Dipartimento di Riabilitazione Strutture Complesse e Semplici Dipartimentali S.C. Terapie Dolore e Cure Palliative Pietra Ligure S.C. Recupero e Rieducazione Funzionale Pietra Ligure S.C. Recupero e Rieducazione Funzionale Savona S.C. Unità Spinale Unipolare Pietra Ligure S.S.D. Recupero e Rieducazione Funzionale Ospedale e Territorio Bormide S.S.D. Recupero e Rieducazione Funzionale Ospedale e Territorio Albenganese S.S.D. Recupero e Rieducazione Funzionale Ospedale e Territorio Savonese 232
Responsabili dati Dipartimento di Riabilitazione S.C. Recupero e Rieducazione Funzionale P.L. Dr. Giovanni Checchia S.C. Recupero e Rieducazione Funzionale Savona vacante S.S.D. Recupero e Rieducazione Funzionale Ospedale Albenga Territorio Albenganese Dr. ssa Annamaria Amato S.S.D. Recupero e Rieducazione Funzionale Ospedale Cairo Montenotte Territorio Bormide Dr. Vittorio Grosso S.S.D. Recupero e Rieducazione Funzionale Ospedale Savona Territorio Savonese Dr. ssa Francesca Zucchi S.C. Terapie Dolore e Cure Palliative Pietra Ligure Dr. Marco Bertolotto S.C. Unità Spinale Unipolare Pietra Ligure Dr. Antonino Massone 233
S.C. Recupero e Rieducazione Funzionale Pietra Ligure Ubicazione: sede principale palazzina e Polio ospedale Santa.Corona Via XXV Aprile,128 Pietra Ligure sedi territoriali : poliambuatori di Borghetto Santo Spirito e Finale Ligure Descrizione dei compiti istituzionali: diagnosi, cura, terapia e riabilitazione di soggetti con esiti di patologie invalidanti neurologiche, ortopediche e reumatologiche (soprattutto riabilitazione precoce paziente protesizzato, riabilitazione precoce post-ictus, riabilitazione dei pazienti con problematiche infettive osteoarticolari) in fase post-acuta. La S.C. Recupero e Rieducazione Funzionale opera nei confronti di disabilità significative attraverso un setting di opzioni organizzato in attività di degenza intensiva, attività di day hospital ed ambulatoriale, svolgendo i compiti di riabilitazione di 2 livello secondo le linee guida ministeriali. Trattamenti dati effettuati: 1)gestione cartelle cliniche, 2) refertazioni, 3) cartelle ambulatoriali,4) cartelle infermieristiche, 5) cartelle riabilitative, 6 )sperimentazioni cliniche,7) gestione cartelle cliniche e documentazione sanitaria progetto DRG 209 TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. RRF PL 001 gestione cartelle cliniche degenti RRF PL 002 refertazioni degenti e utenti RRF PL 003 cartelle ambulatoriali degenti e utenti RRF PL 004 cartelle infermieristiche degenti RRF PL 005 cartelle riabilitative degenti e utenti RRF PL 006 sperimentazioni cliniche degenti e utenti RRF PL 007 gest.documentazione progetto drg 209 degenti Banca dati cartacea magnetica Ubicazione RRF PL 001A RRF PL 001B reparto RRF PL 002A RRF PL 002B reparto e ambulatori RRF PL 003A RRF PL 003B ambulatori RRF PL 004 RRF PL 004B reparto RRF PL 005 reparto RRF PL 006A reparto e ambulatori RRF PL 006B server societa committente RRF PL 007 rrf/san michele reparto Procedure Utilizzate (Nome Software) Interconnessione Internet Intranet TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno 2. b) Spamming o tecniche di sabotaggio Eventi relativi c) Malfunzionamento, indisponibilità o degrado degli strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati 3. Altri Eventi c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza 234
TABELLA 4 - Misure di sicurezza adottate o proposte Rischi Tipologia di misure che si Misure esistenti individuati propongono RRF PL 001 controllo percorso a cartella clinica informatizzazione cartella clinica Da RRF PL 002 a RRF PL 005 RRF PL 006 RRF PL 007 1b 2d 1b controllo percorso documentazione clinica controllo e conservazione rigorosoa e credenziali di accesso controllo percorso documentazione clinica TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati TABELLA 6 - Cifratura o separazione dei dati identificativi da quelli sensibili o giudiziari informatizzazione documentazione clinica gestione avanzata le credenziali di accesso informatizzazione la cartella clinica Luogo di custodia Incaricato salvataggio Tempi di Procedure per il le copie ripristino Struttura Società Server Archivio Persona dati Interna esterna RRF PL 001A archiviazione senza personale la sc back up periodico dati tecnico informatico sia secondo RRF PL 001B esami radiologici e di procedure laboratorio RRF PL 002A archiviazione senza back up periodico secondo RRF PL 002B procedure archiviazione senza RRF PL 003A RRF PL 003B back up periodico secondo personale la sc procedure RRF PL 004A archiviazione senza back up periodico secondo RRF PL 004B procedure RRF PL 005 archiviazione senza RRF PL 006A archivazione incaricato RRF PL 006B back up periodico incaricato secondo procedure archiviazione senza personale la sc RRF PL 007 Protezione scelta Cifratura Separazione Descrizione la tecnica adottata RRF PL 006 secondo procedure informatiche committente 235
S.C. Recupero e Rieducazione Funzionale Savona Ubicazione: sedi di Savona: monoblocco VI piano retrocorpo c/o opedale San Paolo, Via Genova 30 Savona poliambualtori ospdalieri e ambulatorio primo piano Via Collodi 13. Descrizione dei compiti istituzionali: diagnosi, cura, riabilitazione di pazienti affetti da patologie di tipo neurologico, ortopedico, reumatologico, cardiologico e pneumologico in esiti invalidanti. La S.C. Recupero e Rieducazione Funzionale opera nei confronti di disabilità significative attraverso un setting di opzioni organizzato in attività di degenza intensiva, attività di day hospital ed ambulatoriale, svolgendo i compiti di riabilitazione di 2 livello secondo le linee guida ministeriali. Trattamenti dati effettuati: 1)gestione cartelle cliniche 2)refertazioni 3)schede ambulatoriali 4)cartelle infermieristiche 5)cartelle riabilitative 6)gestione dati degenti 7)gestione personale in dotazione TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati * I dati sono riferiti alle strutture in ragione la competenza territoriale TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Descrizione sintetica Rischi potenziali SI NO a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. RRF SV 001 gestione cartelle cliniche degenti RRF SV 002 refertazioni degenti RRF SV 003 schede ambulatoriali degenti e utenti RRF SV 004 cartelle infermieristiche degenti RRF SV 005 cartelle riabilitative degenti e utenti RRF SV 006 gestione personale in dotazione dipendenti RRF SV 007 gestione dati degenti degenti Banca dati cartacea magnetica Ubicazione* Procedure Utilizzate (Nome Software) Internet Interconnessione RRF SV 001A reparto RRF SV 001B server reparto e RRF SV 002A ambulatori RRF SV 002B server RRF SV 003A ambulatori RRF SV 003B server RRF SV 004A reparto RRF SV 004B server RRF SV 005A reparto RRF SV 005B server RRF SV 006 reparto RRF SV 007 server S.I.O. Intranet Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza 236
TABELLA 4 - Misure di sicurezza adottate o proposte Da RRF SV 001A a RRF SV 005 A Da RRF SV 001B a RRF SV 005B Rischi individuati Misure esistenti Tipologia di misure che si propongono 1d e 3a 2a,2c verifica incrociata dati cartacei e informatici; locali e contenitori chiusi a chiave antivirus, pass word TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Da RRF SV 001 a RRF SV 004 Procedure per il Back up automatico e magnetico Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona Tempi di ripristino dati Tempo reale 237
S.S.D. Rieducazione Funzionale Ospedale Albenga-Territorio Albenganese Ubicazione: piano terra e 4 l ospedale Santa Maria la Misericordia, viale Martiri la Foce 40. Descrizione dei compiti istituzionali: diagnosi, cura, riabilitazione di pazienti affetti da patologie di tipo neurologico, ortopedico con esiti invalidanti. Trattamenti dati effettuati: 1)gestione cartelle cliniche, 2) refertazioni, 3) cartelle ambulatoriali,4)cartelle riabilitative, 5) gestione banche dati pazienti ed utenti e 6) consultazione banche dati di diagnostica TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Natura dei dati trattati Attività svolta Categorie di interessati RIF AL 001 gestione cartelle cliniche degenti RIF AL 002 refertazioni RIF AL 003 cartelle ambulatoriali Altre strutture che concorrono al Sens. Giud. Int. Est. RIF AL 004 cartelle riabilitative degenti e utenti RIF AL 005 gestione banche dati pazienti ed utenti RIF AL 006 consultazione banche dati di diagnostica TABELLA 2 - Strumenti utilizzati Banca dati cartacea magnetica TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Ubicazione Procedure Utilizzate (Nome Software) Rischi potenziali SI NO Internet Interconnessione RIF AL 001A reparti RIF AL 001B RIF AL 002A reparti e ambulatori RIF AL 002B RIF AL 003A ambulatori RIF AL 003B RIF AL 004A reparti/servizio RIF AL 004B pc RIF AL 005A reparti e ambulatori RIF AL 005B server RIF AL 006B Intranet Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete f) Altro: a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza f) Altro: 238
TABELLA 4 - Misure di sicurezza adottate o proposte Da RIFAL001A a RIF AL 005A RIF AL 001B a RIF AL 004B RIF AL 005B, RIF AL 006B Rischi individuati 1b 2d 1b Misure esistenti controllo percorso documentazione, conservazione in luoghi e contenitori chiusi a chiave password e antivirus Tipologia di misure che si propongono informatizzazione completa TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Procedure per il Luogo di custodia le copie Server Archivio Incaricato salvataggio Struttura Interna Da RIF AL 001A a RIF AL 004B archiviazione back up magnetico Da RIF AL 001B a RIF AL 004A periodico RIF AL 005A e RIF AL 006A fotoriproduzione RIF AL 006B e RIF AL 007B backup automatico periodico Società esterna Persona personale dedicato Tempi di ripristino dati secondo procedure 239
S.S.D. Rieducazione Funzionale Ospedale Cairo Montenotte-Territorio le Bormide Ubicazione: piano terzo e quarto ospedale San Giuseppe, via Artisi 2 Cairo Montenotte Descrizione dei compiti istituzionali: diagnosi, cura, riabilitazione di pazienti affetti da patologie di tipo neurologico, ortopedico e reumatologice con esiti invalidanti. Trattamenti dati effettuati: 1)gestione cartelle cliniche 2) refertazioni 3)schede ambulatoriali 4)cartelle infermieristiche 5)gestione dati degenti 6)gestione personale in dotazione 7) consulenze presso altri reparti 8) consultazione banche dati diagnostica TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. RIF CM 001 gestione cartelle cliniche degenti RIF CM 002 refertazioni degenti RIF CM 003 schede ambulatoriali degenti e utenti RIF CM 004 cartelle infermieristiche degenti RIF CM 005 gestione dati degenti degenti RIF CM 006 gestione personale in dotazione dipendenti RIF CM 007 consulenze presso altri reparti degenti e utenti RIF CM 008 consultazione banche dati diagnostica cartacea Banca dati magnetica degenti e utenti Ubicazione* Procedure Utilizzate (Nome Software) Internet Interconnessione RIF CM 001 reparto RIF CM 002A reparto e ambulatori RIF CM 002B pc RIF CM 003A ambulatori RIF CM 003B pc RIF CM 004A reparto RIF CM 005A reparto RIF CM 005B server S.I.O. RIF CM 006 reparto RIF CM 007 reparti terzi RIF CM 008 server software dedicati Intranet TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza f) Altro: 240
TABELLA 4 - Misure di sicurezza adottate o proposte Da RIFCM 001 a RIFCM 005 A e RIF CM 008 Da RIF CM 002B a RIF CM 008 Rischi individuati 1d e 3a 2a,2c Misure esistenti verifica incrociata dati cartacei; locali e contenitori chiusi a chiave antivirus, password Tipologia di misure che si propongono TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Procedure per il RIFCM 002B e Back up giornaliero su RIFCM 003B diversi supporti RIFCM 005B e RIF CM 008 Back up automatico Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona Tempi di ripristino dati Tempo reale 241
S.S.D Rieducazione Funzionale Ospedale Savona-Territorio Savonese Ubicazione: monoblocco VI piano retrocorpo c/o opedale San Paolo, Via Genova 30 Savona e ambulatorio primo piano Via Collodi 13. Descrizione dei compiti istituzionali: diagnosi, cura, riabilitazione di pazienti affetti da patologie di tipo neurologico, ortopedico, reumatologico con esiti invalidanti Trattamenti dati effettuati: 1)gestione cartelle cliniche 2)refertazioni 3)schede ambulatoriali 4)cartelle infermieristiche 5)cartelle riabilitative 6)gestione dati degenti 7)gestione personale in dotazione TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. RIF SV 001 gestione cartelle cliniche degenti RIF SV 002 refertazioni degenti RIF SV 003 schede ambulatoriali degenti e utenti RIF SV 004 cartelle infermieristiche degenti RIF SV 005 cartelle riabilitative degenti e utenti RIF SV 006 gestione personale in dotazione dipendenti RIF SV 007 gestione dati degenti degenti TABELLA 2 - Strumenti utilizzati Banca dati cartacea magnetica * I dati sono riferiti alle strutture in ragione la competenza territoriale TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Ubicazione* Procedure Utilizzate (Nome Software) Rischi potenziali SI NO a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti Internet Interconnessione RIF SV 001A reparto RIF SV 001B server reparto e RIF SV 002A ambulatori RIF SV 002B server RIF SV 003A ambulatori RIF SV 003B server RIF SV 004A reparto RIF SV 004B server RIF SV 005A reparto RIF SV 005B server RIF SV 006 reparto RIF SV 007 server S.I.O. Intranet Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza 242
TABELLA 4 - Misure di sicurezza adottate o proposte Da RIF SV 001A a RIF SV 005 A Da RIF SV 001B a RIF SV 005B Rischi individuati Misure esistenti Tipologia di misure che si propongono 1d e 3a 2a,2c verifica incrociata dati cartacei e informatici; locali e contenitori chiusi a chiave antivirus, pass word TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Da RIF SV 001 a RIF SV 004 Procedure per il Back up automatico e magnetico Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona Tempi di ripristino dati Tempo reale 243
S.C. Terapia Dolore e Cure Palliative Pietra Ligure Ubicazione: quarto piano padiglione 18 ospedale Santa Corona Via XXV Aprile,128 Pietra Ligure Descrizione dei compiti istituzionali: dei pazienti con dolore cronico benigno e dolore oncologico in regime ambulatoriale e di Day Hospital Trattamenti dati effettuati: 1)gestione cartelle ambulatoriali, 2)gestione cartelle cliniche di day hospital, 3)gestione certificazioni e relazioni cliniche, 4)gestione dati dei pazienti per procedure amministrative, 5)gestione personale TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. CTD PL 001 gestione cartelle ambulatoriali utenti CTD PL 002 gestione cartelle cliniche di day hospital degenti CTD PL 003 gestione di certificazioni e relazioni cliniche degenti e utenti CTD PL 004 gestione dati pazienti per procedure amministrative degenti e utenti CTD PL 005 gestione personale dipendenti TABELLA 2 - Strumenti utilizzati Banca dati cartacea magnetica TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione 1. b) Carenza di consapevolezza, disattenzione o incuria Comportamenti c) Comportamenti sleali o fraudolenti degli operatori d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno 2. b) Spamming o tecniche di sabotaggio Eventi relativi c) Malfunzionamento, indisponibilità o degrado degli strumenti agli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete f) Altro: a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati 3. Altri Eventi c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza f) Altro: Ubicazione Procedure Utilizzate (Nome Software) Interconnessione Internet CTD PL 001 ambulatorio CTD PL 002 reparto CTD PL 003A reparto CTD PL 003B reparto CTD PL 004 server sio CTD PL 005 reparto Intranet 244
TABELLA 4 - Misure di sicurezza adottate o proposte Rischi individuati Misure esistenti Tipologia di misure che si propongono CTD PL 001 CTD PL 002 CTD PL 003A 1b chisura locali archivio, antifurto reparto maggiore informatizzazione dati CTD PL 003B CTD PL 004 2d password personali CTD PL 001 CTD PL 002 CTD PL 003 CTD PL 004 3c sistema antincendio e antifurto TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati Procedure per il Luogo di custodia le copie Server Archivio CTD PL 001 CTD PL 002 ------------------------------- CTD PL 003 backup automatico CTD PL 004 backup automatico Struttura Interna Incaricato salvataggio Società esterna Persona Tempi di ripristino dati tempo reale 245
S.C. Unità Spinale Unipolare Ubicazione: padiglione USU presso l ospedale Santa Corona Via v Aprile,128 Pietra Ligure Descrizione dei compiti istituzionali: terapia medica, chirurgica e riabilitativa di pazienti con lesioni al midollo spinale sin dalla fase acuta in regime di ricovero, Day hospital, ed ambulatoriale. Trattamenti dati effettuati: 1) gestione la cartella clinica (dati anamnestici, clinici, psicologici, consulenze), 2) gestione cartella medica, 3) gestione cartella infermieristica, 4) gestione cartella fisioterapica. 5) gestione l integrazione paziente nel contesto di appartenenza. 6) gestione schede ambulatoriali 7) gestione personale di reparto. 8) refertazione 9) gestione sperimentazioni TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. USU PL 001 gestione cartella clinica degenti e utenti USU PL 002 gestione cartella medica, degenti e utenti USU PL 003 gestione cartella infermieristica degenti USU PL 004 gestione cartella fisioterapica degenti e utenti USU PL 005 gestione l integrazione paziente nel contesto di appartenenza degenti USU PL 006 gestione schede ambulatoriali utenti USU PL 007 gestione personale di reparto dipendenti USU PL 008 refertazione degenti e utenti USU PL 009 gestione sperimentazion1 volontari Banca dati cartacea magnetica USU PL 001 USU PL 002 USU PL 003 USU PL 004 USU PL 005 USU PL 006 USU PL 007 USU PL 008 A Ubicazione Procedure Utilizzate (Nome Software) Internet Interconnessione USU PL 008 B USU PL 009 A reparto Intranet USU PL 009 B TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, c) incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizzazione) e) Errori umani nella gestione fisica la sicurezza 246
TABELLA 4 - Misure di sicurezza adottate o proposte Da USU PL 001 a USU PL 009 Rischi individuati 1 d Misure esistenti sensibilizzazione operatori chiusura a chiave contenitori Tipologia di misure che si propongono informatizzazione la cartella clinica linee guida. procedure. hard disk esterno TABELLA 5 - Criteri e procedure per il salvataggio e tempi di ripristino dei dati TABELLA 6 - Cifratura o separazione dei dati identificativi da quelli sensibili o giudiziari Protezione scelta Cifratura Separazione USU PL 009 Procedure per il Luogo di custodia le copie Server Archivio USU PL 008 A ----------------------- Struttura Interna Incaricato salvataggio Società Esterna Persona Descrizione la tecnica adottata Tempi di ripristino dati USU PL 008 B buck.up su floppy addetto di reparto 15 giorni USU PL 009 A ------------------------- USU PL 009 B fornite dallo sponsor responsabile sperimentazione responsabile sperimentazione codice alfanumerico per identificare il volontario e password personali d accesso al programma TABELLA 7 - Trattamento dati affidato all esterno Soggetto esterno Titolare Responsabile USU PL 009 sponsor designato dallo sponsor Impegno contrattuale all adozione le misure di sicurezza si no 247