Arvioinnissa on käytetty sosiaali- ja terveydenhuollon hankintojen tietoturva- ja tietosuojavaatimuskantaa ja Tamro Oy:n ja JDM Groupin toimittamaa vastausmateriaalia9.
Riittävä
Vastausmateriaalin perusteella palvelu täyttää olennaisimmat tietoturvan ja tietosuojan vaatimukset.
Riskienhallinta ja tietoturvatestaus
Palvelun tuottajalla on olemassa prosessit tietoturvariskien hallintaan ja ennaltaehkäisyyn sekä toimintasuunnitelma tietoturvapoikkeamien varalle. Valmistaja on sisällyttänyt tietoturvan osaksi ohjelmistokehitystä. Pilvipalvelulle on vastausmateriaalin mukaan suoritettu penetraatiotestaus, käytössä olevat kolmannen osapuolen ohjelmistot on auditoitu manuaalisesti ja laitteiston kovennus todennettu ulkoisella auditoinnilla.
Käyttäjien hallinta
Palvelu tukee kaksivaiheista tunnistusta ja salasanojen hallinnointi tapahtuu nykyaikaisten suositusten mukaisesti. Palvelu ei tue käyttäjätietojen federointia ulkoisiin palveluihin.
Palvelu tukee käyttäjäoikeuksien hallintaa ja rajoittamista. Erillisten käyttäjäoikeuksien määrittely on palvelussa pakollista. Käyttäjien toimista ja tietojen katselusta on saatavilla jäljitysloki.
Laitteisto
Smila-lääkeannostelija suorittaa ohjelmistopäivitykset automaattisesti ennalta laaditun aikataulun mukaisesti. Päivityksistä ilmoitetaan asiakasorganisaatioille etukäteen. Päivitykset ovat digitaalisesti allekirjoitettuja, ja niiden aitous ja oikeus varmistetaan osana päivitysprosessia. Laitevalmistaja voi hallita ja päivittää laitteita verkkoyhteyden kautta.
Laite käyttää Bluetooth 4.0-, GSM- ja WiFi-yhteyksiä. WiFi-verkkoa käytettäessä sen tietoturvallinen määrittäminen on asiakasorganisaation vastuulla.
Laitteet on kovitettu fyysistä peukalointia vastaan.
Tietosuoja
Tamro Oy toimii yhdessä laitetoimittajan kanssa tietojen käsittelijänä (data processor). Asiakasorganisaatio toimii rekisterinpitäjänä (data controller). Tämän seurauksena asiakasorganisaatio omistaa rekisteritiedot ja GDPR:n vaatima tietosuojavaikutusten arviointi on asiakasorganisaation vastuulla.
Palvelussa säilytettäviä tietoja säilytetään Euroopan talousalueen sisällä salattuna. Laitteisiin tallennetut tiedot on salattu levossa. Palvelun eri osat tallentavat mahdollisimman vähän henkilötietoja tietojen keräyksen minimointiperiaatteen mukaisesti.
Muuta huomioitavaa
Palvelu toimii vain SaaS (Software as a Service) -palvelumallina.
Arviointi sisältää vain Smila-lääkeannostelijayksikön ja pilvipalvelun tietoturvan ja -suojan arvioinnin. Laitteen mahdolliset lisäosat, lisäpalvelut tai integraatiot eivät kuulu tämän arvioinnin piiriin ja ne täytyy arvioida erikseen, jos asiakasorganisaatio ottaa sellaisia käyttöön.
Lisäksi suosittelemme, että sairaanhoitopiirit käyttävät tukena hankinnoissa Euroopan unionin kyberturvallisuusviraston (ENISA) tietoturvaopasta sairaaloiden hankinnoille.10
