Regulatory Security Requirements¶
|
|
|
1) Varmenteiden eheys, voimassaolo ja mahdollinen sulkulistalla olo on tarkistettava DVV:n tiedoista. Varmenteiden validointi koskee kaikkia järjestelmissä käytettäviä varmennetyyppejä: ammattivarmenteita, henkilöstövarmenteita, toimijavarmenteita, palvelinvarmenteita, järjestelmäallekirjoitusvarmenteita ja hyvinvointisovelluspalveluvarmenteita. 2) Sulkulista jota vasten validointi tehdään on haettava vähintään kerran vuorokaudessa. |
Järjestelmän tulee mahdollistaa käyttövaltuuksien antaminen käyttäjän työtehtävien ja annettavien palvelujen mukaisesti eri toiminnallisuuksiin järjestelmän käyttötarkoituksen mukaisesti. Kanta-palveluihin liittyvät toiminnallisuudet tulee rajata käyttäjän työtehtävien ja annettavien palvelujen perusteella. Vain ne henkilöt, joille käyttöoikeus on annettu, voivat käyttää ko toiminnallisuuksia. Järjestelmä ei vaadi laajoja käyttöoikeuksia toimiakseen. Järjestelmässä tulee olla poikkeustilanteiden hallinnan edellyttämät toiminnot, joilla käyttöoikeus voidaan tilapäisesti ohittaa (esimerkiksi pääkäyttäjän oikeuksin, vaikka ko. toimenpide ei kuulu pääkäyttäjän työtehtäviin). Tekijä ja tehty toimenpide tulee silti luotettavasti yksilöidä ja kirjata. Tieto ohitustilanteista tulee saada järjestelmästä esim. erilliseen luetteloon, jonka käsittelystä on ohjeet käyttöympäristön tietoturvapolitiikassa. |
Järjestelmissä tai sen osana olevissa palveluissa ei saa olla aktiivisia oletustunnuksia. |
Lokitietojen muuttumattomuus tulee varmistaa. Järjestelmän tulee mahdollistaa lokitietojen muuttumattomuuden varmistaminen joko järjestelmätasolla tai organisaation omien toimenpiteiden kautta. Järjestelmän tulee mahdollistaa lokitietojen hävittäminen, kun hävittämisen ehdot täyttyvät. Vaatimus koskee vähintään käyttölokia ja teknistä lokia. Tekniset lokit voivat sisältää sekä Kanta-palveluihin liittyviä esim. viestinvälityksen lokimerkintöjä mutta myös muita järjestelmien ja alustojen lokitietoja, joita käytetään mm. teknisten virheiden selvittelyssä ja jotka ovat erillisiä Kanta-palveluihin liittyvistä käyttö- ja luovutuslokeista. |
Tietojärjestelmä ylläpitää käyttölokia, josta löytyy riittävän yksityiskohtaiset tiedot tietojen haun ja käytön osalta (esim. tilanteissa, joissa järjestelmä hakee Kanta asiakastietovarannosta enemmän tietoa kuin mitä käyttäjälle näytetään perusjärjestelmän suodattaessa tietoja). Kaikki järjestelmän pääkäyttäjän ja ylläpitäjän asiakas- ja potilastietojen käsittelyyn liittyvät toimet järjestelmässä on lokitettava. Lokitietojen aikaleimojen on oltava oikeellisia ks. APAKOL08. Käyttölokin säilytysaika on vähintään 12 vuotta. |
Kanta-palvelujen ja niihin liittyvien organisaatioiden ja järjestelmien välisestä viestinnästä on pidettävä lokia. Lokia tulee pitää kaikissa järjestelmissä joiden kautta asiakas- tai potilastietoja välitetään Kanta-palveluihin. Lokeihin kerätään tietoturvaan ja järjestelmän toimivuuteen liittyviä välttämättömiä tietoja ja henkilötietoja kerätään vain voimassa olevien lakien, säädösten ja määräysten mukaisesti. Järjestelmän tekniset virheet on lokitettava. Lokitietojen aikaleimojen on oltava oikeellisia ks. APAKOL08. |
Tietojärjestelmässä on väline ja dokumentoidut ohjeet lokitietojen seuraamiseen tai järjestelmä mahdollistaa ulkopuolisen seurantavälineen liittämisen. Lokit on pystyttävä hakemaan saataville säännöllistä tai tapauskohtaista seurantaa ja valvontaa varten. |
Verkkoliikenteen normaali tietoliikenneprofiili (baseline) on tiedossa; on olemassa menettely, jolla normaalista tietoliikenneprofiilista eroava liikenne pyritään havaitsemaan; järjestelmän osalta on pystyttävä kuvaamaan, millaista verkkoliikennettä normaali käyttö aiheuttaa. Kuvaukseen suositellaan kuuluvaksi myös välineet, keinot tai suositukset esimerkiksi porttiskannausten, palvelunestohyökkäysten, väsytys- ja salasanahyökkäysten havaitsemiseksi, torjumiseksi tai niihin varautumiseksi tietojärjestelmäpalvelun tuottajan näkökulmasta. |
Regulatory requirement: [AVALO06] Erityissuojattavien tietojen näyttäminen terveydenhuollossa REGREQ_AVALO06
|
Erityissuojattavia potilastietoja ovat asiakastietolain 26 §:ssä säädettyjen perinnöllisyyslääketieteen ja psykiatrian potilasasiakirjamerkintöjen lisäksi seksuaaliterapian, psykologipalvelun sekä mielenterveys- ja päihdepalvelun potilasasiakirjamerkinnät. Erityissuojaus on toteutettava seksuaaliterapian, psykologipalvelun sekä mielenterveys- ja päihdepalvelun osalta viimeistään 1 päivänä lokakuuta 2026 |
Luovutustenhallinta toteutetaan sote-palveluissa ja luovutuslokit tallennetaan Kanta-palveluihin viitattujen määritysten mukaisesti. Tietojärjestelmiin liittyvät luovutuslokeihin liittyvät vaatimukset toteutetaan APAKOL11, KS04 ja TSL07 mukaisesti |
Järjestelmän käyttötarkoituksen mukaista käyttöä sekä sen asennusta ja ylläpitoa varten tulee olla saatavilla tarpeelliset ohjeet. Ohjeiden on vastattava käytössä olevaa versiota. Mikäli ohjeet on tarkoitettu päivitettäväksi tai täydennettäväksi käyttöympäristökohtaisesti, on päivityksestä tai täydennyksestä oltava saatavilla selkeä ohjeistus. |
|
|
Asiakas- tai potilastietojärjestelmä varmistaa käyttäjän asiayhteyden tai hoitosuhteen asiakkaaseen tai potilaaseen. Sosiaalihuollon asiakasasiakirjojen ja terveydenhuollon potilastietojen käytössä käyttäjä on sosiaali- tai terveydenhuollon ammattihenkilö tai muu organisaation valtuuttama työntekijä ja työskentelee tehtävissä, joiden hoitaminen edellyttää pääsyä tietoihin. Sosiaalihuollossa asiayhteyden käyttökontekstina on asiakkuus sekä mahdollisesti asia. |
Regulatory requirement: [APAKOL12] Asiayhteyden tai hoitosuhteen ohjelmallinen todentaminen REGREQ_APAKOL12
|
Asiakas- tai potilastietojärjestelmä varmistaa ohjelmallisesti käyttäjän asiayhteyden tai hoitosuhteen asiakkaaseen tai potilaaseen. Tekninen varmistus edellyttää tietojärjestelmän todentamaa potilashallinnon tapahtumaa tai sosiaalihuollon asiakkuutta. Jos hoitosuhdetta ei voida varmistaa teknisesti, käyttäjällä voi olla oikeus antaa erityinen syy tietojen käsittelylle. Erityinen syy tallennetaan käyttölokille ja Kanta-asiakastietovarannosta luovutuksella tietoja noudettaessa sen luovutuslokille. |
Muista kuin Kanta-palvelujen kautta tehtävistä asiakkaan tietojen luovutuksista rekisterien välillä on tehtävä luovutusilmoitus jotta tiedot tulevat luovutuslokille ja luovutuksia voidaan seurata. Sosiaalihuollossa tarkentuu myöhemmin. |
Mikäli järjestelmässä käytetään eri rekistereitä (esim. terveydenhuolto, sosiaalihuollon asiakas- ja ilmoitusrekisteri, työterveyshuolto), tulee eri palveluissa syntyvät rekisterit voida erotella toisistaan. |
Viestinvälityksessä, sanomaliikenteessä, lokimerkinnöissä sekä asiakirjojen tai merkintöjen aikaleimoissa on oltava oikeellinen aika. Kanta-palveluihin yhteydessä olevan tietojärjestelmän aika on synkronoitava Mittatekniikan keskuksen toimittaman Suomen virallisen ajan kanssa tieto- ja sanomaliikenteen osalta. Myös muissa järjestelmissä asiakirjamerkinnöissä ja lokimerkinnöissä aikaleimojen on oltava oikeellisia, mutta ei ole välttämätöntä perustua samaan synkronointiin ja tarkkuuteen. Kuvattava todentamista varten, miten on toteutettu. |
Regulatory requirement: [ASTUR01] Turvallisen ohjelmoinnin periaatteet järjestelmän toteutuksessa REGREQ_ASTUR01
|
On pystyttävä kuvaamaan alakohdissa näkyvät käytännöt ja periaatteet. |
Kuvattava, kuinka tietoturvatietous on huomioitu järjestelmän kehitysprosessin aikana. Turvallisten koodausstandardien tulisi sisältää ainakin seuraavat periaatteet: — dokumentoidut koodausstandardit ja -käytännöt; — ohjeistus käyttämään vain turvallisia toimintoja ja funktioita (esim. listat kielletyistä funktioista) — ohjeistus käyttämään turvallisia kääntäjä- ja työkaluketjuversioita ja suojattuja kääntäjävalikkoja – miten valvotaan helposti ongelmia aiheuttavien funktioiden ja rajapintojen käyttöä |
Regulatory sub-requirement: [ASTUR01.2] Uhkien ja riskien tunnistaminen ja kontrollointi RSR_ASTUR01_2
|
Kuvattava, kuinka tietoturvauhat ja riskit on tunnistettu ja kontrolloitu |
Kuvattava, kuinka rajapinnat on testattu viallisilla syötteillä, injektioilla sekä suurilla syötemäärillä |
Kuvattava, kuinka tietojen syöttäminen on testattu viallisilla syötteillä, injektioilla sekä suurilla syötemäärillä |
Regulatory sub-requirement: [ASTUR01.5] Arkkitehtuurin ja lähdekoodin / ohjelmakoodin katselmointi ja tarkastus RSR_ASTUR01_5
|
Kuvattava, kuinka katselmoidaan arkkitehtuuri ja lähdekoodi ja kuinka ohjelmakoodi tarkastetaan esim. automaattisella staattisella, dynaamisella tai vastaavalla analyysillä. Olennaisia tarkastettavia asioita ovat turvallinen arkkitehtuuri, monitasoinen suojaus, pienimpien oikeuksien periaate ja sovelluksen paikallisesti tallentaman tiedon suojaus. |
Kuvattava, kuinka ohjelmakoodin versionhallinta on toteutettu, kuinka vanhempiin ohjelmistoversioihin on tarvittaessa päästävissä ja kuinka ohjelmakoodin muutosten dokumentointi on toteutettu |
Kuvattava, kuinka kirjastojen, komponenttien ja koodin lähteiden luotettavuus arvioidaan. Kuvattava, kuinka varmistetaan, että käytettävät kolmannen osapuolen ohjelmistokirjastot ja muut ohjelmistokomponentit ovat luotettavia ja ylläpidettyjä, kuinka ne tarkistetaan turvallisuusongelmien varalta, kuinka muista komponenteista tuleva data varmistetaan ja tarkistetaan ja kuinka varmistetaan salassa pidettävän tiedon suojaaminen, jos sitä lähetetään kolmannen osapuolen kirjastoihin tai kolmannen osapuolen palveluille yksityisyyden vaarantumisen varalta. Tietojärjestelmästä on suositeltavaa olla saatavilla koneluettava ohjelmistolistaus käytetyistä ulkoisista komponenteista (SBOM) ja soveltuvin osin laitteistoista (HBOM). |
Kuvattava, kuinka virhetilanteisiin varaudutaan ja virhekäsittelyissä toimivuus varmistetaan. |
Kuvattava, kuinka ohjelmiston jakelu turvataan siten, että käyttöön otettava ohjelmisto on valmistajan tarkoittama ja muuttumaton |
Regulatory sub-requirement: [ASTUR01.10] Käyttäjätilien kirjautumistietojen suojaaminen RSR_ASTUR01_10
|
Kuvattava, kuinka käyttäjätilien kirjautumistiedot suojataan käyttäjä- ja käyttöoikeushallinnassa sekä tunnistamiseen ja kirjautumiseen liittyvissä toiminnoissa |
Kuvattava, kuinka maksuja aiheuttavat verkko- ja laitepalvelut on suojattu erityisesti mobiililaitteissa (esim. tekstiviestit, puhelut, NFC-maksut). |
Järjestelmässä on kuvattu miten varaudutaan yleisiin hyökkäysmenetelmiin siten, että palvelussa/sovelluksessa käsiteltävien suojattavien tietojen luottamuksellisuus tai eheys ei vaarannu. |
Järjestelmässä ei ole auki tarpeettomia portteja eikä turvattomia, ei-salattuja protokollia. Liikenne on sallittu vain tarvittuun suuntaan. |
|
Regulatory requirement: [AKYM01] Tiedonsiirron salaus ja tietoliikenteen luottamuksellisuus sekä eheys Kanta-palveluihin REGREQ_AKYM01
|
Sivulliset eivät saa saada selville suojattuja tietoja (myös asiointi sosiaali- tai terveyspalveluissa on salassa pidettävä tieto). Tiedot eivät saa muuttua tiedonsiirron aikana. (Sähköisen lääkemääräyksen, asiakasasiakirjojen ja niihin liittyvien luottamuksellisten tietojen siirtäminen kansallisiin palveluihin tai niistä muualle on salattu tai muuten suojattua tiedonsiirtoyhteyttä tai -tapaa käyttämällä. ) |
Sähköisen lääkemääräyksen, asiakas- tai potilassasiakirjojen ja niihin liittyvien salassa pidettävien luottamuksellisten tietojen siirtäminen ulkoisiin tai alustapalveluihin tai niistä muualle on salattua tai tapahtuu muuten suojattua tiedonsiirtoyhteyttä tai -tapaa käyttämällä. Hyvinvointisovelluksen on käytettävä henkilö- ja hyvinvointitietojen lähettämiseen ja vastaanottamiseen tarkoituksenmukaista salausta tietoliikenteen suojaamiseksi. Myös muihin hyvinvointisovellukseen liittyviin palveluihin liittyvät tiedot on salattava tarvittaessa. Laki- ja asetusvaatimukset täytettävä voimaantulo- ja sertifiointiajankohdista riippumatta. Lisätietoja: Salausparadigmojen tulisi noudattaa ajankohtaisia käytäntöjä, sillä salausmenetelmän vahvuus voi heikentyä ajan myötä, kun laskentamenetelmät salauksen rikkomiseksi kehittyvät edelleen. Salausratkaisu on kuvattava, mukaan lukien luodaanko järjestelmän tai sovelluksen salausavaimet dynaamisesti kertaluonteista käyttöä varten, ja missä määrin käytetään käyttöjärjestelmien tarjoamia suojattuja säilöjä salausavainten tallentamiseen. |
Regulatory requirement: [AKYM14] Tietojen käsittely ja säilytys ulkoisissa tai alustapalveluissa REGREQ_AKYM14
|
Tietojen säilytys ja käsittely ulkoisissa tai alustapalveluissa on salattava siten, että salausavaimet ovat vain palvelunantajalla, tietojärjestelmäpalvelun tuottajalla tai hyvinvointisovelluksen valmistajalla. Laki- ja asetusvaatimukset täytettävä voimaantulo- ja sertifiointiajankohdista riippumatta. |
Kanta-palvelujen sähköisen viestinnän molemmat osapuolet tulee tunnistaa. Apteekit, palveluntuottajat ja käyttäjäorganisaatiot sekä niiden ko. palveluun liittyvät palvelimet tulee luotettavasti tunnistaa muodostettaessa yhteyttä Kanta-palveluun ennen sähköisen yhteyden aloittamista. Yhteyden osapuolten identiteetti varmennetaan ennen varsinaisen yhteyden muodostamista. |
Järjestelmän on mahdollistettava lokien kerääminen ja se voi tukea myös hälytys- ja seurantatoimintoja. Lokien hyödyntäminen ja saatavuus on mahdollistettu ja dokumentoitu siten, että lokeja voidaan hyödyntää järjestelmän toiminnan seurannasta ja virhetilanteiden selvittämisestä vastaavan tahon lokien keräys-, luovutus-, hälytys- ja seurantapolitiikassa tai -ohjeessa. |
Järjestelmän on tuettava verkkoyhteyden suojaamista palomuurilla ja mikäli se vaatii erityisiä palomuuriasetuksia, ne on kuvattava. Järjestelmän sisältämät tai sen käytön edellyttämät palomuuriratkaisut on kuvattava käyttäjäorganisaatiolle, mukaan lukien mahdolliset julkisesta verkosta käyttäjäorganisaatioon ja päinvastoin kulkevan liikenteen rajoittamisen ja suodattamisen ratkaisut sekä kuvaukset mahdollisista etäkäyttöperiaatteista. Vaatimuksena on, että kaikkien Kanta-sanomaliikenteeseen liittyvien tahojen tulee suojata liityntäpistesijaintinsa ja tietojärjestelmien käyttöympäristöt tilallisella palomuurilla tai sovelluspalomuurilla. |
Mikäli järjestelmään ylläpidollisista tai muista hallintasyistä sallitaan etäyhteyksiä, yhteyksien järjestelmään tulee olla suojattuja ainakin yhdellä erilliselllä suojauskerroksella, esim. VPN-palvelu, jossa ylläpitäjät tunnistetaan luotettavasti. Hallinnan etäyhteyksien käyttäjät tulee tunnistaa käyttämällä luotettavaa vahvaa tunnistautumismenetelmää (ei pelkästään salasanaa ja käyttäjätunnusta). Hallintayhteydet järjestelmään tulee joko salata vahvasti tai rakentaa käyttäen omaa suojattua verkkoa tai yhteyttä hallintayhteyksille. Myös sisäverkon hallintayhteydet on suojattava vähintään loogisella tasolla ja pääsy hallintatoimintoihin tai -rajapintoihin rajoitettava. |
Salaukseen käytettävät avaimet pysyvät vain haluttujen tahojen käytössä. Organisaation järjestelmien tulee tukea hyvien käytäntöjen mukaista salausavainten ja varmenteiden hallintaa, jonka tulee kattaa a) Avainten/sertifikaattien luonti (tai siirto järjestelmään) b) Avainten/sertifikaattien säilytys c) Avainten/sertifikaattien käyttö ja henkilökohtaisten avainten hallintaprosessi d) Avainten/sertifikaattien tuhoaminen / arkistointi / poisto |
Järjestelmissä ei saa olla ylimääräisiä palveluita päällä eikä turhia avonaisia portteja. Järjestelmän edellyttämä laitekokoonpano ja järjestelmäalusta on kuvattava (esim. käyttöjärjestelmä ja tietokannat), ja järjestelmän tietoturva-asetukset on tehtävä sen mukaisesti. Suositeltavia kovennusohjeita ovat: CIS Benchmarks, DISA Security Technical Implementation Guides ja NIST - National Checklist Program Repository |
Palvelimet ja työasemat, joilla järjestelmät toimivat, tulee olla suojattu haittaohjelmilta. Tietojärjestelmään kuuluvissa palvelimissa tai siinä käytetyissä palveluissa on toteutettu tai kuvattu vaaditut menetelmät haittaohjelmauhkien ennaltaehkäisyyn, estämiseen, havaitsemiseen, vastustuskykyyn ja tilanteen korjaamiseen. On suositeltavaa, että haittaohjelmien tunnistetietojen ja torjuntaohjelmien automaattiset päivitykset ovat ensisijainen toimintatapa. Jos automaattisia päivityksiä ei voida tehdä, tulisi varmistaa muilla menetelmillä tunnistetietojen ja ohjelmien säännölliset päivitykset. |
Regulatory requirement: [AKYM09] Järjestelmäkuvaus palveluna tarjottaville järjestelmille ja järjestelmien käyttämille alustapalveluille REGREQ_AKYM09
|
Palvelusta on järjestelmäkuvaus josta tulee käydä ilmi vähintään a) palvelun palvelu- ja toteutusmallit, sekä näihin liittyvät palvelutasosopimukset (Service Level Agreements, SLAs). b) Palvelun tarjoamisen elinkaaren (kehittäminen, käyttö, käytöstä poisto) periaatteet, menettelyt ja turvatoimet, valvontatoimet mukaan lukien. c) Palvelun kehittämisessä, ylläpidossa/hallinnassa ja käytössä käytettävän infrastruktuurin, verkon ja järjestelmäkomponenttien kuvaus. d) Muutostenhallinnan periaatteet ja käytännöt, erityisesti turvallisuuteen vaikuttavien muutosten käsittelyprosessit. e) Käsittelyprosessit merkittäville normaalikäytöstä poikkeaville tapahtumille, esimerkiksi toimintatavat merkittävissä järjestelmävikaantumisissa. f) Palvelun tarjoamiseen ja käyttöön liittyvät roolit ja vastuunjako asiakkaan ja palveluntarjoajan välillä. Kuvauksesta on käytävä selvästi esille ne toimet, jotka kuuluvat asiakkaan vastuulle palvelun turvallisuuden varmistamisessa. Palveluntarjoajan vastuisiin tulee sisältyä yhteistyövelvollisuus erityisesti poikkeamatilanteiden selvittelyssä. g) Alihankkijoille siirretyt tai ulkoistetut toiminnot. |
|
Varautumisella ja jatkuvuudenhallinnalla on varmistettava palvelun jatkuvuus siten, että pystytään vastaamaan siihen kohdistuneisiin saatavuus ja eheysvaatimuksiin. Asiakastietoon kohdistuu tarve olla käytettävissä myös normaaliolojen häiriötilanteissa ja poikkeavissa olosuhteissa (varautuminen). Järjestelmän riskitason huomioiden tietojärjestelmäpalvelun tuottajan on huomioitava varautumisen jatkuvuudenhallinnan prosessit siten että menettelyt on suunniteltava, toteutettava, testattava ja kuvattava. |
Järjestelmässä on suunniteltu ylläpidettävien tai tallennettavien tietojen varmuuskopiointi ja palauttaminen. Tietojen palauttaminen on testattu (vähintään korkean riskitason järjestelmissä). |