Informasjon om podkasten

Podkasten handler om brudd på digital sikkerhet i helse- og sosialtjenester og hvilken rolle ansatte har for å sikre at personvern og informasjonssikkerhet blir ivaretatt.

Medvirkende: Henriette Henriksen, informasjonssikkerhetsleder i Vestre Viken helseforetak, og Janne Dugstad, som er forsker ved Universitetet i Sørøst-Norge.

I samtalen kommer Henriksen og Dugstad først inn på uoppmerksomhet eller ubetenksom adferd som ansatte i helse- og sosialtjenester har i sine travle arbeidsdager og som gjør at sensitive personopplysninger kan komme på avveie eller at eksterne får tilgang inn i datasystemene og fagsystemene, eller annen adferd som truer informasjonssikkerheten. Videre diskuteres hva man må gjøre etter at en slik hendelse har blitt oppdaget; hva gjør ledelsen, hvordan blir pasienter eller andre berørte informert og hva kan helsepersonell og andre ansatte gjøre for å lære av feilene og komme videre?

person standing while holding phone

Tenk på dette imens du hører på podkasten:

Hva er de vanligste forglemmelsene og feilene som helsepersonell gjør i forhold til pasienters og brukeres personvern og i forhold til informasjonssikkerhet?
Hva kan du som ansatt i helse- og sosialtjenesten gjøre for å opptre ansvarlig?
Hva kan du gjøre dersom du oppdager brudd på personvern og informasjonssikkerhet?

Se transkripsjon av podkasten

Diskusjonsspørsmål om hverdagssikkerhet

«Jeg ser ingen grunn til at jeg skal låse PCen eller pasientjournalen når det kun er ansatte som har tilgang til rommet hvor PCen er utplassert i, vi har jo alle taushetsplikt.»
«Av og til lar jeg mine kollegaer få låne min bruker i pasientjournalsystemet for å ta pasientoppslag»
«Klart jeg tar oppslag i egen journal, jeg har rett til innsyn i egen journal»
«Selvsagt tar jeg oppslag i mitt barns journal ved innleggelse eller konsultasjon – som forelder skal jeg jo oppfylle mitt forelderansvar»
«Informasjonssikkerhet er ikke noe helsepersonell trenger å tenke over, det løses av IT-folka.
«Min mobiltelefon har så bra kamera og er nyttig for å dokumentere skader, sår og lignende i pasientbehandlingen»
«E-post er effektivt i hverdagen for kommunikasjon om pasientbehandlingen»
«Det er uproblematisk å sende og publisere bilder av pasientskader eller pasientinformasjon via Snapchat, Instagram, Messenger eller Facebook dersom navn eller ansikt ikke eksponeres»

Tips

Mobil - Vil du vite mer om hvordan lovverket for personvern brytes om man bruker privat mobil til å ta bilder av pasienter? Se filmen «Hva ville du gjort» fra Velferdsteknologiens ABC:

Skjermbilde 2022-03-23 11.48.47.png

Ta eventuelt kontakt med IKT-leverandør.

Oppsummering:

Hva er viktig i fasen for gjenoppretting og ansvar etter brudd på personvern og informasjonssikkerhet?

Virksomheten må ha rutiner og systemer som gjør at brudd på digital sikkerhet meldes inn eller oppdages. En del av de feilene som ansatte gjør blir oppdaget fordi den ansatte selv, kolleger eller pasienter/pårørende melder fra. Det vil komme bedre systemer for automatisk oppdagelse for eksempel av snoking i journaler. Ansatte må være trygge på at de kan rapportere brudd på personvern og informasjonssikkerhet som de selv forårsaker eller som de observerer blant kolleger.
Skadebegrensning. «Skade» er f.eks nedetid på datasystemer og annet utstyr, som er til ulempe for alle som er på jobb. Eksempel: Etter datainnbruddet i Østre Toten kommune (se film om svart skjerm i modul 3 Oppdage innbrudd i system), er det estimert 6 måneder for å få gjenopprettet systemene. Ansatte blir berørte ved at de må anvende reserve løsninger.
Utredning av hendelsesforløp. Hva har skjedd? Hvem var involvert? Hvordan kunne det skje? Ansatte blir eventuelt involvert i kartleggingen som ledelsen står bak.
Varsle berørte. For eksempel vil pasienter/brukere få beskjed om at noen har hatt tilgang til deres helsedata. Det er ikke noe poeng for sykehuset eller kommunen å legge skylden på enkeltpersoner internt, men alle journaloppslag blir logget, så pasienter/brukere får oppgitt navnet på den som har lest i journalen, dersom han/hun krever innsyn i hendelsen. Større hendelser vil komme i media og da blir ofte kommunikasjonsansvarlige i organisasjonen involvert. Ansatte har ikke ansvar her, med mindre de blir bedt om å gjøre oppgaver av leder.
Debrief (se eget læringsopplegg for debrief). Det er ikke alltid ansatte blir involvert, dette avhenger av hva som har skjedd. De blir involvert dersom deres adferd forårsaket sikkerhetsbruddet.
Gå videre. Det er viktig å jobbe med digital sikkerhet over tid. Lederne må ta sin del av ansvaret og sette sikkerhet på dagsorden, for eksempel ved å sørge for at alle ansatte tar obligatoriske e-læringskurs, ved å ta opp hendelser til refleksjon på personalmøter og ved å arrangere egne fagdager. De ansatte må forstå at digital sikkerhetskompetanse er en nødvendig del av deres fagkompetanse. De må delta på kurs og øvelser. Det kan også være behov for å gjøre andre tiltak. For eksempel medførte hendelsen rundt journallesing av fødsel (eksempel fra podkast) til at det ble veldig dårlig arbeidsmiljø i avdelingen. Det var en situasjon som ledelsen måtte ta tak i og som de ansatte måtte bidra til å løse.

person holding smartphone

På neste side kommer informasjon om debrief og refleksjon, med læringsaktivitet tilknyttet ett av de tidligere scenarioene