Omsorg for informasjonssikkerheten

Transkript

1 Omsorg for informasjonssikkerheten Vitalis, 23. mai 2019 Tonje Haugen

2 God informasjonssikkerhet handler om......kommer vi tilbake til... Bildet er tatt av Theodor Moise fra Pixabay

3 Oslo kommune innbyggere så langt i 2019 (og teller fortsatt...)

4 Oslo kommune mottakere av hjemmetjenester (2017) 4372 i helse- og omsorgsinstitusjoner (2018)

5 Hvorfor så vanskelig?

6 Hvorfor så vanskelig? Velferdsteknologi - Medisindispenser? Apotek USA? Avstandsoppfølging 12 UK? Enkel medisindispenser 13 Uklart hvor kommunen starter og hvor den slutter Personopplysninger behandles i flere land og løsningene driftes kanskje fra andre land igjen... Involverer ofte en kjede av underleverandører og forskjellige skyløsninger Ulik grad av modenhet på personvern og infosikkerhet hos leverandører ROS-analyser og gjennomgang av infosikkerhet blir omfattende I tillegg er det ofte et stort press på å «rulle ut» VFT... Norge Avansert medisindispenser ANSVARSOMRÅDE VFT- LEVERANDØR Medisindispenser underleverandør Irland Norge VFT leverandør Tyskland VKP Velferdsteknologisk knutepunkt Norge 2 5 Vakttelefon Oslo kommune PC/Klient KONSEPTSKISSE M E D I S I N D I S P E N S E R Fagsystem/EPJ Norsk Helsenett/OK Gerica

7 Hvorfor så vanskelig? Oslo kommune - Organisering

8 Hvorfor så vanskelig? Velferdsteknologi, anskaffelser (upphandling) og informasjonssikkerhet ANSKAFFELSE IMPLEMENTERING OG DRIFT Behovskartlegging Kravspesifisering Konkurransegjennomføring Test Implementering Drift ROS før anskaffelse Krav til informasjonssikkerhet Databehandleravtale ROS Sikkerhetsgjennomgang Personvernkonsekvensutredning/ DPIA Hendelseshåndtering Jevnlige revisjoner og tiltak for personvern og informasjonssikkerhet

9 Veikart for spredning og skalering Elektronisk medisindispenser GPS lokaliseringsteknologi Stasjonær trygghetsalarm Mobil trygghetsalarm Tilsyn Sensor (dør, fall, brann mm) 2017* 2018* 2020* (3700**) 450 > 1000 Ikke estimert > 1000 Ikke estimert > 9000 Ikke estimert > 1000 Ikke estimert > 500 Ikke estimert > 1000 Ikke estimert > 1000 Ikke estimert Avstandsoppfølging 2. TRAPPETRINN 3. TRAPPETRINN SKALERING 1. TRAPPETRINN SKALERING SKALERING > * > * * Forventet omfang avgitt fra Helseetaten. ** Multidosebrukere i hjemmetjenesten

10 God informasjonssikkerhet handler om......å håndtere risiko... Bildet er tatt av Theodor Moise fra Pixabay

11 Håndtere risiko handler om Kartlegge verdier sårbarheter trusler/trusselaktører Redusere risiko til akseptabelt nivå med tiltak som påvirker verdi sårbarheter trusler/trusselaktører Risiko Trusselaktør

12 Barriere Barriere Barriere Barriere Barriere Barriere Katastrofe Uønsket hendelse Håndtere risiko handler om Balansere tiltak som reduserer sannsynlighet konsekvens Barriere = Tiltak 12

13 Informasjonssikkerhet er å beskytte virksomhetens verdier med å: 1. Vite hvilken risiko man står ovenfor 2. Vite hvilken verdi man besitter med tanke på Konfidensialitet Integritet Tilgjengelighet 3. Implementere beskyttende tiltak som står i samsvar med verdiene som reduserer sannsynlighet for at en uønsket hendelse oppstår OG konsekvens hvis den uønskede hendelsen inntreffer 4. Kjenne egen styrke og svakheter og de trusselaktørene man står ovenfor

14 «Osloprosessen» i stort

15 Basert på ROS-rammeverk fra Rådhuset ønsket vi en ROS-prosess tilpasset velferdsteknologi å involvere bredt Ansatte i tjenesten Beslutningstagere Leverandører

16 «Osloprosessen» i stort O P P S T A R T AV ROS B E S L U T T E T A R B E ID S MØTE TR IN N 1 T E MA: H OVEDKOMP ON E N T E R A R B E ID S MØTE TR IN N 2 T E MA: K OMMU N IKASJON S K A N A L E R B E S L U T T E AKSEPTABEL R E S T R ISKO O P P F ØLGIN G AV R ISIKO I F OR V A L T N IN GS- R E GIME P L A N L E G G E S A M M E N S T I L L E OG F O R B E R E D E S A M M E N S T I L L E OG K O N K L U D E R E O V E R F Ø R E T I L F O R V A L T N I N G O P P G A V E R A R B E I D S G R U P P E FINNE RISIKOEIER VELGE ARBEIDSGRUPPE VELGE REFERANSEGRUPPE UTARBEIDE KONSEPTSKISSE UTKAST VERDIVURDERING KARTLEGGE SÅRBARHETER KARTLEGGE TRUSLER UTKAST ROS UTARBEIDE UNDERLAGSMATERIALE FORBEREDE ARBEIDSMØTE SAMMENSTILLE RESULTATER OPPDATERE VERDIVURDERING VERDIVURDERE KOMM. KANALER OPPDATERE SÅRBARHETER OPPDATERE TRUSLER OPPDATERE UTKAST TIL ROS OPPDATERE UNDERLAGSMATERIALE FORBEREDE ARBEIDSMØTE QA AV REFERANSEGRUPPE UTSENDING TIL SAMMENSTILLE RESULTATER OPPDATERE UNDERLAGSMATERIALE UTARBEIDE TILTAKSPLAN KONKLUDERE QA AV REFERANSEGRUPPE FORBEREDE BESLUTNINGSUNDERLAG UTARBEIDE ANBEFALING KALLE INN RISIKOEIER FORANKRING I FORVALTN. ORG ETABLERE PLAN FOR OPPFØLGING IMPLEMENTERE I ÅRSHJUL ETABLERE OPPFØLGINGSANSVAR UTSENDING TIL REFERANSEGRUPPE REFERANSEGRUPPE

17 «Oslometoden» - Erfaringer Verktøyet og metoden fungerer bra, men Formen på arbeidsmøtene varierer Mye forarbeid og etterarbeid Arbeidsmøtene sikrer bred forankring, men på et smalere område Et lite team med kjernekompetanse må sikre at analysen får stort nok nedslagsfelt Husk på å få med både sansynlighets- og konsekvensreduserende tiltak Kartlegg hvem som er risikoeier: det er bare risikoeier som kan beslutte om restrisiko er innenfor akseptable grenseverdier

18 Erfaringer generelt Arbeid med personvern og informasjonssikkerhet fordrer tilgang til juss- og sikkerhetskompetanse ROS-analyser og sikkerhetsgjennomgang er er ressurskrevende for VFT Kommunene selv bør utarbeide egne databehandleravtaler, ikke bruke leverandørenes Stor forskjell i modenhet medfører at kommunen blir mer en veileder enn revisor ovenfor VFT leverandører Kommunene bør samarbeide om avtale-, metode- og kompetansedeling HUSK! ROS-analyser og sikkerhetsgjennomganger er ferskvare og må gjøres jevnlig som en del av et forvaltningsregime

19 Informasjonssikkerhet & personvern mye å ta tak i... det viktigste er... Bildet er tatt av Wilfried Pohnke fra Pixabay

20

21 Takk for meg!