Ongelma: IT-turvallisuus akkreditoinnin esteenä
ISO/IEC 17025:2018 -standardin mukaista akkreditointia hakevat tutkimuslaboratoriot kohtaavat vakavan haasteen: miten tietojärjestelmän tietoturva dokumentoidaan?
PCA:n (Puolan kansallinen akkreditointielin) arvioijat kysyvät:
- ”Onko tiedot suojattu luvattomalta käytöltä?”
- ”Miten varmistatte testitulosten eheyden?”
- ”Missä varmuuskopioita säilytetään?”
- ”Kenellä on pääsy järjestelmään ja millä perusteella?”
- ”Miten reagoitte tietoturvapoikkeamiin?”
Laboratorioiden johtajien tyypillinen reaktio: ”Nämähän ovat kysymyksiä ohjelmistotoimittajalle, eikö niin?”
Ongelma:
Monet laboratoriot ottavat LIMS-järjestelmän käyttöön ilman asianmukaista palvelusopimusta, jossa määritellään tietoturvaperiaatteet. Tämän vuoksi ne eivät akkreditointiarvioinnissa pysty esittämään dokumentaatiota, joka osoittaisi standardin vaatimusten täyttymisen.
Ratkaisu: ammattimainen palvelusopimus tietoturvan perustana
Keskeistä tietoa:
Hyvin laadittu palvelusopimus LIMS-järjestelmän toimittajan kanssa kattaa automaattisesti noin 70 % ISO/IEC 17025 -standardin asettamista tietoturvavaatimuksista.
Miksi? Koska suurin osa tietoturvatoimista kohdistuu infrastruktuuriin ja järjestelmän hallintaan – alueisiin, joista ohjelmistotoimittaja vastaa.
Katsotaan, miten tämä toimii käytännössä, esimerkkinä CleverLAB-järjestelmä.
Palvelusopimuksen kattamat 10 keskeistä tietoturva-aluetta
1. ISO 27001 -sertifioitu palvelininfrastruktuuri
Arvioijan vaatimus:
”Missä tietojamme säilytetään? Onko konesali turvallinen?”
Mitä toimittaja takaa:
- Ammattimainen konesali, jolla on ISO 27001 -sertifikaatti
- Tier III -taso tai korkeampi (99,982 %:n käytettävyys)
- Fyysinen turvallisuus: valvonta ympäri vuorokauden, biometrinen kulunvalvonta
- Sammutusjärjestelmät ja tarkkuusilmastointi
- Kahdennetut internetyhteydet
Hyöty laboratoriolle: Sinun ei tarvitse investoida omaan palvelinhuoneeseen eikä huolehtia infrastruktuurin fyysisestä turvallisuudesta. Riittää, että dokumentoit toimittajalla olevan asianmukaiset sertifikaatit.
2. Tietojen salaus kaikilla tasoilla
Arvioijan vaatimus:
”Miten tiedot suojataan siirron ja tallennuksen aikana?”
Mitä toimittaja takaa:
- Tiedonsiirron salaus: SSL/TLS-varmenne (HTTPS-protokolla)
- Salasanojen salaus: bcrypt- tai SHA-256-algoritmit
- Varmuuskopioiden salaus: kaikki varmuuskopiot salataan
- Tiedot EU:ssa: GDPR-vaatimustenmukaisuus
3. Automaattiset varmuuskopiot ja testatut palautusmenettelyt
Arvioijan vaatimus:
”Mitä tapahtuu, jos palvelin vikaantuu? Ovatko tiedot turvassa?”
Mitä toimittaja takaa:
- Päivittäiset varmuuskopiot tietokannasta (automaattisesti)
- Viikoittaiset varmuuskopiot, joita säilytetään 3 kuukautta
- Kuukausittaiset varmuuskopiot, joita säilytetään 1 vuoden
- Maantieteellinen erottelu: varmuuskopiot erillisessä sijainnissa
- Säännölliset testit tietojen palautusmenettelyille
- Salaus kaikille varmuuskopioille
Hyöty: Sinun ei tarvitse muistaa ottaa varmuuskopioita eikä huolehtia tietojen menettämisestä. Järjestelmä on suojattu yritystasolla.
4. RBAC-käyttöoikeusjärjestelmä – kuka näkee mitä?
Arvioijan vaatimus:
”Miten hallitsette pääsyä arkaluonteisiin tietoihin?”
Mitä CleverLAB-järjestelmä takaa:
- Role-Based Access Control (RBAC) – roolipohjaiset käyttöoikeudet
- Yksittäiset käyttöoikeudet (esim. ”lisää näyte”, ”muokkaa tulosta”, ”hyväksy seloste”)
- Käyttöoikeusryhmät (esim. ”Laboratorioteknikko”, ”Esihenkilö”, ”Ylläpitäjä”)
- Tietojen erottelu asiakkaiden välillä
- Välitön käytöstä poisto työntekijöiden tileille
Tyypilliset roolit laboratoriossa:
- Ylläpitäjä – täysi pääsy järjestelmän määrityksiin
- Laboratorionjohtaja – johtaminen, raportit, hyväksynnät
- Analyytikko – tulosten syöttäminen ja tarkastelu
- Hyväksyjä – testausselosteiden hyväksyntä
- Katselija – vain lukuoikeus
5. Täydellinen kirjausketju – kuka, milloin, mitä muuttui
Arvioijan vaatimus:
”Voitteko näyttää testitulosten muutoshistorian?”
Mitä järjestelmä takaa:
- Kaikkien sisään- ja uloskirjautumisten lokitus
- Epäonnistuneiden kirjautumisyritysten tallentaminen
- Kriittisten tietojen muutosten seuranta (testitulokset, todistukset)
- Hallinnollisten toimenpiteiden lokitus
- Metatiedot jokaiselle tietueelle: created_by, created_date, verified_by, verified_date
Lokien säilytys:
- Vähintään 2 vuotta (tai akkreditointivaatimusten mukaisesti)
- Suojattu muutoksilta
- Mahdollisuus tuottaa raportteja arvioijille
6. Parhaiden käytäntöjen mukainen salasanakäytäntö
Mitä järjestelmä edellyttää:
- Vähimmäispituus: 8 merkkiä
- Monimutkaisuus: kirjaimia, numeroita, erikoismerkkejä
- Ei toistoja: viimeaikaisia salasanoja ei voi käyttää uudelleen
- Automaattinen lukitus määritetyn epäonnistuneiden yritysten määrän jälkeen
- Automaattinen uloskirjaus käyttämättömyysjakson jälkeen
7. Valvonta ympäri vuorokauden ja poikkeamiin reagointi
Mitä toimittaja takaa:
- Järjestelmän käytettävyyden valvonta ympäri vuorokauden
- Automaattiset hälytykset poikkeavuuksista
- Haavoittuvuusskannaukset
- Poikkeamien käsittelymenettely, jossa ilmoitus tehdään 24 tunnin kuluessa
- Jokaisen poikkeaman dokumentointi juurisyyanalyyseineen
8. GDPR-vaatimustenmukaisuus ja henkilötietojen suoja
Mitä toimittaja takaa:
- Tietojenkäsittelysopimus (GDPR:n edellyttämä)
- Tiedot tallennetaan EU:ssa sijaitseville palvelimille
- Menettelyt rekisteröityjen oikeuksien toteuttamiseksi (oikeus tietojen poistamiseen, oikaisuun jne.)
- Seloste käsittelytoimista
- Menettelyt tietoturvaloukkauksista ilmoittamiseksi
9. Säännölliset tietoturvapäivitykset
Mitä toimittaja takaa:
- Käyttöjärjestelmän ja ohjelmistojen säännölliset päivitykset
- Kriittiset korjaukset asennetaan ensisijaisesti
- Testaus ennen tuotantokäyttöönottoa
- Asiakkaille tiedottaminen suunnitelluista huoltotöistä
10. SLA ja taattu käytettävyys
Mitä palvelusopimus takaa:
- Taattu käytettävyys (SLA): tyypillisesti vähintään 99,5 %
- Palautumisaikatavoite (RTO, Recovery Time Objective): sovitaan erikseen (esim. 4 tuntia)
- Palautuspistetavoite (RPO, Recovery Point Objective): sovitaan erikseen (esim. enintään 24 tunnin tietojen menetys)
- Tukipalvelu (helpdesk) käytettävissä virka-aikana
- Hätäyhteys SLA-sopimuksen mukaisesti
Mitä laboratorion on vielä tehtävä itse? (30 % vaatimuksista)
Vaikka palvelusopimus kattaa suurimman osan teknisistä vaatimuksista, laboratorio vastaa edelleen seuraavista:
1. Käyttäjien hallinta
- Työntekijöiden tilien luominen ja käytöstä poistaminen
- Asianmukaisten roolien ja käyttöoikeuksien määrittäminen
- Aktiivisten käyttäjien luettelon säännöllinen tarkistaminen
2. Organisaation toimintaperiaatteet
- Järjestelmän käyttöoikeuksien myöntämismenettely
- Laboratorion tietoturvapolitiikka
- Työntekijöiden koulutus järjestelmän käyttöön
3. Dokumentaatio
- Käyttöohjeet
- Vikatilanteiden käsittelymenettelyt
- Vastuuhenkilöiden nimeäminen (järjestelmän ylläpitäjä)
4. Paikallinen valvonta
- Käyttäjien epätavallisen toiminnan seuranta
- Poikkeamista ilmoittaminen toimittajalle
- Yhteistyö sisäisissä auditoinneissa
Miten se toimii käytännössä – tapaustutkimus
Mikrobiologian laboratorio, 15 työntekijää, hakee PCA-akkreditointia
| Näkökohta | Ennen CleverLABia | CleverLABin jälkeen |
|---|---|---|
| Järjestelmä | Excel + paperidokumentaatio | LIMS-järjestelmä ja täydellinen dokumentaatio |
| Muutoslokit | Ei ole | Täydellinen kirjausketju |
| Käyttöoikeuksien hallinta | Kaikilla on pääsy kaikkeen | RBAC-käyttöoikeusjärjestelmä |
| Varmuuskopiot | Manuaaliset, epäsäännölliset | Automaattiset, päivittäiset |
| Dokumentaation laatimiseen kuluva aika | 2–3 kuukautta | 2 päivää |
| Tietoturvadokumentaation kustannus | 15 000–30 000 PLN | 0 PLN (sisältyy hintaan) |
| PCA:n arvioijan arvio | ”Järjestelmä ei ole hyväksyttävä” | ”Täyttää kaikki vaatimukset” |
Palvelusopimus kilpailuetuna
Ammattimainen palvelusopimus ei ole pelkkä akkreditointivaatimus – se on laboratorion liiketoiminnan jatkuvuuden tae.
Mitä hyvän palvelusopimuksen pitäisi sisältää?
- Infrastruktuurin yksityiskohtainen kuvaus (hosting, sertifikaatit, varmuuskopiointi)
- Taattu käytettävyys (SLA)
- Tietoturvamenettelyt (salaus, käyttöoikeuksien hallinta, valvonta)
- Poikkeamien hallinta (vasteaika, eskalointi)
- GDPR-vaatimustenmukaisuus (tietojenkäsittelysopimus)
- Tekninen tuki (helpdesk, vasteaika)
- Tietoturvapäivitykset (aikataulu, testaus)
- Vastuunjako (kuka vastaa mistäkin)
CleverLAB ja kokonaisvaltainen tietoturva
CleverLAB-järjestelmä on suunniteltu ISO/IEC 17025:2018 -standardin vaatimukset huomioiden. Jo vakiomuotoisessa käyttöönottosopimuksessa saat:
Tämä tarkoittaa, että voit esittää arvioijalle järjestelmän täydellisen tietoturvadokumentaation heti ensimmäisenä päivänä käyttöönoton jälkeen.
Lisäpalvelut: laboratorioiden IT-tietoturva-auditoinnit
Vakiomuotoisen palvelusopimuksen lisäksi tarjoamme myös:
🔍 Laboratorion IT-tietoturva-auditointi
- Nykyisen tietoturvatilanteen arviointi
- Puutteiden ja uhkien tunnistaminen
- Akkreditointivaatimuksiin räätälöidyt suositukset
- Raportti PCA:n arvioijalle
🔍 Akkreditointiarviointiin valmistautuminen
- Tietoturvadokumentaation tarkistus
- Arvioijan kysymysten simulointi
- Henkilöstön koulutus järjestelmän tietoturvasta
🔍 Tunkeutumistestaus (valinnainen)
- Järjestelmän hyökkäyksenkestävyyden testaus
- Raportti havaituista haavoittuvuuksista
- Korjaavien toimenpiteiden suunnitelma
Yhteenveto: tietoturvan ei tarvitse olla kallista eikä monimutkaista
Keskeiset johtopäätökset:
- Ammattimainen palvelusopimus LIMS-toimittajan kanssa täyttää 70 % akkreditoinnin tietoturvavaatimuksista
- Sinun ei tarvitse olla IT-asiantuntija ottaaksesi käyttöön turvallisen järjestelmän – toimittaja toimittaa valmiin infrastruktuurin ja dokumentaation
- Tietoturvadokumentaation kustannus: 0 PLN (sisältyy hintaan) vs. 15 000–30 000 PLN (ulkopuolinen asiantuntija)
- Valmisteluaika: 2 päivää (tarkistus) vs. 2–3 kuukautta (laatiminen alusta)
- Palvelusopimus on investointi, ei kustannus – se varmistaa liiketoiminnan jatkuvuuden ja standardin vaatimustenmukaisuuden
Haluatko tietää lisää?
Voimme käydä jokaisen 10 tietoturva-alueen läpi yksityiskohtaisesti tapaamisessa tai erillisessä PDF-asiakirjassa
Yksittäiset aiheet edellyttävät yksityiskohtaisia selvityksiä ja sopimista. Tarjoamme myös laboratoriojärjestelmien IT-tietoturva-auditointeja.
Aiheeseen liittyvät artikkelit
LIMS-järjestelmän ISO/IEC 17025 -vaatimustenmukaisuus
Kattava opas standardin vaatimuksiin ja siihen, miten LIMS-järjestelmät täyttävät ne
Tietojen suojaus LIMS-järjestelmissä
Miten laboratorion arkaluonteiset tiedot suojataan kyberuhilta
LIMS-järjestelmän käyttöönotto
Käytännön opas laboratorion hallintajärjestelmän käyttöönottoprosessiin
Tietoa kirjoittajasta
Tämä artikkeli perustuu monivuotiseen kokemukseen LIMS-järjestelmien suunnittelusta akkreditoiduille laboratorioille. Tiimimme yhdistää IT-tietoturvaosaamisen ja käytännön tuntemuksen ISO/IEC 17025 -standardin vaatimuksista.
Olemme tehneet kymmeniä IT-tietoturva-auditointeja laboratorioissa ja tukeneet monia laboratorioita PCA-akkreditoinnin saamisessa ja ylläpitämisessä.
Tärkein oppi
Sinun ei tarvitse olla kyberturvallisuuden asiantuntija täyttääksesi akkreditointivaatimukset. Hyvin laadittu palvelusopimus LIMS-järjestelmän toimittajan kanssa tuo automaattisesti ammattimaisen, yritystason tietoturvan – murto-osalla siitä, mitä IT-asiantuntijan palkkaaminen tai oman infrastruktuurin rakentaminen maksaisi.