Arvioinnissa on käytetty sosiaali- ja terveydenhuollon hankintojen tietoturva- ja tietosuojavaatimuskantaa ja Tamro Oy:n ja JDM Groupin toimittamaa vastausmateriaalia9.
Pieniä puutteita
Vastausmateriaalin perusteella palvelu täyttää olennaisimmat tietoturvan ja tietosuojan vaatimukset, mutta arvioinnin aikana havaitsimme puutteen palvelun salasanojen hallintakäytännöissä.
Riskienhallinta ja tietoturvatestaus
Palvelun tuottajalla on olemassa prosessit tietoturvariskien hallintaan ja ennaltaehkäisyyn sekä toimintasuunnitelma tietoturvapoikkeamien varalle. Valmistaja on sisällyttänyt tietoturvan osaksi ohjelmistokehitystä. Pilvipalvelulle on vastausmateriaalin mukaan suoritettu penetraatiotestaus, käytössä olevat kolmannen osapuolen ohjelmistot on auditoitu manuaalisesti ja laitteiston kovennus todennettu ulkoisella auditoinnilla.
Käyttäjien hallinta
Palvelu ei tue kaksivaiheista tunnistusta tai käyttäjätietojen federointia ulkoiseen palveluun. Tuki kaksivaiheiselle todennukselle on vastausmateriaalin mukaan kehitteillä.
Palvelu tukee käyttäjäoikeuksien hallintaa ja rajoittamista. Erillisten käyttäjäoikeuksien määrittely on palvelussa pakollista. Käyttäjien toimista ja tietojen katselusta on saatavilla jäljitysloki.
Arvioinnin aikana havaitsimme puutteen palvelun salasanojen hallintakäytännöissä. Salasanojen hallintaan käytetty teknologia ei ollut ajantasainen arvioinnin aikaisten yleisesti hyväksyttyjen käytäntöjen mukaan, mutta yrityksellä oli toimintasuunnitelma puutteen korjaamiseksi. Puutetta ei nähty käyttöönottoa estäväksi, mutta asiakasorganisaation tulisi tiedostaa vanhentuneisiin salasanojen hallintakäytäntöihin liittyvät riskit.
Laitteisto
Smila-lääkeannostelija suorittaa ohjelmistopäivitykset automaattisesti ennalta laaditun aikataulun mukaisesti. Päivityksistä ilmoitetaan asiakasorganisaatioille etukäteen. Päivitykset ovat digitaalisesti allekirjoitettuja, ja niiden aitous ja oikeus varmistetaan osana päivitysprosessia. Laitevalmistaja voi hallita ja päivittää laitteita verkkoyhteyden kautta.
Laite käyttää Bluetooth 4.0-, GSM- ja WiFi-yhteyksiä. WiFi-verkkoa käytettäessä sen tietoturvallinen määrittäminen on asiakasorganisaation vastuulla.
Laitteet on kovitettu fyysistä peukalointia vastaan.
Tietosuoja
Tamro Oy toimii yhdessä laitetoimittajan kanssa tietojen käsittelijänä (data processor). Asiakasorganisaatio toimii rekisterinpitäjänä (data controller). Tämän seurauksena asiakasorganisaatio omistaa rekisteritiedot ja GDPR:n vaatima tietosuojavaikutusten arviointi on asiakasorganisaation vastuulla.
Palvelussa säilytettäviä tietoja säilytetään Euroopan talousalueen sisällä salattuna. Laitteisiin tallennetut tiedot on salattu levossa. Palvelun eri osat tallentavat mahdollisimman vähän henkilötietoja tietojen keräyksen minimointiperiaatteen mukaisesti.
Muuta huomioitavaa
Palvelu toimii vain SaaS (Software as a Service) -palvelumallina.
Arviointi sisältää vain Smila-lääkeannostelijayksikön ja pilvipalvelun tietoturvan ja -suojan arvioinnin. Laitteen mahdolliset lisäosat, lisäpalvelut tai integraatiot eivät kuulu tämän arvioinnin piiriin ja ne täytyy arvioida erikseen, jos asiakasorganisaatio ottaa sellaisia käyttöön.
Lisäksi suosittelemme, että sairaanhoitopiirit käyttävät tukena hankinnoissa Euroopan unionin kyberturvallisuusviraston (ENISA) tietoturvaopasta sairaaloiden hankinnoille.10
