RUTINER FÖR LOGGNING I PROCAPITA

Transkript

1 Socialförvaltningen RUTINER FÖR LOGGNING I PROCAPITA TILL SYSTEMSÄKERHETSPLANEN FÖR VÅRD OCH OMSORG SAMT INDIVID OCH FAMILJEOMSORGEN Handläggare: Befattning: Caroline Moberg, Henric Andersson, Ann-Britt Christensen, Stephen Dorch Systemförvaltare, IT-chef, MAS, informationssäkerhetssamordnare Upprättad: Version: 1

2 RUTINER FÖR LOGGNING I PROCAPITA VOO OCH IFO:S DATABAS Inom Socialförvaltningen skall loggar från Procapita VoO och IFO as. Systemförvaltaren för Procapita är ansvarig för att sker enligt utarbetade rutiner. SYFTET MED KONTROLL AV PROCAPITA S LOGG Avsikten är att regelbundet a om inloggade personer är behöriga till ärendet. (SOSFS 2008:14, 2 kap 19 p 2-4). Se även SKL:s Slutrapport PDLiP, Patientdatalagen i praktiken, KONTROLL Kontrollen skall ske regelbundet enligt rutin, samt vid misstanke om olovlig läsning/användning. TILLVÄGAGÅNGSSÄTT 1. Systemansvarig tar ut loggen ur Procapita, för över till en excelfil, som lämnas tillsammans med en signaturlista (bilaga 1) till utsedd granskare. 2. Signaturlistan återlämnas med underskrift att logglistan är utan anmärkning, alt. med anmärkning. I det senare fallet kompletteras med kommentar om det inträffade samt vidtagna åtgärder. Vid anmärkning skall det även på logglistan markeras vilken logg/användare det gäller. 3. Signaturlistan och logglistan sparas i socialkontorets närarkiv i därför avsedd pärm. Vid anmärkning skall även logglistan skrivas ut och förvaras tillsammans med signaturlistan. 1 av 4

3 LOGGRUTIN Loggkontrollansvarig Granskningsansvarig Urval Systemansvariga för Procapita VoO: Caroline Moberg Handläggare och chefer: Enligt förutbestämd lista som planeras av systemförvaltaren. Systemförvaltare och behörighetsansvarig Procapita VoO IFO: Michael Börjesson HVB: Lars-Olof Strågefors SoL: Therese Axelsson LSS: Ann-Louise Nylander HSL: Ann-Britt Christensen IT, socialchef: Caroline Mobeg Systemförvaltare: Eila Medin MAS: Eila Medin IFO, HVB, HSL, SoL och LSS granskare: Eila Medin Lista över tas fram i januari varje år Frekvens Omfattning Innehåll I logglistan Arkivering Utan anmärkning Vid anmärkning Spara Kontroll sker vid bedömd risk för olovlig läsning/användning Kontroll sker enl. lista varje månad Kontrollen sker vid bedömd risk för olovlig läsning/användning Kontrollen omfattar ett dygn Kontrollen omfattar aktuell period Logglistan skall innehålla datum för loggkontroll, användarnamn, patient- /omsorgstagar-/brukarnamn inkl. personnummer, organisation/vårdenhet, samt vilken aktivitet som gjorts med uppgiften. Signaturlistor och loggkontrollistor arkiveras i socialkontorets närarkiv Loggkontrollistor skrivs ut och arkiveras tillsammans med signaturlistor Signaturlistor och loggkontrollistor skall sparas i 10 år. T ex när misstanke uppkommer, vid Lex Sarah/Maria, vid vård av närstående eller personer väl kända i kommunen eller landet. Vid behov av förtydligande eller för att bekräfta en misstanke om olovlig läsning så kan granskaren få ut den totala loggen med alla typer av aktiviteter, tidpunkter och vilka systemdelar man varit inne i samt hjälp med att tolka informationen. Förvaras på extern hårddisk 2 av 4

4 Loggrutiner för systemansvarig som tar ut loggen - Hur görs kontrollen? Kontroll av loggen görs en gång per månad av systemansvarig i Procapita enl. uppgjord turordning Loggning görs normalt på vilka användare som gjort aktiviteter (läst, skapat, sparat, felmarkerat, tagit bort uppgifter i CDS dokumentationen. Loggningen visar även tidpunkt för aktiviteten, personnummer samt organisation/vårdenhet. Funktionen som används är Gem Loggning i Procapita VoO och IFO. Det är möjligt att söka på personnummer, period, användare, ursprung (vilken bild användaren varit inne på) och aktivitet (vad har användaren gjort). Loggen körs på ett dygn, på aktivitet läst, sparat, tagit bort, makulerad eller felmarkerad. Om behov finns att t ex endast a alla användare som läst i dokumentationen CDS, bocka för ursprung Dokumentation Editor Loggen överlämnas sedan till granskaren för det aktuella lagrummet tillsammans med signaturlista. Systemansvarig ska dokumentera när den, pga. systemsupport, varit inne i. Detta för att kunna visa anledning till att den varit inne på. Dokumentationen sparas till dess att nästa loggkontrollsfil är granskad. Information ska ges vid IT-introduktion till användarna av Procapita VoO och IFO om att rutin för loggning finns samt att den görs regelbundet. Användaren undertecknar då även en behörighetsförbindelse där information ges om att loggning sker. När användares behörighet till ärende ifrågasätts/upptäcks ska kontakt tas med loggad användare om dennes syfte med aktiviteten i systemet. Om tveksamhet kvarstår lämnas loggen till ansvarig chef för bedömning. KONTROLLERA ÅTKOMST Till en viss patients/omsorgstagares/klients uppgifter Som en viss anställd har haft Som skett ett stort antal gånger avseende en viss patient/omsorgstagare/klient På avvikande tider på dygnet Till skyddade personuppgifter Till uppgifter om barn Till uppgifter om allmänt kända personer Till uppgifter om medarbetare/andra personer inom verksamheten Till uppgifter från vissa mottagningar eller medicinska specialiteter Där spärrar forcerats eller där åtkomst skett över verksamhetsgränser 3 av 4

5 KONTROLL VID MISSTANKE Verksamhetschefen är skyldig att göra en loggranskning om det finns misstanke om missbruk av behörigheten till journalen. Det kan också finnas skäl att göra en särskild granskning av loggen i specifika patientfall. Det är viktigt både för patienten såväl som verksamhetschefen, att misstanke om missbruk följs upp och utreds. Medarbetaren ska kontaktas och få möjlighet att förklara skälen till aktuell loggförekomst. Vid samtalet med medarbetaren bör följande frågor besvaras: 1. Varför har medarbetaren sökt information om denna patient? 2. Känner medarbetaren patienten eller har någon anknytning med patienten privat? 3. Vilken information har använts och till vad? 4. av vilken anledning har medarbetaren valt att bryta mot bestämmelserna i Patientdatalagen? Visar loggranskningen inget anmärkningsvärt kasseras utdragen från loggfilen. Om misstanke för dataintrång kvarstår efter samtal med berörd person, görs polisanmälan, för vidare utredning. Vid bekräftad misstanke om dataintrång ska verksamhetschefen även informera berörd patient. Information om att loggranskningen har gjorts och av vem förvaras på arbetsplatsen samt en kopia till personuppgiftsombudet. En beskrivning av logguppföljningen ska finnas med i verksamhetsberättelsen. FÖRVARING AV UTTAGNA LOGGFILER För att påvisa för ev. kontroll från tillsynsmyndighet att loggning utförts kontinuerligt ska loggfilen sparas. Loggen sparas ner på en fil som förvaras på därför avsedd plats i socialkontorets närarkiv. Filerna lagras på en extern hårddisk. Tillsammans med den externa hårddisken ska ett ex av denna rutin finnas. Filerna ska sparas i 10 år. 4 av 4