Krav til sikkerhet og personvern hos tjenestesteder som skal koble seg opp til en felles elektronisk pasientjournal Seniorrådgiver Knut Lindelien, Standard Norge
Bakgrunn Stort informasjonsbehov mye informasjon (26 000 ++) Ulikhet i arkitektur, kommunikasjon, begreper. Hinder i regelverk Tvil om sikkerhet og personvern Alle interessert i sikkerhet og personvern
Innhold her En teknisk spesifikasjon, ISO/TS 14441, Health Informatics Security and privacy requirements of EHR Systems for use in conformity assessment Ideen; å lage et opplegg som sikrer informasjonsressursene og gir mulighet for å vurdere samsvaret mellom ønsket og oppnådd sikring Opplegget er ikke endelig. Hva nå?; - a) inviterer til deltakelse for forbedring og - b) prioritere innsats
Samsvarsvurderinger (etter ISO 17000) Samsvarsvurderinger er enkelt nok; - At en stiller krav, måler om disse kravene er oppfylt og erklærer samsvar. I noen tilfelle er det nødvendig med tilsyn for å sikre at samsvaret består. For den som bestiller, den som leverer, de som arbeider med informasjonen og pasienten, for de som berøres av dette (subject of care) Førstepartsvurdering typisk selger/tilvirker Andre parts vurdering typisk kjøper Tredjepartsvurdering - (ekstern)
Hvilke krav bør settes? Innen ISO/IEC har en arbeidet med styringssystemer for informasjonssikring (såkalte ISMSer) Hele 27000-serien av standarder gir et opplegg for prosesser som skal sikre informasjonsressursene. 27000 gir oversikt og definerer begreper 27001 gir krav til styringssystemer for informasjonssikring 27002 gir eksempler på god praksis for å ivareta styringssystemer for informasjonssikring 27003 beskriver hvordan en kan ta i bruk (implementere) styringssystemer for informasjonssikring 27004 beskriver hvordan en kan måle nivået på informasjonssikringen 27005 beskriver risikostyring i forhold til informasjonssikring
Krav forts 2 27001 stiller krav, øvrige dokumenter veileder, eksemplifiser og gir støtteverktøy. En egen spesifikasjon ISO 27799 beskriver hvordan 27002 kan benyttes i helsesektoren TS 14441 ser på samsvarsvurderinger i fire ulike land. (Brazil, UK, US og Canada) Hvilke krav kan en så si at blir de viktige?
Krav forts 3 P-D-C-A Under 27001 ligger en Plan Do Check Act - tankegang. (el. Plan Do Check Implement) Egentlig en lang rekke P-D-C-A sirkler i en organisasjon som skal benytte 27001? Noen standarder er spesielt viktige. Det er normative referanser ISO/TS 14441 benytter. Krav ved å se på fokus i de fire eksempellandene
Lest eller format på kravene Time synchronization and time/date formatting Core requirements: Time format: POS clinical systems should adopt a uniform presentation of time for control and audit. Clock synchronization: POS clinical systems shall support time synchronization using NTP/SNTP, and use this synchronized time in all security records of time. Detailed requirements: Time format in exported records: All time data for control and audit found in exported data (other than time stamp requests to, or responses from, a Time Stamping Authority) shall be represented in the ISO 8601:2004 format, indicating the difference between local time and UTC
Lest eller format forts 2 Time source: POS clinical systems shall use a consistent and secure time source. POS clinical systems shall support time synchronization using IET Network Time Protocol (NTP) or Simple Network Time Protocol (SNTP). Rationale: Accurate audit logging requires accurate and consistent time stamps. As well, the date and time at which data such as lab results were accessed may have clinical significance. Such time stamps may be heavily relied upon during investigations of medical malpractice. Reference: ISO 27799, ISO 15408, ISO 18308, ISO 27789, ISO 8601
Ulike standarder har ulike krav Krav Omfang og opplegg for hva som er viktig varierer i referansestandardene. Mens en i 27001 har sin gruppering har Common Criteria sin inndeling. (CC el. ISO/IEC 15408 Information technology Security techniques Evaluation criteria for IT security )
Mapping 27001 og CC Core requirement Common criteria category 1. Data subject's consent to collect, use or disclose personal health information No direct mapping to privacy (not considered in CC) 2. Limiting use and disclosure No direct mapping to privacy (not considered in CC) 3. Data subject access to personal information and correction of inaccurate information No direct mapping to privacy (not considered in CC) 4. Data accuracy a User data protection: Stored data integrity 5. User identification and a identification and authentication authentication 6. Access Control a Access: access control policy, access control functions 7. Acceptable Use No direct mapping to privacy (not considered in CC) 8. Session security and timeout a Access: session locking and termination 9. Maintaining data availability a Security management 10. Protecting data during transmission a Cryptographic support: cryptographic operation 11. Protecting data in storage a User data protection 12. Data integrity a User data protection: Stored data integrity 13. Record retention No direct mapping to a CC category 14. Data Labelling a TOE access 15. Audit a Security audit? 16. Software version control and documentation 17. Time synchronization and time/date formatting 18. Privacy and security incident management 19. Digital certificates and digital signatures a a a Security managementa Security Management No direct mapping to a CC category Cryptographic support
Dypdykk i sammenligningen Core requirements Common Criteria Category 15. Audit Security Audit 16 Software version control Security Management and documentation 17 Time synchronization Security Management and time/date 18 Privacy and security No direct mapping to a - incident management CC-category
Hva er problemet med ISO/TS 14441?: Det er ingen standard Det gjenstår relativt mye arbeid (konsensusbygging) for å komme fram til en standard Eksempelbasen er mest fra land med sentrale journaler Er alle begrepene egentlig definert? (PIA som eksempel) Har det vært med mange nok? Er det riktig type ekspertise som deltar? Er underliggende standarder modne nok? Er dette operasjonelt nok?
Hva er fordelene med ISO/TS 14441? et løft for å drøfte en journal -utfordringene et godt utgangspunkt i en-journals miljø krav til hvor konkrete ISMS-standardene må være (gjelder også 27799) personvernstandarder mindre utviklet tilleggene, med eksempler på ulike lands samsvarsvurderingsopplegg er interessante metodikken, med definering av ToE, og kontinuerlige innføringsprosesser, P-D-C-A kan ha overføringsverdi på andre områder.
kli@standard.no Takk for meg!