Kyberturvapalveluita ja myös organisaatioiden tietoturvan auditointeja tekevä ohjelmistotalo Nixu kertoo, että suomalaisten terveystietojen tietoturvaa auditoidaan kevyemmin kuin luottokorttitietojen. Vastaamon tapauksen pitäisi herättää keskustelu siitä, miten terveystietojen tietoturvaa jatkossa auditoidaan.
Nixun mukaan terveystietojen tietoturvavaatimusten vertailupohjaksi voisi ottaa maksukorttiturvaan liittyvät standardit sekä viranomaisen turvaluokitellun tiedon suojaukseen liittyvät kriteeristöt. Kaikkia näitä tietoturvakriteeristöjä yhdistää se, että niiden tehtävä on suojata luottamuksellista tietoa.
Terveystietoa käsittelevät tietojärjestelmät on jaettu kahteen luokkaan, A- ja B-luokan järjestelmiin. A-luokan järjestelmillä tarkoitetaan niitä tietojärjestelmiä, jotka liittyvät Kelan hallinnoimaan kansalliseen terveysarkistoon eli Kantaan. B-luokan järjestelmät eivät ole liittyneet Kantaan, eli ne toimivat paikallisesti.
A-luokan järjestelmille on THL:n määrittelemät tietoturvavaatimukset. Sen sijaan B-luokan järjestelmille ei ole pakollista tietoturvatarkastusta. Järjestelmää käyttävä palvelutuottaja joutuu kuitenkin tekemään omavalvontasuunnitelman tietoturvan osalta.
Julkisesti saatavilla olevien tietojen mukaan Vastaamo käytti B-luokan järjestelmää. Tällaista järjestelmää ei siis tarvitse auditoida, vaan sen osalta suoritetaan ns. omavalvonta, eli palveluntuottaja täyttää ainoastaan omavalvontalomakkeen. Tämä menettely ei selvästi riitä takaamaan arkaluontoisen datan turvallisuutta.
Maksukorttitietojen turvallista käsittelyä kauppiaiden ja palveluntarjoajien osalta säätelee kansainvälinen standardiperhe nimeltä PCI (Payment Card Industry). Sen tunnetuin standardi on PCI DSS (PCI Data Security Standard), joka asettaa vaatimuksia tiedon käsittelylle, siirrolle ja tallennukselle. PCI DSS syntyi maksukorttiyhtiöiden yhteistyön tuloksena.
Viranomaisten turvaluokitellun tiedon suojausta voidaan arvioida Katakrilla, joka on kansallinen turvallisuusauditointikriteeristö vuodelta 2015. Katakriin on koottu kansallisiin säädöksiin ja kansainvälisiin velvoitteisiin perustuvat vähimmäisvaatimukset. Katakria käytetään arvioitaessa viranomaisten tietojärjestelmien turvallisuutta, mutta sitä käytetään myös viranomaisten puolesta tietoa käsittelevien palveluntarjoajien, kuten IT palvelutalojen, arvioinnissa. Näin pyritään varmistamaan, että organisaatiolla on riittävät turvallisuusjärjestelyt viranomaisen salassa pidettävien tietojen paljastumisen ehkäisemiseksi kaikissa niissä ympäristöissä, joissa tietoja käsitellään.
Toisin kuin maksukorttidatan PCI, Katakri sisältää turvatasoja sen mukaan, miten kriittistä tietoa suojataan. Alin taso on turvaluokka TL IV ja ylin taso TL I. Turvaluokkia voidaan pitää positiivisena asiana, sillä tiedon ylisuojaaminen on kallista ja vaikeuttaa tiedon käyttöä. Samalla varmistetaan, ettei arkaluontoista tietoa alisuojata.
Ylläolevaan taulukkoon on koostettu edellä mainittujen tietoturvakriteeristöjen erot. PCI-vaatimusten täyttäminen on useimmiten työlästä, mikä tarkoittaa samalla merkittäviä kustannuksia. Seurauksena tästä on ollut se, että valtaosa kauppiaista on luopunut maksukorttitiedon käsittelystä. Maksukorttitiedon käsittely on siirtynyt palveluntarjoajille, jolloin kauppiaalla ei ole enää edes pääsyä arkaluontoiseen tietoon.
Myös Katakri-vaatimuksenmukaisuuden saavuttaminen ja siihen liittyvä auditointi on raskas prosessi, johon kuluu paljon aikaa, mikä taas osaltaan nostaa kustannuksia. Samalla tavalla kuin PCI, myös Katakri ohjaa välttämään turvaluokitellun tiedon tarpeetonta käsittelyä.
Kanta-tietoturva-auditoinnit ovat sen sijaan nopeita suorittaa. Ne kohdistuvat tyypillisesti vain sovellustoimittajaan eivät käyttöympäristöön, jota valvotaan yleensä vain omavalvonnan kautta. Kevyt auditointi, joka perustuu pääasiassa haastatteluihin, dokumentaation katselmointiin ja havainnointiin, johtaa todistukseen, joka on voimassa jopa viisi vuotta ilman kunnollista seurantakäytäntöä. Tämä ei ole paras mahdollinen lähtökohta, kun puhutaan arkaluontoisesta terveystiedosta.
Nixu katsoo, että terveystietojärjestelmien tietoturvan auditointiin pitäisi kiinnittää huomiota asiakastietolain ja sote-uudistuksen yhteydessä, ja tämän myötä nykyiset auditointikäytännöt tulisi päivittää vastaamaan tämän päivän vaatimuksia.
Autoteollisuus on siirtymässä yhä monimutkaisempiin ohjelmistopohjaisiin järjestelmiin, joissa virheetön ohjelmisto on elintärkeää turvallisuuden ja suorituskyvyn varmistamiseksi. Ohjelmiston laatu ja luotettavuus eivät ole enää vain valinnaisia ominaisuuksia, vaan kriittisiä vaatimuksia erityisesti autonomisessa ajamisessa, kehittyneissä kuljettajaa avustavissa järjestelmissä (ADAS) ja yhdistetyissä ajoneuvojärjestelmissä.
Kestävä digitaalinen infrastruktuuri on kriittinen, jotta tietoliikenneverkot voidaan tehokkaasti valjastaa tekoälyinnovaatioiden ja pilvipohjaisten palveluiden tarpeisiin. Tekoälyyn liittyvien datarikkaiden sovellusten lisääntyvä kysyntä edellyttää tietoliikenneverkkoa, joka kykenee käsittelemään suuria tietomääriä alhaisella viiveellä, kirjoittaa Orange Businessin kumppaniratkaisuista vastaava Carl Hansson.
Euroopan unioni ottaa merkittävän askeleen avaruusteknologian kehittämisessä allekirjoittamalla sopimuksen uuden IRIS²-satelliittijärjestelmän toteuttamisesta. Tämä 290 satelliitin verkko on suunniteltu vahvistamaan Euroopan itsenäisyyttä ja turvallista yhteydenpitoa.
Jotta voidaan vastata uuden teknologian vaatimuksiin ja pitää järjestelmät toimimassa ”kellon tavoin”, on aika harkita ajoitusratkaisuja uudelleen. Tässä kaksiosaisessa "Precision Timing" -artikkelissa opit, miksi mikroelektromekaanisiin järjestelmiin eli MEMS-komponentteihin perustuvat piiajoituslaitteet päihittävät kvartsin elektroniikkasuunnittelun uudella aikakaudella. 
Matalatehoisten langattomien ratkaisujen asiantuntija Nordic Semiconductor ja eSIM-ratkaisuja kehittävä Kigen ovat julkistaneet yhteistyön, joka sujuvoittaa massiivisten IoT-verkkojen käyttöönottoa. Yhdessä he esittelevät CES 2025 -messuilla ratkaisun, joka yhdistää Nordic Semiconductorin nRF9151-moduulin ja Kigenin SGP.32 IoT eSIM-teknologian sekä laitteiden hallinta-alustan.
