Datasuvereniteetti on noussut terveydenhuollon IT-päätöksenteon keskiöön. Hyvinvointialueet hallinnoivat potilastietoja, sosiaalipalvelujen asiakasrekistereitä ja terveydenhuollon ammattilaisten tunnistautumista – tietoja, joiden paljastuminen tai väärinkäyttö aiheuttaisi vakavaa vahinkoa yksittäisille ihmisille ja koko yhteiskunnalle.
Julkisessa keskustelussa datasuvereniteetti esitetään joskus binäärisenä valintana: joko täydellinen digitaalinen riippumattomuus tai nykytilan hyväksyminen. Kumpikaan ei ole toimiva lähtökohta. Täydellinen riippumattomuus ei ole realistista globaalissa teknologiaympäristössä, mutta se ei tarkoita, että kriittisten järjestelmien kontrolli pitäisi luovuttaa ulkopuolelle. Kyse on strategisesta priorisoinnista: mitkä tasot ovat niin kriittisiä, että niiden hallinnan on pysyttävä omissa käsissä?
Kaikki tieto ei ole yhtä kriittistä
Terveydenhuollon organisaatiossa käsitellään hyvin eritasoista tietoa. Pragmaattinen lähestymistapa alkaa siitä, että tunnistetaan, minkä tiedon suojaamisessa ei ole varaa kompromisseihin ja missä globaalien palveluiden hyödyntäminen on perusteltua.
Ratkaiseva kysymys ei ole pelkästään se, missä tieto sijaitsee, vaan kenen lainsäädännön piirissä sen käsittelijä on. Palvelin voi sijaita Suomessa, mutta jos palveluntarjoaja on yhdysvaltalainen, CLOUD Act velvoittaa sen luovuttamaan dataa viranomaispyynnöstä riippumatta palvelimen fyysisestä sijainnista.
Tämän perusteella terveydenhuollon tiedon luokittelu voisi noudattaa seuraavaa kehystä:
| Tiedon tyyppi | Esimerkkejä | Suojausperiaate |
|---|---|---|
| Identiteetti- ja pääsytieto | Autentikaatiolokit, käyttöoikeusrakenteet, ammattilaisten tunnistautuminen | Palveluntarjoajan on oltava EU-lainsäädännön piirissä, ei pelkästään EU:ssa sijaitseva. Organisaation hallittava salausavaimia itsenäisesti. |
| Potilastieto | Diagnoosit, hoitosuunnitelmat, laboratoriotulokset, lääkitystiedot | Käsittely ja säilytys EU-lainsäädännön piirissä olevan toimijan hallinnassa. Auditoitavuus varmistettava itsenäisesti. |
| Hallinnollinen tieto | Henkilöstötiedot, talousdata, sopimukset | EU-alueen palveluntarjoaja, GDPR-vaatimustenmukaisuus, sopimuksellinen suoja. |
| Julkinen tieto | Verkkosivusisältö, yleisesitteet, julkiset yhteystiedot | Globaalit palvelut hyväksyttäviä. |
Oleellinen ero perinteiseen luokitteluun on ensimmäinen rivi. Identiteetti- ja pääsytieto on erotettu omaksi kategoriakseen, koska se on kaiken muun suojauksen perusta. Autentikaatiolokit paljastavat, kuka käsittelee mitäkin tietoa, milloin ja mistä. Hyökkääjälle tämä tieto on arvokkaampaa kuin yksittäinen potilaskertomus, koska se avaa pääsyn kaikkeen muuhun.
Identiteettitaso on suojauksen perusta
Terveydenhuollossa identiteetinhallinta ratkaisee, kuka pääsee potilastietoihin, kuka voi tehdä hoitopäätöksiä järjestelmissä ja kuka hallinnoi pääsyoikeuksia. Se on avainrengas, jonka haltija kontrolloi pääsyä kaikkeen muuhun.
Jos tämä kerros on sellaisen palveluntarjoajan hallinnassa, jonka juridinen kotipaikka on EU:n ulkopuolella, organisaation suvereniteetissa on rakenteellinen aukko riippumatta siitä, miten hyvin muu infrastruktuuri on suojattu. Kyberturvallisuuslaki ja NIS2-implementaatio edellyttävät kriittisen infrastruktuurin hallintaa, mutta identiteetinhallintaa ei ole useimmissa organisaatioissa arvioitu suvereniteetin näkökulmasta.
Hyvinvointialueilla tämä on erityisen merkittävää. Kun identiteettijärjestelmä hallitsee pääsyä potilastietoihin, sosiaalipalvelujen asiakasrekistereihin ja terveydenhuollon ammattilaisten tunnistautumiseen, kyse ei ole abstraktista riskistä vaan konkreettisesta kontrollista kansalaisten arkaluonteisimpiin tietoihin.
Priorisoi, älä yritä korvata kaikkea
Datasuvereniteetin toteuttaminen ei tarkoita kaiken korvaamista kotimaisilla ratkaisuilla. Kuten Mika Aromaa osoittaa kirjoituksessaan, kyse on strategisesta priorisoinnista: globaalit palvelut tarjoavat aitoa hyötyä monilla tasoilla, mutta kriittisimmän kerroksen hallinta on pidettävä eurooppalaisessa kontrollissa.
Terveydenhuollon organisaatiolle tämä tarkoittaa käytännössä kolmea asiaa:
- Ensimmäiseksi on arvioitava, kenen lainsäädännön piirissä nykyinen identiteetinhallinta on. Palvelimen sijainti ei ratkaise – ratkaisevaa on palveluntarjoajan juridinen kotipaikka.
- Toiseksi on varmistettava, että auditointi- ja lokitiedot ovat organisaation omassa hallinnassa. NIS2-vaatimustenmukaisuuden todentaminen ei voi olla riippuvaista ulkomaisesta palveluntarjoajasta.
- Kolmanneksi on selvitettävä, perustuuko nykyinen ratkaisu avoimiin standardeihin. Avoimet standardit (OIDC, SAML, SCIM) varmistavat, ettei organisaatio ole lukittu yhteen toimittajaan, jos tilanne muuttuu.
Datasuvereniteetti terveydenhuollossa ei ole kaiken tai ei minkään -valinta. Se on järjestelmällistä työtä, jossa tunnistetaan kriittisin taso ja varmistetaan, että sen hallinta pysyy siellä, minne se kuuluu.