Rätt informationssäkerhet är A&O vid införande av välfärdsteknologi Jeanna Thorslund, Sveriges Kommuner och Landsting Thomas Nilsson, Certezza
Området välfärdsteknologi Vilka typer av nya digitala lösningar används inom vård och omsorg i kommuner och landsting och vilka utmaningar finns för informationssäkerheten?
E-hemtjänst - hemtjänst på distans
ökad trygghet
aktivitet och delaktighet
ett självständigare liv
Samhällsekonomiskt lönsamt
Samhällsekonomiskt lönsamt
The Data of Buildings
Inbyggd teknik
Vad är målen?
Välfärdsteknik och vård på distans vad vill vi? Trygga och säkra lösningar Hög integritet och tillit Effektivitet för verksamheten Öka trygghet, delaktighet, självständighet och att bo kvar hemma
Vad är Informationssäkerhet? Information som är viktig för verksamheten Finns något som kan hota den? Skydda den Verksamhetens mål
Säkerhet som kvalitet För att lyckas att nå förväntade nyttoeffekter och verksamhetsmål behöver det systematiska säkerhetsarbetet integreras med kvalitetsarbetet Se till att det blir rätt från början det kan vara svårt och dyrt att rätta till misstag och man kan tappa förtroende Att hantera informationssäkerhet som en kvalitetsaspekt är en framgångsfaktor!
Vilka rättsliga frågor blir aktuella? SoL OSL PDL PuL ArkivL LSS
Sammanfattning: lagkrav på säkerhet All dokumentation och behandling av personuppgifter inom social omsorg och hälso- och sjukvård: - Regelverk om informationssäkerhet - Behörighetskontroll - Loggning - Säker överföring vid öppna nät (kryptering) - Säker åtkomst över öppna nät (autentisering) Kommande föreskrifter från Socialstyrelsen: - Krav på Ledningssystem för Informationssäkerhet - ISO 27000-serien
Ett exempel som utgångspunkt - Nattkamera: Leverantör Bildström via leverantören Uppgifter om kameror, användare (personal) med behörigheter och inloggningsuppgifter Loggar Trafikuppgifter Hemma hos en äldre som är beviljad hemtjänst med tillsyn på natten. En kamera Nattkamera fast installerad. Kommunikation via Internet Hemtjänstens kontor
Molntjänst? Sker lagring? Leverantör Kan leverantören titta? Bildström via leverantören Uppgifter om kameror, användare (personal) med behörigheter och inloggningsuppgifter Loggar Trafikuppgifter God kvalitet? Hemma hos en äldre som är beviljad hemtjänst med tillsyn på natten. En kamera Nattkamera fast installerad. Kommunikation via Internet Beviljad hemtjänst? Beslut? Demens? Vilka säkerhetskrav ställs? Vem ansvarar för Internet? Hemtjänstens kontor Behörighet och åtkomst?
Vad är Informationssäkerhet? Hur länge kan vi vara utan den? Tillgänglighet Vem har ändrat? Information Hur viktigt att den är rätt? Spårbarhet Riktighet Hur hemlig är den? Konfidentialitet
Definition Informationssäkerhet SIS-standard ISO 27001 Informationssäkerhet Flytta fokus från IT till verksamhet! Administrativ säkerhet Teknisk säkerhet Fysisk säkerhet IT-säkerhet Datasäkerhet Kommunikationssäkerhet
Fokus ska vara informationen inte IT-systemet Beskriv informationsprocessen Definiera och avgränsa Vilken typ av information hanteras? Ansökan om XYZ Skickas för beredning hos grupp B Beslut Överlämnande till C- myndigheten
Ansvar och roller Leverantörer Genomföra Följa avtal och instruktioner Verksamheten Ansvar Beställare /Kravställare Behov Personuppgifts-ansvar IT-Drift Genomföra Följa avtal och instruktioner Intern IT Förmedla krav Stödja verksamheten
Informationssäkerhet - Metoder och verktyg Ledningssystem för kvalitet Q LIS Ledningssystem för Informationssäkerhet RSA KLASSA Risk- och Sårbarhetsanalyser Informationsklassning
Informationsklassificering Besluta värdet på informationen Utgår från verksamhetens behov Blir en kravställning om önskat skydd Utgår ifrån Kriterierna: - Riktighet - Konfidentialitet - Tillgänglighet - Spårbarhet
Skyddsnivåer 4 Allvarlig konsekvens Mycket hög skyddsnivå 3 Betydande konsekvens Hög skyddsnivå 2 Måttlig konsekvens Normal skyddsnivå (grundnivå) 1 Obetydlig konsekvens för verksamheten Låg skyddsnivå
Klassning av Nattkamera Leverantör
KLASSA verktyg för informationsklassning Informationssäkerhetsklassa Riktighet Konfidentialitet Tillgänglighet Spårbarhet Handlingsplan Riktad mot verksamhet Riktad mot IT Upphandlingskrav Ger ett underlag
KLASSA Du hittar KLASSA här: http://skl.se/naringslivarbetedigitalisering/digitalisering/informati onssakerhet/klassainformationsklassning.7558.html https://klassa-info.skl.se/ Film om KLASSA: http://play.skl.se/video/sa-funkar-klassa
Riskhantering L Risk S K R 1. Risk att. 3 2 3 2. Risk att. 4 1 2 3. Risk om. 1 4 2 4. Risk att. 3 4 6 Fokusera inte för mycket på metoden det viktigaste är att risker hanteras!
Genomför workshop för klassning och/eller riskanalys: deltagare Leverantör Specialist IT-drift IT-systemförvaltare Verksamhet Intern IT Systemförvaltning IT-arkitekt Verksamhetschef Användare Informationssäkerhetssamordnare Jurist? Arkivarie?
Analys? Ta reda på, beskriv och analysera: - Beskriv hela informationskedjan - Vilka aktörer är inblandade? - Kommer personuppgifter /patientuppgifter att lagras? - Var lagras uppgifterna? - Finns uppkoppling till nätet från prylen? - Hur sker överföring av information? Tänk framåt vad gör vi nästa gång, nästa projekt? Krävs styrdokument, beslutade processer?
Kolla detta innan nya digitala lösningar införs: Skaffa kunskap om hela informationskedjan Vilka aktörer är inblandade? Kommer personuppgifter /patientuppgifter att lagras? Var lagras uppgifterna? Av vem? Finns uppkoppling till nätet från prylen? Hur sker överföring av information? Vilka risker finns?
Leverantörer Vad ska man tänka på i mötet med leverantörerna?
Goda råd: Bättre att göra något än inget! Sunt förnuft! Värna individernas tillit! Vi vill inte se svarta rubriker! Slarva inte med riskanalyser! Beställ kvalitet inte tid!