Patientdata färg - Teldok

”Måste veta” och ”rätt att veta”
46
Patientdata – brist och överflöd i vården
När det gäller informationssäkerhet talar man ibland om två grundläggande
strategier när det gäller användare och information: ”måste veta” respektive
”rätt att veta”.
• ”Måste veta”-strategin innebär en strikt behörighetsprincip. På förhand
bestämmer man vilka uppgifter som en viss användare behöver för att utföra
sina uppgifter. Den här strategin passar bäst i hierarkiska organisationer med
klart avgränsade arbetsuppgifter.
• ”Rätt att veta”-strategin bygger på tanken att man inte i förväg kan avgöra
vilken information som är nödvändig för en viss situation. Alla användare får
därför möjlighet att ta del av samtliga uppgifter.
Inom vården kan man säga att ”måste veta”-strategin prioriterar patientintegriteten,
medan ”rätt att veta”-strategin prioriterar vårdens kvalité. Oftast handlar
det inte om ett antingen-eller-val mellan dessa två strategier. Istället försöker man
skapa en balans mellan de två olika intressena.
Loggar avskräcker från missbruk
En säkerhetskontroll som man ofta använder är att systemen har mer eller mindre
utbyggda loggar, där systemansvariga kan se vilken information som varje
användare har hämtat ut eller skrivit in. Det är genom loggarna man har avslöjat
vårdpersonal som har hämtat ut uppgifter om kända personer (se kapitel 2).
Men värdet av logguppgifterna, när det gäller att kontrollera vem som har läst
vad, bygger naturligtvis på att endast den inloggade har tillgång till datorn när
hon är inloggad.
I vården är kontroll av loggar inte någon uppgift som man prioriterar särskilt
högt i dag. Men det är troligt att enbart vetskapen om att loggarna finns verkar
avskräckande.
Backup, virus, buggar och spionprogram
Driftsäkerheten för vårdens datorsystem bygger på att man har tillräcklig över-
och extrakapacitet (reservsystem), stabila program och att man gör säkerhetskopior
(back-up). Här gäller samma förutsättningar som överallt annars. Ibland
kan dubbleringen av funktioner mera vara en lösning på pappret. När en brand
bryter ut hjälper det till exempel inte att kablarna är dubblerade eller det finns
backup, om detta finns i samma utrymme. Här har man gjort mycket inom vården,
men mer finns att göra. Ett exempel på det är när datortomografen vid Lunds
universitetssjukhus slogs ut häromåret.
Hot utifrån, i form av virus, maskar och hackare, är problem som har drabbat
allt fler verksamheter på senare år, även inom vården.
I dag är inga nätverk helt isolerade ”öar”. Det finns alltid ingångar från andra
system, via telefon, via epost och på andra sätt. Öppningar mot omvärlden
innebär alltid säkerhetsrisker som man måste minimera med brandväggar och
antivirusprogram.