Norm for informasjonssikkerhet

5.3.5: Kryptering

Tekniske tiltak skal defineres og etableres slik at all kommunikasjon av helse- og personopplysninger utenfor virksomhetens kontroll krypteres. Kryptering og dekryptering mellom kommunikasjonspunkter i infrastrukturen skal gjøres i godkjent utstyr virksomheten har kontroll med. Kontrollen kan ivaretas gjennom avtale.

All kommunikasjon, enten dette skjer ved hjelp av trådløst samband eller ved hjelp av linjer, skal sikres ved kryptering.

Related tasks

Control over encryption equipment

Critical

High

Normal

Low

Encryption

General, risk-based encryption policy

Critical

High

Normal

Low

Encryption

Secure transfer of confidential data outside the organization

Critical

High

Normal

Low

Management of data sets

Protection of data in transit

Critical

High

Normal

Low

Encryption

5.4.2: Endringsstyring

Alle endringer med betydning for informasjonssikkerheten i organisasjon, nettverk- og informasjonssystemer og infrastruktur skal forankres på relevant ledernivå.

Virksomheten skal utarbeide rutiner og iverksette sikkerhetstiltak for endringsledelse som skal omfatte følgende temaer:

identifisering av vesentlige endringer
planlegging og testing av endringer
vurdering av potensielle konsekvenser, for eksempel ved å gjennomføre en risikovurdering og eventuelt en personvernkonsekvensvurdering
godkjennelsesrutiner for endringer
kommunikasjon av plan til aktuelle personer/roller
reserverutiner om endringen må avbrytes, feiler eller uønskede hendelser oppstår
endringslogg med relevante opplysninger
opplæring av berørte brukere/roller
sikre at nettverk- og informasjonssystemer videreutvikles kontinuerlig, herunder at oppdateringer kvalitetssikres, installeres og testes fortløpende

Related tasks

Establishing change management procedures

Critical

High

Normal

Low

Secure development

Ensuring coverage of relevant topics on personnel training and guidance processes

Critical

High

Normal

Low

Cyber security training

Change management procedure for significant changes to data processing services

Critical

High

Normal

Low

Secure development

Unit- or role-specific security guidelines

Critical

High

Normal

Low

Security guidelines

Evaluation process and documentation of significant security-related changes

Critical

High

Normal

Low

Risk management

Configuration management and change log

Critical

High

Normal

Low

Network security

Management of information systems and devices in systems management

Critical

High

Normal

Low

Data system management

5.9(1): Tiltak for kontinuitet og tilgjengelighet

Virksomheten skal etablere og iverksette nødvendige sikkerhetstiltak for å kunne opprettholde kontinuitet og motstandsdyktighet ved en hendelse. Dette inkluderer evnen til å forebygge, detektere, håndtere og gjenopprette normaltilstand etter fysiske eller tekniske hendelser som kan påvirke informasjonssikkerheten og personopplysningssikkerheten.

Manglende tilgjengelighet til nettverk- og informasjonssystemene, tjenester og produkter kan medføre skader både for virksomheten, virksomhetens autoriserte brukere, pasienten/brukeren ved ytelse av helsehjelpen, og den registrerte. Virksomheten skal sørge for at nødvendige helse- og personopplysninger er tilgjengelige.

Related tasks

Anomaly criteria for triggering incident response

Critical

High

Normal

Low

Developing an incident response plan for critical information systems

Critical

High

Normal

Low

Continuity management

Availability of data systems and procedures to protect their availability

Critical

High

Normal

Low

Data system management

5.7.4.2: Innhold i databehandleravtale

En databehandleravtale kan være en frittstående avtale mellom partene, eller en integrert del av et annet avtaleverk. Databehandleravtalen skal være skriftlig.

Innholdet i databehandleravtale er regulert i personvernforordning artikkel 28 Databehandler (lovdata.no). Se mer om bruk av databehandler i Normens faktaark for bruk av databehandler (faktaark 10)

Databehandlerens selvstendige ansvar for informasjonssikkerhet og for ivaretakelse av de registrertes personvern skal presiseres.

Det skal fremgå av avtalen at databehandler forplikter seg til å oppfylle lovbestemte krav, samt de kravene fra Normen som er relevante for det aktuelle avtaleforholdet.

Related tasks

Data processing agreement template

Critical

High

Normal

Low

Management of operational technologies

5.5.5: Håndtering av utstyr med internettforbindelse

Teknisk utstyr, f.eks. medisinsk utsyr, eller applikasjoner som kobles til Internett, skal inkluderes i virksomhetens arbeid med informasjonssikkerhet og personvern, herunder i risikovurderinger, tilgangsstyring og rutiner for bruk.

Virksomheten skal etablere

tekniske tiltak som bidrar til å hindre utilsiktet utlevering og uautorisert tilgang til helse- og personopplysninger
logging for å kontrollere at regler ikke brytes. Regelbrudd skal håndteres som avvik.

Related tasks

Management of internet-connected equipment

Critical

High

Normal

Low

4.3: Innebygd personvern

Innebygd personvern er et sentralt krav i personvernforordningen. Virksomheten, både dataansvarlig og deres leverandører, skal stille krav til og ta hensyn til personvern i alle utviklingsfaser av et system eller en løsning. Virksomheten skal sørge for at informasjonssystemene oppfyller personvernprinsippene, se kap. 2.2, og at de ivaretar de registrertes rettigheter.

Dataansvarlig skal velge leverandører som er i stand til å levere tjenester som oppfyller lovbestemte krav og krav i Normen. Leverandører skal bidra til at dataansvarlig som tar i bruk leverandørens produkter og tjenester, kan oppfylle disse kravene. Om nødvendig skal partene gå i dialog for å finne riktige tiltak for å kunne oppfylle kravene.

Related tasks

Minimum requirements for partner companies to gain access to different levels of information

Critical

High

Normal

Low

Supplier security

Documentation of partner contract status

Critical

High

Normal

Low

Built in and default data protection in systems development (Privacy by design)

Critical

High

Normal

Low

Secure development

5.2.3: Kontroll av tilgang

Virksomhetens ledelse skal påse at det jevnlig gjennomføres styring og kontroll av hvem som har elektronisk tilgang til og bruker virksomhetens nettverk- og informasjonssystemer. Gjennomgang og kontroll av tilgangsstyring, herunder tildelte autorisasjoner, skal foretas av den enkelte leder:

ved organisasjonsendringer, overflytting av personell til annen enhet/avdeling eller endring av arbeidsområde.
minimum årlig (gjerne i forbindelse med sikkerhetsrevisjon).
Ved sikkerhetsbrudd for det som blir berørt av bruddet.

Dersom kontrollen fører til mistanke om at det har skjedd en urettmessig tilgang, skal virksomhetens ledelse varsles. For øvrig skal hendelsen behandles iht. etablerte rutiner for avviksbehandling, særlig med henblikk på å få avklart om eksisterende tilgangskontroll er god nok. Misbruk av selvautorisering skal følges opp som avvik. Dersom kontrollen viser at det har skjedd en urettmessig tilgang, skal dette behandles som et avvik.

Ved bruk av tilgang til helseopplysninger mellom virksomheter skal avtalepartene samarbeide om kontroll av tilganger. Den dataansvarlige som har adgang til å autorisere helsepersonell for tilgang, skal løpende kontrollere:

hvem i egen virksomhet som elektronisk har hentet frem helseopplysninger fra annen virksomhet.
hvorfor dette er gjort.
tidsperioden helseopplysningene er hentet frem.

Dersom kontrollen viser at noen urettmessig har hentet frem helseopplysninger, skal virksomheten opplysningene er hentet fra, og pasienten/brukeren opplysningene gjelder, varsles. Avviket skal behandles iht. etablerte rutiner for avviksbehandling.

Related tasks

Monitoring of cross-organizational data access

Critical

High

Normal

Low

Access control and authentication

Periodic review of access rights

Critical

High

Normal

Low

Regular reviewing of data system access rights

Critical

High

Normal

Low

Access control and authentication

Review of access right for changed employee roles

Critical

High

Normal

Low

Changes in employment relationships

Personnel guidelines for reporting security incidents

Critical

High

Normal

Low

Access control and authentication

Creating and maintaining an access control policy

Critical

High

Normal

Low

Informing and data subject requests

4.2: Sikring og muliggjøring av den registrertes rettigheter

Den registrerte har en rekke rettigheter ved behandling av helse- og personopplysninger. Virksomheten skal legge til rette for tekniske, organisatoriske, fysiske og personellmessige tiltak, slik at den registrerte kan få innfridd sine rettigheter.

Related tasks

Ensuring the timeliness of privacy communication

Critical

High

Normal

Low

Testing the clarity of privacy communications

Critical

High

Normal

Low

Informing and data subject requests

Treatment process and documentation of occurred security incidents

Critical

High

Normal

Low

Informing and data subject requests

Privacy notices -report publishing and maintenance

Critical

High

Normal

Low

Documentation of data disclosures for data stores

Critical

High

Normal

Low

Data transfer and disclosure

5.8.3: Varsling og oppfølging av alvorlige hendelser i helse- og omsorgstjenestene

Virksomheter som yter helse- og omsorgstjenester, skal varsle Statens helsetilsyn om avvik som følge av feil og avvik på informasjonssystemer. Varslingsplikten utløses ved dødsfall eller svært alvorlig skade på pasient eller bruker som følge av ytelse av helse- og omsorgstjenester når utfallet er uventet ut fra påregnelig risiko

Ved slike hendelser skal virksomheten

følge opp og informere pasienter og pårørende
gjennomgå hendelsen
identifisere og følge opp risikoreduserende tiltak

Related tasks

Notification of serious patient harm to the supervisory authority

Critical

High

Normal

Low

5.2.1.2: Tilgang til helse- og personopplysninger mellom virksomheter

Virksomheten skal ha kontroll og oversikt over all behandling av helse- og personopplysninger som den er ansvarlig for, inkludert tilgjengeliggjøring av opplysninger til andre virksomheter:

det skal gjennomføres risikovurdering ved oppstart eller endring av tilgjengeliggjøring av opplysninger for andre virksomheter.
dataansvarlig og virksomhetene som gis tilgang til opplysninger hos dataansvarlig, skal avklare gjennom avtale eller på annen måte hvordan

brukerautentisering skal foregå på sikker måte (f.eks. to- eller flerfaktorautentisering)
autorisering til helseopplysninger hos dataansvarlig skal foregå
logging og oppfølging av logger skal foregå

Related tasks

Process for sharing data with external organisations

Critical

High

Normal

Low

Processing principles and accountability

Executing and documenting data protection impact assessments

Critical

High

Normal

Low

Documentation of bases for personal data transfer for relevant partners

Critical

High

Normal

Low

Data transfer and disclosure

Documentation of data disclosures for data stores

Critical

High

Normal

Low

Data transfer and disclosure

5.7.4.1: Databehandlers underleverandører

Databehandleren skal ikke engasjere underleverandører uten at det på forhånd er innhentet særlig eller generell skriftlig tillatelse til dette fra den dataansvarlige. Dersom det er innhentet en generell, skriftlig tillatelse, skal databehandleren underrette den dataansvarlige om eventuelle planer for endring av underleverandører. Den dataansvarlige skal kunne motsette seg slike endringer.

Databehandleren er ansvarlig for at sine underleverandører oppfyller sine forpliktelser.

Underleverandør og andre som utfører arbeid for eller på vegne av virksomheten, og som kan få tilgang til virksomhetens nettverk- og informasjonssystemer har et selvstendig ansvar for å overholde nødvendige krav til informasjonssikkerhet og for ivaretakelse av de registrertes personvern. Det skal fremkomme av avtalen med leverandøren at underleverandører har samme plikter som databehandler etter databehandleravtalen. Dette skal reguleres i avtale mellom databehandler og underleverandør. Avtalen skal kunne gjøres tilgjengelig for dataansvarlig.

Related tasks

Process for managing subcontractor changes

Critical

High

Normal

Low

Managing contracts with sub-processors

Critical

High

Normal

Low

Security and responsibilities

Passing client requirements on to relevant partner organizations

Critical

High

Normal

Low

5.4.4: Logging

For å oppdage brudd eller forsøk på brudd skal det som minimum logges:

autorisert bruk av informasjonssystemene
all system- og administratorbruk til nettverk- og informasjonssystemer og infrastrukturen
endring av konfigurasjon og programvare
sikkerhetsrelevante hendelser i sikkerhetsbarrierer
forsøk på uautorisert bruk av nettverk- og informasjonssystemer og infrastrukturen
bruk av selvautorisering

Følgende skal som minimum registreres i loggene ved autorisert bruk av behandlingsrettet helseregister:

identiteten til den som har lest, rettet, registrert, endret eller slettet helse- og personopplysninger
organisatorisk tilhørighet
grunnlaget for tilgjengeliggjøringen
tidsperioden for tilgjengeliggjøringen

Ved behandling av helse- og personopplysninger for andre formål enn ytelse av helse- og omsorgstjenester skal kravene til logging besluttes på grunnlag av en risikovurdering.

Følgende bør vurderes logget i tillegg til minimumskravene:

rollen den autoriserte brukeren har ved tilgangen
virksomhetstilhørighet
type opplysninger det er gitt tilgang til
hvem som har fått utlevert helseopplysninger som er knyttet til pasientens eller brukerens navn eller fødselsnummer

Loggene skal enkelt kunne analyseres ved hjelp av analyseverktøy med henblikk på å oppdage brudd.

Det skal etableres rutiner for å analysere loggene slik at hendelser oppdages før de får alvorlige konsekvenser. Dersom brudd avdekkes, skal dette håndteres som et avvik.

Det skal etableres rutiner for ved behov å kunne sammenholde loggene med autorisasjonsregister.

Loggene og autorisasjonsregister skal sikres mot endring og sletting.

Logger skal ha korrekt tidsstempel.

Logger som genereres ved ytelse av helsehjelp, skal lagres til det ikke antas å være bruk for dem.

Logger av sikkerhetsmessig betydning bør oppbevares så lenge som nødvendig for å oppnå formålet.

Related tasks

Process for secure logging, monitoring and management of access to health and personal data

Critical

High

Normal

Low

Logging requirements for health registers

Critical

High

Normal

Low

Temporal information for all system and security logs

Critical

High

Normal

Low

Defining events that need to be logged

Critical

High

Normal

Low

Determine a strategy and guidelines for security monitoring

Critical

High

Normal

Low

Deployment and regular analysis of security system logs

Critical

High

Normal

Low

Automatic log data analyzation

Critical

High

Normal

Low

Data system log review

Critical

High

Normal

Low

Documentation of system logs for self-maintained data systems

Critical

High

Normal

Low

Protecting log information

Critical

High

Normal

Low

5.7: Leverandøravtaler og ansvar for etterlevelse av Normen

Dataansvarlig har det overordnede ansvaret for å oppfylle lovbestemte krav og krav i Normen. Leverandøren skal tilrettelegge for at dataansvarlig, ved bruk av leverandørens infrastruktur, produkter og tjenester, oppfyller disse kravene. Dette innebærer at leverandøren må implementere nødvendige prosedyrer og sikkerhetstiltak, for å sikre etterlevelse av krav i Normen.

Dataansvarlig skal ha retningslinjer for forvaltning av leverandøravtaler og til enhver tid ha en oppdatert oversikt over disse avtalene. Leverandøravtalene skal regelmessig evalueres og revideres for å sikre at kravene til informasjonssikkerhet ivaretas.

Related tasks

Inclusion of preparedness, physical and cybersecurity requirements in supplier agreements

Critical

High

Normal

Low

Supplier agreement review and non-compliance actions

Critical

High

Normal

Low

Security agreement with a supplier

Critical

High

Normal

Low

Supplier security

Monitoring suppliers' compliance with security requirements

Critical

High

Normal

Low

Evaluation of data processing agreement for important data processors

Critical

High

Normal

Low

Documentation of partner contract status

Critical

High

Normal

Low

5.4.5: Styrig og håndtering av tekniske sårbarheter

Styring og håndtering av tekniske sårbarheter skal følge rutinene for endringsstyring. Virksomheten skal ha rutine for å skaffe seg informasjon om tekniske sårbarheter i nettverk- og informasjonssystemer, utstyr og programvare.

Utgangspunktet for styring og håndtering er oversikt over:

IKT-utstyr
programvare: programvaren, leverandør, versjonsnumre, hvilken versjon som er installert hvor, og hvem som har ansvaret for programvaren

Det skal etableres rutiner og operative tiltak som ivaretar:

ansvaret for overvåkning, risikovurdering, korrigering og koordinering
ansvaret for sikkerhetsovervåkning av nettverk- og informasjonssystemer for å avdekke hendelser
hvordan virksomheten skal reagere og varsle om sårbarheter
prioritering og etablering av tidslinje for korrigering
at alle korrigeringer bør testes før de implementeres

Related tasks

Regular vulnerability scanning

Critical

High

Normal

Low

Initial treatment of identified technical vulnerabilities

Critical

High

Normal

Low

Selecting and tracking data sources for vulnerability information

Critical

High

Normal

Low

Process for managing technical vulnerabilities

Critical

High

Normal

Low

Regular monitoring of the vulnerability management process

Critical

High

Normal

Low

Update and patch management

Maintenance and updates of security systems that detect vulnerabilities

Critical

High

Normal

Low

Defining metrics related to vulnerability management

Critical

High

Normal

Low

Monitoring the use of the network and information systems to identify anomalies

Critical

High

Normal

Low

5.7.1: Krav til konfidensialitet for leverandører

En leverandør kan håndtere helse- og personopplysninger enten ved behandling på vegne av den dataansvarlige, ved tjenesteutsetting eller ved at det ytes f.eks. vedlikeholdstjenester som innebærer at leverandørens ansatte kan eksponeres for taushetsbelagt informasjon. Leverandøren skal forsikre at de har rutiner som pålegger alle medarbeidere taushetsplikt om helse- og personopplysninger og annen taushetsbelagt informasjon.

Leverandøren kan selv administrere og oppbevare taushetserklæringer for eget personell, men den dataansvarlige skal sikres innsyn ved behov.

Related tasks

Verification of supplier personnel confidentiality

Critical

High

Normal

Low

Documentation of partner contract status

Critical

High

Normal

Low