Problemet: IT-sikkerhet som et hinder for akkreditering
Prøvingslaboratorier som søker akkreditering etter standarden ISO/IEC 17025:2018, står overfor en alvorlig utfordring: hvordan skal informasjonssystemets sikkerhet dokumenteres?
Bedømmere fra PCA (det polske akkrediteringsorganet) spør:
- «Er dataene beskyttet mot uautorisert tilgang?»
- «Hvordan sikrer dere at prøvingsresultatene ikke endres?»
- «Hvor lagres sikkerhetskopiene?»
- «Hvem har tilgang til systemet, og på hvilket grunnlag?»
- «Hvordan håndterer dere sikkerhetshendelser?»
Typisk reaksjon fra laboratorieledere: «Det er vel spørsmål til programvareleverandøren?»
Problemet:
Mange laboratorier innfører et LIMS uten en passende serviceavtale som fastsetter sikkerhetsprinsippene. Følgen er at de under akkrediteringsrevisjonen ikke kan legge frem dokumentasjon som bekrefter at standardens krav er oppfylt.
Løsningen: en profesjonell serviceavtale som grunnlag for sikkerheten
Viktig informasjon:
En godt forberedt serviceavtale med en LIMS-leverandør dekker automatisk omtrent 70 % av sikkerhetskravene i standarden ISO/IEC 17025.
Hvorfor? Fordi de fleste sikkerhetstiltakene ligger på infrastruktur- og systemforvaltningssiden – områder som programvareleverandøren har ansvaret for.
La oss se hvordan dette fungerer i praksis med eksemplet systemet CleverLAB.
10 viktige sikkerhetsområder som dekkes av serviceavtalen
1. Serverinfrastruktur med ISO 27001-sertifisering
Bedømmerens krav:
«Hvor lagres dataene våre? Er datasenteret sikkert?»
Hva leverandøren sørger for:
- Profesjonelt datasenter med ISO 27001-sertifikat
- Tier III-standard eller høyere (99,982 % tilgjengelighet)
- Fysisk sikkerhet: overvåking døgnet rundt, biometrisk adgangskontroll
- Brannslukkingssystemer og presisjonskjøling
- Redundante internettforbindelser
Fordel for laboratoriet: Du trenger ikke å investere i et eget serverrom eller bekymre deg for infrastrukturens fysiske sikkerhet. Det holder å dokumentere at leverandøren har de riktige sertifikatene.
2. Kryptering av data på alle nivåer
Bedømmerens krav:
«Hvordan beskyttes dataene under overføring og lagring?»
Hva leverandøren sørger for:
- Kryptering ved overføring: SSL/TLS-sertifikat (HTTPS-protokollen)
- Kryptering av passord: algoritmene bcrypt eller SHA-256
- Kryptering av sikkerhetskopier: Alle sikkerhetskopier krypteres
- Data i EU: samsvar med GDPR
3. Automatiske sikkerhetskopier med testede gjenopprettingsprosedyrer
Bedømmerens krav:
«Hva skjer hvis serveren svikter? Er dataene trygge?»
Hva leverandøren sørger for:
- Daglige sikkerhetskopier av databasen (automatiske)
- Ukentlige sikkerhetskopier som lagres i 3 måneder
- Månedlige sikkerhetskopier som lagres i 1 år
- Geografisk atskillelse: Sikkerhetskopier på et eget sted
- Jevnlige tester av prosedyrene for gjenoppretting av data
- Kryptering av alle sikkerhetskopier
Fordel: Du trenger ikke å huske å ta sikkerhetskopier eller bekymre deg for tap av data. Systemet er sikret på bedriftsnivå.
4. Tilgangssystemet RBAC – hvem ser hva?
Bedømmerens krav:
«Hvordan kontrollerer dere tilgangen til sensitive data?»
Hva systemet CleverLAB sørger for:
- Rollebasert tilgangskontroll (RBAC) – rettigheter ut fra roller
- Enkeltrettigheter (f.eks. «legge til prøve», «redigere resultat», «godkjenne rapport»)
- Rettighetsgrupper (f.eks. «Laboratorietekniker», «Leder», «Administrator»)
- Atskillelse av data mellom kunder
- Umiddelbar deaktivering av ansattes kontoer
Typiske roller i et laboratorium:
- Administrator – full tilgang til systemkonfigurasjonen
- Laboratorieleder – ledelse, rapporter, godkjenninger
- Analytiker – registrering og visning av resultater
- Godkjenner – godkjenning av prøvingsrapporter
- Leser – kun lesetilgang
5. Fullstendig endringshistorikk – hvem, når, hva som ble endret
Bedømmerens krav:
«Kan dere vise historikken over endringer i prøvingsresultatene?»
Hva systemet sørger for:
- Logging av alle inn- og utlogginger
- Registrering av mislykkede innloggingsforsøk
- Sporing av endringer i kritiske data (prøvingsresultater, sertifikater)
- Logging av administrative operasjoner
- Metadata for hver post: created_by, created_date, verified_by, verified_date
Oppbevaring av logger:
- Minst 2 år (eller i samsvar med akkrediteringskravene)
- Beskyttet mot endring
- Mulighet til å lage rapporter for bedømmere
6. Passordpolicy etter god praksis
Hva systemet krever:
- Minste lengde: 8 tegn
- Kompleksitet: bokstaver, tall, spesialtegn
- Ingen gjentakelser: Nylig brukte passord kan ikke brukes
- Automatisk sperring etter et bestemt antall mislykkede forsøk
- Automatisk utlogging etter en periode uten aktivitet
7. Overvåking døgnet rundt og hendelseshåndtering
Hva leverandøren sørger for:
- Overvåking døgnet rundt av systemets tilgjengelighet
- Automatiske varsler ved avvik
- Sårbarhetsskanning
- Prosedyre for hendelseshåndtering med varsling innen 24 timer
- Dokumentasjon av hver hendelse med årsaksanalyse
8. Samsvar med GDPR og vern av personopplysninger
Hva leverandøren sørger for:
- Databehandleravtale (kreves etter GDPR)
- Data lagres på servere i EU
- Prosedyrer for å ivareta de registrertes rettigheter (rett til sletting, retting osv.)
- Protokoll over behandlingsaktiviteter
- Prosedyrer for melding om avvik ved personopplysninger
9. Jevnlige sikkerhetsoppdateringer
Hva leverandøren sørger for:
- Jevnlige oppdateringer av operativsystem og programvare
- Kritiske rettelser installeres med prioritet
- Testing før produksjonssetting
- Informasjon til kundene om planlagt vedlikehold
10. SLA og garantert tilgjengelighet
Hva serviceavtalen sørger for:
- Garantert tilgjengelighet (SLA): vanligvis 99,5 % eller mer
- Mål for gjenopprettingstid (RTO): etter avtale (f.eks. 4 timer)
- Mål for gjenopprettingspunkt (RPO): etter avtale (f.eks. høyst 24 timers tap av data)
- Brukerstøtte tilgjengelig i arbeidstiden
- Nødkontakt i samsvar med SLA-avtalen
Hva gjenstår på laboratoriets side? (30 % av kravene)
Selv om serviceavtalen dekker de fleste tekniske kravene, har laboratoriet fortsatt ansvaret for:
1. Brukerhåndtering
- Å opprette og deaktivere ansattes kontoer
- Å tildele passende roller og rettigheter
- Jevnlig kontroll av listen over aktive brukere
2. Organisatoriske retningslinjer
- Prosedyre for å gi tilgang til systemet
- Laboratoriets sikkerhetspolicy
- Opplæring av de ansatte i bruk av systemet
3. Dokumentasjon
- Brukerveiledninger
- Prosedyrer for håndtering av feil
- Utpeking av ansvarlige personer (systemadministrator)
4. Lokal overvåking
- Oppfølging av uvanlig brukeratferd
- Rapportering av hendelser til leverandøren
- Samarbeid ved internrevisjoner
Slik fungerer det i praksis – casestudie
Mikrobiologisk laboratorium, 15 ansatte, søker akkreditering hos PCA
| Aspekt | Før CleverLAB | Etter CleverLAB |
|---|---|---|
| System | Excel + papirdokumentasjon | LIMS med fullstendig dokumentasjon |
| Endringslogger | Ingen | Fullstendig endringshistorikk |
| Tilgangskontroll | Alle har tilgang til alt | Tilgangssystemet RBAC |
| Sikkerhetskopier | Manuelle, uregelmessige | Automatiske, daglige |
| Tid til å utarbeide dokumentasjonen | 2–3 måneder | 2 dager |
| Kostnad for sikkerhetsdokumentasjonen | 15 000–30 000 PLN | 0 PLN (inkludert) |
| PCA-bedømmerens vurdering | «Systemet er uakseptabelt» | «Oppfyller alle krav» |
Serviceavtalen som konkurransefortrinn
En profesjonell serviceavtale er ikke bare et krav for akkreditering – den er en garanti for kontinuitet i laboratoriets virksomhet.
Hva bør en god serviceavtale inneholde?
- Detaljert beskrivelse av infrastrukturen (hosting, sertifikater, sikkerhetskopier)
- Garantert tilgjengelighet (SLA)
- Sikkerhetsprosedyrer (kryptering, tilgangskontroll, overvåking)
- Hendelseshåndtering (responstid, eskalering)
- Samsvar med GDPR (databehandleravtale)
- Teknisk støtte (brukerstøtte, responstid)
- Sikkerhetsoppdateringer (tidsplan, testing)
- Ansvarsfordeling (hvem som har ansvaret for hva)
CleverLAB og helhetlig sikkerhet
Systemet CleverLAB er utformet med kravene i standarden ISO/IEC 17025:2018 i tankene. Allerede i standardavtalen for innføring får du:
Det betyr at du kan legge frem fullstendig dokumentasjon om systemets sikkerhet for bedømmeren allerede første dag etter innføringen.
Tilleggstjenester: IT-sikkerhetsrevisjoner i laboratorier
I tillegg til den vanlige serviceavtalen tilbyr vi også:
🔍 IT-sikkerhetsrevisjon i laboratoriet
- Vurdering av dagens sikkerhetsnivå
- Identifisering av mangler og trusler
- Anbefalinger tilpasset akkrediteringskravene
- Rapport til PCA-bedømmeren
🔍 Forberedelse til akkrediteringsrevisjon
- Kontroll av sikkerhetsdokumentasjonen
- Simulering av bedømmerens spørsmål
- Opplæring av personellet i systemsikkerhet
🔍 Penetrasjonstester (valgfritt)
- Testing av systemets motstandskraft mot angrep
- Rapport om avdekkede sårbarheter
- Plan for korrigerende tiltak
Oppsummering: sikkerhet trenger ikke å være dyrt eller komplisert
Viktigste konklusjoner:
- 70 % av sikkerhetskravene for akkreditering oppfylles av en profesjonell serviceavtale med en LIMS-leverandør
- Du trenger ikke å være IT-ekspert for å innføre et sikkert system – leverandøren leverer ferdig infrastruktur og dokumentasjon
- Kostnad for sikkerhetsdokumentasjonen: 0 PLN (inkludert) mot 15 000–30 000 PLN (ekstern ekspertise)
- Forberedelsestid: 2 dager (kontroll) mot 2–3 måneder (å lage fra grunnen av)
- Serviceavtalen er en investering, ikke en kostnad – den sikrer kontinuitet i virksomheten og samsvar med standarden
Vil du vite mer?
Vi kan gå gjennom hvert av de 10 sikkerhetsområdene i detalj på et møte eller i et eget PDF-dokument
Enkelte temaer krever detaljerte forklaringer og avklaringer. Vi tilbyr også IT-sikkerhetsrevisjoner av laboratoriesystemer.
Relaterte artikler
Om forfatteren
Artikkelen bygger på mange års erfaring med å utforme LIMS for akkrediterte laboratorier. Teamet vårt kombinerer kunnskap om IT-sikkerhet med praktisk kjennskap til kravene i standarden ISO/IEC 17025.
Vi har gjennomført dusinvis av IT-sikkerhetsrevisjoner i laboratorier og støttet mange laboratorier i arbeidet med å oppnå og beholde akkreditering hos PCA.
Viktigste lærdom
Du trenger ikke å være ekspert på cybersikkerhet for å oppfylle akkrediteringskravene. En godt forberedt serviceavtale med en LIMS-leverandør gir automatisk profesjonell sikkerhet på bedriftsnivå – for en brøkdel av kostnaden ved å ansette en IT-spesialist eller bygge egen infrastruktur.