বিষয় 1.7 — তথ্য গভর্ন্যান্স, ডেটা সুরক্ষা ও সাইবার নিরাপত্তা

স্বাস্থ্য ও পরিচর্যায় তথ্য সুরক্ষা পরিচর্যা প্রদান থেকে অবিচ্ছেদ্য: যে ডেটা একটি প্রাণ বাঁচায় তা-ই ভুলভাবে সামলালে সেই আস্থা ভেঙে দিতে পারে যা চিকিৎসাকে সম্ভব করে, তাই আপনি কীভাবে তা শাসন, ভাগ ও সুরক্ষিত করেন তা একটি ক্লিনিক্যাল, নৈতিক ও জনগণের-আস্থার বাধ্যবাধকতা, সম্মতির পরে-ভাবা বিষয় নয়।

স্বাস্থ্য ও পরিচর্যায় কেন এটি গুরুত্বপূর্ণ#

স্বাস্থ্য ও পরিচর্যার ডেটা একজন মানুষ কখনো যে সবচেয়ে সংবেদনশীল তথ্য তৈরি করবেন তার অন্যতম। এটি রোগ নির্ণয়, ওষুধ, মানসিক-স্বাস্থ্য পর্ব, যৌন স্বাস্থ্য, অভিবাসন-সংযুক্ত অধিকার এবং দুর্বল ও ঝুঁকিপূর্ণ জীবনের অন্তরঙ্গ বিবরণ রেকর্ড করে। মানুষ এসব চিকিৎসকদের কাছে প্রকাশ করেন একটি অন্তর্নিহিত প্রতিশ্রুতিতে: তথ্য তাঁদের সাহায্য করতে ব্যবহৃত হবে এবং অসতর্কভাবে ছড়ানো হবে না। যখন সেই প্রতিশ্রুতি ভাঙে, ফাঁস, র‍্যানসমওয়্যার বিভ্রাট বা অব্যাখ্যাত ডেটা-ভাগের চুক্তির মাধ্যমে, রোগীরা তথ্য গোপন করেন, রেকর্ড থেকে বেরিয়ে যান, বা পরিচর্যাই এড়িয়ে চলেন। এটি একটি বিমূর্ত ক্ষতি নয়; এটি সরাসরি ক্লিনিক্যাল নিরাপত্তা ও জনস্বাস্থ্যকে ক্ষয় করে।

ঝুঁকি পরিচালনগতও। একটি আধুনিক হাসপাতাল তার ইলেকট্রনিক সিস্টেম ছাড়া চলতে পারে না: অর্ডার যোগাযোগ, ফলাফল, ই-প্রেসক্রাইবিং, ইমেজিং ও রোগী প্রশাসন সবই ডিজিটাল। সেই সিস্টেম বসে গেলে, অ্যাম্বুলেন্স গতিপথ বদলায়, অস্ত্রোপচার বাতিল হয়, এবং চিকিৎসকরা কাগজে ফিরে যান এমনভাবে যা নিজস্ব ভুল ঘটায়। তাই তথ্য গভর্ন্যান্স ও সাইবার নিরাপত্তা পরিচর্যার-ধারাবাহিকতার শৃঙ্খলা। এগুলো ক্লিনিক্যাল নিরাপত্তার (বিষয় 1.6 — ক্লিনিক্যাল নিরাপত্তা ও ঝুঁকি ব্যবস্থাপনা) পাশে বসে, আলাদা সম্মতি সাইলোতে নয়।

সবশেষে, এই বিষয়ের কেন্দ্রে একটি প্রকৃত ও অনিবার্য টানাপোড়েন আছে। জনগণ ন্যায্যভাবেই প্রত্যাশা করে স্বাস্থ্যসেবা পরিচর্যা উন্নত করতে, সেবা পরিকল্পনা করতে এবং আগামীকালের চিকিৎসা খুঁজে বের করা গবেষণা সমর্থন করতে ডেটা ব্যবহার করবে। এটি গোপনীয়তা ও নিয়ন্ত্রণও প্রত্যাশা করে। এই লক্ষ্যগুলো পরস্পরের বিপরীতে টানে, এবং একজন নেতা হিসেবে আপনার কাজ টানাপোড়েন অস্বীকার করা নয়, তা প্রকাশ্যে পরিচালনা করা: বৈধ ব্যবহার সক্ষম করা, আর সুরক্ষা ও রোগীদের পছন্দ দৃশ্যমান ও সৎ করা। ভারসাম্য যেকোনো দিকে ভুল করলে আপনি হারেন: হয় আপনি পরিচর্যা ও গবেষণাকে ডেটা থেকে বঞ্চিত করেন, নয়তো সমগ্র ব্যবস্থা যে আস্থার ওপর নির্ভর করে তা ক্ষয় করেন।

মূল ধারণা#

এই ক্ষেত্রের ভিত্তিতে আছে তথ্য গভর্ন্যান্সের শৃঙ্খলা: নিয়ম, ভূমিকা ও নিয়ন্ত্রণের সেই কাঠামো যার মাধ্যমে একটি প্রতিষ্ঠান আইনসম্মত, নিরাপদ ও নৈতিকভাবে তথ্য সামলায়। যুক্তরাজ্যে প্রাথমিক আইনি ভিত্তি হলো UK General Data Protection Regulation (UK GDPR), ব্রেক্সিটের পর বজায় রাখা EU রেগুলেশনের অভ্যন্তরীণ সংস্করণ, এবং তার পরিপূরক Data Protection Act 2018 (DPA 2018)। একত্রে এগুলো দাবি করে ব্যক্তিগত তথ্য আইনসম্মত, ন্যায্য ও স্বচ্ছভাবে প্রক্রিয়াকৃত হবে এবং প্রতিটি প্রক্রিয়াকরণ কার্যক্রম একটি বৈধ ভিত্তির ওপর দাঁড়াবে। স্বাস্থ্য তথ্য বিশেষ-বিভাগ ডেটা, যার জন্য Article 6-এর অধীনে একটি বৈধ ভিত্তি এবং Article 9-এর অধীনে একটি অতিরিক্ত শর্ত দুটোই দরকার, সরাসরি পরিচর্যার জন্য সাধারণত গোপনীয়তার দায়িত্বের অধীনে একজন পেশাদার দ্বারা স্বাস্থ্য বা সামাজিক পরিচর্যা প্রদান।

ডেটা সুরক্ষা আইনই একমাত্র সীমাবদ্ধতা নয়। গোপনীয়তার সাধারণ-আইনি দায়িত্ব একটি আলাদা, পুরোনো বাধ্যবাধকতা: আস্থায় দেওয়া তথ্য সম্মতি, আইনি আবশ্যকতা বা প্রধান জনস্বার্থ ছাড়া প্রকাশ করা যায় না। আপনি UK GDPR-এ সম্পূর্ণ সম্মত হয়েও গোপনীয়তা লঙ্ঘন করতে পারেন, তাই উভয়ই পূরণ করতে হবে।

দুটি স্বাস্থ্য-নির্দিষ্ট কাঠামো এই দায়িত্বগুলোকে চর্চায় অনুবাদ করে। Caldicott Principles, গোপনীয় রোগী তথ্য সামলানোর নীতিমালা (এখন আটটি), যা প্রথম ১৯৯৭ সালের Caldicott Report-এ নির্ধারিত, প্রতিটি প্রতিষ্ঠানের ভেতরে বহাল রাখেন একজন Caldicott Guardian, রোগীর গোপনীয়তা রক্ষা ও যথাযথ তথ্য ভাগ সক্ষম করার দায়িত্বপ্রাপ্ত একজন জ্যেষ্ঠ ব্যক্তি। জাতীয় পর্যায়ে, National Data Guardian for Health and Social Care (NDG) রোগীর ডেটা কীভাবে ব্যবহৃত ও সুরক্ষিত হওয়া উচিত তা নিয়ে পরামর্শ দেওয়া একটি স্বাধীন সংবিধিবদ্ধ কণ্ঠ। জাতীয় ডেটা অপ্ট-আউট রোগীদের তাঁদের গোপনীয় তথ্য পরিকল্পনা ও গবেষণার মতো তাঁদের সরাসরি পরিচর্যার বাইরের উদ্দেশ্যে ব্যবহৃত হওয়া ঠেকানোর একটি ব্যবস্থা দেয়, এবং প্রতিষ্ঠানগুলোকে তা মানতে হবে।

পরিচালনগতভাবে, একটি Data Protection Impact Assessment (DPIA) হলো সেই কাঠামোবদ্ধ মূল্যায়ন যা আপনি উচ্চ-ঝুঁকিপূর্ণ হওয়ার সম্ভাবনাসহ প্রক্রিয়াকরণের আগে সম্পন্ন করেন, যা বেশির ভাগ নতুন স্বাস্থ্য ডেটা প্রকল্প, গোপনীয়তার ঝুঁকি চিহ্নিত ও প্রশমিত করতে। প্রতিটি প্রতিষ্ঠানকে একজন Data Protection Officer (DPO) নিয়োগ করতে হবে, সম্মতি বিষয়ে পরামর্শ ও পর্যবেক্ষণের দায়িত্বপ্রাপ্ত একটি স্বাধীন ভূমিকা। ইংল্যান্ডে, Data Security and Protection Toolkit (DSPT) হলো বার্ষিক স্ব-মূল্যায়ন যার মাধ্যমে স্বাস্থ্য ও পরিচর্যা প্রতিষ্ঠান দেখায় তারা NHS ডেটা সামলাতে প্রয়োজনীয় ডেটা-নিরাপত্তা ও তথ্য-গভর্ন্যান্স মান পূরণ করে।

নিরাপত্তার দিকে, National Cyber Security Centre (NCSC) প্রামাণ্য যুক্তরাজ্য নির্দেশিকা দেয় এবং তার Cyber Assessment Framework (CAF)-এর মাধ্যমে সাইবার স্থিতিস্থাপকতা মাপার একটি কাঠামোবদ্ধ উপায় দেয়। সুষ্ঠু চর্চা সুপ্রতিষ্ঠিত মৌলিক বিষয়ের ওপর দাঁড়িয়ে: গভীরে প্রতিরক্ষা, যেখানে একাধিক নিয়ন্ত্রণ স্তরে সাজানো থাকে যাতে কোনো একক ব্যর্থতা বিপর্যয়কর না হয়; ন্যূনতম সুবিধার নীতি, মানুষ ও সিস্টেমকে কেবল প্রকৃত প্রয়োজনীয় প্রবেশাধিকার দেওয়া; শৃঙ্খলাবদ্ধ প্যাচিং ও পরীক্ষিত ব্যাকআপ; এবং র‍্যানসমওয়্যার, যে ম্যালওয়্যার চাঁদাবাজির জন্য সিস্টেম এনক্রিপ্ট করে, তার জন্য প্রস্তুতি। কেবল প্রতিরোধ কখনো ধরে রাখতে পারে না বলে, পরিপক্ব প্রতিষ্ঠান অপারেশনেও বিনিয়োগ করে: একটি নিরাপত্তা অপারেশন সেন্টার (SOC), অনুপ্রবেশ শনাক্ত ও সীমিত করতে লগ ও টেলিমেট্রি পর্যবেক্ষণকারী একটি সামর্থ্য, ঘরোয়া হোক বা ভাগ করা, এবং শনাক্তকরণ থেকে পুনরুদ্ধারে দ্রুত যেতে একটি অনুশীলিত ঘটনা সাড়া প্রক্রিয়া। ২০১৭ সালের WannaCry র‍্যানসমওয়্যার আক্রমণ, যা ইংল্যান্ডের প্রায় এক-তৃতীয়াংশ NHS ট্রাস্ট বিপর্যস্ত করে এবং আনুমানিক £৯২ মিলিয়ন প্রভাব ফেলে, সংজ্ঞায়িত সতর্কতামূলক উদাহরণ হয়ে আছে: এর ক্ষতি মূলত প্যাচবিহীন সিস্টেম থেকে এসেছিল, কোনো অভিনব হ্যাকিং থেকে নয়।

শ্রেষ্ঠ চর্চা#

1. প্রতিটি ডেটা প্রকল্প DPIA দিয়ে শুরু করুন, এবং একে কাগজপত্র নয়, নকশা হিসেবে দেখুন। ব্যক্তিগত তথ্য প্রক্রিয়াকরণ করে এমন কিছু গড়া বা ক্রয়ের আগে আপনার DPO ও Caldicott Guardian-এর সঙ্গে একটি Data Protection Impact Assessment-এ কাজ করুন। আগেভাগে করা হলে, তা ইতিমধ্যে নেওয়া সিদ্ধান্তে রাবার স্ট্যাম্প না দিয়ে নকশা আকার দেয়: সংগৃহীত ডেটা ন্যূনতম করা, ছদ্মনামকরণ বেছে নেওয়া, প্রবেশাধিকার কঠোর করা। গো-লাইভ পর্যন্ত রেখে দেওয়া একটি DPIA একটি সতর্কসংকেত যে গভর্ন্যান্স নাটক।

2. আপনার বৈধ ভিত্তি ও গোপনীয়তার ভিত্তি স্পষ্টভাবে নাম দিন এবং লিখে রাখুন। স্বাস্থ্য ডেটার প্রতিটি প্রবাহের জন্য Article 6 বৈধ ভিত্তি, Article 9 বিশেষ-বিভাগ শর্ত, এবং গোপনীয়তার সাধারণ-আইনি দায়িত্ব কীভাবে পূরণ হয়, সম্মতি, সংবিধিবদ্ধ প্রবেশদ্বার বা জনস্বার্থ, তা বলুন। এখানে অস্পষ্টতা সেই জায়গা যেখানে প্রকল্প থমকে যায় বা লঞ্চের পর টেনে নামানো হয়। স্পষ্ট হওয়া আপনাকে রোগীদের কাছে সরল ভাষায় প্রক্রিয়াকরণ ব্যাখ্যা করতেও দেয়, যা নিজেই একটি আইনি আবশ্যকতা।

3. সর্বত্র ন্যূনতম সুবিধা ও ভূমিকা-ভিত্তিক প্রবেশাধিকার প্রয়োগ করুন। চিকিৎসক, প্রশাসক, গবেষক ও সিস্টেমকে কেবল তাদের ভূমিকার প্রয়োজনীয় প্রবেশাধিকার দিন, এবং মানুষ সরে গেলে ও ছাড়লে নিয়মিত পর্যালোচনা করুন। সংবেদনশীল রেকর্ডে প্রবেশাধিকার লগ করুন ও নিরীক্ষা করুন, কারণ শনাক্ত হওয়ার বিশ্বাসযোগ্য হুমকি যেকোনো প্রযুক্তিগত নিয়ন্ত্রণের মতোই অনুপযুক্ত কৌতূহল দমন করে। বাস্তব-জগতের বেশির ভাগ লঙ্ঘন সাধারণ: ভুল মানুষ ভুল রেকর্ড দেখছে, পরিশীলিত অনুপ্রবেশ নয়।

4. উন্নত হাতিয়ার কেনার আগে সাইবার মৌলিক বিষয় ঠিক করুন। NCSC-র নির্দেশিকা অগ্ল্যামারাস ও কার্যকর: তাৎক্ষণিকভাবে প্যাচ করুন, বিশেষত ইন্টারনেট-মুখী ও ক্লিনিক্যাল সিস্টেম; মাল্টি-ফ্যাক্টর প্রমাণীকরণ প্রয়োগ করুন; নেটওয়ার্ক বিভক্ত করুন যাতে সংক্রমণ অবাধে ছড়াতে না পারে; এবং অফলাইন, পরীক্ষিত ব্যাকআপ রাখুন। WannaCry প্যাচবিহীন Windows সিস্টেম দিয়ে ছড়িয়েছিল, এবং শিক্ষাটি টিকে আছে: মৌলিক স্বাস্থ্যবিধি বেশির ভাগ ঘটনা ঠেকায়। প্রথমে মৌলিক বিষয়ে ব্যয় করুন; ভিত্তি মজবুত হলে পরিশীলিত শনাক্তকরণ কিনুন।

5. ধরে নিন আপনি আক্রান্ত হবেন, এবং আপনার সাড়া মহড়া দিন। একটি ঘটনা-সাড়া ও ব্যবসায়িক-ধারাবাহিকতা পরিকল্পনা বজায় রাখুন ও অনুশীলন করুন যা ধরে নেয় সিস্টেম অনুপলব্ধ হবে, কাগজে ক্লিনিক্যাল বিকল্প এবং কর্মী ও রোগীদের জন্য একটি যোগাযোগ পরিকল্পনাসহ। আপনার ব্যাকআপ আসলে তা থেকে পুনরুদ্ধার করে পরীক্ষা করুন, কারণ যে ব্যাকআপ আপনি কখনো পুনরুদ্ধার করেননি তা একটি আশা, নিয়ন্ত্রণ নয়। টেবিলটপ মহড়া চালান যাতে আপনার দল প্রথমবার একটি র‍্যানসমওয়্যার বিভ্রাট সামলায় একটি বাস্তব বিভ্রাটের সময় নয়।

6. DSPT সততার সঙ্গে সম্পূর্ণ করুন এবং একে প্রকৃত মূল্যায়ন হিসেবে ব্যবহার করুন। Data Security and Protection Toolkit NHS ডেটা সামলানোর একটি আবশ্যকতা, কিন্তু এর মূল্য আসে একে একটি টিক-বক্স আচার নয়, একটি সৎ বার্ষিক হিসাব হিসেবে দেখা থেকে। যেখানে আপনি কোনো মান পূরণ করতে পারেন না, সেখানে আপনার অবস্থান বাড়িয়ে না বলে ফাঁক ও একটি বিশ্বাসযোগ্য উন্নয়ন পরিকল্পনা লিপিবদ্ধ করুন। একটি ফাঁপানো DSPT রিটার্ন আপনার বোর্ডকে মিথ্যা আশ্বাস দেয়, যা কিছু না থাকার চেয়েও খারাপ।

7. তথ্য ভাগকে একটি নকশা-করা সামর্থ্য করুন, বাধা নয়। একটি সমন্বিত পরিচর্যা ব্যবস্থা (ICS) জুড়ে, ভালো পরিচর্যা ট্রাস্ট, জিপি প্র্যাকটিস, সামাজিক পরিচর্যা ও কমিউনিটি প্রদানকারীদের মধ্যে প্রতিষ্ঠানের সীমানা পেরিয়ে ডেটা যাওয়ার ওপর নির্ভর করে। স্পষ্ট তথ্য ভাগ চুক্তি (ISA) ও ডেটা ভাগ চুক্তি স্থাপন করুন, বৈধ ও গোপনীয়তার ভিত্তি যৌথভাবে ঠিক করুন, এবং শেয়ার্ড রেকর্ড এমনভাবে নকশা করুন যাতে সঠিক পেশাদার পরিচর্যার মুহূর্তে সঠিক তথ্য দেখেন। লক্ষ্য নিরাপদ ভাগ, ভাগ-না-করা নয়: একজন চিকিৎসকের প্রয়োজনীয় ডেটা আটকে রাখা নিজেই রোগী-নিরাপত্তার ব্যর্থতা। এটি সরাসরি বিষয় 4.3 — আন্তঃকার্যক্ষমতা ও ডেটা মানের সঙ্গে যুক্ত।

8. রোগীর পছন্দ সম্মান করুন এবং দ্বিতীয়-পর্যায়ের ব্যবহার নিয়ে স্বচ্ছ হোন। প্রতিটি দ্বিতীয়-ব্যবহারের প্রবাহে জাতীয় ডেটা অপ্ট-আউট সম্মান করুন, এবং পরিকল্পনা ও গবেষণায় ডেটা কীভাবে ব্যবহৃত হয় সে সম্পর্কে স্পষ্ট, সহজলভ্য তথ্য প্রকাশ করুন। যখন ডেটা বাণিজ্যিক অংশীদারদের সঙ্গে ভাগ বা মডেল প্রশিক্ষণে ব্যবহৃত হয়, ফাঁসের মাধ্যমে উঠে আসতে না দিয়ে সক্রিয়ভাবে তা প্রকাশ করুন: লুকানো ব্যবস্থা বারবার জনগণের প্রতিক্রিয়া ও অপ্ট-আউট বৃদ্ধি ঘটিয়েছে। স্বচ্ছতা সৌজন্য নয়; তা-ই ডেটাকে আদৌ প্রবাহিত রাখে।

9. রেকর্ডকে তাদের সম্পূর্ণ জীবনচক্র জুড়ে পরিচালনা করুন। NHS Records Management Code of Practice-এর ভিত্তিতে ধারণ-সূচি প্রয়োগ করুন, ধারণ-কাল শেষ হলে রেকর্ড নিরাপদে নিষ্পত্তি করুন এবং যতদিন তা থাকে সহজলভ্য ও অক্ষত রাখুন। খারাপ রেকর্ড ব্যবস্থাপনা ঝুঁকি (আর প্রয়োজন নেই এমন ডেটা ধরে রাখা) ও ক্ষতি (চিকিৎসকদের নির্ভরযোগ্য ডেটা হারানো) দুটোই তৈরি করে। সিস্টেমগুলোর মধ্যে স্থানান্তর একটি উচ্চ-ঝুঁকির মুহূর্ত: ডেটার মান, ম্যাপিং ও আর্কাইভিংয়ের জন্য সুচিন্তিতভাবে পরিকল্পনা করুন।

10. ক্রয় ও সরবরাহকারী ব্যবস্থাপনায় গভর্ন্যান্স গড়ুন। চুক্তিতে ডেটা সুরক্ষা ও নিরাপত্তার আবশ্যকতা বেক করুন: ডেটা প্রক্রিয়াকরণ শর্ত, DSPT বা সমতুল্য সার্টিফিকেশন, লঙ্ঘন-বিজ্ঞপ্তির সময়সীমা এবং নিরীক্ষার অধিকার। একজন সরবরাহকারীর দুর্বল নিরাপত্তা আপনার ঘটনা ও আপনার শিরোনাম হয়, তাই কেবল আপনার নিজের পরিসীমা নয়, সরবরাহ শৃঙ্খলা মূল্যায়ন করুন। বিষয় 6.3 — ক্রয় ও বাণিজ্যিক-এ আলোচিতভাবে বাণিজ্যিক সহকর্মীদের সঙ্গে যৌথভাবে এটি করুন, এবং ডেটা কোথায় হোস্ট হয় ও কে তা পেতে পারে সে বিষয়ে স্পষ্ট উত্তর দাবি করুন।

11. কেবল প্রতিরোধে নয়, শনাক্তকরণেও বিনিয়োগ করুন। ধরে নিন কিছু আক্রমণ আপনার প্রতিরক্ষা ভেদ করবে, এবং সেগুলো দেখার সামর্থ্য গড়ুন: কেন্দ্রীভূত লগিং, মূল সিস্টেমের পর্যবেক্ষণ, এবং একটি নিরাপত্তা অপারেশন সেন্টার, ঘরোয়া, একটি ICS জুড়ে ভাগ করা, বা NCSC ও NHS England-এর সাইবার অপারেশনের মতো জাতীয় সেবা থেকে সংগৃহীত, যাতে সন্দেহজনক কার্যকলাপ সপ্তাহ পরে আবিষ্কারের বদলে চিহ্নিত ও সীমিত হয়। এর সঙ্গে অবিরাম দুর্বলতা ব্যবস্থাপনা ও হুমকি শনাক্তকরণ জুড়ুন, যাতে আক্রমণকারীরা আসলে যে দুর্বলতা কাজে লাগায় সেগুলো প্যাচ করেন। শনাক্তকরণ আপনাকে একটি ঘটনা বিভ্রাট হওয়ার আগে সীমিত করার সময় কিনে দেয়।

12. একটি গুরুতর সাইবার আক্রমণকে ক্লিনিক্যাল-ধারাবাহিকতার ঘটনা হিসেবে দেখুন। একটি সাইবার ঘটনা সাড়া পরিকল্পনা লিখুন, সম্পদ দিন ও মহড়া দিন যা নাম দেয় কে একটি ঘটনা ঘোষণা করেন, কে প্রযুক্তিগত সাড়া পরিচালনা করেন, এবং সিস্টেম বন্ধ থাকাকালীন ক্লিনিক্যাল নিরাপত্তা ও বাইরের যোগাযোগের মালিক কে। একে সরাসরি আপনার ব্যবসায়িক ধারাবাহিকতা ও দুর্যোগ পুনরুদ্ধার ব্যবস্থায় (বিষয় 3.9 — ব্যবসায়িক ধারাবাহিকতা ও দুর্যোগ পুনরুদ্ধার দেখুন) এবং আপনার প্রধান-ঘটনা ও EPRR প্রক্রিয়ায় (বিষয় 3.10 — জরুরি প্রস্তুতি, স্থিতিস্থাপকতা ও সাড়া দেখুন) যুক্ত করুন, যাতে একটি র‍্যানসমওয়্যার বিভ্রাট রোগীর পরিচর্যার যেকোনো হুমকির মতো একই শৃঙ্খলায় সামলানো হয়। শুধু IT বিভাগে থাকা পরিকল্পনা যে মুহূর্তে একটি আক্রমণ ক্লিনিক্যাল সংকটে পরিণত হয় সেই মুহূর্তে ব্যর্থ হবে।

দলের সঙ্গে আলোচনার প্রশ্ন#

1. আমাদের সেবাগুলোর কোথায় আমরা খুব কম ভাগ করছি, এবং কোথায় খুব বেশি, এবং আমরা তা কীভাবে জানব? তথ্য গভর্ন্যান্সের ব্যর্থতা দুই দিকেই চলে। অতিরিক্ত ভাগ লঙ্ঘন ও ক্ষয়প্রাপ্ত আস্থা হিসেবে দেখা দেয়; কম ভাগ নীরবে দেখা দেয়: একজন চিকিৎসক যিনি একটি অ্যালার্জি দেখতে পাননি, সংস্থাগুলোর মাঝে পড়ে যাওয়া একটি সুরক্ষা উদ্বেগ, বা কমিউনিটি দলগুলোর প্রেক্ষাপটের অভাবে ভুল হয়ে যাওয়া ছাড়পত্র। আপনার নিজের পরিবেশের মূর্ত ঘটনা আলোচনা করুন। আপনার কি এমন একটি ঝোঁক আছে, প্রায়ই আত্মরক্ষামূলক, যা আটকে রাখাকে স্বয়ংক্রিয়ভাবে নিরাপদ মনে করে? কোন সংকেত আপনাকে বলবে একটি ভাগের সীমানা রোগীদের ক্ষতি করছে, এবং তা লক্ষ করার জন্য জবাবদিহিকারী কে? একটি পরিপক্ব দল দুই ব্যর্থতার ধরনেরই উদাহরণ বলতে পারে এবং প্রতিটি ঊর্ধ্বতনে জানানোর একটি পথ আছে।

2. একটি র‍্যানসমওয়্যার আক্রমণ যদি আগামীকাল সকালে আমাদের ক্লিনিক্যাল সিস্টেম অফলাইন করে দেয়, প্রথম ঘণ্টায় আসলে কী ঘটবে? কাগজের পরিকল্পনা ছাড়িয়ে জীবন্ত বাস্তবতায় যান। ঘটনা কে ঘোষণা করেন, এবং ইমেল ও ইন্ট্রানেট বন্ধ থাকতে পারে বলে কর্মীরা কীভাবে জানবেন? প্রেসক্রাইবিং, ফলাফল ও রোগী শনাক্তকরণের ক্লিনিক্যাল বিকল্প কী, এবং সম্মুখসারির কর্মীরা কি কখনো তা অনুশীলন করেছেন? রোগীর নিরাপত্তা ক্ষয় হওয়ার আগে প্রতিটি সেবা কাগজে কতক্ষণ চলতে পারে, এবং কীভাবে ঠিক করেন গতিপথ বদলাবেন বা বাতিল করবেন? কাজ করে তা প্রমাণ করতে শেষবার কখন ব্যাকআপ থেকে পুনরুদ্ধার করেছেন? এই আলোচনার সততা, বিশেষত যে ফাঁকগুলো মানুষ স্বীকার করতে অনিচ্ছুক, যেকোনো কাঠামোর স্কোরের চেয়ে স্থিতিস্থাপকতার ভালো পরিমাপ।

3. একজন সন্দিহান রোগীর কাছে আমরা কীভাবে আমাদের ডেটা ব্যবহার ব্যাখ্যা করব, এবং তিনি কি অনুভব করবেন আমরা তাঁর সঙ্গে সোজা কথা বলেছি? জনগণের আস্থা আইনি বিজ্ঞপ্তিতে নয়, সরল ভাষায় অর্জিত হয়। আপনার প্রতিষ্ঠানের ডেটার একটি প্রকৃত দ্বিতীয় ব্যবহার বেছে নিন, সেবা পরিকল্পনা, একটি গবেষণা অংশীদারিত্ব, একটি সরবরাহকারী ব্যবস্থা, একটি AI হাতিয়ার, এবং একজন সাধারণ মানুষকে তা ব্যাখ্যা করতে চেষ্টা করুন: কোন ডেটা, কী উদ্দেশ্যে, কার সুবিধা, কোন সুরক্ষা এবং তাঁর কী পছন্দ আছে। ব্যাখ্যা কোথায় অস্বস্তিকর বা এড়িয়ে যাওয়া হয়ে ওঠে? সেই অস্বস্তি সাধারণত এমন কিছু চিহ্নিত করে যা আপনার বদলানো বা আরও খোলাখুলি জানানো উচিত। বিবেচনা করুন জাতীয় ডেটা অপ্ট-আউট ও আপনার স্বচ্ছতার উপকরণ অবিশ্বাসের প্রবণ কারও কাছে কেমন দেখাবে, এবং এটিকে বিষয় 8.4 — AI ও উদীয়মান প্রযুক্তি গভর্ন্যান্সের AI গভর্ন্যান্সের সঙ্গে যুক্ত করুন।

4. একজন সরবরাহকারী বা অংশীদার যখন আমাদের রোগীদের ডেটা ধরে রাখে, তখন তা কার ঘটনা, এবং আমরা কি নিশ্চিত যে সময়মতো জানতে পারতাম? বেশির ভাগ স্বাস্থ্য ও পরিচর্যা প্রতিষ্ঠান এখন তৃতীয় পক্ষের একটি শৃঙ্খলের ওপর নির্ভর করে: EPR বিক্রেতা, একটি ক্লাউড হোস্ট, একটি ম্যানেজড-সার্ভিস প্রদানকারী, একটি প্যাথলজি বা ইমেজিং অংশীদার। সেই শৃঙ্খলের যেকোনো জায়গায় একটি লঙ্ঘন বা বিভ্রাট আপনার ক্লিনিক্যাল সংকট ও আপনার শিরোনাম হয়, তবু চুক্তি, সার্টিফিকেশন ও লঙ্ঘন-বিজ্ঞপ্তির ঘড়ি প্রায়ই আপনার নিজস্ব পরিসীমার চেয়ে অনেক কম নজরদারি পায়। আলোচনা করুন আপনার ডেটা কোথায় হোস্ট হয়, কে তা পেতে পারে, এবং কিছু ভুল হলে একজন সরবরাহকারী আপনাকে কত দ্রুত জানাতে চুক্তিতে বাধ্য সে সম্পর্কে আপনি আসলে কী জানেন। আপনি কি কখনো সেই বিজ্ঞপ্তি-পথ পরীক্ষা করেছেন, বা বিশ্বাসে নেওয়ার বদলে একজন সরবরাহকারীর DSPT বা সমতুল্য আশ্বাস দেখেছেন? কোনো গুরুত্বপূর্ণ সরবরাহকারী নিজে শুক্রবার রাতে র‍্যানসমওয়্যারে আক্রান্ত হলে কী হবে? সৎ উত্তর সেই সরবরাহকারীদের নাম বলে যাদের আপনি বর্তমানে জবাবদিহিতে ধরতে পারেন না এবং এটিকে বিষয় 6.3 — ক্রয় ও বাণিজ্যিক-এর সঙ্গে যুক্ত করে।

5. এখানে তথ্য-গভর্ন্যান্স ঝুঁকির আসল মালিক কে, এবং তাঁরা কি সংকট হওয়ার আগেই সমস্যার কথা শুনবেন? কাগজে, একজন DPO ও একজন Caldicott Guardian গোপনীয়তা ও ডেটা-সুরক্ষা ঝুঁকির মালিক, এবং বোর্ড সাইবার স্থিতিস্থাপকতার মালিক। বাস্তবে এই ভূমিকাগুলো প্রায়ই কম-সম্পদপ্রাপ্ত, দেরিতে পরামর্শ নেওয়া, বা কণ্ঠের বদলে অনুমোদন হিসেবে গণ্য, তাই ঝুঁকি ঘটনা হিসেবে ভেসে না ওঠা পর্যন্ত তা না প্রকাশিত হয়, না ঊর্ধ্বতনে যায়। সৎভাবে কথা বলুন আপনার Caldicott Guardian ও DPO কি আসলেই সিদ্ধান্তে আগেভাগে যুক্ত হন, তাঁরা না বলতে পারেন এবং শোনা যায় কি না, এবং সাইবার ঝুঁকি বোর্ডে এমন কিছু হিসেবে পৌঁছায় যা তাঁরা বোঝেন ও মালিক, নাকি একটি প্রযুক্তিগত রিপোর্ট যাতে তাঁরা মাথা নাড়ান। একজন সম্মুখসারির চিকিৎসক যিনি অনুপযুক্ত প্রবেশাধিকার লক্ষ করেছেন, বা একজন প্রকৌশলী যিনি একটি প্যাচবিহীন গুরুত্বপূর্ণ সিস্টেম পেয়েছেন, তাঁরা কি জানবেন কীভাবে তা তুলতে হবে এবং বিশ্বাস করবেন কিছু ঘটবে? মালিকানার পরীক্ষা সাংগঠনিক চার্ট নয়, বরং অপ্রীতিকর খবর দ্রুত ওপরে যায় কি না, এবং এটি বিষয় 1.6 — ক্লিনিক্যাল নিরাপত্তা ও ঝুঁকি ব্যবস্থাপনায় আলোচিত নিরাপত্তা সংস্কৃতির সঙ্গে যুক্ত।

6. কোন ডেটা রাখব, কোনটি মুছব এবং কার এখনো প্রবেশাধিকার দরকার তা আমরা কীভাবে ঠিক করি, এবং শেষ কবে আমরা আসলে তা করেছি? গভর্ন্যান্সের মনোযোগ ডেটা সংগ্রহ ও ভাগে কেন্দ্রীভূত হয়, কিন্তু ধারণ, নিষ্পত্তি ও প্রবেশাধিকার পর্যালোচনা হলো যেখানে নীরব ঝুঁকি জমে: আইনি ধারণ-কালের অনেক পরেও রাখা রেকর্ড, নিষ্ক্রিয় অ্যাকাউন্ট যা এখনো লাইভ সিস্টেম খোলে, এবং প্রবেশাধিকার যা মানুষের ভূমিকা বদলানোর সঙ্গে সঙ্গে গেছে কিন্তু কখনো কেড়ে নেওয়া হয়নি। আপনার আর প্রয়োজন নেই এমন প্রতিটি রেকর্ড আপনি জমা করা দায়, এবং প্রতিটি বাসি ক্রেডেনশিয়াল একজন আক্রমণকারী বা কৌতূহলী অভ্যন্তরীণ ব্যক্তির জন্য একটি প্রবেশপথ। আলোচনা করুন আপনার ধারণ-সূচি বাস্তবে NHS Records Management Code of Practice অনুসরণ করে নাকি কেবল নীতিতে, প্রবেশাধিকার সর্বশেষ কবে পর্যালোচিত ও ছাঁটা হয়েছিল, এবং একটি সিস্টেম স্থানান্তর বা বন্ধ করার উচ্চ-ঝুঁকির মুহূর্ত কীভাবে সামলান। মুছে ফেলার বোতাম চাপার জন্য জবাবদিহিকারী কে, এবং কেউ কি এর ওপর পরিমাপিত? সৎ উত্তর সাধারণত প্রকাশ করে ডেটা ও প্রবেশাধিকারের এমন একটি জমাট যার মালিক বছরের পর বছর কেউ ছিল না।

বাস্তবে: স্বাস্থ্য ও পরিচর্যার একটি উদাহরণ#

Meadowford সমন্বিত পরিচর্যা ব্যবস্থা একটি শেয়ার্ড কেয়ার রেকর্ড দাঁড় করাচ্ছে যাতে হাসপাতালের চিকিৎসক, জিপি, কমিউনিটি নার্স ও সমাজকর্মীরা প্রতিটি মানুষের একটি একীভূত দৃশ্য দেখতে পারেন। প্রোগ্রামটি চিকিৎসকদের কাছে জনপ্রিয় ও রাজনৈতিকভাবে দৃশ্যমান, এবং প্রলোভন হলো দ্রুত এগোনো।

প্রোগ্রাম পরিচালক গভর্ন্যান্সকে নির্মাণের পেছনে নয়, তার পাশাপাশি সাজানোর ওপর জোর দেন। শুরুতেই একটি DPIA খোলা হয়, DPO ও অংশীদার প্রতিষ্ঠানগুলো থেকে নেওয়া প্রধান Caldicott Guardian-এর যৌথ নেতৃত্বে। এটি আগেভাগে উপযোগী সিদ্ধান্ত বাধ্য করে: রেকর্ডটি প্রতিটি ঐতিহাসিক নথির বদলে একটি কিউরেটেড ক্লিনিক্যাল সারাংশ দেখাবে; তৃতীয়-পক্ষ তথ্যসহ সামাজিক পরিচর্যা রেকর্ড কঠোরতর নিয়মে সামলানো হবে; এবং প্রবেশাধিকার হবে ভূমিকা-ভিত্তিক, একটি বৈধ-সম্পর্ক যাচাইসহ যাতে একজন পেশাদার কেবল তাঁর পরিচর্যার অধীন কারও রেকর্ড খুলতে পারেন। প্রতিটি প্রবেশাধিকার লগ ও নিরীক্ষিত হয়, এবং কর্মীদের তা সরলভাবে বলা হয়।

অংশীদাররা গোপনীয়তার সাধারণ-আইনি দায়িত্ব ও বৈধ ভিত্তি, Article 6(1)(e) ও Article 9(2)(h)-এর অধীনে সরাসরি পরিচর্যা, ঢাকা একটি একক তথ্য ভাগ চুক্তিতে সম্মত হয়, এবং নিশ্চিত করে শেয়ার্ড রেকর্ড কেবল সরাসরি পরিচর্যার জন্য ব্যবহৃত হয়, তাই জাতীয় ডেটা অপ্ট-আউট একে সীমিত করে না। যখন একই ডেটা জনগোষ্ঠী-স্বাস্থ্য বিশ্লেষণে ব্যবহারের একটি আলাদা প্রস্তাব আসে, দল একে বিদ্যমান চুক্তি নীরবে প্রসারিত না করে নিজস্ব DPIA, নিজস্ব বৈধ ভিত্তি, অপ্ট-আউট সম্মতি ও জনযোগাযোগসহ একটি স্বতন্ত্র প্রবাহ হিসেবে দেখে।

গো-লাইভের ছয় সপ্তাহ আগে, নিরাপত্তা লিড একটি টেবিলটপ র‍্যানসমওয়্যার মহড়া চালান। এটি প্রকাশ করে শেয়ার্ড রেকর্ড অনুপলব্ধ হলে কোনো ক্লিনিক্যাল বিকল্প নেই এবং ব্যাকআপ কখনো পরীক্ষামূলকভাবে পুনরুদ্ধার করা হয়নি। দল প্রতি রাতে হালনাগাদ করা একটি অফলাইন কেবল-পঠন কপি যোগ করে, পুনরুদ্ধার কাজ করে তা প্রমাণ করে এবং সম্মুখসারির কর্মীদের কাগজের বিকল্প সম্পর্কে জানায়, তখন গো-লাইভ এক মাস পিছোয়। বিলম্ব অজনপ্রিয়, কিন্তু তিন মাস পরে যখন একজন সরবরাহকারীর প্যাচিং ত্রুটি এক সকালের জন্য মূল সিস্টেম অফলাইন করে, পরিচর্যা বিকল্পে চলতে থাকে এবং কোনো অ্যাপয়েন্টমেন্ট হারায় না। প্রোগ্রামের বিশ্বাসযোগ্যতা, এবং রেকর্ডে চিকিৎসকদের আস্থা, অক্ষত থাকে। ট্রেড-অফ ছিল স্পষ্ট: একটি ধীরতর লঞ্চ সেই স্থিতিস্থাপকতা কিনেছিল যা দ্রুততরটি জুয়ায় হারাত।

খাতভিত্তিক দৃষ্টিকোণ#

স্টার্ট-আপ#

একটি স্বাস্থ্য-প্রযুক্তি স্টার্ট-আপের প্রায়ই সবচেয়ে শক্তিশালী প্রযুক্তিগত নিরাপত্তা সহজাত প্রবৃত্তি এবং স্বাস্থ্য-নির্দিষ্ট গোপনীয়তা ও NHS-নির্দিষ্ট প্রত্যাশার সবচেয়ে দুর্বল ধারণা থাকে। আপনি স্টার্ট-আপ হলে, একটি NHS সংস্থা আপনার সঙ্গে ডেটা ভাগ করার আগে DSPT সম্পূর্ণ করতে বা সমতুল্য আশ্বাস দেখাতে এবং আগেভাগে একজন DPO নিয়োগ বা চুক্তিবদ্ধ করতে প্রত্যাশা করুন। আপনার সবচেয়ে বড় ঝুঁকি হলো খাতের দাবি করা বৈধ ভিত্তি, DPIA ও স্বচ্ছতা ছাড়া ডেটা ব্যবহারে, বিশ্লেষণ, মডেল প্রশিক্ষণ, অংশীদারিত্বে, দ্রুত এগোনো এবং তা প্রকাশ পেলে রাতারাতি একজন NHS গ্রাহক হারানো। তথ্য গভর্ন্যান্সকে বাড়তি খরচ নয়, বাজার-প্রবেশের আবশ্যকতা হিসেবে দেখুন, এবং ছোট থাকতেই তা গড়ে তুলুন।

ক্ষুদ্র ব্যবসা#

একটি প্রতিষ্ঠিত ছোট প্রদানকারী, যেমন একটি জিপি প্র্যাকটিস, কমিউনিটি ফার্মেসি, কেয়ার হোম, গৃহভিত্তিক পরিচর্যা সংস্থা, একক-স্থানের ক্লিনিক বা একটি পরিমিত স্বাস্থ্য-প্রযুক্তি সরবরাহকারী, একটি বড় ট্রাস্টের মতো একই আইনি দায়িত্ব বহন করে কিন্তু সামর্থ্যের ভগ্নাংশ নিয়ে: প্রায়ই ঘরোয়া IT নেই, নিবেদিত DPO নেই, এবং একজন মালিক বা প্র্যাকটিস ম্যানেজার যিনি এক ডজন অন্য কাজের পাশে ডেটা শাসন করেন। আপনার বাস্তবসম্মত পথ হলো আপনার সামর্থ্যের বাইরের সামর্থ্য গড়ার বদলে ভাগ করা ও বাইরের সাহায্যের ওপর নির্ভর করা: একজন চুক্তিবদ্ধ DPO, একটি প্রাথমিক পরিচর্যা নেটওয়ার্ক জুড়ে ভাগ করা একজন Caldicott Guardian, আপনার ICS-এর সাইবার সহায়তা, এবং NCSC-র ছোট-প্রতিষ্ঠান নির্দেশিকা। DSPT সততার সঙ্গে সম্পূর্ণ করুন, কারণ অনেক ছোট প্রদানকারীর জন্য এটি একটি চুক্তিগত আবশ্যকতা এবং আপনার সর্বোত্তম-কাঠামোবদ্ধ চেকলিস্ট, এবং রিটার্ন ফাঁপানোর বদলে প্রকৃত ফাঁক লিপিবদ্ধ করুন। প্রথমে সাশ্রয়ী মৌলিক বিষয় ঠিক করুন, MFA, তাৎক্ষণিক প্যাচিং, অফলাইন পরীক্ষিত ব্যাকআপ, ন্যূনতম-সুবিধার প্রবেশাধিকার এবং একটি সরল কাগজের বিকল্প, কারণ এগুলো বেশির ভাগ ঘটনা ঠেকায় এবং অর্থের চেয়ে সময় খরচ করে। সরবরাহকারী লক-ইন ও ক্লাউড ব্যবস্থায় বিশেষভাবে সতর্ক থাকুন, যেখানে শর্ত দরকষাকষির আপনার সামান্যই প্রভাব থাকতে পারে অথচ তবু আপনাকে জানতে হবে রোগীর ডেটা কোথায় আছে এবং কে তা পেতে পারে।

বৃহৎ প্রতিষ্ঠান#

একটি বড় ট্রাস্ট বা প্রতিষ্ঠিত সরবরাহকারীর পরিপক্ব নীতি আছে কিন্তু মাপ, লিগ্যাসি ও খণ্ডায়নে সংগ্রাম করে: ডজন ডজন সিস্টেম, অসংগত প্রবেশ নিয়ন্ত্রণ, প্যাচবিহীন ভুবন, এবং দলগুলো জুড়ে পাতলাভাবে ছড়ানো গভর্ন্যান্স। আপনার চ্যালেঞ্জ সুসংগতি: ঝুঁকির একটি একক দৃশ্য, একটি প্রকৃত সম্পদ তালিকা, এবং কেবল হাতিয়ার কেনার বদলে মৌলিক বিষয় ঠিক করার যথেষ্ট নিরাপত্তা বিনিয়োগ। WannaCry বড় প্রতিষ্ঠানগুলোকে সবচেয়ে বেশি আঘাত করেছিল ঠিক প্যাচবিহীন লিগ্যাসি ভুবনের কারণে। প্রকৃত উন্নতি চালাতে DSPT ও NCSC Cyber Assessment Framework ব্যবহার করুন, এবং নিশ্চিত করুন বোর্ড-স্তরের মালিকানা অদৃশ্যতায় অর্পিত নয়, বাস্তব।

সরকার#

জাতীয় সংস্থা ও কমিশনাররা কাঠামো নির্ধারণ করে, Caldicott Principles, National Data Guardian-এর নির্দেশিকা, জাতীয় ডেটা অপ্ট-আউট, DSPT, এবং জনসংখ্যা-মাপে জনগণের আস্থার দায়িত্ব বহন করে। আপনার ডেটা উদ্যোগগুলো বড়, দৃশ্যমান ও রাজনৈতিকভাবে উত্তপ্ত, এবং অতীতের প্রোগ্রামগুলো দেখিয়েছে লুকানো বা খারাপভাবে ব্যাখ্যা করা ডেটা ভাগ কত দ্রুত প্রতিক্রিয়া ও গণ অপ্ট-আউট ঘটায়। বিস্তারের আগে, পরে নয়, স্বচ্ছতা, অর্থবহ জনসম্পৃক্ততা ও স্বাধীন তত্ত্বাবধানে নেতৃত্ব দিন। আপনার মালিকানাধীন ট্রেড-অফ চিনুন: অতিরিক্ত-সতর্ক জাতীয় নীতি পরিচর্যা ও গবেষণাকে ডেটা থেকে বঞ্চিত করে, আর অসতর্ক নীতি সেই জনগণের সম্মতি হারায় যাঁদের ডেটা তা।

ব্যর্থতার সাধারণ ধরন#

• নাটক হিসেবে গভর্ন্যান্স। লঞ্চের পরে সম্পূর্ণ করা DPIA, সম্মত দেখাতে ফাঁপানো DSPT রিটার্ন, এবং কেউ অনুসরণ করে না এমন নীতি। এটি মিথ্যা আশ্বাস তৈরি করে, যা স্বীকৃত দুর্বলতার চেয়ে বিপজ্জনক।
• চকচকে হাতিয়ার কেনার সময় উপেক্ষিত নিরাপত্তা মৌলিক বিষয়। প্যাচবিহীন সিস্টেম, মাল্টি-ফ্যাক্টর প্রমাণীকরণ নেই, সমতল নেটওয়ার্ক, এবং অপরীক্ষিত ব্যাকআপ, ঠিক যে অবস্থা WannaCry-কে ছড়াতে দিয়েছিল, একটি ব্যয়বহুল শনাক্তকরণ প্ল্যাটফর্মে সাজানো।
• নিরাপত্তার ছদ্মবেশে আত্মরক্ষামূলক অতি-সতর্কতা। একজন চিকিৎসকের বৈধভাবে প্রয়োজনীয় ডেটা ভাগ করতে অস্বীকার করা, "না"-কে ঝুঁকিমুক্ত মনে করা যখন একটি মিস করা অ্যালার্জি বা সুরক্ষা ফাঁক নিজেই গুরুতর রোগী ক্ষতি।
• লুকানো দ্বিতীয়-পর্যায়ের ব্যবহার। পরিচর্যার জন্য সংগৃহীত ডেটা নতুন বৈধ ভিত্তি, অপ্ট-আউট সম্মতি বা জনস্বচ্ছতা ছাড়া বিশ্লেষণ, বাণিজ্যিক চুক্তি বা মডেল প্রশিক্ষণে প্রসারিত করা, যতক্ষণ না তা ফাঁস হয় এবং আস্থা ধসে পড়ে।
• কখনো পুনরুদ্ধার না করা ব্যাকআপ। একটি লাইভ র‍্যানসমওয়্যার ঘটনার সময় আবিষ্কার করা যে ব্যাকআপ অসম্পূর্ণ, দূষিত, বা বাকি সবকিছুর সঙ্গে এনক্রিপ্টেড।
• এতিম জবাবদিহিতা। একজন DPO বা Caldicott Guardian যিনি সাংগঠনিক চার্টে আছেন কিন্তু পরামর্শ নেওয়া, সম্পদ দেওয়া বা শোনা হয় না, তাই ঝুঁকি না প্রকাশিত হয়, না মালিকানাধীন।

পরিপক্বতা মডেল#

চেকলিস্ট#

• প্রতিটি নতুন ডেটা প্রকল্পের শুরুতে একটি DPIA খোলা হয় এবং DPO দ্বারা অনুমোদিত।
• প্রতিটি ডেটা প্রবাহের জন্য বৈধ ভিত্তি, বিশেষ-বিভাগ শর্ত ও গোপনীয়তার ভিত্তি নথিবদ্ধ।
• একজন Caldicott Guardian ও একজন Data Protection Officer নিয়োগপ্রাপ্ত, সম্পদপ্রাপ্ত এবং আসলে পরামর্শ নেওয়া হয়।
• ন্যূনতম-সুবিধার, ভূমিকা-ভিত্তিক প্রবেশাধিকার প্রযুক্ত এবং সংবেদনশীল রেকর্ডে প্রবেশাধিকার লগ ও নিরীক্ষিত।
• সিস্টেম তাৎক্ষণিকভাবে প্যাচ করা হয়, মাল্টি-ফ্যাক্টর প্রমাণীকরণ প্রযুক্ত এবং নেটওয়ার্ক বিভক্ত।
• ব্যাকআপ নেওয়া হয়, অফলাইন রাখা হয় এবং নিয়মিত সূচিতে পরীক্ষামূলকভাবে পুনরুদ্ধার করা হয়।
• কাগজে ক্লিনিক্যাল বিকল্পসহ একটি ঘটনা-সাড়া ও ব্যবসায়িক-ধারাবাহিকতা পরিকল্পনা নথিবদ্ধ ও মহড়া দেওয়া।
• DSPT সততার সঙ্গে সম্পূর্ণ, লিপিবদ্ধ ফাঁক ও বিশ্বাসযোগ্য উন্নয়ন পরিকল্পনাসহ।
• সম্মত ভিত্তিসহ ICS অংশীদারদের জুড়ে তথ্য ভাগ চুক্তি স্থাপিত।
• জাতীয় ডেটা অপ্ট-আউট সব দ্বিতীয়-ব্যবহারে প্রযুক্ত এবং স্বচ্ছতার উপকরণ প্রকাশিত।
• রেকর্ড ধারণ ও নিরাপদ নিষ্পত্তি NHS Records Management Code of Practice অনুসরণ করে।
• ডেটা সুরক্ষা ও নিরাপত্তার আবশ্যকতা সরবরাহকারী চুক্তিতে লেখা এবং সরবরাহ শৃঙ্খল মূল্যায়িত।

মূল উৎস#

• Information Commissioner's Office (ICO) — Guide to UK GDPR, DPIA ও বৈধ ভিত্তি।
• National Data Guardian — ডেটা নিরাপত্তা ও Caldicott Principles-এর পর্যালোচনা ও নির্দেশিকা।
• NHS England — Data Security and Protection Toolkit ও জাতীয় ডেটা অপ্ট-আউট।
• National Cyber Security Centre (NCSC) — সাইবার নিরাপত্তা নির্দেশিকা ও Cyber Assessment Framework।
• UK Caldicott Guardian Council — Caldicott Guardian-এর ভূমিকা ও দায়িত্ব।
• National Audit Office — WannaCry সাইবার আক্রমণ ও NHS-এর তদন্ত (২০১৭–১৮)।
• NHS Records Management Code of Practice।

তথ্যসূত্র#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response