Direktoratet for e-helse har fått i oppdrag å identifisere og foreslå gode rutiner for å sikre at de til enhver tid gjeldende krav til informasjonssikkerhet ved bruk av private leverandører etterleves. Det opplyste helse- og omsorgsminister Bent Høie i et svar på et skriftlig spørsmål fra Stortinget. Han mener for øvrig at det ikke er noe motsetningsforhold mellom informasjonssikkerhet og tjenesteutsetting.
Både i Sverige og Norge har det i den seneste tiden kommet for dagen såkalte «IT-skandaler». Det dreier seg i begge land om sensitiv informasjon som er kommet på avveie, dvs. at noen som ikke skulle ha tilgang til slike opplysninger, likevel hadde det. Transportstyrelsen i Sverige og Helse Sør-Øst her hjemme er det meste kjente oppdragsgiverne som er blitt rammet.
Stortingsrepresentant Ruth Grung (A) er bekymret over denne situasjonen og sendte avsted et skriftlig spørsmål til helse- og omsorgsminister Bent Høie. Hun ville vite hva han gjør for at vi har innovative miljøer til å utvikle elektronisk pasientjournal (EPJ), uten risiko for at sensitiv pasientinformasjon kommer på avveier eller blir hacket.
Høyt prioritert oppgave
– Arbeidet med informasjonssikkerhet er derfor en høyt prioritert oppgave i helse- og omsorgssektoren, svarte statsråden. Helse- og omsorgssektoren er helt avhengig av gode innovative miljøer for å utvikle de elektroniske pasientjournalene. Slike miljøer finner vi hos både nasjonale og internasjonale private leverandører. Disse leverandørene har en sentral rolle i å tilpasse og innføre nye løsninger i helse- og omsorgstjenesten, gjennomføre nødvendig service og vedlikehold, og til en viss grad også bistå i drift og forvaltning.
Han opplyste at han hadde gitt Direktoratet for e-helse i oppdrag å identifisere og foreslå gode rutiner for å sikre at de til enhver tid gjeldende krav til informasjonssikkerhet ved bruk av private leverandører etterleves. Direktoratet skal som en del av oppdraget utarbeide en overordnet status for bruk av nasjonale og internasjonale leverandører som kontinuerlig eller episodisk arbeider inn mot virksomhetenes datasystemer. Sluttrapport for dette oppdraget skal leveres 1. november 2017.
Det viktigste tiltaket
– Det viktigste tiltaket for å hindre at personsensitiv data eller annen informasjon kommer på avveie er det målrettede og systematiske arbeidet som gjøres med informasjonssikkerhet i hver enkelt virksomhet, konstaterte statsråden. Dette gjelder enten virksomheten utfører utvikling og drift av IKT selv, kjøper utstyr eller benytter ulike former for tjenesteutsetting.
Og Høie siterte statsrådskollega Jan Tore Sanner, som i et brev til Stortingets president i august i år bl.a. skrev:
“(..) det er ikke noe motsetningsforhold mellom informasjonssikkerhet og tjenesteutsetting. Det digitale sårbarhetsutvalget peker i sin rapport på at tjenesteutsetting kan gi økt teknisk sikkerhet fordi leverandøren ofte har både bedre kompetanse og mer ressurser enn kunden. Det understrekes at det alltid er kunden – den offentlige virksomheten – som har ansvaret for at det stilles krav til informasjonssikkerhet og for å følge opp leverandøren etter at kontrakt er inngått”.
Bli den første til å kommentere på "Ingen motsetning mellom infosikkerhet og tjenesteutsetting"