Vastaamon tapaus ei ole kunniaksi Suomelle, mutta useimmat yritykset tekevät parhaansa

Case Vastaamo antaisi loputtomasti aiheita blogikirjoituksiin. Valitsen tänään yhden: Suomen maine ja yritysten vastuu.

Suomea on pidetty tietosuojan mallimaana. Meillä on parhaat viranomaisrekisterit ja otimme GDPR-sääntelyn pilkuntarkasti, liki saksalaiseen tapaan (toisin kuin esim. Ruotsi). Ennen GDPR-siirtymäkauden loppua järjestettiin varmaan tuhansia tilaisuuksia, joissa it-ammattilaisia muistutettiin tietosuojan olemuksesta ja lain ankarista sanktioista. Oli ilmaisia ja maksullisia seminaareja, monen päivän koulutusohjelmia, nettisivuja... Lopulta GDPR tuntui pursuavan jo korvista ulos ja kun odotettu 25.5. viimein koitti, kaikki olivat varmaan helpottuneita siitä, että asia siirtyi jos ei nyt hoidettujen pinoon niin ainakin taustalle. 

Jo monta vuotta olemme olleet huolissamme Googlen ja Facebookin tiedonurkinnasta. Ne loukkaavat yksityisyyttä ja urkkivat tietojamme. Samaan aikaan yritykset ovat käyttäneet miljoonia euroja erilaisiin GDPR-tietosuojalausekkeisiin ja evästekyselyihin, jotka lähinnä häiritsevät käyttäjiä ja pikemmin vähentävät kuin lisäävät kiinnostusta omaan tietosuojaan.

Riitelimme lillukanvarsista, kuten mikä on GDRP:n ja tulevan ePrivacyn mukainen riittävä suostumus evästeiden käyttämisestä -- pitääkö olla nimenomainen suostumus joka kerta, vai riittävätkö selaimen evästeasetukset.

Vastaamon järkyttävän tietovuodon jälkeen kaikki tämä tuntuu akateemiselta puuhastelulta. Miljoonat eurot olisi kannattanut käyttää todellisen tietosuojan parantamiseen. Olemme pelänneet nettijättejä, vaikka todellinen mörkö on ollut ihan lähellä. Liian lähellä.

Niin lähellä, että emme osanneet edes pelätä sitä. Pidimme itsestäänselvänä, ettei henkilö- ja mielenterveystietoja voi vuotaa nettiin. Ei yksinkertaisesti voi, koska GDPR. Korkeintaan pelkäsimme vihamielisen tahon hyökkäystä, jossa salaa muutettaisiin sairaalan veriryhmätietoja tai jotain vastaavaa.

Keskustelu evästeistä ja nettiyhtiöiden urkinnasta on saattanut johtaa huomiota harhaan. Surffaus- tai ostotietojemme vakoilu on pientä terveyteemme verrattuna. Kriittistä ei ole se, mitä Google tai Facebook tekevät vaan se, miten minun koodaamani softa toimii tai miten minun koneellani oleva data on suojattu.

Kauhistuimme, kun Saksassa kiristysohjelma johti epäsuorasti potilaan kuolemaan. Nyt saatamme kokea saman Suomessa.

En silti halua uskoa, että Vastaamon kaltaisia pommeja olisi useita. Uskon, että viimeistään parin vuoden takainen GDPR-show sai yritysten hallitukset ja toimivan johdon ymmärtämään, miten tärkeästä asiasta on kyse ja miten suuri taloudellinen riski siihen liittyy. Aihe on otettu vakavasti ennen Vastaamoakin.

Minulta on usein kysytty, voiko yritys mennä konkurssiin tietoturvan pettämisen vuoksi. Tähän asti esimerkkinä on ollut hollantilainen varmenteiden myöntäjä, jonka varmennebisneksen onnistunut hakkeri-isku tuhosi. Nyt meillä on toinenkin kauhuesimerkki tietoturvan ja -suojan vakavista seurauksista.

Näin tietoturvaviikon alkaessa on ilo todeta, että valtaosa yrityksistä suhtautuu tietoturvaan vakavasti. Silti yksikin softakehittäjä, it-vastaava tai ylläpitäjä voi omalla piittaamattomuudellaan romuttaa kaiken.

Vastuu tietoturvasta kuuluu yritykselle itselleen. Koska kyse on myös asiakkaiden/potilaiden elämästä ja hyvinvoinnista, pelkkään vastuunkantoon ja omavalvontaan ei voi luottaa. Tarvitaan muutakin valvontaa, josta hoivakoteihin tehdyt tarkastukset ovat hyvä esimerkki.

Oli yleisesti tiedossa, että Vastaamo on itse kehittänyt tietojärjestelmänsä. Sen olisi pitänyt herättää viranomaisten huomio ja priorisoida tarkastuksia. Niin ikään yhtiö oli nimennyt tietosuojavastaavaksi softakehittäjän. Senkin olisi pitänyt herättää huomiota Tietosuojavaltuutetun toimistossa, jonne vastaavat rekisteröidään. Web-sivulla kehuttu omavalvonta on pettänyt täysin, sillä yhtiö ei huomannut murto(j)a ja sai tiedon tapahtuneesta vasta, kun kiristäjä otti yhteyttä. Yhtiöllä ei siis ollut valvontaa, joka olisi hälyttänyt vaikka palvelimelta imetään 10 gigatavua dataa ulkopuolelle. Tietoturvakriittisessä terveyspalvelussa tällainen valvontaohjelma olisi pitänyt ehdottomasti olla. Nyt ei voida tietää, ovatko mahdollisesti muutkin varastaneet tietokannan, mutta pysyneet teostaan hiljaa.

Viranomaisilla ei ole hoitakotien kaltaista tietoturvavalvontaa. Kriittisiä nettisovelluksia saa kehittää alaikäinen nörttipoika, mutta kylpyhuoneremontti vaatii tekijältä työnäytteen ja märkätilasertifikaatin. Yrityksen on ostettava palotarkastus, jossa tutkitaan onko käytävän tarrat oikeanlaisia ja oikeissa paikoissa. Ja toki tarkastetaan vaahtosammuttimet.

Palo- ja remonttiturvallisuus on opittu kantapään kautta, tehtyjen kalliiden virheiden seurauksena. Samanlainen kehitys on tapahtumassa tietoturva-alalla, joka on vielä kovin nuorta. 

Luonnollista kehitystä voi kuitenkin nopeuttaa päättäväisillä toimilla. Vastaamon tapaus osoittaa, että niille on tarvetta.

Vastaamo on tietosuojan painajainen - kyberturvallisuus on osa potilasturvallisuutta

Vastaamosta vuotaneet 40 000 potilastapausta tietoineen ovat likipitäen pahin tietosuojakatastrofi, jota voimme kuvitella. Seuraukset ovat sen mukaiset. Niistä olemme nähneet vasta jäävuoren huipun.

Oli odotettavissa, että vakava tietovuoto tapahtuu ennen pitkää. Niin paljon potilas- ym. tietoja käsitellään eri järjestelmissä, että inhimilliset mokat ovat väistämättömiä, eikä mikään GDPR-lainsäädäntö pysty täysin niitä estämään.

Vuoto olisi saanut olla pieni herätys koko alalle -- sellainen, jossa olisi vuotanut muutamia luottamuksellisia tietoja. Kokonaisen tietokannan vuotaminen kiristäjälle ja tietojen osittainen julkistus on kuin suoraan painajaisesta. Tällaista ei kukaan kaivannut.

Tapaus on niin merkittävä, että siitä irtoaa loputtomasti näkökulmia ja ajatuksia. Tässä muutamia.

Kuukausi sitten uutisoitiin saksalaiseen sairaalaan iskeneestä kiristysohjelmasta, joka johti epäsuorasti potilaan kuolemaan kun hänet jouduttiin siirtämään toiseen sairaalaan. Tapahtumaa pidettiin merkittävänä, koska ensi kertaa kyberturvallisuuden pettäminen oli johtanut ihmisen kuolemaan. On luultavaa, että psykiatrisen hoidon potilaiden tietojen vuotaminen tai uutisesta seuraava ahdistus, vaikka tiedot eivät koskaan tulisi julkisuuteen, voi tuottaa saman johtopäätöksen. 

Ahdistusta ei voi vähätellä. Kun AIDS tuli Suomeen, uutisissa kerrottiin suomalaisten tehneen itsemurhia, koska he pelkäsivät saaneensa kohtalokkaan taudin. Ruumiinavauksissa keneltäkään ei löydetty virusta.

Valvira valvoo terveydenhuoltoa ja alan ammattilaisten pätevyyttä. Tietojärjestelmät ovat asiakastietolain nojalla mukana tarkastuksissa, mutta työ on yksittäisen henkilön vastuulla. Nyt pitäisi olla selvää, että kyberturvallisuus on osa potilasturvallisuutta, joka pitää tarkistaa siinä missä työntekijöiden määrän riittävyys tai todistusten aitous.

Ennen GDPR:n voimaantuloa peloteltiin tietosuojaviranomaisilla, jotka tulevat tekemään yllätystarkastuksia yrityksiin. Onko näin tapahtunut? En ole kuullut yhdestäkään isosta tarkastuksesta. Resurssit ovat pienet, mutta turha pelottelu tarkastuksilla ei myöskään toimi. Oliko kukaan koskaan tarkastanut Vastaamon tietojärjestelmiä? Kenelle tarkastus olisi kuulunut?

Julkisten tietojen perusteella kyseessä on alkeellinen moka. Ei mitään ovelaa hakkeria, ei aiemmin tuntematonta tietoturva-aukkoa -- ei mitään muuta kuin alkeellinen, mahdollisesti nettiin avoimeksi jäänyt tietokanta, jollaisia lapsikin pystyy hakemaan vaikka Shodan-hakukoneella. Koska tiedot ovat vanhoja, kyse saattaa olla edellisestä tietojärjestelmästä tai testi/kehityskannasta, joka oli vain "unohtunut" linjalle. Salasana root ja käyttäjätunnus root kertovat täydellisestä huolimattomuudesta.

Jos kanta löytyy näin helposti, kuka muu sen on mahdollisesti löytänyt? Muut hakkerit tai valtiolliset tiedustelupalvelut, jotka etsivät tällaista aineistoa työkseen?

Kuinka arvokasta heille olisikaan päättäjien tai avainhenkilöiden sairaskertomukset, niin kiristyksen kuin mielenterveyden manipuloinnin kannalta. Onko tällaista mahdollisesti jo tapahtunut?

Kaikille muille tapaus jättää syvän epäluulon: uskallanko kertoa ongelmistani lääkäreille tai terapeuteille, jos on vaara, että tiedot päätyvät julkisuuteen?

Nyt vaakalaudalla on koko terveydenhuollon uskottavuus ja terapian tulevaisuus.

Ja kaikki tämä vain auki jääneen tietokannan vuoksi. 

Saako potilastietoja lukea auki jääneeltä koneelta?

Hesari uutisoi, miten päivystyspoliklinikan potilashuoneessa oleva tietokone jäi auki sairaanhoitajan poistuttua, jolloin huoneessa ollut potilas olisi päässyt näppäilemään konetta. Tietosuojavaltuutettu Reijo Aarnio pitää auki jäänyttä konetta tietosuojaongelmana ja riskinä potilasturvallisuudelle. Ingressin mukaan sairaaloiden tietosuoja on suorastaan "retuperällä".

Toimistotyöntekijöitä muistutetaan aina lukitsemaan koneensa, kun hän poistuu sen äärestä. Sairaaloissa ohjeen noudattaminen voi olla vaikeaa: käytössä on jopa toistakymmentä tietojärjestelmää, joiden salasanoja joutuu vaihtamaan säännöllisesti -- ei ihme, jos houkutus jättää kone auki kasvaa. Silloin on väärin syyttää sairaanhoitajaa, pikemminkin tietohallintoa, koska hankalat kirjautumiset ovat kohtuuton työnteon este.

Sairaanhoitaja joutuu ehkä lähtemään huoneesta hälytykseen. Potilasturvallisuuden kannalta on parempi, että hän huolehtii ensin potilaista eikä jää lukitsemaan konettaan.

Asiaan on olemassa teknisiä ratkaisuja. Uusin Windows 10 -päivitys sisältää dynamic lock -toiminnon, jolla työaseman saa lukitsemaan itsensä, kun käyttäjän älykello tai -puhelin poistuu koneen läheltä. Kun lukitus on automaattinen, se ei ainakaan unohdu, eikä edes salasanoja tarvitse muistella. Varjopuolena on, että älypuhelimen akkukesto kärsii.

Hieno homma, ei muuta kuin asentamaan kaikkiin pöytäkoneisiin Windows 10 ja lisäämään niihin bluetooth-adapteri. Tai ehkä sairaaloilla on potilaiden kannalta tärkeämpiäkin rahanreikiä kuin koneiden lukitseminen.

Tietotekniikassa uhrin ja tekijän roolit menevät helposti sekaisin. Monet hakkerit syyttävät uhrejaan siitä, että nämä eivät päivittäneet koneitaan tai tehneet järjestelmistä tietoturvallisia, ikään kuin se jotenkin oikeuttaisi tietomurtoon.

Ei oikeuta. Ei kotiinkaan saa mennä, vaikka ovi olisi unohtunut lukita tai jäänyt jopa kokonaan auki.

Niinpä sen henkilön, joka jää potilashuoneeseen avoinna olevan koneen kanssa pitää muistaa, ettei hänellä silti ole oikeutta katsoa näytöllä olevia tietoja. Vahingossa ne eivät näy. Urkinnasta pitää tuomita samalla tavalla, oli asialla sitten sairaanhoitaja tai potilas.

Sukunimeä ei saa sanoa ääneen

Päivän Hesari tarjoaa taas polttoainetta ajatuksille. Pääkirjoitussivulla kerrotaan aluehallintoviraston paimenkirjeestä, jolla virasto on opastanut alueen kuntien lääkäreitä ja sairaanhoitopiirejä. Ohjeen mukaan potilasta ei saa kutsua odotustilasta vastaanotolle sukunimellä, ellei tähän ole saatu etukäteen suostumusta. Viraston mukaan kaikki potilasasiakirjojen tiedot ovat salassa pidettäviä - myös sukunimi.

Yksityisyys on tärkeä asia, mutta siinäkään ei saa unohtaa maalaisjärkeä. Ehkä Suomessa on liikaa virkamiehiä, joilla on aikaa pohtia tällaisia kysymyksiä ja halua tehdä lain kirjaimesta itsetarkoitus.

Ellei asia olisi vakava, sukunimen ääneenlausumisen kielto kuulostaisi lähes huvittavalta, sillä mediassa kerrotaan samaan aikaan valtioiden kattavasta verkkovakoilusta. Intiimit salaisuudet ovat vieraiden luettavissa, mutta EU-Suomi pähkäilee sukunimien ääneenlausumista.

Ehkä virkamiehet keksivät seuraavaksi vaatia, että vastaanotolle tulevat potilaat eivät saa nähdä toisiaan. Onhan myös ulkonäkö salassa pidettävä henkilötieto. Vastaanotolle on siis järjestettävä sermit erottamaan odottajia toisistaan.

Pienissä keskuksissa, joissa tämä ei ole mahdollista, asiakkaille on jaettava paperipussit, joihin on valmiiksi leikattu reiät silmiä ja suuta varten. 

Toimistosihteeri urkki 200 henkilön potilastietoja

YLEn eilisillan pääuutinen kertoi Helsingin Haartmanin sairaalassa paljastuneesta tapauksesta, jossa sisäinen valvonta oli havainnut toimistosihteerin lukeneen luvattomasti noin 200 henkilön potilastietoja.

Toimittaja Mölsä lisäsi tapaukseen dramatiikkaa kertomalla että "sairaala oli salannut skandaalia 1,5 vuotta". Yksi sairaalalta kirjeen saaneista potilaista kertoi olevansa tapauksen johdosta "järkyttynyt" (sairaalassa työskennellyt osastosihteeri on avannut sähköisen sairauskertomuksenne ja mahdollisesti lukenut potilastietojanne -- huomaa avannut ja mahdollisesti lukenut).

Ok, potilastiedot ovat luottamuksellisia ja niiden urkinta on rikos. Mutta ei silti pidä menettää suhteellisuudentajua: luultavasti samassa sairaalassa tapahtuu virheitä, joiden seurauksena ihmisiä oikeasti kuolee ilman, että asiaa uutisoidaan televisiossa tai että ketään rangaistaan.

Potilastiedot on siirretty sähköiseen muotoon, mikä tekee niiden käytön valvonnasta aiempaa helpompaa. Jokainen tietojen avaus tallentuu lokiin ja voidaan jäljittää. Kuka vartioi tietojen käyttöä silloin, kun kaikki oli vielä mapeissa ja papereilla?

Sähköisissä tiedoissa on myös riskinsä. Pahinta olisi, jos joku kopioisi tiedot (tai koko tietokannan!) itselleen ja myisi tiedot vaikkapa lääke- tai vakuutusyhtiöille. Tai alkaisi kiristää niillä potilaita. Tällaiset riskit ovat sähköisessä maailmassa suurempia kuin paperiaikana. Mutta mistään sellaisesta ei nyt ollut kyse.

Jokainen, joka kirjautuu vaikkapa ensiapuun, joutuu ensi töikseen allekirjoittamaan luvan tietojensa käytöstä ja edelleenluovutuksesta. Välillä tuntuu, että lupia joutuu antamaan yhtenään -- eivätkä läheskään kaikki edes ymmärrä, mistä asiassa on kyse.

Potilaan itsensä kannalta suurin riski on siinä, että tiedot eivät kulje hoitopaikasta toiseen, tai niitä ei löydetä puutteellisten nimi-, hetu- ym. tietojen vuoksi. Terveydenhuollossa on monia saarekkeita, joista tieto ei siirry yhteensopimattomien järjestelmien tai puuttuvien lupien ja sopimusten vuoksi.

Mitä helpommin omat terveystietomme löytyvät ja mitä kattavampia ne ovat, sitä parempi itsemme kannalta. Toisessa vaakakupissa on sitten väärinkäytösten (joita tulee aina olemaan, Suomi on luultavasti sieltä puhtaimmasta päästä) ja teknisten virheiden aiheuttamat riskit. Lopullinen valinta on aina kompromissi.

Urkintaa suurempi ongelma terveydenhuollossa taitaakin olla se, että potilaan itsensä kannalta hyödyllisiä tietoja ei löydy edes urkkimalla.