Norm for informasjonssikkerhet

Control of physical and logical access

Critical

High

Normal

Low

Regular reviewing of data system access rights

Critical

High

Normal

Low

Defining and documenting access roles

Critical

High

Normal

Low

Implementing formal access control processes

Critical

High

Normal

Low

Continuous monitoring of physical access to critical facilities

Critical

High

Normal

Low

Property security

3.2 (tilgjengelighet): Krav for å sikre tilgjengelighet og robusthet

Virksomheten skal sørge for at virksomhetens behandlinger av helse- og personopplysninger har et egnet sikkerhetsnivå i tråd med Normens minimumskrav til informasjonssikkerhet og eventuelt egne informasjonssikkerhetsmål. Normen stiller følgende overordnede minimumskrav til informasjonssikkerhet (konfidensialitet, integritet, tilgjengelighet og robusthet).

Virksomheten skal sikre at helse- og personopplysninger og annen informasjon med betydning for informasjonssikkerheten er tilgjengelig til rett tid.

sikre at helse- og personopplysninger er tilgjengelig iht. tjenstlig behov
sikre sikker og stabil drift av nettverks- og informasjonssystemer, inkludert motstandsdyktighet og evne til å gjenopprette normaltilstand ved hendelser.
sikre at det er etablert tekniske, organisatoriske, fysiske og personellmessige tiltak som muliggjør forebygging, deteksjon, skalerbarhet, håndtering og gjenoppretting
sikre at informasjonssystemene er tilgjengelig iht. virksomhetens tilgjengelighetskrav Brudd på kravene skal behandles som avvik.

Related tasks

Establishing and maintaining the comprehensive ePHI security program

Critical

High

Normal

Low

System capacity planning and resilience

Critical

High

Normal

Low

Regular testing, evaluation, and recovery instructions for backups

Critical

High

Normal

Low

Determining responsibilities for backing up important information assets

Critical

High

Normal

Low

Requirements about information security continuity

Critical

High

Normal

Low

Choosing and using network protection systems

Critical

High

Normal

Low

Virtualization

Availability of data systems and procedures to protect their availability

Critical

High

Normal

Low

Security and responsibilities

Additional processing security measures when handling special categories of personal data

Critical

High

Normal

Low

Changes in employment relationships

5.1.3: Opphør av arbeidsforhold

Når et arbeidsforhold opphører, skal alle medier (herunder digitalt, papir, osv.) som kan inneholde helse- og personopplysninger, leveres tilbake. Adgangskort skal leveres tilbake og deaktiveres All tilgang til virksomhetens nettverk- og informasjonssystemer skal sperres for å sikre at den tidligere ansatte, leverandører og oppdragstakere ikke lenger har tilgang.

Virksomheten skal ha rutiner for å rydde opp i informasjon den ansatte kan ha lagret på egen brukerkonto.

Virksomheten bør gjennomføre tiltak for å gjøre medarbeideren oppmerksom på at taushetsplikten gjelder etter at arbeidsforholdet er opphørt.

Related tasks

Return of assets at termination of employment

Critical

High

Normal

Low

Informing about cyber security responsibilities that continue after employment relationship has ended

Critical

High

Normal

Low

Changes in employment relationships

Process for removing hardware and access rights at termination of employment relationship

Critical

High

Normal

Low

Changes in employment relationships

Centralized record of user's access rights to data systems

Critical

High

Normal

Low

Instructions for reporting changes affecting access rights

Critical

High

Normal

Low

2.5: Ledelsens gjennomgang

Virksomhetens øverste ledelse har ansvar for å sikre at virksomheten opprettholder et egnet sikkerhetsnivå og følger gjeldende krav til informasjonssikkerhet og personvern. Ledelsen skal gjennomgå virksomhetens styringssystem for informasjonssikkerhet og personvern minst en gang i året.

Grunnlag for gjennomgangen skal omfatte vurdering av:

status på aktiviteter fra tidligere ledelsens gjennomgang
endringer i behandlinger av helse- og personopplysninger (protokoll)
endringer i organiseringen av arbeidet
resultatene fra risikovurderinger og status for planer for risikobehandling
resultat av personvernkonsekvensvurderinger (DPIA)
resultater fra revisjoner
resultat av avviksbehandling
oppfølging av leverandører og databehandleravtaler
endring i akseptabel risiko.

Resultatene fra ledelsens gjennomgang skal omfatte beslutninger om eventuelle behov for endringer i styringssystemet. Dersom gjennomgangen avdekker at virksomhetens risiko ikke er akseptabel, skal det vedtas tiltaksplaner for å rette opp dette, med tidsfrister og plassering av ansvar. Ledelsens gjennomgang skal dokumenteres.

Related tasks

Action plan based on management review

Critical

High

Normal

Low

Privacy and Data Protection policy -report publishing, informing and maintenance

Critical

High

Normal

Low

Implementation and documentation of management reviews

Critical

High

Normal

Low

Evaluation process and documentation of significant security-related changes

Critical

High

Normal

Low

Risk management

Treatment process and documentation of identified non-conformities

Critical

High

Normal

Low

Risk management

5.4.3: Sikkerhetskopiering

Virksomhetens ledelse skal sørge for sikkerhetskopiering av helse- og personopplysninger og annen informasjon som er nødvendig for gjenoppretting av normal drift.

Sikkerhetskopier skal oppbevares avlåst og brannsikret, og adskilt fra driftsutstyret.

Det skal jevnlig testes at sikkerhetskopiene er korrekte og kan tilbakeføres.

Minimum en sikkerhetskopi skal beskyttes mot skadelig programvare og uønskede hendelser.

Related tasks

Physical storage of backups

Critical

High

Normal

Low

Protecting backups against intentional and unintentional deletion and manipulation

Critical

High

Normal

Low

Regular testing, evaluation, and recovery instructions for backups

Critical

High

Normal

Low

Defining a backup strategy

Critical

High

Normal

Low

Documenting and delegating ownership of own backup processes

Critical

High

Normal

Low

Determining responsibilities for backing up important information assets

Critical

High

Normal

Low

Informing and data subject requests

4.2.4: Retting og sletting i behandlingsrettet helseregister

Den registrerte har rett til å få uriktige eller ufullstendige opplysninger rettet uten ugrunnet opphold.

1. Rettingen skal skje ved at oppføringen føres på nytt, eller ved at en datert rettelse tilføyes. Retting skal ikke skje ved at opplysninger slettes.

Dersom opplysningene er feilaktige eller misvisende og føles belastende for den det gjelder, eller de åpenbart ikke er nødvendige for å gi helsehjelp, kan pasienten kreve at opplysningene slettes.

Retting og sletting skal som hovedregel utføres av den som har signert opplysningene. Dersom slik retting eller sletting vanskelig kan gjøres av helsepersonellet som har signert opplysningene, kan retting eller sletting gjøres av helsepersonell utpekt av den dataansvarlige.

Opplysninger som er ført på feil person, skal slettes med mindre allmenne hensyn tilsier at sletting ikke bør foretas.

Dataansvarlig skal underrette enhver mottaker som har fått utlevert personopplysninger som i etterkant er rettet eller slettet, om enhver retting eller sletting av personopplysningene. Dataansvarlig skal underrette den registrerte om nevnte mottakere dersom den registrerte anmoder om det.

Dersom krav om retting eller sletting avslås, skal pasienten orienteres om klageadgangen.

Dataansvarlig bør gi elektronisk svar dersom personopplysninger behandles elektronisk.

Related tasks

Process for correction and deletion in health registers

Critical

High

Normal

Low

Process for receiving and handling data subject requests

Critical

High

Normal

Low

Informing and data subject requests

Data erasure processes and the "right to be forgotten"

Critical

High

Normal

Low

Informing and data subject requests

Documentation of conditions of consent for relevant processing purposes

Critical

High

Normal

Low

Ensuring and documenting the accuracy of personal data

Critical

High

Normal

Low

5.7.9: Skytjenester

Bruk av skytjenester ved behandling av helse- og personopplysninger krever at den dataansvarlige gjennomfører dekkende risikovurderinger, og ellers følger kravene til avtaler og leverandøroppfølging i Normen.

Noen særlig viktige momenter er at

ansvarsfordelingen mellom dataansvarlig og databehandler er avklart, og tilpasset leveransemodellen som benyttes
dataansvarlig har oversikt over hvor data behandles geografisk, slik at kravene i kapittel 5.7.8 kan ivaretas
dataansvarlig skal påse at skyleverandørens eventuelle standardavtaler ikke er i motstrid med lovbestemte krav og Normens krav
dataansvarlig har sørget for å ha en god plan for ivaretakelse av informasjonssikkerhet og personvern ved avslutning av skytjenesten

Related tasks

Review of cloud provider agreements

Critical

High

Normal

Low

Cloud service management

Security agreement with a supplier

Critical

High

Normal

Low

Supplier security

General principles regarding the use of cloud services

Critical

High

Normal

Low

5.3.4: Mobilt utstyr og hjemmekontor

Det skal gjennomføres risikovurdering før mobilt utstyr, hjemmekontor og annet fjernarbeid. tas i bruk, og ved endringer som kan påvirke informasjonssikkerheten. Det skal etableres prosedyrer og retningslinjer for fjernarbeid eks. hjemmekontor og mobilt fjernarbeid fra ulike lokaler og geografiske steder. Det skal videre iverksettes sikkerhetstiltak når ansatte, leverandører og innleid personell utfører fjernarbeid, for å beskytte informasjon, nettverk- og informasjonssystemer, produkter og tjenester som behandles eller lagres utenfor virksomhetens lokaler.

Helse- og personopplysninger skal bare lagres lokalt på utstyret når dette er nødvendig ut fra tjenstlig behov, og skal alltid lagres kryptert.

Related tasks

Risk assessment for remote work and mobile devices

Critical

High

Normal

Low

Remote work

Encryption of locally stored health and personal data

Critical

High

Normal

Low

Mobile device management

Defining suitable locations and needed protections for remote work

Critical

High

Normal

Low

Remote work

Personnel guidelines for secure remote work

Critical

High

Normal

Low

Remote work

Personnel guidelines for safe usage of mobile devices

Critical

High

Normal

Low

Mobile device management

3.5: Vurdering og dokumentasjon av personvernrisiko

Virksomheter skal alltid vurdere hvilke konsekvenser behandling av helse- og personopplysninger medfører for den registrerte. Virksomheten skal dokumentere lovligheten av behandlingen, formålet, hvordan personvernet til den registrerte er ivaretatt, og at det er gjort tilstrekkelige tiltak for å håndtere risikoen. Hvis det er sannsynlig at en behandling medfører høy risiko for de registrerte, skal virksomheten gjennomføre en mer grundig personvernkonsekvensvurdering Data Protection Impact Assessment.

Related tasks

Documenting the lawfulness, purpose and safeguards for data processing

Critical

High

Normal

Low

Data transfer and disclosure

5.5.3.3: Datadeling i sanntid

Samhandling gjennom datadeling tilrettelegger for at innbyggere og aktører i helsesektoren kan ha en mer dynamisk informasjonsdeling. Slik informasjonsdeling kan være at en aktør etterspør eller oppdaterer informasjon hos en annen aktør over et datadelingsgrensesnitt.

Følgende sikkerhetsprinsipper gjelder for datadeling:

Det må være en sikker brukerautentisering som virksomhetene som tilbyr datadelingsgrensesnitt har tillit til.
Virksomheten som ber om tilgang, skal kontrollere at brukeren har nødvendige autorisasjoner for det aktuelle datadelingsgrensesnittet.
Det skal skilles mellom lese- og skriverettigheter til forskjellige informasjonselementer basert på den enkelte brukerautorisasjon.
Unødvendig mellomlagring skal unngås.
Det skal være mulig å kunne verifisere legitimiteten til datadelingsgrensesnittet og virksomheten som tilbyr den.
Felleskomponenter for autentisering av konsument skal benyttes der det er tilgjengelig og hensiktsmessig.

Related tasks

Security requirements for data sharing interfaces

Critical

High

Normal

Low

4.2.6.2: Tilintetgjøring av dokumenter i behandlingsrettet helseregister

Når dokumenter på papir er digitalisert på forsvarlig måte, kan fysiske originaldokumenter tilintetgjøres. Med forsvarlig digitalisert menes at all tekst er lesbar, og at all tekst, alle sider, bilder og figurer er skannet inn. Elektronisk behandlingsrettet helseregister skal gjenspeile originalen.

Related tasks

Secure digitization and destruction of physical health records

Critical

High

Normal

Low

Management of data sets

3.3: Oversikt over databehandling og risikovurdering

Ved å etablere og vedlikeholde oversikt over helse- og personopplysningene som behandles, og teknologi som brukes, skal virksomheten identifisere potensielle risikoområder den bør være spesielt oppmerksom på.

Virksomheten skal ha

protokoll over behandlinger av helse- og personopplysninger.
oversikt over informasjonssystemer, IKT-prosesser, IKT- tjenester, infrastruktur, og annen informasjon med betydning for informasjonssikkerheten, mv. Virksomheten skal også kartlegge konsekvenser av bortfall av systemer og klassifisere systemene, jf. kap. 5.9. Oversikten bør være dokumentert.

Områder for risikovurdering bør ta utgangspunkt i oversikten over helse- og personopplysningene som behandles, og oversikten over informasjonssystemene som brukes samt identifisering av potensielle trusler og sårbarheter. Risikovurderingen bør også inkludere vurdering av organisatoriske, tekniske, fysiske og personellmessige tiltak for å sikre integritet, tilgjengelighet og robusthet.

Related tasks

Overview of information systems and infrastructure

Critical

High

Normal

Low

Documentation of health data processing stages and responsibilities

Critical

High

Normal

Low

Privacy and Data Protection policy -report publishing, informing and maintenance

Critical

High

Normal

Low

Priority classification of an organization's information assets

Critical

High

Normal

Low

5.7.4.3: Databehandlers oversikt over behandlinger

Databehandler skal føre en oversikt (protokoll) over alle kategorier av behandlingsaktiviteter som utføres på vegne av en dataansvarlig.

Dataansvarlig skal sørge for at databehandler mottar nødvendig informasjon for at databehandler kan føre en slik oversikt.

Related tasks

Documenting data processing for data controllers

Critical

High

Normal

Low

Records of processing activities -report publishing and maintenance

Critical

High

Normal

Low

5.5.2: Tilkobling til eksterne nett

Ved tilkobling til eksterne nett skal det etableres tekniske tiltak som ivaretar at kun eksplisitt angitt tillatt trafikk kan passere utenfra og inn eller motsatt, og at annen trafikk stoppes.

Tiltaket skal minst omfatte to uavhengige tekniske tiltak for å redusere risikoen for at personer utenfor virksomheten kan få uautorisert tilgang til eller kunne endre eller slette helse- og personopplysninger.

Related tasks

Network perimeter security and firewall governance

Critical

High

Normal

Low

Network security

Network security and segregation

Critical

High

Normal

Low

Network security

Blocking downloads of confidential information on external networks

Critical

High

Normal

Low

Management of data sets

5.9(2): Beredskapsplaner og øvelser

Virksomheten skal utarbeide, vedlikeholde og dokumentere beredskapsplaner for ulike hendelser og varsling. Det skal gjennomføres jevnlige øvelser for å teste planverket og utvikle kompetansen til å håndtere hendelser. Beredskapsplanene skal utarbeides med basis i de nasjonale beredskapsprinsippene (regjeringen.no) og beskrive organisering og ledelse av beredskap, samt hvilke beredskapstiltak som skal iverksettes ved ulike hendelser. Målet er å minimere konsekvensene av slike hendelser og sikre stabil drift av nettverk og informasjonssystemer og tjenester. Dersom det er relevant, bør øvelser gjennomføres i samarbeid med underleverandører eller andre som utfører arbeid for eller på vegne av virksomheten.

Related tasks

Planning and execution of contingency exercises

Critical

High

Normal

Low

Incident management and response

Define and document internal notification triggers

Critical

High

Normal

Low

Developing an incident response plan for critical information systems

Critical

High

Normal

Low

Continuity of critical tasks in exceptional situations

Critical

High

Normal

Low

Incident management and response

5.8.4: Varsel til Nasjonal sikkerhetsmyndighet

Nasjonal sikkerhetsmyndighet fungerer som det nasjonale kontaktpunktet for sikkerhet i nettverk og informasjonssystemer. Virksomheter som leverer samfunnskritiske og digitale tjenester, skal varsle Nasjonal sikkerhetsmyndighet innen 24 timer om avvik som følge av enhver negativ virkning på sikkerheten i nettverks- og informasjonssystemer. Varselet skal inneholde følgende informasjon:

navn og kontaktinformasjon til tilbyderen
den berørte tjenesten
beskrivelse av hendelsen, inkludert mulige årsaker og konsekvenser
antall berørte brukere
hendelsens påvirkning i andre land

Nødvendig dokumentasjon og informasjon skal gjøres tilgjengelig for tilsynsmyndigheten. Informasjonen i varselet skal oppdateres innen 72 timer.

Innen en måned etter at varselet er sendt, skal virksomheten levere en hendelsesrapport til varslingsmottakeren. Rapporten skal inneholde oppdatert informasjon om de nevnte forholdene og hvilke tiltak som er iverksatt for å håndtere hendelsen.

Varslingsmottakeren kan kreve statusoppdateringer og nødvendig informasjon for å utføre sine oppgaver.

Related tasks

Procedure for notifying national security authorities

Critical

High

Normal

Low