Dipartimento di Medicina Strutture Complesse

Transcript

1 Dipartimento di Medicina Strutture Complesse S.C. Gastroenterologia ed Endoscopia Digestiva Pietra Ligure S.C. Medicina Albenga S.C. Medicina Cairo Montenotte S.C. Medicina Interna e Cure Intermedie Savona S.C. Neurologia Savona S.C. Medicina Interna Pietra Ligure S.C. Medicina e Gastroenterologia Savona S.C. Medicina Prima Savona S.C. Neurologia Pietra Ligure Area Oncologia Medica S.C. Oncologia Pietra Ligure S.C. Oncologia Savona S.C. Hospice* *S.C. in corso di istituzione 153

2 154

3 S.C. Gastroenterologia ed Endoscopia Digestiva Pietra Ligure Ubicazione: pianoterra e primo padiglione Negri, Ospedale Santa Corona, Via XXV Aprile,128 Pietra Ligure Descrizione dei compiti istituzionali: prevenzione, diagnosi e terapia le malattie digestive ed epatobiliari in regime di ricovero, day hospital ed ambulatoriale. Trattamenti dati effettuati: 1)gestione di cartelle cliniche, 2)schede ambulatoriali, 3) schede infermieristiche, 4) referti e certificazioni, 5) sperimentazioni cliniche, 6)gestione dati anagrafici ed anamnestici di degenti ed utenti, 7) richieste farmaci, 8) richieste diagnostiche/terapeutiche e 9)gestione personale di reparto. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. GAE PL 001 cartella cliinica degenti / utenti GAE PL 002 schede ambulatoriali utenti GAE PL 003 schede infermieristiche degenti GAE PL 004 referti e certificazioni degenti / utenti GAE PL 005 sperimentazioni cliniche volontari GAE PL 006 gestione dati anagrafici ed anamnestici di degenti ed utenti degenti / utenti GAE PL 007 richieste farmaci degenti GAE PL 008 richieste diagnostiche/terapeutiche degenti / utenti GAE PL 009 gestione personale di reparto dipendenti TABELLA 2 - Strumenti utilizzati Banca dati cartacea magnetica Ubicazione Procedure Utilizzate (Nome Software) Internet Interconnessione GAE PL 001 reparto GAE PL 002A ambulatorio GAE PL 002B server software dedicato GAE PL 003 reparto GAE PL 004A reparto/ambulatorio GAE PL 004B server software dedicato GAE PL 005A reparto GAE PL 005B server software fornito dallo sponsor GAE PL 006 server SIO ed altri dedicati GAE PL 007 server software dedicato GAE PL 008A reparto GAE PL 008B server software dedicato GAE PL 009 reparto Intranet 155

4 TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno 2. b) Spamming o tecniche di sabotaggio Eventi relativi c) Malfunzionamento, indisponibilità o degrado degli strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati 3. Altri Eventi c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza TABELLA 4 - Misure di sicurezza adottate o proposte TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati TABELLA 6 - Cifratura o separazione dei dati identificativi da quelli sensibili o giudiziari Protezione scelta Cifratura Separazione Descrizione la tecnica adottata GAE PL 005 Codice alfanumerico attribuito al volontario all ingresso in sperimentazione TABELLA 7 Trattamento dati affidato all esterno Rischi individuati Misure esistenti Soggetto esterno Titolare Responsabile Tipologia di misure che si propongono GAE PL 001 3e 1d 3a controllo incrociato, a vista postazione infermiere contenitori con chiave e videosorveglianza GAE PL 004 1d 2c 2e controllo incrociato medico-segreteria revisione periodica strum. inferm. GAE PL 006 1d 2c controllo incrociato medico/infermiere e medico/medico e verifica giornaliera GAE PL 007 2a-2c ricompilazione cartacea efficienza sistema informatico Procedure per il salvataggio dati Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna GAE PL 005 sponsor Asl e sponsor Indicato dallo sponsor Persona Tempi di ripristino dati GAE PL 001 no GAE PL 003 no GAE PL 004A fotoriproduzione GAE PL 004B buck.up su hard disk immediato GAE PL 005A fotoriproduzione GAE PL 005B buck.up su hard disk immediato GAE PL 006 buck.up su server immediato GAE PL 007 buck.up automatico immediato Impegno ontrattuale all adozione le misure di sicurezza SI NO 156

5 S.C. Medicina Albenga Ubicazione: piano secondo, ambulatori primo piano Ospedale S. Maria di Misericordia, Viale Martiri la Foce, Albenga Descrizione dei compiti istituzionali: Diagnosi e cura di tutte le patologie di carattere internistico attraverso ricoveri ordinari, day hospital e attività ambulatoriale polispecialistica. Trattamenti dati effettuati: 1) gestione cartella clinica, 2) refertazione ambulatoriale, 3) refertazione diagnostica strumentale per doppler, spirometria, endoscopia, 4) gestione scheda ambulatoriale, 5) gestione turnistica personale di reparto. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta categorie di interessati Sens. Giud. Int. Est. MED AL 001 gestione cartella clinica degenti MED AL 002 refertazione ambulatoriale utenti MED AL 003 refertazione diagnostica strumentale degenti/ utenti MED AL 004 gestione scheda ambulatoriale utenti MED AL 005 gestione turnistica personale di reparto dipendenti cartacea Banca dati magnetica Ubicazione Procedure Utilizzate (Nome Software) MED AL 001 reparto MED AL 002 A ambulatori MED AL 002 B MED AL 003 MED AL 004 server access dedicato MED AL 005 A reparto MED AL 005 B hardware ecel Interconnessione Internet Intranet TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza TABELLA 4 - Misure di sicurezza adottate o proposte Da MED AL 001 a MED AL 004 MED AL 002 Rischi individuati Misure esistenti Tipologia di misure che si propongono 1d identificazione operatore/ corsi di formazione sensibilizzazione TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Da MED AL 002 B a MED AL 004 Procedure per il salvataggio Luogo di custodia le copie dati Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona Tempi di ripristino dati back.up personale 1 ora 157

6 158

7 S.C. Medicina Cairo Montenotte Ubicazione: secondo piano ospedale San Giuseppe, via Martiri la Libertà,30 Cairo Montenotte Descrizione dei compiti istituzionali: Terapia diagnosi e cura in regime di ricovero, day hospital ed ambulatoriale di tutte le patologie di medicina interna Trattamenti dati effettuati:1)gestione cartelle ciniche, 2)gestione refertazioni e relazioni cliniche, 3) gestione registro nosologico, 4) gestione schede ambulatoriali, 5) gestione registro stupefacenti, 6)gestione personale 7) gestione dati dei pazienti per procedure amministrative. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Descrizione sintetica Natura dei dati trattati Attività svolta Categorie di interessati MED CM 001 gestione cartelle ciniche degenti MED CM 002 gest.refertazioni e valutazioni cliniche utenti MED CM 003 gestione registro nosologico degenti MED CM 004 gestione schede ambulatoriali utenti MED CM 005 gestione registro stupefacenti degenti MED CM 006 gestione personale dipendenti MED CM 007 gest. dati pazienti per procedure amm.ve degenti/utenti cartacea Banca dati magnetica Ubicazione Procedure Utilizzate (Nome Software) Rischi potenziali SI NO Altre strutture che concorrono al Sens. Giud. Int. Est. Internet Interconnessione MED CM 001A reparto MED CM 001B server SIO MED CM 002A reparto MED CM 002 B pc ambulat software dedicato MED CM 003 reparto MED CM 004 ambulatorio software dedicato MED CM 005 reparto MED CM 006 reparto MED CM 007A reparto MED CM 007B server software dedicato Intranet Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp.elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza 159

8 TABELLA 4 - Misure di sicurezza adottate o proposte Rischi individuati Misure esistenti Tipologia di misure che si propongono MED CM 001A MED CM 002A MED CM 007A 1d locali e contenitori chiusi a chiave informatizzazione totale MED CM 001B MED CM 002B MED CM 003 MED CM 004 MED CM 007B 2a 2c 2d password personali, antivirus aggiornato MED CM 005 1d sensibilizzazione personale TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Procedure per il salvataggio dati Luogo di custodia le copie Server Archivio Incaricato salvataggio Struttura Interna Società esterna Persona Tempi di ripristino dati MED CM 001A copie cartacee MED CM 002A copie cartacee MED CM 001B back.up MED CM 002B back.up tempo reale MED CM MED CM MED CM MED CM MED CM 007 A copie cartacee MED CM 007 B back.up tempo reale 160

9 S.C. Medicina Interna e Gastroentrologia Savona Ubicazione: quinto piano monoblocco ospedale San Paolo Via Genova 30 Savona Descrizione dei compiti istituzionali: terapia diagnosi e cura le patologie interne, gastroenterologiche ed epatiche in regime di ricovero, day hospital, ed ambulatoriale Trattamenti dati effettuati: 1) gestione cartelle cliniche, 2) gestione cartelle infermieristiche, 3) gestione registro nosologico, 4) gestione registro stupefacenti, 5) consultazione esami di diagnostica, 6) gestione referti e relazioni cliniche, 7) gestione schede ambulatoriali, 8) gestione personale di reparto, 9) gestione banche dati degenti ed utenti 10) sperimentazioni cliniche TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica TABELLA 2 - Strumenti utilizzati Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. MGA SV 001 gestione cartelle cliniche degenti MGA SV 002 gestione cartelle infermieristiche degenti MGA SV 003 gestione registro nosologico degenti MGA SV 004 gestione registro stupefacenti degenti MGA SV 005 consultazione esami di diagnostica degenti MGA SV 006 gestione referti e relazioni cliniche degenti/utenti MGA SV 007 gestione schede ambulatoriali utenti MGA SV 008 gestione personale di reparto dipendenti MGA SV 009 gestione banche dati degenti ed utenti degenti/utenti MGA SV 010 Sperimentazioni cliniche Volontari cartacea Banca dati magnetica Ubicazione Procedure Utilizzate (Nome Software) Interconnessione Internet MGA SV 001 reparto 5 DH 8 piano MGA SV 002 reparto 5 MGA SV 003 reparto 5 MGA SV 004 reparto 5 MGA SV 005 server Dnoweb, imago web MGA SV 006A reparto MGA SV 006B reparto office MGA SV 007 ambulatorio MGA SV 008 reparto MGA SV 009 server SIO MGA SV 010 A reparto MGA SV 010 B reparto software dedicato X Intranet TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio 2. c) Malfunzionamento, indisponibilità o degrado degli Eventi relativi strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche 3. atmosferiche, incendi, allagamenti, condiz. ambientali Altri Eventi ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza 161

10 TABELLA 4 - Misure di sicurezza adottate o proposte Da MGA SV 001 a MGA SV 004 MGA SV006A MGA SV 007 MGA SV 008 MGA SV 010A MGA SV 005 MGA SV 006B MGA SV 009 MGA SV 010B Rischi individuati 1d Misure esistenti locali e contenitori chiusi a chiave 2a, 2c, 2d antivirus, password personale Tipologia di misure che si propongono TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Procedure per il salvataggio dati TABELLA 6 - Cifratura o separazione dei dati identificativi da quelli sensibili o giudiziari Protezione scelta Cifratura Separazione Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona Descrizione la tecnica adottata Tempi di ripristino dati Da MGA SV 001 a MGA SV 004 infermiere copia cartacea e da MGA SV 006 a coordinat. inf. MGA SV 008 MGA SV 005 back.up automatico tempo reale MGA SV 006B back.up su supporto medico magnetico infermiere MGA SV 009 back.up automatico tempo reale MGA SV 010A copia cartacea MGA SV 010B back.up su supporto magnetico medico MGA SV 010 separazione dato identificativo da dato sensibile con codice alfanumerico TABELLA 7 Trattamento dati affidato all esterno Soggetto esterno Titolare Responsabile MGA SV 010 sponsor sponsor e Asl2 Indicato dallo sponsor Impegno ontrattuale all adozione le misure di sicurezza SI NO 162

11 2009 S.C. Medicina Interna Pietra Ligure Ubicazione: secondo e terzo piano,parte piano terra e di quello sotterraneo Padiglione Negri presso l ospedale Santa Corona, Via v Aprile,128 Pietra Ligure Descrizione dei compiti istituzionali: prevenzione, diagnosi e terapia le malattie mediche in regime di ricovero, day-hospital ed ambulatoriale Trattamenti dati effettuati: 1) gestione le cartelle cliniche, 2)certificazioni, 3) relazioni cliniche. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Altre strutture che concorrono Descrizione sintetica Natura dei dati trattati al Attività svolta Categorie di interessati Sens. Giud. Int. Est. MED PL 001 gestione cartelle cliniche degenti MED PL 002 certificazioni degenti e utenti MED PL 003 relazioni cliniche degenti e utenti TABELLA 2 - Strumenti utilizzati da MED PL 001 a MED PL 003 Banca dati cartacea magnetica Ubicazione reparto Procedure Utilizzate (Nome Software) Interconnessione Internet Intranet TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno 2. b) Spamming o tecniche di sabotaggio Eventi relativi c) Malfunzionamento, indisponibilità o degrado degli strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati 3. Altri Eventi c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza TABELLA 4 - Misure di sicurezza adottate o proposte Rischi individuati Misure esistenti Tipologia di misure che si propongono MED PL 001 1d sensibilizzazione Personale riunioni periodiche MED PL 002 MED PL 003 3a chiusura a chiave locali/arredi sistema elettrico TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Luogo di custodia Incaricato salvataggio Procedure per le copie Tempi di il salvataggio Server Archivio Struttura Società Persona ripristino dati dati Interna esterna Da MED PL 001 a MED PL 003 fotoriproduzione incaricato 48 ore 163

12

13 S.C. Medicina Interna e Cure Intermedie Savona Ubicazione: primo (D.H), quinto (pazienti acuti) e sesto (pazienti riabiliatativi) piano monoblocco l ospedale San Paolo Via Genova 30, Savona Descrizione dei compiti istituzionali: terapia diagnosi e cura le patologie internistiche ed endocrinologiche in regime di ricovero, day hospital, ed ambulatoriale Trattamenti dati effettuati: 1)gestione cartelle cliniche, 2)gestione cartelle infermieristiche, 3) gestione cartelle riabilitative, 4) registro nosologico, 5 )gestione registro stupefacenti, 6)consultazione esami di diagnostica, 7)gestione referti e relazioni cliniche, 8)gestione schede ambulatoriali, 9)gestione personale di reparto, 10)gestione banche dati degenti ed utenti TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica TABELLA 2 - Strumenti utilizzati Natura dei dati trattati Attività svolta Categorie di interessati MCI SV 001 gestione cartelle cliniche degenti MCI SV 002 gestione cartelle infermieristiche degenti MCI SV 003 gestione cartelle riabilitative degenti MCI SV 004 gestione registro nosologico degenti MCI SV 005 gestione registro stupefacenti degenti MCI SV 006 consultazione esami di diagnostica degenti MCI SV 007 gestione referti e relazioni cliniche degenti/utenti MCI SV 008 gestione schede ambulatoriali utenti MCI SV 009 gestione personale di reparto dipendenti MCI SV 010 gestione banche dati degenti ed utenti degenti/utenti Banca dati cartacea magnetica Ubicazione Altre strutture che concorrono al Sens. Giud. Int. Est. Procedure Utilizzate (Nome Software) Interconnessione Internet MCI SV 001 reparto 5 e D.H. MCI SV 002 reparto 5 e6 MCI SV 003 reparto 6 MCI SV 004 reparto 5 MCI SV 005 reparto 5 e6 MCI SV 006 server Dnoweb, imago web MCI SV 007A reparto MCI SV 007B reparto office MCI SV 008 ambulatorio MCI SV 009 reparto MCI SV 010 server SIO Intranet TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno 2. b) Spamming o tecniche di sabotaggio Eventi relativi c) Malfunzionamento, indisponibilità o degrado degli strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) 165

14 e) Errori umani nella gestione fisica la sicurezza TABELLA 4 - Misure di sicurezza adottate o proposte Da MCI SV 001 a MCI SV 005 MCI SV 007A MCI SV 008 MCI SV 009 Rischi individuati 1d Misure esistenti locali e contenitori chiusi a chiave MCI SV 006 MCI SV 007B MCI SV 010 2a, 2c, 2d antivirus, password personale Tipologia di misure che si propongono TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Da MCI SV 001 a MCI SV 005 MCI SV 007A MCI SV 008 MCI SV 009 MCI SV 006 MCI SV 007B MCI SV 010B Procedure per il salvataggio dati copia cartacea back.up automatico Luogo di custodia le copie Server Archivio X Struttura Interna Incaricato salvataggio Società esterna Persona personale dedicato Tempi di ripristino dati tempo reale 166

15 S.C. Medicina Prima Savona Ubicazione: piani quarto primo e sub uno monoblocco - ospedale San Paolo via Genova 30, Savona Descrizione dei compiti istituzionali : terapia diagnosi e cura le patologie interne in regime di ricovero ordinario, Day Hospital ed ambulatoriale. Trattamenti dati effettuati : 1)gestione cartella clinica, 2)gestione referti e relazioni cliniche, 3)gestione cartelle infermieristiche, 4) gestione registro nosologico, 5)gestione dati degenti ed utenti, 6)gestione schede ambulatoriali, 7)gestione dati di diagnostica strumentale, 8) gestione personale in organico, 9)sperimentazioni TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale e) Altro a) Azione di virus informatici o di programmi suscettibili di recare danno 2. b) Spamming o tecniche di sabotaggio Eventi relativi c) Malfunzionamento, indisponibilità o degrado degli strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete f) Altro a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto 3. Altri Eventi Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. MED SV 001 gestione cartella clinica degenti MED SV 002 gestione referti e relazioni cliniche utenti e degenti MED SV 003 gestione cartelle infermieristiche degenti MED SV 004 gestione registro nosologico degenti MED SV 005 gestione dati degenti ed utenti utenti e degenti MED SV 006 gestione schede ambulatoriali utenti X MED SV 007 gest.dati diagnostica strumentale utenti e degenti MED SV 008 gestione personale in organico dipendenti MED SV 009 sperimentazioni volontari cartacea Banca dati magnetica Ubicazione Procedure Utilizzate (Nome Software) Interconnessione Internet MED SV 001 reparto MED SV 002A reparto MED SV 002B PC software aziendale MED SV 003 reparto MED SV 004 reparto MED SV 005A reparto MED SV 005B server software dedicato MED SV 006 ambulatori MED SV 007A ambulatori MED SV 007B PC software aziendale MED SV 008 reparto MED SV 009A reparto MED SV 009B server software fornito dallo sponsor Intranet b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza 167

16 TABELLA 4 - Misure di sicurezza adottate o proposte Rischi individuati Misure esistenti Tipologia di misure che si propongono MED SV 001 MED SV 002A MED SV 003 MED SV 004 MED SV 005A MED SV 006 MED SV 007A MED SV 009A 1d chiusura a chiave di locali e contenitori MED SV 002B MED SV 005B 1d 2c password MED SV 007B cambio password periodico MED SV 008 locali dedicati MED SV 009B pasword e cifratura Informatizzazione TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati TABELLA 6 - Cifratura o separazione dei dati identificativi da quelli sensibili o giudiziari Protezione scelta Cifratura Separazione MED SV 009 TABELLA 7 Trattamento dati affidato all esterno Procedure per il salvataggio dati Soggetto esterno Luogo di custodia le copie Titolare Incaricato salvataggio Descrizione la tecnica adottata al volontario vine assegnato un codice alfanumerico all ingresso in protocollo Responsabile MED SV 009 sponsor Asl 2 e sponsor Indicato dallo sponsor Impegno contrattuale all adozione le misure di sicurezza SI Tempi di ripristino dati Struttura Società Server Archivio Persona Interna esterna MED SV 002 back.up su cd un giorno MED SV 005 back.up automatico tempo reale MED SV 007 back.up su cd un giorno MED SV 009 back.up un giorno NO 168

17 S.C. Neurologia Pietra Ligure Ubicazione: primo piano padiglione Elio e secondo piano padiglione chirurgico l ospedale Santa Corona, Via Xv Aprile,128 Pietra Ligure Descrizione dei compiti istituzionali: diagnosi e terapia le patologie sistema nervoso centrale e periferico in regime di ricovero ordinario e D.H. e di assistenza ambulatoriale. Trattamenti dati effettuati: 1) gestione cartella clinica (anamnesi con esame obiettivo, consenso informato, esami diagnostici, terapie, lettera di dimissione), 2) gestione prestazioni diagnostiche, 3) gestione cartella infermieristica, 4) gestione dati anagrafici ed anamnestici di degenti ed utenti, 5) gestione registro stupefacenti, 6) gestione schede ambulatoriali, 7) gestione referti e relazioni cliniche, 8) gestione personale di reparto 9) gestione registri utenti a fini amministrativi. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Natura dei dati trattati Attività svolta Categorie di interessati NEU PL 001 gestione cartella clinica degenti NEU PL 002 gestione prestazioni diagnostiche degenti/ utenti NEU PL 003 gestione cartella infermieristica degenti Altre strutture che concorrono al Sens. Giud. Int. Est. NEU PL 004 gestione dati anagrafici ed anamnestici di degenti ed utenti degenti /utenti NEU PL 005 gestione registro stupefacenti parienti NEU PL 006 gestione schede ambulatoriali utenti NEU PL 007 gestione referti e relazioni cliniche degenti /utenti NEU PL 008 gestione personale di reparto dipendenti TABELLA 2 - Strumenti utilizzati Banca dati cartacea magnetica Ubicazione Procedure Utilizzate (Nome Software) Internet Interconnessione NEU PL 001A reparto NEU PL 001B server SIO NEU PL 002 reparto/ambulatori NEU PL 003 reparto NEU PL 004 reparto/ambulatori SIO NEU PL 005 reparto NEU PL 006A ambulatorio NEU PL 006B server software dedicato NEU PL 007A reparto/ambulatori NEU PL 007B server software dedicato NEU PL 008 reparto Intranet 169

18 TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno 2. b) Spamming o tecniche di sabotaggio Eventi relativi c) Malfunzionamento, indisponibilità o degrado degli strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati 3. Altri Eventi c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (impianto elettrico, climatizzazione) e) Errori umani nella gestione fisica la sicurezza TABELLA 4 - Misure di sicurezza adottate o proposte Rischi individuati Misure esistenti Tipologia di misure che si propongono NEU PL 001A a NEU PL 008 NEU PL 001B NEU PL 006B NEU PL 007B 1b 1d 2a 3a 3b 3c 3d 3e 2b 2c 2d 2e conservazione in locali e contenitori chiusi a chiave password personalizzate antivirus ed antispamming informatizzazione TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati NEU PL 001B NEU PL 004 NEU PL 006B NEU PL 007B Procedure per il salvataggio dati Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona Tempi di ripristino dati back-up automatico X Tempo reale 170

19 S.C. Neurologia Savona Ubicazione: settimo piano monoblocco (lato mare), ospedale San Paolo, Via Genova 30, Savona Descrizione dei compiti istituzionali: Diagnosi e terapia le patologie sistema nervoso centrale periferico in regime di ricovero, day hospital, ed ambulatoriale Trattamenti dati effettuati: 1) gestione cartella clinica (compilazione e conservazione temporanea) 2) gestione registro nosologico 3) gestione referti e relazioni cliniche (redazione e conservazione anche informatica) 4) gestione schede ambulatoriali 5) gestione dati degenti e utenti 6) gestione prestazioni di diagnostica strumentale 7) gestione registro stupefacenti 8) gestione prestazioni di riabilitazione 9) gestione personale di reparto 10) consultazione banche dati diagnostiche TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Natura dei dati trattati Attività svolta Categorie di interessati NEU SV 001 gestione cartella clinica degenti NEU SV 002 gestione registro nosologico degenti NEU SV 003 gestione referti e relazioni cliniche degenti NEU SV 004 gestione schede ambulatoriali utenti NEU SV 005 gestione dati degenti e utenti utenti-degenti NEU SV 006 gest.prestazioni di diagnostica strumentale utenti-degenti NEU SV 007 gestione registro stupefacenti utenti-degenti NEU SV 008 gestione prestazioni di riabilitazione utenti-degenti NEU SV 009 gestione personale di reparto dipendenti NEU SV 010 consultazione banche dati diagnostiche pazienti Altre strutture che concorrono al Sens. Giud. Int. Est. TABELLA 2 - Strumenti utilizzati Banca dati cartacea magnetica Ubicazione Procedure Utilizzate (Nome Software) Internet Interconnessione NEU SV 001A reparto st. 8 NEU SV 001B server reparto software dedicato NEU SV 002 reparto NEU SV 003A reparto NEU SV 003B server reparto software dedicato NEU SV 004 reparto st. 12, 21 NEU SV 005 server reparto software dedicato NEU SV 006A reparto st. 18, 15 NEU SV 006B server reparto software dedicato NEU SV 007 reparto NEU SV 008A reparto st.8 NEU SV 008B server reparto software dedicato NEU SV 009 reparto NEU SV 010 server dnweb, imago Intranet 171

20 TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: Alta media Bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. Elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza TABELLA 4 - Misure di sicurezza adottate o proposte NEU SV 001A NEU SV 002 NEU SV 003A NEU SV 004 NEU SV 006A NEU SV 007 NEU SV 008A NEU SV 009 NEU SV 001B NEU SV 003B NEU SV 005 NEU SV 006B NEU SV 008B NEU SV 010 Rischi individuati Misure esistenti conservazione in locali e contenitori chiusi a chiave antivirus password all accensione Tipologia di misure che si propongono informatizzazione password personale verifica periodica bk data cartridge TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Luogo di custodia Incaricato salvataggio Procedure per il le copie Tempi di salvataggio dati Struttura Società ripristino dati Server Archivio Persona Interna esterna NEU SV 001A capo tecnico 1 settimana NEU SV 001B back.up automatico NEU SV 002 NEU SV 003A segretaria NEU SV 003B back.up automatico giornaliero NEU SV 004 segretaria NEU SV 005 back.up automatico NEU SV 006A capo tecnico 3 giorni NEU SV 006B back.up automatico giornaliero NEU SV 007 personale dedicato NEU SV 008A logopedista capo tecnico 1 settimana NEU SV 008B back.up automatico giornaliero NEU SV

21 S.C. Oncologia Medica Pietra Ligure Ubicazione: piano semi-interrato padiglione Negri ospedale Santa Corona Via XXV Aprile 128 Pietra Ligure Descrizione dei compiti istituzionali : attività di prevenzione, diagnosi e cura le principali neoplasie comprese quelle ematologiche con esclusione di quelle pediatriche Trattamenti dati effettuati: 1)gestione cartelle cliniche, 2) certificazioni, relazioni cliniche,3 )4)5)sperimentazioni. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno 2. b) Spamming o tecniche di sabotaggio Eventi relativi c) Malfunzionamento, indisponibilità o degrado degli strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati 3. Altri Eventi Descrizione sintetica c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza TABELLA 4 - Misure di sicurezza adottate o proposte Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. ONC PL 001 cartella clinica completa degenti ONC PL 002 certificazioni degenti e utenti ONC PL 003 relazioni cliniche degenti ONC PL 004 sperimentazioni volontari ONC PL 005 sperimentazioni volontari ONC PL 006 sperimentazioni volontari cartacea Banca dati magnetica Ubicazio ne Procedure Utilizzate (Nome Software) Interconnessione Internet ONC PL 001A reparto ONC PL 001B server ONC PL 002 server software aziendale ONC PL 003 server ONC PL 004A ONC PL 005A ONC PL 006A reparto ONC PL 004B ONC PL 005B ONC PL 006B reparto software fornito dallo sponsor Rischi individuati Misure esistenti Intranet Tipologia di misure che si propongono Da ONC PL 001 a ONC PL 003 2b insufficienti antispam aziendale Da ONC PL 001 a ONC PL 006 3b chiusura a chiave e sistema elettrico Impianto videosorveglianza 173

22 TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Procedure per il salvataggio dati Luogo di custodia le copie Server Archivio Struttura Interna ONC PL 001 ONC PL 004 back up automatico ONC PL 005 gionaliero ONC PL 006 Incaricato salvataggio Società esterna Persona Tempi di ripristino dati 24 ore TABELLA 6 - Cifratura o separazione dei dati identificativi da quelli sensibili o giudiziari Protezione scelta Cifratura Separazione Descrizione la tecnica adottata ONC PL 004 iniziali pazienti e numero di codice ONC PL 005 iniziali pazienti e numero di codice ONC PL 006 numero di codice TABELLA 7 Trattamento dati affidato all esterno Soggetto esterno Titolare Responsabile ONC PL 004 Studio E-ZP-FAST (CFEM345D2406) Novartis Novartis ONC PL 005 GIM4 LEAD Novartis Novartis ONC PL 006 HEXA (asamestane in doppio cieco) Pfizer Pfizer Impegno ontrattuale all adozione le misure di sicurezza SI NO 174

23 S.C. Oncologia Medica Savona Ubicazione: piano terra monoblocco ospedale San Paolo Via Genova 30 Savona Descrizione dei compiti istituzionali : prevenzione, diagnosi e cura le principali neoplasie l adulto in regime di dh e ambulatoriale. Trattamenti dati effettuati : 1)gestione cartella clinica,2)gestione schede ambulatoriali, 3)gestione certificazioni e relazioni cliniche, 4)gestione cartella infermieristica, 5)gestione registro stupefacenti gestione dati degenti e utenti a fini amministrativi, 6)gestione personale di reparto, 7)gestione sperimentazioni cliniche TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno 2. b) Spamming o tecniche di sabotaggio Eventi relativi c) Malfunzionamento, indisponibilità o degrado degli strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati 3. Altri Eventi Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. ONC SV 001 gestione cartella clinica degenti ONC SV 002 gestione schede ambulatoriali utenti ONC SV 003 gestione certificazioni e relazioni utenti e degenti cliniche ONC SV 004 gestione cartella infermieristica degenti ONC SV 005 gestione registro stupefacenti degenti ONC SV 006 gestione dati degenti e utenti ai fini degenti e utenti amministrativi ONC SV 007 gestione personale di reparto dipendenti ONC SV 008 gestione sperimentazioni cliniche volontari Banca dati Ubicazione Procedure Utilizzate Interconnessione (Nome Software) cartacea magnetica Internet Intranet ONC SV 001 reparto ONC SV 002 ambulatorio ONC SV 003A rep/amb ONC SV 003B pc rep/amb word ONC SV 004 ONC SV 005 reparto ONC SV 006 server sio ONC SV 007 ONC SV 008A reparto ONC SV 008B software dedicato c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza 175

24 TABELLA 4 - Misure di sicurezza adottate o proposte ONC SV 001 ONC SV 002 ONC SV 003A ONC SV 004 ONC SV 005 ONC SV 007 ONC SV 008 Rischi individuati TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati 1 d Misure esistenti locali e contenitori dedicati chiusi a chiave, controlli incrociati dei dati ONC SV 003B ONC SV 006 ONC SV 008B 2a password personale ed antivirus ONC SV 003B ONC SV 006 ONC SV 008 B Procedure per il salvataggio Luogo di custodia le copie dati Server Archivio back up automatico Struttura Interna Incaricato salvataggio Società esterna Persona Tipologia di misure che si propongono informatizzazione Tempi di ripristino dati tempo reale TABELLA 6 - Cifratura o separazione dei dati identificativi da quelli sensibili o giudiziari Protezione scelta Cifratura Separazione ONC SV 008 Descrizione la tecnica adottata all ingresso in protocollo viene assegnato al volontario un codice numerico; i dati sensibili vengono separati da quelli identificativi TABELLA 7 Trattamento dati affidato all esterno Soggetto esterno Titolare Responsabile ONC SV 008 sponsor ASL e sponsor indicato dallo sponsor Impegno contrattuale all adozione le misure di sicurezza SI NO 176