Sitras utlåtande till Findata om krav som ska ställas på informationssäkra driftmiljöer hos andra tjänsteleverantörer

Utlåtandet har getts 23.6.2020.

Utlåtande av jubileumsfonden för Finlands självständighet Sitra till Tillståndsmyndigheten för användning av social- och hälsovårdsdata Findata

KRAV SOM SKA STÄLLAS PÅ INFORMATIONSSÄKRA DRIFTMILJÖER HOS ANDRA TJÄNSTELEVERANTÖRER

Begäran om utlåtande: THL/2492/4.00.00/2020

Cirkulär

Ert utlåtande om denna punkt:

Som helhet ska informationssäkerheten bedömas riskbaserat. Miljön hos datatillståndsmyndigheten är avsedd för mycket omfattande material, som på grund av ackumuleringseffekten är i behov av ett högt tekniskt skydd.

Föreskriften ska framför allt stödja sekundärlagens syfte att (1 §) …/möjliggöra en effektiv och informationssäker behandling av personuppgifter som har registrerats i social- och hälsovårdsverksamhet…/. Kraven som ställs på informationssäkra behandlingsmiljöer ska således vara rätt dimensionerade med en verkställighet som är möjliggörande och effektiv. Kravspecifikationer som är fel dimensionerade eller som försvårar det praktiska arbetet oskäligt mycket kan de facto försämra informationssäkerheten.

1.1 Operativ allmän beskrivning

Den operativa allmänna beskrivningen är ändamålsenlig:

Delvis av samma åsikt

Ert utlåtande om denna punkt:

Kravnivån är ett bra mål i sig, men det finns en risk för att lösningen blir för krävande, tung och dyr.

Allmänt taget finns det skäl att beakta de skyddsnivåer som olika informationskategorier kräver. De tekniska lösningarna ska tas fram i enlighet med de i lagen fastställda kraven och informationens användningsändamål.

De tekniska specifikationerna bör skapa ramvillkor för informationssäker användning. Tjänster i driftmiljöer som stämmer överens med dessa ramvillkor kan produceras av flera tjänsteleverantörer, vilka kan vara både privata och offentliga.

1.2 Teknisk arkitektur

Den tekniska arkitekturen är ändamålsenlig:

Delvis av annan åsikt

Ert utlåtande om denna punkt:

Beskrivningen av arkitekturen lyfter inte fram det faktum att det kan finnas flera informationssäkra driftmiljöer. Syftet med sekundärlagen är inte att det endast skulle finnas en nationell informationssäker driftmiljö som fungerar i samband med Findata.

Beskrivningen av arkitekturen strider således mot sekundärlagens andemening.

1.3 Definitioner

Ert utlåtande om denna punkt:

I definitionerna saknas andra tjänsteleverantörers perspektiv.

1.4 Tjänsteleverantörer i driftmiljöerna

Ert utlåtande om denna punkt:

Med tanke på resurseffektiviteten vore det viktigt att det finns många tjänsteleverantörer, såväl offentliga som privata. Kriterierna bör möjliggöra detta.

1.5 Betrodda identifikationsfederationer

Ert utlåtande om denna punkt:

Identifieringssystemen bör även möjliggöra säker åtkomst till systemet för utländska aktörer.

2.1.2 Krav som datatillståndsmyndigheten ställt:

Kraven gällande identifiering är ändamålsenliga:

Delvis av annan åsikt

Ert utlåtande om denna punkt:

Kravnivån är ett bra mål i sig, men det kan finnas en risk för att lösningen blir för krävande och tung. Identifieringssystemen bör även möjliggöra säker åtkomst till systemet för utländska aktörer.

2.2.2 Krav som datatillståndsmyndigheten ställt:

Kraven gällande användare och behörighetshantering är ändamålsenliga:

Delvis av annan åsikt

Ert utlåtande om denna punkt:

Kravnivån är ett bra mål i sig, men det kan finnas en risk för att lösningen blir för krävande och tung. Identifieringssystemen bör även möjliggöra säker åtkomst till systemet för utländska aktörer.

2.3.2 Krav som datatillståndsmyndigheten ställt:

Kraven gällande skydd av miljön är ändamålsenliga:

Delvis av annan åsikt

Ert utlåtande om denna punkt:

Kraven gällande den primära användningen av information är lättare än gällande den sekundära användningen. Till exempel är de godkända informationssäkerhetskraven på informationssystem som används inom hälso- och sjukvården lättare än de krav på sekundär användning som föreslås här. I förslaget bör den nuvarande nivån och befintliga rutiner beaktas och en realistisk väg mot en informationssäker driftsmiljö byggas upp ovan på dessa.

Lösningen för en informationssäker driftsmiljö bör också beakta att det ska kunna finnas flera tjänsteleverantörer.

På ett allmänt plan använder europeiska offentliga aktörer som redan behandlar känsliga data redan informationssäkra molntjänstlösningar, som är kostnadseffektiva och vars informationssäkerhet utvecklas ständigt.

2.4.2 Krav som datatillståndsmyndigheten ställt:

Kraven gällande loggning är ändamålsenliga:

Delvis av samma åsikt

Ert utlåtande om denna punkt:

Kravnivån är ett bra mål i sig, men det kan finnas en risk för att lösningen blir för krävande och tung.

2.5.1 Krav som datatillståndsmyndigheten ställt:

Kraven gällande tillsyn är ändamålsenliga:

Helt av samma åsikt

Ert utlåtande om denna punkt:

Inget att kommentera

2.6.1 Krav som datatillståndsmyndigheten ställt:

Kraven gällande borttagning av material är ändamålsenliga:

Helt av samma åsikt

Ert utlåtande om denna punkt:

Även krav gällande arkivering, i synnerhet arkivering av samhälleligt viktigt material, bör beaktas.

2.7.1 Krav som datatillståndsmyndigheten ställt:

Kraven gällande administration och tillsyn över miljön är ändamålsenliga:

Delvis av annan åsikt

Ert utlåtande om denna punkt:

Kravnivån är ett bra mål i sig, men det kan finnas en risk för att lösningen blir för krävande och tung.

3.1.2 Krav som datatillståndsmyndigheten ställt:

De allmänna kraven gällande en aktörs pålitlighet är ändamålsenliga:

Delvis av annan åsikt

Ert utlåtande om denna punkt:

Kravnivån är ett bra mål i sig, men det finns en risk för att lösningen blir för krävande och tung.

Det vore bra att i förslaget precisera vad som avses med punkt tre (Tjänsteleverantören ska omfattas helt av Finlands lagstiftning och kunna övervakas av Tillstånds- och tillståndsverket för social- och hälsovården). Även EU-lagstiftningens utveckling ska beaktas.

3.2.1 Krav som datatillståndsmyndigheten ställt:

Kraven gällande dataskydd är ändamålsenliga:

Helt av samma åsikt

Ert utlåtande om denna punkt:

Inget att kommentera

3.3.1 Krav som datatillståndsmyndigheten ställt:

Kraven gällande lokaler är ändamålsenliga:

Helt av annan åsikt

Ert utlåtande om denna punkt:

Kraven gällande den primära användningen av information är lättare än gällande den sekundära användningen. Till exempel är de godkända informationssäkerhetskraven på informationssystem som används inom hälso- och sjukvården lättare än de krav på sekundär användning som föreslås här. I förslaget bör den nuvarande nivån och befintliga rutiner beaktas och en realistisk väg mot en informationssäker driftsmiljö byggas upp ovan på dessa.

Lösningen för en informationssäker driftsmiljö bör också beakta att det ska kunna finnas flera tjänsteleverantörer. Den tekniska utvecklingen, till exempel i fråga om molntjänstlösningar, bör beaktas. Det finns en risk för att den föreslagna lösningen kommer att lamslå forskningsverksamheten totalt. Lösningen ska även beakta forskningsprojekt på olika nivåer, något som det aktuella förslaget inte gör.

3.4.1 Krav som datatillståndsmyndigheten ställt:

Kraven gällande personal är ändamålsenliga:

Helt av samma åsikt

Ert utlåtande om denna punkt:

Inget att kommentera

4 Centrala processteg i en informationssäker driftmiljö

Kraven gällande centrala steg i processen är ändamålsenliga:

Delvis av annan åsikt

Ert utlåtande om denna punkt:

Kravnivån är ett bra mål i sig, men det kan finnas en risk för att lösningen blir för krävande och tung. Nuläget bör beaktas och en realistisk, genomförbar väg ska skapas i fråga om såväl resurser som tidsplan mot den vision som denna föreskrift beskriver.