Krav til integrerte verktøy
- kjetill.vassmo.lund
- Alette N. L. Olrik (Unlicensed)
Kravene til integrerte verktøy er under utabeidelse og dette er et første utkast lagt ut for innspill og kvalitetssikring.
Kvalitetskrav
Krav til verktøy og leverandør | Prioritet | Akseptansekriterie | Kommentar |
Leverandør har signert leverandørvilkår for Norsk helsenett | MÅ HA | Avtale som leverandør inngått. | Sikrer blant annet at følgende forhold er ivaretatt: leverandøren har forpliktet seg til å etterleve kravene i Norm for informasjonssikkerhet. Leverandøren har dokumentert at tjenesten blir levert og produsert i et miljø som lever opp til sektorens krav Norsk Helsenett har gjennom avtale rett til å gjennomføre revisjon hos leverandøren for å sikre at tjenestene oppfyller sektorens krav |
Leverandør har støtte for sømløs flyt fra Helsenorge til verktøy. | MÅ HA | Innbygger blir automatisk logget inn i verktøy ved overgang fra Helsenorge | løses ved å bruke Helsenorge som OpenID Connect tilbyder, slik at innbygger får single sign on fra helsenorge til verktøy. |
Verktøyet må vise pålogget bruker, representasjonsforhold og pasient ved representasjon | MÅ HA | Både pålogget bruker og pasient vises ved representasjon, samt representasjonsforholdet. | Ved representasjon kan en annen person enn pasient starte verktøyet, for eksempel foreldre til barn. Her er forelder logget på og barnet er pasienten. Ved bruk av helsenorge som identitesttilbyder er både innlogget persons og pasients fødselsnummer tilgjengelig, i tillegg til type representasjon. |
Leverandøren plikter å informere Norsk helsenett ved kjente sikkerhetshendelser i verktøyet slik at Helsenorge kan treffe tiltak for dette | MÅ HA | Rutiner etablert for å varsle om sikkerhetshendelser |
|
Leverandøren skal stille et testsystem tilgjengelig med en testbruker, slik at Helsenorge kan verifisere ende til ende funksjonalitet | MÅ HA | Testsystem tilgjengelig for Helsenorge testavdeling, så lenge løsningen er i bruk integrert med Helsenorge. | Dette er på grunn av behov for regresjonstest. |
Leverandøren har levert overordnet løsningsbeskrivelse for verktøyet | MÅ HA | Løsningsbeskrivelse som dekker arkitekturskisse med komponenter i løsningen og kortfattet beskrivelse av hvordan funksjonelle og ikke- funksjonelle krav er dekket. |
|
Leverandøren har levert overordnet plan for innføring, opplæring og support | MÅ HA | Kortfattet dokument som dekker- Plan for pilotutprøving og innføring hos navngitte brukervirksomheter- plan for opplæring og kundestøtte - Plan for videre bredding av løsningen |
|
Leverandøren har levert en dokumentert Risiko og Sårbarhetsanalyse | MÅ HA | Risiko og sårbarhetsanalyse etter krav i Normen |
|
Responstid på uthopp til verktøyet skal være på under 3 sekunder i 99% av transaksjoner. | MÅ HA | Responstid på åpning av verktøy for innlogget innbygger, inkludert single sign on | Responstid på visning av oppstartsside i videoløsning inkludert innlogging |
Løsningen skal være i overensstemmelse med gjeldende lover, forskrifter og retningslinjer | MÅ HA | Egenerklæring fra leverandør |
|
Løsninger skal utformes iht. retningslinjer og minimum krav i forskrift om Universell Utforming (UU) | MÅ HA | Egenerklæring fra leverandør | |
Løsninger skal kvalitetssikres gjennom brukertest og/eller andre metoder både i utviklingsfasen og løpende etter behov | MÅ HA | Egenerklæring fra leverandør |
|
Løsninger skal sikres og ha sikkerhetsmekanismer i henhold til god praksis. Sikkerhet i løsningen skal være beskrevet i system- og driftsdokumentasjon | MÅ HA | Egenerklæring fra leverandør | Som god praksis regnes OWASP ASVS eller tilsvarende. Normen gir føringer for dokumentasjon av sikkerhet i løsninger |
Løsninger skal etableres i tråd med prinsippene for innebygd personvern | MÅ HA | Egenerklæring fra leverandør |
|
Personopplysninger skal behandles iht. GDPR og løsningens behandling av personopplysninger og sensitive personopplysninger skal være dokumentert | MÅ HA | Egenerklæring fra leverandør | De 7 grunnleggende personvernprinsippene: Lovlig, rettferdig og gjennomsiktig, Formålsbegrensning, Dataminimering, Riktighet, Lagringsbegrensning, Integritet og fortrolighet, Ansvarlighet |
Tilgjengelighet for løsningen skal være på minst 99% innenfor oppetid til brukergruppen som benytter løsningen | MÅ HA | Leverandøren kan vise dokumentert oppetid |
|
Vurdering av behov for CE merking er tilgjengelig for Norsk Helsenett | MÅ HA | Egenerklæring fra leverandør |
|
Dersom verktøyet er vurdert å kreve CE merking er denne gjort tilgjengelig for Norsk helsenettt | MÅ HA | Leverandøren oversender CE godkjenning til Norsk Helsenett | Helsenorge vil ikke ta risiko ved å kople opp integrerte verktøy som krever CE merking uten å ha denne dokumentert. |
Spesifikke krav til videoløsninger
Krav til integrasjonsparten | Prioritet | Akseptansekriterie | Kommentar |
Videoleverandør har fylt ut sjekklisten i faktaark 54 fra Normen: https://ehelse.no/normen/faktaark/faktaark-54-videokonsultasjon | MÅ HA | Faktaark er fylt ut og godkjent av Helsenorge | Faktaark 54 har en sjekkliste for videoleverandører som skal fylles ut og godkjennes av Helsenorge |
Videoleverandør bør tilby referanse til brukerveiledning på produktnivå, slik at Helsenorge har tilgang på dette | BØR HA | Referanse til brukerveiledning tilgjengelig | Vises til inbygger i brukerflaten på Helsenorge |
Videoløsningen skal kunne startes fra en lenke i Helsenorge, slik at innbygger kan gå direkte fra Helsenorge til videoløsning | MÅ HA | Innbygger kan starte videoløsning fra helsenorge | Kun løsninger som er tilgjengelig fra en lenke vil kunne startes fra Helsenorge |
Dersom videoløsningen tilbyr en app bør overgang fra nettside til app håndteres av videoløsning | BØR HA | Innbygger blir ledet over til app dersom videoleverandør foretrekker dette | Dersom videoløsning foretrekker at konsultasjon skjer i en app, må lenken som innbygger ledes til verifisere enhet som innbygger bruker og lede til app eller egnet app-store for nedlasting |
Videoløsningen bør kunne sende en påminnelse til innbygger i forkant av timen | BØR HA | Innbygger mottar en påminnelse i forkant av videokonsultasjon |
|
Dersom videoløsningen krever informasjon om timeavtalen, er videoløsningen integrert med behandlers timebok slik at behandler slipper å vedlikeholde avtalen i to systemer | BØR HA | Timeavtalen er tilgjengelig automatisk i videoløsning etter opprettelse i timebok. En avtale som kommer fra EPJ skal ikke kunne endres direkte i videosysemet med mindre det er 2 veis oppdatering. | Timebok ligger typisk som del av EPJ og er typisk master for avtalene. |
Dersom videoløsningen krever informasjon om pasienten, er videoløsningen integrert med behandlers pasientadministrative system slik at behandler slipper å vedlikehold i to systemer | BØR HA | Pasientinformasjon er tilgjengelig i videoløsning. |
|
Videoløsningen bør tilby selvtest av nettverk, kamera og lyd slik at innbygger kan bekrefte at teknisk oppkopling fungerer før konsultasjon | BØR HA | Innbygger kan teste nett, lyd og kamera i forkant av konsultasjon |
|
Spesifikke krav til løst integrerte videoløsninger
Krav til integrasjonsparten | Prioritet | Akseptansekriterie | Kommentar |
Videoløsningen må tilby et venterom som innbygger kommer til ved innlogging i videoløsning | MÅ HA | Innbygger kommer til venterom ved oppstart av videosamtale |
|
Videoløsningen bør tilby køstatus og vise forsinkelse slik at innbygger kan se forventet ventetid | BØR A | Innbygger kan se køstatus eller forventet ventetid |
|
Videoløsningen bør tilby API for å vise videotid/drop-in perioder som er tilgjengelig, slik at innbygger vet om det er hensiktsmessig å stille seg i videoventerom | BØR HA | Videoløsningen tilbyr FHIR API for å hente videotid i henhold til spesifikasjon fra Helsenorge |
|
Venterom bør ha funksjonalitet for å støtte drop-in videokonsultasjoner | BØR HA | Innbygger kommer til venterom ved oppstart av videosamtale |
|
Spesifikke krav til tett integrerte videoløsninger
Krav til integrasjonsparten | Prioritet | Akseptansekriterie | Kommentar |
Videoløsningen bør tilby et venterom som innbygger kommer til ved innlogging i videoløsning | BØR HA | Innbygger kommer til venterom ved oppstart av videosamtale |
|
Ende til ende løsningen med timebok, videoløsning og Helsenorge er verifisert og gir en god flyt for innbygger og Helsepersonell | MÅ HA | God flyt for innbygger og helsepersonell |
|
Videotimen som er tilgjengelig i Helsenorge (fra timebok) må inneholde timetype (Video), videoprodukt og video URL. | MÅ HA | En videotime på Helsenorge inneholder timetype, videoprodukt og URL. | Timetype benyttes for å vise at dette er en videotime. Videoprodukt benyttes for å vise tilgjengelig funksjonalitet i løsningen og kunne validere URL |
Aktøren som tar i bruk tett integrert video har løsning og rutine for å verifisere at kun godkjente videoløsninger benyttes og validering av lenken som sendes til Helsenorge | MÅ HA | Informasjon som sendes til Helsenorge er validert mot godkjente lenker og videoprodukt |
|