REVISIONSRAPPORT Landstinget Halland Säkerhet och intern kontroll i vårdinformationssystem mars 2004 Rolf Aronsson Leif Jacobsson www.pwcglobal.com/se www.komrev.se
Innehållsförteckning 1. SAMMANFATTNING AV SYNPUNKTER OCH ÖVERVÄGANDEN...3 2. SYFTE, OMFATTNING OCH GENOMFÖRANDE...4 2.1 Syfte och revisionsfråga...4 2.2 Metodbeskrivning...5 2.3 Omfattning och genomförande...6 3. NULÄGESBESKRIVNING OCH KOMMENTARER...7 3.1 VIS-projektet...7 3.2 Patientadministrativa systemet PAS...9 3.3 Vårdadministrativa systemet Swedstar...10 4. SAMLAD ANALYS OCH BEDÖMNING...11 4.1 VIS-projektet...11 4.2 Projektet Ledningssystem för informationssäkerhet...12 4.3 Sekretess och säkerhet i PAS/Elvis och Swedestar...12 4.3.1 Kontrollmiljö och kontrollaktiviteter...12 4.3.2 Riskanalyser...13 4.3.3 Information och kommunikation...14 4.3.4 Tillsyn och efterlevnad...14 (2)
1. Sammanfattning av synpunkter och överväganden När det gäller VIS-projektet (se avsnitt 3.1.) har det framkommit synpunkter kring att projektet tidsmässigt har blivit alltför utdraget. Beslutsprocessen har uppenbarligen inte fungerat i alla delar. I framtida projektarbete kring etablering och realisering av förslagen bör man enligt vår uppfattning använda en tydlig projektmodell med bl.a. tidsplaner för delområden och fastställd styrgrupp och beslutsprocess på ledningsnivå inom landstinget. I vår samlade analys och bedömning av sekretess och säkerhet i PAS/Elvis och Swedestar utgår vi från pågående arbete inom landstinget med att utveckla ett ledningssystem för informationssäkerhet. Projektet är omfattande och bedrivs utifrån svensk standard kring informationssäkerhet SS-ISO/IEC 17799. Arbetet är till stora delar färdigt och förslag till olika områden finns klara. I rapporten hänvisar vi till olika riktlinjer som bör prioriteras och fastställas. Vi rekommenderar att landstingsledningen snarast fastställer och realiserar riktlinjerna/ledningssystemet i landstinget. En väsentlig fråga är också hur säkerhetsarbetet skall prioriteras i framtiden, eftersom ledningssystem och riktlinjer ständigt måste förändras beroende på händelser i omvärlden, nya system, förändrade krav på säkerhetsnivåer etc., vilket innebär att säkerhetsarbete måste bedrivas kontinuerligt. Granskningen har i huvudsak varit inriktad mot rutiner och synsätt kring uppföljning och kontroll vid hantering av patientinformation både administrativt och i journaler. I rapporten framförs ett antal synpunkter kring behovet av mer utvecklade kontrollaktiviteter bl.a. med utgångspunkt från riskanalyser, d.v.s., hotbilder, sannolikheter och konsekvenser om någon obehörigt kommer åt känslig information. Bl.a. nämner vi följande områden i rapporten: I PAS/Elvis sker i dag ingen uppföljning vid hantering av patientinformation. Vi rekommenderar att rutiner och verktyg skapas för loggning och uppföljning av patientinformation. När det gäller Swedestar vid Sjukhuset i Varberg så finns föreskrifter sedan lång tid kring Säkerhetsrevision av datajournal. Tillämpningen av denna är något olika inom sjukhuset. Bl.a. sker inte uppföljning på användarnivå vid exempelvis medicinkliniken. Det finns också anledning att i riskanalyser överväga om den stickprovsmässiga uppföljningen skall utökas samt om rutinmässig uppföljning av sekretesskodade patienter skall ske. (3)
När det gäller loggning och uppföljning av patientinformation bör en gemensam plattform av regelverk, gemensamma blanketter skapas inom landstinget. Förslag finns framtagna i projektet Ledningssystem för informationssäkerhet. Ett viktigt område som särskilt måste hanteras i det fortsatta arbetet med informationssäkerhet är rutiner och policy kring kontroll och uppföljning av systemadministratörer och IT-tekniker. Det är särskilt viktigt att dessa personer med höga rättigheter (bl.a. har dessa personer ofta åtkomst direkt i databaserna) också blir föremål för kontroll i olika hänseenden. Enhetliga rutiner för behörighetsadministration bör finnas inom landstinget - exempelvis dokumenterade beslut om rättigheter av ansvarig chef, samt kvittering av behörighet av användaren. Riskanalyser bör mer frekvent genomföras där bl.a. följande kriterier/konsekvenser kan vara avgörande för hur kontrollerna skall vara utvecklade: o Hotbilden, exempelvis sekretesskodade patienter, förekomsten av kända personer eller anhöriga, delad vårdnad av barn, skyddade identiteter. o Sannolikheten och konsekvensen om någon obehörig kommer åt information om viss patient. Det finns enligt vår uppfattning redan väl utvecklade förslag till modeller både för riskanalyser och informationsklassificering. I VIS-projektet etapp 3 finns också beskrivningar kring krav på säkerhet och sekretess utifrån krav i lagstiftningen som underlättar genomförandet av analyser och klassificering. Arbetet med att implementera förslagen i landstinget bör prioriteras. 2. Syfte, omfattning och genomförande 2.1 Syfte och revisionsfråga Syftet har varit dels att analysera pågående projekt (VIS) om integrering av olika vårdinformationsystem i landstinget och dels granska användning och hantering av PAS/Elvis vid Länssjukhuset i Halmstad samt Swedestar vid Sjukhuset i Varberg. Granskningen sker med utgångspunkt från säkerhet vid hantering av patientinformation och patientadministration (bokningar och ekonomiska transaktioner). (4)
Revisionsfrågor 1) Är integreringen och mellan olika patientjournalsystem tillräcklig och ändamålsenlig inom landstinget och hur hanteras utvecklingen med utgångspunkt från pågående VISprojekt. 2) Garanterar användning och hantering av PAS/Elvis inom Länssjukhuset Halmstad och Swedestar vid Sjukhuset i Varberg tillräckliga krav på sekretess, tillgänglighet, riktighet samt spårbarhet bl.a. med utgångspunkt från hälso- och sjukvårdslagen, sekretesslagen och patientjournallagen. 2.2 Metodbeskrivning CO SO ett verktyg för intern styrning och kontroll Tillsyn Komm unikation Kontroller Riskbedömning Riskanalys Kontrollmiljö In form ation Vi utgår från COSO-modellen i genomförande och i användande av terminologi. COSOmodellen identifierar fem ömsesidigt beroende komponenter som tillsammans omfattar intern kontroll. Kontrollkomponenter: o Kontrollmiljö, exempelvis kompetens, attityder, policy, riktlinjer, system, rutiner m.m. o Riskanalys. Det intern kontrollsystemet måste utformas utifrån en bedömning av både interna och externa risker för att garantera sekretess, riktighet m.m. o Kontrollaktiviteter. Kontrollaktiviteter är de metoder och procedurer som används för att hantera risker i användning av patientadministrativa system. (5)
o Information och kommunikation. Omfattar både intern och extern kommunikation i rätt tid och till rätt personer. o Tillsyn och efterlevnad. För att säkra att ovanstående kontrollkomponenter fungerar så måste kontinuerlig uppföljning och kontroll genomföras. Vi utgår också i tillämpliga delar från standard för Ledningssystem för informationssäkerhet (LIS) som definierar detaljerade krav utifrån följande områden: Sekretess säkerställande av att informationen är tillgänglig endast för dem som har behörighet för åtkomst. Riktighet skydd av information och behandlingsmetoder så att de förblir korrekta och fullständiga. Tillgänglighet säkerställande av att behöriga användare vid behov har tillgång till informationen och tillhörande tillgångar. Även spårbarhet är viktigt för hög säkerhet, d.v.s att registrering av avvikelser och andra säkerhetsrelevanta händelser täcker krav på tillförlitlighet och bevisbarhet. 2.3 Omfattning och genomförande Initialt genomförs definition av ansvarsfördelning och krav i hälso- och sjukvårdslagen, sekretesslagen och patientjournallagen. Kartläggning, dokumentstudier och analys av VIS-projektet nuläge och framtid. Kartläggning och analys av ovanstående kontrollkomponenter i PAS/Elvis och Swedestar. Granskningen genomförs sedan genom studier av dokument samt intervjuer med: o Projektledare för VIS och projektledare för projektet informationssäkerhet. o IT-avdelningen IT-chef, systemansvarig m.fl. samt lokalt systemansvariga för PAS/Elvis vid akutmottagningen och barnkliniken inom Länssjukhuset. o Systemansvarig för Swedestar och IT-administratör och verksamhetschef vid Medicinkliniken m.fl. o Avstämning och diskussion har också gjorts med IT-direktören inom landstinget. (6)
3. Nulägesbeskrivning och kommentarer 3.1 VIS-projektet VIS-projektet har bedrivits i tre olika etapper under 2000 2002. Följande rapporter har avlämnats: Rapport etapp 1: VAS-bryggan. Rapport etapp 2: VAS-projektet som blev VIS-projektet och VIS Pre Prototype. Rapport etapp 3: Säkerhet och sekretess för integrationsplattformen Fas 1. Kravdokument. I etapp 1 VAS-bryggan lämnar projektgruppen följande förslag: Behålla och utveckla befintliga system och anskaffa nya i linje med VASstrategin. Etablera VAS-bryggan ett patientinformationssystem som sammanlänkar alla delsystem och stödjer vårdprocessen genom hela kedjan i landstinget. Valda delar av informationen som t.ex. epikris och läkemedelslista skickas till VAS-bryggan och ligger samlad och nåbar för behöriga användare. En av våra visioner är att vi i framtiden ska överföra information till och från andra huvudmän via VAS-bryggan. Beslut måste tas med hänsyn till samtliga verksamheters behov av informationsöverföring till och från varje system. För att VAS-projektet vision om rätt information vid rätt tillfälle ska bli verklighet, krävs att besluten följer landstingets Hallands IT-strategi. VAS-bryggan innebär att beslutsfattandet i det avseendet centraliseras. VAS-bryggan skall ha högt ställda krav på säkerhet och sekretess. Inom hälsooch sjukvård gäller att uppgifter inte får lämnas ut annat än om man är övertygad om det kan ske utan men för patienten s.k. omvänt skaderekvisit. En utredning om rakt skaderekvisit föreligger. (7)
I etapp 2 så har begreppet Vårdadministrativa system VAS ersatts av Vårdinformationssystem, VIS som bättre speglar bliden av framtidens patient- och processorienterade system. Arbetet i VIS etapp 2 har tagit sikte på att pröva realismen i förslagen bl.a. genom fördjupad processanalys och teknisk verifiering. I december 2003 beslutade landstingsstyrelsen underlag tjänsteskrivelse och attt gå vidare med VIS-projektet under 2003 2005 och att också gå in i en tydligare realisering, vilket bl.a. innebär att (citat från tjänsteskrivelse): Implementering av Systeam Cross Plattform 1 i primärvården och psykiatrin. Handikappförvaltningen har redan infört systemet. Detta är en förutsättning för plattformstanken och innebär en stor systemadministrativ förenkling. Med den nya programvaran medföljer leverantörens nya läkemedelsmodul som finns utvecklad för såväl sluten som öppen vård. BMS läkemedelsmodul från Systeam blir därmed generell för Landstinget Halland och är den första prioriterade åtgärden i VIS-projektet för att åstadkomma en säker och kostnadseffektiv läkemedelshantering. Kurir lab system från C&S (beställning och svar) blir gemensam för Landstinget Halland. Kurir finns idag på Länssjukhuset och har ca 2 000 användare. Systemet uppfyller i stort de krav som landstinget ställt på en sådan produkt. Parallellt med ovanstående utformas tekniken för den landstingsgemensamma plattformen, där tekniken redan är etablerad inom landstinget i form av det ramverk som används på Länssjukhuset. Systemägande, förvaltning och organisation av de gemensamma systemen överförs till landstinget centralt. IT-enheten på Landstingets kansli står för organisation, system och förvaltning. Genom denna åtgärd uppnås - bättre strategisk planering för de gemensamma systemen och landstingets ITutveckling - enkel och säker rapportering till systemägaren - enhetlig kontaktyta gentemot leverantörer - utveckling och optimering av de i VIS ingående systemen så att hälso- och sjukvården i Halland kan fungera säkert och effektivt. (8)
Föreslagna aktiviteter innebär att Landstinget Halland kan fortsätta att bygga på redan etablerade kontakter och avtal med de större leverantörerna och en krävande och kostsam upphandling kan undvikas. I rapporten från etapp 3 Säkerhet och sekretess för Integrationsplattform Fas 1. Kravdokument beskrivs förutsättningar för sekretess och säkerhet i en gemensam plattform. Myndighetsbegreppet, inre och yttre sekretess, behörighet, spårbarhet m.m. analyseras tydligt. Det är inte möjligt att här göra en mer omfattande beskrivning utan vi bifogar dels sammanfattning av projektarbetet som finns i bilaga 8 och dels slutsats över de viktigaste kraven som finns i bilaga 9. I rapporten finns också en Analysmodell Vårdinformation i VIS-vårdprocess som skall klarlägga regelverk och bestämmelser i tryckfrihetsförordningen, patientjournallagen, sekretesslagen m.fl. lagar. Analysmodellen finns i bilaga 10. I våra bedömningar och analyser görs hänvisningar till skrivningar i rapporten. 3.2 Patientadministrativa systemet PAS Av bilaga 1 framgår övergripande inmatningsordning och användning av PAS/ELVIS inom Länssjukhuset i Halmstad. PAS är ett äldre teckenbaserat system, som under den närmaste tiden kommer att ersättas av Elvis. Elvis är anpassat till grafiskt gränssnitt (Windows), men bygger helt på samma databas (Informix) som PAS. Vår granskning har omfattat genomgång av olika funktioner med koncentration på frågor kring sekretess, behörigheter och säkerhet. Förutom personal vid IT-avdelningen (IT-chef, systemansvariga m.fl.) har vi intervjuat lokalt systemansvariga (IT-samordnare) vid Akutmottagningen och Barn- och ungdomskliniken. När det gäller åtkomstskydd/behörigheter så finns en särskild blankett inom Länssjukhuset Halmstad som ligger till grund för uppläggning/ändring av användare. Blanketten finns i bilaga 2. I denna ges behörighet till olika system samt vilka rättigheter som gäller. Normalt får användare åtkomst till PAS/ELVIS och sjukhusliggare. Sekreterare får dessutom behörighet till Kassafunktioner och diagnosregistrering. Blanketten används också för att ge åtkomst till andra system, Kurir (Kemlab), Kurir (Röntgen), stamnätet m.m. Blanketten skrivs under av användaren och beviljas av verksamhetschefen. Uppläggning av behörigheterna görs sedan av IT-avdelningens systemadministratörer. Användaren skriver också under att han/hon läst och accepterat Nettikett. Vid akutmottagningen finns särskild anvisning för databehörighet, se bilaga 3. (9)
Sekretess och loggning Vid registrering av ny patient så frågar man alltid om vilken sekretess som patienten vill ha. Det finns tre nivåer i systemet: Normal sekretess, som alltid följer en patient. Förbehåll, vilket innebär att uppgifter lämnas till särskilt utvalda personer. Sekretess = Ja, vilket innebär att inga uppgifter om patienten eller hans vistelse på sjukhuset lämnas ut. I PAS loggas vissa uppgifter. I Elvis loggas enligt uppgift aktiviteter som görs på vald patient, d.v.s. även när någon enbart tittar på en viss patient. Vi har inte kunnat verifiera loggfunktionen, bl.a. därför att systemdokumentation i denna del saknas. Loggningen görs direkt i databasen (Informix), vilket innebär att endast systemadministratörer med hög behörighet kan komma åt logg-databasen. I systemet Elvis finns för närvarande inga verktyg eller delprogram som kan läsa, selektera eller söka i logg-databasen. Inga uppföljningar görs i dag. 3.3 Vårdadministrativa systemet Swedstar Vi har inte gjort någon mer omfattande genomgång av systemet utan i huvudsak koncentrerat granskningen till rutinerna för uppföljning av loggad åtkomst till patientjournalerna samt översiktligt tilldelningen av behörigheterna. Vi har intervjuat systemansvarig vid IT-avdelningen samt IT-administratör vid medicinkliniken. När det gäller åtkomstskydd/behörigheter så finns ingen speciell blankett av den typ som används vid länssjukhuset - se bilaga 2. Vid uppläggning av ny användare så används blanketten Rekvisition IT/Arbetsorder som skrivs under av verksamhetschefen se bilaga 7. (Blanketten är i huvudsak avsedd för rekvisition av hårdvara och program). Användaren får i rekvisitionen övergripande tillgång till olika system (exempelvis Swedestar). Detaljerna i behörighetstilldelningen styrs enligt uppgift i dialog med respektive ansvarig verksamhetschef/it-säkerhetsadministratör. Efter uppläggning av identiteter, beslut om hårdvara m.m. överlämnas ärendet till verksamheten (chef och IT-administratör) tillsammans med information om fastställd ADB-säkerhetspolicy och föreskrifter för ADB-säkerhet. Ansvaret för utbildning/information övergår därmed till verksamheten. Användaren skriver också under att han/hon läst och accepterat Nettikett. (10)
Sekretess och loggning Utgångspunkten för uppföljning av loggning vid användning av patientjournalerna är särskilda föreskrifter Säkerhetsrevision av datajournal som är en del av den säkerhetshandbok som fastställdes 1994 vid Sjukhuset i Varberg. Föreskrifterna finns i bilaga 6. Vi har analyserat tillämpningen av föreskrifterna vid medicinklinken och har noterat följande rutiner. Loggning och uppföljning sker på utvald tidbok. Det finns enligt uppgift cirka 70 stycken. Varje vecka tar man ut loggade uppgifter för den tredje patienten under aktuell vecka och vald tidbok (1 av 70). Samtliga loggade uppgifter för den aktuella patienten tas ut på papper. Efter analys av IT-administratören så överlämnas dokumentationen över uppföljningen till verksamhetschefen för kontroll och arkivering av genomförd uppföljning. Föreskrifterna Säkerhetsrevision av datajournal omfattar också att säkerhetsrevision skall göras på användare detta sker inte i dag vid medicinklinken, enligt uppgift eftersom detta är för arbetskrävande. Enligt centralt systemansvarig så förekommer det även uppföljningar på användare vid någon/några kliniker inom sjukhuset. Loggarna i Swedestar är enligt uppgift tillgängliga i 90 dagar, därefter raderas samtliga loggar. 4. Samlad analys och bedömning 4.1 VIS-projektet VAS-projektet som sedan kallades VIS-projektet har bedrivits under 2000 till 2002 och har avlämnat tre olika rapporter. Redan i etapp 1 som avslutades i maj månad 2000 lämnade projektgruppen ett antal förslag, bl.a. att behålla och utveckla befintliga system samt att etablera VAS-bryggan som blir ett patientinformationssystem som sammanlänkar alla delsystem (exempelvis: Swedestar, PAS/Elvis, BMS, Obstetrix m.fl.) och stödjer vårdprocessen genom hela kedjan i landstinget. Under våren 2001 genomfördes etapp 2 som syftade till att pröva realismen i förslagen bl.a. genom fördjupad processanalys och teknisk verifiering. I december 2003 beslutade landstingsstyrelsen att gå vidare med VIS-projektet och att också gå in i en tydligare realisering, som beskrivs under punkt 3.1 i rapporten. (11)
I våra intervjuer och i andra kontakter vid revisionsinsatser har framkommit synpunkter kring att projektet tidsmässigt har blivit alltför utdraget. Beslutsprocessen har uppenbarligen inte fungerat i alla delar. I framtida projektarbete kring etablering och realisering av förslagen bör man enligt vår uppfattning använda en tydlig projektmodell med bl.a. tidplaner för delområden och fastställd styrgrupp och beslutsprocess på ledningsnivå inom landstinget. 4.2 Projektet Ledningssystem för informationssäkerhet Inom landstinget pågår sedan flera år ett omfattande projekt för att utveckla ett ledningssystem för informationssäkerhet med tydliga beskrivningar av processer och rutiner. Projektarbetet bedrivs utifrån svensk standard Ledningssystem för informationssäkerhet (SS-ISO/IEC 17799). Arbetet är till stora delar färdigt och förslag på riktlinjer inom olika områden finns klara. Under punkt 4.3. hänvisar vi till (och bifogar) riktlinjer som vi anser bör prioriteras och fastställas inom landstinget. Vi rekommenderar att landstingsledningen snarast fastställer och realiserar riktlinjerna/ledningssystemet i landstinget. Ledningssystem och riktlinjer inom informationssäkerhet förändras ständigt beroende på händelser i omvärlden, nya system m.m., förändrade krav på säkerhetsnivåer etc., vilket innebär att säkerhetsarbete måste bedrivas kontinuerligt. 4.3 Sekretess och säkerhet i PAS/Elvis och Swedestar 4.3.1 Kontrollmiljö och kontrollaktiviteter I PAS/Elvis sker i dag ingen uppföljning av den eventuella loggning som görs vid hantering av patientinformation. Även om systemet inte innehåller några patientjournaler så är ändå kraven på sekretess mycket höga (se också skrivningar under avsnitt 3.3.). Det finns andra kriterier för hög sekretess, exempelvis inom barnkliniken när det gäller problem vid delad vårdnad av barn och vid skyddade identiteter. Det finns därför - enligt vår uppfattning - behov av att genomföra systematiska stickprov av loggarna. I dag finns inga verktyg/program för selektering och sökning i loggar över aktiviteter på olika patienter, vilket innebär att lokalt systemansvarig/verksamhetschefer inte kan komma åt eventuell logginformation. Vid utvecklingen av Elvis bör verktyg skapas med hög prioritet. I Swedestar finns särskilda föreskrifter framtagna 1994 kring Säkerhetsrevision av datajournal (se avsnitt 3.4). I vår uppföljning av tillämpningen bl.a. vid medicinklinken har vi noterat följande: Eftersom en patient på utvald tidbok (enligt uppgift 70) per vecka följs upp så blir stickprovet mycket litet. Det finns därför anledning att i riskanalys bedöma om stickprovet skall utökas. (12)
I en riskanalys bör övervägas om uppföljning även generellt skall göras på användarnivå, vilket inte sker vid exempelvis medicinkliniken i dag. Rutinmässig uppföljning på sekretesskodade patienter sker - enligt uppgift - inte. Inom landstinget finns olika rutiner och synsätt kring hur uppföljning av loggar skall göras över hantering av patientinformation både administrativt och i journaler. Det finns enligt vår uppfattning anledning att lägga en gemensam plattform av regelverk, gemensamma blanketter inom landstinget. Ett mycket bra utgångsläge för detta arbete är det regelverk och den blankett som har framtagits i projekt Ledningssystem för informationssäkerhet, vilka vi bifogar: Bilaga 11: Förslag Anvisningar för kontroll av loggar i journalsystem. Bilaga 12: Förslag till blankett Kontroll i loggar av journalsystem. Ett viktigt område som särskilt måste hanteras i det fortsatta arbetet med informationssäkerhet är rutiner och policy kring kontroll och uppföljning av systemadministratörer och IT-tekniker. Det är särskilt viktigt att dessa personer med höga rättigheter (bl.a. åtkomst direkt i databaserna) också blir föremål för kontroll i olika hänseenden. När det gäller uppläggning av behörigheter för användare vid Sjukhuset i Varberg - exempelvis Swedestar - så saknas i dag en särskild blankett, vilket innebär att det saknas dokumentation över vilka rättigheter som har tilldelats viss användare. Dessutom kvitterar inte användarna mottagna identiteter. 4.3.2 Riskanalyser Nuvarande riktlinjer och rutiner bör omarbetas. Införande av nya föreskrifter och rutiner för uppföljningar av loggar för system som hanterar patientinformation vid förvaltningar och verksamheter måste föregås av riskanalyser. Följande exempel på kriterier/konsekvenser kan vara avgörande för hur kontrollerna skall vara utvecklade: o Hotbilden, exempelvis sekretesskodade patienter, förekomsten av kända personer eller anhöriga, delad vårdnad av barn, skyddade identiteter. o Sannolikheten och konsekvensen om någon obehörigt kommer åt information om viss patent. I projektet Ledningssystem för informationssäkerhet har man tagit fram ett antal riktlinjer som är tillämpliga vid genomförande av riskanalyser: (13)
Bilaga 4: Risk- och feleffektanalys. En risk- och feleffektsanalys omfattar följande arbetssteg och aktiviteter: 1. Identifiera den process/funktion som är föremål för analysen 2. Identifiera de felrisker som kan innebära risker för process/funktion och beskriv riskkällorna/hoten tänkbara händelser (scenarior) som kan innebära negativa konsekvenser t ex stöld av server, brand i datorhall eller otillbörlig åtkomst av journaluppgifter. 3. Precisera hur allvarlig risken och/eller effekten är (S). 4. Utred orsaken till att den negativa händelsen inträffar. 5. Uppskatta sannolikheten att den negativa händelsen uppträder (O). 6. Bedöm om det finns styrning och kontroller som gör att felet upptäcks i tid. 7. Bedöm sannolikheten att felet upptäcks i tid (D) Bilaga 5: Informationsklassning. Bedöma informationens värde och känslighet utifrån olika krav. Bedömningen leder till en klassning som avgör skyddsnivån för informationssystemet och/eller informationsresursen. Används som en form av inledande och övergripande riskbedömning. Utgångspunkter för klassificering är den egna verksamhetens behov och lagstiftningens krav. Det finns således enligt vår uppfattning redan väl utvecklade förslag till modeller både för riskanalyser och informationsklassificering. I VIS-projektet etapp 3 finns också beskrivningar kring krav på säkerhet och sekretess utifrån krav i lagstiftningen som underlättar genomförandet av analyser och klassificering. Arbetet med att implementera förslagen i landstinget bör prioriteras. 4.3.3 Information och kommunikation Vi har inte genomfört någon granskning av hur intern och extern information fungerar. Även om vi kan notera att det finns ett omfattande och utbyggt informationssystem har vi valt att i nuläget inte kommentera detta. 4.3.4 Tillsyn och efterlevnad Uppföljningar av informationssäkerhet utifrån egna styrdokument och rutiner samt krav i lagstiftningen är en del av den interna kontroll som ligger inom styrelse/nämnders ansvarsområden. Som exempel på områden kan nämnas; tillämpning av (14)
personuppgiftslagen/sekretesslagen och följsamhet till patientjournallagen i vårdinformationssystem. Vi behandlar inte detta område närmare, men konstaterar att i projektet informationssäkerhet finns ett antal förslag som är viktiga för en bra intern kontroll. Bl.a. finns ett förslag till tydlig ansvarsfördelning och roller inom landstinget. Det finns också en modell för hur interna revisioner (interna kontroller) ska kunna genomföras. (15)