Regionens it-säkerhet når inte lagkraven
Det är några av slutsatserna i den rapport om informationssäkerhetsarbetet i Region Skåne som nu landat på regionstyrelsens bord.
Där framgår att resurserna till området är fortsatt begränsade. Det går att arbetet går långsamt, i en tid där kravet på riskbaserat informationssäkerhetsarbete är stort. Resursbristen gör att arbetet inte kan bedrivas med den kvalitet som förväntas, och att lagkrav inte blir upptäckta och åtgärdade. Det finns även stora potentiella risker, som virusattacker, driftstörningar och hackerattacker.
Några exempel ur rapporten:
• Journalsystem har kritiserats av Datainspektionen och regionen fått vite för att man inte lever upp till lagkravet. Fyra år efter kritiken har fortfarande fyra av dessa datasystem betydande brister i sina möjligheter att se till att patientjournaler är skyddade mot obehörig åtkomst. Det anses inte prioriterat att åtgärda detta eftersom nytt vårdsystem ska rullas ut inom fem år.
• Patientinformation via vårdplatsen 1177 kunde bli åtkomlig för fel mottagare. Först efter riskanalys förstärktes säkerheten i detta.
• Arbetet med e-hälsa och mobila lösningar (appar) har brist på kompetens inom informationssäkerhet. Det gör att analyser av krav från verksamheten, lagar och genomförande inte alltid görs. Det kan leda till allvarliga problem och risker för enskilda och regionen.
• Det nya sammanhållna digitala vårdsystemet (SDV) som ska införas kommer att ha stora beroenden av leverantörens externa personal för att ordna störningar. Denna personal kan finnas utanför Europa, försenas i att komma hit, bli krigsplacerade och då få order att göra annat än att laga datorsystem i Skåne. Därför föreslås en djupare analys av dessa risker.
• Ökad digitalisering innebär att all information, om medicin, patienter, ärenden, bokningar med mera finns i datorstöden, inte längre på papper. Flera av tjänsterna är beroende av molntjänster och de sårbarheter som då kan uppstå. Det måste finnas höga krav på tillgänglighet. I nuläget lagras dock inga patientdata eller sekretessbelagd information i molnen.
• Det nya NIS-direktivet som började gälla i augusti ställer krav på att regionen gör ett systematiskt och riskbaserat informationssäkerhetsarbete, och vidtar åtgärder för att hantera dessa risker. Skåne bedöms i dag inte ha de resurser eller den kompetens som krävs för att göra de åtgärder som lagen kräver. Rekrytering av handläggare pågår.
• Fler och fler företag vill ha tillgång till patientuppgifter för forskning. Det finns en särskild tjänsteman som får ta beslut och lämna ut uppgifter, men all information som lämnas ut har inte följt denna ordning. En översyn bör göras för att se till att patientdata som lämnas ut är beslutade och att det sker på laglig grund.