Extern granskning och åtgärdsplan för stärkt informationssäkerhet efter tidigare incident vid 1177 Vårdguiden

I februari 2019 framkom att inspelningar av vissa samtal till 1177 Vårdguidens sjukvårdsrådgivning på telefon varit åtkomliga för obehöriga.

Såväl Region Stockholm som uppdragsgivare och MedHelp AB som vårdgivare har därefter vidtagit en rad åtgärder för att säkerställa att liknande risker för patientens integritet inte ska kunna uppstå igen.

För att skapa en så bred genomlysning av händelsen som möjligt gav Hälso- och sjukvårdsnämndens ordförande Anna Starbrink uppdrag till Hälso- och sjukvårdsförvaltningen att beställa en extern granskning, utöver de granskningar som redan görs av beställaren, vårdgivaren, Polisen och ansvariga tillsynsmyndigheter.

Målsättningen med den externa granskningen, som utförts av KPMG, var att ta fram underlag för att förbättra rutinerna för informationssäkerhet hos både Region Stockholm och MedHelp genom att undersöka om MedHelp levt upp till avtalskraven, om avtalskraven var rätt ställda och om Region Stockholms uppföljning var relevant och ändamålsenlig. Granskningen, som genomfördes under maj-juni 2019 är nu färdigställd.

– Det är oerhört viktigt att en allvarlig incident som denna utreds grundligt, och den externa granskningen ger oss tydliga redskap för hur Region Stockholm ytterligare kan stärka det helt centrala arbetet med informationssäkerhet. Tydligare krav i vårdavtalen, en stärkt uppföljning och ökad kompetens samt en kraftfull åtgärdsplan är exempel på detta. Vi behöver ständigt arbeta för att stärka skyddet av känslig information för att upprätthålla förtroendet för samhällsviktiga tjänster. Vi ser dock att förtroendet för 1177 Vårdguiden är fortsatt högt, och alla som söker vård via tjänsten kan vara trygga i att deras information är säkrad, säger Daniel Forslund (L) ordförande i Regionstyrelsens Innovations- och utvecklingsutskott.

Den externa granskningen visar på att både vårdgivaren och Hälso-och sjukvårdsförvaltningen behöver arbeta med att förbättra det systematiska informationssäkerhetsarbetet. Förvaltningen kommer att upprätta en åtgärdsplan tillsammans med vårdgivaren MedHelp för att åtgärda de brister som granskningen identifierat. Åtgärdsplanen kommer att följas upp månatligen.

Åtgärder som redan pågår är:

• Framtagandet av en modell för att följa upp vårdgivares efterlevnad av gällande regelverk avseende informationssäkerhet.
• Översyn av avtalsprocess och avtal med privata vårdgivare för att säkerställa rätt informationssäkerhetskrav.
• Utbildning i informationssäkerhet inom förvaltningen.

Utifrån den externa granskningen ska bl.a. följande nya åtgärder vidtas:

• Påskynda förvaltningens pågående arbete med att införa ett komplett ledningssystem för informationssäkerhet (LIS).
• Kategorisera och riskbedöma leverantörer/vårdgivare ur informationssäkerhetssynpunkt.
• Förtydliga skrivningarna i vårdavtalen (allmänna villkor) avseende informationssäkerhet.
• Utveckla kompetensen inom förvaltningen för att följa upp informationssäkerhetskraven i vårdavtalen.
• Utreda förutsättningar för att inkludera innehav av komplett ledningssystem för informationssäkerhet (LIS) som ett kvalificeringskrav i upphandlingsprocessen.
• Etablera enhetliga rutiner för godkännande av underleverantörer.
• Utreda förutsättningarna att certifiera förvaltningen enligt ISO 27001.