Voiko työntekijän asiaton internetkäyttö vaarantaa yrityksen tietoturvaa? Miten on esimerkiksi sairaaloiden tietoturva, onhan tietokannoissa paljon luottamuksellista tietoa
Tietoturva
työntekijä
9723
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 9
Vanhimmat
Voi tulla ongelmia, voi saada selainpohjaisen viruksen koneelle,esim. seeker. gen tai esim. sähköpostin liitetiedostosta vaikkapa "klezin" Tosin työmailla viirusturva on yleensä hoidettu suhteellisen hyvin. Se taas, mitä työntekijä hölöttää työpaikkansa asioista on oma lukunsa;)
Mutta mutta, saattaako työntekijän internetkäyttö heikentää yrityksen tietojärjestelmän suojaa tahallisilta murroilta? Hakkeroinnilta?
yrityksissä ole tietomurtoihin ja hakkerointeihin varauduttu palomuurein.
Kunnolla ylläpidetty palomuuri suojaa ulkoa tulevilta hyökkäyksiltä, mutta ei juurikaan tilanteessa jossa yritysken "turvalliseen" verkkoon pääsee joku ylimääräinen ohjelma joka ottaa yhteyden ulospäin ja lähettää koneelta dataa nettiin. Valitettavasti sellaisen ohjelman tekeminen on erittäin helppoa, ja sen ujuttaminen koneelle nettisivulta surffailun kylkiäisenä vielä helpompaa... lisäksi kyseiset ohjelmat usein naamioivat verkkoliikenteensä normaaliksi nettisurffaukseksi, joten palomuuri ei voi erottaa sitä normaalista verkkoliikenteestä...
Jonkinlaista turvaa saa pitämällä selaimen asetukset tiukilla, eli ei sallita mitään ylimääräistä, ei ohjelmien ajoa, ei plugin komponenttien yms. asentamista jne.
Suurin merkitys on työntekijällä itsellään, eli missä surffaa.. porno yms. epämääräisillä sivuilla liikkuminen on vaikeuksien kerjäämistä...
Mainitun tyyppinen ohjelma voi siis ujuttautua surffailevan työntekijän koneeseen hänen tietämättään ja lähettää koneelta dataa nettiin, esimerkiksi luottamuksellisia potilasasiakirjoja, mikäli kyseessä on sairaalan sisäiseen verkkoon kytketty kone? Ja että tällaisen tietovuodon havaitseminen on vaikeata?
Olisiko sinulla mahdollisesti linkkejä aiheesta, siis suojakeinoista?
Sairaaloiden ja terveydenhuollon tietoverkoista on säädetty laki jonka etsivä varmasti internetistäkin löytää. (Muistaakseni edita.fi?). On sitten olemassa henkilörekisterilaki sekä EU:n direktiivi asiasta jotka ovat hieman ristiriitaisia. En ole varma, että onko Suomen lakia muutettu direktiivin mukaiseksi jo, mutta ainakin aikomus on.
Mutta kertaan tähän omasta ulkomuistista kyseisen pykälistön kohtia:
Yleisesti ottaen järjestelmissä otetaan huomioon huolellisuusvelvoite sekä suojaamisvelvoite. Nämä ovat lähtökohdat järjestelmiä suunniteltaessa ja toteutettaessa.
Sitten puhutaan erikseen esim. internet verkoista: suoraa yhteyttä internet verkkoon EI saa olla, kuten ei muihinkaan julkisiin verkkoihin. Vain erityinen turvakontrolli sallii ulkoisen verkon käytön (jossa on tiukat määritelmät). Yleisesti ottaen kaikki tieto tulee salata poikkeuksetta, myös sähköposti. Eli jos sairaalan/terveydenhuollon työasemista pääsee käsiksi internettiin selaamaan webbiä ja samalta koneelta pääsee käsiksi potilastietoihin, niin lähes poikkeuksetta tämä rikkoo voimassaolevaa pykälistöä ja on näin ollen laiton järjestelmä.
Sitten on paljon pykälistöä joka koskee esim. sähköpostissa lähetettyjä potilastietoja sekä niiden hävittämistä sekä tallentamista. Kaikki sähköpostit tulee olla kuitenkin salattuja.
Aiheesta voisin pitää yhden koko päivän luennon joten taidan jättää tämän luennoimisen tähän.
Lyhyesti kuitenkin monet tähän aiheeseen tulleet viestit eivät ole todellisuutta vaan leffoista opittua. Minä puhun käytännöstä (olen alan työntekijä, erikoisuutena tietoturva ja tekniikka).
Eli järjestelmät laittomia, käyttäjät tietämättömiä tai luvattomilla asioilla ja potilastiedot melkein kaikkien saatavilla.
Kenen asia muuten on huolehtia siitä, että lakeja ja määräyksiä noudatetaan ja siitä, että valvonta pelaa?
Elikkä:
Ylläpito vastaa siitä että lakeja sekä määräyksiä noudatetaan. Valvontaa tekee viranomaiselin jolla on hieno nimikin, mutta en muista sitä nimeä juuri nyt. Jos epäilet, että jokin järjestelmä ei ole luotettava, niin tee siitä ilmoitus esim. sosiaali- ja terveysministeriöön. Sitähän sanotaan, että p..ska valuu aina alaspäin, joten...
Ja sitten: tilanne jossa käyttäjä on tietämätön, niin järjestelmän pitää ja tulee olla silti luotettava. Suunniteltaessa otetaan huomioon myös käyttäjävirheiden mahdollisuus joten tilanne ei ole täysin sama kuin yrityksissä. Jo lähtökohdat järjestelmän suunnittelussa ja toteutuksessa ovat täysin erilaisia.
Monesti tilanne on ratkaistu sairaaloissa ja terveysasemilla siten, että siellä on vain päätteitä loppukäyttäjillä. PC -työasema ja pääte eivät ole sama asia.
Kiitos asiallista tiedoista!