SFS-EN ISO 27799:2016

Tässä kansainvälisessä standardissa esitetään organisaation tietoturvastandardeja ja tietoturvallisuuden hallintakäytänteitä koskevaa ohjeistusta, johon sisältyy hallintakeinojen valinta, toteuttaminen ja hallinta ottaen huomioon organisaation tietoturvallisuuden riskiympäristöt.
Tässä kansainvälisessä standardissa määritellään ohjeet, jotka tukevat standardin ISO/IEC 27002 tulkitsemista ja toteuttamista terveydenhuollon toimialalla, ja tämä standardi toimii kyseistä kansainvälistä standardia täydentävänä oppaana.4
Tämän kansainvälisen standardin nykyinen painos tarjoaa standardissa ISO/IEC 27002 esitettyjä hallintakeinoja koskevaa ohjeistusta, ja standardissa annetaan tarvittaessa täydentävää ohjeistusta, jotta hallintakeinoja voidaan hyödyntää terveydenhuollon tietoturvallisuuden vaikuttavaan hallintaan. Soveltamalla tätä kansainvälistä standardia terveydenhuollon organisaatiot ja muut terveystietoja säilyttävät tahot kykenevät varmistamaan, että organisaation kannalta asianmukainen vähimmäisturvallisuustaso on toteutettu ja että organisaation käytössä olevien henkilökohtaisten terveystietojen luottamuksellisuus, eheys ja saatavuus kyetään säilyttämään.
Tämä kansainvälinen standardi koskee terveystietoja kokonaisuudessaan riippumatta tiedon muodosta (sanoja, numeroita, äänitallenteita, piirroksia, videota ja lääketieteellisiä kuvia), tallennustavasta (tulostettuna tai kirjoitettuna paperille, tallennettuna sähköisesti) ja siirtokeinosta (kädestä käteen, faksilla, tietoverkossa tai postissa), sillä tiedon on aina oltava asianmukaisesti suojattua.
Tämä kansainvälinen standardi ja standardi ISO/IEC 27002 yhdessä määrittelevät, mitä terveydenhuollon tietoturvallisuudelta vaaditaan, mutta eivät sitä, miten nämä vaatimukset pitää täyttää. Tällä tarkoitetaan sitä, että tämä kansainvälinen standardi on mahdollisimman pitkälti riippumaton teknologisista ratkaisuista. Riippumattomuus toteutusteknologioista on tärkeä ominaisuus. Turvallisuusteknologioiden kehitys on yhä nopeaa, ja muutosvauhti mitataan nykyään kuukausissa eikä niinkään vuosissa. Vaikka kansainvälisiä standardeja uudistetaan säännöllisesti, niiden oletetaan kuitenkin pysyvän voimassa vuosia. Riippumattomuus teknologioista mahdollistaa myös sen, että myyjät ja palveluntuottajat voivat ehdottaa uusia ja kehittyviä teknologioita, jotka täyttävät tässä kansainvälisessä standardissa kuvaillut vaatimukset.
Kuten johdannossa todettiin, tutustuminen standardiin ISO/IEC 27002 on välttämätöntä tämän kansainvälisen standardin ymmärtämisen kannalta.
Seuraavat tietoturvallisuuden osa-alueet eivät sisälly tämän kansainvälisen standardin soveltamisalaan:
a) henkilökohtaisen terveystiedon vaikuttavaan anonymisointiin käytettävät menettelyt ja tilastolliset testit
b) henkilökohtaisen terveystiedon pseudonymisoinnin menettelyt (Kirjallisuudessa on lyhyt kuvaus teknisestä spesifikaatiosta, joka käsittelee tätä asiaa)
c) terveydenhuollon tietotekniikassa käytettyjen verkkojen palvelutaso sekä verkon saatavuuden mittaamisen menetelmät
d) tiedon laatu (erotuksena tiedon eheydestä).

Tämän julkaisun valmistelusta Suomessa vastaa SFS Suomen Standardit, puh. 09 149 9331.

19.08.2016

13.12.2016

1

216

suomi/englanti