sou · H8B314 · 2020-03-11 00:00:00 — 4.5Om informationssäkerhet i kommunerna Informationssäkerhet är grundläggande vid all användning av digital teknik. Informationssäkerhet omfattar både administrativa rutiner och tekniskt skydd. Information behöver skyddas så att 75Socialstyrelsen (2019c), s. 45. 76Socialstyrelsen (2019c), s. 50. 77Socialstyrelsen (2019c), s. 50. Digital teknik för vård och omsorg –den är åtkomlig och användbar när den behövs (tillgänglighet), –den går att lita på, är korrekt och inte manipulerad eller förstörd (riktighet) och –så att endast behöriga personer får ta del av den (konfidentialitet). För att kunna påvisa och övervaka dessa tre säkerhetsaspekter måste man också kunna följa hur och när informationen har hanterats och kommunicerats (spårbarhet).78 Enligt Datainspektionen handlar informationssäkerhet framför allt om att hindra information från att läcka ut, förvanskas och förstöras. Det handlar också om att rätt information ska finnas tillgänglig för rätt personer i rätt tid. Information ska inte kunna hamna i orätta händer och missbrukas. Registrerade ska veta vem som använder deras personuppgifter och för vilka syften.79 Den som olovligen bereder sig tillgång till uppgifter som är av- sedda för automatisk behandling gör sig skyldig till dataintrång.80 Även om någon samtyckt eller uppmanat en användare att kontrol- lera något om personen i ett verksamhetssystem kan det resultera i ansvar för dataintrång för den som berett sig tillgång till uppgifterna. Utrednings- och anmälningsskyldighet enligt 7 kap. 6 § och 14 kap. 6–7 §§ socialtjänstlagen (lex ) aktualiseras också. Utgångspunkten är att behörigheten ska begränsas till vad som behövs för att användaren ska kunna fullgöra sina arbetsuppgifter. Ju bredare behörighet en anställd har desto viktigare är det att ha tydliga riktlinjer för när det är tillåtet att ta del av information i verk- samhetssystemet. Behörighetstilldelning blir beroende av flera fak- torer, som hur arbetsuppgifterna ser ut, hur många personer det är som har samma arbetsuppgifter och hur är organise- rad. Det är sällan möjligt att ge en exakt behörighet och ges en för låg behörighet riskerar den anställde att inte kunna utföra sina arbets- uppgifter. En för hög behörighet kan dock medföra att personer får 78www.informationssakerhet.se (dvs. Myndigheten för samhällsskydd och beredskap). 79Se även och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsför- ordning), skäl 47. 804 kap. 9 c § . Digital teknik för vård och omsorg tillgång till personuppgifter och personliga förhållanden som de inte behöver ha tillgång till. Det gäller att hitta en lagom nivå.81 Datainspektionen har kritiserat en nämnd som hade gett anställda behörighet till fler personuppgifter än vad som var nödvändigt för att kunna utföra arbetet inom . Datainspektionen an- såg det rimligt att hemtjänstpersonal har teknisk tillgång till uppgif- ter om kunder inom olika geografiska områden, men för att minska risken för intrång var det nödvändigt att ge personalen anvisning om hur verksamhetssystemet fick användas så att både sekretess- och dataskyddsreglerna följdes.82 Autentisering innebär att kontrollera identitet vid kommunikation mellan två system. Ett begrepp som används i det sammanhanget är säker roll- och behörighetsidentifikation. Med det avses i de flesta fall en stark autentisering där inloggningen även kopplas till en roll. I föreskrifter och allmänna råd83 definieras stark autentisering som kontroll av uppgiven identitet på två olika sätt. Datainspektionen har i sin tillsyn beskrivit stark autentisering som att åtkomst till uppgifterna föregås av en autentisering med två faktorer. Datainspektionen har uttalat att om känsliga eller integri- tetskänsliga personuppgifter får lämnas ut över öppet nät, t.ex. inter- net, ska användarnas identitet säkerställas med en teknisk funktion som ger en stark autentisering. I beslutet framgår att önskvärda egen- skaper hos starka autentiseringslösningar innefattar att användare ska kunna förlora kontrollen över en faktor utan att säkerheten för skyddsobjektet helt går förlorad samt att det ska gå att upptäcka och vidta åtgärder om det händer.84 I kommunerna finns system där personuppgifter behandlas, främst lokala verksamhetssystem för personakter och patient- journaler i den kommunala hälso- och sjukvården. Utöver detta brukar hälso- och sjukvårdspersonal ha tillgång till vissa nationella system, t.ex. kvalitetsregister inom äldreomsorgen, Nationella patient- översikten (NPÖ) eller Pascal.85 Personal som arbetar ute i verksam- 81Socialstyrelsen (2019a). Säker personuppgiftsbehandling i . Rättsläge och ut- gångspunkter, s. 29. 82Socialstyrelsen (2019a), s. 29. 83Socialstyrelsens föreskrifter och allmänna råd om journalföring och behandling av person- uppgifter i hälso- och sjukvården. (HSLF-FS 2016:40) 84Datainspektionens beslut , dnr 643-2015. Datainspektionens beslut , dnr 1805-2015. 85Pascal ordinationsverktyg är ett nationellt verktyg för ordination av dosläkemedel, där patienten får sina mediciner fördelade i påsar. Digital teknik för vård och omsorg heterna behöver ha tillgång till dessa uppgifter i sitt dagliga arbete. skyddas personuppgifter i systemen av sekretess. Syste- men behöver därför vara utrustade med inloggnings- och åtkomst- rutiner för att enbart behörig personal ska få tillgång till uppgifterna. För åtkomst till personuppgifter i och i hälso- och sjukvården krävs som nämnts stark autentisering. Med detta avses i de flesta fall en e-legitimation som är kopplad till en katalog där rollerna finns angivna. Medarbetaren använder e-legitimationen vid inloggning till systemen tillsammans med en personlig pinkod eller ett engångslösenord. Vidare har Datainspektionen i sin tidigare tillsyn ansett att det är viktigt att genomföra logguppföljning (loggning) för att på förekom- men anledning eller genom stickprover kontrollera om det förekom- mer obehöriga slagningar. För att obehörig åtkomst ska upptäckas och för att logguppföljningar ska få en preventiv effekt behövs rutiner för logguppföljningar och tydlig information till personalen. Behovet av logguppföljning följer av säkerhetskraven i artikel 5.1 f och artikel 32 i dataskyddsförordningen, då personuppgiftsansvariga ska vidta tekniska och organisatoriska åtgärder för att skydda be- handlade uppgifter. För att kunna kontrollera åtkomsten av olika uppgifter behöver det finnas behandlingshistorik. När historik över personuppgifts- behandling förs är en grundläggande utgångspunkt att det behöver finnas möjligheter att utreda vem som har gjort vad med vilka upp- gifter och när. Av Datainspektionens inte längre gällande, men till viss del alltjämt relevanta, allmänna råd om säkerhet för person- uppgifter framgår att för att åtkomst ska kunna kontrolleras bör det, beroende på känsligheten hos personuppgifterna, finnas en behand- lingshistorik som sparas och skyddas mot otillåtna änd- ringar. Den bör normalt vara så detaljerad att den kan användas för att utreda felaktig eller obehörig användning av personuppgifter. Be- handlingshistoriken bör, beroende på känsligheten hos uppgifterna, ange t.ex. läsning, ändring, utplåning eller kopiering. I de allmänna råden framgick också att en behandlingshistorik har en förebyggande funktion om användarna informeras om att det förs en behandlings- historik och känner till att den kontrolleras. Klassificering är en grundläggande aktivitet för att skydda infor- mation. Genom att klassa information kan kommunen avgöra vilka åtgärder som behöver genomföras för att säkra riktigheten och hur Digital teknik för vård och omsorg man bäst ska göra informationen tillgänglig för behöriga personer. Vidare identifieras vilken information som behöver skyddas på grund av personuppgifts- och sekretessregler. I samband med en uppfölj- ning av kommunernas informationssäkerhetsarbete rekommende- rade Myndigheten för samhällsskydd och beredskap (MSB):86 –Identifiera vilken information som hanteras i verksamheten. Klassa sedan informationen efter hur allvarliga konsekvenserna skulle bli av bristande informationssäkerhet. Fokusera på den mest kritiska informationen/känsliga informationen. –Etablera och implementera en process för riskhantering och se till att den är spridd inom kommunen. –Identifiera informationssäkerhetsrisker och bedöm dessa. –Se till att omsätta riskanalysens resultat i beslut och konkreta åtgärder. Dessa beslut samt åtgärder bör vara dokumenterade. Detta är särskilt viktigt för de kritiska processerna i kommunen! –Kommunledningen bör ”säkra upp” så att den blir kontinuerligt informerad om informationssäkerhetsriskerna och hanteringen av dessa, särskilt vad avser samhällsviktig verksamhet. –Genomför riskanalys vid varje förändring i kritiska system.87 Över 200 kommuner och sex regioner använder sig av SKR:s verktyg ”Klassa”.88 I verktyget informationssäkerhetsklassas information i ett verksamhetssystem utifrån vilka konsekvenser som uppstår om t.ex. informationen inte kan nås, om den förvanskas eller om det finns brister i vem som får komma åt informationen. En del av arbetet med informationsklassning innebär att fastställa säkerhetsnivåer för dessa konsekvenser utifrån ”försumbar” till ”synnerligen allvarlig” från tre olika perspektiv: konfidentialitet, riktighet och tillgänglighet. Social- tjänstens information om individer som är aktuella hos socialtjäns- ten hamnar i likhet med hälso- och sjukvårdens patientinformation oftast i den högsta säkerhetsnivån i Klassa. 86MSB (2016). Informationssäkerheten i kommuner – Analys och rekommendationer utifrån MSB:s kommunenkät. Se även MSB (2015). En bild av kommunernas informations- säkerhetsarbete 2015. 87MSB har ett metodstöd för systematiskt informationssäkerhetsarbete oavsett verksamhets- område och storlek på organisation. I metodstödet finns vägledningar, verktyg och exempel med mera. Metodstödet finns på webbplatsen 88https://klassa-info.skl.se/ Digital teknik för vård och omsorg I verktyget finns handlingsplaner för autentisering, behörighets- styrning och åtkomstkontroll. I den handlingsplan som klassningen resulterar i finns förslag på åtgärder som verksamheten ska vidta för att uppnå rätt säkerhet i förhållande till den klassade nivån. I verk- tyget finns referenser till dataskyddsförordningen, ISO-standarder m.m.Säkerhetskraven kan tas ut i form av upphandlingskrav.89 Myndigheten för samhällsskydd och beredskap (MSB) har publi- cerat ett Metodstöd för systematiskt informationssäkerhetsarbete90 som riktar sig till den som arbetar med informationssäkerhet, oavsett organisationens verksamhetsområde och storlek. Metodstödet byg- ger på standarden SS-EN ISO/IEC 27001 Ledningssystem för infor- mationssäkerhet.91 MSB har också tagit fram flera vägledningar som riktar sig till medarbetare och chefer i kommuner och regioner samt kommunala och regionägda organisationer som arbetar med sam- hällsviktiga verksamheter, upphandling eller krisberedskap. Upp- handla informationssäkert – en vägledning beskriver ett arbetssätt för att identifiera säkerhetskrav vid olika typer av upphandlingar. Upp- handling till samhällsviktig verksamhet – en vägledning utgör ett stöd för hur kontinuitet, funktionalitet och leveransförmåga kan säker- ställas vid upphandling till samhällsviktig verksamhet. I samband med en undersökning av om säker person- uppgiftsbehandling inom uppgav SKR bl.a. följande.92 Kommuner lägger upp sitt informationssäkerhetsarbete på olika sätt. Det kan finnas en central informationssäkerhetssamordnare på kommunledningsnivå som arbetar gentemot alla nämnderna i kom- munen. Det förekommer dock att de olika nämnderna i stället har informationssäkerhetssamordnare i sina respektive förvaltningar och dessa fungerar då mer självständigt och fokuserar på ”sin” för- 89Att genomföra en klassificeringsworkshop enligt Klassa tar enligt uppgift en halv dag. (2019). Metodstöd för systematiskt informationssäkerhetsarbete. 91År 2011 lanserades det första metodstödet för systematiskt informationssäkerhetsarbete, då under namnet metodstöd för (ledningssystem för informationssäkerhet). Det reviderade Metodstödet är textmässigt avskalat och innehållsmässigt strukturerat på ett delvis annat sätt. Den stora skillnaden är enligt MSB att version fokuserar mer på införandet av ett systematiskt informationssäkerhetsarbete och att detta är upplagt som ett projekt. Det finns inga motsättningar mellan version och den reviderade versionen som lanserades 2018. 92Socialstyrelsen (2019a). Säker personuppgiftsbehandling i , s. 17. Digital teknik för vård och omsorg Olikheterna kan bero på kommunens storlek men även på nämndindelningen. Arbetet med dataskydd och rutiner för säker personuppgiftsbehandling har normalt sett hanterats nära informa- tionssäkerhetsarbetet, men även här finns det variationer. Genom dataskyddsförordningen finns nu en mer tydlig beskrivning av arbets- uppgifterna. För kommuner kan det ändå finnas behov av vägledning på en mer praktisk nivå, framhöll SKR. När en person påbörjar en tjänst behöver personen få tillgång till de system som behövs för att personen ska kunna utföra sina arbets- uppgifter. Det är i regel en enhetschef eller motsvarande som beslu- tar om behörighet för en anställd och en systemförvaltare eller mot- svarande som ser till att den anställde får den beslutade behörigheten i ett visst verksamhetssystem. Det märks av naturliga skäl om en an- ställd inte har tillgång till ett verksamhetssystem i tillräcklig stor ut- sträckning för att kunna utföra sina arbetsuppgifter. Det finns emel- lertid en risk att det inte märks på samma sätt när en person byter tjänst inom en och samma kommun eller nämnd och behörigheten inte längre motsvarar personens arbetsuppgifter. Liksom vid beslut om att en person ska tilldelas en viss behörighet när en tjänst tillträds så är det också viktigt att se till att behörigheten till aktuella verksam- hetssystem upphör när personen avslutar en tjänst som inneburit behov av tillgång till viss information. Det är förstås problematiskt om den tekniska möjligheten att styra behörigheter inte svarar mot behovet av styrning. En åsikt som kommer fram i samtal med verk- samhetsföreträdare är att verksamhetskunskap är nödvändig för att kunna analysera roll- och behörighetstilldelning – arbete med att de- finiera rollerna och koppla dessa till en behörighet är alltså en verk- samhetsfråga och inte en it-fråga.93 Enligt regionala e-hälsosamordnare som varit i kontakt med förekommer inom att anställda använder sitt personliga mobila Bank-ID. En del tycker att det är smidigare än annan säker inloggning. En sådan lösning säger emellertid inte något om användarens roll på arbetsplatsen. Det förekommer att personal inom har en personlig inloggning men där utrustningen delas; exempelvis kan personligt Bank-ID finnas på en smart telefon eller surfplatta som används av flera. Att använda en privat e-legi- timation i tjänsten strider mot principen om att skilja mellan det som görs privat och i tjänsten. Det kan också behövas en e-legitimation 93Socialstyrelsen (2019a), s. 28. Digital teknik för vård och omsorg som inte exponerar den anställdes personuppgifter. Det förekommer alltjämt missuppfattningar om att tvåfaktorsinloggning kan vara det- samma som att en användare har ett användarnamn och ett lösenord, vilket alltså inte är korrekt. En lösning på behovet av säker inlogg- ning är att arbetsgivaren förser sina anställda med e-legitimationer i tjänsten. Detta förenklar även samarbetet mellan olika förvaltningar och myndigheter. Ett grundläggande sätt att upprätthålla informationssäkerhet är att göra regelbundna uppföljningar av risker och behov av utveck- ling. ställde i sin enkät om e-hälsa och välfärdsteknik frågan om kommunen regelbundet (dvs. minst en gång ) följer upp risker och behov av utveckling av informationssäker- heten i . Det var av kommunerna som upp- gav att de gör sådana uppföljningar. Bara ett mindre antal kommuner uppgav att de bedriver ett systematiskt informationssäkerhetsarbete . Många kommuner hade dock påbörjat ett systematiskt arbete under just 2018 med hänvisning till GDPR.94 95 Vidare kan konstateras att i undersökning av e-hälsa och välfärdsteknik i kommunerna 2018 var det av kommunerna som uppgav att de hade informationsklassat alla objekt, medan hade klassat delar. Det var dock av kommunerna som inte hade gjort någon säkerhetsklassning alls.96 De flesta omsorgsföretag som intervjuade gjorde inte några informationsklassningar och riskbedömningar alls. På frågan om arbetet med informationssäkerhet nämnde de flesta att de sett över hanteringen av personuppgifter i samband med att GDPR trädde i kraft . Det nämndes också att man använder krypterad kommunikation, automatisk utloggning ur system (och mobiler) vid en viss tids inaktivitet och att man tagit fram en informationssäker- hetspolicy. Ett företag uppgav att de har genomfört en informations- klassning eftersom kommunen hade krävt detta. I övrigt hade före- tagen inte arbetat med informationsklassning eller uppföljning av några risker som är kopplade till informationssäkerheten.97 94Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG. 95(2016/679/EU), s. 28 f. 96Av de som hade gjort någon klassning var det som använt sig av KLASSA. Fem kommuner hade gjort klassning utifrån MSB:s modell. Andra kommuner hade egna modeller. 97Socialstyrelsen (2019a), s. 51. Digital teknik för vård och omsorg Nationella system som kvalitetsregister, NPÖ och kräver säker roll- och behörighetsidentifikation men många lokala verksam- hetssystem gör det inte. I av kommunerna kräver en del system stark autentisering för inloggning, men bara i av kommunerna gällde det för alla system (2019). I flera kommuner krävs stark autentisering för att komma åt verksamhetssystemet ut- ifrån, t.ex. via mobila enheter, men däremot inte när personalen an- vänder stationära datorer inom kommunens nätverk. Olika personalgruppers möjligheter att logga in på ett säkert sätt skiljer sig åt. Hälso- och sjukvårdspersonal har tillgång till säker roll- och behörighetsidentifikation i större omfattning än socialtjänst- personal. I en majoritet av kommunerna () använder all legitimerad hälso- och sjukvårdspersonal en stark autentisering vid inloggning i verksamhetssystem och andra system där personuppgif- ter behandlas. Lite anmärkningsvärt har dock andelen minskat från till , vilket skulle kunna bero på att kommu- nerna installerar fler system som inte kräver säker inloggning.98 Socialtjänstpersonal använder inte stark autentisering i lika hög utsträckning som hälso- och sjukvårdspersonal. Det finns dessutom skillnader mellan myndighetsutövningen och utförare.99 När det gäller utförande verksamheter ökar andelen kommuner där all perso- nal använder stark autentisering. Det är dock en minoritet av kom- munerna där all personal använder stark autentisering, vilket gäller på alla verksamhetsområden. Flera kommuner som tillämpar säkra inloggningar beskriver dessutom att vikarier och timanställda inte har tillgång till sådan inloggning och därmed inte heller har tillgång till verksamhetssystem och andra system. Liksom kommunernas socialtjänst hanterar vård- och omsorgs- företag information om enskilda personer. Användningen av säkra inloggningar varierar, visar de intervjuer som har gjort års undersökning. Personalen loggar som regel in i verksamhetssystemen med användarnamn och ett personligt lösen- ord som byts med jämna mellanrum. Det förekommer också att per- sonal använder inloggning med stark autentisering genom exempel- vis lösenord på ett lösenordskort, en kod som skickas via sms eller 98Socialstyrelsen (2019a), s. 31. 99Inom äldreomsorgen är det av kommunerna där all handläggande personal an- vänder stark autentisering. Digital teknik för vård och omsorg Det förekommer att enbart hälso- och sjukvårds- personalen använder stark autentisering. I flera företag finns olika sätt att logga in beroende på behörigheter. Det innebär ofta att chefer med högre behörighet använder stark autentisering.100 samlade bild är dessvärre att det systematiska informationssäkerhetsarbetet hos kommuner och andra utförare inom hälso- och sjukvård och socialtjänst uppvisar vissa brister. En förklaring till att kommunerna inte säkrar verksamhets- systemen och andra system kan vara att arbetet med att säkra roll- och behörighetsidentifikationen är en process som berör flera för- valtningar och arbetet är därmed omfattande, komplext och förknip- pat med kostnader. Dagens lösningar för stark autentisering upplevs dessutom ofta som stela och svåra att applicera i alla situationer, t.ex. i mobila lösningar.101 Det tillkommer ibland appar som inte är säk- rade med en stark autentisering. Leverantörerna har gjort bedöm- ningen att en sådan inte är nödvändig och kommunerna litar till stor del på leverantörerna när de köper in välfärdsteknik. ansåg att den svaga utvecklingen när det gäller stark autentisering beror på att kommunerna, och delvis leverantö- rerna, saknar kunskap om att man behöver det för inloggning i de system där personuppgifter behandlas. Bristen på utveckling handlar åtminstone delvis om att inte själva äger frågan om informationssäkerheten för sina verksamheter. Kommunerna har många verksamheter som behandlar uppgifter med olika krav på säkerhet. behov beaktas inte alltid i de kommun- gemensamma lösningarna. Det finns säkra lösningar, men de är svåra att använda i alla delar av verksamheter. Leverantörer har ofta egna lösningar, vilket medför att personalen behöver förhål- la sig till olika inloggningsrutiner i olika appar.102 I rapporten konstaterades att det saknas en nationell reglering av säkerhetsåtgärder som är specifik för personuppgifts- behandling. behandlar personuppgifter som är käns- liga på samma nivå som de personuppgifter som behandlas inom hälso- och sjukvården. Därför kan man när man överväger säkerhets- 100Socialstyrelsen (2019a), s. 51. 101Enligt bygger den vanligaste lösningen på som är kopplade till en där roller och behörigheter finns definierade. är anpassade för hälso- och sjukvårdens personalgrupper och det finns inga generella alternativ som ger samma nivå på säkerheten. Det finns kommuner som väljer att låta personalen använda sin personliga e-legitimation (Bank-ID) för att uppnå stark autentisering. 102Socialstyrelsen (2019a), s. 63. Digital teknik för vård och omsorg åtgärder för personuppgiftsbehandling inom jämföra med vad som gäller för hälso- och sjukvården, ansåg . Enligt är en uppförandekod en möjlighet för sammanslutningar som företräder personuppgiftsansvariga eller personuppgiftsbiträden att inom en viss bransch eller sektor speci- ficera hur man i praktiken ska tillämpa dataskyddsförordningens bestämmelser. Ett samarbete mellan personuppgiftsansvariga inom hälso- och sjukvård och socialtjänst om gemensamma uppförande- koder skulle kunna vara ett sätt att lösa tillämpningsproblemen, menade kommittén.103 Enligt finns inte några godkända uppförandekoder eller certifieringsmekanismer som är av direkt och fullständig relevans för arbete med just säker personuppgiftsbehandling.104 Det finns dock ISO-standar- der i 27000-serien för informationssäkerhet. I dessa finns detaljerade krav för exempelvis behörighetsstyrning.105 4.6Upphandling upplevs som problematiskt Upphandling pekas ofta ut som ett av de största hindren för ett snabbare och bättre införande av välfärdsteknik i vård och omsorg. Det finns visserligen flera utmaningar i upphandlingsprocessen, men i stor utsträckning beror hindren på kommunernas brist på över- gripande strategier för genomförande av upphandlingar snarare än på begränsningar i lagen.