Introduktion
Med tydliga processer och rutiner kan ni fokusera på att ge bästa möjliga vård, med vetskapen om att dina patienters personliga information är i säkra händer.
För aktörer inom vårdsektorn är informationssäkerhet inte bara en fråga om att följa lagar och regler – det handlar i slutändan om patientsäkerhet och patienternas förtroende. Att skydda patientdata och personuppgifter är en grundläggande del av en vårdverksamhets ansvar.
För mindre vårdaktörer kan det kännas utmanande att ha koll på alla regler och standarder – och framför allt veta hur man ska arbeta systematiskt med dessa. Kraven som ställs från bl.a. patienter, leverantörer, lagar och internationella direktiv och kan ibland upplevas övermäktiga. Det finns dock röda trådar att plocka upp och följa – bra ramverk och standarder att följa som säkerställer att era processer och rutiner möter de flesta kraven.
Du som läser detta hanterar förmodligen dagligen information och data som faller under bl.a. GDPR och PDL. Kanske ställs det även krav på att din organisation ska följa ISO27001*, eller NIS2**? Oavsett kraven ni har på er tror vi att du kan dra nytta av att läsa den här artikeln och använda den som en checklista för arbetet internt. Vi går igenom hur din organisation med enkla steg kan bygga upp ett bättre skydd för patientinformation, utan att ni behöver slå knut på er själva.
Definiera och dokumentera informationssäkerhetspolicys
ISO 27001 betonar vikten av att ha tydliga dokumenterade policys och rutiner för informationssäkerhet, för att konkretisera hur patientdata och personuppgifter ska hanteras och skyddas i alla led – från inhämtning till lagring och radering. Det är viktigt att ha rutin för att tillse att dessa dokument är uppdaterade och tydliga. Dessutom är det klokt att se över rutiner vid nyanställning – får nya kollegor rätt information om policys och rutiner så dessa verkligen efterlevs i praktiken?
Här ska sägas att antalet policys en vårdaktör kan ha på plats är många. Vi rekommenderar att försöka kombinera dem i den mån det går, men sen lägga krut på en tydlig rutin om hur de ska hållas levande – såväl när det kommer till uppdatering, som när det kommer till att informera om dem internt.
Nedan följer exempel på några av de viktigaste policys vi rekommenderar att man ser till att ha på plats. Notera att listan inte är fullständig utan utgör ett axplock.
- Informationssäkerhetspolicy
Skapa en enkel, lättförståelig policy som beskriver hur ni skyddar patientdata och följer GDPR. Inkludera riktlinjer för hur journaldata samlas in, lagras, vilka säkerhetsåtgärder som används, samt hur radering ska ske. Inkludera även rutiner för backup och återställning, något som PDL ställer krav på. - Åtkomstkontrollpolicy
Enligt PDL måste vårdgivare ha system för att säkerställa att endast behörig personal har åtkomst till patientuppgifter. Definiera tydligt vilka medarbetare som har tillgång till patientdata och vilket ansvar de har för att skydda den. Använd ISO 27001 princip om ”minsta möjliga åtkomst” för att begränsa tillgången till endast de som behöver den. - Incidenthanteringspolicy
Policyn beskriver hur ni ska agera om en incident inträffar, ex. ett dataintrång eller oavsiktlig dataförlust. Den bör innehålla steg för identifiering, rapportering, eskalering, utredning och dokumentation av incidenter. Det är också viktigt att inkludera en plan för hur incidenter rapporteras till tillsynsmyndigheter. - Loggnings- och granskningspolicy
Krav enligt PDL: Enligt PDL måste alla vårdgivare föra loggar över vem som har haft tillgång till patientuppgifter. Denna loggning måste också kunna granskas regelbundet för att upptäcka obehörig åtkomst eller oegentligheter. - Sekretess & tystnadsplikt
Vårdgivare är enligt lag skyldiga att säkerställa att all personal som hanterar patientuppgifter är bunden av sekretess och tystnadsplikt. Det innebär att ni måste ha en policy som styr hur tystnadsplikten tillämpas inom verksamheten.
Riskhantering – identifiera och hantera
Det är viktigt för vårdaktörer att regelbundet bedöma och hantera risker som kan påverka informationssäkerheten. För mindre aktörer kan detta göras genom att identifiera risker i två led; internt i era rutiner och system, samt externt i omvärlden. Därefter utvecklar ni åtgärder för att hantera era risker.
- Riskbedömning
Genomför en enkel riskbedömning för att identifiera potentiella risker internt såsom förlorade enheter med känslig information, otillräcklig åtkomstkontroll, eller svaga lösenord. Gör samma sak med fokus utanför organisationen, ex över leverantörer, kommande lagar och regelverk, hotaktörer, och liknande (här finns analystjänster att ta hjälp av för att förenkla). Brainstorma i verksamheten för att försöka skaka fram så många risker som möjligt, och gallra därefter. - Åtgärdsplan
För varje identifierad risk – bedöm sannolikhet att risken inträffar, och konsekvens om så händer. Baserat på det väljer ni att acceptera risken eller skapa en åtgärdsplan för att hantera den. Det kan ex. handla om att införa multifaktorautentisering, förbättra säkerheten för mobila enheter eller se till att känsliga filer är krypterade.
Kontinuitetsplanering för att säkerställa verksamhetens drift
Kontinuitetsplanering handlar om att förbereda sig på det oväntade. För vårdaktörer är det särskilt viktigt att kunna fortsätta verksamheten och ha tillgång till kritiska journalsystem och patientdata, även vid större störningar som strömavbrott, cyberattacker eller tekniska haverier. Enligt ISO 27001 är en väldokumenterad och testad kontinuitetsplan en central del för att kunna hantera dessa situationer och snabbt återuppta verksamheten.
- Identifiera kritiska system och processer
Identifiera vilka system och processer som är avgörande för att vårdinrättningen ska kunna fungera, exempelvis journalsystem, kommunikationssystem och patientbokning. Ställ frågor till era kritiska systemleverantörer och undersök hur deras rutiner ser ut gällande informationssäkerhet. - Skapa en kontinuitetsplan
Planen bör inkludera scenarier för de vanligaste potentiella incidenterna (t.ex. dataintrång, naturkatastrofer, systemhaverier) och fastställa hur ni kan fortsätta verksamheten under dessa förhållanden. Dokumentera rutiner för hur personalen ska agera och vilka steg som ska tas för att minimera störningar. - Backup-planer och alternativa lösningar
Definiera vilka alternativa lösningar som kan användas om era primära system går ner. Det kan till exempel vara att tillfälligt använda pappersjournaler eller att ha redundanta system för vissa funktioner. Säkerställ att kritiska data kan återställas från säkerhetskopior. - Testa och uppdatera kontinuitetsplanen
Genomför regelbundna tester för att säkerställa att planen fungerar som tänkt och att all personal vet vad de ska göra vid en incident. Kom ihåg att hålla den uppdaterad.
Kontinuerliga förbättringar och utbildning
Ett klokt och genomtänkt arbete med dataskydd och informationssäkerhet inkluderar kontinuerligt förbättringstänkande där processer och rutiner ständigt utvecklas. Detta måste inte göras svårare än det är, men se till att planera in tid för detta årligen eller vid behov.
- Utbildning
Se till att personalen utbildas regelbundet i informationssäkerhet och GDPR. Fokus bör ligga på praktiska åtgärder som att känna igen phishingattacker, hantera känslig data säkert, och följa rutiner för incidentrapportering. - Revision och uppföljning
Genomför regelbundna revisioner av era säkerhetsrutiner för att säkerställa att de efterlevs och är effektiva. Följ upp incidenter för att identifiera förbättringsmöjligheter. - Säkerhetskultur
Skapa en kultur där informationssäkerhet är allas ansvar. Påminna om säkerhetsrutiner, uppmuntra personal att rapportera misstänkta händelser, och se till att bygga en tillåtande kultur där man pratar högt om misstag man gjort.
Sammanfattning
För vårdgivare är skyddet av patientdata avgörande för både patienternas integritet och verksamhetens trovärdighet. Genom enkla men strukturerade steg kan även mindre vårdaktörerutveckla robusta processer och rutiner som skyddar känslig information. Genom riskbedömning, strikta åtkomstkontroller, regelbunden utbildning och dokumentation kan ni bygga en säkerhetskultur som skyddar både er verksamhet och era patienter.
Med tydliga processer och rutiner på plats kan ni fokusera på det viktigaste – att ge bästa möjliga vård till era patienter, med vetskapen om att deras personliga information är i säkra händer.
*ISO27001 är en internationell standard för ledningssystem för informationssäkerhet som hjälper organisationer att skydda känslig information genom att hantera risker och implementera säkerhetsåtgärder.
**NIS2 är ett EU-direktiv som syftar till att stärka cybersäkerheten för kritiska sektorer genom att ställa krav på hantering av säkerhetsrisker och incidentrapportering, för att skydda viktig infrastruktur och tjänster inom EU. I Sverige prognostiseras det att träda i kraft under namnet Cybersäkerhetslagen, troligtvis i augusti 2015.
