Norm for informasjonssikkerhet

5.8.2.1: Melding til Datatilsynet om brudd på personopplysningssikkerheten

Dersom avviket er et brudd på personopplysningssikkerheten skal avviket rapporteres til Datatilsynet innen 72 timer, med mindre bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og rettigheter.

Related tasks

Process for timely reporting of personal data breaches (Norway)

Critical

High

Normal

Low

Data breach management

Reporting personal data breaches to authorities / data subjects

Critical

High

Normal

Low

Data breach management

5.5.3.1: Krav till elektronisk samhandling

Det skal etableres klare ansvarsforhold mellom avsender, mottaker og eventuell meldingsformidler, og ansvarsforholdene skal fremgå av avtalene mellom virksomhetene og meldingsformidler. Alle avtaler skal være skriftlige.

Avsender/tilbydende virksomhet er ansvarlig for:

egen tilkoblingssikring som hindrer utilsiktet tilgjengeliggjøring og inntrenging
at tjenesten ikke skal kunne formidle program som inneholder skadelig programvare e.l.
sikker overføringskryptering ende-til-ende

Mottaker/anvendende virksomhet er ansvarlig for:

å sikre at tjenesten ikke skal kunne formidle skadelig kode el.
egen tilkoblingssikring som hindrer utilsiktet tilgjengeliggjøring og inntrenging
å ivareta overføringskryptering ende-til-ende

Related tasks

Agreement for electronic interaction responsibilities

Critical

High

Normal

Low

5.4.1: Konfigurasjonskontroll

Det er en forutsetning at virksomheten har oversikt over dataflyt, datakommunikasjon og integrasjoner og kontroll på alt eget utstyr og programvare som benyttes i behandlingen av helse- og personopplysninger. Dette gjelder også utstyr ved avdelingskontor og hjemmekontor og mobilt utstyr.

Følgende skal ivaretas:

konfigurasjonen skal sikre at utstyret og programvaren kun utfører de funksjonene som er formålsbestemt
virksomheten skal sørge for at all dataflyt, datakommunikasjon og integrasjoner kartlegges og dokumenteres.
kun godkjent utstyr og programvare skal benyttes til behandling av helse- og personopplysninger. Virksomheten skal fastsette hvem som har godkjenningsmyndighet.
maskin- og programvare skal oppdateres slik at den nyeste og mest tidsaktuelle sikkerhetsfunksjonaliteten følger med og nødvendige sikringstiltak benyttes. Oppdateringer bør verifiseres og testes før oppdateringen gjennomføres. Verifisering og testing skal dokumenteres som ledd i virksomhetens endringsstyring (se kap. 5.4.2).
planlagte endringer skal følge virksomhetens rutine for konfigurasjonsendringer.
det skal benyttes separate miljøer for utvikling, test og produksjon slik at helse- og personopplysninger som benyttes ved ytelse av helsehjelp, ikke blir påvirket ved feil i utvikling og test.
konfigurasjonen av utstyr og programvare skal jevnlig sjekkes slik at den kun utfører formålsbestemte funksjoner.
konfigurasjonen skal beskyttes mot skadelig programvare
konfigurasjonen skal beskyttes mot utilsiktede handlinger.

Konfigurasjonsendringer, dvs. endringer i utstyr eller programvare, skal ikke settes i drift før følgende tiltak er gjennomført:

risikovurdering som viser at risiko er akseptabel
test som sikrer at forventede funksjoner er ivaretatt
implementering som sikrer mot uforutsette hendelser
ny konfigurasjon er dokumentert
konfigurasjonsendringer er godkjent av virksomhetens leder eller den ledelsen bemyndiger

Konfigurasjonskontroll skal reguleres gjennom avtale ved

bruk av databehandler.
bruk av fjernaksess for vedlikehold og oppdateringer. Fjernaksess skal kun gjøres over kanaler virksomheten har kontroll med.

Related tasks

Formal regulation of configuration controls when external parties are involved

Critical

High

Normal

Low

Map the flow of information between work processes, users, devices and services

Critical

High

Normal

Low

Update and patch management

General rules for the procurement of data systems

Critical

High

Normal

Low

Data system procurement

Change management procedure for significant changes to data processing services

Critical

High

Normal

Low

Secure development

Separation of production, testing and development environments

Critical

High

Normal

Low

Secure development

Selection and use of malware detection software on all devices

Critical

High

Normal

Low

Malware protection

Maintenance and updates of security systems that detect vulnerabilities

Critical

High

Normal

Low

Defining standard templates for secure configurations

Critical

High

Normal

Low

Configuration management and change log

Critical

High

Normal

Low

Monitoring configurations

Critical

High

Normal

Low

4.2.5.3: Betingelser for videregivelse af oplysninger til ledelsen

Når det er nødvendig for å gi helsehjelp, eller for internkontroll og kvalitetssikring av tjenesten, kan den som yter helsehjelp, gi opplysninger til virksomhetens ledelse. Opplysningene skal være nødvendig og relevant for formålet.

Opplysningene skal så langt det er mulig, gis uten individualiserende kjennetegn.

Helsepersonell skal gi pasientens fødselsnummer og opplysninger om diagnose, eventuelle hjelpebehov, tjenestetilbud, innskrivnings- og utskrivningsdato samt relevante administrative data til virksomhetsinterne pasientadministrative systemer.

Related tasks

Process for internal disclosure of health information

Critical

High

Normal

Low

Minimization of information outside data systems

Critical

High

Normal

Low

Privacy by design and default

Anonymization of personal data

Critical

High

Normal

Low

Pseudonymisation of personal data

Critical

High

Normal

Low

Privacy by design and default

Regular self-evaluation of the lawfulness of processing personal data

Critical

High

Normal

Low

Data store listing and owner assignment

Critical

High

Normal

Low

Documentation of data sets for data stores

Critical

High

Normal

Low

Documentation of data disclosures for data stores

Critical

High

Normal

Low

5.7.3: Tjenesteutsetting

Ved tjenesteutsetting (utkontraktering) av IKT-funksjoner eller andre funksjoner av betydning for informasjonssikkerhet eller personvern skal avtalen som minimum omfatte følgende punkter knyttet til informasjonssikkerhet og personvern:

dokumentert risikovurdering som viser at den tjenesteutsettende virksomhetens akseptkriterier samt Normens sikkerhetsnivå er etablert. Ved tjenesteutsetting av IKT-tjenester til andre land bør forhold ved vertslandet vurderes fordi de kan påvirke risikovurderingen.
hvilke oppgaver av sikkerhetsmessig betydning som er omfattet, og ansvarsforholdene for disse
beskrivelse av leverandørens løsning og grensesnitt mot virksomheten i form av konfigurasjonskart

Avtalen skal sikre at virksomheten også gis rett til å revidere leverandørens aktiviteter som er knyttet til avtalen. Revisjonene kan gjennomføres av en avtalt tredjepart.

Virksomheten skal sørge for å ha en god plan for ivaretakelse av informasjonssikkerhet og personvern ved avslutning av tjenesteleveransen. Ved terminering av kontrakten skal det foreligge en signert erklæring fra leverandøren om at alle data tilhørende virksomheten er tilbakelevert eller slettet til avtalt tid.

Related tasks

Agreement conditions for approved suppliers

Critical

High

Normal

Low

Documentation of partner contract status

Critical

High

Normal

Low

Regular security assessment of partners in the supply chain of provided digital services

Critical

High

Normal

Low

Cloud service management

Supply chain cyber security risk management

Critical

High

Normal

Low

5.6: Digital kommunikasjon til den registrerte

Med digital kommunikasjon menes i dette kapittelet meldinger som sendes fra virksomheten til den registrerte i forbindelse med helsehjelp.

Virksomheten skal

vurdere og beslutte behandlingsgrunnlag
vurdere egnet løsning og kommunikasjonskanal til formålet
sørge for at helse- og personopplysninger stilles til rådighet på en slik måte at pasient/bruker ikke er avhengig av å lagre opplysningene på eget utstyr for å gjøre seg kjent med informasjonen
sørge for at det er etablert rutiner som ivaretar at meldingen til pasienten ikke er inngripende og krenker personvernet, men samtidig har tilstrekkelig informasjon til pasienten
gjennomføre tilstrekkelige tiltak for å sikre at meldinger sendes til rett mottaker. For å sikre korrekt kontaktinformasjon til mottager bør virksomheter som har tilgang til kontakt- og reservasjonsregisteret (digdir.no), benytte dette.

Related tasks

Process for digital communication with patients

Critical

High

Normal

Low

3.2 (integritet): Krav for å sikre integritet

Virksomheten skal sørge for at virksomhetens behandlinger av helse- og personopplysninger har et egnet sikkerhetsnivå i tråd med Normens minimumskrav til informasjonssikkerhet og eventuelt egne informasjonssikkerhetsmål. Normen stiller følgende overordnede minimumskrav til informasjonssikkerhet (konfidensialitet, integritet, tilgjengelighet og robusthet).

Virksomheten skal sikre at helse- og personopplysninger og annen informasjon med betydning for informasjonssikkerheten er sikret mot utilsiktet eller uautorisert endring eller sletting. Integritet er en forutsetning for god og forsvarlig helsehjelp

logge hvem som har rettet, registrert, endret og slettet
hindre utilsiktet eller uautorisert endring eller sletting
sikre at helse- og personopplysninger registreres på rett person
sikre at helse- og personopplysninger føres i henhold til relevant kodeverk og terminologi
sikre at helse- og personopplysninger er korrekte og om nødvendig oppdaterte
hindre at kopier av data blir en kilde til utdatert informasjon

Related tasks

Use of standardised code systems and terminology

Critical

High

Normal

Low

Process for managing unique patient identifiers

Critical

High

Normal

Low

Integrity protection of data systems

Critical

High

Normal

Low

Establishing and maintaining the comprehensive ePHI security program

Critical

High

Normal

Low

Personnel guidelines for safe data system and authentication info usage

Critical

High

Normal

Low

5.7.2: Generell informasjon om avtaler og leverandøroppfølging

Den dataansvarlige har ansvaret for at krav til informasjonssikkerhet og personvern følges gjennom hele leveransekjeden. I leveranser av f.eks. tjenester, maskinvare eller nettverk- og informasjonssystemer skal det avtales skriftlig med leverandører hvilke sikkerhetskrav som skal oppfylles for at den dataansvarlige skal kunne oppfylle sitt ansvar. Hvilke av Normens krav som gjennom avtale gjelder for leverandører, er avhengig av hva slags type leveranse det er snakk om, for eksempel:

databehandling, i form av for eksempel skytjenester eller driftstjenester
vedlikehold, for eksempel ved fysisk service eller fjernaksess
leveranse av løsninger og systemer

Avtalene skal inkludere forpliktelser om at partene skal oppfylle relevante krav og tiltak som følger av den til enhver tid gjeldende Norm for informasjonssikkerhet og personvern i helse- og omsorgssektoren, samt regulering av sanksjoner ved brudd på denne, relevant lovgivning og avtalen for øvrig.

Virksomheten skal gjennom avtaler forsikre seg om at leverandøren har et styringssystem for informasjonssikkerhet og personvern som inkluderer blant annet sikkerhetsrevisjon og avviksbehandling. Virksomheten skal påse at leverandører og andre som utfører arbeid som kan påvirke sikkerheten i nettverk- og informasjonssystemer, utfører arbeidet på en måte som gjør at virksomhetens krav til informasjonssikkerhet overholdes.

Virksomheten skal gjøre sikkerhetstiltakene gjeldende overfor leverandører som kan påvirke nettverk- og informasjonssystemer, i den grad det er nødvendig for å opprettholde et egnet sikkerhetsnivå.

Related tasks

Contractual sanctions for suppliers

Critical

High

Normal

Low

Security agreement with a supplier

Critical

High

Normal

Low

Monitoring suppliers' compliance with security requirements

Critical

High

Normal

Low

Minimum requirements for partner companies to gain access to different levels of information

Critical

High

Normal

Low

Supply chain cyber security risk management

Critical

High

Normal

Low

4.2.1: Taushetsplikten

Virksomheten skal sørge for at alt personell som gis tilgang til helse- og personopplysninger og annen informasjon underlagt taushetsplikt, er kjent med sin taushetsplikt.

Virksomheten skal legge til rette for at personellet ivaretar taushetsplikten. Dette bør minst sikres gjennom

tilgangsstyring, logging og etterfølgende kontroll
sikring av nettverk- og informasjonssystemer
rutiner, opplæring og informasjon
utforming av fysiske lokaler.

Related tasks

Safeguards to protect PHI

Critical

High

Normal

Low

Cyber security in contracts

Physical access control to building, offices and other premises

Critical

High

Normal

Low

Property security

Maintaining confidentiality agreements

Critical

High

Normal

Low

Staff guidance and training procedure in cyber security

Critical

High

Normal

Low

Security systems and logging

Documentation of system logs for self-maintained data systems

Critical

High

Normal

Low

Personnel guidelines for safe processing of personal and confidential data

Critical

High

Normal

Low

Security systems and logging

Collection of log data on the use of data systems

Critical

High

Normal

Low

Data protection monitoring and control plan

Critical

High

Normal

Low

Security and responsibilities

Guidelines for operating in processing areas for confidential information

Critical

High

Normal

Low

Property security

5.7.7: Leverandøroppfølging

Informasjonssikkerhet og personvern knyttet til anskaffelser og leverandøroppfølging skal inngå i virksomhetens styringssystem for informasjonssikkerhet og personvern. Alle faser i leverandørstyring, fra anskaffelse til avtalen er avsluttet, skal omfattes.

Virksomheten skal sikre

klarhet i ansvar og roller
at kompetanseressurser innen informasjonssikkerhet og personvern deltar i anskaffelser og leverandørstyring
at virksomhetens ledelse (og styret hvis dette er relevant) som hovedregel involveres i beslutninger som gjelder bruk av private leverandører og tjenesteutsetting av et visst omfang

Kravstilling og nødvendige sikkerhetstiltak ved bruk av leverandører skal bygge på en dekkende risikovurdering. Risikovurderingen skal alltid omfatte scenarioer som omfatter leverandørens autoriserte og ev. uautoriserte tilgang til helse- og personopplysninger og annen taushetsbelagt informasjon.

Virksomheten skal sikre at relevante sikkerhetskrav inngår i alle anskaffelser. Virksomheten skal sørge for at den har tilstrekkelig bestillerkompetanse tilgjengelig.

Related tasks

Risk assessments in supplier agreements

Critical

High

Normal

Low

Evaluation of prospective suppliers

Critical

High

Normal

Low

Safe termination of critical relationships

Critical

High

Normal

Low

Defining security roles and responsibilities

Critical

High

Normal

Low

Monitoring suppliers' compliance with security requirements

Critical

High

Normal

Low

Amount, competence and adequacy of key cyber security personnel

Critical

High

Normal

Low

2.3: Databehandlers ansvar

En databehandler er en virksomhet som behandler helse- og personopplysninger på vegne av dataansvarlig. Databehandler har på lik linje med dataansvarlig et selvstendig ansvar for informasjonssikkerhet og for ivaretakelse av den registrertes personvern.

Databehandler skal

bare behandle helse- og personopplysninger etter instruks fra dataansvarlig
ikke bruke underdatabehandler uten at det er godkjent av dataansvarlig
være ansvarlig for at underleverandører oppfyller sine forpliktelser
bistå dataansvarlig med å sikre overholdelse av forpliktelser til informasjonssikkerhet

Databehandler skal bistå dataansvarlig med personvern og informasjonssikkerhet ved å sørge for en risikobasert tilnærming. Dette innebærer at databehandler skal bidra til at et egnet sikkerhetsnivå blir ivaretatt og nødvendige tiltak blir implementert.

Related tasks

Safeguards to protect PHI

Critical

High

Normal

Low

Data processing agreement analysis for most important system providers

Critical

High

Normal

Low

Data system procurement

Evaluation of data processing agreement for important data processors

Critical

High

Normal

Low

Inventory and documentation of data processing agreements

Critical

High

Normal

Low

Data system listing and owner assignment

Critical

High

Normal

Low

Data processing partner listing and owner assignment

Critical

High

Normal

Low

Documentation of partner contract status

Critical

High

Normal

Low

Documentation of data disclosures for data stores

Critical

High

Normal

Low

5.2.1: Autorisering

Virksomheten er ansvarlig for at autorisasjoner tildeles, administreres og kontrolleres. Ved tildeling av autorisasjon skal lovbestemt taushetsplikt vurderes og ivaretas.

Dataansvarlig kan delegere myndighet for å tildele autorisasjon til den enkelte enhets leder. I dette ligger at leder, innen eget ansvarsområde, vurderer og godkjenner autorisasjonen. Tildelt autorisasjon skal sikre at medarbeideren kan få tilgang til nødvendige og relevante helse- og personopplysninger i samsvar med personellets ansvar og oppgaver, så langt lovbestemt taushetsplikt ikke er til hinder for det. Autorisasjonen skal vurderes på nytt når det oppstår endringer i ansvarsområder, ansettelsesforhold eller langvarig fravær.

Dersom tilgangsstyringen er basert på roller, skal autorisering skje for hver rolle uavhengig av medarbeiderens øvrige roller. Autorisasjonen for tilgang til behandlingsrettede helseregister skal tidsbegrenses og angi hvilke virksomheter autorisasjonen omfatter.

For autorisering av teknisk personell med særskilt behov for tilgang til større mengder helse- og personopplysninger skal det etableres tiltak slik at mulig misbruk skal kunne avdekkes.

For å hindre uautorisert tilgang skal følgende tiltak etableres:

Dersom det er åpnet for selvautorisering, skal tilgang grunngis og registreres.
Tekniske tiltak skal sikre at personer i eller utenfor virksomheten ikke skal kunne endre opplysninger uten at det registreres i informasjonssystemene hvem som har endret, og hva som er endret.
All tildeling av autorisasjon skal registreres i et autorisasjonsregister (jf. 5.2.1.1).
Tekniske tiltak skal også sikre at personer i eller utenfor virksomheten ikke skal kunne endre konfigurasjon og programvare uten at det logges (jf. 5.4.5).
Bruker med administratortilganger skal benytte personlig separat brukerkonto for administratoroppgaver. Driftspersonell skal ha personlige brukerkontoer for oppgaver som ikke krever administratortilganger.
Risikovurdering skal begrunne behovet for ulike administratorbrukere.

Related tasks

Establishing and maintaining an authorisation register

Critical

High

Normal

Low

Separate approval process for high confidentiality access

Critical

High

Normal

Low

Regular reviewing of data system access rights

Critical

High

Normal

Low

Personnel guidelines for safe data system and authentication info usage

Critical

High

Normal

Low

Defining and documenting access roles

Critical

High

Normal

Low

Implementing formal access control processes

Critical

High

Normal

Low

Rules and formal management process for admin rights

Critical

High

Normal

Low

Guidelines for operating in processing areas for confidential information

Critical

High

Normal

Low

Property security

5.1.2: Opplæring og kompetanse

Virksomheten skal sørge for at medarbeidere som gis tilgang til virksomhetens informasjon, infrastruktur og/eller systemer har tilstrekkelig kompetanse, og er gjort kjent med relevante sikkerhetstiltak.

Kompetansebygging skal være kontinuerlig og tilpasset ulike roller og brukergrupper. Det bør følges opp at opplæringstiltakene gir ønsket effekt. Gjennomført opplæring og vurdering av effekt bør dokumenteres. Nye opplæringstiltak skal vurderes ved teknologiske endringer eller endring i rutiner.

Virksomheten bør ha en oppdatert oversikt over medarbeideres kompetanse og behov for opplæring.

Related tasks

Evaluating the efficiency of arranged training

Critical

High

Normal

Low

Maintaining a log of cyber security trainings

Critical

High

Normal

Low

Staff guidance and training procedure in cyber security

Critical

High

Normal

Low

Unit- or role-specific security guidelines

Critical

High

Normal

Low

Security guidelines

General security competence and awareness of personnel

Critical

High

Normal

Low

Security and responsibilities

2.1: Roller og ansvar for informasjonssikkerhet og personvern

Virksomhetens øverste ledelse skal sørge for å etablere roller og funksjoner med tilstrekkelige ressurser og kompetanse til å gjennomføre nødvendige oppgaver for å ivareta ansvaret for informasjonssikkerhet og personvern. Oppgavene kan utføres av egne ansatte eller av eksterne. Den som har ansvar for en funksjon eller en enhet, bør også ha ansvaret med å følge opp informasjonssikkerhet og personvern i funksjonen eller enheten.

Virksomheten beslutter hvilke roller og funksjoner for informasjonssikkerhet og personvern som er nødvendig. Det skal være tydelig hvem som er ansvarlig, og hva de er ansvarlig for. Alle skal være kjent med hvilke oppgaver de har, i tillegg til å ha tilstrekkelig kunnskap om andres relevante ansvar og oppgaver, og hvem som har myndighet til å ta beslutninger.

En større virksomhet bør ha en egen informasjonssikkerhetsleder eller sikkerhetsorganisasjon knyttet opp mot virksomhetens ledelse.

Offentlige virksomheters øverste ledelse skal sørge for at det utpekes et personvernombud. For en privat virksomhet skal øverste ledelse utpeke et personvernombud når informasjonsbehandlingens omfang, art og formål krever det. Dette gjelder også små virksomheter. Personvernombudet kan være ansatt i virksomheten eller ekstern og utføre oppgavene på grunnlag av en tjenesteavtale.

Personvernombudet skal gis tilstrekkelige ressurser og tilgang på relevant kompetanse til å utføre sine plikter. Ombudet skal ikke ha interessekonflikt med eventuelle andre roller som vedkommende har i virksomheten, og skal ikke motta instruksjoner om hvordan oppgavene skal utføres.

Related tasks

Resources and independence of the Data Protection Officer

Critical

High

Normal

Low

Appointment and role of the cybersecurity manager

Critical

High

Normal

Low

Defining security roles and responsibilities

Critical

High

Normal

Low

Amount, competence and adequacy of key cyber security personnel

Critical

High

Normal

Low

Security and responsibilities

Appointment, tasks and position of a Data Protection Officer (DPO)

Critical

High

Normal

Low

4.2.2: Informationsgivning til den registrerede

Virksomheten har plikt til å gi informasjon til den registrerte på en kortfattet, åpen, forståelig og lett tilgjengelig måte og med et klart og enkelt språk. Her må det også tas hensyn til krav om universell utforming.

Informasjonen skal gis skriftlig eller på en annen måte, herunder elektronisk dersom det er hensiktsmessig. På anmodning fra den registrerte kan informasjonen gis muntlig, forutsatt at den registrerte identifiserer seg.

Ved innsamling av opplysninger skal den dataansvarlige på en forståelig måte gi den registrerte informasjon om sine rettigheter og hvordan personopplysningene behandles.

Related tasks

Ensuring the timeliness of privacy communication

Critical

High

Normal

Low

Testing the clarity of privacy communications

Critical

High

Normal

Low

Incident management and response

Treatment process and documentation of occurred security incidents

Critical

High

Normal

Low

Privacy notices -report publishing and maintenance

Critical

High

Normal

Low

Documentation of conditions of consent for relevant processing purposes

Critical

High

Normal

Low

Documentation of data disclosures for data stores

Critical

High

Normal

Low

Documentation of personal data sources for data systems

Critical

High

Normal

Low