Orientering om automatisk tilgangsstyring SiO kommuner 2012 Anna Skaset Fagkonsulent Tieto, Velferd anna.skaset@tieto.com

Hvorfor automatisk tilgangsstyring Enkelt å vedlikeholde i Gerica. Tilfredsstiller Datatilsynets krav til innsyn og sikkerhet 2010-09-19

Hva legger Datatilsynet vekt på At journalen er tilgjengelig ved behov Tilgjengelighet • At journalen ikke er tilgjengelig utover behov Konfidensialitet – ikke røpe informasjon til uvedkommende • At journalen er til å stole på Kvalitet & Integritet – informasjonen ikke er skadet eller endret ved tilfeldige feil eller bevisste handlinger fra uvedkommende. 2010-09-19

Lovverket Helseregisterlovens § 13 Kun den databehandlingsansvarlige (m. følge) kan gis tilgang til helseopplysninger Forbud mot ”tilgang på tvers” av virksomheter uten samtykke Kun nødvendig tilgang I samsvar med taushetsplikten Helseregisterlovens § 16 • Krav til informasjonssikkerhet – konfidensialitet, integritet, tilgjengelighet • Elendig tilgangsstyring også et brudd på § 16 2010-09-19

Hva må være i orden? Virksomhetens dokumentasjon Helseregisterlovens § 13 (om tilgang) Helseregisterlovens § 16 (sikkerhet) Helseregisterlovens § 17 (internkontroll) Gitte tilganger ift: Tidsaksen – hvor lenge Populasjon – hvor mange Dybde – hvor mye 2010-09-19

Helseinformasjonssikkerhets-forskriften Forskrift om informasjonssikkerhet ved elektronisk tilgang til helseopplysninger i behandlingsrettede helseregistre (helseinformasjonssikkerhetsforskriften) § 1. Forskriftens formål        Formålet med forskriften er å regulere nødvendig tilgang til helseopplysninger og å bidra til tilfredsstillende informasjonssikkerhet slik at helsehjelp kan tilbys på en forsvarlig og effektiv måte samtidig som personvernet ivaretas. 2010-09-19

Normen Formålet med Normen er: 1. at en virksomhet som etterlever og innretter seg etter Normen har tilfredsstillende informasjonssikkerhet for sin behandling av helse- og personopplysninger, og 2. at de som samhandler med en virksomhet som har forpliktet seg til å innrette seg etter Normens krav, skal kunne stole på at denne virksomheten har tilfredsstillende informasjonssikkerhet for sin behandling av helse- og personopplysninger Normen beskriver og stiller krav til virksomhetenes arbeid med informasjonssikkerhet for helse- og personopplysninger som behandles i forbindelse med pasientbehandling, herunder medregnet også pasientadministrasjon og utlevering av legemidler. Tieto, Stasjonsgt.37

Normen Kjernepunktet i normen punkt 4.2.3 Helse- og personopplysninger skal : Være tilgjenglig for rett medarbeider til rett tid. Behandles i tråd med reglene om taushetsplikt og være beskyttet slik at uvedkommende ikke får kjennskap til opplysningene. Være fullstendige, oppdaterte og korrekte Tieto, Stasjonsgt.37

Normen Med ”elektronisk pasientjournal (EPJ)” menes i Normen elektronisk ført samling eller sammenstilling av nedtegnede/registrerte opplysninger om en pasient i forbindelse med helsehjelp Med ”elektronisk pasientjournalsystem (EPJ-system)” menes i Normen elektroniske systemer med nødvendig funksjonalitet for å registrere, søke frem, presentere, kommunisere, redigere, rette og slette opplysninger i elektronisk pasientjournal (EPJ). Tieto, Stasjonsgt.37

Hva er Automatisk tilgangsstyring og hvordan ta det ibruk. Forutsetninger og prosesser.

Tilgangen styres av nivå på tjeneste Det nivået brukeren har på tjenesten, dvs det tjenestestedet som yter tjenesten - utløser tilgang for den ansatte som tilhører dette tjenestestedet. F.eks De som jobber på dagsenteret, får tilgang til de brukerne som har dagsenterets nivå på tjenesten. 2010-09-19

Tilgang hentes fra: Rolle Gjør det mulig for ansatte å logge seg inn med ulike nivåer. Mindre vedlikehold enn Ansatt-rolle ved endring av nivåene siden en da kan endre nivået på rollen og ikke pr. ansatt. Krever en rolle pr. ”arbeidssted”. Vil gi god oversikt over hvem som har tilgang til hvilke brukere. 2010-09-19

Sette på nivå og fjerne filter fra rollene Nivået legges på rollen – nå er feltet blitt aktivt. Til nå er det sikkerhetsfilteret som har virket –etter at automatisk tilgangsstyring er aktivert er det nivåfiltreringen som virker. 2010-09-19

Forutsetninger Nivåtreet 2010-09-19

Trinn i prosessen Vurdering av nivåtre Utarbeide nytt nivåtre på bakgrunn av prinsipper Etablere en testbase Gammelt og nytt nivåtre må mappes i testversjonen Testkonvertering Tilpasninger – lage nye roller, justere maler, justere filter i rapporter osv. Konvertering 2010-09-19

Lokale tilpasninger Sette på Antall dager: Sikkerhet – Opsjoner – Fanen Ekstra 2010-09-19

Brukers knytninger til nivå 2010-09-19

Versjon 7.33 og ny funksjonalitet 2010-09-19