Problemet: it-sikkerhed som en barriere for akkreditering
Prøvningslaboratorier, der søger akkreditering efter standarden ISO/IEC 17025:2018, står over for en alvorlig udfordring: hvordan dokumenterer man informationssystemets sikkerhed?
Auditorer fra PCA (det polske akkrediteringscenter) spørger:
- »Er data beskyttet mod uautoriseret adgang?«
- »Hvordan sikrer I integriteten af prøvningsresultaterne?«
- »Hvor opbevares sikkerhedskopierne?«
- »Hvem har adgang til systemet, og på hvilket grundlag?«
- »Hvordan reagerer I på sikkerhedshændelser?«
Den typiske reaktion fra laboratorieledere: »Det er vel spørgsmål til softwareleverandøren?«
Problemet:
Mange laboratorier indfører et LIMS-system uden en passende serviceaftale, der fastlægger principperne for sikkerhed. Derfor kan de ved et akkrediteringsaudit ikke fremlægge dokumentation, der bekræfter, at standardens krav er opfyldt.
Løsningen: en professionel serviceaftale som fundament for sikkerheden
Vigtig information:
En velforberedt serviceaftale med en leverandør af LIMS-systemer dækker automatisk omkring 70 % af de sikkerhedskrav, som standarden ISO/IEC 17025 stiller.
Hvorfor? Fordi de fleste sikkerhedsforanstaltninger ligger på infrastruktur- og systemadministrationssiden – områder, som softwareleverandøren har ansvaret for.
Lad os se på, hvordan det fungerer i praksis, med CleverLAB-systemet som eksempel.
10 centrale sikkerhedsområder, som serviceaftalen dækker
1. Serverinfrastruktur med ISO 27001-certificering
Auditorens krav:
»Hvor opbevares vores data? Er datacentret sikkert?«
Det sikrer leverandøren:
- Professionelt datacenter med ISO 27001-certifikat
- Tier III-standard eller højere (99,982 % tilgængelighed)
- Fysisk sikring: overvågning døgnet rundt, biometrisk adgangskontrol
- Brandslukningsanlæg og præcisionsklimaanlæg
- Redundante internetforbindelser
Fordel for laboratoriet: Du behøver ikke investere i dit eget serverrum eller bekymre dig om infrastrukturens fysiske sikkerhed. Det er nok at dokumentere, at leverandøren har de relevante certifikater.
2. Datakryptering på alle niveauer
Auditorens krav:
»Hvordan beskyttes data under overførsel og opbevaring?«
Det sikrer leverandøren:
- Kryptering af overførsel: SSL/TLS-certifikat (HTTPS-protokol)
- Kryptering af adgangskoder: algoritmerne bcrypt eller SHA-256
- Kryptering af sikkerhedskopier: alle sikkerhedskopier er krypterede
- Data i EU: overholdelse af GDPR
3. Automatiske sikkerhedskopier med testede gendannelsesprocedurer
Auditorens krav:
»Hvad sker der, hvis serveren går ned? Er data i sikkerhed?«
Det sikrer leverandøren:
- Daglige sikkerhedskopier af databasen (automatisk)
- Ugentlige sikkerhedskopier, der gemmes i 3 måneder
- Månedlige sikkerhedskopier, der gemmes i 1 år
- Geografisk adskillelse: sikkerhedskopier på en separat lokation
- Regelmæssige test af procedurerne for gendannelse af data
- Kryptering af alle sikkerhedskopier
Fordel: Du behøver ikke huske at tage sikkerhedskopier eller bekymre dig om tab af data. Systemet er sikret på virksomhedsniveau.
4. RBAC-rettighedssystem – hvem ser hvad?
Auditorens krav:
»Hvordan kontrollerer I adgangen til følsomme data?«
Det sikrer CleverLAB-systemet:
- Role-Based Access Control (RBAC) – rollebaserede rettigheder
- Individuelle rettigheder (f.eks. »tilføj prøve«, »redigér resultat«, »godkend rapport«)
- Rettighedsgrupper (f.eks. »Laborant«, »Leder«, »Administrator«)
- Adskillelse af data mellem kunder
- Øjeblikkelig deaktivering af medarbejderkonti
Typiske roller i et laboratorium:
- Administrator – fuld adgang til systemkonfigurationen
- Laboratorieleder – ledelse, rapporter, godkendelser
- Analytiker – indtastning og visning af resultater
- Godkender – godkendelse af prøvningsrapporter
- Læser – kun læseadgang
5. Komplet audit trail – hvem, hvornår, hvad blev ændret
Auditorens krav:
»Kan I vise historikken over ændringer i prøvningsresultaterne?«
Det sikrer systemet:
- Logning af alle log ind og log ud
- Registrering af mislykkede loginforsøg
- Sporing af ændringer i kritiske data (prøvningsresultater, certifikater)
- Logning af administrative handlinger
- Metadata for hver post: created_by, created_date, verified_by, verified_date
Opbevaring af logfiler:
- Mindst 2 år (eller efter akkrediteringskravene)
- Beskyttet mod ændringer
- Mulighed for at generere rapporter til auditorer
6. Adgangskodepolitik efter bedste praksis
Det håndhæver systemet:
- Mindste længde: 8 tegn
- Kompleksitet: bogstaver, tal, specialtegn
- Ingen gentagelser: de seneste adgangskoder kan ikke genbruges
- Automatisk spærring efter et fastsat antal mislykkede forsøg
- Automatisk log ud efter en periode uden aktivitet
7. Overvågning døgnet rundt og håndtering af hændelser
Det sikrer leverandøren:
- Overvågning døgnet rundt af systemets tilgængelighed
- Automatiske alarmer ved uregelmæssigheder
- Scanning for sårbarheder
- Procedure for håndtering af hændelser med underretning inden for 24 timer
- Dokumentation af hver hændelse med analyse af grundårsagen
8. Overholdelse af GDPR og beskyttelse af personoplysninger
Det sikrer leverandøren:
- Databehandleraftale (krævet efter GDPR)
- Data opbevares på servere i EU
- Procedurer for udøvelse af de registreredes rettigheder (ret til sletning, berigtigelse osv.)
- Fortegnelse over behandlingsaktiviteter
- Procedurer for anmeldelse af brud på datasikkerheden
9. Regelmæssige sikkerhedsopdateringer
Det sikrer leverandøren:
- Regelmæssige opdateringer af styresystem og software
- Kritiske rettelser installeres med førsteprioritet
- Test før idriftsættelse i produktion
- Information til kunderne om planlagt vedligeholdelse
10. SLA og garanteret tilgængelighed
Det sikrer serviceaftalen:
- Garanteret tilgængelighed (SLA): typisk 99,5 % eller mere
- Recovery Time Objective (RTO): efter aftale (f.eks. 4 timer)
- Recovery Point Objective (RPO): efter aftale (f.eks. højst 24 timers datatab)
- Helpdesk tilgængelig i arbejdstiden
- Nødkontakt i henhold til SLA-aftalen
Hvad skal laboratoriet selv gøre? (30 % af kravene)
Selv om serviceaftalen dækker de fleste tekniske krav, er laboratoriet stadig ansvarligt for:
1. Brugeradministration
- Oprettelse og deaktivering af medarbejderkonti
- Tildeling af passende roller og rettigheder
- Regelmæssig kontrol af listen over aktive brugere
2. Organisatoriske politikker
- Procedure for tildeling af adgang til systemet
- Laboratoriets sikkerhedspolitik
- Oplæring af medarbejderne i brugen af systemet
3. Dokumentation
- Brugervejledninger
- Procedurer for håndtering af nedbrud
- Udpegning af ansvarlige personer (systemadministrator)
4. Lokal overvågning
- Sporing af usædvanlig brugeradfærd
- Indberetning af hændelser til leverandøren
- Samarbejde ved interne audits
Sådan fungerer det i praksis – et case-eksempel
Mikrobiologisk laboratorium, 15 medarbejdere, ansøger om akkreditering fra PCA
| Område | Før CleverLAB | Efter CleverLAB |
|---|---|---|
| System | Excel + papirdokumentation | LIMS-system med komplet dokumentation |
| Ændringslog | Ingen | Komplet audit trail |
| Adgangskontrol | Alle har adgang til alt | RBAC-rettighedssystem |
| Sikkerhedskopier | Manuelle, uregelmæssige | Automatiske, daglige |
| Tid til udarbejdelse af dokumentation | 2-3 måneder | 2 dage |
| Omkostning til sikkerhedsdokumentation | 15.000-30.000 PLN | 0 PLN (inkluderet) |
| PCA-auditorens vurdering | »Systemet er ikke acceptabelt« | »Opfylder alle krav« |
Serviceaftalen som konkurrencefordel
En professionel serviceaftale er ikke kun et krav ved akkreditering – den er en garanti for laboratoriets driftskontinuitet.
Hvad bør en god serviceaftale indeholde?
- Detaljeret beskrivelse af infrastrukturen (hosting, certifikater, sikkerhedskopiering)
- Garanteret tilgængelighed (SLA)
- Sikkerhedsprocedurer (kryptering, adgangskontrol, overvågning)
- Håndtering af hændelser (reaktionstid, eskalering)
- Overholdelse af GDPR (databehandleraftale)
- Teknisk support (helpdesk, svartid)
- Sikkerhedsopdateringer (tidsplan, test)
- Ansvarsfordeling (hvem har ansvaret for hvad)
CleverLAB og omfattende sikkerhed
CleverLAB-systemet er udviklet med kravene i standarden ISO/IEC 17025:2018 for øje. Allerede i standardaftalen om implementering får du:
Det betyder, at du kan fremlægge komplet dokumentation for systemets sikkerhed for auditoren allerede første dag efter implementeringen.
Ekstra ydelser: it-sikkerhedsaudits i laboratorier
Ud over standardserviceaftalen tilbyder vi også:
🔍 It-sikkerhedsaudit af laboratoriet
- Vurdering af den nuværende sikkerhedstilstand
- Identifikation af mangler og trusler
- Anbefalinger tilpasset akkrediteringskravene
- Rapport til PCA-auditoren
🔍 Forberedelse til akkrediteringsaudit
- Kontrol af sikkerhedsdokumentationen
- Simulering af auditorens spørgsmål
- Oplæring af personalet i systemsikkerhed
🔍 Penetrationstest (valgfrit)
- Test af systemets modstandsdygtighed over for angreb
- Rapport om fundne sårbarheder
- Plan for korrigerende handlinger
Opsummering: Sikkerhed behøver hverken at være dyr eller kompliceret
Vigtigste konklusioner:
- 70 % af sikkerhedskravene ved akkreditering opfyldes af en professionel serviceaftale med en LIMS-leverandør
- Du behøver ikke være it-ekspert for at indføre et sikkert system – leverandøren leverer færdig infrastruktur og dokumentation
- Omkostning til sikkerhedsdokumentation: 0 PLN (inkluderet) mod 15.000-30.000 PLN (ekstern ekspertbistand)
- Forberedelsestid: 2 dage (kontrol) mod 2-3 måneder (udarbejdelse fra bunden)
- Serviceaftalen er en investering, ikke en omkostning – den sikrer driftskontinuitet og overholdelse af standarden
Vil du vide mere?
Vi kan gennemgå hvert af de 10 sikkerhedsområder i detaljer på et møde eller i et særskilt PDF-dokument
De enkelte emner kræver detaljerede forklaringer og aftaler. Vi tilbyder også it-sikkerhedsaudits af laboratoriesystemer.
Relaterede artikler
LIMS-overensstemmelse med ISO/IEC 17025
En omfattende guide til standardens krav, og hvordan LIMS-systemer opfylder dem
Datasikkerhed i LIMS
Sådan beskytter du følsomme laboratoriedata mod cybertrusler
Implementering af et LIMS-system
En praktisk guide til processen med at implementere et laboratoriestyringssystem
Om forfatteren
Artiklen er skrevet på grundlag af mange års erfaring med at designe LIMS-systemer til akkrediterede laboratorier. Vores team kombinerer ekspertise i it-sikkerhed med praktisk viden om kravene i standarden ISO/IEC 17025.
Vi har gennemført snesevis af it-sikkerhedsaudits i laboratorier og støttet mange laboratorier i processen med at opnå og bevare akkreditering fra PCA.
Det vigtigste at tage med
Du behøver ikke være ekspert i cybersikkerhed for at opfylde akkrediteringskravene. En velforberedt serviceaftale med en leverandør af LIMS-systemer giver automatisk professionel sikkerhed på virksomhedsniveau – for en brøkdel af prisen for at ansætte en it-specialist eller opbygge din egen infrastruktur.