Väitös: Kyberturvallisuus terveydenhuollossa – hallittua vai ei?
Kyberturvallisuuden johtamisessa terveydenhuollossa on merkittäviä puutteita, todetaan Tero Haukilehdon tuoreessa, Vaasan yliopistoon tehdyssä väitöskirjassa.
![Tero Haukilehto](/data/images/public/69819791/70288633/9c50ebbd-e578-43e1-862f-0fc4f7878471-w_720.jpg)
Terveydenhuollon toimivuus on entistä riippuvaisempi sähköisistä ja verkottuneista palveluista. Alan nopea digitalisoituminen on tehostanut terveydenhuollon toimintaa, mahdollistanut uusia palvelumuotoja ja tuonut asioinnin myös kotisohville.
– Samalla digitalisaatio on tuonut kuitenkin uusia uhkakuvia, kuten kyberhyökkäykset, jotka pahimmillaan ovat lamauttaneet terveydenhuolto-organisaatioiden toimintaa, aiheuttaneet miljoonien eurojen vahinkoja sekä vaarantaneet potilasturvallisuuden, muistuttaa Vaasan yliopistossa 12. kesäkuuta väittelevä Tero Haukilehto.
Terveydenhuollossa käsitellään valtavia määriä arkaluonteisia asiakas- ja potilastietoja. Koko SOTE-sektorin tiedetäänkin kiinnostavan rikollisia. Esimerkiksi Irlannissa kyberhyökkäys vaikutti vakavasti koko julkisen terveydenhuollon toimivuuteen kuukausien ajan, saastutti kymmeniä tuhansia tietokoneita ja johti arkaluonteisten potilastietojen päätymiseen hyökkääjien käsiin. Arviot lopullisista kustannuksista nousivat jopa satoihin miljooniin euroihin. Suomessa psykoterapiakeskus Vastaamon tietomurrossa yli 33 000 asiakkaan henkilö- ja potilastiedot varastettiin ja niitä käytettiin sekä yrityksen että sen asiakkaiden kiristämiseen. Tapaus johti lopulta yrityksen konkurssiin sekä miljoonien eurojen takavarikointiin yrityksen omistajilta.
Uhreille aiheutuneiden kärsimysten hintaa on mahdotonta laskea. Julkisuuteen tulleiden tietojen mukaan osa Vastaamon tietomurron uhreista on päätynyt tapauksen vuoksi itsemurhaan.
– Suomessa saatetaan ajatella, että meillä nämä asiat ovat kunnossa, mutta kun katsotaan Pohjoismaissa pelkästään viimeisen vuoden sisällä ilmi tulleita tapahtumia, kuten Helsingin kaupungin tietomurto, ruotsalaiseen sairaalaan kohdistunut kiristyshaittaohjelmahyökkäys tai tietomurto virolaiseen geenitestiyhtiöön, täytyy meidän olla jatkuvasti hereillä tämän asian kanssa, sanoo Haukilehto.
Esimerkit kertovat, kuinka terveydenhuolto tarvitsee kyberturvallisuutta enemmän kuin koskaan. Toistaiseksi tutkimusta kyberturvallisuuden johtamisesta terveydenhuollossa on ollut kuitenkin vain vähän. Tähän haasteeseen tarttui Haukilehto, joka toimii päivätyökseen Etelä-Pohjanmaan hyvinvointialueen tietoturvapäällikkönä. Hän tutki tietojärjestelmäntieteen väitöstutkimuksessaan suomalaisten terveydenhuolto-organisaatioiden kyberturvallisuuden hallintaa tietoturvapolitiikkojen, työntekijöiden kyberturvallisuustietoisuuden sekä raportoitujen poikkeamien avulla. Haukilehdon tutkimuksen mukaan jokaiselta osa-alueelta löytyi parannettavaa.
Terveydenhuolto-organisaatioiden tietoturvapolitiikat eivät huomio uhkaympäristöä
Tietoturvapolitiikat, jotka kuuluvat organisaatioiden tärkeimpiin asiakirjoihin tässä aiheessa, antavat kuvaa siitä, kuinka kyberturvallisuutta organisaatiossa hallitaan ja millaisilla resursseilla. Yksi silmiinpistävimmistä löydöksistä oli, ettei yksikään tutkituista politiikoista ottanut huomioon nykyistä tai tulevaa uhkaympäristöä.
– Jotta osattaisiin rakentaa tehokasta puolustusta, pitäisi olla kirkkaana mielessä mitä vastaan suojaudutaan, sanoo Haukilehto.
Turvallisuus on yhteistyötä, ja organisaatioiden tulisi osallistaa siihen jokainen työntekijä. Kuitenkin niin esihenkilöiden kuin muidenkin terveydenhuollon työntekijöiden kyberturvallisuustietoisuudessa näkyi koulutuksen puute ja se, ettei työntekijöitä ollut ohjeistettu siitä, mitä heidän tulisi tehdä poikkeamatilanteissa. Merkittävä osa tutkimukseen vastanneista ei ollut lukenut organisaationsa ohjeistuksia aiheesta, ja osa ei edes tiennyt mistä ohjeet löytyisivät.
– Koska turvallisuudesta vastaa viime kädessä organisaation johto, olisi tietoisuuden lisääminen syytä aloittaa ylimmästä johdosta, Haukilehto painottaa.
Raportit poikkeamista sekä niiden analysointi olivat usein puutteellisia. Ne johtivat vain harvoin toiminnan kehittämiseen. Erityisesti huomiota herättivät puutteet riskiperustaisessa lähestymistavassa.
– Mitä korkeampi arvioitu riski on, sitä enemmän sen pitäisi kiinnostaa johtoa. Riskienhallinta on turvallisuusjohtamisen ydintä, ja sen puutteellisuus kertoo johtamisen puutteesta, toteaa Haukilehto.
Uusi malli kyberturvallisuuden hallinnan kehittämiselle
Haukilehto loi väitöstutkimuksen pohjalta mallin kyberturvallisuuden hallinnan kehittämiselle terveydenhuollossa. Mallia voidaan hyödyntää niin terveydenhuollon kuin muidenkin alojen organisaatioissa sekä käyttää pohjana uudelle tutkimukselle. Tutkimus tuo esille, että etenkin terveydenhuoltoalalle tarvitaan lisää osaajia, jotka osaavat nimenomaan johtaa ja hallita organisaation kyberturvallisuutta.
Tässä yhteydessä Haukilehto jättäisi sanan kyber pois ja puhuisi mieluummin turvallisuusjohtamisesta. Hänen mukaansa on selvää, että nykymaailmassa turvallisuusjohtamista ei voida tehdä huomioimatta kybermaailmaa. Turvallisuusjohdon tulisi hallita niin kyberturvallisuus kuin muutkin turvallisuuden osa-alueet. Haukilehto arvioi, että isoissa organisaatioissa tulee jatkossa olemaan kova kysyntä turvallisuusjohtajille, jotka osaavat johtaa myös kyberturvallisuutta.
– Muutokset tapahtuvat usein joko johtajuuden tai kriisin kautta. Jos johtajuutta ei ole, kriisi viimeistään laittaa asioita liikkeelle. Toivottavasti meillä Suomessa panostettaisiin ennemmin johtajuuteen.
Väitöstilaisuus
Insinööri (YAMK) Tero Haukilehdon väitöstutkimus Cybersecurity management in healthcare. Policies, awareness and incident reporting tarkastetaan keskiviikkona 12.6.2024 klo 12 Vaasan yliopiston Nissi-auditoriossa.
Väitöstilaisuutta on mahdollista seurata myös etäyhteyden kautta (Zoom, salasana 145421)
Vastaväittäjinä tilaisuudessa toimivat professori Clemens Scott Kruse (Texas State University) ja professori Kimmo Halunen (Oulun yliopisto, Maanpuolustuskorkeakoulu) ja kustoksena professori Tero Vartiainen.
Väitöskirja
Haukilehto, Tero (2024) Cybersecurity management in healthcare. Policies, awareness and incident reporting. Acta Wasaensia 532. Väitöskirja. Vaasan yliopisto
Lisätiedot
Tero Haukilehto, puh. 050 4743538, sähköposti: d117531@student.uwasa.fi
Haukilehto on valmistunut datanomiksi Huittisten Ammatti- ja yrittäjäopistosta vuonna 2007 sekä kirjoittanut ylioppilaaksi Punkalaitumen lukiosta vuonna 2008. Hän valmistui tietotekniikan insinööriksi Seinäjoen ammattikorkeakoulusta vuonna 2013 ja suoritti insinöörin YAMK-tutkinnon Jyväskylän Ammattikorkeakoulussa vuonna 2019.
Haukilehto toimii nykyisin Etelä-Pohjanmaan hyvinvointialueen tietoturvapäällikkönä.
Avainsanat
Yhteyshenkilöt
Riikka KalmiTiedeviestinnän asiantuntijaVaasan yliopisto / Viestintä, brändi ja markkinointi
Puh:0294498231riikka.kalmi@uwasa.fiKuvat
![Tero Haukilehto, kuva: Tero Haukilehdon arkisto](/data/images/public/69819791/70288633/60010481-4a67-46bb-8739-119e9f8d1010-w_240.jpg)
Tilaa tiedotteet sähköpostiisi
Haluatko tietää asioista ensimmäisten joukossa? Kun tilaat tiedotteemme, saat ne sähköpostiisi välittömästi julkaisuhetkellä. Tilauksen voit halutessasi perua milloin tahansa.
Lue lisää julkaisijalta Vaasan yliopisto
Vaasan yliopisto ja Vaasan energiaklusteri perustavat Energiatransition piilaakson6.8.2024 18:22:53 EEST | Tiedote
Vaasassa – Pohjois-Euroopan suurimmassa energia- ja ympäristöalan yritysekosysteemissä – on käynnissä Wasa Future Festival -tapahtuma 5.8.–10.8.2024. Keskiviikkona 7.8.2024 kello 16.00 tapahtumassa keskitytään vihreän siirtymän tulevaisuuden visiontiin ja julkistetaan suunnitelma mittavasta kehityshankkeesta ja siihen liittyvistä investoinneista alueen kehittämiseksi.
Vaasan yliopistolle kansainvälisesti arvostettu kauppatieteiden AACSB-akkreditointi2.8.2024 07:36:21 EEST | Tiedote
Vaasan yliopistolle on myönnetty kansainvälisesti arvostettu kauppatieteiden alan kuusivuotinen AACSB-akkreditointi. Tunnustus kertoo kauppatieteellisen koulutuksen sekä tutkimuksen laadusta ja huippuosaamisesta. Vain alle kuusi prosenttia maailman kauppakorkeakouluista on saanut AACSB-akkreditoinnin. AACSB on pitkäaikaisin maailmanlaajuinen kauppakorkeakoulujen akkreditointielin ja suurin kauppakorkeakouluverkosto.
Innovaatioyrittäjä ja koulutussijoittaja Pekka Koponen aloittaa Vaasan yliopiston työelämäprofessorina erityisalanaan teollinen muutos1.8.2024 10:00:00 EEST | Tiedote
Innovaatiokonsultointiyritys Spinversen perustaja ja koulutusalan sijoittaja Pekka Koponen aloittaa Vaasan yliopiston työelämäprofessorina 1.8.2024 erityisalanaan teollinen muutos. Tehtävä on kolmivuotinen.
Vaasan yliopistolle useita tutkimusrahoituksia yli 2,2 miljoonan euron edestä8.7.2024 07:25:00 EEST | Tiedote
Vaasan yliopisto on saanut kesän alussa mittavan määrän rahoitusta useisiin eri hankkeisiin. Uusissa hankkeissa tutkitaan esimerkiksi mikroverkkoja, energian varastointia ja pakkausten uudelleenkäyttöä, kehitetään uutta biopolttoainetta, kvanttiteknologian opetusta ja konsepteja koulujen lautashävikin hallintaan sekä edistetään kasvihuonekaasujen vähentämistä pk-yrityksissä.
Vaasan yliopisto myöntää 12 kunniatohtorin arvoa – mukana tasavallan presidentti, ministeri ja merkittäviä kansainvälisiä yritysjohtajia25.6.2024 10:00:15 EEST | Tiedote
Vaasan yliopisto järjestää tohtoripromootion 19.–21. syyskuuta 2024. Yliopisto myöntää promootiossa kunniatohtorin arvon kahdelletoista henkilölle, jotka ovat tieteellisesti tai yhteiskunnallisesti ansioituneita. Kunniatohtorin arvo on korkein huomionosoitus, jonka yliopisto voi antaa.
Uutishuoneessa voit lukea tiedotteitamme ja muuta julkaisemaamme materiaalia. Löydät sieltä niin yhteyshenkilöidemme tiedot kuin vapaasti julkaistavissa olevia kuvia ja videoita. Uutishuoneessa voit nähdä myös sosiaalisen median sisältöjä. Kaikki tiedotepalvelussa julkaistu materiaali on vapaasti median käytettävissä.
Tutustu uutishuoneeseemme