Kommunikasjon av retningslinjer for informasjonssikkerhet

Abstract

Sykehuset Østfold HF har en av de mest moderne IKT-plattformene i helsesektoren i Norge og har en målsetning om å utnytte moderne teknologi og nytt sykehus for å bli ledende innenfor definerte områder innen forskning og tjenesteinnovasjon (Sykehuset Østfold HF, 2017). Ett av målene er å øke modenhetsnivået i hvordan sykehuset utnytter IKT-verktøy i pasientbehandling i retning av papirløst sykehuset. Personvern og informasjonssikkerhet er viktige verdier som sykehuset skal ivareta i en behandlingshverdag som i stadig økende grad benytter moderne informasjons- og kommunikasjonstekniske løsninger. Kvalitet og forutsigbarhet i ivaretakelsen av personvern og informasjonssikkerhet er viktig i en virksomhet som er underlagt strenge lovreguleringer og som ønsker å møte pasientene med empati, profesjonalitet, god kommunikasjon og rett kompetanse (Sykehuset Østfold HF, 2017). Informasjon om retningslinjer for å ivareta krav til informasjonssikkerhet er et avgjørende bidrag for at medarbeidere ved sykehuset skal ha forutsetninger for å behandle personopplysningene på en sikker måte. Informasjonen må forstås, aksepteres og etterleves av medarbeiderne. Informasjonskilder, informasjonskanaler og selve formuleringen av budskapet må være tilrettelagt den enkelte medarbeiders sikkerhetsutfordringer. Denne oppgaven søker å finne svar på om informasjonen er godt nok tilpasset mottakeren av innholdet. Oppgaven bruker utvalgt teori for å sammenligne sykehusets erfaringer fra eksisterende informasjonsutbredelse med hvordan kravene til informasjonssikkerhet etterleves. Diskusjonene i oppgaven viser at grunnleggende krav til informasjonssikkerhet etterleves i stor grad og informasjonskildene er nært knyttet til den enkeltes avdeling hvor nærmeste leder er den foretrukne kilden til informasjon om retningslinjer. Lederens kunnskap er en forutsetning for at retningslinjene blir etterlevd korrekt. Lederne har god oversikt over retningslinjene men praksisen gjør lederen til en helt avgjørende – og sårbar – brikke i informasjonssikkerhetsarbeidet. Å tilpasse informasjonen til alle medarbeidere vil være en krevende men viktig oppgave for at ikke medarbeiderne ikke bare skal etterleve grunnleggende retningslinjer, men også skal kunne tolke situasjoner og ta egne vurderinger som gagner informasjonssikkerheten. Kunnskap om konsekvenser er en forutsetning for å kunne ta kvalifisert vurderinger. Grensesnittet mellom menneske og maskin var et prioritert område da sykehuset moderniserte IKT-porteføljen i 2015. Allikevel viser resultatene i denne oppgaven at dette grensesnittet bør få jevnlig fokus. Det er den helhetlig IKT-opplevelsen som medarbeiderne må håndtere som bør gjennomgås ved innføringen ethvert nytt IKTsystem. Dette vil da inkludere alle tidstyvene og alt ekstraarbeidet manuelle rutiner representerer.

Hospital Østfold Trust has a highly modern ICT platform within the health sector in the Norwegian context and has the goal of utilizing modern technology and a new hospital to become a leader in defined areas within research and service innovation (Sykehuset Østfold HF, 2017). One of the goals is to increase the level of maturity in how the hospital utilizes ICT tools in patient treatment in the direction of the paperless hospital. Privacy and information security are important values that the hospital should take care during patient treatment that increasingly uses modern information and communication technology solutions. The need to safeguard privacy and information security is important in a business that is subject to strict regulations and that wants to meet the patients with empathy, professionalism, good communication and the right competence (Sykehuset Østfold HF, 2017). Information on guidelines for safeguarding information security requirements is a decisive contribution for employees at the hospital to have the prerequisites for safely processing personal data. The employees must understand, accept and comply the information. Information sources, information channels and the actual formulation of the message must be adapted, and this thesis seeks to find answers to whether this is well organized. The thesis uses selected theory to compare the hospital's experiences from existing information dissemination with how the requirements for information security are complied. The discussions in the thesis show that the basic requirements for information security are in compliance in a large extent and the sources of information are closely linked to the individual's department, where the manager is the preferred source of information on guidelines. The manager's knowledge is a prerequisite for compliance with the guidelines. The managers have a good overview of the guidelines, but the practice makes the manager a completely decisive - and vulnerable - piece. Adapting the information to all employees will be a demanding but important task for employees not only to comply with basic guidelines, but also to be able to interpret situations and perform their own assessments in a way that benefit information security. Knowledge of consequences is a prerequisite for being able to take qualified assessments. The interface between man and machine was a priority area as the hospital modernized the ICT portfolio in 2015. Nevertheless, the results in this thesis show that this interface must receive regular focus. The employees need to handle the holistic ICT experience, including all the timelines and all the extra work manual routines and “workarounds” represent.