet,

Tietokoneisiin, tabletteihin, matkapuhelimiin ja muihin asiakas- ja potilastietoja käsitteleviin mobiililaitteisiin on hankittu erillinen etähallinnan ja virustorjunnan mahdollistava ohjelmisto. Yrityksen käytössä on McAfee Security.

Asiakastietoja käsittelevät tietokoneet ja mobiililaitteet ovat kaikki etähallittavia ja etätyhjennettäviä yllä kuvatulla tavalla. Sim-korttien PIN-koodit on vaihdettu käyttäjäkohtaisiksi. Laitteiden lukituksen avaaminen edellyttää henkilökorttia, salasanaa, pin-koodia ja/tai sormenjälkitunnistautumista. Tietojärjestelmiin tehtävissä uusissa sisäänkirjautumisissa hyödynnetään kaksivaiheista (MFA, multi-factor authentication tai monimenetelmäinen todentaminen) tunnistautumista, jolloin salasanan lisäksi käyttäjä varmennetaan esimerkiksi matkapuhelimella. Mobiililaitteet lukittuvat automaattisesti ollessaan minuutin käyttämättä.

Käyttöympäristön tukipalvelut,

Yrityksen IT-palveluntuottajan kanssa on tehty sopimus käyttöjärjestelmien ja ohjelmistopäivitysten automaattisesta ja säännöllisestä seurannasta etähallintaohjelmistoja hyödyntäen.

IT-palveluntuottaja seuraa toimistosovellusten, kuten Outlook-järjestelmien automaattisen päivittymisen toimivuutta.

Käytettävät potilas- ja asiakastietojärjestelmät ovat SaaS (Software as a Service) -palveluita, jolloin niiden ylläpidosta ja yhteensopivuudesta yleisimpien tietojärjestelmien kanssa vastaa potilas- ja asiakastietojärjestelmien sopimuskumppani.

Käyttöympäristön kokonaisuuden kuvaus liittyen vastuu- ja työnjakokysymyksiin oman ja ulkoistetun toiminnan välillä,

Yrityksen pääkäyttäjä on yrittäjä itse, joka vastaa potilastietojärjestelmiin liittyvien tunnusten avaamisesta ja sulkemisesta työ- ja alihankintatilanteen niin vaatiessa.

7.3. Alusta- ja verkkopalvelujen tietoturvallinen käyttö tietosuojan ja varautumisen kannalta

Alusta- ja verkkopalveluita voivat olla esimerkiksi Dropbox, Google Drive, OneDrive tai muut vastaavat tiedostonjako- ja säilytysalustat. Yleiskäyttöisiksi tarkoitettuja tiedostonjakopalveluita ei käytetä potilas- ja asiakastietojen säilytyspaikkana muutoin kuin tiedostot erikseen salaamalla ja tietoja tilapäisesti sinne siirtämällä.

Yleiskäyttöinen toimisto-ohjelmiston pilvipalvelu ei ole milloinkaan potilastietojen pysyvä säilytyspaikka.

Yrityksellä ei ole käytössään omia erillisiä palvelimia, joissa käsiteltäisiin tai ylläpidettäisiin potilastietoja.

Tietoverkkojen hallinta, verkkolaitteet, langattomat verkot ja reitittimet

Reitittimet ja modeemit on vuokrattu internet-palveluntarjoajalta Telia (Familo-Minna) vastaa myös vuokraamiensa laitteiden ylläpidosta ja päivittämisestä koko sopimuskauden ajan. Sisäverkon ylläpito kuuluu pääasiallisen IT-palveluntuottajakumppanin Familo-Minna ja Telian vastuulle (Familo-Minna). Gigantti vastaa yrityksen käyttämän erillisen palomuurilaitteen ylläpidosta ja toimivuudesta (Familo-Minna). Familo-Minna ja Gigantti (huoltosopimus) seuraa laiterekisterillään, kohdistuuko yrityksen käyttämiin langattomiin reitittimiin, modeemeihin tai palomuureihin haavoittuvuuksia ja päivittää laitteet tai näiden ohjelmistot tarpeen mukaan.

Asiakkaiden käytössä ei ole erillistä vierasverkkoa.

Etäyhteydet ja niiden tietoturva

Etätöiden tekeminen on sallittua vain yrityksen hallinnoimilla työasemilla ja mobiililaitteilla. Etätöissä käytetään vain yrityksen ylläpitämää internet-liittymää. Henkilökohtaisten laitteiden käyttö asiakas- ja potilastietojen käsittelyyn ei ole sallittua.

Etätyöskentelyssä tulee muistaa myös ruututurvallisuus. Potilastietojen käsittelyyn käytettäviä laitteita ei saa milloinkaan jakaa esimerkiksi muiden perheenjäsenten kanssa. Potilastietojen käyttö muilla kuin työnantajan välineillä on lähtökohtaisesti aina kielletty.Tietokoneiden ruudut on aina lukittava koneelta poistuttaessa, myös kotioloissa (pikalukitus WIN + L).

8. Kanta-palvelujen liittymisen ja käytön tietoturvakäytännöt

Kanta-palvelujen osalta noudatetaan seuraavia tietoturvakäytäntöjä ja asiakastietojen käsittelyn käytäntöjä:

Diarium-potilastietojärjestelmä

Diarium-potilastietojärjestelmässä Kanta-yhteyttä käytetään kirjautumalla ensin järjestelmään ja tunnistautumalla sitten henkilökohtaisella ammatti- tai toimijakortilla. Kanta-toimintojen koulutus tapahtuu joko yrityksen toimesta, Diariumilta tilatussa koulutuksessa tai käyttäen Diarium-potilastietojärjestelmän sisäisesti jaettu verkkokoulutusta.

Yrittäjän Kanta-koulutus

Yrittäjältä edellytetään perehtyneisyyttä Kanta.fi -palvelun ohjeisiin tietojen luovuttamisen (sisältäen Kanta-palveluista informoimisen) ja omakannan käytön ohjaamiseen liittyen. Linkki:

https://verkkokoulut.kanta.fi/login/index.php

Asiakkaita kannustetaan seuraamaan omien tietojensa käyttöä Omakannassa.

LUETTELO TUKIASIAKIRJOISTA

Täydellinen luettelo tämän asiakirjan liitteistä, joita ei ole linkitetty ulkopuolelta

Kuntoutusyrittajat_Henkiloston_tietoturvaohje_paivitetty_5.6.2018

Kuntoutusyrittajat_Johdon_tietoturvavelvoitteet_paivitetty_5.6.2018

Kuntoutusyrittajat_Tietoturvapolitiikka-malli_paivitetty_5.6.2018

Vaiheittainen toimintaohje terapia-alan yritykselle, kun havaitaan tietoturvaloukkaus

Vaiheittainen toimintaohje terapia-alan yritykselle, kun yritykselle esitetään tietopyyntö tai pyyntö tehdä korjaus, muutos tai poistaminen henkilötietoihin

Tietosuojatyön peruskäsitteet kuntoutusyrityksille

Kirjoita tekstisi tähän...

Tietoturvasuunnitelma

Edistyneet asetukset