Helseforetakenes senter for Pasientreiser ANS 2/2014

Transkript

1 Helseforetakenes senter for Pasientreiser ANS 2/2014 Rapport - Revisjon av Intern styring og kontroll i tilgangsstyring og endringshåndtering i ITsystemet NISSY Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 1 av 14

2 Tidsrom for revisjonen Virksomhet Helseforetakenes senter for pasientreiser ANS Rapportmottaker Administrerende direktør Kopi (endelig rapport) Styret v/styreleder Rapportavsender Internrevisjonen Oppdragsgiver Styret Oppdragsleder Nils Harald Børve Revisjonsteam Nils Harald Børve / Tove Kolbeinsen Kundevarlig Tove Kolbeinsen Innholdsfortegnelse 1. Sammendrag Kort om området som skal revideres Formål, problemstillinger og metode Revisjonskriterier Vurderingskriterier Oppsummering av funn Vedlegg Informasjonsgrunnlag Gjennomførte intervjuer Saksgang Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 2 av 14

3 1. Sammendrag Hovedfunn Område A og B tilgangsstyring Internrevisjonen har gjennomført en oppfølgingsrevisjon i forhold til anbefalinger og styrets vedtatte tiltaksplaner som fulgte av rapport 2/2013 på området tilgangsstyring NISSY. Fokus har vært på i hvilken grad tiltakene er implementert, og fungerer etter hensikten, og om det er akseptabel risiko på revidert områder etter gjennomføring av tiltakene. Hovedkonklusjonen på området er at styrets vedtatte tiltak er delvis fulgt opp. Det er ikke er etablert rutiner for håndtering av brukerkontoer, herunder systemadministratorer som Pasientreiser ANS er ansvarlig for. Vi mener også at det foreligger en restrisiko som innebærer at det fortsatt foreligger risiko for at det er aktive brukerkontoer i NISSY, som kan benyttes til misbruk. Denne risikoen ligger ikke hos Pasientreiser ANS alene. Vi anbefaler at risikoen vurderes i årlig tverrgående risikovurdering som skal gjennomføres sammen med helseforetakene. Arbeidet bør gjerne bygge videre på anbefalingene til Administrerende direktør jfr. Sak Område C test og release Fokuset har vært på i hvilken grad virksomheten har gode prosesser for test og release av endringer som minimerer risiko for feil. Hovedkonklusjonen på området er at Pasientreiser ANS har jobbet godt med test og endringsprosedyrene siden 2011 da internrevisor anbefalte å forbedre test og endringsprosedyrene i virksomheten etter en gjennomgang av IKT området. Vi har funnet noen mindre svakheter og forbedrings punkter som kan bidra til å forbedre prosessen ytterligere. Konklusjoner Det er observert mindre svakheter i styring og kontroll i prosessene som er kartlagt. Det bør settes i verk tiltak. Område A og B tilgangsstyring Prosesser for tilgangsstyring er ikke etablert. Pasientreiser ANS har gjort en ryddejobb og implementert tiltak som har fjernet muligheten for å opprette falske brukeridentiteter av rekvirentene selv. Det er vår Anbefalinger Område A og B tilgangsstyring Pasientreiser ANS og helseforetakene må drøfte risiko, behov og utarbeide felles prinsipper og rutiner for tilgangsstyring i NISSY. Arbeidet må gjerne bygge på anbefalingene til Administrerende direktør jfr. Sak Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 3 av 14

4 vurdering at det fortsatt er risiko for at det eksisterer falske brukerkontoer som kan benyttes til misbruk. Område C test og release Flere dokumenter er ikke oppdatert etter endringer i organisasjonen. Hvem som har ansvaret for prosedyrene var på revisjonstidspunktet ikke avklart. Det er i liten grad brukt risikovurderinger i endringsprosessen. Det er funnet forbedringer i kravspesifikasjon/tilbud fra leverandør hva gjelder estimat på arbeid med produksjonssetting. Det er avvik fra gjeldene rutiner hva gjelder beslutning om endring i systemeierforum. Område C test og release Rutiner og prosedyrer må oppdateres ved organisasjonsendringer eller andre endringer i virksomheten. Vi anbefaler mer aktiv bruk av risikovurderinger. Vi anbefaler at Pasientreiser ANS legger inn et krav om å estimere omfang av arbeid med produksjonssetting fra leverandørene. Pasientreiser ANS må etterleve, eller tilpasse egne rutiner hva gjelder beslutning om endringer i systemeierforum 2. Kort om området som skal revideres Beskrivelse av område/prosess som er revidert Revisjon av intern styring og kontroll knyttet til tilgangsstyring og test og utrulling av nye versjoner i IT systemet NISSY. Målsettinger for området/prosessen som er revidert I handlingsplanen etter revisjon av tverrgående prosesser i 2013 er ulike aktiviteter planlagt gjennomført i 2014, herunder tiltak knyttet til tilgangsstyring i NISSY. Målsetningen for revisjonen er å undersøke om Pasientreiser ANS har gjennomført de tiltak som avtalt på en god og effektiv måte. Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 4 av 14

5 Avgrensninger I tillegg vil internrevisjonen se på test og release av nye versjoner i NISSY. Målsetningen med revisjon av test og release av NISSY er å sikre at det er lagt til grunn gode prosesser som reduserer risiko for feil ved utrulling av nye versjoner. Revisjonen skal utelukkende se på det som inngår i Pasientreiser ANS sitt ansvarsområde, revisjonen skal ikke se på aktiviteter eller ansvarsområder som ligger under de enkelte helseforetak eller regionale helseforetak. Internrevisjonen vil ha fokus på om Pasientreiser ANS har lagt til rette for og etablert de tiltak som er nødvendig for effektive prosesser på de aktuelle områdene. 3. Formål, problemstillinger og metode Formål med revisjonen Problemstillinger som skal undersøkes Metode Formålet med oppfølgingsrevisjonene er å bekrefte i hvilken grad tiltak vedrørende tilganger i revisjon 1/2013 er gjennomført. Formålet med revisjon av test og release er å bekrefte i hvilke grad PAS har innført tiltak som reduserer risiko for feil ved nye releaser. A. I hvilke grad Pasientreiser ANS har forbedret rutiner og manuelle kontroller for tildeling, endring og avslutning av tilganger i NISSY. B. I hvilke grad Pasientreiser ANS har gjennomgått tildelte tilganger og fjernet/korrigert uriktige tilganger. C. Revisjonen skal særskilt se på hvordan de planlegger, gjennomfører, tester og ruller ut nye endringer i NISSY. Prosjektet vil særskilt ta utgangspunkt i det arbeidet som er lagt til grunn i den forekommende leveransen av NISSY. Planlegging av revisjon og oppstart Innhente informasjon om gjennomførte tiltak Innhente informasjon/prosessbeskrivelse om Pasientreiser ANS sine prosesser for test og release av nye versjoner i NISSY Innledende risikoanalyse og avgrensning av revisjonen Utarbeide revisjonsprogram Intervjuer, gjennomgang av dokumentasjon hos Pasientreiser ANS Evaluere grad av gjennomføring av vedtatte tiltaksplaner Evaluere design av prosess for test og utrulling Teste effektiviteten i tiltak og prosesser Resultatene fra prosjektet bearbeides i rapports Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 5 av 14

6 form 4. Revisjonskriterier Revisjonskriterier For område A og B tilgangsstyring i NISSY er revisjonskriteriene utarbeidet med utgangspunkt i anbefalinger og vedtatte tiltak i internrevisjonsrapport 2/2013. For området C, test og release i IT systemet NISSY, bygger revisjonskriteriene på anerkjente standarder som ISO27001, COBIT, ISTQB og rammeverk for intern styring og kontroll som eks. COSO. 5. Vurderingskriterier Vurderingskriterier Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen som er kartlagt. Det er ikke behov for tiltak. Det er observert feil og/eller svakheter i styring og kontroll i prosessen som er kartlagt. Det bør settes i verk tiltak. Det er observert vesentlige feil og/eller svakheter i intern styring og kontroll i prosessen som er kartlagt. Det må settes i verk tiltak. Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 6 av 14

7 6. Oppsummering av funn Oppfølgingsrevisjon 1/2013 Tilgangsstyring i NISSY Nr Kriterier Observasjon Vurdering/Anbefaling 6.1 Rutiner og manuelle kontroller for tildeling, endring og avslutning av tilganger i NISSY bør forbedres. Tildelte tilganger på området må gjennomgås. Observasjon 1 Det er ikke skriftlige rutiner for tildeling, endring og avslutning av tilganger i NISSY for brukerkontoer som Pasientreiser ANS er varlig for. Det er heller ikke etablert felles rutiner eller prinsipper mellom Helseforetakene og Pasientreiser ANS for hvordan dette med brukerkontoer skal håndteres for å redusere risikoen. Pasientreiser ANS selv har en stabil brukermasse med systemadministratorer der de mener risikoen er begrenset fordi de har få brukere og lite endringer i personell med behov for tilgang. Volumet av brukerkontoer ligger ute hos helseforetakene og rekvirentene. Rekvirentene er det helseforetakene som administrerer. Pasientreiser ANS påpeker at arbeidet med å etablere felles rutiner eller prinsipper må gjennomføres i fellesskap med helseforetakene og inngår ikke i Pasientreiser ANS sitt ansvar alene. Pasientreiser ANS har belyst risiko med tilgangsstyringen i egen risikovurdering overfor styret i sak I dette notatet anbefaler Administrerende direktør: Foreløpige funn og anbefalinger fra internrevisjonenes rapport viser at tilgangsstyringen i rekvirentmodulen i Det er observert mindre svakhetet i styring og kontroll i prosessen som er kartlagt. Det bør settes i verk tiltak. Til observasjon 1 Det er ikke utarbeidet skriftlige rutiner for tildeling, endring og avslutning av tilganger i NISSY. Til observasjon 2 Det er vår vurdering at kontrollen dekker risikoen med gamle/ubrukte kontoer, men dekker i liten grad risikoen med at det kan eksistere kontoer med falske identiteter som kan benyttes til misbruk av systemet. Til observasjon 3 Tiltaket er gjennomført. Tiltaket bidrar til at muligheten for å opprette duplikater og falske identiteter som kan brukes til misbruk begrenses. Oppsummering og anbefaling: Prosesser for tilgangsstyring i NISSY er ikke etablert hos Pasientreiser ANS. Pasientreiser ANS har gjennomført en ryddejobb og implementert tiltak som har fjernet muligheten for å opprette falske brukeridentiteter av rekvirentene selv. Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 7 av 14

8 NISSY ikke er optimal. Administrerende direktør anbefaler derfor tiltak for å utrede dagens utfordringer bedre og konsekvensutrede effekten av eventuelle endringer i systemet og nye prosedyrer. Disse tiltakene anbefales: Strakstiltak Vurdere etablert tilgangsordning nasjonalt Fremtidige tiltak: Eventuelle omfattende systemendringer inkluderes i vurderingen av fremtidsrettet løsning for reiser med rekvisisjon. Det er vår vurdering at det fortsatt er en risiko for at det eksisterer falske brukerkontoer som kan benyttes til misbruk, men denne problemstillingen / ansvar ligger ikke hos Pasientreiser ANS alene. Internrevisjonen anbefaler at Pasientreiser ANS og helseforetakene drøfter risiko gjennom årets felles risikovurdering. Her bør de vurderer behov og utarbeider felles prinsipper og skriftlige rutiner for tilgangsstyring i NISSY på tvers. Arbeidet bør gjerne bygge videre på anbefalingene til Administrerende direktør jfr. Sak I tillegg bør det enkelte pasientreisekontor vurdere å gjennomgå gitte tilganger. Observasjon 2 Det er gjennomført en automatisk gjennomgang av alle brukerkontoer i NISSY, slik at alle brukerkontoer som ikke har vært i bruk på 6 måneder automatisk har blitt stengt. Det er midlertidig mulig å automatisk re-aktivisere brukerkontoen dersom en er registret med en gyldig e- postadresse. Observasjon 3 Muligheten for å opprette nye brukerkontoer er fjernet for brukere av typen "rekvirent". Muligheten for å opprette nye rekvirenter i NISSY kan nå kun utføres av systemadministratorer hos Pasientreiser ANS og helseforetakenes pasientreisekontorer med adgang til dette. Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 8 av 14

9 Test og release i NISSY Nr Kriterier Observasjon Vurdering/Anbefaling 6.2 Det skal være utarbeidet policyer og retningslinjer for test og release av nye versjoner i NISSY som bidrar til å redusere risiko for feil. Observasjon 1 Det er dokumentert skriftlige policyer og strategier for gjennomføring av test og release. Det foreligger også oversiktlig prosessdokumenter for hvordan test og release skal gjennomføres sammen med tilhørende støttedokumentasjon som maler og skjemaer. Observasjon 2 Internrevisor merker seg at det er gjennomført omorganiseringer knyttet til "IT roller" i Pasientreiser ANS, herunder test. Gjeldene dokumentasjon er ikke oppdatert i forhold til omorganiseringen, og eierskap til å videreutvikle og forvalte testmetode og dokumentasjon var på revisjonstidspunktet ikke avklart. Observasjon 3 Internrevisor merker seg at prosessen i liten grad har en risikotilnærming til endringen i forhold til kompleksitet. Til tross for at risikovurdering i liten grad er nevnt i prosedyrene, har Pasientreiser ANS fremvist risikovurdering for en endring: SMS i NISSY 4.5 ble risikovurdert. Det er observert en mindre svakhetet i styring og kontroll i prosessen som er kartlagt. Det bør settes i verk tiltak. Pasientreiser ANS bør oppdatere gjeldene dokumentasjon og sikre at ansvaret for endringsrutiner, metode o.a. følges opp og videreutvikles. Vi anbefaler mer aktiv bruk av risikovurderinger. Internrevisjonen anbefaler at det for hver endring gjennomføres en kortfattet risikovurdering. Vi anbefaler også at leverandørene som et ledd i sin besvarelse uttaler seg om risikomomenter i endringen. Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 9 av 14

10 6.3 Policyer og retningslinjer for endringsstyring skal være kommunisert til relevante ansatte. 6.4 Det skal være etablert en prosedyre for å foreta registrere og vurdere endringsønsker. 6.5 Det skal eksistere gode prosedyrer for kravspesifikasjon til leverandør, tilbud og beslutning om bestilling som ivaretar endringsønsket og minimerer risiko. Intervjuede personene har inngående kunnskap og kjennskap om policyer og retningslinjer for endringsstyring. Det er også god kompetanse på anerkjente teststandarder som ISTQB standarden i virksomheten. Gjeldene prosess ivaretar kravet. Internrevisor har inspisert og testet at utvalgte ønsker har blitt registret i eget skjema og behandlet i rette fora iht. gjeldene prosess. Gjeldene prosess ivaretar kravet. Internrevisor har inspisert og testet rutiner og utvalgte endringsforespørsler. Vi observerer at de er godt dokumentert med endringsønsker, løsningsforslag fra leverandør og estimater på pris og omfang på selve endringen. Internrevisor merker seg at arbeidet med produksjonssetting ikke prises eller estimeres i løsningsforslaget. I følge Pasientreiser ANS har prisen på produksjonssetting vært stabil, og prisen har aldri vært uforventet høy. Pasientreiser ANS har derfor ikke betraktet dette som en risiko. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen som er kartlagt. Det er ikke behov for tiltak. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen som er kartlagt. Det er ikke behov for tiltak. Det er observert en mindre svakhetet i styring og kontroll i prosessen som er kartlagt. Det bør settes i verk tiltak. Manglende estimater/pris på produksjonssetting kan medføre en økonomisk usikkerhet dersom det skulle oppstå problemer i produksjonssettingen. Vi anbefaler at Pasientreiser ANS legger inn et krav om å estimere arbeid med produksjonssettingen. 6.6 Det skal eksistere gode prosedyrer for en beslutning om å iverksette en bestilling/endring. Gjeldene prosess ivaretar kravet. Internrevisor har inspisert og testet at rutiner og utvalgte endringsforespørsler er behandlet iht. virksomhetens rutine. Vi finner dokumentasjon på at funksjonell arbeidsgruppe har vurdert endringene, men vi kan ikke se at systemeierforum har gjort en konkret beslutning om Det er observert en mindre svakhetet i styring og kontroll i prosessen som er kartlagt. Det bør settes i verk tiltak. Manglende beslutning i systemeierforum er avvik fra egen rutine. Pasientreiser ANS må vurdere om Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 10 av 14

11 6.7 Det skal eksistere gode prosedyrer for deploy til test som minimerer risiko. bestilling av endringene i NISSY 4.6. Dette skulle væt gjort iht. gjeldene rutine. Pasientreiser ANS har framvist dokumentasjon på at systemeierforum ble informert om endringene gjennom referat fra funksjonell arbeidsgruppe, men at det ikke ble gjennomført noe møte eller en konkret beslutning. Gjeldene prosess ivaretar kravet. Internrevisor har inspisert og testet rutine for utvalgte endringer. Vi finner at de er godt dokumentert og gjennomført iht. gjeldene rutine. rutinen/mandat skal tilpasses. Eksempelvis om det skal foretas egen beslutning i systemeierforum eller om dette mandatet kan legges til funksjonell arbeidsgruppe og at systemeierforum informeres. Internrevisor vil anbefale at det gjennomføres en risikovurdering i en tidlig fase, og at endringer som kan karakterers som omfattende eller med høyere risikoprofil bør som minimum besluttes av systemeierforum. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen som er kartlagt. Det er ikke behov for tiltak. 6.8 Det skal eksistere gode prosedyrer for roll-back, og test av disse. 6.9 Det skal eksistere gode prosedyrer for gjennomføring av test, både i QA og i produksjonsmiljø som minimerer risiko Produksjonssetting/aksept av leveransen skal tas av fora/personer med myndighet til dette. Gjeldene prosess ivaretar kravet. Internrevisor har inspisert og testet rutine for utvalgte endringer. Vi finner at de er godt dokumentert og gjennomført iht. gjeldene rutine. Gjeldene prosess ivaretar kravet. Internrevisor har inspisert at det foreligger testplaner og utvalgte endringer er testet. Vi finner at de er gjennomført og dokumentert iht. fastsatt skjema. Gjeldene prosess ivaretar kravet. Internrevisor har inspisert referater fra endringsråd som beslutter dette. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen som er kartlagt. Det er ikke behov for tiltak. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen som er kartlagt. Det er ikke behov for tiltak. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen som er kartlagt. Det er ikke behov for tiltak. Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 11 av 14

12 Årsaks- og konsekvensvurderinger Utfordringene med tilgangsstyring i NISSY har vært en belyst problemstilling over tid, og det er gjennomført ulike vurderinger og tiltak for å minimere risiko. Vi mener det gjenstår en restrisiko og at denne risikoen ikke kan løses av Pasientreiser ANS alene. Risikoen må løses i fellesskap med helseforetakene som besitter kunnskap om rekvirentene og risikoen for misbruk av systemet. I 2011 på pekte Internrevisjonen mangel på interne prosesser knyttet til bl.a. endringshåndtering og testing. Denne revisjonen viser at virksomheten har jobbet målrettet og bra med test og endringsstyring siden den gang. Det er vår vurdering at prosessen er god og velfungerende, men at det foreligger mindre avvik og forbedringsområder som bør vurderes for å redusere risiko ytterligere. Konklusjoner Det er observert mindre svakheter i styring og kontroll i prosessene som er kartlagt. Det bør settes i verk tiltak. Område A og B tilgangsstyring Prosesser for tilgangsstyring er ikke etablert. Pasientreiser ANS har gjort en ryddejobb og implementert tiltak som har fjernet muligheten for å opprette falske brukeridentiteter av rekvirentene selv. Det er vår vurdering at det fortsatt er risiko for at det eksisterer falske brukerkontoer som kan byttes til misbruk. Område C test og release Flere dokumenter er ikke oppdatert etter endringer i organisasjonen. Hvem som har ansvaret for prosedyrene var på revisjonstidspunktet ikke avklart. Det er i liten grad brukt risikovurderinger i endringsprosessen. Det er funnet forbedringer i kravspesifikasjon/tilbud fra leverandør hva gjelder estimat på arbeid med produksjonssetting. Det er avvik fra gjeldene rutiner hva gjelder beslutning om endring i systemeierforum. Anbefalinger Område A og B tilgangsstyring Pasientreiser ANS og helseforetakene må drøfte risiko, behov og utarbeider felles prinsipper og rutiner for tilgangsstyring i NISSY. Arbeidet må gjerne bygge på anbefalingene til Administrerende direktør jfr. Sak Område C test og release Rutiner og prosedyrer må oppdateres ved organisasjonsendringer eller andre endringer i virksomheten. Vi anbefaler mer aktiv bruk av risikovurderinger. Vi anbefaler at Pasientreiser ANS legger inn et krav om å estimere arbeid med produksjonssetting fra leverandørene. Pasientreiser ANS må etterleve, eller tilpasse egne rutiner hva gjelder beslutning om endringer i systemeierforum. Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 12 av 14

13 7. Vedlegg 7.1 Informasjonsgrunnlag I forbindelse med revisjonen mottok internrevisjonen et omfattende dokumentasjonsunderlag. Under er de viktigste dokumentene som er benyttet for å underbygge de konklusjoner som er trukket i rapporten gjengitt. Dok nr Beskrivelse Mottatt Gjennomgått Kommentar 1 Internrevisjonsrapport sak tverrgående prosesser Innhentet selv på web 2 Risikovurdering tilgangsstyring NISSY sak Innhentet selv på web 3 Mandat systemeierforum 4 Mandat NISSY / PRO 5 sak rapport fra internrevisjon om oppfølging av tidligere 6 gjennomførte sak vedlegg revisjoner 2013_Pas Oppfølgingsrevisjon 7 sak redefinering av systemeierrollen 8 sak Risikovurdering Pasientreiser ANS oktober sak vedlegg Akkumulert risikovurdering i Pasientreiser ANS 10 oktober SLA vedlegg oppdatert april SLA vedlegg 2 mandat nytt samarbeidsforum SLA-avtale desember Testpolicy for Pasientreiser ANS 14 Teststrategi for Pasientreiser ANS 15 Prosessflyt test og releas 16 Notater / e-post fra Per Olaf Strøm 17 Notater / e-post fra Nina Kvalheim 18 Ulike skjermbilder og kopi av referater ble innhentet som en del av test av etterlevelse Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 13 av 14

14 Dok nr Beskrivelse Mottatt Gjennomgått Kommentar 19 Risikovurdering release 4.5 NISSY 7.2 Gjennomførte intervjuer Dato Navn/rolle Gjennomført Dokumentert Kommentar Oppstartsmøte Eirik Andersen, Svein Erik Fauskanger, Nina Kvalheim Stedlig revisjon intervjuer og samtaler med Svein Erik Fauskanger, Nina Kvalheim, Per Olaf Strøm og Aleksander Strøm Oppfølgingssamtale med Per Olaf Strøm Oppsummering med Svein Erik Fauskanger og Nina Kvalheim 7.3 Saksgang Omforent prosjektplan Dato Aktivitet Uke Planlegging av revisjon Oppstartsmøte med Pasientreiser ANS Stedlig revisjon Utkast rapport oversendes til Pasientreiser ANS Endelig rapport avstemt med involverte i revisjonen i Pasientreiser ANS Endelig rapport oversendt administrerende direktør Styrebehandling av rapport Endelig Revisjonsrapport 2/2014 Internrevisjonen Side 14 av 14