Informationssäkerhet

Transkript

1 Presentation Moa Malviker Wellermark Informationssäkerhetsansvarig/Jurist Informationssäkerhet Information är en tillgång som, liksom andra viktiga tillgångar, har ett värde och som måste skyddas. Informationssäkerhet syftar till att skydda information mot förekommande hot, förhindra avbrott i verksamheten samt minska skador. Tillgänglighet, Riktighet, Konfidentialitet och Spårbarhet 1

2 Organisation Specifika styrdokument Interna - Ledningssystem för informationssäkerhet - Riktlinjer och rutiner Externa - Lagkrav och föreskrifter t.ex. patientdatalagen, personuppgiftslagen samt SOSFS 2008:14. 2

3 Ansvarfördelning Ansvaret följer generellt linjen, men det finns vissa funktioner som är utpekade i lagstiftning och regelverk. Landstingsstyrelsen (vårdgivaren) Verksamhetschef Patientdatalag 1 juli 2008 Möjlighet till sammanhållen journalföring Ökad patientintegritet och säkerhet Effektivisering vid handläggning av hälsoproblem och utvärdering Möjlighet till direktåtkomst för patient Att patienten kan spärra journalinformation 3

4 Rätt information i vård och omsorg Utredning ska redovisa sitt huvudbetänkande den 30 april 2014 Lämna förslag till en mer sammanhållen och ändamålsenlig informationshantering inom och mellan hälso- och sjukvården och socialtjänsten Kan medföra förslag till ändringar i patientdatalagen Spärrfunktionalitet Uppgifter spärras, vilket innebär att direktåtkomst inte får ske från en annan vårdenhet eller vårdgivare inom sammanhållen journalföring. Teknisk funktionalitet i våra journalsystem/ medicintekniska produkter (prioritering och utmaningar) Patienten bestämmer Tillsyner ifrån Datainspektionen 4

5 Åtkomstkontroll - loggning Vårdgivaren är skyldig att föra logg över åtkomst inom vårdgivaren. Vårdgivaren ska dokumentera regelbunden och systematisk loggningskontroll i syfte att förebygga, konstatera och beivra otillåten eller obefogad åtkomst till uppgifter. Alla ska loggas inte bara hälso- och sjukvårdspersonal utan även t.ex. IT-tekniker Patienten kan begära ut sin logglista Vad ska finnas med i loggen? SOSFS 2008:14 (2:11) - vilka åtgärder som har vidtagits med patientuppgifterna - vid vilken vårdenhet och tidpunkt åtgärderna vidtagits - användarens och patientens identitet Hur har LiÖ löst logguppföljningen? - Varje IT-system måste logga ovanstående (30%) - Kontextlogg, sammanhållen uppföljning - Logpoint, sammanhållen uppföljning Tillsyn av Datainspektionen 5

6 Krav vid användning av öppna nät SOSFS 2008:14 (2:5) Om vårdgivaren använder öppna nät för att hantera patientuppgifter, ska denne ansvara för att det i ledningssystemet finns rutiner som säkerställer att - överföring av patientuppgifter görs på ett sådant sätt att ingen obehörig kan ta del av uppgifterna, och - åtkomst till patientuppgifter föregås av stark autentisering. Vad är ett öppet nät? Finns ingen legal definition Resonemanget kring öppet nät går ut på att flera aktörer har tillgång till och trafikerar nätet och därigenom har möjlighet att bereda sig åtkomst till personuppgifter som överförs eller görs åtkomliga via det. Ex. internet, sjunet 6

7 Vad är stark autentisering? Identiteten kontrolleras på minst två sätt - med någonting användaren kan t.ex. lösenord - med någonting användaren har t.ex. certifikat - med hjälp av användaren själv t.ex. fingeravtryck Även om ett autentiseringssätt uppfyller kravet på två faktorer kan det ändå vara olämpligt som lösning. LiÖ har valt autentisering via SITHS-kort Säkerhetskopiering SOSFS 2008:14 (2:16-17) - med vilken periodicitet säkerhetskopieringen ska göras, - hur länge säkerhetskopiorna ska sparas, och - hur ofta återläsningstester ska göras. Säkerhetskopieringen bör bygga på den informationsklassificering som gjorts på informationen som ska lagras. Säkerhetskopiorna ska förvaras på ett betryggande sätt och väl åtskilda från originaluppgifterna. 7

8 Styrning av behörigheter SOSFS 2008:14 (2:6) - Behörigheter ska begränsas till vad som är nödvändigt för att ge en god och säker vård. - Behörigheterna ska bygga på en behovs- och riskanalys. - Behörigheterna ska vara individuella. Pågående tillsyn av Datainspektionen Personuppgiftslagen Reglerar behandling av personuppgifter. Är subsidiär mot annan lagstiftning. Syftet med PuL är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Datainspektionen är tillsynsmyndighet. 8

9 Vad är personuppgifter? All slags information som direkt eller indirekt kan knytas till en fysisk person som är i livet. Även bilder (foton) och ljudupptagningar på individer som kan vara personuppgifter även om inga namn nämns. Krypterade uppgifter och olika slags elektroniska identiteter, som exempelvis IP-nummer, räknas som personuppgifter om de kan kopplas till fysiska personer. Pseudonymiserade uppgifter är fortfarande personuppgifter. Begrepp Personuppgiftsansvarig Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen. Personuppgiftsombud En fysisk person som fått i uppdrag av personuppgiftsansvarig att självständigt se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Personuppgiftsbiträde Den som behandlar personuppgifter på den personuppgiftsansvariges räkning. 9

10 Regelverk i PuL Integritetstrappan/Hanteringsreglerna (strukturerat material) Kränkningsregeln (ostrukturerat material) Säkerhetsåtgärder Lämpliga tekniska och organisatoriska åtgärder ska vidtas utifrån - De tekniska möjligheter som finns - Kostnaden att genomföra åtgärden - Särskilda risker som finns med behandlingen - Känsligheten hos uppgifterna 10

11 Förslag på ny dataskyddsförordning blir direkt gällande lag i Sverige stärka den enskilde individen ytterligare harmonisera medlemsländernas regelverk 11