VDX-BRUGERGRUPPEMØDE TID: Den 7. maj 2018 kl. 10.00 14.00 STED: MedCom, Mødelokale C, Forskerparken 10, 5230 Odense M VIDEOMØDERUM: Via videokonferenceudstyr: tgj@rooms.medcom.dk DELTAGERE: Rikke Kirkensgaard, Region Midtjylland (formand) Claus Terkelsen, Region Syddanmark Lisbeth Jørgensen Region Syddanmark Ole Gram, Region Hovedstaden Keld Kjær Hansen, Region Midtjylland Nicolai Silas Høyer, Region Midtjylland Claus Jeppesen, Region Midtjylland Halfdan Eika, Region Midtjylland Morten Holm Andersen, Region Sjælland René Juul Petersen, Københavns Kommune Lone Høiberg, MedCom Bruno Juel Pedersen, MedCom Peder Illum, MedCom Jens Rahbek Nørgaard, MedCom Per Abildgaard, MedCom Jesper Søderberg Knudsen, MedCom Tanja Gerner Jusslin, MedCom (referent) AFBUD: Lasse Melbye, Region Hovedstaden Stefan Nicolaisen, Århus Kommune Hans Paulsen, Region Syddanmark Dennis Davidsen, Region Nordjylland Martin Bagger Brandt, PLO Jacob Gaarde, sundhed.dk REFERAT 1. Godkendelse af dagsorden v/ Rikke Kirkensgaard (beslutning) Rikke orienterede om, at brugergruppen har fået et nyt medlem fra Århus Kommune. Stefan havde dog ikke mulighed for at deltage. Dagsordenen blev godkendt. 2. Opfølgning fra seneste møde v/ Rikke Kirkensgaard (orientering) Status på arbejde med fællesoffentlig databehandleraftale Peder orienterede om, at sidste møde er afholdt i arbejdsgruppen om den fællesoffentlige databehandleraftale og endeligt forslag er udarbejdet. Forslaget vil blive behandlet i en skriftlig høring i den nationale bestyrelse for sundheds-it. Målet er, at skabelonen skal bruges mellem de offentlige parter eksempelvis mellem region og kommune. Peder håber, at man med skabelonen kommer en standardisering nærmere til trods for, at der efterhånden eksisterer mange skabeloner. Vedlagt notat om, hvordan skabelonen tænkes anvendt. Peder orienterede om, at MedCom er i gang med at udfylde skabelonen for VDX. 1
Resultat af møde om offentliggørelse af IP-adresser og kommunikation til organisationerne Per fortalte, at IP-adresserne nu ligger som en versionsstyret XML på MedComs hjemmeside og offentliggørelsen er kommunikeret til kontaktpersonerne for organisationer med decentrale konferenceservere. Der var i brugergruppen interesse for at udvide XML med portåbninger. Brugergruppen anmodede om, at MedCom udsender mail, når der sker ændringer i IP-adresser og portåbninger til de registrerede tekniske kontaktpersoner. Status på kommunale repræsentanter i Halfdan opfordrede til, at regionerne tager fat i fælleskommunale samarbejder for udpegning af eventuelt manglende kommunale repræsentanter. Der er i brugergruppen plads til op til 5 repræsentanter. Flytning til nyt IP-scope er aflyst Peder orienterede om, at flytning til nyt IP-scope er aflyst. Det blev vurderet, at merværdien ikke stod mål med omkostninger ved en flytning. Samarbejdsaftalen om decentral konferenceserver Peder orienterede om, at samarbejdsaftalen eventuelt vil blive justeret på baggrund af databehandleraftalen samt præciseringen af MedComs rolle jf. punkt 10. Workshop om brugeradministration, herunder vejledninger Jesper spurgte til fortsat ønske om workshop med baggrund i, at brugeradministrationen er under udvikling med et VDX-API. Der var enighed om at udskyde workshoppen samt udarbejdelse af vejledning. Jesper stiller sig ved behov til rådighed med hjælp og vejledning. 3. Meddelelser med relevans for VDX v/ (orientering) Status på projekt om guidet egenbeslutning (GEB), herunder portalløsning med sundhed.dk Peder orienterede om, at ansøgningen er kommet gennem til 2. runde. Næste skridt er præsentation for Innovationsfonden den 17. maj 2018. Udviklingen indbefatter borgerens validering og adgang til videokonferencer. I første omgang laver MedCom en portal, som forventes at kunne trække på borgerens aftaler på NSP en, og som kan sende borgeren videre til sundhed.dk og GEB. Når sundhed.dk er klar, vil VDX-portalen også kunne modtage borgeren herfra. Peder fortalte om baggrund for og udviklingsperspektiver for dialogen med en specifik leverandør, som har erfaring med relevante NSP-løsninger. Udmelding til / håndtering af private leverandører v/ Peder Illum Peder fortalte, at håndteringen hovedsageligt foregår bilateralt med de enkelte organisationer, hvorfor der endnu ikke er lavet eller eventuelt er behov for en central udmelding. Besøg af Rigsrevision i maj 2018 Bruno orienterede om besøg fra Rigsrevisionen i maj som opfølgning om it-revisionen af SDN ultimo 2015. 2
Telefon-gateway Peder orienterede om baggrund for og igangværende højtprioriterede proces, så det igen er muligt at ringe ind i møderum via telefon. Telefonnummeret vil blive et andet end tidligere. Peder orienterede endvidere om midlertidig løsning med installation af klient. 4. Status og opfølgning på drift, servicemål og KPI er herunder evaluering af eventuelle hændelser v/ Rikke Kirkensgaard og Peder Illum (orientering) Peder orienterede om VDX-driftsstatus og udvikling i KPI er i den seneste periode: VDX havde den 12. marts 2018 et major incident pga. tab af licensen på Pexip fra managementserveren. KPI om licenstræk viser, at der aktuelt ikke er kapacitetsudfordringer. Grunden til periodevise høje peakniveauer er SIP-attacks. Disse er hovedsageligt en gene statistikmæssigt men skulle ikke have økonomiske konsekvenser, da der ikke er tale om reelt licensforbrug - eller driftsmæssige konsekvenser pga. graceperiode. Tog status på drift, licenstræk og VDX-anvendelse til efterretning 5. Fælles NTP-server for sikring af ens tidsstempling? v/ Peder Illum (drøftelse) Brugergruppen drøftede en fælles NTP-server for sikring af ens tidsstempling på tværs af organisationer og for forebyggelse af hændelser. René foreslog at anvende en NTP-server fra TDC. TDC er i forvejen leverandør til mange organisationer og har 2-3 officielle NTP-servere. René vil undersøge muligheden og vende tilbage til MedCom. Nicolai undersøger endvidere, om der er krav fra sikkerhedsfunktion i Region Midtjylland. Ofte accepterer organisationer ikke at åbne op for en ekstern NTP-server, hvis det ikke er del af de tekniske krav. Ved implementering af en fælles TDC-NTP-server vil der skulle opstartes en proces med udmelding til organisationer med decentrale konferenceservere for åbning af udgående porte. Den fælles NTP-server vil endvidere skulle indskrives som krav i tekniske vejledninger. Efter mødet har der været dialog med de relevante parter og en fælles TDC-NTP-server er implementeret. Var enige i at forfølge og om muligt implementere en fælles TDC-NTP-server 6. Udvikling af VDX v/ Rikke Kirkensgaard (beslutning) Rikke præsenterede status på udviklingsønsker, hvor udviklingen af et VDX-API har højeste prioritet sammen med en policy server. Der er ikke indkommet yderligere udviklingsønsker. 3
Peder orienterede om, at MedCom efter mødet har haft indledende dialog med potentielle leverandører om udvikling, support og vedligehold af VDX-API et samt udvikling af VDX-portalen til GEBprojektet (guidet egenbeslutning). Den overordnede tidsplan for VDX-portalen er: September 2018: Kravspecifikation og design udarbejdet September - oktober 2018: Udvikling, brugertests, dokumentation - herunder for etablering af integrationer 15. oktober 2018: Idriftsættelse Oktober 2018 - : Opfølgning på brugererfaringer og tilretning VDX-API et er forudsætning for VDX-portalen. Derfor skal VDX-API et være klar til september. I udviklingen indtænkes test af design og af brugerfladen. Claus T, Claus J, Nicolai og Amalie vil gerne bidrage og vil gerne involveres så tidligt så muligt, hvor det giver mening. Endvidere skal også indtænkes tests hos systemhuse eksempelvis BookPlan. Region Midtjylland vil gerne hjælpe med at få etableret kontakt til og prioriteret opgaven. Jesper arbejder aktuelt på et PoC for VDX-API et, hvor der vil være en brugergrænseflade til booking, administration og audit. I dette arbejde er opstået nogle arkitekturmæssige overvejelser for VDX-API et, som aktuelt er bygget til Synergy SKY. Synergy SKY blev indkøbt på et tidspunkt, hvor der var mange videoplatforme i spil. Nu er der sket en konsolidering på Pexip. Derfor vil arkitekturen blive enklere, hvis API et bliver bygget direkte til Pexip. Den største udfordring ved at bygge direkte til Pexip vil være, at der skal udvikles et statistikmodul eksempelvis via en tredjepartsløsning inkl. brugergrænseflade. Der var enighed om at forfølge denne forenkling. Peder orienterede om, at Synergy SKY vil kunne anvendes i en overgangsperiode, indtil API et er fuldt funktionelt inkl. brugergrænsefladen til statistik. Claus T spurgte til muligheder for alment praktiserende læger, hvis lægesystemleverandør ikke ønsker at lukke op for VDX og/eller videokommunikation. Jesper orienterede om, at det vil være en manuel proces / lokal løsning for den enkelte læge. Halfdan spurgte til finansieringen og budget. Der var enighed om, at udviklingen af VDX-API et og VDXportalen er så højt prioriteret, at de anbefales gennemført, selvom det medfører underskud i nuværende budgetår. Det kan betyde, at budgettet for kommende års VDX-udvikling anvendes til disse projekter, hvorfor der ikke de kommende år vil være samme budget til rådighed for udvikling. Hvis GEB-projektet går igennem, vil funding til portalløsningen være sikret. Endvidere vil der også være en vis funding til opfølgning på brugerønsker og udvikling inden for projektet. Claus J. spurgte til policy-serveren. Jesper fortalte, at det principielt er noget, som MedCom selv kan sætte op, når der er ressourcemæssigt råderum. Næste deadline for indsendelse af udviklingsønsker er 1. november 2018. Tog status på udviklingsønsker og VDX-API til orientering 4
7. SDN/VDX-temadag 2018 v/ Rikke Kirkensgaard (drøftelse) Brugergruppen kom med følgende forslag til temaer / indlæg på temadagen: Status på GEB-projektet og VDX-API Udrulning af teletolkning i almen praksis + andre projekter fra RSD v/ Claus og Lisbeth 8. VDX på MedComs hjemmeside v/ Rikke Kirkensgaard (drøftelse) Brugergruppen udtrykte, at der aktuelt ikke er mangler på hjemmesiden. Det vil altid være muligt at sende eventuelle forbedringsmuligheder eller rettelser til vdx@medcom.dk 9. Status på VDX-ordning v/ Rikke Kirkensgaard (drøftelse) På MedComs styregruppe den 20. juni 2018 skal der fremlægges en foreløbig status på VDX. Status forventes at inkludere følgende emner: 1. Baggrund, udvikling i anvendelse og licensforbrug 2. Status på brugerkredsens strategiske overvejelser om anvendelse af VDX, herunder igangværende projekter og projekter i pipeline 3. Kommende større og strategiske projekter VDX-API, GEB-projektet og MedCom11-projekt For punkt 2 om brugerkredsens overvejelser genbesøgte og justerede brugergruppen sidste status: Region Syddanmark: Det er besluttet at anvende VDX mod almen praksis Grønland: VDX vil blive anvendt fællesoffentligt Københavns Kommune: Det er besluttet at anvende VDX tværoffentligt Region Midtjylland: Det forventes at anvende VDX mod eksterne parter, herunder borgere Region Hovedstaden: Det forventes også her at anvende VDX tværoffentligt og mod borgeren Region Sjælland: Aktuelt ses på muligheder for at anvende bl.a. VDX mod almen praksis, fordi Cisco Spark, som ellers var udset til udrulning, ikke kan garantere, at data bliver i EU Region Nordjylland: N/A For punkt 3 var der i brugergruppen opbakning til at anbefale at opstarte MedCom 11-projektet om video i praksis eksempelvis i efteråret 2018. Baggrunden er, at der er mange igangværende projekter, og da MedCom 11-projektet bl.a. fokuserer på business case, vil det være hensigtsmæssigt at opstarte tidligere for at få høste så mange erfaringer som muligt. Eksempelvis er video implementeret hos 200 alment praktiserende læger i Region Syddanmark. Jens orienterede om, at der til Folkemødet på Bornholm vil være en paneldebat om borgerrettet video, som også kan være med til at kvalificere projektet. Det blev aftalt, at hvis der er nyt hos organisationerne om Cisco Spark, vil parterne dele det med hinanden. Indmelder eventuelle ændringer i status samt relevante projekter 5
10. MedComs rolle som systemforvalter v/ Peder Illum (drøftelse) Peder præsenterede overvejelser ud fra erfaringer fra SDN om ændring i MedComs rolle som systemforvalter for at sikre en mere entydig og klar rolle- og ansvarsfordeling mellem rollen som henholdsvis systemforvalter, databehandler og dataansvarlig. Rollen som systemforvalter koncentrer sig om arbejdet med kontraktstyring, opfølgning på drift, udvikling og vedligehold mv. - og jf. kontrakten med leverandøren. Opfølgning på databehandleraftalen bliver herved mere entydigt et anliggende mellem de dataansvarlige og databehandleren Der vil dog være opgaver, som giver god mening at udføre med MedComs systemforvalterteam som tovholder. Det kan eksempelvis være: Praktisk arbejde med udarbejdelse af forslag til databehandleraftaler, opfølgning m.v. Praktisk arbejde med vedligeholdelse af kontaktpersoner Kommunikation ved beredskab med brud på tilgængelighed Kommunikation om ændringer / servicemeddelelser Gennemførelse af årlig risikovurdering Facilitering af en årlig it-revision Aftalekomplekset for VDX forventes at bestå af en databehandleraftale samt samarbejdsaftalen, som afspejler de kommercielle forhold. Her indsamler MedCom personoplysninger om kontaktpersoner, som MedCom bliver dataansvarlig for. Ændringen vil skulle drøftes med bl.a. leverandørerne og evt. FSI. Forslag til databehandleraftale forventes fremlagt på næste VDX-brugergruppemøde. Tog orienteringen til efterretning 11. Håndtering af databehandleraftale med alment praktiserende læger v/ Peder Illum (orientering) blev præsenteret for overvejelser om håndtering af databehandleraftale med alment praktiserende læger. Foreløbige overvejelser følger nedenstående spor: Den praktiserende læge tilslutter sig den databehanderaftale, som eksempelvis regionen har indgået med databehandleren eksempelvis med afsæt i et fælles dataansvar Den alment praktiserende læge indgår databehandleraftale med databehandleren direkte med afsæt i eksempelvis skabelonen til den fællesoffentlige databehandleraftale eller PLOdatabehandleraftalen, som omfatter kommunikation og datatransmission til nødvendige tekniske sundhedstjenester via legale transportører og til legale modtagere. Region Syddanmark vil tage kontakt til regionale jurister angående muligheder. Endvidere var der enighed om, at det vil være formålstjenligt at kontakte Datatilsynet. 6
12. Kryptering af videotrafikken v/ Ole Gram (drøftelse) Ole fortalte om drøftelse i den tværregionale tekniske videoerfagruppe om indførelse af tvungen kryptering af video bl.a. med afsæt i Persondataloven / Databeskyttelsesloven. Der er i det fleste organisationer indført procedure om, at klinikerne skal sikre sig, at forbindelsen er krypteret, når de behandler følsomme personoplysninger. Ved indførelse af tvungen kryptering vil klinikerne ikke behøve at huske og tage stilling til den specifikke anvendelse af video. Ole fortalte, at Region Hovedstaden på den baggrund er gået i gang med foreløbige tests. Der var enighed om, at beslutning om tvungen kryptering skal behandles højere oppe i de enkelte organisationer. Brugergruppens medlemmer vil ved behov kunne bidrage med viden om, hvad der skal til, konsekvenser ved tvungen kryptering eksempelvis øget supportbyrde, økonomi og risikoen ved ikke at indføre tvungen kryptering. Det blev besluttet foreløbigt at følge Region Hovedstadens testarbejde med en status på næste møde. René foreslog også at bruge VDX-testkald. Besluttede en status om test af tvungen endepunktskryptering på næste møde 13. IT-revision 2017 v/ Rikke Kirkensgaard (orientering) Peder præsenterede resultatet af den uafhængige it-revision og forslag til ledelseskommentar inkl. handleplan. Revisionen angår hovedsageligt SDN men indbefatter også skanning af VDX og angår de samme leverandører. Tog erklæring 2017 samt ledelseskommentar til efterretning 14. Risikovurdering 2018 v/ Rikke Kirkensgaard (drøftelse) Peder præsenterede status på risikovurdering 2018 for SDN/VDX med fokus på brugergruppens vurdering af konsekvens ved brud på tilgængelighed, fortrolighed og integritet. Peder præsenterede endvidere overvejelser om ændring af politikken og proceduren for risikostyring: Konsekvens og sandsynlighed er aktuelt opdelt i kun tre niveauer. Det gør, at det er vanskeligt at se, når en risiko mitigeres og flytter sig Endvidere overvejes at lave risikovurderinger på system-niveau i stedet for VDX som helhed. Et eksempel kunne her være telefon-gatewayen. Målet vil her være at gøre risici og handleplan mere konkret. Tog orientering til efterretning og godkendte konsekvensvurderingen 7
15. Næste møder v/ Rikke Kirkensgaard (beslutning) Kommende møder: Den 27. august 2018 kl. 10 14 Den 5. november 2018 kl. 10 14 16. Eventuelt v/ Rikke Kirkensgaard Intet under punktet. 8