Kotimaa
23.10.2020 11:53 ・ Päivitetty: 23.10.2020 12:08
Valvira Vastaamon hakkeroidusta asiakasjärjestelmästä: “Selkeitä tietoturvavaatimuksia ei ole”
Psykoterapeuttien asiakastietojärjestelmien tietoturvaa ei tarkasteta Valviran mukaan ennalta ellei järjestelmä ole liitetty Kanta-palveluun. Lain mukaan tietojärjestelmät tulee ilmoittaa Valviran rekisteriin mutta minkäänlaista sertifiointia tai tietoturvallisuuden arviointia ei tehdä, kertoo terveydenhuollon tietojärjestelmistä vastaava yli-insinööri Antti Härkönen Valvirasta.
Asiakastietolain perusteella tietojärjestelmiä on kahdenlaisia, a- ja b-luokkaa. Vastaamon murretut tietojärjestelmät ovat b-luokkaa.
– Näitä b-luokan järjestelmiä on 260. Olen ainoa henkilö, joka järjestelmiä kirjaa rekisteriin ja tekee asiakastietolain mukaista valvontaa, Härkönen sanoo.
A-luokan tietojärjestelmät integroidaan Härkösen mukaan osaksi Kanta-palveluja. Sitä ennen järjestelmät sertifioidaan mikä edellyttää Kelan yhteistestausta ja tietoturvallisuuden arviointilaitoksen ulkopuolista arviota. B-luokan järjestelmiltä ei vastaavaa menettelyä vaadita.
Härkösen mukaan b-luokan järjestelmät ovat tietoturvan osalta lapsipuolen asemassa.
– Selkeitä tietoturvavaatimuksia ei ole. A-luokassa on tietoturvaa koskeva tarkentava määräys, joka koskee soveltuvin osin b-luokkaa, mutta aika vähän jää kättäpidempää tueksi.
– Jos tästä jotakin myönteistä hakee, niin kehitettävää löytyy.
Härkösen mukaan lakiin liittyy ilmoitusvelvollisuus, joka koskee myös b-luokan järjestelmiä.
– Järjestelmän käyttäjät ja valmistajat ilmoittavat meille häiriötilanteista. Tarvittaessa pyydämme lisäselvityksiä siitä, mitä korjauksia tilanne on edellyttänyt.
Saitteko Vastaamolta tällaisen ilmoituksen?
– Se on tullut Traficomin kautta meille vasta tällä viikolla maanantaina. Vastaamo on tehnyt ilmoituksen jo syyskuun lopussa. Se olisi pitänyt tulla meille automaattisesti, mutta Traficomin päässä on ollut häiriö. Ilmoitus koskee tätä hakkerointia.
– Meille tulleen tiedon mukaan hakkerointi olisi tullut tietoon vasta hyvin lähellä ilmoitusta, Härkönen sanoo.
Kommentit
Artikkeleita voi kommentoida yhden vuorokauden ajan julkaisuhetkestä. Kirjoita asiallisesti ja muita kunnioittaen. Ylläpito pidättää oikeuden poistaa sopimattomat viestit ja estää kirjoittajaa kommentoimasta.