Useissa julkishallinnon hankkeissa tietoturvaa on jouduttu korjaamaan kalliisti jälkikäteen.
Helsingin ja sen ympäryskuntien jättimäisessä APOTTI-potilastietojärjestelmässä on määrä pyörittää 1,5 miljoonan ihmisen potilastietoja. Tietoturva-alan yritykset ovatkin seuranneet tarkasti, miten jättihankkeessa aiotaan huolehtia siitä, että tietoja ei pääse vääriin käsiin.
Esimerkiksi Yhdysvalloissa lasketaan, että muutamassa vuodessa 21 miljoonan ihmisen potilastietoja on päässyt vuotamaan. Osa vuodoista on tapahtunut, kun järjestelmiin on murtauduttu, mutta huomattavasti suurempi määrä tietoa on joutunut väärille teille, kun työntekijät ovat hukanneet tietokoneita tai tallennusvälineitä.
Tietoturvayritys nSensen toimitusjohtaja Jonas Lundberg arvioi, että potilastietojärjestelmä on altis hyökkäyksille siinä missä mikä tahansa muukin tietovaranto.
- Siellä on yksityiskohtaista tietoa ihmisistä, ja tieto on valtaa näissä tapauksissa. Sitä pystyy myymään eteenpäin tai jakamaan jolloin tulee tällainen mediahyökkäys, hän arvioi.
Toinen puoli turvallisuutta on se, että järjestelmän pitäisi huomata väärinkäytökset. Esimerkiksi Suomesta tunnetaan tapaus, jossa työntekijä tekeytyi tietojärjestelmässä lääkäriksi ja kirjoitteli kavereilleen lähetteitä.
Mammuttijärjestelmää pidetään riskinä
Yle uutiset kysyi F-Securen, Nixun, nSensen ja Codenomiconin edustajilta arvioita siitä, miten tietoturva tulisi huomioida järjestelmän kehitystyössä.
Ammattilaisten keskeinen huoli on, että järjestelmästä tehdään liian suuri kokonaisuus, jonka valvonta ei pysy kenenkään käsissä.
- Näyttää siltä että ollaan tekemässä jättimäistä kolossia. Mitä maailmalta ollaan nähty, niin eipä se ole missään muuallakaan toiminut, tiivistää F-Secure-yhtiön vanhempi tutkija Jarno Niemelä.
Ammattilaiset ehdottavatkin, että tietoturvan kannalta olisi järkevämpää rakentaa kokonaisuus useiden järjestelmien verkostoksi. Järjestelmien saumakohdissa voidaan kätevästi valvoa tietoliikennettä.
F-Securen Niemelä kehottaa ottamaan mallia luottokortti- ja pankkijärjestelmistä
- Luottokorttimaailma perustuu siihen, että ei ole yhtä mammuttijärjestelmää vaan useita itsenäisiä järjestelmiä joista jokaisessa on oma valvonta, ja sen jälkeen nämä keskustelevat keskenään ja tässäkin on valvonta.
Asia on ajankohtainen, sillä hankkeen tarjouspyyntöön on juuri alettu kirjata tietoturvavaatimuksia. Tarjouspyynnön on määrä olla valmis ensi huhtikuussa. Hanketta valmisteleva HUSin IT-kehitysjohtaja Mikko Rotonen lupaa, että ammattilaisten vinkit otetaan huomioon.
- Olen itsekin huolissani siitä, että järjestelmän arkkitehtuuri on tietoturvan näkökulmasta kunnossa.
Rotosen mukaan tavoitteena on ostaa kerralla suuri kokonaisuus, johon liitetään tarvittavat lisämoduulit.
Korjailu jälkikäteen kallista
Olennaista on, että jos järjestelmässä huomataan testausvaiheessa tietoturvapuutteita, parannukset pitää pystyä tekemään ohjelmistotalon, ei veronmaksajien laskuun. Tämä pitäisi osata nyt kirjata tarjouspyyntöön.
- Valmisohjelmiston tietoturvallisuus tulisi testata ennen sitovaa hankintapäätöstä, tiivistää NIXU-yhtiön myynti- ja markkinointijohtaja Petri Kairinen.
Mikko Rotonen lupaa, että uusimaalaiset veronmaksajat eivät joudu maksamaan lisähintaa, jos järjestelmässä havaitaan puutteita.
- Jos siellä on puutteita, niin toimittajalla on mahdollisuus korjata ne. Jos niitä ei voi korjata, järjestelmä tullaan hylkäämään, hän linjaa.
Tietoturva-ammattilaisten varoituksia ei voi pitää pelkästään oman osaamisen myyntipuheena. Asian tärkeydestä kertovat tietoturvan lainmukaisuudesta vastaavan viranomaisen NCSA.FI:n kokemukset.
Yksikön päällikön Rauli Paanasen yleisarvio tietoturvan huomioimisesta julkishallinnon tietöjärjestelmähankinnoissa on tyly. Lukuisissa tapauksissa järjestelmät eivät ole läpäisseet viranomaistarkastusta ja tietoturvaa on jouduttu parantelemaan jälkikäteen. Käytännössä tämä on tarkoittanut lisää ohjelmointityötä.
- Kustannukset ovat tyypillisesti 6-10 kertaiset siihen verrattuna, että tietoturva olisi huomioitu jo järjestelmää rakennettaessa, toteaa Paananen.
Apotti-järjestelmän kuluiksi on arvioitu 350-450 miljoonaa euroa kymmenen vuoden aikana.