Sikkerhed i skyen: Hvad tandlæger skal kræve af deres softwareleverandør

Skybaserede journalsystemer og tilknyttede tjenester bruges i stigende grad inden for tandpleje. For mange virksomheder giver det enklere drift, hurtigere opdateringer og bedre forudsætninger for integrationer og samarbejde.

Samtidig opstår en praktisk udfordring: Når journal, røntgen og patientdata behandles i en ekstern platform, flyttes mange af de tekniske kontroller ud af klinikkens egne vægge. Det kan skabe uklarhed om, hvad der faktisk skal kontrolleres, hvad der kan aftales, og hvad der skal kunne dokumenteres ved afvigelser eller tilsyn.

Denne artikel afklarer, hvad "sikkerhed i skyen" betyder i en klinisk og ledelsesmæssig kontekst, hvor ansvarsproblemet typisk opstår, almindelige misforståelser – og hvilke krav tandklinikker bør stille til leverandøren for at sikre reel kontrol i praksis.

Hvad menes der med sikkerhed i skybaserede journalsystemer?

"Sikkerhed i skyen" omtales ofte som et leverandøransvar: Leverandøren driver, patcher og beskytter infrastrukturen. I praksis er sikkerhed i skybaserede journalsystemer et samspil mellem tre niveauer:

• Leverandørens tekniske sikkerhed: hvordan platformen er bygget, sikret, overvåget og opdateret.

• Virksomhedens brug og konfiguration: adgangsstyring, rollemodel, arbejdsprocesser, oplæring og efterlevelse i hverdagen.

• Aftalestyret kontrol: hvordan klinikken sætter krav, får indsigt, og følger op på, at leverandøren faktisk leverer det, der er aftalt.

For en tandklinik handler sikkerhed derfor ikke primært om, hvor serverne står, men om hvorvidt data og funktionalitet er beskyttet mod uautoriseret adgang, utilsigtet ændring, tab og nedetid – og om klinikken kan dokumentere, at kontrolmekanismer findes og fungerer. Det inkluderer typisk:

• fortrolighed (hvem kan se hvad)

• integritet (at data ikke ændres fejlagtigt)

• tilgængelighed (at systemet er oppe, når det er nødvendigt)

• sporbarhed (at hændelser kan efterprøves)

Hvor opstår ansvarsproblemet?

Ansvar bliver sjældent uklart i "normal drift". Det opstår der, hvor skyens fordele møder klinikkens krav til forudsigelighed og dokumentation – ofte i overgangene mellem leverandørens drift og klinikkens brug.

1. Når adgangsstyringen ikke afspejler klinisk praksis
   Skybaserede løsninger giver ofte fleksible adgangsmodeller. Risiko opstår, når rolle- og rettighedsstrukturen ikke er tilpasset den faktiske organisering (vikarer, turnus, samarbejde, studerende, flere lokationer), eller når oprettelse og afslutning af brugere ikke følges tæt nok.

2. Når integrationer og dataflow ikke er under kontrol
   Journalsystemet indgår ofte i et økosystem (røntgen, betaling, kalender, meddelelser). I skyen flyder data mellem flere komponenter, ofte med flere leverandører involveret. Ansvarsproblemet opstår i grænsefladen: hvem opdager afvigelser, hvem fejlsøger, og hvad logges.

3. Når hændelser håndteres "hos leverandøren", men konsekvenserne ligger hos klinikken
   Ved sikkerhedshændelser, nedetid eller fejl i tjenesten vil leverandøren håndtere teknisk gendannelse. Klinikken skal dog stadig håndtere patientkontakt, prioritering, alternativ drift og dokumentation af, hvad der skete, og hvilke tiltag der blev gjort.

4. Når ændringer sker uden tilstrækkelig vurdering af klinisk effekt
   Skybaserede systemer opdateres ofte hyppigt. Risiko opstår, når funktionsændringer påvirker arbejdsflow, registreringspraksis eller rapportering uden, at klinikken har en tydelig styring af ændringer, testregime og beslutningsmyndighed.

Kort sagt: Leverandøren kan drive teknologien, men klinikken skal kunne udøve styring. Det kræver kravstilling, indsigt og løbende kontrol – ikke kun en anskaffelse.

Almindelige misforståelser

"Skyen betyder, at leverandøren har hele sikkerhedsansvaret"

Leverandøren har ansvar for platformens drift og sikkerhedsmekanismer, men klinikken er stadig ansvarlig for, hvordan løsningen bruges: hvem der får adgang, hvilke rutiner der følges, og hvordan afvigelser opdages og håndteres. Når dette ikke er defineret, bliver "ansvar" et tomt begreb.

"Vi kan vurdere sikkerhed én gang – ved anskaffelse"

Skyen er dynamisk: opdateringer, nye funktioner, ændrede underleverandører og nye integrationer ændrer risikobilledet over tid. Sikkerhed skal derfor følges op som en del af drift og internkontrol, ikke som en engangsøvelse i et projekt.

"Certificeringer hos leverandøren er nok dokumentation"

Certificeringer og revisionsrapporter kan give nyttig tryghed, men de svarer sjældent alene på klinikkens konkrete behov: hvad der logges, hvordan hændelser varsles, hvilke data der behandles hvor, og hvilke kontroller klinikken faktisk har adgang til. Det afgørende er, om dokumentationen er relevant for den konkrete brug.

"Adgangsstyring løses med stærke passwords"

I klinisk praksis er de største fejl ofte procesrelaterede: delte brugere, manglende afslutning af adgang, for brede roller, eller svag kontrol i hverdagen. Teknisk autentifikation er vigtig, men skal kombineres med tydelig rollemodel, rutiner og efterprøvbarhed.

"Nedetid er et IT-problem, ikke et patientproblem"

For journalsystemer i klinisk drift bliver tilgængelighed hurtigt en patientsikkerheds- og driftsudfordring. Hvis beredskabet, alternative rutiner og gendannelse ikke er planlagt og øvet, bliver virksomheden sårbar – også når leverandøren "gør alt rigtigt" teknisk.

Hvad bør være på plads i praksis?

Når en tandklinik skal bruge skybaseret software, der behandler patient- og journaldata, bør ledelsen normalt sikre, at følgende krav og kontrolpunkter er afklaret, aftalt og operationaliseret:

• Tydelig rolleafklaring og aftalegrundlag
  Klargør ansvar for behandling af oplysninger, drift, underleverandører og ændringer – og hvilke forpligtelser der følger af dette i praksis.

• Databehandlerstyring og underleverandørkontrol
  Overblik over hvilke parter der faktisk behandler data, hvordan underleverandører godkendes/ændres, og hvilke sikkerhedskrav der gælder i kæden.

• Krav til adgangsstyring og identitetskontrol
  Støtte for mindst-privilegium, rollebaseret adgang, flerfaktor, hvor relevant, samt rutiner for oprettelse/afslutning og periodisk adgangsrevidering.

• Logging, sporbarhed og indsigt
  Afklar, hvad der logges (adgang, ændringer, eksport, integrationer), hvor længe, og hvordan klinikken får adgang til relevante logfiler ved afvigelser og internkontrol.

• Hændelseshåndtering og varslingsregime
  Konkrete krav til, hvornår og hvordan klinikken varsles ved sikkerhedshændelser, driftsafvigelser og sårbarheder – inklusive forventet indhold i varsler og statusopdateringer.

• Tilgængelighed, beredskab og gendannelse
  Tydelige serviceparametre (tilgængelighed, svartid, vedligeholdelsesvinduer), backup- og gendannelsesprincipper, samt klinikkens egne alternative rutiner ved nedetid.

• Ændringsstyring i skyen
  Rutiner for ændringsvarsling, vurdering af klinisk effekt, test i relevante scenarier, og beslutningspunkt for ændringer, der påvirker arbejdsflow eller dokumentationspraksis.

• Dataportabilitet og exit
  Praktisk plan for eksport/overførsel af data ved leverandørskifte, inklusive format, tidslinje, ansvar og verifikation – så virksomheden ikke bliver operationelt låst.

• Oplæring og overholdelse i hverdagen
  Sikkerhed afhænger af, at medarbejdere forstår adgang, deling, eksport, håndtering af vedhæftede filer og brugsmønstre. Der bør derfor være en konkret oplærings- og overholdelsesstruktur, ikke kun en politik.

Disse punkter handler ikke om at "mistænkeliggøre" leverandøren, men om at etablere en styrbar relation, hvor klinikken kan dokumentere kontrol – og hvor leverandøren ved, hvad der forventes.

Afsluttende betragtning

Sikkerhed i skybaserede journalsystemer er i praksis et spørgsmål om styring: Hvilke krav klinikken stiller, hvilket indsigt den har, og hvilke kontrolmekanismer der faktisk fungerer i drift. Leverandørens tekniske sikkerhed er nødvendig, men giver ikke alene klinikken kontrol over adgang, ændringer, integrationer og hændelser.

Når kravstilling, rolleafklaring og operativ opfølgning er tydelig, kan skyen give både effektivitet og høj sikkerhed. Uden dette kan sky blive en "sort boks" – ikke fordi teknologien er uforsvarlig, men fordi virksomheden mangler strukturen, der gør kontrol mulig.