Fortfarande stor risk för intrång i journaler

Det konstaterar revisorerna, som har granskat informationssäkerhetsarbetet inom regionstyrelsen och kollektivtrafiknämnden (Skånetrafiken).

Visserligen finns det ett ledningssystem och riktlinjer, men organisationen för it-säkerhet är klent dimensionerad för en så stor organisation.

I journalsystemet finns en brist som gör att vårdanställda har behörighet till fler journaluppgifter än de behöver. Denna behörighetsstyrning har uppmärksammats tidigare, och anses försvinna när det nya SDV (sammanhållet digitalt vårdsystem) införs. Men tills dess är inte integriteten för patienter helt säkrad.

En skyddsmekanism för detta är att det görs stickprov, loggkontroller av journalerna, men dessa tar mycket tid och resurser i anspråk. Målet är att tio procent av de anställda ska kontrolleras under en tvåårsperiod, men det är inte alla förvaltningar som lever upp till det målet.

Allt fler molntjänster används också inom Region Skåne. Men det finns ingen uttalad strategi eller policy för vilka system som får köpas in, så länge leverantören lever upp till lagkrav och regionens riktlinjer.

Detta kan ibland skapa frustrationer i verksamheten, då informationsklassning och riskanalyser senare ställer krav som ingen molntjänst kan uppfylla när det gäller personuppgifter och sekretessbelagd information. Ibland görs dessa analyser för sent, efter inköp, och då står de med ett upphandlat system som inte kan användas som tänkt.

Revisorerna anser att tydligare anvisningar behövs för att ta fram lämpliga krav på säkerhet och dataskydd för molntjänsterna.

Trots kritiken har regionen ett strukturerat och ändamålsenligt sätt att hantera it-säkerheten på inom de flesta delar.

Det noteras också att trots att det finns informations-säkerhetsansvariga på de flera förvaltningar, så har dessa ingen egen budget och är därmed beroende av andras välvilja för att få resurser.

Dessa kallas i regel också in för sent när det gäller upphandlingar eller tecknandet av avtal. Där pågår ett arbete för att säkerhetskunnigt folk ska kallas in tidigare i dessa processer.