Krav til sikkerhet og personvern hos tjenestesteder som skal koble seg opp til en felles elektronisk pasientjournal

Størrelse: px

Begynne med side:

Download "Krav til sikkerhet og personvern hos tjenestesteder som skal koble seg opp til en felles elektronisk pasientjournal"

Hannah Christoffersen
8 år siden
Visninger:

1 Krav til sikkerhet og personvern hos tjenestesteder som skal koble seg opp til en felles elektronisk pasientjournal Seniorrådgiver Knut Lindelien, Standard Norge

2 Bakgrunn Stort informasjonsbehov mye informasjon ( ) Ulikhet i arkitektur, kommunikasjon, begreper. Hinder i regelverk Tvil om sikkerhet og personvern Alle interessert i sikkerhet og personvern

3 Innhold her En teknisk spesifikasjon, ISO/TS 14441, Health Informatics Security and privacy requirements of EHR Systems for use in conformity assessment Ideen; å lage et opplegg som sikrer informasjonsressursene og gir mulighet for å vurdere samsvaret mellom ønsket og oppnådd sikring Opplegget er ikke endelig. Hva nå?; - a) inviterer til deltakelse for forbedring og - b) prioritere innsats

informasjonsressursene og gir mulighet for å vurdere samsvaret mellom ønsket og oppnådd sikring

4 Samsvarsvurderinger (etter ISO 17000) Samsvarsvurderinger er enkelt nok; - At en stiller krav, måler om disse kravene er oppfylt og erklærer samsvar. I noen tilfelle er det nødvendig med tilsyn for å sikre at samsvaret består. For den som bestiller, den som leverer, de som arbeider med informasjonen og pasienten, for de som berøres av dette (subject of care) Førstepartsvurdering typisk selger/tilvirker Andre parts vurdering typisk kjøper Tredjepartsvurdering - (ekstern)

For den som bestiller, den som leverer, de som arbeider med informasjonen og pasienten, for de som berøres av dette

5 Hvilke krav bør settes? Innen ISO/IEC har en arbeidet med styringssystemer for informasjonssikring (såkalte ISMSer) Hele serien av standarder gir et opplegg for prosesser som skal sikre informasjonsressursene gir oversikt og definerer begreper gir krav til styringssystemer for informasjonssikring gir eksempler på god praksis for å ivareta styringssystemer for informasjonssikring beskriver hvordan en kan ta i bruk (implementere) styringssystemer for informasjonssikring beskriver hvordan en kan måle nivået på informasjonssikringen beskriver risikostyring i forhold til informasjonssikring

6 Krav forts stiller krav, øvrige dokumenter veileder, eksemplifiser og gir støtteverktøy. En egen spesifikasjon ISO beskriver hvordan kan benyttes i helsesektoren TS ser på samsvarsvurderinger i fire ulike land. (Brazil, UK, US og Canada) Hvilke krav kan en så si at blir de viktige?

En egen spesifikasjon ISO 27799 beskriver hvordan 27002 kan benyttes i

7 Krav forts 3 P-D-C-A Under ligger en Plan Do Check Act - tankegang. (el. Plan Do Check Implement) Egentlig en lang rekke P-D-C-A sirkler i en organisasjon som skal benytte 27001? Noen standarder er spesielt viktige. Det er normative referanser ISO/TS benytter. Krav ved å se på fokus i de fire eksempellandene

organisasjon som skal benytte 27001? Noen standarder er spesielt viktige.

8 Lest eller format på kravene Time synchronization and time/date formatting Core requirements: Time format: POS clinical systems should adopt a uniform presentation of time for control and audit. Clock synchronization: POS clinical systems shall support time synchronization using NTP/SNTP, and use this synchronized time in all security records of time. Detailed requirements: Time format in exported records: All time data for control and audit found in exported data (other than time stamp requests to, or responses from, a Time Stamping Authority) shall be represented in the ISO 8601:2004 format, indicating the difference between local time and UTC

Clock synchronization: POS clinical systems shall support time synchronization using NTP/SNTP, and use this synchronized time in all security records of time.

9 Lest eller format forts 2 Time source: POS clinical systems shall use a consistent and secure time source. POS clinical systems shall support time synchronization using IET Network Time Protocol (NTP) or Simple Network Time Protocol (SNTP). Rationale: Accurate audit logging requires accurate and consistent time stamps. As well, the date and time at which data such as lab results were accessed may have clinical significance. Such time stamps may be heavily relied upon during investigations of medical malpractice. Reference: ISO 27799, ISO 15408, ISO 18308, ISO 27789, ISO 8601

Rationale: Accurate audit logging requires accurate and consistent time stamps.

10 Ulike standarder har ulike krav Krav Omfang og opplegg for hva som er viktig varierer i referansestandardene. Mens en i har sin gruppering har Common Criteria sin inndeling. (CC el. ISO/IEC Information technology Security techniques Evaluation criteria for IT security )

Mens en i 27001 har sin gruppering har Common Criteria sin inndeling.

11 Mapping og CC Core requirement Common criteria category 1. Data subject's consent to collect, use or disclose personal health information No direct mapping to privacy (not considered in CC) 2. Limiting use and disclosure No direct mapping to privacy (not considered in CC) 3. Data subject access to personal information and correction of inaccurate information No direct mapping to privacy (not considered in CC) 4. Data accuracy a User data protection: Stored data integrity 5. User identification and a identification and authentication authentication 6. Access Control a Access: access control policy, access control functions 7. Acceptable Use No direct mapping to privacy (not considered in CC) 8. Session security and timeout a Access: session locking and termination 9. Maintaining data availability a Security management 10. Protecting data during transmission a Cryptographic support: cryptographic operation 11. Protecting data in storage a User data protection 12. Data integrity a User data protection: Stored data integrity 13. Record retention No direct mapping to a CC category 14. Data Labelling a TOE access 15. Audit a Security audit? 16. Software version control and documentation 17. Time synchronization and time/date formatting 18. Privacy and security incident management 19. Digital certificates and digital signatures a a a Security managementa Security Management No direct mapping to a CC category Cryptographic support

Data subject access to personal information and correction of inaccurate information No direct mapping to privacy (not considered in CC) 4.

12 Dypdykk i sammenligningen Core requirements Common Criteria Category 15. Audit Security Audit 16 Software version control Security Management and documentation 17 Time synchronization Security Management and time/date 18 Privacy and security No direct mapping to a - incident management CC-category

documentation 17 Time synchronization Security Management and time/date 18

13 Hva er problemet med ISO/TS 14441?: Det er ingen standard Det gjenstår relativt mye arbeid (konsensusbygging) for å komme fram til en standard Eksempelbasen er mest fra land med sentrale journaler Er alle begrepene egentlig definert? (PIA som eksempel) Har det vært med mange nok? Er det riktig type ekspertise som deltar? Er underliggende standarder modne nok? Er dette operasjonelt nok?

en standard Eksempelbasen er mest fra land med sentrale journaler Er alle begrepene egentlig

14 Hva er fordelene med ISO/TS 14441? et løft for å drøfte en journal -utfordringene et godt utgangspunkt i en-journals miljø krav til hvor konkrete ISMS-standardene må være (gjelder også 27799) personvernstandarder mindre utviklet tilleggene, med eksempler på ulike lands samsvarsvurderingsopplegg er interessante metodikken, med definering av ToE, og kontinuerlige innføringsprosesser, P-D-C-A kan ha overføringsverdi på andre områder.

konkrete ISMS-standardene må være (gjelder også 27799) personvernstandarder mindre utviklet tilleggene, med

15 Takk for meg!

Like dokumenter

ISO-standarderfor informasjonssikkerhet

Verifying security since 1999 ISO-standarderfor informasjonssikkerhet ISO/IEC 27000-serien Information technology Security techniques oiso/iec 27000 Information security management systems Overview and