STEDI 5.5.2015 Kehittämispäällikkö Juha Mykkänen THL/OPER · Olennaiset vaatimukset,...
Transcript of STEDI 5.5.2015 Kehittämispäällikkö Juha Mykkänen THL/OPER · Olennaiset vaatimukset,...
Olennaiset vaatimukset, sertifiointi + omavalvonta
STEDI 5.5.2015
Kehittämispäällikkö Juha Mykkänen
THL/OPER
20m
Vastuu tietosuojasta ja tietoturvasta
• Sosiaali- ja terveydenhuollon toimintayksikölle lainsäädännöllinen velvoite varmistaa tietojen luotettava ja turvallinen käsittely kaikissa olosuhteissa
• Tietosuojan ja tietoturvan toteutumista seurataan omavalvonnalla
• Omavalvonnasta on oltava suunnitelma, jonka laadinnan ja noudattamisen vastuu on toimintayksikön vastaavalla johtajalla
• Toimintayksikkö vastaa:
– henkilökunnan ohjeistuksesta ja osaamisesta asiakas- ja potilastietojen käsittelyssä
– tietoturvapolitiikan laatimisesta ja noudattamisesta
– tietosuojavastaavan nimeämisestä ja toimenkuvasta
– asiakas- ja potilastietojen käsittelyn seurannasta ja valvonnasta
– väärinkäytösten selvittämisestä ja seuraamuksista ja näiden tiedottamisesta henkilöstölle
– sertifioidun tietojärjestelmän hankinnasta, ennen valtakunnalliseen tietojärjestelmäpalveluun liittämistä
– toimintayksikön asiakas- ja potilastietojärjestelmien käyttäjä- ja käyttöoikeushallinnasta
• Valvontaviranomaisella (kuten Valvira) on oikeus tehdä tarkastuksia
5.2.2015 THL / OPER
Olennaiset vaatimukset ja omavalvonta: miksi?
• Asiakastietolaissa merkittäviä muutoksia sekä terveydenhuollon palvelunantajille että järjestelmätoimittajille
• Varmistettava, että
– Järjestelmissä on käyttötarkoituksen kannalta oikeat toiminnallisuudet, riittävät tietoturvaominaisuudet ja että ne pystyvät liittymään osaksi Kanta-palvelujen kautta tapahtuvaa tietojen vaihtoa tietojärjestelmien OLENNAISET VAATIMUKSET
– Organisaatioissa ja palveluntuottajilla on asianmukaiset tietoturvakäytännöt ja käyttöympäristössä huolehditaan asianmukaisesta tietoturvasta palvelunantajien OMAVALVONTA
– Erityishuomio Kanta-palvelujen kautta laajenevassa tietojen saatavuudessa
3
Tietoturvallisuuden varmistaminen
• Osapuolten riittävän tietoturvan ja tietosuojan toteutuminen tulee varmistaa
• Kanta-palvelujen näkökulmasta osapuolia
– Palvelunantajat (sote-palvelujen tuottajat)
– Tietojärjestelmät (valmistajat, tietojärjestelmäpalvelujen tuottajat)
– Välityspalvelut
• THL antoi seuraavat määräykset, joilla varmistetaan tietoturvan ja tietosuojan toteutuminen
• 1. Määräys A-luokkaan kuuluvien sosiaali- ja terveydenhuollon tietojärjestelmien olennaisista tietoturvavaatimuksista (Määräys 1/2015)
– Määräys 1/2015 Liite 1: Tietoturvavaatimukset A-luokkaan kuuluville järjestelmille ja järjestelmien käyttöympäristöille
• 2. Määräys omavalvontasuunnitelmaan sisällytettävistä selvityksistä ja vaatimuksista (Määräys 2/2015)
– Määräys 2/2015 Liite 1: Omavalvontasuunnitelman mallipohja
• Jatkossa määräysten + vaatimusten päivityksiä ja mahd. uusia määräyksiä
4
Määräysten Kanta-palveluihin liittyviä käsitteitä
• Tietojärjestelmä: sosiaali- tai terveydenhuollon asiakastietojen sähköistä käsittelyä varten toteutettu ohjelmisto tai järjestelmä, jonka avulla tallennetaan ja ylläpidetään asiakas- tai potilasasiakirjoja ja niissä olevia tietoja sekä kerätyistä tiedoista muodostettua automaattisen tietojenkäsittelyn avulla ylläpidettävää tiedostoa tai tietovarantoa, jonka valmistaja on erityisesti suunnitellut sosiaali- tai terveydenhuollon asiakas- tai potilasasiakirjojen ja niissä olevien tietojen käsittelyyn. Myös välityspalvelut ovat tietojärjestelmiä.
• Tietojärjestelmän valmistaja: taho, joka on vastuussa sosiaali- ja terveydenhuollon tietojärjestelmän suunnittelusta ja valmistuksesta
• Tietojärjestelmäpalvelun tuottaja: taho, joka tarjoaa palvelunantajalle tietojärjestelmäpalveluja, joissa käsitellään asiakas- ja potilastietoja
• Asiakas- ja potilastietojen välityspalvelun tuottaja: palveluntarjoaja, jota sosiaali- ja terveydenhuollon palvelujen antaja tai apteekki hyödyntää Kanta-palveluihin liittymisessä, ja jolla on tässä roolissa mahdollisuus nähdä salaamattomia asiakas- ja potilastietoja esimerkiksi ylläpitotoimien yhteydessä
5
5.5.2015 6
Olennaiset vaatimukset ja Kanta-sertifiointi
THL / OPER
Järjestelmien luokittelu
• Asiakastietolain mukaisesti tietojärjestelmät jaotellaan käyttötarkoituksensa ja ominaisuuksiensa perusteella A- ja B-luokan järjestelmiin
– A-luokka: Kanta-palvelut sekä järjestelmät jotka on tarkoitettu niihin liitettäväksi joko suoraan tai teknisen välityspalvelun kautta, sekä välityspalvelut: vaatimustenmukaisuustodistus käyttöönoton edellytyksenä
– B-luokka: muut asiakas- ja potilastietojen käsittelyyn tarkoitetut: täytettävä olennaiset vaatimukset 1.1.2017
• Epäselvissä tilanteissa THL päättää kumpaan luokkaan tietojärjestelmä kuuluu
• THL voi antaa tarkempia määräyksiä tietojärjestelmien luokkien määräytymisestä
• Valmistajalta ilmoitus järjestelmistä Valviralle (molemmissa luokissa)
7
Järjestelmien luokittelu (kriteerit tarkentuvat edelleen)
• A-luokan järjestelmän kriteerejä esim.
– Liittyy suoraan Kanta-rajapintaan ja sen kautta kansalliseen potilas- tai asiakastietojen jakamiseen
– Tuottaa CDA-asiakirjan joka toimitetaan Kanta-palveluihin
– Esim. potilaskertomusjärjestelmät
– Erillisjärjestelmät jotka tuottavat cda-asiakirjan ja arkistoivat sen itse tai lähettävät kertomusjärjestelmän arkistoitavaksi
• B-luokkaan kuuluvia järjestelmiä esim.
– Järjestelmä joka lähettää potilastietoa sanomana potilastietojärjestelmälle, joka muodostaa asiakirjan ja arkistoi sen
– Tukijärjestelmät joissa ei hoidon kannalta merkittävää tietoa
– Sähköisen asioinnin palvelut, kun ne eivät ole yhteydessä Kanta-palveluihin
– Jne.
8
Mitkä asiat luokitteluun vaikuttavat?
• järjestelmän, osajärjestelmän tai tietojärjestelmäpalvelun käyttötarkoitus
• olennaisten vaatimusten sisältö
• järjestelmän, osajärjestelmän tai tietojärjestelmäpalvelun ”myyntinimi” tai tuotenimi sekä se, onko osa myynnissä ja markkinoinnissa ilmaistuja toiminnallisuuksia Kanta-palvelujen kautta toteutuvia
• järjestelmän eri komponenttien välinen työnjako
• käyttöympäristön suojaustasovaatimukset
9
Esimerkkejä / luokka A • Potilastietojärjestelmätuote (esim. sähköinen potilaskertomusjärjestelmä), joka toimittaa
tietoja Kanta-palveluihin) tai hakee tietoja Kanta-palvelusta
• Apteekin tietojärjestelmä, joka on liitetty Kanta-palveluihin
• Tietojärjestelmä, jolla tehdään Kanta-palveluhin välitettäviä sähköisiä lääkemääräyksiä tai sähköisiä potilasasiakirjoja tai joka hyödyntää niitä Kanta-palvelusta tai välityspalvelun kautta
• Potilastietojärjestelmä, joka tuottaa Kanta-palveluihin välitettävän potilasasiakirjan CDA-muodossa ja välittää sen toisen potilastietojärjestelmän tai välityspalvelun kautta Kanta-palveluihin
• Tietojärjestelmä, joka hakee tietoja Kanta-palveluista mutta ei lähetä sinne uusia dokumentteja
• Kanta-välityspalvelu, jonka toteuttaja voi päästä käsiksi asiakas- tai potilasasiakirjojen sisältöihin
• Erillisenä hankittava tai myytävä tietojärjestelmäpalvelu, joka välittää muilta järjestelmiltä tietoa Kanta-palveluihin tai välittää muille järjestelmille tietoja Kanta-palveluista
• Järjestelmä, jota markkinoidaan Kanta-palveluihin liittyvänä järjestelmänä
• Järjestelmä, jota markkinoidaan Kanta-palvelujen käyttötapauksissa kuvatuilla toiminnallisuuksilla, jotka toteutuvat Kanta-palveluihin liittymisen kautta (myös siinä tapauksessa, että tekninen liittyminen , toteutetaan ulkoista tietojärjestelmäpalvelua tai toisen toimittajan tuotetta käyttäen)
• Erikseen hankittava palvelu tai komponentti, jonka avulla voidaan toteuttaa muiden järjestelmien liittäminen Kanta-palveluihin ja olennaisten tietoturvallisuusvaatimusten täyttäminen kokonaan tai osittain
10
Esimerkkejä / luokka B
• Sosiaalihuollon asiakastietojärjestelmä, joka ei välitä tietoja Kanta-palveluihin
• Terveydenhuollon potilastietojärjestelmä, joka ei vielä ole liittynyt Kanta-palveluihin mutta tulee liittymään niihin tulevaisuudessa (jolloin siirtyy luokkaan A)
• Sähköisen asioinnin palvelu tai asiointijärjestelmä, jossa käsitellään asiakas- tai potilastietoja, mutta joka ei liity Kanta-palveluihin
• Terveydenhuollon potilastietojärjestelmä tai sosiaalihuollon asiakastietojärjestelmä, jota ei myydä tai markkinoida Kanta-palveluihin liittyvänä järjestelmänä, ja joka tuottaa yksittäisiä tietoelementtejä, joista toinen tietojärjestelmä tai palvelu koostaa asiakirjoja, jotka välitetään toisen tietojärjestelmän kautta Kanta-palveluihin
• Järjestelmä, joka hyödyntää erillistä tietojärjestelmäpalvelua tai ohjelmistoa Kanta-liittymään ja jonka osalta liittymäpalvelun kautta hoidetaan kaikkien A-luokan vaatimusten toteutuminen, ja jota ei myydä tai markkinoida Kanta-palveluihin liittyvänä tai sellaisilla toiminnallisuuksilla, jotka toteutuvat Kanta-palveluihin liittymisen kautta
11
Esimerkkejä / ei A- eikä B-luokkaan kuuluvat
• Yleiset tekstinkäsittely- tai toimisto-ohjelmat, joita käytetään myös asiakas- ja potilastietojen kirjaamiseen.
• Suojatussa ympäristössä toimiva sairaalan tai muun palveluntuottajan hallinnollinen tukijärjestelmä, jonka keskeisenä käyttötarkoituksena ei ole asiakas- tai potilastietojen käsittely, vaikka se saattaa sisältää joitakin asiakastietoja, esimerkkejä: ateriatilausjärjestelmä, materiaalihallinnon järjestelmä, käyttövaltuuksien hallintajärjestelmä tai asiakas- tai potilaslaskutusjärjestelmä, jonka kautta ei käsitellä salassa pidettäviä asiakas- tai potilastietoja ja jonka nimenomainen käyttötarkoitus ei ole asiakas- tai potilastietojen käsittely.
• Yleiset tietokanta-, sovelluspalvelin-, integrointialusta- tai muut infrastruktuurituotteet, elleivät ne toimi itsenäisesti Kanta-välityspalveluna
• Viestintään käytetyt järjestelmät tai sovellukset, joiden käyttötarkoituksiin ei kuulu asiakas- tai potilastietojen hallinta tai käsittely
• Yleinen asianhallintajärjestelmä, jota valmistaja ei ole erityisesti suunnitellut sosiaali- tai terveydenhuollon asiakas- tai potilasasiakirjojen ja niissä olevien tietojen käsittelyyn, ja joka ei sisällä ominaisuuksia joilla se olisi yhteydessä valtakunnallisiin sote-tietojärjestelmäpalveluihin.
12
Olennaiset vaatimukset tietojärjestelmille ja välittäjille – Kanta-sertifioinnin lähtökohta 1. Toiminnalliset vaatimukset tietojärjestelmille ja välittäjille
– Järjestelmän toimittaja dokumentoi ja todentaa
– Erityisesti hakeutuessaan Kelan yhteistestaukseen (vrt. yhteystestausvalmiuksien osoittaminen)
– Lähtökohtana nykyiset eReseptin ja Potilastiedon arkiston määrittelyt
– Tarkennetaan toiminnallisten vaatimusten todentamista ja dokumentointia jatkossa
2. Tietojärjestelmien yhteentoimivuuteen liittyvät vaatimukset
– Todennetaan Kelan yhteistestauksella Kanta-palveluihin liittyen
– Lähtökohtana nykyiset eReseptin ja Potilastiedon arkiston määrittelyt
– Kela antaa lausunnon suoritetusta testauksesta
3. Tietoturvavaatimukset
– THL määräyksen mukaiset vaatimukset tietojärjestelmille ja välittäjätahoille
– Viestintäviraston hyväksymä arviointilaitos todentaa ja antaa lausunnon
Hyväksytyn sertifioinnin tuloksena järjestelmä saa
vaatimustenmukaisuustodistuksen
13
Sertifiointiprosessin pääasiat • Toimittaja dokumentoi toiminnallisten vaatimusten toteutumisen
• Toimittaja ilmoittautuu Kelan yhteistestaukseen
• Hyväksytystä testauksesta lausunto toimittajalle
• Toimittaja sopii suoraan Viestintäviraston hyväksymän arviointilaitoksen kanssa tietoturvallisuuden auditoinnista
– Prosessista syntyvät vaatimustenmukaisuustodistus, tarkastusraportti ja ilmoitukset
• Toimittaja ilmoittaa käyttöönotettavissa olevasta järjestelmästä Valviralle, kun molemmat hyväksymislausunnot saatu
– Valvira ylläpitää rekisteriä järjestelmistä
• Myös välityspalveluille ulkoinen tietoturva-auditointi
14
Sertifiointiprosessin päävaiheet
15
Sertifioidut/auditoidut tietojärjestelmät: sähköinen resepti
05.03.2015
16
Hyväksytty Tietojärjestelmä Versio Valmistaja
18.05.2010 Linnea eReseLinnea 1.0.0 Receptum Oy
17.09.2014 (18.05.2010) Pegasos 8.1..SP.8.1.8 Logica Oy
19.05.2010 Reseptikeskus Kela
18.12.2014 (23.03.2011) Salix 18.3.2011/08.00 Pharmadata Oy
18.12.2014 (24.03.2011) Effica 4.0. 13.00 Tieto Oyj
18.12.2014 (08.04.2011) Uranus 8.1.1. Logica Oy
18.12.2014 (19.04.2011) Maxx 12.4.2011 Receptum Oy
29.12.2014 (22.11.2011) Graafinen Finstar 4.0 Logica Oy
22.11.2011 Mediatri 2011.12 Mediconsult Oy
19.03.2012 Abilita Terveydenhuolto v2012/01 Abilita Oy
04.01.2013 Acute v2012.11 Acute FDS Oy
12.03.2013 Esko PTJ v.3.7
Lääkehoitosovellusosio v3.0
Pohjois-Pohjanmaa shp
02.07.2013 DynamicHealth 7.16 Tieto Healthcare & Welfare Oy
03.02.2014 SoftMedic 5.0 CGI Suomi Oy
29.04.2014 MAXX-eResepti Receptum Oy
AssisCare Entteri Professional Software Oy
22.05.2014 eDoctoral PlusTerveys Oy
20.08.2014 eRA Atostek Oy
17.09.2014 Pegasos 8.2 CGI Suomi Oy
16.12.2014 MediResepti Mediconsult Oy
http://www.kanta.fi/fi/web/ammattilaisille/auditoidut-jarjestelmat-ja-valittajat
20
Kelan yhteistestauksessa olevat potilastietojärjestelmät:
Potilastiedon arkisto 05.03.2015
17
Aloitus Tietojärjestelmä Valmistaja
03 / 2014 *Graafinen Finstar CGI Suomi Oy
04 / 2014 Esko Pohjois-Pohjanmaa shp
08 / 2014 Multilab MyLab Oy
08 / 2014 Radu Lforce Oy
10 / 2014 Mediatri Mediconsult Oy
02 / 2015 Diarium Finnish Net Solutions Oy
04 / 2015 DynamicHealth Tieto Healthcare & Welfare Oy
04 / 2015 eRA Atostek Oy
04 / 2015 SoftMedic CGI Suomi Oy
04 / 2015 **eDoctoral PlusTerveys Oy
04 / 2015 **Lifecare Tieto Healthcare & Welfare Oy
04 / 2015 **WinHIT In Net Oy
http://www.kanta.fi/fi/web/ammattilaisille/testaus
12
*Kuvantamisen osalta
**Suun terveydenhuolto
Sertifioidut/auditoidut tietojärjestelmät: Potilastiedon arkisto
05.03.2015
18
Hyväksytty Järjestelmä Versio Valmistaja
(11.11.2011) Pegasos / eArkisto (pilotti) 8.2.18 Logica Oy
22.11.2012 Mediatri / Yhteisrekisteri 2012.07 Mediconsult Oy
29.11.2012 Effica / Yhteisrekisteri (ei tth) 4.1 MF22 Tieto Oyj
28.10.2013 Effica / Potilastiedon arkisto 4.1 vuosijulkaisu 2013 (H2) Tieto Oyj
03.02.2014 Navitas / Yhteisrekisteri 4.6 Appelsiini Finland Oy
09.03.2014 Uranus / Yhteisrekisteri 8.2.4 CGI Suomi Oy
10.03.2014 neaRIS / Yhteisrekisteri
neaLINK / Yhteisrekisteri
1.8
3.14
Neagen Oy
09.05.2014 Altti / Yhteisrekisteri 01.03.00 Fujitsu Finland Oy
16.05.2014 Pegasos 9.1.00 CGI Suomi Oy
22.09.2014 Uranus / Potilastiedon arkisto 8.4 CGI Suomi Oy
23.10.2014 Graafinen Finstar (GFS) 5.0 CGI Suomi Oy
27.11.2014 Acute 4.3 Acuvitec Oy
19.12.2014 Abilita 2014.02 Abilita Oy Ab
02.11.2013
http://www.kanta.fi/fi/web/ammattilaisille/auditoidut-jarjestelmat-ja-valittajat
13
22.05.2014
05.11.2014
19.12.2014
04.12.2014
03.02.2015
5.5.2015 19
Omavalvontasuunnitelma
THL / OPER
Omavalvontasuunnitelma
• Terveydenhuollon palvelunantajan, välittäjien sekä Kansaneläkelaitoksen on tehtävä Omavalvontasuunnitelma liittyen tietoturvaan, tietosuojaan ja tietojärjestelmien käyttöön
• Laissa määritellään keskeiset omavalvontasuunnitelman sisällöt
• THL antaa määräyksiä Omavalvontasuunnitelmaan sisällytettävistä selvityksistä ja vaatimuksista
• Pääasiallisena lähtökohtana olleet aiemmat organisaation itseauditointivaatimukset Kanta-käyttöönottoihin liittyen
• Omavalvonta korvaa (sisältää) aiemman itseauditointikäytännön
20
Omavalvontasuunnitelma
Keiden on laadittava
• Sähköistä asiakas- ja potilastietojen käsittelyyn tarkoitettua tietojärjestelmää käyttävien
– Sosiaali- ja terveydenhuollon palvelun antajien,
– apteekkien
– itsenäisten ammatinharjoittajien
• Kansaneläkelaitoksen
• Kanta-välityspalveluiden tuottajien
Miksi
• Suunnitelmassa selvitettyjen toimenpiteiden avulla ylläpidetään ja kehitetään organisaation tietoturvaa ja tietosuojaa
Milloin
• 31.3.2015 mennessä
21
Määräys omavalvontasuunnitelmasta
• Määräys Omavalvontasuunnitelmasta
– Oli lausunnolla 21.11.2014 asti
– Palautetta antoi 88 toimijaa
– Palautteen perusteella täsmennettiin määräys
• Mm. käsitteet, välittäjien ja Kansaneläkelaitoksen huomiointi, omavalvontasuunnitelman suhde nykyisiin auditointivaatimuksiin, omavalvonta/ tietoturvan varmistaminen ostopalvelu- ja ulkoistustilanteissa
• Omavalvontasuunnitelman mallipohja
– Dokumenttipohja toimijoiden hyödynnettäväksi, johon koottu pohjaa omavalvontasuunnitelmaan kirjattaviin sisältöihin ja viittauksiin muihin omavalvonnassa tarvittaviin dokumentteihin
22
Omavalvonta sosiaalihuollossa
• Omavalvontasuunnitelmaan sisällytetään kaikki tietojärjestelmät, joilla käsitellään asiakas- ja potilastietoa
• Koskee siis myös sosiaalihuollon toimintaa ja sosiaalihuollossa käytettäviä asiakastietojärjestelmiä
• Laki sosiaalihuollon asiakasasiakirjoista (HE 345/2014) määrittelee, kenen pitää kirjata:
– ” Velvollisuus kirjata asiakastiedot alkaa, kun palvelunantaja on saanut tiedon henkilön palveluntarpeesta tai ryhtynyt toteuttamaan sosiaalipalvelua”.
• Yksityisten asiakkaiden kohdalla velvollisuus alkaa, kun asiakkaan kanssa on tehty palvelun toteuttamisesta.
5.5.2015 23 THL / OPER
Minimivaatimukset ja selvitykset
Varmistetaan, että kaikki asiakas- ja potilastietojen käsittelyyn osallistuvat palvelun antajat ja muut tahot huolehtivat
1. Henkilöstön riittävästä koulutuksesta ja kokemuksesta
2. Asianmukaisten käyttöohjeiden saatavuudesta
3. Asianmukaisesta käytöstä valmistajan ohjeitten mukaan
4. Menettelytavoista virhe- ja ongelmatilanteissa
5. Toimintamallista asennus-, ylläpito- ja päivitystilanteissa
6. Käyttöympäristön vaatimustenmukaisuudesta
7. Tietojärjestelmien vaatimustenmukaisuudesta
8. Liittymisestä valtakunnallisiin tietojärjestelmäpalveluihin
9. Riittävistä käytön seuranta- ja valvontatoimenpiteistä
24
Kuvattavat tietojärjestelmät
• Suoraan Kanta-palveluihin liitettävät A-luokan tietojärjestelmät
• Asiakas- ja potilastietoja käsittelevät B-luokan tietojärjestelmät
• Asiakas- ja potilastietojen asennukseen, ylläpitoon ja päivitykseen vaikuttavat ja niissä huomioitavat tietojärjestelmät
25 14.2.2015 THL / OPER
Esimerkki Luku 3 Yleiset tietoturvakäytännöt
Sisällytettävä kuvaukset tai viittaukset seuraavista asioista:
• Tietoturvapolitiikka: tiedot sen tarkastamisen ja kehittämisen käytännöistä
• Yleistiedot: tietoturvan vastuutuksesta, organisoinnista, seurannasta ja valvonnasta sekä tietosuojavastaavista
• Koulutus, ohjeistus, käyttökokemus ja niiden seuranta
• Toimintamallien koulutus ja perehdytys
• Tietojärjestelmien käyttökoulutus
• Riittävä kokemus
• Ohjeet ja koulutus potilastietojen käsittelystä
THL / OPER 26 14.2.2015
Esimerkki / Luku 4 Käyttöympäristö: Tilojen, työasemien, tallennusvälineiden ja tulosteiden sekä muun ympäristön turvallisuuden hallinta
Kuvataan ja luetellaan seuraavat turvallisuustekijät:
• Suojattavat fyysiset tilat ja niiden suojauskäytännöt
• Työasemien sijoittuminen, lukittuminen ja suojaus sivullisilta
• Työasemien virus- ja haittaohjelmilta suojautuminen
• Mobiililaitteiden ja –ympäristöjen suojauskäytännöt, PIN-koodien hallinta, SIM-korttien hallinta, ohjelmalliset suojaukset
• Oheisohjelmistojen asentaminen työasemille, palvelimille ja mobiililaitteille
• Tulosteiden turvallisuus ja tulosteiden turvallisen käsittelyn käytännöt
• Ulkoiset tallennuslaitteet ja tallennusvälineet
• Yleiset käyttöympäristön tukipalvelut, Operaattoreitten ja tietoliikenteen vastuut ja niiden sisällyttäminen sopimuksiin
• Etäyhteydet, langattomat verkot ja reitittimet
THL / OPER 27 14.2.2015
Esimerkki Luku 8 Tietojärjestelmäkohtaiset ohjeet ja suunnitelmat • Esim. A-luokkaan kuuluva:
– Järjestelmä, versio, toimittaja, yhteystiedot
– Käyttötarkoitus
– Käyttäjäryhmät
– Käyttöohjeet
– Ohjeiden päivittäminen ja jakelu
– Menettelyt virhe- ja ongelmatilanteissa
– Järjestelmäkohtaiset tukipalvelut
– Asennus- ja ylläpitovastuut ja -vaatimukset
– Menettelytavat ja vastuut virhe- ja poikkeustilanteissa
– Käyttövaltuushallinta järjestelmässä
– Tunnistautuminen järjestelmässä
– Lokit
– Järjestelmän lukittuminen
– Kantaan liittyvän järjestelmän vaatimustenmukaisuustodistuksen tietojen varmistaminen
– Järjestelmän tiedot Valviran rekisterissä
THL / OPER 28 14.2.2015
Omavalvontasuunnitelman mallipohja
• Yleinen pohja, jossa malleja ja ”valmiita paikkoja” asioille, joihin omavalvonnassa (ja suunnitelmassa) on vastattava
• Sovellettava omaa tilannetta vastaavalla tavalla
– Vaatimusten toteuttaminen eri tavoin mahdollista eri tyyppisissä organisaatioissa ja palveluissa
– Perusteltavissa, mikäli jokin vaatimus tai kohta ei ole relevantti omien palvelujen / oman käyttöympäristön kannalta
• Osa ratkaistavista asioista voi perustua esim. sopimuksiin IT-palveluja tuottavien tai tietojärjestelmäympäristöä hallinnoivien tahojen kanssa
– Myös nämä seikat mainittava ja oltava todennettavissa
29
Vastuut ja roolit sekä hyväksymis- ja tarkistusmenettelyt • Omavalvontasuunnitelman mukaisen toiminnan varmistaminen
edellyttää suunnitelman hyväksymistä organisaation omien hyväksymiskäytänteiden mukaisesti
• Omavalvonnan vastuu on toimintayksikön vastaavalla johtajalla
– Toteutukseen kuuluu säännöllinen toiminnan valvonta: toimenpiteet rikkomustilanteissa, toteuman laadun arvointi, riskien hallinta ja takaisinkytkentä jatkuvaan kehitystyöhön
• Kirjataan vastuut myös sopimuksiin, esim.
– Käyttöympäristö tai tietotekniikkapalvelu ulkoistettu
– Tietoliikenne ja viestinvälitys ulkoistettu
– Ostopalvelun yhteydessä
– Asiakas- ja potilastietojärjestelmiä käyttävien toimintayksiköiden ja ammatinharjoittajien vastuiden määrittelyiden yhteydessä
• Varauduttava toiminnan toteutumisen tarkistuksiin esim. valvontaviranomaisen taholta
•30
Itseauditoinnista omavalvontaan
Henkilökunnan koulutus
Ohjeet potilastietojen käsittelystä
Tietoturvapolitiikka
Nimetty tietosuojavastaava
Muutostenhallintaprosessi
Järjestelmän ylläpito
Käyttövaltuushallinta, -oikeuksien jako ja hallinta
Tunnistautuminen järjestelmiin
Virhetilanteiden hallinta
Tietosuojan valvonta
Tietoturvapoikkeamien havainnointi ja tietojärjestelmien käytön seuranta
Käyttäjätunnusten yksilöllisyys
Hallintayhteydet järjestelmään
Omavalvontasuunnitelman laatimisessa voi hyödyntää aiempien
Terveydenhuollon auditointivaatimusten läpikäyntiohjetta, joka löytyy
Käyttöönotonkäsikirjasta www.kanta.fi
31
5.5.2015 32
Kysytyimpiä kysymyksiä
THL / OPER
Vastuu järjestelmän luokittelun tekemisestä
• Kysymys: Kuka luokittelun tekee?
• Vastaus: Lain mukaan valmistaja on vastuussa sosiaali- ja terveydenhuollon tietojärjestelmän luokittelusta. Valmistajan lukuun luokittelun voi tehdä myös tietojärjestelmäpalvelun tuottaja, joka myy esimerkiksi ulkomaista tietojärjestelmätuotetta tai tarjoaa siihen tukipalveluja.
5.5.2015 33 THL / OPER
Mitä tietojärjestelmiä pitää ilmoittaa Valviralle?
• Kysymys: Mitkä järjestelmät kuuluvat Valviralle ilmoitettaviin A- tai B-luokan tietojärjestelmiin?
• Vastaus: Tietojärjestelmät, joiden käyttötarkoitus (tai yksi käyttötarkoituksista) on sosiaalihuollon asiakastietojen tai terveydenhuollon potilastietojen käsittely. Nämä tiedot ovat salassa pidettäviä. Yleisiä toimisto-ohjelmistoja tai vastaavia yleiskäyttöisiä ohjelmistoja ei ilmoiteta rekistereihin.
34
Mitkä järjestelmät sisällytetään omavalvontasuunnitelmaan?
• Mitkä järjestelmät on sisällytettävä omavalvontasuunnitelmaan? Järjestelmät, jotka liitetty Kanta-palveluihin? Millä perusteilla poimitaan mukaan otettavat?
– Omavalvontasuunnitelmaan kirjataan/linkitetään luettelo kaikista organisaation käyttämistä asiakas- ja potilastietojen käsittelyyn tarkoitetuista tietojärjestelmistä
– Samoin viite/kuvaus/linkki järjestelmäkohtaisiin kuvauksiin
– Jos kuvauksia ei ole tehty, tehdään suunnitelma ja aikataulu kuvausten laatimisesta
5.5.2015 35 THL / OPER
Tietoturvapolitiikka
• Kuinka tarkka esitys omavalvontasuunnitelman liitteeksi pitää tietoturvapolitiikasta yrityksissä tehdä? Järjestömme on tuottanut jäsenistölle Tietoturvapolitiikan mallin. Riittääkö se, että yrittäjä liittää sen osaksi omavalvontasuunnitelmaa edellyttäen tietenkin, että on sisäistänyt sen sisältämän sanoman?
– Mallipohjia voi hyvin käyttää. Keskeistä on se, että palvelun tuottaja sisäistää asian, ja täydentää mallipohjaan oman organisaationsa näkökulmasta
5.5.2015 36 THL / OPER
Vastuut järjestelmätoimittajan ja palveluntuottajan välillä omavalvonnassa
Mistä tiedän, mitkä asiat omavalvonnassa kuuluvat sosiaali- ja terveydenhuollon palveluntuottajan/ ammatinharjoittajan vastuulle ja mitkä tietojärjestelmätoimittajan vastuulle?
• Kokonaisvastuu omavalvontasuunnitelman laatimisesta, suunnitelman mukaisesta toiminnasta ja toteutumisen seurannasta on sosiaali- ja terveydenhuollon organisaatiolla
• Järjestelmätoimittajan rooli voi vaihdella järjestelmän hankinta- ja ylläpitomallin mukaisesti
• Vastuut kirjattava sopimuksiin ja omavalvontasuunnitelmaan kuvattava miten asiasta on sovittu järjestelmätoimittajan kanssa
• Esim. hankittaessa järjestelmä palveluna järjestelmätoimittaja vastaa järjestelmän teknisestä ylläpidosta, versioiden asennuksista, tietoliikenteestä ym.
5.5.2015 37 THL / OPER
Omavalvontasuunnitelman julkisuus
• Tuleeko omavalvontasuunnitelman olla julkisesti nähtävillä esimerkiksi internetissä, vai riittääkö, että suunnitelma on henkilöstön nähtävillä?
– Omavalvontasuunnitelman ei tarvitse / pidäkään olla julkisesti nähtävillä
– Monissa tilanteissa ja organisaatioissa suunnitelma sisältää sellaista tietoturvallisuustietoa, joka on syytä pitää ulkopuolisten saavuttamattomissa tai poissa julkisesta jakelusta tai
– Henkilöstön tulee olla tietoinen omavalvontasuunnitelmasta tai ainakin niistä sen asioista jotka heitä suoraan koskevat
5.5.2015 38 THL / OPER
Mikä on riittävä henkilöstön kokemus?
• Miten määritellään henkilöstön riittävä kokemus?
– Henkilöstön kokemus järjestelmän käyttöön kasvaa käytön ja koulutusten myötä
– Keskeistä on, että uusille työntekijöille järjestetään riittävä koulutus ja perehdytys järjestelmän käyttöön
5.5.2015 39 THL / OPER
Tietojärjestelmän käyttäminen valmistajan ohjeiden mukaisesti
• Omavalvontasuunnitelman kysymys: "Miten varmistetaan ja todennetaan, että tietojärjestelmiä käytetään valmistajan antamien ohjeistusten mukaisesti tai niitä tarkoituksenmukaisesti soveltaen tai täydentäen."
– Kun koulutus, ohjeistus ja seuranta on toteutettu siten, että ajantasaiset ohjeistukset ovat saatavilla ja käyttäjät tuntevat ohjeet, ja käyttöön liittyville käyttäjien kysymyksille (myös ohjeisiin liittyen) on määritelty selkeä ja tiedossa oleva toimintatapa, ei pidemmälle menevää todentamista voida nykyisellään edellyttää.
5.5.2015 40 THL / OPER
Määräajat ja voimassaolot • Kysymys: Järjestelmämme jonka on suunniteltu liittyvän Kanta-palveluihin
ei ole vielä käynyt läpi yhteistestausta eikä sertifiointiprosessia. Ovatko tietoturvan sertifiointivaatimukset sille voimassa?
– Vastaus: Ovat, säädösten ja määräyksen mukaisesti. Yhteistestaus, tietoturva-auditointi ja vaatimustenmukaisuustodistus tarvitaan ennen kuin järjestelmä voidaan ottaa tuotantokäyttöön.
• Kysymys: Järjestelmäämme on suoritettu tietoturvallisuuden auditointi ja yhteistestaus ennen 1.1.2015. Koska tarvitaan uudelleenauditointi ja uusien määräysten mukainen vaatimustenmukaisuustodistus?
– Vastaus: Nykyisten määräysten mukaisesti vanha auditointi on voimassa auditointiraportissa todetun voimassaolon mukaisesti. Kelan päätöksellä ennen 1.1.2015 hyväksytty järjestelmä on voitu liittää Kanta-palveluihin enintään kahden vuoden ajaksi. Mikäli järjestelmään on tehty vain itseauditointi, tulee huolehtia ulkoisesta tietoturva-auditoinnista siirtymäaikojen puitteissa.
• Kysymys: Voiko Kanta-palveluihin liittyä 1.1.2015 jälkeen sellaisen välittäjäpalvelun kautta, joka on ennen tätä suorittanut tietoturvan itseauditoinnin?
– Vastaus: Kyllä voi, mutta välittäjäpalvelun on huolehdittava uusien määräyksien mukaisen sertifioinnin toteuttamisesta omavalvontasuunnitelman lisäksi 6 kk kuluessa määräysten voimaantulosta (määräykset tulivat voimaan 1.2.2015).
5.5.2015 41 THL / OPER
Mitä jatkossa?
• Päivityksiä ja tarkennuksia saatujen kokemusten perusteella vaatimuksiin ja määräyksiin
• Alustavaa tietoa: vuoden 2015 aikana toiminnallisten vaatimusten määräyksen valmistelu?
– Mukana toiminnallisissa vaatimuksissa
• Toiminnallisuudet (pääosin Kanta-käyttötapausten pohjalta)
• Tietosisällöt (esim. arkiston osalta vaiheistuksen mukaisesti)
– Kohteena etenkin A-luokan järjestelmien toiminnallisten vaatimusten ”pääryhmittely”
• Tarkennettavana, missä määrin (jos lainkaan) ensimmäiseen versioon B-luokan järjestelmien toimintojen erittelyjä
• Liikkeelle ”ylätason toiminnallisuus- ja sisältöotsikoista” + viittaukset tarkempiin määrittelyihin
– Tukee jatkossa myös määrittelyjen ja sertifioinnin ”rytmitystä” release-pakettien avulla (esim. ”vuoden 2015 Kanta-määrittelyjen mukainen toteutus”)
– joissakin muissa maissa käytetty toiminnallisten vaatimusten standardeja tarkemmalla tasolla sertifioinnin ja kansallisten vaatimusten pohjana
» esim. ISO/HL7 Electronic Health Record System Functional Model standardin käännökset ja profiilit erityyppisille järjestelmille / Italia, Kreikka, Hollanti, USA…
– Todentamistavat yksi tarkennettavista seikoista
5.2.2015 Juha Mykkänen/ OPER
Yhteenveto
• Olennaisten vaatimusten ja omavalvonnan kautta varmistetaan, että
– järjestelmissä on riittävällä tavalla huomioitu käyttötarkoituksen edellyttämät yhteentoimivuus-, tietoturva- ja tietosuoja-asiat
– asiakas- ja potilastiedot suojataan asianmukaisilla tietoturva- ja tietosuojakäytännöillä palvelujen tuottajien toiminnassa
• Olennaiset vaatimukset nojautuvat kansallisiin määrittelyihin
• Omavalvontasuunnitelman soveltaminen sovitettava palvelun tuottajan toimintatapojen mukaiseksi
– Esim. osa asioista mahdollista hoitaa sopimusten kautta, mutta vaatimukset pystyttävä todentamaan myös näissä tilanteissa
• Määräyksiä ja vaatimuksia päivitetään jatkossa, kun kansallisia palveluita ja sisältöjä tulee lisää
43
44
Kiitos! [email protected]
Lisätietoja: http://www.kanta.fi/web/ammattilaisille/sert
ifiointi
https://www.thl.fi/fi/web/tiedonhallinta-
sosiaali-ja-terveysalalla/tiedon-ja-
vaatimusten-yhdenmukaistaminen
http://www.kanta.fi/web/ammattilaisille/poti
lastiedon-arkiston-kayttoonoton-kasikirja