Pwnc 1.7 — Llywodraethiant Gwybodaeth, Diogelu Data a Seiberddiogelwch

Ym maes iechyd a gofal, ni ellir gwahanu gwarchod gwybodaeth oddi wrth ddarparu gofal: gall yr un data sy'n achub bywyd, o'i gamdrin, dorri'r ymddiriedaeth sy'n gwneud triniaeth yn bosibl — felly mae sut rydych yn ei lywodraethu, ei rannu a'i ddiogelu yn rhwymedigaeth glinigol, foesegol ac o ran ymddiriedaeth y cyhoedd, nid ôl-ystyriaeth gydymffurfedd.

Pam mae hyn yn bwysig ym maes iechyd a gofal#

Data iechyd a gofal yw rhai o'r gwybodaeth fwyaf sensitif y bydd unigolyn byth yn ei chreu. Mae'n cofnodi diagnosisau, meddyginiaethau, cyfnodau iechyd meddwl, iechyd rhywiol, hawliau sy'n gysylltiedig â mewnfudo, a manylion agos bywydau bregus a gwan. Mae pobl yn datgelu'r pethau hyn i glinigwyr ar addewid ymhlyg: y defnyddir y wybodaeth i'w helpu ac na chaiff ei lledaenu'n ddiofal. Pan fo'r addewid honno'n torri — drwy ollyngiad, toriad gwasanaeth ransomware, neu gytundeb rhannu data heb esboniad — mae cleifion yn atal gwybodaeth, yn dewis peidio â bod mewn cofnodion, neu'n osgoi gofal yn gyfan gwbl. Nid niwed haniaethol yw hynny; mae'n diraddio diogelwch clinigol ac iechyd y boblogaeth yn uniongyrchol.

Mae'r polion hefyd yn weithredol. Ni all ysbyty modern weithredu heb ei systemau electronig: mae cyfathrebu archebion, canlyniadau, e-ragnodi, delweddu a gweinyddu cleifion i gyd yn ddigidol. Pan fo'r systemau hynny'n methu, mae ambiwlansys yn cael eu dargyfeirio, mae llawdriniaethau'n cael eu canslo, ac mae clinigwyr yn dychwelyd at bapur mewn ffyrdd sy'n cyflwyno eu gwallau eu hunain. Mae llywodraethiant gwybodaeth a seiberddiogelwch felly yn ddisgyblaethau parhad gofal. Maent yn perthyn ochr yn ochr â diogelwch clinigol (Pwnc 1.6 — Diogelwch Clinigol a Rheoli Risg), nid mewn seilo cydymffurfedd ar wahân.

Yn olaf, mae tensiwn gwirioneddol ac anochel yng nghanol y pwnc hwn. Mae'r cyhoedd yn disgwyl yn briodol i'r gwasanaeth iechyd ddefnyddio data i wella gofal, cynllunio gwasanaethau a chefnogi ymchwil sy'n canfod triniaethau yfory. Mae hefyd yn disgwyl cyfrinachedd a rheolaeth. Mae'r nodau hyn yn tynnu yn erbyn ei gilydd, ac nid eich gwaith fel arweinydd yw esgus nad yw'r tensiwn yno ond ei reoli'n agored, gan alluogi defnydd dilys wrth wneud y mesurau diogelu, a'r dewisiadau sydd gan gleifion, yn weladwy ac yn onest. Cewch y cydbwysedd hwnnw'n anghywir i'r naill gyfeiriad neu'r llall a byddwch yn colli: naill ai byddwch yn amddifadu gofal ac ymchwil o ddata, neu byddwch yn erydu'r ymddiriedaeth y mae'r system gyfan yn dibynnu arni.

Cysyniadau craidd#

Sail y maes hwn yw'r ddisgyblaeth llywodraethiant gwybodaeth — y fframwaith o reolau, rolau a rheolaethau y mae sefydliad yn trin gwybodaeth drwyddo'n gyfreithlon, yn ddiogel ac yn foesegol. Yn y Deyrnas Unedig, y sylfeini cyfreithiol sylfaenol yw Rheoliad Cyffredinol y DU ar Ddiogelu Data (GDPR y DU), fersiwn ddomestig y rheoliad Ewropeaidd a gadwyd ar ôl Brexit, a Deddf Diogelu Data 2018 (DPA 2018), sy'n ei ategu. Gyda'i gilydd maent yn mynnu bod data personol yn cael ei brosesu'n gyfreithlon, yn deg ac yn dryloyw, a bod pob gweithgaredd prosesu yn seiliedig ar sail gyfreithlon. Mae gwybodaeth iechyd yn ddata categori arbennig, sydd angen sail gyfreithlon o dan Erthygl 6 ac amod ychwanegol o dan Erthygl 9 — ar gyfer gofal uniongyrchol, fel arfer darparu gofal iechyd neu ofal cymdeithasol gan weithiwr proffesiynol o dan ddyletswydd cyfrinachedd.

Nid cyfraith diogelu data yw'r unig gyfyngiad. Mae'r ddyletswydd cyfrinachedd cyfraith gyffredin yn rhwymedigaeth ar wahân, hŷn: ni chaniateir datgelu gwybodaeth a roddwyd yn gyfrinachol heb ganiatâd, gofyniad cyfreithiol, neu fudd y cyhoedd sy'n drech. Gallwch gydymffurfio'n llawn â GDPR y DU a dal i dorri cyfrinachedd, felly rhaid bodloni'r ddau.

Mae dau fframwaith sy'n benodol i iechyd yn trosi'r dyletswyddau hyn yn ymarfer. Cynhelir Egwyddorion Caldicott — set o egwyddorion (wyth erbyn hyn) ar gyfer trin gwybodaeth gyfrinachol am gleifion, a nodwyd gyntaf yn Adroddiad Caldicott 1997 — y tu mewn i bob sefydliad gan Warcheidwad Caldicott, person uwch sy'n gyfrifol am warchod cyfrinachedd cleifion a galluogi rhannu gwybodaeth priodol. Yn genedlaethol, mae'r Gwarcheidwad Data Cenedlaethol ar gyfer Iechyd a Gofal Cymdeithasol (NDG) yn llais statudol annibynnol sy'n cynghori ar sut y dylid defnyddio a diogelu data cleifion. Mae'r dewis peidio â rhannu data'n genedlaethol yn rhoi mecanwaith i gleifion atal eu gwybodaeth gyfrinachol rhag cael ei defnyddio at ddibenion y tu hwnt i'w gofal uniongyrchol, megis cynllunio ac ymchwil, ac mae'n rhaid i sefydliadau ei anrhydeddu.

Yn weithredol, Asesiad o'r Effaith ar Ddiogelu Data (DPIA) yw'r asesiad strwythuredig y byddwch yn ei gwblhau cyn prosesu sy'n debygol o fod yn risg uchel — a'r rhan fwyaf o brosiectau data iechyd newydd yw hynny — i nodi a lliniaru risgiau preifatrwydd. Rhaid i bob sefydliad benodi Swyddog Diogelu Data (DPO), rôl annibynnol sy'n gyfrifol am gynghori ar gydymffurfedd a'i fonitro. Yn Lloegr, y Pecyn Cymorth Diogelwch a Diogelu Data (DSPT) yw'r hunanasesiad blynyddol y mae sefydliadau iechyd a gofal yn dangos drwyddo eu bod yn bodloni'r safonau diogelwch data a llywodraethiant gwybodaeth sy'n ofynnol i drin data'r GIG.

Ar yr ochr ddiogelwch, mae'r Ganolfan Seiberddiogelwch Genedlaethol (NCSC) yn darparu canllawiau awdurdodol y DU ac, drwy ei Fframwaith Asesu Seiber (CAF), ffordd strwythuredig o fesur gwydnwch seiber. Mae arfer cadarn yn seiliedig ar sylfeini sefydledig: amddiffyn mewn dyfnder, haenu sawl rheolaeth fel nad oes unrhyw fethiant unigol yn drychinebus; yr egwyddor breintiau lleiaf, gan roi i bobl a systemau dim ond y mynediad y mae ei angen arnynt mewn gwirionedd; clytio disgybledig a chopïau wrth gefn wedi'u profi; a pharodrwydd ar gyfer ransomware, y maleiswedd sy'n amgryptio systemau i gribddeilio. Gan nad yw atal yn unig byth yn dal, mae sefydliadau aeddfed hefyd yn buddsoddi mewn gweithrediadau: canolfan gweithrediadau diogelwch (SOC) — gallu, boed yn fewnol neu a rennir, sy'n monitro logiau a thelemetreg i ganfod a chynnwys ymyriadau — a phroses ymateb i ddigwyddiadau wedi'i hymarfer i symud yn gyflym o ganfod i adfer. Mae ymosodiad ransomware WannaCry 2017, a darfu ar tua thraean o ymddiriedolaethau'r GIG yn Lloegr ac a achosodd effaith amcangyfrifedig o £92 miliwn, yn parhau'n enghraifft rybuddiol ddiffiniol — llifodd ei ddifrod i raddau helaeth o systemau heb eu clytio, nid hacio egsotig.

Arferion gorau#

1. Dechreuwch bob prosiect data gyda DPIA, a'i drin fel dylunio, nid gwaith papur. Cyn i chi adeiladu neu gaffael unrhyw beth sy'n prosesu data personol, gweithiwch drwy Asesiad o'r Effaith ar Ddiogelu Data gyda'ch DPO a'ch Gwarcheidwad Caldicott. O'i wneud yn gynnar, mae'n llunio'r dyluniad — gan leihau'r data a gesglir, dewis ffugenwi, tynhau mynediad — yn hytrach na rhoi stamp ar benderfyniadau a wnaed eisoes. Mae DPIA a roddir o'r neilltu tan fynd yn fyw yn arwydd rhybudd bod llywodraethiant yn theatr.

2. Enwch eich sail gyfreithlon a'ch sail cyfrinachedd yn benodol, ac ysgrifennwch hwy i lawr. Ar gyfer pob llif o ddata iechyd, nodwch y sail gyfreithlon o dan Erthygl 6, yr amod categori arbennig o dan Erthygl 9, a sut y bodlonir y ddyletswydd cyfrinachedd cyfraith gyffredin — caniatâd, porth statudol, neu fudd y cyhoedd. Amwysedd yma yw lle mae prosiectau'n arafu neu'n cael eu tynnu ar ôl lansio. Mae bod yn benodol hefyd yn gadael i chi egluro'r prosesu i gleifion mewn iaith blaen, sydd ei hun yn ofyniad cyfreithiol.

3. Cymhwyswch freintiau lleiaf a mynediad ar sail rôl ym mhob man. Rhowch i glinigwyr, gweinyddwyr, ymchwilwyr a systemau dim ond y mynediad y mae eu rôl yn ei fynnu, ac adolygwch ef yn rheolaidd wrth i bobl symud a gadael. Cofnodwch fynediad at gofnodion sensitif a'i archwilio, oherwydd bod y bygythiad credadwy o gael eich canfod yn atal chwilfrydedd amhriodol cymaint ag unrhyw reolaeth dechnegol. Mae'r rhan fwyaf o doriadau go iawn yn fydol — y person anghywir yn gweld y cofnod anghywir — nid ymyriadau soffistigedig.

4. Cewch y hanfodion seiber yn iawn cyn prynu offer uwch. Mae canllawiau'r NCSC yn ddi-lol ac yn effeithiol: clytiwch yn brydlon, yn enwedig systemau sy'n wynebu'r rhyngrwyd a rhai clinigol; gorfodwch ddilysu aml-ffactor; segmentwch rwydweithiau fel na all haint ledaenu'n rhydd; a chadwch gopïau wrth gefn all-lein wedi'u profi. Lledaenodd WannaCry drwy systemau Windows heb eu clytio, ac mae'r wers yn parhau — mae hylendid sylfaenol yn atal y mwyafrif o ddigwyddiadau. Gwariwch ar y hanfodion yn gyntaf; prynwch ganfod soffistigedig unwaith y bo'r sylfeini'n gadarn.

5. Tybiwch y cewch eich ymosod arnoch, ac ymarferwch eich ymateb. Cynhaliwch ac ymarferwch gynllun ymateb i ddigwyddiadau a pharhad busnes sy'n tybio na fydd systemau ar gael, gan gynnwys ffordd wrth gefn glinigol ar bapur a chynllun cyfathrebu ar gyfer staff a chleifion. Profwch eich copïau wrth gefn drwy adfer ohonynt mewn gwirionedd, oherwydd bod copi wrth gefn nad ydych erioed wedi'i adfer yn obaith, nid rheolaeth. Cynhaliwch ymarferion bwrdd fel nad y tro cyntaf y bydd eich tîm yn trin toriad ransomware yw yn ystod un go iawn.

6. Cwblhewch y DSPT yn onest a'i ddefnyddio fel asesiad go iawn. Mae'r Pecyn Cymorth Diogelwch a Diogelu Data yn ofyniad ar gyfer trin data'r GIG, ond daw ei werth o'i drin fel stocrestr flynyddol onest yn hytrach na defod ticio blychau. Lle na allwch fodloni safon, cofnodwch y bwlch a chynllun gwella credadwy yn hytrach na gorddatgan eich safle. Mae ffurflen DSPT chwyddedig yn rhoi sicrwydd ffug i'ch bwrdd, sy'n waeth na dim.

7. Gwnewch rannu gwybodaeth yn allu a gynlluniwyd, nid yn rhwystr. Ar draws system gofal integredig (ICS), mae gofal da yn dibynnu ar ddata'n croesi ffiniau sefydliadol rhwng ymddiriedolaethau, practisau meddygon teulu, gofal cymdeithasol a darparwyr cymunedol. Rhowch gytundebau rhannu gwybodaeth (ISAs) a chytundebau rhannu data clir ar waith, cytunwch ar y seiliau cyfreithlon a chyfrinachedd ar y cyd, a chynlluniwch gofnodion a rennir fel bod y gweithiwr proffesiynol cywir yn gweld y wybodaeth gywir yn y man lle rhoddir gofal. Y nod yw rhannu diogel, nid dim rhannu — mae atal data y mae ar glinigwr ei angen yn fethiant diogelwch cleifion ynddo'i hun. Mae hyn yn cysylltu'n uniongyrchol â Phwnc 4.3 — Rhyngweithredadwyedd a Safonau Data.

8. Anrhydeddwch ddewis cleifion a byddwch yn dryloyw ynghylch defnyddiau eilaidd. Parchwch y dewis peidio â rhannu data'n genedlaethol ym mhob llif defnydd eilaidd, a chyhoeddwch wybodaeth glir, hygyrch am sut y defnyddir data ar gyfer cynllunio ac ymchwil. Pan rennir data â phartneriaid masnachol neu pan gaiff ei ddefnyddio i hyfforddi modelau, datgelwch hynny'n rhagweithiol yn hytrach na gadael iddo ddod i'r golwg drwy ollyngiad — mae trefniadau cudd wedi sbarduno adlach gyhoeddus a chynnydd mewn dewisiadau peidio â rhannu dro ar ôl tro. Nid cwrteisi yw tryloywder; dyma'r hyn sy'n cadw'r data'n llifo o gwbl.

9. Rheolwch gofnodion ar draws eu cylch bywyd cyfan. Cymhwyswch amserlenni cadw yn seiliedig ar God Ymarfer Rheoli Cofnodion y GIG, gan gael gwared ar gofnodion yn ddiogel pan ddaw eu cyfnod cadw i ben a'u cadw'n hygyrch ac yn gyfan tra bydd yn para. Mae rheoli cofnodion gwael yn creu risg (dal data nad oes ei angen arnoch mwyach) a niwed (colli data y mae clinigwyr yn dibynnu arno). Mae mudo rhwng systemau yn adeg risg uchel — cynlluniwch yn fwriadol ar gyfer ansawdd data, mapio ac archifo.

10. Adeiladwch lywodraethiant i mewn i gaffael a rheoli cyflenwyr. Plygwch ofynion diogelu data a diogelwch i mewn i gontractau: telerau prosesu data, tystysgrif DSPT neu gyfwerth, amserlenni hysbysu am doriadau, a'r hawl i archwilio. Mae diogelwch gwan cyflenwr yn dod yn eich digwyddiad chi a'ch pennawd chi, felly aseswch y gadwyn gyflenwi, nid dim ond eich perimedr eich hun. Gweithiwch hyn ar y cyd â chydweithwyr masnachol fel yr ymdrinnir ag ef ym Mhwnc 6.3 — Caffael a Masnachol, a mynnwch atebion clir ynghylch ble mae data'n cael ei letya a phwy all gael mynediad ato.

11. Buddsoddwch mewn canfod, nid dim ond atal. Tybiwch y bydd rhai ymosodiadau'n mynd drwy eich amddiffynfeydd, ac adeiladwch y gallu i'w gweld: logio canolog, monitro systemau allweddol, a chanolfan gweithrediadau diogelwch — yn fewnol, a rennir ar draws ICS, neu'n tynnu ar wasanaethau cenedlaethol fel yr NCSC a gweithrediadau seiber GIG Lloegr — fel y caiff gweithgarwch amheus ei weld a'i gynnwys yn hytrach na'i ddarganfod wythnosau'n ddiweddarach. Pârwch hyn â rheoli gwendidau a chanfod bygythiadau parhaus, fel eich bod yn clytio'r gwendidau y mae ymosodwyr yn eu hecsbloetio mewn gwirionedd. Mae canfod yn prynu'r amser i chi gynnwys digwyddiad cyn iddo ddod yn doriad gwasanaeth.

12. Trinwch ymosodiad seiber difrifol fel digwyddiad parhad clinigol. Ysgrifennwch, adnoddwch ac ymarferwch gynllun ymateb i ddigwyddiadau seiber sy'n enwi pwy sy'n datgan digwyddiad, pwy sy'n arwain yr ymateb technegol, a phwy sy'n berchen ar ddiogelwch clinigol a chyfathrebu allanol tra bo systemau i lawr. Cysylltwch ef yn uniongyrchol â'ch trefniadau parhad busnes ac adfer ar ôl trychineb (gweler Pwnc 3.9 — Parhad Busnes ac Adfer ar ôl Trychineb) a'ch prosesau digwyddiad mawr a EPRR (gweler Pwnc 3.10 — Parodrwydd Brys, Gwydnwch ac Ymateb), fel y caiff toriad ransomware ei drin â'r un ddisgyblaeth ag unrhyw fygythiad i ofal cleifion. Bydd cynllun sy'n byw yn yr adran TG yn unig yn methu'r funud y daw ymosodiad yn argyfwng clinigol.

Cwestiynau i'w trafod gyda'ch tîm#

1. Ble yn ein gwasanaethau rydym yn rhannu rhy ychydig, a ble rydym yn rhannu gormod — a sut y byddem hyd yn oed yn gwybod? Mae methiannau llywodraethiant gwybodaeth yn rhedeg i'r ddau gyfeiriad. Mae gor-rannu yn ymddangos fel toriadau ac ymddiriedaeth wedi'i herydu; mae tan-rannu yn ymddangos yn dawel, fel clinigwr na allai weld alergedd, pryder diogelu a ddisgynnodd rhwng asiantaethau, neu ryddhad a aeth o'i le oherwydd nad oedd gan dimau cymunedol y cyd-destun. Trafodwch achosion pendant o'ch lleoliad eich hun. A oes gennych duedd — yn aml yn amddiffynnol — sy'n trin atal fel un diogel yn awtomatig? Pa arwyddion fyddai'n dweud wrthych fod ffin rannu'n niweidio cleifion, a phwy sy'n atebol am sylwi? Gall tîm aeddfed enwi enghreifftiau o'r ddau fodd methu ac mae ganddo ffordd o uwchgyfeirio pob un.

2. Pe bai ymosodiad ransomware yn cymryd ein systemau clinigol all-lein bore yfory, beth fyddai'n digwydd mewn gwirionedd yn yr awr gyntaf? Symudwch heibio'r cynllun ar bapur i'r realiti byw. Pwy sy'n datgan y digwyddiad, a sut mae staff yn darganfod pan all e-bost a'r fewnrwyd fod i lawr? Beth yw'r ffordd wrth gefn glinigol ar gyfer rhagnodi, canlyniadau ac adnabod cleifion, ac a yw staff rheng flaen erioed wedi ei hymarfer? Am ba hyd y gall pob gwasanaeth redeg ar bapur cyn i ddiogelwch cleifion ddirywio, a sut ydych yn penderfynu dargyfeirio neu ganslo? Pryd yr adferwyd o gopi wrth gefn ddiwethaf i brofi ei fod yn gweithio? Mae gonestrwydd y sgwrs hon — yn enwedig y bylchau y mae pobl yn gyndyn i'w cyfaddef — yn fesur gwell o wydnwch nag unrhyw sgôr fframwaith.

3. Sut y byddem yn egluro ein defnyddiau o ddata i glaf amheus, ac a fyddai'n teimlo ein bod wedi bod yn onest ag ef? Enillir ymddiriedaeth y cyhoedd mewn iaith blaen, nid hysbysiadau cyfreithiol. Dewiswch ddefnydd eilaidd go iawn o ddata yn eich sefydliad — cynllunio gwasanaethau, partneriaeth ymchwil, trefniant cyflenwr, offeryn deallusrwydd artiffisial — a cheisiwch ei egluro i unigolyn cyffredin: pa ddata, at ba ddiben, pwy sy'n elwa, pa fesurau diogelu, a pha ddewis sydd ganddo. Ble mae'r esboniad yn mynd yn anghyfforddus neu'n osgoi? Mae'r anghysur hwnnw fel arfer yn nodi rhywbeth y dylech naill ai ei newid neu ei gyfathrebu'n fwy agored. Ystyriwch sut y byddai'r dewis peidio â rhannu data'n genedlaethol a'ch deunyddiau tryloywder yn edrych i rywun sy'n dueddol o ddrwgdybio, a chysylltwch hyn â llywodraethiant deallusrwydd artiffisial ym Mhwnc 8.4 — Llywodraethiant Deallusrwydd Artiffisial a Thechnoleg sy'n Dod i'r Amlwg.

4. Pan fo cyflenwr neu bartner yn dal data ein cleifion, digwyddiad pwy yw e — ac a ydym yn sicr y gallem ganfod mewn pryd? Mae'r rhan fwyaf o sefydliadau iechyd a gofal bellach yn dibynnu ar gadwyn o drydydd partïon: cyflenwr y cofnod claf electronig, gwesteiwr cwmwl, darparwr gwasanaeth a reolir, partner patholeg neu ddelweddu. Mae toriad neu doriad gwasanaeth yn unrhyw le yn y gadwyn honno yn dod yn argyfwng clinigol i chi a'ch pennawd, ac eto mae'r contract, y dystysgrif a'r cloc hysbysu am doriad yn aml yn cael llawer llai o graffu na'ch perimedr eich hun. Trafodwch beth rydych yn ei wybod mewn gwirionedd ynghylch ble mae eich data'n cael ei letya, pwy all gael mynediad ato, a pha mor gyflym y mae cyflenwr yn rhwym yn gytundebol i ddweud wrthych pan aiff rhywbeth o'i le. A ydych erioed wedi profi'r llwybr hysbysu hwnnw, neu wedi gweld DSPT cyflenwr neu sicrwydd cyfwerth yn hytrach na'i dderbyn ar ymddiriedaeth? Beth sy'n digwydd os caiff cyflenwr hanfodol ei daro ei hun gan ransomware nos Wener? Mae ateb gonest yn enwi'r cyflenwyr na allwch eu dwyn i gyfrif ar hyn o bryd ac yn cysylltu hyn â Phwnc 6.3 — Caffael a Masnachol.

5. Pwy sy'n berchen mewn gwirionedd ar risg llywodraethiant gwybodaeth yma — ac a fyddent yn clywed am broblem cyn iddi ddod yn argyfwng? Ar bapur, mae DPO a Gwarcheidwad Caldicott yn berchen ar risg cyfrinachedd a diogelu data, ac mae'r bwrdd yn berchen ar wydnwch seiber. Yn ymarferol, mae'r rolau hyn yn aml heb ddigon o adnoddau, yn cael eu hymgynghori'n hwyr, neu'n cael eu trin fel llofnod yn hytrach na llais, felly nid yw risgiau'n cael eu dwyn i'r wyneb na'u huwchgyfeirio nes iddynt ddod i'r wyneb fel digwyddiadau. Siaradwch yn onest ynghylch a yw eich Gwarcheidwad Caldicott a'ch DPO yn cael eu tynnu i mewn i benderfyniadau'n gynnar, a allant ddweud na a chael eu clywed, ac a yw risg seiber yn cyrraedd y bwrdd fel rhywbeth y maent yn ei ddeall ac yn berchen arno yn hytrach nag adroddiad technegol y maent yn nodio drwyddo. A fyddai clinigwr rheng flaen a sylwodd ar fynediad amhriodol, neu beiriannydd a ganfu system hanfodol heb ei chlytio, yn gwybod sut i'w godi ac yn ymddiried y byddai rhywbeth yn digwydd? Y prawf o berchnogaeth yw nid y siart sefydliadol ond a yw newyddion anghyfforddus yn teithio i fyny'n gyflym, ac mae hyn yn cysylltu â'r diwylliant diogelwch a drafodir ym Mhwnc 1.6 — Diogelwch Clinigol a Rheoli Risg.

6. Sut ydym yn penderfynu pa ddata i'w gadw, beth i'w ddileu, a phwy sydd angen mynediad o hyd — a phryd y gwnaethom hynny ddiwethaf mewn gwirionedd? Mae sylw llywodraethiant yn crynhoi ar gasglu a rhannu data, ond cadw, gwaredu ac adolygu mynediad yw lle mae risg dawel yn cronni: cofnodion a ddelir ymhell y tu hwnt i'w cyfnod cadw cyfreithlon, cyfrifon segur sy'n dal i agor systemau byw, a hawliau mynediad a ddilynodd bobl wrth iddynt newid rolau ond na chawsant eu tynnu byth. Mae pob cofnod nad oes ei angen arnoch mwyach yn atebolrwydd yr ydych yn ei storio, ac mae pob manylyn mewngofnodi hen yn ffordd i mewn i ymosodwr neu fewnwr chwilfrydig. Trafodwch a yw eich amserlenni cadw'n dilyn Cod Ymarfer Rheoli Cofnodion y GIG mewn gwirionedd neu mewn polisi yn unig, pryd yr adolygwyd a thocio hawliau mynediad ddiwethaf, a sut yr ydych yn trin yr adeg risg uchel o fudo neu ddatgomisiynu system. Pwy sy'n atebol am wasgu dileu, ac a oes unrhyw un yn cael ei fesur arno? Mae ateb gonest fel arfer yn datgelu cronni data a mynediad nad oes neb wedi bod yn berchen arno ers blynyddoedd.

Yn ymarferol: enghraifft iechyd a gofal#

Mae System Gofal Integredig Meadowford yn sefydlu cofnod gofal a rennir fel y gall clinigwyr ysbyty, meddygon teulu, nyrsys cymunedol a gweithwyr cymdeithasol weld golwg unedig o bob unigolyn. Mae'r rhaglen yn boblogaidd gyda chlinigwyr ac yn weladwy'n wleidyddol, a'r demtasiwn yw symud yn gyflym.

Mae cyfarwyddwr y rhaglen yn mynnu dilyniannu llywodraethiant ochr yn ochr â'r adeiladu yn hytrach na'i ôl. Agorir DPIA o'r cychwyn, dan arweiniad ar y cyd y DPO a'r prif Warcheidwad Caldicott a ddaw o'r sefydliadau partner. Mae'n gorfodi penderfyniadau cynnar, defnyddiol: bydd y cofnod yn dangos crynodeb clinigol wedi'i guradu yn hytrach na phob dogfen hanesyddol; caiff cofnodion gofal cymdeithasol â gwybodaeth trydydd parti eu trin o dan reolau tynnach; a bydd mynediad ar sail rôl, gyda gwiriad perthynas ddilys fel mai dim ond cofnod rhywun yn ei ofal y gall gweithiwr proffesiynol ei agor. Caiff pob mynediad ei logio a'i archwilio, a dywedir wrth staff hynny'n blaen.

Mae'r partneriaid yn cytuno ar un cytundeb rhannu gwybodaeth sy'n cwmpasu'r ddyletswydd cyfrinachedd cyfraith gyffredin a'r seiliau cyfreithlon — gofal uniongyrchol o dan Erthygl 6(1)(e) ac Erthygl 9(2)(h) — ac yn cadarnhau mai dim ond ar gyfer gofal uniongyrchol y defnyddir y cofnod a rennir, felly nid yw'r dewis peidio â rhannu data'n genedlaethol yn ei gyfyngu. Pan ddaw cynnig ar wahân i ddefnyddio'r un data ar gyfer dadansoddeg iechyd y boblogaeth, mae'r tîm yn ei drin fel llif gwahanol â'i DPIA ei hun, ei sail gyfreithlon ei hun, cydymffurfedd â'r dewis peidio â rhannu, a chyfathrebu cyhoeddus, yn hytrach nag ymestyn y cytundeb presennol yn dawel.

Chwe wythnos cyn mynd yn fyw, mae'r arweinydd diogelwch yn cynnal ymarfer bwrdd ransomware. Mae'n datgelu nad oes gan y cofnod a rennir unrhyw ffordd wrth gefn glinigol os daw'n anhygyrch a bod copïau wrth gefn erioed wedi'u hadfer fel prawf. Mae mynd yn fyw yn llithro fis tra bo'r tîm yn ychwanegu copi darllen yn unig all-lein a adnewyddir bob nos, yn profi bod yr adfer yn gweithio, ac yn briffio staff rheng flaen ar y ffordd wrth gefn ar bapur. Mae'r oedi'n amhoblogaidd, ond pan fo gwall clytio cyflenwr yn mynd â'r prif system all-lein am fore dri mis yn ddiweddarach, mae gofal yn parhau ar y ffordd wrth gefn ac ni chollir yr un apwyntiad. Mae hygrededd y rhaglen — ac ymddiriedaeth clinigwyr yn y cofnod — yn goroesi'n gyfan. Roedd y cyfnewidiad yn eglur: roedd lansiad arafach yn prynu gwydnwch y byddai un cyflymach wedi'i gamblo i ffwrdd.

Golwg drwy wahanol sectorau#

Busnes newydd#

Yn aml mae gan fusnes newydd iechyd-dechnoleg y greddfau diogelwch technegol cryfaf a'r ddealltwriaeth wannaf o gyfrinachedd sy'n benodol i iechyd a disgwyliadau sy'n benodol i'r GIG. Os ydych yn fusnes newydd, disgwyliwch gwblhau'r DSPT neu ddangos sicrwydd cyfwerth cyn y bydd corff GIG yn rhannu data â chi, a phenodwch neu gontractiwch DPO yn gynnar. Eich risg fwyaf yw symud yn gyflym ar ddefnyddiau data — dadansoddeg, hyfforddi modelau, partneriaethau — heb y sail gyfreithlon, y DPIA a'r tryloywder y mae'r sector yn eu mynnu, a cholli cwsmer GIG dros nos pan ddaw i'r golwg. Trinwch lywodraethiant gwybodaeth fel gofyniad mynediad i'r farchnad, nid gorbenion, ac adeiladwch ef i mewn tra byddwch yn fach.

Busnes bach#

Mae gan ddarparwr bach sefydledig — practis meddyg teulu, fferyllfa gymunedol, cartref gofal, asiantaeth gofal yn y cartref, clinig un safle, neu gyflenwr iechyd-dechnoleg cymedrol — yr un dyletswyddau cyfreithiol ag ymddiriedolaeth fawr ond â ffracsiwn o'r capasiti: yn aml dim TG mewnol, dim DPO penodedig, a pherchennog neu reolwr practis sy'n llywodraethu data ochr yn ochr â dwsin o swyddi eraill. Eich llwybr realistig yw pwyso ar gymorth a rennir ac allanol — DPO contract, Gwarcheidwad Caldicott a rennir ar draws rhwydwaith gofal sylfaenol, cymorth seiber eich ICS, a chanllawiau'r NCSC ar gyfer sefydliadau bach — yn hytrach nag adeiladu gallu na allwch ei fforddio. Cwblhewch y DSPT yn onest, oherwydd i lawer o ddarparwyr bach mae'n ofyniad cytundebol a'ch rhestr wirio orau wedi'i strwythuro, a chofnodwch fylchau go iawn yn hytrach na chwyddo'r ffurflen. Cewch yr hanfodion fforddiadwy yn iawn yn gyntaf — dilysu aml-ffactor, clytio prydlon, copïau wrth gefn all-lein wedi'u profi, mynediad breintiau lleiaf, a ffordd wrth gefn syml ar bapur — gan fod y rhain yn atal y rhan fwyaf o ddigwyddiadau ac yn costio amser yn fwy nag arian. Byddwch yn arbennig o ofalus gyda chaethiwo cyflenwr a threfniadau cwmwl, lle y gall fod gennych fawr o ddylanwad i drafod telerau ac eto mae'n rhaid i chi wybod ble mae data cleifion yn eistedd a phwy all ei gyrraedd.

Menter fawr#

Mae gan ymddiriedolaeth fawr neu gyflenwr sefydledig bolisïau aeddfed ond mae'n ei chael yn anodd gyda graddfa, systemau etifeddol a darnio: dwsinau o systemau, rheolaethau mynediad anghyson, ystad heb ei chlytio, a llywodraethiant wedi'i ledaenu'n denau ar draws timau. Eich her yw cydlyniad — un olwg o risg, rhestr asedau go iawn, a digon o fuddsoddiad diogelwch i drwsio hanfodion yn hytrach na phrynu offer yn unig. Trawodd WannaCry y sefydliadau mawr galetaf yn union oherwydd ystad etifeddol heb ei chlytio. Defnyddiwch y DSPT a Fframwaith Asesu Seiber yr NCSC i yrru gwelliant gwirioneddol, a sicrhewch fod perchnogaeth ar lefel y bwrdd yn real yn hytrach na'i dirprwyo i anweledigrwydd.

Llywodraeth#

Mae cyrff cenedlaethol a chomisiynwyr yn gosod y fframweithiau — Egwyddorion Caldicott, canllawiau'r Gwarcheidwad Data Cenedlaethol, y dewis peidio â rhannu data'n genedlaethol, y DSPT — ac yn cario cyfrifoldeb am ymddiriedaeth y cyhoedd ar raddfa'r boblogaeth. Mae eich mentrau data yn fawr, yn weladwy ac yn llawn gwleidyddiaeth, ac mae rhaglenni'r gorffennol wedi dangos pa mor gyflym y mae rhannu data cudd neu a esboniwyd yn wael yn sbarduno adlach a dewisiadau peidio â rhannu torfol. Arweiniwch gyda thryloywder, ymgysylltu cyhoeddus ystyrlon ac arolygiaeth annibynnol cyn ehangu, nid wedyn. Cydnabyddwch y cyfnewidiad yr ydych yn berchen arno: mae polisi cenedlaethol rhy ofalus yn amddifadu gofal ac ymchwil o ddata, tra bo polisi diofal yn colli caniatâd y cyhoedd y mae'r data'n eiddo iddo.

Ffyrdd cyffredin o fethu#

• Llywodraethiant fel theatr. DPIAs wedi'u cwblhau ar ôl lansio, ffurflenni DSPT wedi'u chwyddo i edrych yn gydymffurfiol, a pholisïau nad oes neb yn eu dilyn. Mae hyn yn cynhyrchu sicrwydd ffug, sy'n fwy peryglus na gwendid a gydnabyddir.
• Hanfodion diogelwch wedi'u hesgeuluso wrth brynu offer sgleiniog. Systemau heb eu clytio, dim dilysu aml-ffactor, rhwydweithiau gwastad, a chopïau wrth gefn heb eu profi — yr union amodau a adawodd i WannaCry ledaenu — wedi'u gwisgo â llwyfan canfod drud.
• Gormod o ofal amddiffynnol wedi'i wisgo fel diogelwch. Gwrthod rhannu data y mae clinigwr ei angen yn gyfreithlon, gan drin "na" fel un di-risg pan fo alergedd a fethwyd neu fwlch diogelu ei hun yn niwed difrifol i gleifion.
• Defnyddiau eilaidd cudd. Ymestyn data a gasglwyd ar gyfer gofal i ddadansoddeg, cytundebau masnachol neu hyfforddi modelau heb sail gyfreithlon newydd, cydymffurfedd â'r dewis peidio â rhannu, na thryloywder cyhoeddus — nes iddo ollwng ac ymddiriedaeth yn cwympo.
• Copïau wrth gefn na chawsant eu hadfer erioed. Darganfod yn ystod digwyddiad ransomware byw fod y copïau wrth gefn yn anghyflawn, wedi'u llygru, neu wedi'u hamgryptio ynghyd â phopeth arall.
• Atebolrwydd amddifad. DPO neu Warcheidwad Caldicott sy'n bodoli ar y siart sefydliadol ond nas ymgynghorir, adnoddir na gwrandewir arno, fel nad yw risgiau'n cael eu dwyn i'r wyneb na'u perchenogi.

Model aeddfedrwydd#

Rhestr wirio#

• Agorir DPIA ar ddechrau pob prosiect data newydd a'i gymeradwyo gan y DPO.
• Dogfennir y sail gyfreithlon, yr amod categori arbennig a'r sail cyfrinachedd ar gyfer pob llif data.
• Penodir Gwarcheidwad Caldicott a Swyddog Diogelu Data, eu hadnoddi, ac ymgynghorir â hwy mewn gwirionedd.
• Gorfodir mynediad breintiau lleiaf ar sail rôl, a chofnodir ac archwilir mynediad at gofnodion sensitif.
• Caiff systemau eu clytio'n brydlon, gorfodir dilysu aml-ffactor, a segmentir rhwydweithiau.
• Cymerir copïau wrth gefn, eu dal all-lein, a'u hadfer fel prawf yn rheolaidd.
• Dogfennir ac ymarferir cynllun ymateb i ddigwyddiadau a pharhad busnes, gan gynnwys ffordd wrth gefn glinigol ar bapur.
• Cwblheir y DSPT yn onest, gyda bylchau wedi'u cofnodi a chynlluniau gwella credadwy.
• Mae cytundebau rhannu gwybodaeth ar waith ar draws partneriaid yr ICS gyda seiliau y cytunwyd arnynt.
• Cymhwysir y dewis peidio â rhannu data'n genedlaethol i bob defnydd eilaidd a chyhoeddir deunyddiau tryloywder.
• Mae cadw cofnodion a gwaredu diogel yn dilyn Cod Ymarfer Rheoli Cofnodion y GIG.
• Ysgrifennir gofynion diogelu data a diogelwch i mewn i gontractau cyflenwyr ac asesir y gadwyn gyflenwi.

Prif ffynonellau#

• Information Commissioner's Office (ICO) — Guide to UK GDPR, DPIAs, and lawful bases.
• National Data Guardian — reviews and guidance on data security and the Caldicott Principles.
• NHS England — Data Security and Protection Toolkit and the national data opt-out.
• National Cyber Security Centre (NCSC) — cyber security guidance and the Cyber Assessment Framework.
• UK Caldicott Guardian Council — role and responsibilities of the Caldicott Guardian.
• National Audit Office — investigation into the WannaCry cyber attack and the NHS (2017–18).
• NHS Records Management Code of Practice.

Cyfeiriadau#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response