Tietoturvastrategiat terveydenhuollon organisaatioissa

Abstract

The role of information systems in today’s organization’s business processes is increasing. At the same time the role of information security as business enabler and protector is increasing. Continually evolving technologies and attack methods creates a need to think the information security as a strategic problem, as organizations aims to protect their business within their available resources. The concept of information security strategy is fairly new concept and it has been given multiple different definition in prior literature and practice. This research aims to clarify the concept and study information security strategies in healthcare context. The objectives of information security can differ in healthcare sector when compared to other sectors. In healthcare employees’ values, legal requirements and the aim to improve the well-being of citizens can create challenges for strategic information security planning. This study used case study as a research method to understand this phenomenon in its natural setting in public healthcare organizations. Based on the findings, information security has important role in the study cases, but information security strategies are not being used to plan and maintain organizations’ information security practices, although prior information security literature has highlighted the possible benefits of the strategies. The lack of clear benefits compared to information security policies and risk management could explain why organizations have not created these strategies. Based on the findings and prior literature this thesis proposed factors (i.e. business needs, risks, culture, legal compliance and information systems) that organizations need to consider while creating information security strategy. Despite the lack of clear benefits, the proposed model of this research could help organizations to move toward strategic approach to information security and improve and maintain their overall security posture.

Tietojärjestelmien roolin kasvaessa tämän päivän organisaatioiden liiketoiminnassa, myös tietoturvan merkitys liiketoiminnan turvaajana ja mahdollistajana kasvaa. Teknologian ja hyökkäysmenetelmien kehityksen seurauksena tietoturvan rooli strategisena ongelmana korostuu, organisaatioiden pyrkiessä turvaamaan omat liiketoimintaprosessit käytössä olevien resurssien puitteissa. Tietoturvastrategia on kuitenkin suhteellisen uusi konsepti tietoturvakirjallisuudessa ja se on voinut saada hyvinkin erilaisia määritelmä niin kirjallisuudessa kuin käytännössä. Tämä tutkimus pyrkii selkeyttämään tätä konseptia ja selvittämään tietoturvastrategioiden roolia terveydenhuolto-organisaatioissa, joiden toiminnan tavoitteet voivat erota suuresti muiden alojen vastaavista. Terveydenhuolto alalla muun muassa henkilöstön ammatilliset arvot, alan tarkka säätely ja pyrkimys väestön terveyden edistämiseen voi luoda oman haasteensa tietoturvan strategiselle suunnittelulle. Tutkimuksessa hyödynnettiin tutkimusmenetelmänä tapaustutkimusta, joka mahdollisti ilmiön tutkimisen sen luonnollisessa kontekstissa julkisen terveydenhuollon organisaatioissa. Tutkimuksen tulosten perusteella tietoturvalla oli keskeinen rooli tapauksissa, mutta tietoturvastrategiaa ei hyödynnetty tietoturvan suunnittelussa ja kehityksessä, vaikka tietoturvakirjallisuus on nostanut esille strategiasta mahdollisesti saatavia hyötyjä. Tietoturva- strategioiden puute voi johtua niiden selkeiden hyötyjen puutteella suhteessa esimerkiksi tietoturvapolitiikkaan ja riskienhallintaan. Tutkimuksen tulosten ja aiemman tietoturvastrategiaan keskittyvän kirjallisuuden pohjalta tutkimuksessa esitettiin huomioitavia tekijöitä, kuten liiketoiminnalliset tarpeet, riskit, kulttuuri, lainsäädäntö ja tietojärjestelmät, jotka terveydenhuolto-organisaation tulisi ottaa huomioon päättäessään kehittää tietoturvastrategia. Puutuvista selkeistä tietoturvastrategian hyödyistä huolimatta, tässä tutkimuksessa esitetty viitekehys voi auttaa organisaatiota kohti strategisempaa lähestymistapaa tietoturvan suunnitteluun ja toteutukseen.