Problemet: IT-säkerhet som ett hinder för ackreditering
Provningslaboratorier som söker ackreditering enligt standarden ISO/IEC 17025:2018 står inför en allvarlig utmaning: hur ska informationssystemets säkerhet dokumenteras?
Bedömare från PCA (det polska ackrediteringsorganet) frågar:
- ”Är data skyddade mot obehörig åtkomst?”
- ”Hur säkerställer ni att provningsresultaten är oförändrade?”
- ”Var lagras säkerhetskopiorna?”
- ”Vem har tillgång till systemet och på vilken grund?”
- ”Hur hanterar ni säkerhetsincidenter?”
Typisk reaktion från laboratoriechefer: ”Det är väl frågor till programvaruleverantören?”
Problemet:
Många laboratorier inför ett LIMS utan ett lämpligt serviceavtal som fastställer säkerhetsprinciperna. Följden blir att de vid ackrediteringsrevisionen inte kan visa dokumentation som bekräftar att standardens krav uppfylls.
Lösningen: ett professionellt serviceavtal som grund för säkerheten
Viktig information:
Ett väl förberett serviceavtal med en LIMS-leverantör täcker automatiskt omkring 70 % av säkerhetskraven i standarden ISO/IEC 17025.
Varför? Eftersom de flesta säkerhetsåtgärderna ligger på infrastruktur- och systemförvaltningssidan – områden som programvaruleverantören ansvarar för.
Låt oss se hur det fungerar i praktiken med exemplet systemet CleverLAB.
10 viktiga säkerhetsområden som täcks av serviceavtalet
1. Serverinfrastruktur med ISO 27001-certifiering
Bedömarens krav:
”Var lagras våra data? Är datacentret säkert?”
Vad leverantören säkerställer:
- Professionellt datacenter med ISO 27001-certifikat
- Tier III-standard eller högre (99,982 % tillgänglighet)
- Fysisk säkerhet: övervakning dygnet runt, biometrisk passerkontroll
- Brandsläckningssystem och precisionskylning
- Redundanta internetanslutningar
Fördel för laboratoriet: Du behöver inte investera i ett eget serverrum eller oroa dig för infrastrukturens fysiska säkerhet. Det räcker att dokumentera att leverantören har rätt certifikat.
2. Kryptering av data på alla nivåer
Bedömarens krav:
”Hur skyddas data under överföring och lagring?”
Vad leverantören säkerställer:
- Kryptering vid överföring: SSL/TLS-certifikat (HTTPS-protokollet)
- Kryptering av lösenord: algoritmerna bcrypt eller SHA-256
- Kryptering av säkerhetskopior: Alla säkerhetskopior krypteras
- Data inom EU: överensstämmelse med GDPR
3. Automatiska säkerhetskopior med testade återställningsrutiner
Bedömarens krav:
”Vad händer om servern går sönder? Är data säkra?”
Vad leverantören säkerställer:
- Dagliga säkerhetskopior av databasen (automatiska)
- Veckovisa säkerhetskopior som sparas i 3 månader
- Månatliga säkerhetskopior som sparas i 1 år
- Geografisk åtskillnad: Säkerhetskopior på en separat plats
- Regelbundna tester av rutinerna för återställning av data
- Kryptering av alla säkerhetskopior
Fördel: Du behöver inte komma ihåg att göra säkerhetskopior eller oroa dig för dataförlust. Systemet är skyddat på företagsnivå.
4. Behörighetssystemet RBAC – vem ser vad?
Bedömarens krav:
”Hur kontrollerar ni åtkomsten till känsliga data?”
Vad systemet CleverLAB säkerställer:
- Rollbaserad åtkomstkontroll (RBAC) – behörigheter utifrån roller
- Enskilda behörigheter (t.ex. ”lägga till prov”, ”redigera resultat”, ”godkänna rapport”)
- Behörighetsgrupper (t.ex. ”Laboratorietekniker”, ”Chef”, ”Administratör”)
- Åtskillnad av data mellan kunder
- Omedelbar avaktivering av anställdas konton
Typiska roller i ett laboratorium:
- Administratör – full tillgång till systemkonfigurationen
- Laboratoriechef – ledning, rapporter, godkännanden
- Analytiker – registrering och visning av resultat
- Godkännare – godkännande av provningsrapporter
- Läsare – endast läsbehörighet
5. Fullständig ändringshistorik – vem, när, vad som ändrades
Bedömarens krav:
”Kan ni visa historiken över ändringar i provningsresultaten?”
Vad systemet säkerställer:
- Loggning av alla in- och utloggningar
- Registrering av misslyckade inloggningsförsök
- Spårning av ändringar i kritiska data (provningsresultat, certifikat)
- Loggning av administrativa åtgärder
- Metadata för varje post: created_by, created_date, verified_by, verified_date
Lagring av loggar:
- Minst 2 år (eller enligt ackrediteringskraven)
- Skyddade mot ändring
- Möjlighet att ta fram rapporter för bedömare
6. Lösenordspolicy enligt god praxis
Vad systemet kräver:
- Minsta längd: 8 tecken
- Komplexitet: bokstäver, siffror, specialtecken
- Inga upprepningar: Nyligen använda lösenord kan inte användas
- Automatisk spärr efter ett visst antal misslyckade försök
- Automatisk utloggning efter en tids inaktivitet
7. Övervakning dygnet runt och incidenthantering
Vad leverantören säkerställer:
- Övervakning dygnet runt av systemets tillgänglighet
- Automatiska larm vid avvikelser
- Sårbarhetsskanning
- Rutin för incidenthantering med avisering inom 24 timmar
- Dokumentation av varje incident med grundorsaksanalys
8. Överensstämmelse med GDPR och skydd av personuppgifter
Vad leverantören säkerställer:
- Personuppgiftsbiträdesavtal (krävs enligt GDPR)
- Data lagras på servrar inom EU
- Rutiner för att utöva de registrerades rättigheter (rätt till radering, rättelse osv.)
- Register över behandlingar
- Rutiner för anmälan av personuppgiftsincidenter
9. Regelbundna säkerhetsuppdateringar
Vad leverantören säkerställer:
- Regelbundna uppdateringar av operativsystem och programvara
- Kritiska korrigeringar installeras med prioritet
- Tester före installation i produktion
- Information till kunderna om planerat underhåll
10. SLA och garanterad tillgänglighet
Vad serviceavtalet säkerställer:
- Garanterad tillgänglighet (SLA): vanligtvis 99,5 % eller mer
- Mål för återställningstid (RTO): enligt överenskommelse (t.ex. 4 timmar)
- Mål för återställningspunkt (RPO): enligt överenskommelse (t.ex. högst 24 timmars dataförlust)
- Kundtjänst tillgänglig under kontorstid
- Nödkontakt enligt SLA-avtalet
Vad återstår att göra på laboratoriets sida? (30 % av kraven)
Även om serviceavtalet täcker de flesta tekniska kraven ansvarar laboratoriet fortfarande för:
1. Användarhantering
- Att skapa och avaktivera anställdas konton
- Att tilldela lämpliga roller och behörigheter
- Regelbunden kontroll av listan över aktiva användare
2. Organisatoriska policyer
- Rutin för att ge åtkomst till systemet
- Laboratoriets säkerhetspolicy
- Utbildning av de anställda i att använda systemet
3. Dokumentation
- Användarinstruktioner
- Rutiner för hantering av fel
- Utse ansvariga personer (systemadministratör)
4. Lokal övervakning
- Uppföljning av ovanligt användarbeteende
- Rapportering av incidenter till leverantören
- Samarbete vid interna revisioner
Så fungerar det i praktiken – fallstudie
Mikrobiologiskt laboratorium, 15 anställda, ansöker om ackreditering hos PCA
| Aspekt | Före CleverLAB | Efter CleverLAB |
|---|---|---|
| System | Excel + pappersdokumentation | LIMS med fullständig dokumentation |
| Ändringsloggar | Inga | Fullständig ändringshistorik |
| Åtkomstkontroll | Alla har tillgång till allt | Behörighetssystemet RBAC |
| Säkerhetskopior | Manuella, oregelbundna | Automatiska, dagliga |
| Tid för att ta fram dokumentationen | 2–3 månader | 2 dagar |
| Kostnad för säkerhetsdokumentationen | 15 000–30 000 PLN | 0 PLN (ingår) |
| PCA-bedömarens bedömning | ”Systemet är oacceptabelt” | ”Uppfyller alla krav” |
Serviceavtalet som konkurrensfördel
Ett professionellt serviceavtal är inte bara ett krav för ackrediteringen – det är en garanti för kontinuitet i laboratoriets verksamhet.
Vad bör ett bra serviceavtal innehålla?
- Detaljerad beskrivning av infrastrukturen (hosting, certifikat, säkerhetskopior)
- Garanterad tillgänglighet (SLA)
- Säkerhetsrutiner (kryptering, åtkomstkontroll, övervakning)
- Incidenthantering (svarstid, eskalering)
- Överensstämmelse med GDPR (personuppgiftsbiträdesavtal)
- Teknisk support (kundtjänst, svarstid)
- Säkerhetsuppdateringar (tidsplan, tester)
- Ansvarsfördelning (vem ansvarar för vad)
CleverLAB och heltäckande säkerhet
Systemet CleverLAB har utformats med kraven i standarden ISO/IEC 17025:2018 i åtanke. Redan i standardavtalet för införande får du:
Det betyder att du kan visa bedömaren fullständig dokumentation om systemets säkerhet redan första dagen efter införandet.
Ytterligare tjänster: IT-säkerhetsrevisioner i laboratorier
Utöver det vanliga serviceavtalet erbjuder vi också:
🔍 IT-säkerhetsrevision i laboratoriet
- Bedömning av nuvarande säkerhetsläge
- Identifiering av brister och hot
- Rekommendationer anpassade till ackrediteringskraven
- Rapport för PCA:s bedömare
🔍 Förberedelse inför ackrediteringsrevisionen
- Kontroll av säkerhetsdokumentationen
- Simulering av bedömarens frågor
- Utbildning av personalen i systemsäkerhet
🔍 Penetrationstester (tillval)
- Test av systemets motståndskraft mot attacker
- Rapport om upptäckta sårbarheter
- Plan för korrigerande åtgärder
Sammanfattning: säkerhet behöver inte vara dyrt eller komplicerat
Viktigaste slutsatser:
- 70 % av säkerhetskraven för ackreditering uppfylls av ett professionellt serviceavtal med en LIMS-leverantör
- Du behöver inte vara IT-expert för att införa ett säkert system – leverantören levererar färdig infrastruktur och dokumentation
- Kostnad för säkerhetsdokumentationen: 0 PLN (ingår) jämfört med 15 000–30 000 PLN (extern expertis)
- Förberedelsetid: 2 dagar (kontroll) jämfört med 2–3 månader (att skapa från grunden)
- Serviceavtalet är en investering, inte en kostnad – det säkerställer kontinuitet i verksamheten och överensstämmelse med standarden
Vill du veta mer?
Vi kan gå igenom vart och ett av de 10 säkerhetsområdena i detalj vid ett möte eller i ett särskilt PDF-dokument
Enskilda ämnen kräver detaljerade förklaringar och överenskommelser. Vi erbjuder också IT-säkerhetsrevisioner av laboratoriesystem.
Relaterade artiklar
Om författaren
Artikeln bygger på många års erfarenhet av att utforma LIMS för ackrediterade laboratorier. Vårt team kombinerar kunskap om IT-säkerhet med praktisk kännedom om kraven i standarden ISO/IEC 17025.
Vi har genomfört dussintals IT-säkerhetsrevisioner i laboratorier och stöttat många laboratorier i arbetet med att få och behålla ackreditering hos PCA.
Viktigaste lärdomen
Du behöver inte vara expert på cybersäkerhet för att uppfylla ackrediteringskraven. Ett väl förberett serviceavtal med en LIMS-leverantör ger automatiskt professionell säkerhet på företagsnivå – till en bråkdel av kostnaden för att anställa en IT-specialist eller bygga en egen infrastruktur.