Tahalliset kyberuhat (yleiset) Tahattomat kyberuhat (yleiset) - Hakkerointi, erilaiset hyökkäysmuodot
(mm. haittaohjelmat ja sähköpostit.) - Henkilöstön käytös; tietojen luovutus.
- Henkilöstön huolimattomuus, inhimilliset virheet (koulutuksen puute)
- Mobiililaitteiden väärinkäyttö
- Tahalliset kyberuhat (harvinaiset) - Tahattomat kyberuhat (harvinaiset) - Verkkoliikenteen kautta murtautuminen
viesti- ja tietojärjestelmiin (mm. vesi, sähkö tai tietoliikenne)
- Rikollisuus lisääntyy, mitä enemmän arka-luonteista tietoa on verkossa.
- Ulkopoliittiset uhat. Terrorismi.
- Päivitysten laiminlyönti.
- Luonnonilmiöt.
Kyberturvallinen toiminta taataan osaavan henkilökunnan kouluttamisella ja säännölli-sellä ohjelmien päivittämisäännölli-sellä. Toimintaympäristön toimivuus edellyttää useiden erilais-ten tietojärjestelmä- ja automaatiojärjestelmien kokonaisuuksien hyödyntämistä ja yh-teensovittamista (Lehto, Pöyhönen & Lehto 2019, 19). Verkkoon kytkettyjen laitteiden tietoturvariskit ovat sidoksissa toisiinsa, jonka vuoksi tarvitaan turvallisuuspolitiikan ym-märtämistä laitteiden käyttäjätasolla. Henkilöstön koulutuksen tavoitteena on, että jokai-nen työntekijä hallitsee organisaation tietosuoja- ja tietoturvaperiaatteet sekä kykenee so-veltamaan niitä työssään. Perehdytys alkaa työsuhteen alussa ja jatkuu koko työuran. Ky-berturvallisuuden suurimpia huolenaiheita ovat organisaation työntekijöiden tietämättö-myys ja huolimattomuus näistä uhista. Paljastuneista tapauksista tietosuojan
rikkoutumi-sen perimmäinen syy on ollut tahaton työntekijän toiminta. (ks. esim. Sosiaali- & terveys-ministeriö 2019a, 23.) Tämän vuoksi on hyvä tiedostaa, että terveydenhuollon kolme suu-rinta uhkaa ovat mobiililaitteiden väärinkäyttö, pilvipohjaiset tietorikkomukset sekä säh-köpostin kautta tulevat lunastusohjelmat (Rajamäki, Nevmerzhitskaya & Virág 2018, 3).
Päivitysten laiminlyönti voidaan ajatella tahattomana ja harvinaisena kyberuhkana. Pe-rusteena tälle on, että pääsääntöisesti terveydenhuollon organisaatioissa ymmärretään, että ohjelmistojen päivitysten on oltava ajan tasalla ja varmuuskopioinnin kunnossa. Tie-dostetaan, että kaikille työasemille sekä laitteille virustorjuntaohjelmat ja tietoturvaohjel-mat ovat pakollisia, minkä vuoksi terveydenhuollon järjestelmiä valvotaan. Toiminnan tulee perustua ajantasaisen kybertilannetietoisuuden ylläpitoon, niin seuraamalla tietotur-vatiedotteita kuin havainnoimalla haavoittuvuuksia. Yksittäinen laite voi toimia väylänä organisaation verkkojärjestelmään, jolloin se voi olla reitti kyberuhille, jotka huonoim-massa tapauksessa aiheuttavat potilasturvallisuusriskin ja lamauttavat koko organisaation tietojärjestelmän toiminnan. (ks. esim. Norri-Sederholm ym. 2019, 95-96).
Maailmanlaajuisesti on kerätty tietoa siitä, kuinka terveydenhuollon työntekijät ovat luo-vuttaneet henkilökohtaisia käyttöoikeuskoodejaan tai ovat tahallaan myyneet potilaiden henkilötietoja tavoitellen henkilökohtaista etua. Tämän tiedon vuoksi olen luokitellut henkilöstön käytöksen tietojen luovutuksesta yleiseksi ja tahalliseksi kyberuhaksi. Perus-teena tälle on tutkimustiedon mukaan, että globaalisen keskiarvon perusteella jopa 20%
terveydenhuollon henkilökunnasta oli valmis myymään käyttämänsä salasanan kolman-nelle osapuolelle ja 44% oli valmis myymän alle tuhannella dollarilla oman salasanansa.
Globaali keskiarvon mittaus on tehty Alankomaissa, Australiassa, Iso-Britanniassa, Rans-kassa, Saksassa ja Yhdysvalloissa. (ks. esim. Lehto, Pöyhönen & Lehto 2019, 43-44.)
Luonnonkatastrofit vaikeuttavat sähköverkon jakelua. Ilmastonmuutos voi tulevaisuu-dessa Suomessa aiheuttaa seurauksia tai Suomeen toimitettavassa sähkönjakelussa voi olla ongelmia, esimerkiksi Keski-Euroopassa tai Venäjällä tapahtuneen katastrofin vuoksi. Kyberuhat tulevat muuttamaan ymmärrystä turvallisuudesta lähivuosina ja sa-malla vaikuttamaan valtioiden kansainvälisiin väleihin, sillä perinteisten uhkien rinnalle on tullut rikollisuutta ja terrorismia. (ks. esim. Kekki & Mankkinen 2016, 8.)
3.2.2 Verkkojärjestelmän ja laitteiden tuoma kyberuhka
Verkkojärjestelmien turvallisuudesta huolehtiminen on ensisijaisen tärkeä tehtävä koko terveydenhuollon kiinteistön kannalta. Viesti- ja tietojärjestelmien toimivuuden lisäksi toimintaympäristön jatkuvuuden kannalta keskeisiä lähtökohtia ovat sähkö, vesi, lämpö, sairaalakaasu, paineilma sekä höyrytuotanto (ks. esim. Toivonen 2016, 10.) Kyseiset toi-minnot ovat merkittäviä lähteitä koko organisaation toimivuuden kannalta, mutta samalla ne ovat otollisia kyberhyökkäysten kohteita.
Verkkohyökkäyksien kohteeksi voivat johtua niin vesi-, sähkö- tai tietoliikennejärjes-telmä, joiden toimimattomuus asettaa nopeasti sairaalat vaikeuksiin. Verkkojärjestelmien ohjelmistovirheestä johtuva ongelma voi johtaa sähköverkon pois kytkeytymiseen.
(Boddy, Hurst, Mackay, El Rhalib, Baker & Curbelo Montañez 2018, 5-7.) Tällainen on-gelma asettaa turvalliselle toiminnalle haasteita. Sähkönjakelussa tapahtuva häiriö voi ai-heuttaa mittaamattomia vaikutuksia veden, sähkön ja tietoliikenteen jakeluun, minkä seu-rauksena potilashoito vaarantuu. Hissit ja ovet eivät toimi järjestelmähäiriön, eli esimer-kiksi algoritmin muutoksen vuoksi. Vesivahinko saattaa vaikuttaa pitkällä aikavälillä or-ganisaation toimintaan. Esimerkiksi, jos vettä ei saada katkaistua riittävän ajoissa, niin se voi kulkeutua rakenteisiin kerrosvälistä toiseen. Hygieniasta huolehtiminen ei toteudu ja ei saada puhtaita välineitä, kun välinehuolto ei kykene niistä huolehtimaan. Lisäksi ei tule unohtaa ilmastoinnin merkitystä ja lämmönsäätelyä organisaation erilaisissa tiloissa. Tä-män vuoksi on hyvä ymmärtää erillisverkon merkitys lääkintälaitteille, sairaalan teknii-kalle, videovalvontalaitteille ja niin kiinteille kuin vakioimattomille työasemille.
Haittoja väheksymättä on toivottavaa, että kyberympäristöön voidaan luottaa ja turvata terveydenhuollossa (Suomen kyberturvallisuusstrategia 2013, 4). Lääkinnälliset laitteet eivät ole enää erillinen osa kliinistä hoitoprosessia, jonka vuoksi ne on suojattava kybe-ruhilta (Williams & Woodward 2015, 307). Lääkinnällisten laitteiden tarkoituksena on tallentaa ja lähettää fysiologisia signaaleja langattoman verkon välityksellä. Tiedon kä-sittely ja tallentaminen pilvipalveluihin lisäävät kyberturvallisuuden korostamisen tar-vetta kyberuhilta varautuessa. (Boddy ym. 2018, 5-7.) Kyberuhkien vuoksi on muistet-tava, että EKG-laitteet, potilasvalvontamonitorit, ruiskupumppu-telakoinnit,
kuvalevylu-kijat ja ultraäänilaitteet voivat heikentää myös organisaation kyberturvallisuutta. Lait-teissa voi olla virheellinen WLAN-yhteys, jonka salaukset ovat puutteellisia. Esimerkiksi laitteet käyttävät joko salaamatonta reittiä tai helposti murrettavaa WEP-salausta. Muita laitteisiin liittyviä haavoittuvuuksia ovat USB-tikkujen ja muistikorttien käyttö sekä vail-linaiset salasanat. (Lehto & Lehto 2017, 22-23.)
Väistämättä tapahtuu tietoturvaloukkauksia, jonka vuoksi kyberturvallisuuden sietoky-kyä pitää kehittää ja ylläpitää. Organisaatioiden toimintasuunnitelmana kyberhaittojen varalta on sisällytettävä ajantasainen laitelista järjestelmistä ja ohjelmista. (Norri-Seder-holm ym. 2019, 95-96). Organisaation joutuessa kyberhyökkäyksen kohteeksi vaikutuk-set voivat olla laajat ja saattavat vaikuttaa potilaiden turvallisuuteen, sairaalan talouteen ja IT-ohjelmistojen saatavuuteen. Ohjelmistoon tunkeutuminen vaarantaa potilaiden ja työntekijöiden tietojen yksityisyyden ja turvallisuuden. (Lehto ja Lehto 2017, 11.)
Liikenne- ja viestintävirasto (2018) painottaa, että kyberuhat eivät tunne valtioiden rajoja, joten turvallisuuden kannalta on tehtävä yhteistyötä eri ministeriöiden ja organisaatioiden välillä. Kansainväliseen yhteistyöhön pyritään valtioiden välisellä yhteistyöllä kybertoi-mintaympäristöön liittyvissä kysymyksissä. Näissä turvallisuuskysymyksissä Suomelle Euroopan unioni (EU) on keskeinen toimija. EU:n ohella terveydenhuollon profiloitu-neita kansainvälisiä toimijoita ovat Yhdistyneet kansakunnat (YK), Euroopan turvalli-suus- ja yhteistyöjärjestö (ETYJ), Euroopan neuvoston, taloudellisen yhteistyön ja kehi-tyksen järjestö (OECD) sekä Pohjois-Atlantin liito (Nato), joiden tehtävänä on koota yh-teen kansainvälistä keskustelua turvallisuudesta. Nämä toimijat ovat yhdessä ja erikseen luoneet erilaisia ohjeita niin yhteiskunnan kuin terveydenhuollon kyberturvalliselle toi-minnalle. (ks. esim. Ulkoministeriö 2019.) Suotavaa on herättää keskustelua kyberturval-lisen toiminnan merkityksestä, sillä uhat ja haitat lisääntyvät. Kyberrikollisuus pitää ym-märtää vakavana uhkana, sillä verkkojärjestelmiin kohdistuva rikollisuus yleistyy sa-massa tahdissa kuin liiketoiminta, kuluttaminen ja yhteiskunta siirtyvät internetiin. Siinä samalla verkkoon liittyvien laitteiden määrä kodeissa ja työpaikoilla kasvaa. Terveyden-huollon erilaisiin tarkoituksiin tarkoitetut laitteet luovat uusia rajapintoja verkkotoimin-taan, joita voidaan siten häiritä tehokkaammin. (ks. esim. Peltomäki & Norppa 2015, 34.)
3.2.3 Kyberrikollisuus ja kyberhakkerointi
Kybermaailma houkuttelee rikollisia, jotka etsivät uusia mahdollisuuksia hyötyä aineel-lisesti erilaisten verkkoympäristössä olevien tietojen kautta. Siksi informaation siirtyessä verkkoon ovat muodostuneet myös uudenlaiset tiedusteluorganisaatiot. Ihmisten käsityk-set ovat muuttuneet yhteiskunnan palvelurakenteiden ja -tuotannon kasvaneisiin tehok-kuusvaatimuksiin ja teknologioiden tarjoamiin mahdollisuuksiin, jotka muuttavat ihmis-ten toimintaa arjessa ja työssä. Verkkoon liitettävien asioiden ja tietojen määrän kasva-essa toimintojen turvaaminen hankaloituu, mikä merkitsee hyökkääjille uusia mahdolli-suuksia. (ks. esim. Lehto & Limnéll 2017, 181-183.)
Suomessa yhteiskunnallisesti kyberrikosten kannalta kokonaisrikollisuudesta ei ole ole-massa kattavia tilastotietoja, niin terveydenhuollon kannalta kuin yhteiskunnallisestikaan.
Kyberrikokset jaotellaan sen mukaisesti, ovatko tietoverkot rikosten kohteena vai käyte-täänkö tietotekniikkaa hyödyksi rikoksissa. Vuoden 2015 alusta alettiin tilastoida datava-hingontekoja ja yleisimpänä kyberrikollisuuden muotona identiteettivarkauksia, joita ti-lastoitiin vuonna 2016 yli 3000 tapausta. (ks. esim. Rikoksentorjuntaneuvosto n.d.)
Kuvioissa 2-4 on kuvattu Suomen häirintärikosten ja tietomurtojen seurantaa vuosilta 2007-2016.
KUVIO 2. Tietoliikenteen häirintärikokset 2007-2016 (Rikoksentorjuntaneuvonta n.d.)
KUVIO 3. Tietojärjestelmän häirintärikokset 2007-2016 (Rikoksentorjuntaneuvonta n.d.)
KUVIO 4. Tietomurtorikokset 2007-2016 (Rikoksentorjuntaneuvonta n.d.)
Terveydenhuollossa ei liiku suuria rahasummia, mutta potilastietojensa eheyden vuoksi siitä on tullut rikollisuuden kohde. Kansainvälisesti on uutisoitu hakkeroiduista kulku-neuvoista, sydämentahdistimista tai teollisuuslaitoksista Maailmalla terveydenhuollon verkkohyökkäyksien kohteeksi on joutunut useita organisaatioita. Suomessa esimerkiksi Turun yliopistollisen sairaala on ollut kiristyshaittaohjelman hyökkäyksen kohteena vuonna 2017. Näissä tapauksissa tarkoituksena oli pääsy potilastietojärjestelmiin, sillä murretuilla henkilötiedoilla on hyvän hintaiset markkinat internetin pimeässä kaupan-käynnissä. Suomessa suurimmat kyberuhat kuuluvat lääketieteellisiin laitteisiin, joiden hallinta ei kuulu tietohallinnolle vaan lääketieteellisen tekniikan yksikölle, jossa välttä-mättä ei ole riittävästi kyberturvallisuusosaamista. Toisaalta tiedostetaan, että erilaiset au-tomaatiojärjestelmät, kuten potilaiden insuliinipumput, erilaiset elintoimintoja tulkitsevat
laitteet sekä tietokoneavusteinen kuvantaminen ovat tietoturvatasoltaan heikkoja. (ks.
esim. Andreasson, Riikonen & Ylipartanen. 2016, 51, Rajamäki, Nevmerzhitskaya &
Virág 2018, 3)
Terveydenhuollossa erilaiset häiriöt johtuivat ne sitten rikollisuudesta, verkkojärjestel-män tai laitteiden tuomasta kyberuhasta vaikuttavat tyypillisesti suoraan potilashoidon jatkuvuuteen. Vaikutukset tapahtuvat joko välillisesti tai viiveellä. Kaikki terveydenhuol-lon toiminnot eivät ole samanarvoisia, vaan osa sen toiminnoista on kriittisiä toimintoja, joiden turvaaminen ja jatkuvuus pitääkin turvata ensisijaisesti terveydenhuollon verkko-ympäristössä. (Sosiaali- & terveysministeriö 2019b, 14.) Suomessa kylläkin tietoisuus erilaisista kyberuhkista on lisääntynyt, mutta terveydenhuollon organisaatiot eivät välttä-mättä halua antaa kattavia tietoja toteutuneista hyökkäyksistä, mikä voi selittyä osittain organisaation imagokysymyksestä (Norri-Sederholm ym. 2019, 96).
Kyberuhkien vuoksi on hyvä ymmärtää, miksi hakkeroinnit ovat yleisiä. Kuviossa 5 on kuvattuna terveydenhuollon hakkeroinnit Yhdysvalloissa vuosina 2010-2016.
KUVIO 5. Terveydenhuollon hakkeroinnit Yhdysvalloissa (Lehto, Pöyhönen & Lehto 2019, 40).
Keväällä 2016 WannaCry- kiristyshaittaohjelma saastutti maailmalla monia sairaaloita hyödyntäen vanhentunutta JBoss -palvelinohjelmistoa. Yhteyden saaneena hyökkääjä la-tasi haittaohjelman palvelimille ilman yhteyttä kohteen kanssa, jolloin haittaohjelma le-visi tietokoneiden välillä käyttäen haavoittunutta Windows -käyttöjärjestelmää. Micro-soft korjasi haavoittuvuuden maaliskuussa 2017. Syynä oli organisaatioiden huolimatto-muus pitää päivityksiään ajan tasalla tai ne käyttivät vanhempia ei tuettuja versioita. Ky-seinen tapa mahdollisti haittaohjelman laajan leviämisen hyvin lyhyessä ajassa. Vuonna 2018 Yhdysvalloissa terveydenhuollon järjestelmiin kohdistui 365 tietosuojaloukkausta, joista 158 oli hakkerointeja sairaaloiden IT-järjestelmiin, 143 tapausta aiheutui luvatto-masta pääsystä tietojärjestelmiin ja 55 tapauksessa kyse oli varastetuista laitteista tai tal-lenteista. Verrattuna vuoteen 2017 nousua tapahtui kahdessa ensimmäisessä ryhmässä, kun vuonna 2018 Yhdysvalloissa tietosuojaloukkauksia kohdistui noin 13,35 miljoonaan potilastietoon. (ks. esim. Lehto, Pöyhönen & Lehto 2019, 24, 38-39.) Suomessa taas WannaCry löytyi useista Turun yliopistollisen sairaalan tietokoneista, mutta onneksi mit-taavia haittoja ei ehtinyt tapahtua (Rajamäki, Nevmerzhitskaya & Virág 2018, 3).
Kyberturvallisuuskeskus (2019b) on raportoinut, että se on saanut vuoden 2018 jälkeen kymmeniltä eri alojen organisaatioilta ilmoituksia hakkeroiduista Office 365-tileistä, joista uusin huijaus ohjaa vastaanottajaa lukemaan tiedoston särkyneelle SharePoint-si-vuille. Tällaisen viestin uskottavuutta lisää, että viestit ovat saapuvat murretun käyttäjä-tilin osoitekirjan yhteystiedoista. Office 365 -aiheiset huijauskalastelut ovat olleet usei-den organisaatioiusei-den haittana jo kauan, sillä rikolliset kehittelevät jatkuvasti uusia tapoja murtoon. Suomessa on viimeisen puolen vuoden aikana esiintynyt kaksivaiheisen tunnis-tautumisen ohittaneita sekä turvaposteiksi naamioituja sähköpostiin saapuneita viestejä.
Yleisempinä motiiveina ovat laskutushuijaukset, joissa on muutettu viesteissä olevia maksutietoja. Hyökkääjien nähdessä viestien sisällöt heidän on mahdollista hyödyntää huijauskeinon avulla yrityssalaisuuksia tai muuta arkaluontoista materiaalia. Terveyden-huollon johtamisessa on ymmärrettävä kyberturvallisuuden tärkeys ja kuinka riskienhal-linnalla huolehditaan terveydenhuollon toimintaympäristön turvallisuudesta.
3.3 Terveydenhuollon johtaminen ja kyberturvallisuus
3.3.1 Johtamisen tasot terveydenhuollossa
Terveydenhuollon johtamisessa tarvitaan päätöksentekokykyisiä ja eteenpäin suuntautu-neita johtajia, jotka varmistavat laadukkaat, asiakaslähtöiset ja yhdenvertaiset palvelut käyttäjilleen. Tiedon määrän lisääntyessä johtamisen keinoja tuleekin selkeämmin mää-rittää. (Myllymaa & Saadetdin 2016, 102-110.) Tasoista riippumatta johtamisessa ovat yhtäaikaisesti läsnä yhteiskunnalliset, taloudelliset ja toiminnalliset odotukset. Samalla työhön kohdistuu organisaation sisäiset tavoitteet sekä niiden kehittäminen palvelun tuot-tamisen, asiakkaiden odotuksien ja eri työntekijäryhmien näkökulmista. (Pietiläinen &
Syväjärvi 2016, 323). Johtamisen vahvoina ominaispiirteinä ovat ammattimaisuus, hie-rarkkinen rakenne ja näistä tekijöistä rakentunut kulttuuri, sillä ne ovat muodostaneet tie-tyn kontekstin johtamiselle ja tiedon merkitykselle. Terveydenhuollon johtamisessa ja päätöksenteossa tarvitaan ajantasaista ja laadukasta tietoa parannettaessa organisaation tuloksellisuutta sekä lisätessä valmiuksia joustavaan, uudistuvaan toimintatapaan sekä vaikutettaessa toiminnan suunnitteluun ja päätöksentekoon. (Vakkala & Palo 2016, 187.)
Strategisessa johtamisessa huolehditaan suurista linjoista ja asetetaan toiminnalle pää-määrä, kun operatiivisen johtamisen tasolla toteutetaan päivittäiset toiminnat. Strategista ja operatiivista johtamista ei voida erottaa toisistaan, sillä operatiivinen johtaminen toteu-tetaan aina jonkinlaisen strategian pohjalta. Strateginen johtaminen tarvitsee oman toi-mintansa kannalta operatiivisen tason tietoa ja ymmärrystä toiminnasta (informaatio) sekä sekä kyvykkyyttä reagoida niihin, kun taas operatiivinen johtaminen tarvitsee stra-tegisen tason ohjausta (transformaatio). (ks. esim. Sitra 2014, 11; Grönroos & Perälä 2004, 22.) Kuviossa 7 kuvataan johtamistasojen informaatio ja transformaatio.
KUVIO 6. Johtamisen tasot
Terveydenhuollon organisaatioissa kyberturvallisuuden kehittäminen alkaa strategian ta-solta. Tietohallintoyksiköiden roolina on visioida kyberturvallisen toiminnan kehittä-miseksi suunnitelma, joka muutetaan strategisiksi tavoitteiksi sekä operatiivisen tason toimenpiteiksi ja ohjeiksi. Strategisen johdon tehtävänä on huolehtia toimenpiteiden riit-tävästä resursoinnista ja uudistuksissa sekä päätöksenteossa laitevalintojen kustannus-hyötyanalyysien huomioimisesta. Organisaation ylimmän tason tehtävänä on linjata hy-väksyttävät riskitasot ja riskien pienentämiseen liittyvät toimenpiteet. Operatiivisen tason toimenpiteillä edistetään strategisia tavoitteita. Luottamusta ja turvallisuutta lisäävät toi-menpiteet edellyttävät kokonaisvaltaisen kyberturvallisuuden hallintaa. (ks. esim. Lehto, Pöyhönen & Lehto 2019, 65.) Mahdollisuuksien parantamiseksi terveydenhuollon johta-misessa tulee keskittyä sidosryhmien yhdenmukaistamiseen ja tietojärjestelmien moni-mutkaisuuksien vähentämiseen. Kyberturvallinen yhteistyö tarkoittaa, että organisaation ulkopuoliset toimijat kehittävät välineitä toimintaympäristön turvallisuudesta huolehtimi-seen, jotta terveydenhuolto suoriutuu omasta tehtävästään. (Schuler Scott ym. 2018, 117.)
3.3.2 Kyberturvallisuus terveydenhuollon johtamisessa
Kyberturvallisuuden johtamisella tarkoitetaan, että kyberturvallisuus on jaettava vastuu-alue, joka ei ole ainoastaan terveydenhuollon omassa hallinnassa, vaan erilaisen yhteis-työkuvioiden varassa (Hargan 2018, 3). Lehto ja kollegat (2018, 2) määrittävät kybertur-vallisuuden johtamisen taas verkkotoimintaympäristön turvaamisena, jossa asetetaan ja
Strateginen Informaatio Transformaatio
Operatiivinen
tunnistetaan johdettuja tavoitteita sekä toiminta ja varautuminen yhteen sovitetaan, mutta samalla hallitaan erilaisia häiriöitä. Päätöksentekotasolla organisaation turvallisuutta kos-kevien päätökset perustuvat toimintaprosessien jatkuvuuden varmistamiseen sekä on lin-jattava turvallisuuden riskitasot sekä riskien minimoimiseen liittyvät toimenpiteet niin kumppaneiden kuin sidosryhmien kesken (ks. esim. Lehto, Pöyhönen & Lehto 2019, 70).
Kyberhäiriötilanteisiin varautuminen ja niiden hallinta on käsitettävä osana terveyden-huollon jokapäiväistä toimintaa ja jatkuvuutta, jotka lisäävät väistämättä kustannuksia.
Terveydenhuollon kriittisen toiminnan vuoksi on osattava varautua niin, että häiriötilan-teista pystytään selviämään ja häiriöstä huolimatta toiminta toteutuu. (Sosiaali- ja terveys-ministeriö 2019a, 9-10.) Häiriön sattuessa henkilöstöllä on erilaiset tehtävät toimia tilan-teessa. Kyberturvalliseen toimintaan kuuluu olennaisesti tietosuoja ja toiminnan edelly-tyksiin kuuluu, että organisaation johto tukee henkilökunnan säännöllistä kouluttautu-mista (Riikonen, Kuusisto-Niemi & Karjalainen-Jurvelin 2014, 123.)
Hakkereista on tullut hienostuneempia ja ovelampia, minkä vuoksi on kannattavaa luoda järkeviä käytäntöjä. Terveydenhuollon johtamisessa ajatellaan usein kustannuksia ja kuinka oltaisiin mieluummin tuottavia yksiköitä kuin tappiota aikaan saavia. Laitevar-kaudet aiheuttavat oman tappionsa, mutta suojaamaton verkko tuo myös tappiota. Kyber-turvallisuus tulee ymmärtää asiana, joka vaatii strategista johtamista ja vahvaa poliittista ohjausta. Riskejä kehitykselle ovat erilaiset kyberuhat, jotka on muistettava myös tervey-denhuollon kehittämisessä ja palveluiden toteuttamisessa. (ks. esim. Limnéll 2016, 3.)
Terveydenhuollon johtamisessa on varauduttava ja ennakoitava mahdollisia rikoksia ja uhkia oikeanlaisella asenteella. On luotava erilaisia suunnitelmia mahdollisiin kyberhäi-riöihin varautumisessa ja niistä selviytymiseen. Tehtävän onnistumiseksi on oltava kykyä vastaanottaa ja käsitellä häiriöilmoituksia sekä arvioida häiriöiden vaikutuksia. Vahingon sattuessa riippumatta siitä, onko henkilötiedot vaarantuneet, niin haittatapahtumista tie-dotetaan eteenpäin. Tilanteen vakavuuden mukaan informoidaan julkishallinnon ylempiä tasoja, sillä usein kyberhäiriöt kohdistuvat samanaikaisesti useisiin organisaatioihin, jotka eivät välttämättä ole edes samalla alueella tai tekemisissä keskenään. (Sosiaali- ja
terveysministeriö 2019a, 28-30.) Suomessa tiedotus annetaan esimerkiksi Viestintäviras-ton Kyberturvallisuuskeskukselle tai keskeisille kumppaniorganisaatioille.
3.3.3 Riskienhallinta
Kyberturvallisuuskeskuksen (2019a) mukaan riskienhallinta voidaan jakaa neljään meka-nismiin, joita tarvittaessa voidaan yhdistellä. Ensimmäinen mekanismi on riskien aiheut-taman seikan korjaaminen eli riskin poistaminen. Toinen mekanismi on riskin minimoin-tia jollain mekanismilla, esimerkiksi IP-verkkoaluetta rajataan. Tällöin palvelun hyväk-sikäytön riski pienenee, mutta ei poistu kokonaan. Kolmas on riskin vaikutuksen pienen-tämistä, esimerkiksi lisäämällä reagointikykyä ja valvontaa. Neljäs mekanismi on riskin hyväksymistä, kun organisaation johto on saanut tiedon ongelmasta, sen vaikutuksista ja korjaavien toimintojen kustannuksista, mutta päätetään ettei asiaan kuitenkaan reagoida.
Riskienhallinta on myös kustannustehokasta toimintaa ja kustannustehokkuutta saadaan aikaan oikeanlaisella tietoturvatekniikalla sekä verkkoturvallisuuteen panostamalla. Ris-kienhallinnan merkitys on noussut sekä EU:n yleisen tietosuoja-asetuksen takia. Toimiva riskienhallinta on nykyaikana välttämättömyys, sillä mikään organisaatio ei digitaalisessa toimintaympäristössä kykene toteuttamaan sataprosenttista turvallisuutta. (ks. esim. Val-tionvarainministeriö 2018, 14.) Suomessa tehdäänkin tiivistä viranomaisyhteistyötä val-tioneuvoston kanslian tilannekeskuksen, Viestintäviraston Kybertuvallisuuskeskuksen, Puolustusvoimien, keskusrikospoliisin kyberrikosten torjuntakeskuksen sekä Helsingissä toimiva Euroopan hybridiuhkien torjunnan osaamiskeskuksen (The European Centre of Excellence for Countering Hybrid Threats) kesken (Norri-Sederholm ym. 2019, 96).
Martti Lehdon ja kollegoiden (2018, 29) mukaan taas eri ministeriöiden omilla sektoreilla toteutetaan kyberturvallisuuden strateginen johtaminen, mutta niiden keskinäinen yhteis-työ on puutteellista. Yhteiskunnallinen näkökulma puuttuu ja kokonaisvaltainen johtami-nen on hajallaan. Erilaisia toimijoita on paljon, mikä hankaloittaa toimintojen toteutu-mista. Eri ministeriöt tarkastelevat omien tarpeidensa mukaisesti kyberturvallisuutta, mikä on valtakunnallisen riskienhallinnan kannalta hankalaa. Toisaalta tämä on ristirii-taista, kun yhteistyön tekeminen koetaan tärkeänä.
Rouskun ja työryhmän (2017, 20) mukaan vielä ei ole sattunut merkittäviä tieto- tai ky-berturvallisuuspoikkeamia, mutta ei voida tuudittautua siihen, että näin ei kävisi jatkos-sakaan. Kyberrikolliset kehittävät omaa toimintaansa ja sitä enemmän, kun palveluita yh-distetään ja monipuolistetaan tuoden lähemmäksi asiakkaan omaa hallintaa, niin hyvää tarkoittava toiminta herättää odottamattomia vaikutuksia ja haasteita. Viranomaiset ja asi-akkaat asioivat toistensa kanssa yhä enemmän verkkoympäristössä, niin digitaalinen tila voi käydä mielenkiintoiseksi rikoksen kohteeksi. Verkkojärjestelmän tai laitteiden kybe-ruhkiin varautumisessa ja niiden torjumisessa on edellytyksenä, että viranomaisten toi-minnan tulee olla aiempaa nopeampaa, läpinäkyvämpää ja paremmin koordinoitua. Vi-ranomaisten pitää ymmärtää, että Internet on täynnä erilaisia kyberhyökkäysmuotoja ja haittaohjelmia. (ks. esim. Suomen kyberturvallisuusstrategia 2013, 4.)
Yhteiskunnallisella tasolla Suomi kuuluu kärkijoukkoon kyberuhkiin varautumisessa sekä niistä aiheutuvien häiriötilanteiden hallinnassa. Vakavien ja laajojen hyökkäysten torjuntakyky on heikkoa tasoa, sillä havainnointikyvyn ja tilannekuvan puute on suuri.
Globaalisesti katsottuna Suomi ei toistaiseksi ole kyberhyökkäysten pääkohteita ja valta-kunnallisesti kyberturvallisuutta on onnistuttu kehittämään muun työn rinnalla. Tervey-denhuollossa tulee tiedostaa, että kyberuhat kehittyvät ja lisääntyvät jatkuvasti. Parannet-taessa yleistä kyberturvallisuutta sekä varautumista on toimittava suunnitelmallisesti ja toteuttamiskelpoisesti. Tulevissa turvallisuuteen liittyvissä uudistuksissa tarvitaan selkeä-linjaisuutta, määriteltyjä tavoitteita ja toimenpiteitä. (ks. esim. Lehto ym. 2017, 25-27.)
Jalalin ja Kraiserin (2018, 39) mukaan terveydenhuolto on jäänyt jälkeen muista toimi-aloista kyberturvallisuuden kehityksessä. Tämä hankaloittaa terveydenhuollon tärkeim-män sidosryhtärkeim-män eli potilaiden suojelemista, sillä kyberturvallisuustilanteet ovat kasvava uhka. Terveydenhuollossa kyberturvallisuus tulee ymmärtää jatkuvana riskienhallinta-prosessina, jossa hyödynnetään olemassa olevia valmiuksia ja oikeanlaista resursointia investoimalla henkilöstön koulutukseen. Oikeanmukaisella ja turvallisella toiminnalla kyberturvallisuus käännetään riskeistä tilaisuuteen parantaa potilaan hoitoa ja turvalli-suutta sekä sairaaloiden liiketoimintaa. (ks. esim. Rajamäki, Nevmerzhitskava & Virág 2018, 1-5.) Terveydenhuollon organisaation tietojärjestelmien liiketoimintahäiriöt ovat
aiheuttaneet merkittävän osuuden terveydenhuollon kokonaiskustannuksiin. Verkkotoi-mintaan kohdistuneet tietomurrot johtavat negatiiviseen kassavirtaan, mikä vahingoittaa taloudellista kannattavuutta, mutta myös terveydenhuollon organisaation imagoa. Kehit-tynyt tietoturvatekniikka, edisKehit-tynyt identiteetti ja käyttöoikeuksien hallinta sekä salaami-nen tuottavat kustannussäästöjä. (ks. esim. Parikh 2018.)
Etäyhteyksien määrä on lisääntymässä ja se on yksi kehitysalue muuntuvassa terveyden-huollossa. Erilaisten verkkotoimintojen kannalta tuleekin ymmärtää, että terveydenhuol-lon työntekijöiden etätyön lisääminen voi lisätä terveydenhuolterveydenhuol-lon toimintaympäristön ky-berturvattomuutta. Etäyhteyksien luomisesta ja käytöstä on tehtävä asianmukaiset sopi-mukset sekä vastuukysymysten että tietojen suojaamisen puolesta. Oli kyseessä sitten asi-akkaan etäyhteys terveydenhuollon organisaatioon tai työntekijän etäyhteys organisaa-tion verkkoon oman työn ulkopuolelta. Sopimuksiin tulee sisältää eri osapuolten niin asi-akkaiden kuin henkilöstön vahva tunnistaminen, palomuurin käyttö, yhteyden salaaminen ja henkilökohtaiset tunnukset sekä etätoiminnalle tulee luoda oma verkkosegmentti ter-veydenhuollon toiminnassa. (ks. esim. Norri-Sederholm ym. 2019, 95.) Näiden vuoksi tulevaisuudessa turvallisen ja laadukkaan potilashoidon puolesta on investoitava huomat-tavasti enemmän pääomaa verkkojärjestelmiensä suojaamiseen. On suositeltavaa, että ter-veydenhuollon organisaation omilla tietoverkoilla on oma verkko-osionsa, joka on eril-lään talotekniikan laitteista ja yleisistä työasemista riskienhallinnan kannalta.
Vakuuttaminen on yksi riskienhallinnan tekijöistä, kun terveydenhuollossa huolehditaan kyberturvallisuudesta. Vakuutusyhtiöt tarjoavat erilaisia tuotteita terveydenhuollon orga-nisaatioiden kyberturvaan mahdollisten uhkien varalta, mutta ne eivät kuitenkaan korvaa, jos organisaatio laiminlyö tietoturvansa tai suhtautuu siihen välinpitämättömästi. Vakuu-tuksen laajuuden kartoittamiseksi tarvitaan riskien kartoitusta, olemassa olevan turvan analysointia kyberturvariskien osalta ja vakuutuksen sisällön suunnittelua organisaation tarpeita vastaaviksi. Vahingon sattuessa vakuutus korvaa taloudelliset vahingot, jos verk-kovarkaudesta aiheutuu taloudellinen menetys, kunhan organisaation turvallisuudesta on huolehdittu asianmukaisesti. (Andreasson, Riikonen ja Ylipartanen 2016, 140-141.)
4 KUVAILEVAN KIRJALLISUUSKATSAUKSEN TOTEUTTAMINEN
4.1 Kuvaileva kirjallisuuskatsaus tutkimuksen metodisena valintana
Suhosen, Axelin ja Stoltin (2016, 7-9) mukaan yleisesti kirjallisuuskatsauksen avulla
Suhosen, Axelin ja Stoltin (2016, 7-9) mukaan yleisesti kirjallisuuskatsauksen avulla