Sairaalat oppivat kohtaamistaan uhkista
Sairaaloissa työskentelee joukko varautumisen ja jatkuvuussuunnittelun ammattilaisia, jotka keskittyvät järjestelmiensä turvaamiseen ja lujittamiseen. He pohtivat uhkaskenaarioita ja toiminnan jatkamista niiden realisoiduttua – olipa kyse sitten salamaniskusta, tulvasta tai kyberhyökkäyksestä.
Viimeisimpänä koronapandemia on testannut suomalaisen terveydenhoidon kestokykyä ja varautumissuunnitelmia, ja tarjonnut kantapään kautta kokemusta niiden parantamiseksi ja kehittämiseksi. Sama koskee kaikkia muitakin turvallisuuteen liittyneitä tapahtumia ja häiriötilanteita. Kaikesta on otettu opiksi.
– Kyberturvallisuutta ei voi enää erottaa muusta turvallisuudesta. Ne käyvät käsi kädessä, sanoo terveydenhuollon erityiskysymyksiin perehtynyt Kyberturvallisuuskeskuksen erityisasiantuntija Perttu Halonen.
Kyberturvassa kaikki liittyy kaikkeen. Esimerkiksi Vastaamo-tapaus osoitti ikävällä tavalla, kuinka vakava tietoturvan epäonnistumisen aiheuttama mainehaitta voi pahimmillaan olla yrityksen toiminnan jatkumiselle, Halonen sanoo.
– Siinä oli kuitenkin uutta vain se häikäilemättömyys, jolla yksittäisiä ihmisiä kiristettiin arkaluontoisten henkilötietojen vuotamisella. Henki on nyt pullosta pihalla, eikä sitä saa sinne takaisin. Nyt vain odotellaan, milloin seuraava yhtä häikäilemätön rikollinen ilmaantuu.
Rikolliset ja valtiolliset toimijat
Sairaalat ovat kansainvälisin sopimuksin suojattuja siviilikohteita, joihin ei pitäisi kohdistua ulkoista uhkaa. Viime aikoina ne ovat kuitenkin muuttuneet niin sanotuiksi pehmeiksi kohteiksi sekä rikollisille että valtiollisille toimijoille. Sairaaloita on jopa pommitettu, viimeksi Syyrian sisällissodassa.
– Valtiot ovat olleet erittäin aktiivisia koronarokotteiden kehittämiseen liittyvässä teollisuusvakoilussa. Jos työskentelet korona-asioiden parissa, sinuun kohdistuu valtiollista mielenkiintoa, Halonen sanoo.
Kohdennetut tietomurrot ja kiristyshaittaohjelmat kiusaavat epidemianomaisesti terveydenhuoltoa Yhdysvalloissa, missä raha liikkuu.
– Kohdennetut tietomurrot ja kiristyshaittaohjelmat kiusaavat epidemianomaisesti terveydenhuoltoa Yhdysvalloissa, missä rahaa liikkuu. Se tekee tietomurroista todella kannattavaa toimintaa rikollisille.
Rikollisten toiminta parantuu ja tehostuu jatkuvasti. Hyökkäys, johon ennen tarvittiin viikkoja, sujuu nyt tunneissa. Rikolliset asentavat murretun järjestelmän sopiviin kohteisiin haittaohjelmansa, jotka sitten laukaistaan sopivaan aikaan. Yleensä järjestelmän tiedot kryptataan ja ne saa auki vain maksamalla kiristäjälle.
– Aktiivinen valvonta ja kyky havaita nopeasti murtautuminen omaan järjestelmään on ainoa keino torjua hyökkäykset.
Joskus haittaohjelmat, kuten Britanniassa Wannacry-ohjelma, vain sattuvat leviämään sairaaloiden järjestelmiin. Leviäminen saattaa tapahtua laitosten välisiä linkkejä pitkin, kuten kävi Saksassa viime syksynä.
– Düsseldorffin yliopistollisen sairaalan palvelimet lamauttanut kiristyshaittaohjelma oli ilmeisesti tarkoitettu yliopistolle, josta se levisi sairaalan puolelle tutkimusyhteistyön takia rakennettujen yhteyksien yli. Tapauksen uskotaan myötävaikuttaneen yhden potilaan kuolemaan.
Kanta-yhteensopivat järjestelmät
Sairaaloiden tietoturvan ja toiminnan ytimessä ovat potilastietoja säilövät tietojärjestelmät, joita Suomessa koskevat laista johdetut vaatimukset.
– Isot järjestelmät, kuten Apotti tai Kanta, ovat niin varmoja kuin saa, ja niitä ylläpidetään erittäin ammattimaisesti. Kantaan liitettyjä sairaaloiden järjestelmiä valvotaan ja niiden turvallisuuteen voi luottaa. Vaatimukset koskevat kuitenkin vain potilastietojärjestelmiä, vaikka terveydenhuollon palvelutuottajilla on valtavasti muitakin tietojärjestelmiä.
Tietoturvassa ratkaisee nimenomaan kokonaisuus ja kyky puolustautua syvyyssuunnassa, Halonen muistuttaa.
– Nykyinen tietoturva-ajattelu tähtääkin palomuurien paksuntamisen sijasta hyökkäysten havaitsemiseen mahdollisimman aikaisin, mieluiten jo ennen kuin hyökkääjä on päässyt käsiksi asiakastietojärjestelmään. Suojajärjestelmillä ostetaan puolustajalle aikaa murtautumisyrityksen havaitsemiseksi.
Turvallisuuskulttuuria tarvitaan
Tietoturva ei kuitenkaan ole itseisarvo, Halonen huomauttaa. Jos järjestely palvelee potilaan hoitoa, se kannattaa tehdä, ja jos siitä on haittaa, se kannattaa jättää tekemättä.
– Asiakkaan tarpeista huolehtiminen on ykkösprioriteetti kaikilla muillakin aloilla. Tietoturva on se tärkein asia ainoastaan tietoturvafirmoilla.
Potilasturvallisuutta painottava ammattietiikka voi joskus olla ristiriidassa kyberturvallisuuden prioriteettien kanssa, jos potilaat pyritään hoitamaan mahdollisimman nopeasti niillä työkaluilla, joita käytössä on – kuten sähköpostilla.
– Teknisesti on mahdotonta estää potilastietojen lähettämistä sähköpostilla, vaikka toki se ohjeissa tiukasti kielletään. Tietojen, erityisesti sähköpostitunnusten, kalastelu on yleisin tietoturvauhka. Sen vakavuutta lisää, että sähköpostipalvelimille on haudattu tietoa valtavia määriä ja hyvin pitkältä ajalta.
Inhimillisen tekijän hallintaan vaaditaan pitkäjänteistä turvallisuuskulttuuria, joka toki on terveydenhuollossa potilasturvallisuuden osalta vahvaa.
– Jokaisen tulisi kuitenkin ymmärtää, että myös tietoturvasäännöillä suojellaan potilaita ja että kyberturvallisuus on osa potilasturvallisuutta, Halonen sanoo.
Mustat laatikot potilaan ympärillä
Sairaaloiden tietoturvan yllättävä riskikohde ovat lääkinnällisiä laitteita – kuten kuvantamislaitteita tai sydämentahdistimia – ohjaavat järjestelmät, jotka on liitetty sairaalan tietojärjestelmiin tai valmistajan pilvipalveluihin.
– Usein sairaala on ostanut laitteen sijasta palvelun, jossa laitteen ylläpitäjällä on sen toiminnan varmistamiseksi siihen jatkuva etäyhteys. Näiden sinänsä tarpeellisten yhteyksien hallitseminen voi kuitenkin olla sairaaloiden tietohallinnolle painajainen, sillä niistä ei aina näe, mitä niissä tapahtuu, Perttu Halonen selittää.
– Jos hyökkääjä pääsisi tällaiseen järjestelmään joko tahallisesti tai tahattomasti, hän pystyisi häiritsemään laitteen toimintaa ja vaarantamaan potilasturvallisuuden.
Yleensäkin sairaaloissa pitäisi miettiä kunnolla, millaisella arkkitehtuurilla ja millaisilla prosesseilla tällaisia laitteita tuodaan osastoille, Halonen muistuttaa. Sairaalat ovat myös fyysisesti avoimia ympäristöjä, jonne ulkopuoliset voisivat jopa tuoda laitteitaan pahat mielessä.
– Pahimmillaan tietoturvasta vastaavalle henkilölle tulee täytenä yllätyksenä, että osastolle on vain ilmestynyt jokin uusi verkkoon kytketty laite, josta ei ole kerrottu mitä se tekee ja kuka sen hallinnasta vastaa – ja kuuluuko sen edes olla siellä.