1 Indledning
Formål med IT-sikkerhedspolitikken
Klinikkens IT-sikkerhedspolitik er vores sikkerhedsgrundlag og vores fælles forståelse af, hvad IT-sikkerhed er. IT-sikkerhedsstrategien og IT-sikkerhedspolitikken fastlægger vores ambitionsniveau og opstiller rammerne for de sikkerhedstiltag, som er nødvendige at følge, når vi som klinik skal leve op til lovgivningskrav og best practices.
Klinikken ser ikke kun et højt sikkerhedsniveau som et krav for at kunne overholde lov-og myndighedskrav, men også som et kvalitetselement i forhold til at kunne tilbyde en sikker service over for patienter, myndigheder og samarbejdspartnere i det hele taget.
Med IT-sikkerhed forstår vi den nødvendige beskyttelse af samtlige ressourcer, der indgår i - eller bidrager til klinikkens behandling og kommunikation af data elektronisk eller i papirform mv.
Hovedmålsætninger i IT-sikkerhedspolitikken
IT-sikkerhed og troværdighed
IT-sikkerheden skal understøtte klinikkens virksomhed i forhold til at sikre stabilitet i tilgangen til data, fortrolighed i forhold til personfølsomme data samt pålidelighed i datas indhold. Dette sikres ved, at klinikken/personale i vores dagligdag lever op til almindelige principper for IT-sikkerhed.
Klinikkens opgaver består bl.a. i
- Patientbehandling
- Samarbejde med myndigheder og forsikringsselskaber
- Administration
- Behandling af patient- og personaledata
Målet for IT-sikkerheden er at:
- Understøtte bevidstheden om IT-sikkerhed i klinikken
- Opnå høj driftssikkerhed og minimeret risiko for store nedbrud og tab af data
- Opnå mulighed for fortrolig behandling, transmission og opbevaring af data. Dvs. at faciliteter hertil skal være til stede og benyttes efter konkretbehov
- Sikre mod forsøg på brud på sikkerhedsforanstaltninger
Afbalanceret IT-sikkerhed
Klinikken er afhængig af et godt omdømme og tillid fra patienter og samarbejdspartnere. Derfor skal IT-sikkerhedspolitikken være med til at sikre, at data og informationer behandles i overensstemmelse med gældende lovkrav. Sikkerhedsniveauet skal dog afbalanceres, således at fleksibiliteten og dynamikken i vores dagligdag ikke mistes. Derfor er det en målsætning i sikkerhedspolitikken, at data og systemer sikres ud fra en vurdering af, hvad der er nødvendigt at gøre under hensyntagen til de økonomiske rammer.
Omfang
IT-sikkerhedspolitikken er det dokument, der angiver de beslutninger, som ledelsen i klinikken har truffet med henblik på nærmere at fastlægge det tilstrækkelige sikkerhedsniveau samt definere de krav, der skal stilles, for at sikkerhedsniveauet opretholdes.
Derfor fastlægges omfanget af IT-sikkerhedspolitikken således:
- IT-sikkerhedspolitikken gælder for alle ansatte i klinikken uanset ansættelsesform, herunder også eksterne konsulenter. Det forventes, at IT-sikkerhedspolitikken overholdes.
- IT-sikkerhedspolitikken gælder for alle systemer og alle data i klinikkens besiddelse.
- Leverandører og samarbejdspartnere, som har fysisk eller logisk adgang til klinikkens systemer og data, skal ligeledes have kendskab til og følge IT-sikkerhedspolitikken.
- IT-sikkerhedspolitikken dækker alle tekniske og administrative forhold, der har direkte eller indirekte indflydelse på drift og brug af klinikkens it-systemer og papirarkiver.
- IT-sikkerhedspolitikken godkendes af ledelsen og revurderes en gang årligt for at sikre, at den stadig er i overensstemmelse med virkeligheden.
2 Risikovurdering og risikoanalyse
Risikovurdering
Det sikkerhedsniveau, denne politik repræsenterer, er fastsat på baggrund af klinikkens vurdering af de forretningsmæssige it-risici, som vi ønsker at imødegå.
It-risikovurderingen opdateres årligt og ved eventuelle større ændringer i it-systemerne, ændringer i anvendelse af systemerne eller ved større organisatoriske ændringer med efterfølgende tilretning af informations- sikkerhedspolitikken, retningslinjer mm.
Sikkerhedsniveau
Klinikkens sikkerhedsniveau skal først og fremmest indfri de forventninger til troværdighed og stabilitet, der er til behandling af forretningskritiske data på en tandklinik. Klinikken ønsker at fremstå med et højt sikkerhedsniveau, der tilgodeser:
- Lovgivning
- Anerkendt best practice inden for IT-sikkerhed
3 Organisering og ansvar
Interne organisatoriske forhold
Organisering af IT-sikkerhed er som følger:
Styringsprincipper
IT-sikkerhed er et fælles anliggende for hele klinikken. Håndteringen af IT-sikkerhed vil blive ledet af ledelsen.
Eksternesamarbejdspartnere
Hvis en ekstern samarbejdspartner gives adgang til eller hvis disse behandler data på vegne af klinikken, skal der indgås skriftlige databehandlingsaftaler med eventuelle eksterne samarbejdspartnere om dette.
4 Klassifikation af systemer og data
For at sikre at vores systemer og data har det rigtige sikkerhedsniveau, skal disse identificeres og klassificeres løbende.
5 Brugeradfærd
Opretholdelse af det ønskede sikkerhedsniveau er afhængig af, at vi alle tager ansvar for informations-sikkerheden.
Alle ansatte skal være bekendt med sikkerhedspolitikken og gældende retningslinjer for ønsket adfærd.
Anvendelse af it og behandling af data er almindelige redskaber i varetagelsen af de daglige arbejdsopgaver. Håndteringen af patientdata kræver faglige forudsætninger, og bør desuden ske med omtanke og almindelig sund fornuft.
Det er vigtigt, at følge disse retningslinjer:
- Persondata behandles i alle tilfældefortroligt.
- Der anvendes personligt udleveret login og password, og password skiftes med jævnemellemrum.
- Datamedier med persondata og vigtige informationer behandles og beskyttes med omhu mod at uvedkommende får adgang til dem.
- Mobilt udstyr beskyttes og opbevares, så andre ikke kan få adgang til det.
- Det er vigtigt at kunne anvende internettet i mange sammenhænge. Dog er besøg på sider med racistisk, uetisk eller pornografisk indhold ikke acceptabelt i forbindelse med de daglige arbejdsopgaver.
- Mail anvendes til kommunikation på mange niveauer–men ikke til privat kommunikation, medmindre andet er aftalt med ledelsen. Marker mailen ”privat.”
- Der må kun anvendes it-programmer, som er godkendt af ledelsen.
- Hvis man oplever, at der sker brud på IT-sikkerheden, er det vigtigt at informere ledelsen – benyt klinikkens it-beredskabsplan.
Passwordsikkerhed
For at sikre klinikkens data skal der benyttes passwords.
Ansættelsesforholdet
Alle medarbejdere har et medansvar for at opretholde det ønskede sikkerhedsniveau i klinikken. For at kunne leve op til medansvaret, er det ledelsens ansvar at sørge for instruktion i forhold til anvendelse af systemer i det daglige arbejde samt i forhold til den ønskede adfærd for IT-sikkerhed. Alle medarbejdere skal:
- Have et generelt kendskab til IT-sikkerhed
- Kende deres ansvar forsikkerheden
- Sikre deres personlige adgangskoder, samt personligt udleveredesystemadgangskoder.
- Passe på it-udstyr
- Deltage aktivt i rettelse af fejl, løsning af problemer og forbedringer af sikkerheden
- Rapportere hændelser, der kan indikere brud på sikkerheden
Som afhjælpningsforanstaltninger til at minimere vurderede risici, skal retningslinjerne revurderes og opdateres årligt eller ved større forandringer. Overtrædelser af IT-sikkerhedspolitikken vil efter omstændighederne kunne medføre ansættelsesmæssige sanktioner.
Funktionsadskillelse
Der er etableret egentlig funktionsadskillelse, hvor det er nødvendigt. Det betyder, at ved installering af programmel, vurderes det i forbindelse med oprettelse af medarbejder, hvilke programmer vedkommende medarbejder skal have adgang til.
Ansættelsens ophør
Der er procedurer, der sikrer, at it-aktiver returneres, og at adgange og rettigheder ophører ved ansættelsesforholdets ophør. Nøgler afleveres, personlige brugerkonti de-aktiveres, og evt. fælles systempasswords skiftes.