ID: SWEDAC DOC 10:5 · Publicerad: 2026-01-20 · PDF-version

Vägledning för informationssäkerhetsarbete

1 Syfte

Syftet med detta dokument är att ge ackrediterade verksamheter och verksamheter som söker ackreditering vägledning vid förbättring av informationssäkerhet. Dokumentet ger också vägledning till de krav som ställs vid bedömning av informationssäkerhet.

Checklistan i slutet av dokumentet kan med fördel användas vid interna och externa revisioner.

2 Tillämpningsområde

Dokumentet gäller för alla typer av datasystem och datastöd som används i den ackrediterade verksamheten, såväl direkta produktionssystem som stödsystem för ledningssystemet. Exempel på sådana system med olika benämningar inom parentes:

3 Identifikation och funktionalitet av ingående system

Kravreferens:

Verksamheten bör som en utgångspunkt för arbetet med informationssäkerhet kartlägga vilka system som används, respektive systems funktionalitet och vilka funktionella samband som finns mellan systemen.

En avstämning bör därefter göras mot ackrediteringsstandarden för att se om det finns krav i denna som berör systemets funktionalitet som exempelvis svarsrapportering, dokumenthantering, mätning av kvalitetsindikatorer, godkännande av dokument, spårbarhet till vilka ändringar som har gjorts i resultat. Utgångspunkten är att kraven på datafunktioner är i nivå med de som gäller för manuella pappersbaserade rutiner.

Data i systemet bör utvärderas för att fastlägga vad som är giltigt original respektive kopior (elektroniskt och papper) och vilka hanteringsrutiner som gäller för de senare.

All berörd personal måste ha nödvändig tillgång till instruktioner och information för arbetets genomförande. Verksamhetens krav på systemets tillgänglighet samt reservrutiner måste därför vara dokumenterade.

4 Koppling mellan system

Kravreferens:

Alla parterna i informationsutbytet bör vara införstådda med och ha dokumenterat de eventuella risker som är förknippade med utbytet.

Den ackrediterade verksamheten har ett huvudansvar för validering av hela utbytet initialt och vid förändringar som sker i överföringskedjan.

Mottagaren av informationen har ett ansvar för att utföra rimlighetskontroller så att grova felaktigheter stoppas.

5 Organisation

Kravreferens:

På en verksamhets datasystem ställs motsvarande krav som på annan ackrediterad verksamhet med avseende på personalens kompetens, behörigheter, ansvar och befogenheter.

Kraven gäller även för tjänster och produkter som den ackrediterade verksamheten erhåller eller köper från såväl extern som intern leverantör. Verksamheten ansvarar alltid för att säkerställa kvaliteten på inköpta tjänster/produkter genom avtal och kontroller.

För system som kommunicerar med andra system, såväl inom den egna verksamheten som med externa, bör samarbetet mellan de olika parter som svarar för utveckling och driftstöd ske med en tydligt dokumenterad ansvarsfördelning. Ansvarsfördelningen bör även täcka uppdatering av systembeskrivning och gemensamma rutiner.

Alla användare av ett system bör ha fått tillräcklig utbildning i systemets hantering samt rutiner och regler för såväl normala som onormala driftsituationer. Utbildningen bör vara dokumenterad och knuten till utfärdade behörighetsbevis i ledningssystemet.

Resurserna för driftstöd bör ha fullgod teknisk kompetens, följa kvalitetssäkringsrutiner och vara organisatoriskt placerade på en nivå som motsvarar systemets användning.

En dokumentation bör finnas av beslutsordning vid hantering av fel eller när en ny systemversion skall tas i drift. Behörighet att ta i drift eller fatta beslut om systemets fortsatta drift trots konstaterat fel, eventuellt med kontrollåtgärder, bör vara kopplat till såväl verksamhets som datateknisk kompetens.

Vid tidpunkter när ordinarie datapersonal inte är tillgänglig bör beslutsfattande personal ha tillräcklig kompetens för att bedöma konsekvenserna av observerade datafel och vidta nödvändiga åtgärder.

6 Dokumentation, systembeskrivning

Kravreferens:

Systembeskrivning omfattar den dokumentation över funktionalitet, systemplattformar och tekniska lösningar som är nödvändig för systemets skötsel och vidareutveckling. Relevant dokumentation inklusive handbok från leverantören för hantering och skötsel av datasystemet bör vara tillgänglig för berörd personal.

Systembeskrivningen kan utgöras av externa dokument från leverantör kompletterat med beskrivning över lokala anpassningar och kommunikation med andra system. Alla dokument måste vara dokumentstyrda och det måste finnas spårbarhet till vilken version av systemet som beskrivningen avser.

Är systemet unikt och ägs av den ackrediterade verksamheten måste man ha försäkrat sig om att i alla situationer framledes ha tillgång till en komplett kopia av dokumentationen för att garantera systemets fortlevnad.

7 Underhållsrutiner

Kravreferens:

Verksamheten bör ha dokumenterade rutiner för

8 Förändringsrutiner

Kravreferens:

Systemet skall vara validerat med avseende på korrekt funktion, tillgänglighet, spårbarhet samt insyn och åtkomst för obehöriga. Validering bör ske vid alla systemförändringar i systemplattform eller applikationsprogramvara.

Syftet med validering är att kvalitetssäkra ett system eller utbyte av information mellan system. Detta kan ske på olika sätt eller i kombination:

Validering bör ske enligt en dokumenterad rutin som omfattar hela dataflödet. Rutinen bör beskriva valideringsmetod vid olika förändringar och säkerställa att styrkande dokumentation skapas. Den styrkande dokumentationen bör innehålla en sammanfattande rapport som anger orsak till valideringen, vem som utfört valideringen och tidpunkt, systemversion, resultat och beslut. Resultaten bör styrkas med underlag.

Förlitar den ackrediterade verksamheten sig på extern validering av systemförändringar bör rapporterna från den externa valideringen vara så detaljerade att dessa kan ligga till grund för korrekta beslut.

Vid införande av nytt datasystem eller vid större förändringar skall verksamheten ta kontakt med Swedac för planering av bedömningsinsats.

9 Arkivering

Kravreferens:

Ledningssystemets arkiveringskrav på data i systemet måste vara definierade och uppfyllas. För data som arkiveras i särskilt system, exempelvis i ett tidigare driftsystem, måste en plan finnas över hur verksamheten avser att säkerställa datasystemets fortlevnad under arkiveringstiden.

10 Riskhantering

Kravreferens:

Systemet måste uppfylla basala krav på säkerhet och sekretess när det gäller behörighets- och kontrollsystem (s.k. BKS), skydd mot datavirus och backup.

Om systemet använder sig av underliggande åtkomstskydd i operativsystem, databas eller ordbehandlare för att skydda integriteten av data får detta inte kunna kringgås. Leverantörens ev. krav på operativsystem och inställningar måste följas.

Grunden för modernt informationssäkerhetsarbete är att genomföra en dokumenterad processanalys av verksamhetens informationsflöde. Som en del i processanalysen ingår utförandet av riskanalys med en bedömning av risker när det gäller informationens riktighet, tillgänglighet, insyn samt spårbarhet. De funna riskerna värderas mot ledningssystemets policy med ställda krav på organisationens informationssäkerhet.

Processanalys av informationssäkerhet kan med fördel göras med totalsyn i samband med processanalyser av ordinarie verksamhet.

11 Anskaffande av nytt system samt utveckling av eget system

Kravreferens:

Utveckling av programvara bör följa riktlinjer i internationella standarder. Är leverantören certifierad enligt en internationell standard kan detta vara en fördel, annars bör verksamheten ta del av leverantörens rutiner, t.ex. validering av programvara, begäran om ändringar samt åtgärdande av funna fel.

Vid egen utveckling av system bör man kvalitetssäkra arbetet genom dokumenterade rutiner och anvisningar. Risker bör vara identifierade när det gäller teknisk och kompetensmässig sårbarhet. Källkodsrättigheter samt ansvar för specifikationer, testning och drifttagning bör vara klarlagda.

Checklista för intern och extern revision av dataverksamhet

Punkter som inte är relevanta för aktuellt system markeras vid revisionen som ej tillämplig.

1. Identifikation och funktionalitet av ingående system

Systeminventering (upprepa för varje system):

2. Organisation

3. Avtal

Finns avtal med alla parter utanför verksamheten (leverantörer, kunder, koncern IT-avdelning) som täcker:

Vidare:

Tillämpbart när information utbyts med andra system, t.ex. elektroniska svar, webåtkomst till rapporter:

4. Dokumentation, systembeskrivning

Framgår det av systemdokumentationen:

Vidare:

5. Underhållsrutiner

Finns dokumenterad rutin för förebyggande kontroll, underhåll och övervakning av:

Vidare:

Finns en skriftlig rutin för all berörd personal (samt eventuella externa leverantörer) att tillämpa vid olika typer av fel i systemet? Rutinen skall inkludera:

Vidare:

6. Förändringsrutiner

Finns en dokumenterad rutin för rapportkontroll mot grundunderlag? Används denna:

Finns en särskild testmiljö:

Vidare:

Finns en skriftlig valideringsrutin där det framgår när validering/verifiering skall ske t.ex. vid:

Framgår det:

Hur provningen skall dokumenteras – instruktioner eller färdig mall för dokumentation där det skall framgå:

Vidare:

7. Arkivering

8. Riskhantering

Finns skriftlig backuprutin som täcker:

Vidare:

Ger behörighetssystemet tillräckligt skydd:

Vidare:

Kontrollera lokaler med avseende på:

Vidare:

Finns en dokumenterad riskanalys som täcker alla användningsfall, t.ex.:

Vidare:

Är riskbedömning gjord för brister i informationens:

Vidare:

9. Anskaffande av nytt system samt egenutveckling

Finns en formaliserad metod eller rutin som täcker de vanligaste typerna av vidareutveckling? Omfattar den alla led i utvecklingskedjan: