HSA-policy version 3.4

1. HSA-policy version 3.4 Beskrivning av förändringar i HSA-policy och policytillämpningar Ulrika Nilsson ulrika.nilsson@inera.se 29 mars 2011

2. Policypaketet • HSA-policy • HSA-policytillämpningar: • HPTA – För ansluten organisation (ordinarie) • HPTA HSA Admin – För ansluten organisation (manuell) • HPTB – För brukarorganisationer

3. Policyförändringar • Dokumentstruktur, begrepp och formalia • Separat dokument ”HSA Begrepp och definitioner” • ”HSA-ansvarig”, ”HPTA” och ”HPTB” används som nya begrepp. • Gammal dokumentidentifiering har tagits bort [SE-Carelink-HSA Policy-3.3]

4. Policyförändringar • Förvaltning, anslutning och HPTA/HPTB • Förtydligande att samarbetsavtal ska finnas mellan organisationer som nyttjar samma anslutningsavtal och HPT • Godkänd HPTA/HPTB ska arkiveras av organisationen och ska kunna lämnas ut till HSA Förvaltning på begäran. • HPTA/HPTB ska uppdateras när förhållande ändras och HSA Förvaltningsgrupp kan begära in ny HPTA/HPTB om den överstiger 3 år • Intern revision ska ske minst en gång per år

5. Policyförändringar • Informationsinnehåll • Ingen attributbilaga till HPTA • Informationsinnehåll i HSA ska följa aktuell schemaversion. • När schemaförändringar sker ska ansluten organisation ändra eget schema senast 3 månader efter det nya schemat har införts på HSA Kataloghotell • Information som lagras i brukarorganisationens egen applikation får inte ändras. Informationen ska hållas aktuell och uppdaterad när förändringar sker i HSA

6. Policyförändringar • Informationssäkerhet och kvalitetssäkring av innehåll • När det gäller informationssäkerhet hänvisar HSA till vägledning i MSB i rekommendationerna BITS och standarden ISO 27002 (Riktlinjer för informationssäkerhet) • Verifiering av personuppgifter mot Skatteverket ska ske minst en gång per månad • Uppgifter om legitimation och specialitet ska verifieras mot Socialstyrelsens register • Verifiering av anställningsuppgifter ska ske minst en gång per kvartal

7. Policyförändringar • Personer utan svenskt personnr/samordningsnr • ska legitimeras med EU-legitimation eller pass. Kopia av identitetshandlingen ska arkiveras. • uppgifter om ”passnummer”, ”giltighetstid för pass” och ”födelsedatum” registreras för personen i HSA. • Personposten får inte överstiga giltighetstiden på identitetshandlingen.

8. Policyförändringar • Loggning, kontinuitetsplanering, styrning av åtkomst • Loggning ska ske så att ansvarig administratör kan spåras och loggfiler ska sparas i minst 3 år • Bild på person ska endast kunna registreras och visas för behöriga administratörer • Personer med skyddade personuppgifter ska endast hanteras av ett fåtal administratörer. Personerna ska informeras om hur uppgifterna hanteras och ska kunna välja att uppgifterna blir synliga • Kommunikation mellan HSA och anslutna system ska vara krypterad

9. Policyförändringar • Loggning, kontinuitetsplanering, styrning av åtkomst • Anslutna organisationer och brukarorganisationer ansvarar för egen kontinuitetsplanering. Denna bör dokumenteras • Metod för stark autentisering av administratörer bör vara SITHS • Brukarorganisationer får ej tilldela behörighet till annan part