Assessing awareness of Finnish healthcare personnel against phishing and ransomware attacks

Abstract

With ever increasing frequency and impacts of cyber-attacks, cyber security is more needed than ever. Cyber security applies in all domains with networked computers However, depending on the field the consequences that can arise from a successful cyber-attack differ. Equipment downtime due to a cyber-attack in the healthcare sector can lead to situation where patients in critical situation cannot receive the due treatment on time.

The goal of this thesis is to assess the current awareness of the Finnish social and healthcare personnel against phishing and ransomware attacks. To assess the awareness level, a survey was conducted surveying personnel working in Finnish healthcare companies with 204 respondents participating in the survey.

Findings from the survey identify reveal that a quarter of the respondents never had any kind of cyber security training and out of those 86 % agree that they needed to handle confidential data to perform their work. Additionally, there was a clear agreement that more cyber security training was needed at work. The results also reveal that there is confidence that additional trainings can improve the overall cyber security of the organization.

Kyberhyökkäyksien yleistyminen ja vaikutusten vakavuuden lisääntyessä tietoturvan tarve on suurempi kuin koskaan aikaisemmin. Kyberturvallisuutta tarvitaan kaikilla aloilla, joilla on käytössä tietotekniikkaa. Onnistuneen kyberhyökkäyksen seuraukset vaihtelevat kuitenkin alan mukaan. Terveydenhuoltoalalla kyberhyökkäyksen aiheuttamat häiriötilanteet tietotekniikan kanssa voivat johtaa tilanteeseen, jossa olevat potilaat eivät saa tarvittavaa hoitoa ajoissa.

Tämän kandidaatintyö tavoitteena on arvioida suomalaisen sosiaali- ja terveydenhuollon henkilöstön tämänhetkistä tietoisuutta tietourkinta ja kiristysohjelmista. Tietoisuuden tason arvioimiseksi tehtiin kyselytutkimus, jossa kartoitettiin suomalaisissa terveydenhuollon yrityksissä työskentelevää henkilöstöä. Kysely keräsi 204 vastausta.

Kyselyn tuloksista käy ilmi, että neljäsosa vastaajista ei ole koskaan saanut minkäänlaista kyberturvallisuuskoulutusta. Näistä vastanneista 86 % totesi, että heidän on käsiteltävä luottamuksellisia tietoja työtehtävien suorittamiseksi. Lisäksi suurin osa vastanneista selvästi koki, että työpaikoilla tarvitaan lisää kyberturvallisuuskoulutusta. Tuloksista käy myös ilmi vastanneiden uskomuksesta, että lisäkoulutuksella voidaan parantaa organisaation yleistä kyberturvallisuutta.