Norm for informasjonssikkerhet

4.1: Behandlingsgrunnlag for personopplysninger

Personopplysninger kan bare behandles når lovgivningen tillater det. All behandling av personopplysninger skal ha et lovlig grunnlag. I personvernforordningen kalles dette et behandlingsgrunnlag.

Behandling av særlige kategorier personopplysninger, for eksempel helseopplysninger, er i utgangspunktet forbudt etter personvernforordningen. Unntak gjelder likevel blant annet når det er gitt samtykke, når det ytes helsehjelp og sosialtjenester underlagt taushetsplikt, når allmenne folkehelsehensyn gjør det nødvendig, og til forskningsformål.

Før behandling av helse- og personopplysninger starter, eller ved endringer i slik behandling, skal dataansvarlig sørge for å ha et gyldig behandlingsgrunnlag. Behandlingsgrunnlaget skal dekke alle typer behandling som utføres: innsamling, registrering, lagring, sletting, utlevering, mv. Skal opplysningene brukes til et annet formål enn opprinnelig, må dette ha et eget behandlingsgrunnlag.

Plikten til å føre journal gir virksomheten en rettslig forpliktelse til å behandle helse- og personopplysninger. Størstedelen av behandlinger av personopplysninger i helse- og omsorgssektoren er dermed lovpålagt. I tillegg til krav om dokumentasjon har lovverket også en rekke andre regler om behandling, f.eks. om utlevering av opplysninger

Andre behandlinger av personopplysninger i virksomheten kan ha andre behandlingsgrunnlag. Eksempler på dette er at i arbeidet med å følge opp ansatte kan "avtale med den registrerte" være riktig behandlingsgrunnlag, og dersom virksomheten utfører oppdrag som ikke er helsehjelp, kan både samtykke og avtale være riktige behandlingsgrunnlag.

Dersom flere behandlingsgrunnlag kan passe, skal virksomheten bestemme seg for ett grunnlag per formål.

Det er dataansvarlige som skal vurdere behandlingsgrunnlaget.

Behandlingsgrunnlaget skal dokumenteres. Dette kan gjøres i protokollen.

Related tasks

Procedure for establishing and reviewing legal bases for data processing

Critical

High

Normal

Low

Documentation of health data processing stages and responsibilities

Critical

High

Normal

Low

Regular self-evaluation of the lawfulness of processing personal data

Critical

High

Normal

Low

Implementation and documentation of balance tests

Critical

High

Normal

Low

Documentation of personal data processing purposes for data stores

Critical

High

Normal

Low

Collection and documentation of explicit consents

Critical

High

Normal

Low

5.7.6: Systemleverandører

Virksomheter i helse- og omsorgssektoren som tar i bruk informasjonssystemer som behandler helse- og personopplysninger, skal stille krav om innebygd personvern i løsningene.

For at virksomhetene skal kunne ivareta sitt ansvar som dataansvarlig, skal informasjonssystemene ha funksjonalitet som oppfyller lovbestemte krav og relevante krav i Normen.

Related tasks

Built in and default data protection in systems development (Privacy by design)

Critical

High

Normal

Low

Secure development

Informing and data subject requests

4.2.3: Den registrertes rett til innsyn

Virksomheten skal sikre at den registrerte kan få innsyn i opplysninger registrert om seg selv. Dette innsynet gjelder også loggen over hvem, og fra hvilken virksomhet, som har tilegnet seg hvilke opplysninger, og på hvilket tidspunkt.

Virksomheten skal sikre at den registrerte kan få kunnskap om hvilke personopplysninger om seg selv som virksomheten behandler. Dette omfatter også kunnskap om hvem fra andre virksomheter som har tilegnet seg opplysningene.

Virksomheten skal sikre seg at den som gjør sine rettigheter gjeldende, er identifisert.

Related tasks

Process for receiving and handling data subject requests

Critical

High

Normal

Low

5.2.2: Autentisering

Autentisering skal som minimum ivareta følgende:

Tilgang til nettverk- og informasjonssystemer, både for vanlige brukere og administratorer, skal sikres gjennom brukerautentisering som gir tilstrekkelig beskyttelse. Den som gis tilgang, skal bekrefte sin identitet på en sikker måte. Hva som anses som en sikker autentiseringsmetode, skal vurderes og besluttes på bakgrunn av en risikovurdering.
Ulike ansettelsesforhold skal identifiseres.
Flere personer skal ikke benytte samme autentiseringskriterier.
Tildeling av brukerautentiseringskriterier (for eksempel passord) skal gjennomføres på en betryggende måte.
Tilgang fra hjemmekontor eller mobilt utstyr (og mobilnettverk) skal sikres ved sikker autentiseringsløsning (f.eks. to- eller flerfaktorautentisering).
Dette gjelder også for lokasjoner som kommuniserer ved hjelp av linjer virksomheten ikke har fysisk kontroll over.
Alle standardpassord (fabrikkinnstillinger) på systemer og utstyr skal endres før behandling av helse- og personopplysninger starter.
Ved bruk av trådløse nettverk for behandling av helse- og personopplysninger skal den autoriserte brukeren autentiseres med sikker autentiseringsløsning (f.eks. to- eller flerfaktorautentisering).

Benyttes roller, skal ulike roller identifiseres, og ved behov gis ny autentisering.

Related tasks

Guidelines for password safety for personnel

Critical

High

Normal

Low

Security guidelines

Use of multi-factor authentication for important data systems

Critical

High

Normal

Low

Defining and documenting accepted authentication methods

Critical

High

Normal

Low

Personnel guidelines for secure remote work

Critical

High

Normal

Low

Remote work

Defining and documenting access roles

Critical

High

Normal

Low

3.5.1: Personvernkonsekvensvurdering (DPIA)

Personvernkonsekvensvurderingen (DPIA) skal gjøres før behandlingen av personopplysninger starter.

Høy risiko for personvernet kan oppstå:

når helseopplysninger behandles i stor skala
ved bruk av ny teknologi
når personopplysninger behandles på en automatisert, systematisk og omfattende måte, og dette danner grunnlag for avgjørelser som har rettsvirkning eller påvirker den registrerte i betydelig grad
dersom behandlingens art, omfang, formål og sammenhengen den utføres i, tilsier det

Datatilsynet har laget en liste over behandlingsaktiviteter som alltid krever at det gjennomføres en personvernkonsekvensvurdering (DPIA).

Personvernkonsekvensvurdering (DPIA) skal minst inneholde:

en systematisk beskrivelse av behandlingsaktivitetene av helse- og personopplysninger
beskrivelse av formålet med behandlingen av personopplysninger
en vurdering av om behandlingene av helse- og personopplysninger er nødvendige og står i rimelig forhold til formålet
en vurdering av risikoen for personvernet til den registrerte
planlagte risikoreduserende tiltak for ivaretakelse av personvernet

Den behandlingsansvarlige skal rådføre seg med personvernombudet, dersom et personvernombud er utpekt, i forbindelse med utførelsen av en personvernkonsekvensvurdering.

Det skal planlegges tiltak som reduserer risikoen for personvernet. Dersom behandlingen av helse- og personopplysninger medfører en høy risiko som ikke kan reduseres ved hjelp av rimelige tiltak, skal den dataansvarlige be om forhåndsdrøftelse med Datatilsynet før behandlingen av opplysningene starter.

Related tasks

DPIA process and documentation requirements

Critical

High

Normal

Low

Executing and documenting data protection impact assessments

Critical

High

Normal

Low

Personnel guidelines for safe processing of personal and confidential data

Critical

High

Normal

Low

Privacy by design and default

Regular, internal review of privacy policies

Critical

High

Normal

Low

Documentation of data sets for data stores

Critical

High

Normal

Low

Management of data sets

Records of processing activities -report publishing and maintenance

Critical

High

Normal

Low

2.2(1): Ansvar for den behandlingsansvarlige

Dataansvarlig er den som alene eller sammen med andre virksomheter bestemmer formålet med behandlingen av helse- og personopplysninger og hvilke midler som skal benyttes.

I personvernforordningen benyttes begrepet behandlingsansvarlig, som er det samme som dataansvarlig i helsesektoren.

Dataansvarlig skal:

delegere myndighet og oppgaver (jf. kap. 2.1)
etablere, vedlikeholde og etterleve styringssystemet (jf. kap. 2.4)
gjennomføre risikovurderinger og utarbeide en plan for håndtering av risiko (jf. kap. 3)
gjennomføre personvernkonsekvensvurderinger (DPIA) for behandlinger der det er nødvendig (jf. kap. 3)
sikre den registrertes rettigheter (jf. kap. 4)
etablere, dokumentere og iverksette organisatoriske, tekniske, fysiske og personellmessige sikkerhetstiltak (jf. kap. 5)
inngå og følge opp avtaler (jf. kap. 5.7)
rapportere og håndtere avvik (jf. kap. 5.8)
iverksette tiltak for fysisk sikkerhet (jf. kap. 5.2)
sørge for at sikkerhetstiltak er gjort kjent for personell og leverandører (jf. kap. 5.1.2)
sikre tilstrekkelig kompetanse innenfor informasjonssikkerhet og personvern, og nødvendig opplæring ved behov (jf. kap. 5.1.2)
etablere og dokumentere beredskapsplaner og gjennomføre øvelser (jf. kap. 5.9)

Related tasks

Physical access control to building, offices and other premises

Critical

High

Normal

Low

Property security

Executing and documenting data protection impact assessments

Critical

High

Normal

Low

Identification and documentation of cyber security risks

Critical

High

Normal

Low

Risk management procedure -report publishing and maintenance

Critical

High

Normal

Low

Management commitment to cyber security management and management system

Critical

High

Normal

Low

Data system listing and owner assignment

Critical

High

Normal

Low

Documentation of partner contract status

Critical

High

Normal

Low

Incident management and response

Personnel guidelines for reporting security incidents

Critical

High

Normal

Low

Implementation and documentation of balance tests

Critical

High

Normal

Low

Communication plan for information security management system

Critical

High

Normal

Low

5.7.4: Databehandler

Databehandler skal bare behandle helse- og personopplysninger, samt annen taushetsbelagt informasjon etter instruks fra dataansvarlig. Hvordan databehandler kan behandle data på vegne av dataansvarlig, skal reguleres i avtale.

Den dataansvarlige kan bare bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre nødvendige sikkerhetstiltak som sikrer at behandlingen oppfyller kravene i personopplysningsloven. Tilstrekkelige garantier betyr at databehandleren oppfyller kravene i lov og forskrift samt de kravene fra Normen som er relevante for det aktuelle avtaleforholdet.

Related tasks

Vetting of data processors

Critical

High

Normal

Low

Supplier security

Data processing agreement analysis for most important system providers

Critical

High

Normal

Low

Data system procurement

Evaluation of data processing agreement for important data processors

Critical

High

Normal

Low

Data transfer and disclosure

Inventory and documentation of data processing agreements

Critical

High

Normal

Low

2.4: Styringssystem

Alle virksomheter skal ha et styringssystem for informasjonssikkerhet og personvern (internkontroll). Med styringssystem menes formalisering av hvordan virksomheten planlegger, gjennomfører, evaluerer, kontrollerer og korrigerer etterlevelse av relevant regelverk, sikkerhetskrav, avtaler, tjenester og produkter.

Informasjonssikkerhet og personvern bør inngå som en del av det totale styringssystemet i virksomheten. Styringssystemet skal tilpasses virksomhetens størrelse og ha en risikobasert tilnærming. Det skal ta hensyn til virksomhetens risiko, egenart og aktiviteter, samt informasjonsbehandlingens art, omfang, formål og sammenhengen den utføres i. For mindre virksomheter betyr det at de ikke trenger et like omfattende styringssystem som store virksomheter.

Virksomhetens ledelse har ansvaret for å fastsette mål og strategi for informasjonssikkerhet, etablere styringssystem, sikkerhetsorganisering med roller og ansvar, og sørge for at det inngå som en del av den overordnede virksomhetsstyringen. Virksomhetens leder skal gi tilstrekkelige økonomiske rammer og ressurser for gjennomføring av alle nødvendige aktiviteter for å etablere og opprettholde et egnet sikkerhetsnivå i virksomheten.

Styringssystemet skal godkjennes av virksomhetens leder og gjennomgås minst årlig med sikte på å forbedre virksomhetens sikkerhetsarbeid.

Styringssystemet skal gjøres kjent for samtlige ansatte med tjenstlig behov samt leverandører og underleverandører.

Styringssystemet skal dokumenteres. Dokumenter angitt i styringssystemet skal holdes løpende oppdatert, kontinuerlig forbedres og arkiveres fra det tidspunktet dokumentet ble erstattet med en ny gjeldende versjon. Dette kan f.eks. være rutiner for sikkerhetsrevisjoner, risikovurderinger, driftsrutiner, avvik og hvordan de håndteres, ledelsens gjennomgang, databehandleravtaler mv.

Dokumentasjon av risiko og tiltak knyttet til informasjonssikkerhet skal sikres ut fra de behov for sikkerhet som foreligger. Dersom dokumentasjon skal deles med annen virksomhet må dataansvarlig vurdere om detaljert informasjon som kan ha sikkerhetsmessig betydning skal fjernes før utlevering. Dokumentasjonen skal til enhver tid være oppdatert og tilgjengelig.

Alle offentlige virksomheter skal beskrive mål og etablere strategi for informasjonssikkerhet. Dette skal danne grunnlaget for styringssystemet.

Related tasks

Risk management policy -report publishing, informing and maintenance

Critical

High

Normal

Low

Privacy by design and default

Privacy and Data Protection policy -report publishing, informing and maintenance

Critical

High

Normal

Low

Detailed assessment of the risk of data breach for data subjects

Critical

High

Normal

Low

Data breach management

ISMS description and maintenance

Critical

High

Normal

Low

5.9(3): Konsekvensvurdering og systemklassifisering

Ved etablering av beredskapsplaner skal virksomheten kartlegge konsekvensen av bortfall av hele eller deler av virksomheten. Dette skal vurderes både for virksomheten selv, leverandører, underleverandører og for autoriserte brukere. Systemer skal klassifiseres etter prioritering basert på konsekvensene av tjenestestopp, fra kritisk til akseptabelt. Klassifiseringen skal inkludere kartlegging av avhengigheter og fastsettelse av akseptabel risiko for tilgjengelighet

Related tasks

Conducting business impact analysis

Critical

High

Normal

Low

5.5.1: Styring av informasjonssikkerhet i nettverk- og informasjonssystemer

Informasjonssikkerhet i nettverk- og informasjonssystemer er et sentralt tiltak for å sikre behandling av helse- og personopplysninger.

Virksomheten skal tydelig definere hvilke sikkerhetskrav som gjelder for nettverk- og informasjonssystemer. Tiltakene som etableres skal være basert på risikovurdering og inkludere teknologiske sikkerhetstiltak tilpasset omfang, kompleksitet, driftsmiljø, brukermiljø, funksjon og risiko ved virksomhetens nettverk- og informasjonssystemer.

Sikkerhetstiltakene for nettverk- og informasjonssystemer skal minst inkludere:

bruk av to- eller flerfaktorautentisering for å sikre tilgang for både brukere og administratorer
tilgangskontroll basert på tjenstlig behov for å beskytte innholdet i nettverk- og informasjonssystemer
kontroll over hvem som har tilgang til virksomhetens nettverk- og informasjonssystemer
segmentering av tjenester basert på prinsippet om minste nødvendige rettigheter
tiltak som sikrer at systemene kan håndtere avbrudd og gjenopprettes raskt uten betydelig reduksjon i tjenestekvaliteten
kapasitetsstyring for å tåle overbelastning og utstyrssvikt
kontinuerlig videreutvikling og kvalitetssikring av oppdateringer, inkludert installasjon og testing
overvåkning av nettverk- og informasjonssystemer for å oppdage sikkerhetshendelser

Related tasks

Detailed procedures for the management, control and segmentation of networks

Critical

High

Normal

Low

Network security

Defining and documenting accepted authentication methods

Critical

High

Normal

Low

Technical vulnerability management

Defined security arrangements for providing critical network equipment

Critical

High

Normal

Low

Supplier security

Anticipating capacity-related problems

Critical

High

Normal

Low

Personnel guidelines for safe data system and authentication info usage

Critical

High

Normal

Low

Implementing formal access control processes

Critical

High

Normal

Low

Incident management and response

Defining cyber security metrics for cyber security breaches

Critical

High

Normal

Low

Cyber security in contracts

5.1.1: Sikkerhetskrav for ansatte

Alle medarbeidere i virksomheten skal jevnlig læres opp i krav om ivaretakelse av taushetsplikten, informasjonssikkerheten og personvernet. Dette bør inkluderes i arbeidsavtalen eller avtales skriftlig på annen måte.

Virksomheten bør innhente taushetserklæring for den enkelte medarbeider.

Virksomheten bør utarbeide en instruks for informasjonssikkerhet og personvern som omfatter de vesentlige kravene.

Virksomheten skal ha retningslinjer for privat bruk av informasjonssystemer og utstyr.

Related tasks

Maintaining confidentiality agreements

Critical

High

Normal

Low

Defining cyber security responsibilities and tasks in employment contracts

Critical

High

Normal

Low

Cyber security in contracts

Staff guidance and training procedure in cyber security

Critical

High

Normal

Low

Cyber security training

Personnel guidelines for safe data system and authentication info usage

Critical

High

Normal

Low

Staff guidance and training

Unit- or role-specific security guidelines

Critical

High

Normal

Low

Security guidelines

Guidelines about processing customer and patient data

Critical

High

Normal

Low

5.2: Tilgangsstyring av helseopplysninger

Virksomheten skal ha rutiner for autorisering, endring og avslutning av tilganger. Innenfor rammen av taushetsplikten skal virksomheten sørge for at relevante og nødvendige helseopplysninger er tilgjengelige for helsepersonell og samarbeidende personell når dette er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp til den enkelte.

Virksomheten bestemmer på hvilken måte opplysningene skal gjøres tilgjengelige. Opplysningene skal gjøres tilgjengelige på en måte som ivaretar informasjonssikkerheten og personvernet.

Tilgangsstyring skal etableres for alle tilganger til nettverk- og informasjonssystemer. Det gjelder også for administrator- og systembrukere.

Bare autorisert personell med tjenstlige behov skal få tilgang til helse- og personopplysninger.

Tilgang til behandlingsrettede helseregistre skal gis etter en konkret beslutning basert på om det er eller skal etableres tiltak for medisinsk behandling av pasienten. Tilgang skal styres slik at taushetspliktreglene ivaretas, og at tilgang til helse- og personopplysninger ikke gis til andre enn dem som har tjenstlig behov.

Virksomheten skal også iverksette nødvendige sikkerhetstiltak for ansatte, leverandører og innleid personell som kan få tilgang til virksomhetens nettverk- og informasjonssystemer. Tiltak for adgangskontroll, brukerautentisering og tilgangskontroll skal sikre egnet tilgangsstyring til nettverk- og informasjonssystemer.

Related tasks

Access control for treatment-oriented health registers

Critical

High

Normal

Low

Security of patient data systems

Technical prevention of unauthorized use of data systems

Critical

High

Normal

Low

Defining and documenting accepted authentication methods

Critical

High

Normal

Low

Regular reviewing of data system access rights

Critical

High

Normal

Low

Personnel guidelines for safe data system and authentication info usage

Critical

High

Normal

Low

Security systems and logging

Documentation of system logs for self-maintained data systems

Critical

High

Normal

Low

Data protection monitoring and control plan

Critical

High

Normal

Low

Security and responsibilities

3.4.2: Risikohåndtering

Basert på risikovurderingen skal virksomhetene ha en plan for å håndtere risiko. Som en del av risikohåndteringen skal virksomhetene iverksette nødvendige sikkerhetstiltak for å redusere risiko og opprettholde et egnet sikkerhetsnivå.

Risikohåndtering skal gjennomføres med utgangspunkt i minimumskravene for konfidensialitet, integritet, tilgjengelighet og robusthet, og virksomhetens akseptkriterier. Det skal tas avgjørende hensyn til konsekvenser for pasient/ bruker og forsvarlig helsehjelp i risikovurderingene.

Når det er nødvendig å gjennomføre tiltak for å oppnå akseptabel risiko, skal tiltakene fremgå av en plan med tydelig frist og hvem som er ansvarlig for gjennomføring. Planen skal forankres hos virksomhetens ledelse.

Dersom planlagte tekniske tiltak for å oppnå akseptabel risiko ikke kan innføres umiddelbart, bør risikoreduserende administrative tiltak f.eks. i form av rutine vurderes. Virksomheten skal sikre at den har tilstrekkelig kompetanse tilgjengelig for å kunne vurdere risiko. Representanter for de som yter helsehjelp skal søkes involvert der det er relevant. De som utfører risikovurderingene, skal ha en tydelig eskaleringsvei til ledelsen/styret. Resultater fra risikovurderingen og plan for oppfølging av tiltak skal kommuniseres på rett detaljnivå til virksomhetens ledelse og ev. styret der dette er relevant.

Related tasks

Health-related security risk management and oversight

Critical

High

Normal

Low

Risk management procedure -report publishing and maintenance

Critical

High

Normal

Low

Risk level accepted by the organization

Critical

High

Normal

Low

Identification of risks endangering the continuity of operations and their handling plans

Critical

High

Normal

Low

Data transfer and disclosure

4.2.5.2: Deling av helseopplysninger og epikriseutsendelse

Med mindre pasienten eller brukeren motsetter seg det, skal helsepersonell gi tilgang til nødvendige og relevante helseopplysninger til samarbeidende personell i den grad dette er nødvendig for å kunne gi helsehjelp til pasienten på forsvarlig måte.

Ved utskriving fra helseinstitusjon bør pasienten gis anledning til å opplyse hvem epikrise skal sendes til.

Related tasks

Process for sharing patient health information

Critical

High

Normal

Low

5.7.5: Vedlikehold, fjernaksess eller fysisk service

Virksomheten skal, i tillegg til øvrige krav i Normen, gjennom avtale sørge for at

leverandørens utstyr som benyttes ved online oppkobling ved hjelp av kommunikasjonsnett, eller medbrakt utstyr som knyttes til virksomhetens utstyr, ikke har skadelig programvare som inneholder virus e.l., og at utstyret er sikret mot adgang fra uvedkommende
all tilgang og fysisk adgang skal være autorisert av virksomheten. Tilgangen skal logges og adgangen skal kontrolleres
tilgjengelighet til helse- og personopplysninger så vidt mulig skal opprettholdes når leverandøren utfører arbeid på virksomhetens utstyr/programvare

Related tasks

Inclusion of preparedness, physical and cybersecurity requirements in supplier agreements

Critical

High

Normal

Low

Equipment maintenance and safety

Secure usage of maintenance tools and portable devices for organization's systems

Critical

High

Normal

Low

Defined security arrangements for providing critical network equipment

Critical

High

Normal

Low

Supplier security

Service level requirements in contracts related to the data processing environment

Critical

High

Normal

Low

Creating and maintaining an access control policy

Critical

High

Normal

Low