Kuudella suomalaisella hyvinvointialueella ja sadoilla yksityisillä sote-sektorin organisaatioilla on riskialtis tapa lähettää tai vastaanottaa salassa pidettäviä henkilötietoja ilman toisen osapuolen tunnistamista.
Asiasta kertovat tiedotteessaan tietoturva-alan asiantuntijat Markku Vettenniemi, Petteri Järvinen ja Jens Säynäjärvi.
Tiedotteessa kerrotaan, että sähköposteissa lähetetään usein www-linkki, jonka ensimmäinen klikkaaja pääsee käsiksi salassa pidettäviin henkilötietoihin riippumatta siitä, onko viesti hänelle tarkoitettu.
– Etelä-Pohjanmaan, Keski-Suomen ja Satakunnan hyvinvointialueilla on käytössään lähetystapa, joka voi vaarantaa yhteensä noin 680 000 suomalaisen sosiaali- ja terveystietojen salassapidon, kertoo tietoturva-alalla yli 20 vuotta työskennellyt Markku Vettenniemi.
Lisäksi Keski-Uudenmaan, Kymenlaakson ja Lapin hyvinvointialueet tarjoavat nettisivuillaan asiakkaille luottamuksellisten henkilötietojen lähetyslomakkeen, jonka käyttäjä voi esiintyä toisen henkilön nimissä. Lomakkeen lähettäjää ei tunnisteta.
– Sen vuoksi lähettäjä voi esiintyä vaikka Aku Ankkana, Vettenniemi sanoo Ilkka-Pohjalaiselle.
Etelä-Pohjanmaan hyvinvointialuetta koskeva tietoturvaongelma liittynee Vettenniemen mukaan kiusalliseen jäänteeseen entisajalta.
– Turvattoman lähettämisen historia juontuu parinkymmenen vuoden taakse, kun vahva tunnistautuminen ei ollut vielä yleistä. Nykyaikainen tunnistautuminen on uusi asia, sitä ei ole varmaan hoksattu ajatella arkaluontoisen asioiden siirrossa tietyillä hyvinvointialueilla.
Hyvää tietoturvaa voi verrata siihen, miten verkkopankki toimii.
– Tietoturvajärjestelmän ansiosta henkilön verkkopankkiin pääsee vain se, jolle verkkopankki kuuluu.
Miten asia pitäisi korjata Etelä-Pohjanmaan hyvinvointialueella?
– Tietoturvaa on lisättävä niin, että sähköpostiviestin lähettäjän pitää tunnistaa vastaanottaja, jottei kukaan asiaan kuulumaton pääse viestin tietoihin käsiksi. Vahva sähköinen tunnistautuminen on varmasti jo muuten käytössä hyvinvointialueella.
Ei lähetä potilaille sähköpostia
Vettenniemi kertoo, mistä hyvinvointialueiden tietoturvapuutteet tulivat ilmi.
– Olen töissä Suomen turvaposti Oy:ssä, ja olemme saaneet käyttäjäpalautetta.
Hän on seurannut alan sääntelyä pitkään.
– Viime joulukuussa tietosuojavaltuutetun toimistolta tuli päätös siitä, että jopa ajanvarauksessa on tunnistettava ajan varaaja luotettavasti.
Euroopan unionin tietosuoja-asetus sekä laki sosiaali- ja terveydenhuollon asiakastietojen käsittelystä edellyttävät salassa pidettävien, erityisten henkilötietojen sähköisessä siirrossa osapuolten tunnistamista.
Tietosuojariskeistä on informoitu tietosuojavaltuutetun toimistoa ja kyberturvallisuuskeskusta.
Etelä-Pohjanmaan hyvinvointialueen johtaja Tero Järvinen kertoo odottavansa tietosuojavaltuutetun ja kyberturvallisuuskeskuksen kantaa asiaan.
– Sen jälkeen pohdimme johdossa jatkoaskeleitamme, jos siihen tulee tarvetta, Järvinen sanoo.
Tietohallintojohtajan Ari Pätsin mielestä lähetyt turvasähköpostit ovat tietoturvaltaan asiallisia.
– Tähän asti tapamme on tulkittu riittävän turvalliseksi. Mielestämme sähköpostissa olevan liitteen vastaanottaminen ei tarvitse tunnistautumista, koska liite on lähetty kyseisen henkilön sähköpostiin.
Hän kommentoi, että joka tapauksessa on mahdollisuus siihen, että posti päätyy vääriin käsiin.
– Sähköposti lähetetään väärälle henkilölle, tai joku on murtautunut vastaanottajan sähköpostiin.
Pätsi kertoo, ettei hyvinvointialue lähetä potilaille sähköpostia.
– Käytämme asiakasviestinnässä sähköistä asiointialustoja, Hyvis- ja Omaep-digipalveluja. Ne on vahvan tunnistautumisen kanavia. Hoidamme niiden kautta turvallisesti osan puheluista ja lähetämme e-kirjeet. Vain Kela ja vakuutusyhtiöt pyytävät tietoja turvasähköpostitse.
Hyvinvointialue käyttää myös perinteistä kirjepostia.
– Siinä on pulmansa. Se on hidasta ja riskialtista. Kirje voi päätyä monin tavoin ulkopuoliselle.
"Tunnistamisen toteutus olisi helppoa"
Tiedotteen mukaan ongelma on myös Kelalla ja THL:llä. Mehiläinen puolestaan on suurin yksityinen terveysalan toimija, jonka lomakkeelta puuttuu tunnistaminen.
– Viestin avaajan tunnistaminen puuttuu laajasti sote-sektorin ulkopuolellakin. Se on johtanut kiusallisiin tilanteisiin, esimerkiksi kokonimikaimalle tarkoitetun virallisen avioeroilmoituksen saamiseen sähköpostitse, tietoturva-asiantuntija Petteri Järvinen sanoo.
Hänen mukaansa tunnistamisen toteutus olisi helppoa.
– Esimerkiksi verkkokaupoissa pankkitunnusten ja mobiilivarmenteen käyttö on ollut jo pitkään arkipäivää.
Klo 14.30 juttuun on lisätty Markku Vettenniemen haastattelu. Vaihdettu otsikosta yrityksen nimi asiantuntijat-sanaan.
Klo 16.30 lisätty Tero Järvisen ja Ari Pätsin haastattelu.