text: FÖRVALTNING PLANERING

text: Lärdomar, bestäm Analysera företagets mellan förnyelse, nytt anbud, behov. avslutning eller insourcing.

text: Övervaknin PLANERING g av avtal Identifiera och (servicenivåavtal, samla krav. support efter avslutat köp osv.) och betalningar.

text: FÖRVALTNING LOKALISERING

text: Undertecknande av Förbered kontraktet. förslagsinfordran/ anbud.

text: LOKALISERING LOKALISERING

text: Förhandla och Utvärdera de mottagna tilldela. förslagen.

identifier: Procurement Guidelines for Cybersecurity in Hospitals

sprak: sv

title: Procurement Guidelines for Cybersecurity in Hospitals

text: UPPHANDLINGSRIKTLINJER FÖR CYBERSÄKERHET PÅ SJUKHUS

text: Rapporten syftar till att vara en ”vägledning” för hälso- och sjukvårdspersonal. Många av metoderna och rekommendationerna kommer också att vara användbara för andra hälso- och sjukvårdsorganisationer, eftersom upphandlingsprocesserna kan vara mycket lika. Den är användbar för hälso- och sjukvårdspersonal med tekniska tjänster på sjukhus, dvs. chefer: säkerhetsansvariga, säkerhetsansvariga för de centrala datasystemen, teknikansvariga, IT-team samt upphandlingstjänstemän inom hälso- och sjukvårdsorganisationer. Detta korta dokument tar upp de viktigaste punkterna i rapporten – mer detaljerad information kan läsaren hitta i ENISA-publikationen: ENISA Goda rutiner för säkerhet för hälso- och sjukvårdstjänster som publicerades i februari 2020.

text: UPPHANDLINGSPROCESS

text: Eftersom sjukhusets ekosystem består av flera IT-komponenter bör cybersäkerheten granskas separat i alla dessa olika komponenter. Cybersäkerhet bör ingå i alla olika skeden i upphandlingsprocessen. I detta avsnitt presenterar vi de gemensamma stadierna i upphandlingsprocessen för att erhålla produkter och tjänster inklusive medicintekniska produkter, informationssystem och infrastrukturer.

text: Februari 2020

text: Figur 1: Upphandlingsprocessens livscykel för sjukhus  Planeringsfasen: Inledningsvis analyserar sjukhuset sina behov och samlar in krav från flera avdelningar internt. Till exempel, när det gäller att få en ny molntjänst, bör den teknikansvariga identifiera behoven och förstå vilken typ av användbarhet denna tjänst kommer att erbjuda.  Lokaliseringsfasen: Därefter översätts kraven till tekniska specifikationer och lokaliseringsprocessen inleds tillsammans med upphandlingstjänstemannen (t.ex. en anbudsinfordran offentliggörs). Sjukhuset mottar de utsedda buden, kommittén (inklusive den teknikansvariga/säkerhetsansvariga för de centrala datasystemen eller/och en medlem av ITteamet) utvärderar buden och väljer de mest lämpliga produkterna. Förhandlingar genomförs med anbudsgivaren och avtalet tilldelas.  Förvaltningsfasen: Slutligen tilldelas avtalet (förvaltning och övervakning) till företagets ägare inom sjukhuset. Den utsedda tjänstemannen är ansvarig för att avsluta anbudet och ta emot feedback från användarna om utrustningens/systemets/tjänstens faktiska prestanda.

text: Februari 2020

text: TYPER AV UPPHANDLING PÅ SJUKHUS

text: Tabell 1: Typer av upphandling (tillgångstaxonomi) Typ av upphandling Typ av beskrivning

text: Inbegriper upphandling av någon form av programvara som är

text: Kliniska informationssystem

text: inriktad på medicinsk vård

text: All maskinvara som är avsedd för behandling, kontroll eller diagnos

text: Medicintekniska produkter

text: av sjukdomar

text: Nätverkslinjer (koaxiala, optiska), nätportar, routrar, omkopplare,

text: Nätutrustning

text: brandväggar, VPN:er, IPS, IDS osv.

text: Faciliteter eller anordningar som ger vård utanför sjukhusmiljön,

text: Vårdsystem på distans

text: särskilt vad som i dag kallas ”sjukhusbaserade hemvårdstjänster”.

text: All programvara som avser vårdrelaterad eller medicinsk Mobila klientanordningar datainsamling som inte är direkt ansluten till sjukhusnätverket, till exempel, appar för telemedicin

text: System för att unikt identifiera patienter eller medicinsk personal Identifieringssystem (biometriska skannrar, kortläsare osv.) och garantera identifiering och/eller behörighet att komma åt IT-systemen.

text: Alla typer av konstruktioner som kan rymma medicinska

text: System för fastighetsdrift

text: anläggningar.

text: System som styr alla fysiska aspekter av centren, såsom Industriella styrsystem effektregleringssystem, dörrlåssystem, säkerhetssystem för nära kretsar.

text: Alla typer av tjänster som har lagts ut på entreprenad eller inte, tillhandahållna av personal eller företag: medicinska tjänster,

text: Professionella tjänster

text: transport, redovisning, ingenjörskonst, IT, juridiska tjänster, underhåll, städning, catering osv.

text: Alla kommunikations- och informationssystem eller andra informationssystem som inte finns i den medicinska byggnaden eller

text: Molntjänster

text: i en datacentral under fullständig kontroll av IT-avdelningen för vårdenheten.

text: Februari 2020

text: HOTTAXONOMI

text: Olika typer av upphandling är förknippade med olika hot mot sjukhusets IKT-miljö. Konsultera hottaxonomin som presenteras i detta avsnitt tillsammans med din IT-, säkerhets- eller riskavdelning för att identifiera vilka hot som är mest relevanta för din organisation. Denna aktivitet bör vara en del av ITuppgifterna på sjukhuset oavsett upphandlingspotentialen. Tabell 2: Typer av hot (hottaxonomi) Hot Exempel

text: Naturkatastrofer Eldsvåda, översvämningar eller jordbävningar

text: Fel i Fel hos leverantör av molntjänster, fel hos nätleverantör, fel i kraftförsörjning, fel hos leveranskedjan tillverkare av medicintekniska produkter/ansvarsfrihet

text: Mänskliga fel Konfigurationsfel för medicinska system, frånvaro av logginformation, obehörig åtkomstkontroll/brist i processen, bristande efterlevnad (BYOD), fel av sjukvårdspersonal/patient

text: Sabotageprogram (virus, utpressningsprogram, BYOD), kapning (kryptokapning, kapning av

text: Illvilliga

text: medicintekniska produkter), social manipulering (nätfiske, lockbete, kloning av enheter), stöld handlingar (av uppgifter, enheter), manipulering av medicintekniska produkter, skimning, tillgänglighetsförlust, webbaserade attacker, webbapplikationsattacker, internt hot, fysisk manipulering/skada, identitetsstöld, cyberspionage, störningar för mekaniska komponenter

text: Programvarufel, föråldrad fast programvara, enhetsfel, nätverkskomponentfel, otillräckligt

text: Systemfel

text: underhåll

text: Februari 2020

text: GODA RUTINER FÖR CYBERSÄKERHET INOM UPPHANDLING

text: Listan över goda rutiner nedan är inte uttömmande, den ger dock en solid fördel för IT-personal inom sjukvård som ansvarar för inköp av utrustning på ett sjukhus. Uppsättningen av goda rutiner är det kollektiva resultatet av alla synpunkter från intervjuad vårdpersonal. Läsaren kan anpassa listan baserat på prioriteringarna i sin organisation.

text: GR 1. Engagera IT-avdelningen i olika skeden av upphandlingen för att säkerställa att expertis inom cybersäkerhetsaspekter beaktas.

text: Upphandlingsfaser: Samtliga Relaterade typer av upphandling: Samtliga Relaterade hot: Samtliga

text: GR 2. Implementera en identifierings- och hanteringsprocess för sårbarheter för att säkerställa att sårbarheter beaktas innan nya produkter eller tjänster upphandlas och att sårbarheter hos befintliga produkter/tjänster övervakas under hela deras livscykel.

text: Upphandlingsfaser: Samtliga Relaterade typer av upphandling: Kliniska informationssystem, medicintekniska produkter, nätutrustning, vårdsystem på distans, mobila klientanordningar, identifieringssystem, industriella styrsystem, molntjänster Relaterade hot: Samtliga

text: GR 3. Utveckla en policy för maskinvaru- och programvaruuppdateringar för att säkerställa att de senaste patcherna för ditt operativsystem och programvara tillämpas och att antivirusprogrammet uppdateras.

text: Upphandlingsfaser: Samtliga Relaterade typer av upphandling: Medicintekniska produkter, kliniska informationssystem, nätutrustning, vårdsystem på distans, mobila klientanordningar, identifieringssystem, industriella styrsystem, molntjänster Relaterade hot: Illvilliga handlingar, fel i leveranskedjan, systemfel

text: GR 4. Förbättra säkerhetskontrollerna för trådlös kommunikation för att säkerställa att tillgången till sjukhusets wifi-nätverk är begränsad och strikt kontrollerad.

text: Upphandlingsfaser: Samtliga Relaterade typer av upphandling: Medicintekniska produkter, klientanordningar på distans, identifieringssystem, molntjänster Relaterade hot: Illvilliga handlingar, mänskliga fel

text: Februari 2020

text: GR 5. Fastställa testpolicy för att säkerställa att nyligen förvärvade eller nykonfigurerade produkter genomgår ett penetrationstest och att de avhjälpande åtgärderna som vidtas är i linje med de operativa parametrarna för den faktiska miljön.

text: Upphandlingsfaser: Samtliga Relaterade typer av upphandling: Kliniska informationssystem, medicintekniska produkter, nätutrustning, vårdsystem på distans, mobila klientanordningar, identifieringssystem, system för fastighetsdrift, industriella styrsystem, molntjänster Relaterade hot: Illvilliga handlingar, systemfel, mänskliga fel

text: GR 6. Fastställa driftskontinuitetsplaner för att säkerställa att ett systems fel inte kommer att störa sjukhusets kärntjänster och att leverantörens roll är väl definierad.

text: GR 7. Ta hänsyn till interoperabilitetsproblem för att säkerställa att det inte finns några säkerhetsluckor med de komponenter som redan finns (befintlig IT).

text: Upphandlingsfaser: Samtliga Relaterade typer av upphandling: Kliniska informationssystem, medicintekniska produkter, vårdsystem på distans, mobila klientanordningar, identifieringssystem, industriella styrsystem, molntjänster Relaterade hot: Systemfel, mänskliga fel, illvilliga handlingar

text: GR 8. Göra testning av alla komponenter möjlig för att garantera att de levererar vad som lovats: Verifiera användarvänlighet, kontrollera korrektheten av resultat under belastning och kontrollera säkerhetsbrister (policy för svaga lösenord, SQL-injektion).

text: Upphandlingsfaser: Samtliga Relaterade typer av upphandling: Kliniska informationssystem, medicintekniska produkter, klientanordningar på distans, identifieringssystem, molntjänster, industriella styrsystem, vårdsystem på distans, system för fastighetsdrift, mobila klientanordningar Relaterade hot: Illvilliga handlingar, mänskliga fel, systemfel, fel i leveranskedjan

text: GR 9. Tillåta granskning och loggning för att spåra angripare och hur mycket information som förlorades/stulits när systemet äventyras.

text: Upphandlingsfaser: Samtliga Relaterade typer av upphandling: Medicintekniska produkter, vårdsystem på distans, mobila klientanordningar, identifieringssystem, industriella styrsystem Relaterade hot: Illvilliga handlingar, fel i leveranskedjan, systemfel

text: Februari 2020

text: GR 10. Kryptera känsliga personuppgifter i vila och i transit genom att definiera en policy för system, tjänster eller anordningar som behandlar de särskilda kategorierna av personuppgifter som anges i

text: artikel 9 i dataskyddsförordningen

text: GR 11. Genomföra en riskbedömning som en del av upphandlingsprocessen.

text: Upphandlingsfaser: Planering Relaterade typer av upphandling: Samtliga Relaterade hot: Samtliga

text: GR 12. Planera nät-, maskinvaru- och licenskrav i förväg för att avgöra om ytterligare uppgraderingar och/eller inköp måste göras innan installationen för att tillgodose det nya systemet.

text: Upphandlingsfaser: Planering Relaterade typer av upphandling: Kliniska informationssystem, nätutrustning, identifieringssystem, industriella styrsystem. Relaterade hot: Fel i leveranskedjan, systemfel, naturkatastrofer, mänskliga fel

text: GR 13. Identifiera hot relaterade till upphandlingsprodukter eller -tjänster och säkerställa att hotidentifieringen är kontinuerlig under upphandlingens livscykel.

text: Upphandlingsfaser: Planering, förvaltning Relaterade typer av upphandling: Samtliga Relaterade hot: Samtliga

text: GR 14. Segregera ditt nätverk för att säkerställa att nätverkstrafik kan isoleras och/eller filtreras för att begränsa och/eller förhindra åtkomst mellan nätverkszoner.

text: Upphandlingsfaser: Planering, lokalisering Relaterade typer av upphandling: Medicintekniska produkter, kliniska informationssystem, nätutrustning, vårdsystem på distans, mobila klientanordningar, identifieringssystem, industriella styrsystem, molntjänster Relaterade hot: Illvilliga handlingar, fel i leveranskedjan, systemfel

text: Februari 2020

text: GR 15. Bestämma nätverkskrav för att säkerställa interoperabilitet och undvika luckor efter att ha skapat nättopologi och komponenttopologi.

text: Upphandlingsfaser: Planering Relaterade typer av upphandling: Kliniska informationssystem, nätutrustning, identifieringssystem, industriella styrsystem., molntjänster, vårdsystem på distans, mobila klientanordningar. Relaterade hot: Fel i leveranskedjan, systemfel, naturkatastrofer

text: GR 16. Fastställa grundläggande säkerhetskrav och översätta dem till urvalskriterier vid val av leverantör.

text: GR 17. Skapa en dedikerad förslagsinfordran för upphandling av molntjänster som tar hänsyn till rättsliga och policymässiga krav.

text: Upphandlingsfaser: Planering, lokalisering Relaterade typer av upphandling: Molntjänster Relaterade hot: Illvilliga handlingar, fel i leveranskedjan

text: GR 18. Prioritera upphandling av tillgångar som är certifierade mot cybersäkerhetssystem/-standarder.

text: Upphandlingsfaser: Lokalisering Relaterade typer av upphandling: Medicintekniska produkter, kliniska informationssystem, nätutrustning, vårdsystem på distans, mobila klientanordningar, identifieringssystem, industriella styrsystem, molntjänster Relaterade hot: Illvilliga handlingar, fel i leveranskedjan, systemfel

text: GR 19. Genomföra konsekvensbedömning avseende dataskydd vid planering av upphandling av ett nytt system eller tjänst.

text: Upphandlingsfaser: Lokalisering Relaterade typer av upphandling: Kliniska informationssystem, medicintekniska produkter, nätutrustning, vårdsystem på distans, mobila klientanordningar, identifieringssystem, professionella tjänster, molntjänster Relaterade hot: Illvilliga handlingar, mänskliga fel

text: Februari 2020

text: GR 20. Ställa in nätportar som håller befintliga system/maskiner anslutna och som ger gränskontroll vid problem inom dessa grupper.

text: Upphandlingsfaser: Lokalisering, förvaltning Relaterade typer av upphandling: Medicintekniska produkter, vårdsystem på distans, mobila klientanordningar, identifieringssystem, industriella styrsystem Relaterade hot: Illvilliga handlingar, fel i leveranskedjan, systemfel

text: GR 21. Ge cybersäkerhetsutbildning om organisationens säkerhetsrutiner för att säkerställa att intern personal eller externa entreprenörer/konsulter som arbetar på plats är lämpligt utbildade.

text: Upphandlingsfaser: Lokalisering, förvaltning Relaterade typer av upphandling: Samtliga Relaterade hot: Illvilliga handlingar, mänskliga fel

text: GR 22. Utveckla incidenthanteringsplaner som omfattar nyligen förvärvade produkter eller system.

text: GR 23. Engagera leverantörer/tillverkare i incidenthanteringen och ange tydliga villkor i förslagsinfordran.

text: GR 24. Planera och övervaka underhållsoperationer för all utrustning för att säkerställa en lämplig funktionsnivå och besluta om uppdateringar/patcher osv.

text: Upphandlingsfaser: Lokalisering, förvaltning Relaterade typer av upphandling: Kliniska informationssystem, nätutrustning, medicintekniska produkter, system för fastighetsdrift, vårdsystem på distans, mobila klientanordningar, identifieringssystem, industriella styrsystem, molntjänster Relaterade hot: Mänskliga fel, systemfel, naturkatastrofer

text: Februari 2020

text: GR 25. Fjärråtkomst bör minimeras och administreras på ett sådant sätt att extern kommunikation med leverantören begränsas till endast den enhet som de måste kontrollera.

text: Upphandlingsfaser: Lokalisering, förvaltning Relaterade typer av upphandling: Medicintekniska produkter, kliniska informationssystem, nätutrustning, vårdsystem på distans, mobila klientanordningar, identifieringssystem, industriella styrsystem, molntjänster Relaterade hot: Illvilliga handlingar, fel i leveranskedjan, systemfel, mänskliga fel

text: GR 26. Kräva patchning för alla komponenter och inkludera information i förslagsinfordran.

text: GR 27. Öka medvetenheten om cybersäkerhet bland personalen för att säkerställa att den är medveten om riskerna med nyligen förvärvade produkter eller tjänster.

text: Upphandlingsfaser: Förvaltning Relaterade typer av upphandling: Samtliga Relaterade hot: Samtliga

text: GR 28. Genomföra tillgångsinventering och konfigureringshantering för att säkerställa att inventariet uppdateras på lämpligt sätt när någon komponent läggs till eller tas bort från IKT-miljön och att grundläggande säkerhetskonfigurationer för IKT-komponenter finns och hanteras på lämpligt sätt.

text: Upphandlingsfaser: Förvaltning Relaterade typer av upphandling: Kliniska informationssystem, medicintekniska produkter, nätutrustning, vårdsystem på distans, mobila klientanordningar, identifieringssystem Relaterade hot: Illvilliga handlingar, mänskliga fel, systemfel

text: GR 29. Inrätta särskilda åtkomstkontrollmekanismer för medicintekniska produkter som också bör vara fysiskt skyddade och endast tillgängliga för specialiserad personal.

text: Upphandlingsfaser: Förvaltning Relaterade typer av upphandling: Medicintekniska produkter, system för fastighetsdrift, identifieringssystem Relaterade hot: Illvilliga handlingar, mänskliga fel

text: Februari 2020

text: GR 30. Planera penetrationstester ofta eller efter en förändring i arkitekturen/systemet och inkludera villkoren i förslagsinfordran.