informasjonssikkerhet i tannhelsetjenesten

www.vfk.no www.vfk.no

Fylkestannlegemøte

Gardermoen 10.11.2011

INFORMASJONSSIKKERHET

I

TANNHELSETJENESTEN

www.vfk.no

LOVGRUNNLAG

«Personopplysningsloven» – «Helseregisterloven»

– «Personopplysningsforskriften»

Setter krav til å etablere tilfredsstillende

informasjonssikkerhet.

Kravene fremkommer i «Normen».

«Forskrift om internkontroll i sosial- og

helsetjenesten».

Skal sørge for at Databehandlingsansvarlig ivaretar alle

forpliktelser ved behandling av helse- og

personopplysninger.

www.vfk.no

Leders overordnete ansvar og

utfordring

Sørge for at informasjonssikkerheten er ivaretatt

og

er en integrert del av kvalitetssikringsarbeidet

www.vfk.no

www.vfk.no

Leders ansvar

A. Utarbeide styringsdokument for informasjonssikkerhet

B. Sørge for at IT-infrastruktur oppfyller lovpålagte krav.

C. Valg av EPJ-system som oppfyller sikkerhetskrav.

D. Utarbeide dokument vedr. pasienters personvern, til

oppslag på venterom.

E. Risiko- og sårbarhetsvurdering

F. Sikkerhetsrevisjoner på årlig basis

G. Avviksbehandling

H. Oppfølging av avvik

I. Alle ansatte skal undertegne taushetserklæring

J. Tilby tilstrekkelig opplæring vedr. informasjonssikkerhet.

www.vfk.no

Styringsdokument

Styringsdokumentet skal bestå av tre deler:

l. Styrende del

ll. Gjennomførende del

lll. Kontrollerende del

www.vfk.no

l. Styrende del

Sikkerhetsmål:

l. Informasjon skal være sikret mot innsyn fra uvedkommende

ll. Informasjonen skal være sikret mot utilsiktete endringer

lll. Informasjonen skal være tilgjengelig for brukerne

lV. Informasjonen skal være korrekt, oppdatert, relevant og

tilstrekkelig for å yte helsehjelp

www.vfk.no

l. Styrende del

Fastsette nivå for akseptabel risiko

Skal benyttes ved risikovurderinger Høyt risikonivå

Sensitive personopplysninger håndteres ikke etter regler

og retningslinjer fra Datatilsynet.

Pasientbehandling lar seg ikke gjennomføre for mange

behandlere. (Flere enn 10 behandlere)

Moderat risikonivå

Opplysninger unntatt offentlighet på avveie.

Pasientbehandling lar seg ikke gjennomføre for 3-10

behandlere

Lavt risikonivå


behandlere

www.vfk.no

l. Styrende del

Oversikt over helse- og personopplysninger:

Hvilke kategorier av helse- og personopplysninger lagres

Formålet

Lovgrunnlag

Valg av EPJ-system, rtg.-system, evt. partnere/samhandlere

Oppfylt meldeplikt til Datatilsynet

www.vfk.no

l. Styrende del

Meldeplikt Datatilsynet:

http://hetti.datatilsynet.no/melding

(meldingsnummeret fylles inn i oversikten)

Husker du ikke om det allerede er sendt melding:

http://hetti.datatilsynet.no/melding/report_search.pl

http://hetti.datatilsynet.no/melding

http://hetti.datatilsynet.no/melding/report_search.pl

www.vfk.no


Taushetsplikt

Ansvarliggjøring av ansatte

• Beskrive konsekvenser ved brudd på taushetsplikt

• Beskrive konsekvenser ved forsøk på ulovlig tilgang

• Beskrive konsekvenser ved å endre opplysninger man ikke

har autorisasjon til å endre.

www.vfk.no

Tannhelsetjenestens ansatte har tilgang til en stor database hvor det ligger journaler

med helseopplysninger på alle pasienter som undersøkes og behandles hos oss.

Det påpekes at alle ansatte, vikarer, studenter og elever har et ansvar for at

helseopplysninger de får kjennskap til i kraft av sine roller, ikke skal komme

uvedkommende i hende.

Dette gjelder både helseopplysninger som er omtalt i pasientjournaler og

helseopplysninger som en får kjennskap til på annen måte som helsepersonell i sin

virksomhet i Tannhelsetjenesten.

Ingen skal åpne en pasientjournal uten at dette er nødvendig i forbindelse med

undersøkelse eller behandling av pasienten.

Undertegnede erklærer å ville overholde taushetsplikten etter disse bestemmelsene,

og er oppmerksom på at taushetsplikten også gjelder etter at jeg har sluttet i tjenesten.

Undertegnede er kjent med at det etter straffeloven § 121 er straffbart å bryte

taushetsplikten.

www.vfk.no

1.Hold passord hemmelig

Passord er personlig og skal aldri deles med andre. Ikke skriv ned passordet.

Bytt passord dersom du har mistanke om at andre har fått kjennskap til det. Lag

passord som ikke er gjenkjennbare.

2. Lås data-arbeidsplass

Sørg for å beskytte sensitiv informasjon du har tilgang til. Lås dataskjermen når

du forlater arbeidsplassen (Ctrl + Alt + Delete og Enter). Sensitiv informasjon

oppbevares i låst skuff/skap.

3. Foreta sikker utskrift og kopiering

Skriver du ut dokumenter med sensitiv informasjon, skal disse umiddelbart

hentes på skriveren. Forlat aldri kopimaskinen når du kopierer sensitiv

informasjon. Dokumenter som ligger igjen på skriver eller kopimaskin, skal

makuleres.

4. Pass på bærbart elektronisk utstyr / hjemmekontor

Sørg for at bærbar PC / hjemmekontor er sikret mot uautorisert tilgang. Sensitiv

informasjon må aldri lagres på ”minnepinner”.

www.vfk.no

IT og sikkerhet

5. Vær bevisst når du er på internett

Ikke last ned data fra usikre kilder. Vær forsiktig med å legge ut på nettet

informasjon, bilder som er relatert til arbeidssituasjonen.

6. Meld feil

Har du tilgang til informasjon du ikke skal ha, så meld fra. Meld også ifra dersom du

kommer i skade for å eksponere sensitiv informasjon for uvedkommende.

Melderutinene er en del av vår kvalitetssikring.

7. Bruk e-post riktig.

E-post skal brukes til å sende åpen informasjon. Sensitiv informasjon skal ikke

sendes med e-post. Kontroller at du har riktig mottaker. Ikke spre e-post ukritisk.

8. Skaff deg kompetanse

Det er en plikt å påse at du har nødvendig kompetanse til å håndtere de

informasjonssystemer du benytter. Di nærmeste overordnede har ansvar for å gi

deg nødvendig opplæring.

9. Logg deg ut

La aldri dataskjermen stå åpen for uvedkommende. Ved arbeidsdagens slutt skal

du alltid logge deg helt ut og slå av skjerm/klient/PC

www.vfk.no


Tilgangsstyring

Alle brukere skal være autorisert med egen brukerkonto

Autorisasjonen skal tilknyttes en Rolle

Autentisering av autorisert bruker

Alle autorisasjoner er personlige. Fellesbrukere er ikke tillatt

En autorisasjon skal aldri slettes, men settes inaktiv når

autorisasjonen trekkes tilbake.

www.vfk.no


Pasientinformasjon:

Oppslag, brosjyre på venterom

www.vfk.no

Pasientinformasjon

• Tannhelsetjenestene i BTV registrerer alle pasienters person- og

helseopplysninger i sitt elektroniske pasientjournal-system (EPJ).

• Som pasient hos oss, skal du vite at dine helseopplysninger blir oppbevart etter

de krav som lover og forskrifter setter.

• Din elektroniske tannhelsejournal blir lagret i en ekstra sikret sone beskyttet av

doble brannmurer der det ikke vil være mulig for uvedkommende å kunne få

tilgang.

• Det er utelukkende det tannhelsepersonellet som arbeider på den klinikken der du

blir behandlet, som har tilgang til din journal.

• Den som er ansvarlig for informasjonssikkerheten (databehandlingsansvarlig) hos

oss er:

www.vfk.no

Pasientinformasjon

Hvilke person- og helseopplysninger lagres:

• Nødvendige personopplysninger med navn, personnummer, adresse, telefon,

evt. foresatte.

• For aldersgruppen 1-18 år blir personopplysningene innhentet fra

Folkeregisteret.

• Generelle helseopplysninger som er av betydning i forhold til den helsehjelp vi

som tannhelsepersonell yter.

• Helseopplysninger innhentes direkte fra pasienten enten via selvutfylt

helseskjema eller gjennom samtale mellom pasient og behandler.

• Spesifikke helseopplysninger for tenner og munnhule slik de fremkommer ved

den kliniske undersøkelsen.

www.vfk.no

Pasientinformasjon

Utlevering av person- og/eller helse-opplysninger:

• Det vil normalt ikke utleveres person- og/eller helse-opplysninger fra våre

dataarkiv, men i forståelse med pasienten vil utlevering kunne skje:

Dersom du skulle velge å bytte til annen tannlege, vil vi på din anmodning,

kunne utlevere person- og/eller helse-opplysninger til ny behandler.

Ved behov for henvisning til spesialist, vil dine person- og/eller helse-

opplysninger kunne bli utlevert.

www.vfk.no

Pasientinformasjon

Dine rettigheter som pasient i den off. tannhelsetjenesten:

• Du har rett til informasjon om behandling av helse- og personopplysninger

• Du kan ha rett til innsyn i journalopplysninger

• Du kan kreve at feilaktige opplysninger om deg blir rettet evt. slettet.

• Du kan be om utskrift av journal eller deler av journal.

• Du skal kunne utøve dine rettigheter gratis.

www.vfk.no


Sikkerhetsrevisjon; gjennomføres årlig

Kontrollere etterlevelsen av styringssystem for

informasjonssikkerhet.

Personvern og informasjonssikkerhet for virksomheter i

tannhelsetjenesten

«Skjema for sikkerhetsrevisjon»

(Arkiveres min. 5år)

www.vfk.no


Skjema for sikkerhetsrevisjon

Nr. Krav Ja Nei

1 Er det sendt melding til Datatilsynet og fornyes denne hvert 3.år

2 Er ansvar og oppgaver beskrevet på alle nivå

3 Er ansvarsforholdene gjort kjent i organisasjonen

4 Forefinnes prosedyrer for papirutskrifter

5 Er aktivitetslogg aktivert og lagres i minimum 2 år

6 Er det beskrevet nivå for akseptabel risiko

7 Finnes en samlet oversikt over program/baser med

helse-/person-opplysninger

8 Er det gjennomført risiko- og sikkerhetsanalyse med beskrivelse

av prosedyre for oppfølging

9 Alle ansatte har underskrevet avtale om taushetsplikt med

beskrivelse av konsekvenser ved brudd på denne plikten

10 Er tilgang til databasen kun gitt til autorisert personell i

virksomheten

www.vfk.no



Nr. Krav Ja Nei

11 Er gitte autorisasjoner i samsvar med den ansattes tjenstlige behov

12 Tildeles brukernavn og passord på en betryggende måte

13 Benyttes sikkerhetsnivå 4 ved bruk av hjemmekontor og trådløs

kommunikasjon

14 Utleveres helse-/personopplysninger til annet helsepersonell i

samsvar med lovbestemte regler om taushetsplikt.

15 Fremgår det av journal at helse-/personopplysninger er gitt til annet

helsepersonell

16 Behandles brudd på prosedyrer som avvik

17 Hemmeligholdes passord

18 Får pasienten informasjon om sine rettigheter

19 Er pasientens rettigheter ivaretatt

20 Er datautstyret plassert slik at ikke uautoriserte personer får tilgang

www.vfk.no



Nr. Krav Ja Nei

21 Har virksomheten oversikt og kontroll over alt utstyr og

programvare som benyttes til lagring av helse-/personopplysninger

22 Foretas nødvendig sikkerhetskopiering

23 Oppbevares sikkerhetskopier avlåst, brannsikret og adskilt fra

driftsutstyret

24 Testes sikkerhetskopifunksjonen jevnlig

25 Er det iverksatt tiltak for å hindre av sensitive personopplysninger

utleveres ved hjelp av e-post

26 Er det inngått avtale med Databehandler om Databehandleravtale

27 Har Databehandler gjennomført risiko- og sikkerhetsvurdering

28 Er alle medarbeidere klar over ansvaret ved å melde avvik

29 Er det etablert prosedyre for varsling til Datatilsynet ved uautorisert

utlevering av helse-/personopplysninger

www.vfk.no


Risikovurdering

Når skal det gjennomføres risikovurderinger?

1) Ved større endringer

Nytt EPJ-system

Ny røntgenleverandør

Sammenslåing av klinikker

Større endringer i teknisk løsning

Tilknytning til Norsk Helsenett

2) Når det oppstår avvik av betydning

3) Som en del av kontroll og oppfølging

www.vfk.no


Risikovurdering

Risikovurderingene skal dokumenteres og arkiveres.

Vurder sannsynlighet/konsekvens for alle uønskete

hendelser for å fastsette risikonivå

www.vfk.no


Risikovurdering

Høyt risikonivå

Risikoreduserende

tiltak

Sensitive personopplysninger håndteres ikke etter

regler og retningslinjer fra Datatilsynet.

Pasientbehandling lar seg ikke gjennomføre for

mange behandlere. (Flere enn 10 behandlere)

Moderat risikonivå

Risikoreduserende

tiltak



behandlere

Lavt risikonivå


behandlere

www.vfk.no

Hvordan vurdere risiko?

Risikonivå = Sannsynlighet X Konsekvens

(Vurderingsskala 1-16)

Sannsynlighet Verdi

Usannsynlig Sjeldnere enn 3 år 1

Mindre sannsynlig Årlig 2

Mulig Månedlig 3

Sannsynlig Ukentlig eller oftere 4

Konsekvens Verdi

Ubetydelig 1

Moderat 2

Alvorlig 3

Kritisk 4

www.vfk.no


Risikovurdering

Høyt risikonivå

(10-16)

Risikoreduserende

tiltak

Sensitive personopplysninger håndteres ikke etter

regler og retningslinjer fra Datatilsynet.

Pasientbehandling lar seg ikke gjennomføre for

mange behandlere. (Flere enn 10 behandlere)

Moderat risikonivå

(6-9)

Risikoreduserende

Tiltak



behandlere

Lavt risikonivå

(1-5)


behandlere

www.vfk.no

Skjema for risikovurderinger

Nr. Hendelse Sannsynl. Konsekvens Risikonivå

1 EPJ med dig. røntgen ikke

tilgjengelig for virksomheten;

1 dag eller mer

2 4 8

2 EPJ med dig. røntgen ikke

tilgjengelig for enkeltklinikk; 1 dag

eller mer

3 3 9

3 Betalingsterminal fungerer ikke for

virksomheten; 1 dag eller mer

2 2 4

4 Betalingsterminal fungerer ikke for

enkeltklinikk; 1 dag eller mer

3 1 3

5 Misbruk av blålysfunksjon 2 4 8

6 Tilgangskontroll/rolleoppsett

fungerer ikke som beskrevet

1 4 4

7 Misbruk av upersonlige

pålogginger

3 2 6

8 Pasienter tar med seg utskrifter

fra skriver

1 4 4

www.vfk.no


Nr. Hendelse Sann-

synl.

Konse-

kvens

Risiko-

nivå

9 Pasient ser helseopplysninger om en annen

pasient

3 4 12

10 Sikkerhetskopiering fungerer ikke 1 4 4

11 Papirutskrift med helseopplysninger kastes

umakkulert

2 4 8

12 Databehandleravtale er ikke opprettet mot

ekstern aktør

1 4 4

13 Tilgang til røntgenbilder er ikke

autorisasjonsstyrt

1 4 4

14 Minnebrikke med helseopplysninger er mistet 1 4 4

15 EPJ-systemet er ikke meldt Datatilsynet som

foreskrevet

2 4 8

16 Bruker sender 11-sifret fødselsnummer på

e-post

3 4 12

17 Hendelsesregister/logg er ikke aktivert 1 4 4

www.vfk.no


Nr. Hendelse Sann-

synl.

Konse-

kvens

Risiko-

nivå

18 Det er ikke utviklet nødprosedyrer ved stopp i

EPJ-systemet

2 4 8

19 Nettverket er angrepet av virus 1 4 4

20 Misbruk av hjemmekontorløsning 2 4 8

21 Omfattende eksponering av

helse-/personopplysninger

1 4 4

22 Uvedkommende skaffer seg tilgang til

helse-/personopplysninger

2 4 8

23 Passord på gule lapper 3 3 9

24 Utskrifter ”flyter” ved skriver 3 2 6

25 Ikke avlogget ved fravær fra arbeidsplass 4 3 12

26

www.vfk.no


Avvikshåndtering

Fyll ut skjema for avvik, evt. benytt egen programvare for

dette; eks QM+/TQM.

Tiltak iverksettes; om nødvendig umiddelbart

Avviket evalueres; behov for ytterligere tiltak?

Avvik arkiveres i min. 5 år

Dersom avviket har ført til utlevering av

helse-/personopplysninger, skal Datatilsynet varsles.

www.vfk.no

Avviksskjema 1-4 fylles ut av den som oppdager avviket

5-7 fylles ut av databehandlingsansvarlig

Avviksskjema

1. Avvik registrert av:

2. Dato og klokkeslett:

3. Hendelse:

4. Strakstiltak:

5. Korrigerende tiltak:

6. Evaluering:

7. Varsling:

www.vfk.no

informasjonssikkerhet i tannhelsetjenesten

Health & Medicine