Tõenäoliselt on iga inimese suurim õudusunenägu näha oma arvuti ekraanilt teadet, et teda on häkitud. Just nii juhtus tänavu enam kui 300 Eesti tervishoiuteenuse pakkujale. Nimelt selgus, et neile ühiselt infosüsteemi teenust pakkuva ettevõtte andmebaasi oli sisse murtud. Seega näitab see lugu, miks on AML hoolsuskohustus teenusepakkuja valikul sama oluline kui sinu ettevõtte enda sisemine vastavus.
Täpsemalt selgus, et hambaravi infosüsteemi teenust pakkuva ettevõtte Innovaatik andmebaasist laaditi alla patsientide isikuandmeid ja terviseandmeid. Puudutatud oli üle 300 Eesti tervishoiuteenuse pakkujat, kes ise ei olnud teinud midagi valesti. Viga sündis hoopis nende ühises teenusepakkuja süsteemis.
Kui sina vastutad oma ettevõttes rahapesu tõkestamise ja sanktsioonide järgimise eest, siis tasub sellel juhtumil hetkeks peatuda. Tegelikult pole see lugu üldse hambaravist.
AML hoolsuskohustus teenusepakkuja suhtes on sama tugev kui sinu enda süsteem
Hambaarstid ei pidanud ise serverit haldama ega turvaauke sulgema. Nad andsid selle ülesande teenusepakkuja kätte, sest nii toimib iga mõistlik ettevõte. Ent just see usaldus osutus nõrgaks lüliks. Patsiendi jaoks pole vahet, kas tema andmed lekkisid arsti enda kabinetist või tema tarkvarapartneri serverist. Nii või teisiti, kahju on sama.
Sinu ettevõttes kehtib täpselt sama loogika, sest AML hoolsuskohustus teenusepakkuja suhtes ei erine sisuliselt sinu enda hoolsuskohustusest. Võid olla ehitanud üles korraliku sisekontrolli. Samuti võid olla rakendanud hoolsusmeetmeid tegeliku kasusaaja tuvastamisel ja kontrollinud klienti riikliku taustaga isikute nimekirjade vastu täpselt õigel ajal. Näiteks võib kliendi isikutuvastus käia kaugkontrolli teenusepakkuja platvormil, taustakontrolli andmed lebada kolmanda osapoole pilves või dokumendihaldus olla antud tarkvarafirma kätte. Sellisel juhul on sinu hoolsuskohustus paratamatult laienenud ka sellele partnerile. Seetõttu ei tohi riskipõhine lähenemine peatuda sinu enda kontoriukse taga.
AML hoolsuskohustus teenusepakkuja valimisel: mida küsida enne, kui hinnast räägid
Teenusepakkuja valik ongi riskiotsus juba ammu enne seda, kui jõuad hinna ja funktsioonide juurde. Enne kui usaldad kliendi andmed kaugkontrolli, dokumendihalduse või mõne muu lahenduse hooleks, tasub esitada teenusepakkujale mõned täpsed küsimused. Kes tema süsteemis andmetele ligi pääseb? Kuidas ligipääsu logitakse? Kas varem on ette tulnud turvaintsidente? Näiteks selgus Innovaatiku juhtumis, et kahtlustataval oli ettevõttega varasem seos. See tuletab meelde: ka endiste töötajate ja koostööpartnerite juurdepääsu õigeaegne sulgemine on turvalisuse osa, mitte tühipaljas formaalsus.
Lisaks on sama oluline lepingu sisu. Kes vastutab rikkumise korral? Mis tähtaja jooksul sind teavitatakse? Kas sul on õigus teenusepakkuja turvalisust auditeerida? Need küsimused tuleb kokku leppida enne koostöö algust, mitte pärast intsidenti. Riigiprokurör Vahur Verte tabas asja tuuma. Tema sõnul saab varastatud parooli hõlpsalt vahetada, kuid lekkinud raviajalugu või tegelikku kasusaajat puudutavat teavet enam tagasi ei saa.
Usaldus on jagatud vastutus
Isegi kui täidad AML hoolsuskohustus teenusepakkuja suhtes iga nõude laitmatult, võid jääda ahela nõrgimaks lüliks, kui usaldad kliendi tundlikud andmed kontrollimata teenusepakkujale. Nimelt näitas Innovaatiku juhtum, kui kiiresti suudab ühe partneri turvaauk kahjustada sadu, kes olid ise kõik õigesti teinud. Sinu enda hoolsuskohustus, riskihindamine ja andmekaitse on tugevad vaid seni, kuni tugev on ka sinu partner. Sest lõpptulemus sõltub sellest, kelle kätte sa oma klientide andmed usaldad.