Emne 1.7 — Informationsstyring, databeskyttelse og cybersikkerhed

I sundhed og pleje er beskyttelse af information uadskillelig fra at levere pleje: de samme data, der kan redde et liv, kan, hvis de håndteres forkert, bryde den tillid, der gør behandling mulig – så hvordan du styrer, deler og sikrer dem, er en klinisk, etisk og tillidsmæssig forpligtelse over for offentligheden, ikke en overholdelsesmæssig eftertanke.

Hvorfor det er vigtigt i sundhed og pleje#

Sundheds- og plejedata er blandt de mest følsomme oplysninger, et menneske nogensinde skaber. De registrerer diagnoser, medicin, psykiske episoder, seksuel sundhed, rettigheder knyttet til immigration og de intime detaljer i skrøbelige og sårbare liv. Folk betror disse ting til klinikere på et stiltiende løfte: at oplysningerne vil blive brugt til at hjælpe dem og ikke vil blive spredt skødesløst. Når det løfte brydes – gennem en lækage, et ransomware-udfald eller en uforklaret datadelingsaftale – holder patienter oplysninger tilbage, fravælger journaler eller undgår pleje helt. Det er ikke en abstrakt skade; det forringer klinisk sikkerhed og befolkningssundhed direkte.

Indsatsen er også operationel. Et moderne hospital kan ikke fungere uden sine elektroniske systemer: ordrekommunikation, svar, e-ordination, billeddannelse og patientadministration er alle digitale. Når disse systemer går ned, omdirigeres ambulancer, operationer aflyses, og klinikere vender tilbage til papir på måder, der introducerer deres egne fejl. Informationsstyring og cybersikkerhed er derfor discipliner for kontinuitet i plejen. De hører til side om side med klinisk sikkerhed (emne 1.6 — Klinisk sikkerhed og risikostyring), ikke i en separat overholdelsessilo.

Endelig er der en reel og uundgåelig spænding i centrum af dette emne. Offentligheden forventer med rette, at sundhedsvæsenet bruger data til at forbedre pleje, planlægge tjenester og understøtte forskning, der finder morgendagens behandlinger. Den forventer også fortrolighed og kontrol. Disse mål trækker i hver sin retning, og din opgave som leder er ikke at foregive, at spændingen ikke findes, men at håndtere den åbent – at muliggøre legitim brug, mens sikkerhedsforanstaltningerne og de valg, patienter har, gøres synlige og ærlige. Rammer du balancen forkert i begge retninger, taber du: enten sulter du pleje og forskning for data, eller du udhuler den tillid, hele systemet afhænger af.

Kernebegreber#

Bag dette felt ligger disciplinen informationsstyring – rammen af regler, roller og kontroller, hvormed en organisation håndterer information lovligt, sikkert og etisk. I Storbritannien er de primære retlige fundamenter den britiske generelle databeskyttelsesforordning (UK GDPR), den nationale version af EU-forordningen bibeholdt efter Brexit, og Data Protection Act 2018 (DPA 2018), som supplerer den. Sammen kræver de, at personoplysninger behandles lovligt, rimeligt og gennemsigtigt, og at enhver behandlingsaktivitet hviler på et lovligt grundlag. Sundhedsoplysninger er data i særlige kategorier, som kræver både et lovligt grundlag efter artikel 6 og en supplerende betingelse efter artikel 9 – for direkte pleje typisk levering af sundheds- eller socialpleje af en fagperson under tavshedspligt.

Databeskyttelseslovgivning er ikke den eneste begrænsning. Den almindelige retlige tavshedspligt er en separat, ældre forpligtelse: oplysninger givet i fortrolighed må ikke videregives uden enten samtykke, et retligt krav eller en overordnet almen interesse. Du kan være fuldt ud i overensstemmelse med UK GDPR og stadig bryde tavshedspligten, så begge skal opfyldes.

To sundhedsspecifikke rammeværker omsætter disse pligter til praksis. Caldicott-principperne – et sæt principper (nu otte) for håndtering af fortrolige patientoplysninger, første gang fastlagt i Caldicott-rapporten fra 1997 – opretholdes inden for hver organisation af en Caldicott Guardian, en senior person, der er ansvarlig for at beskytte patienters fortrolighed og muliggøre passende informationsdeling. Nationalt er National Data Guardian for Health and Social Care (NDG) en uafhængig lovbestemt stemme, der rådgiver om, hvordan patientdata bør bruges og beskyttes. Den nationale dataopt-out giver patienter en mekanisme til at forhindre, at deres fortrolige oplysninger bruges til formål ud over deres direkte pleje, såsom planlægning og forskning, og organisationer skal respektere den.

Operationelt er en konsekvensanalyse vedrørende databeskyttelse (DPIA) den strukturerede vurdering, du gennemfører før behandling, der sandsynligvis indebærer høj risiko – hvilket de fleste nye sundhedsdataprojekter gør – for at identificere og afbøde privatlivsrisici. Hver organisation skal udpege en databeskyttelsesrådgiver (DPO), en uafhængig rolle med ansvar for at rådgive om og overvåge overholdelse. I England er Data Security and Protection Toolkit (DSPT) den årlige selvvurdering, hvormed sundheds- og plejeorganisationer påviser, at de opfylder de standarder for datasikkerhed og informationsstyring, der kræves for at håndtere NHS-data.

På sikkerhedssiden leverer National Cyber Security Centre (NCSC) autoritativ britisk vejledning og, gennem sit Cyber Assessment Framework (CAF), en struktureret måde at måle cyberrobusthed. God praksis hviler på veletablerede grundprincipper: defence in depth, at lagdele flere kontroller, så ingen enkelt svigt er katastrofal; princippet om mindste rettighed, at give mennesker og systemer kun den adgang, de reelt har brug for; disciplineret patching og afprøvede sikkerhedskopier; og beredskab over for ransomware, den malware der krypterer systemer for at afpresse. Fordi forebyggelse alene aldrig holder, investerer modne organisationer også i drift: et sikkerhedsoperationscenter (SOC) – en kapabilitet, internt eller delt, der overvåger logs og telemetri for at opdage og inddæmme indtrængen – og en indøvet hændelseshåndteringsproces til hurtigt at komme fra opdagelse til genopretning. WannaCry-ransomwareangrebet i 2017, som lammede omkring en tredjedel af NHS-hospitalerne i England og anslås at have forårsaget en konsekvens på 92 millioner pund, forbliver det definerende skræmmeeksempel – dets skade flød i høj grad fra ikke-opdaterede systemer, ikke eksotisk hacking.

Bedste praksis#

1. Start hvert dataprojekt med en DPIA, og behandl den som design, ikke papirarbejde. Før du bygger eller indkøber noget, der behandler personoplysninger, gennemgå en konsekvensanalyse vedrørende databeskyttelse sammen med din DPO og Caldicott Guardian. Gjort tidligt former den designet – minimerer de indsamlede data, vælger pseudonymisering, strammer adgang – frem for at gummistemple beslutninger, der allerede er truffet. En DPIA parkeret til idriftsættelsen er et advarselstegn på, at styring er teater.

2. Navngiv dit lovlige grundlag og dit fortrolighedsgrundlag eksplicit, og skriv dem ned. For hvert flow af sundhedsdata angiv det lovlige grundlag efter artikel 6, betingelsen for særlige kategorier efter artikel 9 og hvordan den almindelige retlige tavshedspligt er opfyldt – samtykke, en lovbestemt gateway eller almen interesse. Tvetydighed her er, hvor projekter går i stå eller trækkes efter lancering. At være eksplicit lader dig også forklare behandlingen for patienter i et letforståeligt sprog, hvilket i sig selv er et retligt krav.

3. Anvend mindste rettighed og rollebaseret adgang overalt. Giv klinikere, administratorer, forskere og systemer kun den adgang, deres rolle kræver, og gennemgå den regelmæssigt, efterhånden som folk skifter og forlader organisationen. Log adgang til følsomme journaler og revidér den, fordi den troværdige trussel om opdagelse afskrækker upassende nysgerrighed lige så meget som enhver teknisk kontrol. De fleste reelle brud er hverdagsagtige – den forkerte person ser den forkerte journal – ikke sofistikeret indtrængen.

4. Få cybergrundprincipperne rigtige, før du køber avancerede værktøjer. NCSC’s vejledning er ufascinerende og effektiv: patch hurtigt, især internetvendte og kliniske systemer; håndhæv multifaktorgodkendelse; segmentér netværk, så en infektion ikke kan sprede sig frit; og vedligehold offline, afprøvede sikkerhedskopier. WannaCry spredte sig gennem ikke-opdaterede Windows-systemer, og lektien består – grundlæggende hygiejne forebygger størstedelen af hændelserne. Brug penge på grundprincipperne først; køb sofistikeret detektion, når det basale er solidt.

5. Antag, at du vil blive angrebet, og øv dit svar. Vedligehold og øv en plan for hændelseshåndtering og forretningskontinuitet, der antager, at systemer vil være utilgængelige, herunder klinisk reserveløsning på papir og en kommunikationsplan for personale og patienter. Test dine sikkerhedskopier ved faktisk at genskabe fra dem, for en sikkerhedskopi, du aldrig har genskabt, er et håb, ikke en kontrol. Kør bordøvelser, så første gang dit team håndterer et ransomware-udfald ikke er under et rigtigt.

6. Gennemfør DSPT ærligt, og brug den som en reel vurdering. Data Security and Protection Toolkit er et krav for at håndtere NHS-data, men dens værdi kommer af at behandle den som en ærlig årlig status frem for et afkrydsningsritual. Hvor du ikke kan opfylde en standard, registrér hullet og en troværdig forbedringsplan frem for at overdrive din position. En oppustet DSPT-indberetning giver din bestyrelse falsk assurance, hvilket er værre end ingen.

7. Gør informationsdeling til en designet kapabilitet, ikke en hindring. På tværs af et integreret plejesystem (ICS) afhænger god pleje af, at data krydser organisatoriske grænser mellem hospitaler, lægepraksis, socialpleje og kommunale udbydere. Etablér klare informationsdelingsaftaler (ISA’er) og datadelingsaftaler, aftal de lovlige grundlag og fortrolighedsgrundlag i fællesskab, og design fælles journaler, så den rette fagperson ser den rette information i behandlingsøjeblikket. Målet er sikker deling, ikke ingen deling – at tilbageholde data, en kliniker har brug for, er i sig selv en patientsikkerhedsfejl. Dette hænger direkte sammen med emne 4.3 — Interoperabilitet og datastandarder.

8. Respektér patientens valg, og vær gennemsigtig om sekundær brug. Respektér den nationale dataopt-out i hvert sekundært brugsflow, og offentliggør klar, tilgængelig information om, hvordan data bruges til planlægning og forskning. Når data deles med kommercielle partnere eller bruges til at træne modeller, offentliggør det proaktivt frem for at lade det komme frem gennem en lækage – skjulte aftaler har gentagne gange udløst offentlig modreaktion og stigninger i opt-outs. Gennemsigtighed er ikke en høflighed; det er det, der overhovedet holder data i flow.

9. Styr journaler gennem hele deres livscyklus. Anvend opbevaringsplaner baseret på NHS Records Management Code of Practice, bortskaf journaler sikkert, når deres opbevaringsperiode udløber, og hold dem tilgængelige og intakte, så længe den varer. Dårlig journalstyring skaber både risiko (at beholde data, du ikke længere har brug for) og skade (at miste data, klinikere er afhængige af). Migrering mellem systemer er et højrisikoøjeblik – planlæg bevidst for datakvalitet, mapping og arkivering.

10. Byg styring ind i indkøb og leverandørstyring. Bag krav til databeskyttelse og sikkerhed ind i kontrakter: databehandlervilkår, DSPT eller tilsvarende certificering, tidsfrister for underretning om brud og retten til at revidere. En leverandørs svage sikkerhed bliver din hændelse og din overskrift, så vurdér forsyningskæden, ikke kun din egen perimeter. Arbejd med dette sammen med kommercielle kolleger, som beskrevet i emne 6.3 — Indkøb og kommercielt arbejde, og kræv klare svar om, hvor data hostes, og hvem der kan få adgang til dem.

11. Invester i detektion, ikke kun forebyggelse. Antag, at nogle angreb vil trænge igennem dine forsvar, og byg kapabiliteten til at se dem: central logføring, overvågning af nøglesystemer og et sikkerhedsoperationscenter – internt, delt på tværs af et ICS eller trækkende på nationale tjenester som NCSC’s og NHS Englands cyberoperationer – så mistænkelig aktivitet opdages og inddæmmes frem for at blive opdaget uger senere. Par dette med kontinuerlig sårbarhedsstyring og trusselsdetektion, så du patcher de svagheder, angribere faktisk udnytter. Detektion køber dig tid til at inddæmme en hændelse, før den bliver et udfald.

12. Behandl et alvorligt cyberangreb som en begivenhed for klinisk kontinuitet. Skriv, ressourcesæt og øv en cyberhændelsesplan, der nævner, hvem der erklærer en hændelse, hvem der leder den tekniske indsats, og hvem der ejer klinisk sikkerhed og ekstern kommunikation, mens systemer er nede. Kobl den direkte til dine ordninger for forretningskontinuitet og katastrofeberedskab (se emne 3.9 — Forretningskontinuitet og katastrofeberedskab) og dine processer for større hændelser og EPRR (se emne 3.10 — Beredskab, robusthed og indsats), så et ransomware-udfald håndteres med samme disciplin som enhver trussel mod patientpleje. En plan, der kun lever i it-afdelingen, vil svigte i det øjeblik, et angreb bliver en klinisk krise.

Spørgsmål at drøfte med dit team#

1. Hvor i vores tjenester deler vi for lidt, og hvor deler vi for meget – og hvordan ville vi overhovedet vide det? Fejl i informationsstyring går i begge retninger. Overdeling viser sig som brud og udhulet tillid; underdeling viser sig stille, som en kliniker, der ikke kunne se en allergi, en bekymring om beskyttelse, der faldt mellem myndigheder, eller en udskrivning, der gik galt, fordi kommunale teams manglede kontekst. Drøft konkrete tilfælde fra jeres egen sammenhæng. Har I en – ofte defensiv – bias, der behandler tilbageholdelse som automatisk sikker? Hvilke signaler ville fortælle jer, at en delingsgrænse skader patienter, og hvem er ansvarlig for at bemærke det? Et modent team kan nævne eksempler på begge fejlmønstre og har en vej til at eskalere hvert af dem.

2. Hvis et ransomware-angreb tog vores kliniske systemer offline i morgen tidlig, hvad ville der da faktisk ske i den første time? Gå ud over planen på papir til den levede virkelighed. Hvem erklærer hændelsen, og hvordan får personalet det at vide, når e-mail og intranet måske er nede? Hvad er den kliniske reserveløsning for ordination, svar og patientidentifikation, og har frontpersonale nogensinde øvet den? Hvor længe kan hver tjeneste køre på papir, før patientsikkerheden forringes, og hvordan beslutter I at omdirigere eller aflyse? Hvornår genskabte I sidst fra en sikkerhedskopi for at bevise, at det virker? Ærligheden i denne samtale – især de huller, folk er tilbageholdende med at indrømme – er et bedre mål for robusthed end enhver rammescore.

3. Hvordan ville vi forklare vores databrug for en skeptisk patient, og ville de føle, at vi havde været ligefremme over for dem? Offentlig tillid optjenes i et letforståeligt sprog, ikke juridiske meddelelser. Vælg en reel sekundær brug af data i jeres organisation – serviceplanlægning, et forskningspartnerskab, en leverandøraftale, et AI-værktøj – og prøv at forklare den for en almindelig person: hvilke data, til hvilket formål, hvem der drager fordel, hvilke sikkerhedsforanstaltninger, og hvilket valg de har. Hvor bliver forklaringen ubehagelig eller undvigende? Det ubehag markerer som regel noget, I enten bør ændre eller kommunikere mere åbent. Overvej, hvordan den nationale dataopt-out og jeres gennemsigtighedsmateriale ville se ud for en, der på forhånd er tilbøjelig til mistillid, og forbind dette med styring af AI i emne 8.4 — Styring af AI og ny teknologi.

4. Når en leverandør eller partner har vores patienters data, hvis hændelse er det så – og er vi sikre på, at vi kunne finde ud af det i tide? De fleste sundheds- og plejeorganisationer afhænger nu af en kæde af tredjeparter: EPJ-leverandøren, en cloud-vært, en udbyder af administrerede tjenester, en patologi- eller billedpartner. Et brud eller udfald et vilkårligt sted i den kæde bliver din kliniske krise og din overskrift, men kontrakten, certificeringen og underretningsuret for brud får ofte langt mindre granskning end din egen perimeter. Drøft, hvad I faktisk ved om, hvor jeres data hostes, hvem der kan få adgang, og hvor hurtigt en leverandør er kontraktligt forpligtet til at fortælle jer, når noget går galt. Har I nogensinde testet den underretningsvej eller set en leverandørs DSPT eller tilsvarende assurance frem for at tage den på tillid? Hvad sker der, hvis en kritisk leverandør selv bliver ramt af ransomware en fredag aften? Et ærligt svar nævner de leverandører, I i dag ikke kan holde til ansvar, og forbinder dette med emne 6.3 — Indkøb og kommercielt arbejde.

5. Hvem ejer reelt risikoen inden for informationsstyring her – og ville de høre om et problem, før det blev en krise? På papiret ejer en DPO og en Caldicott Guardian fortrolighed og databeskyttelsesrisiko, og bestyrelsen ejer cyberrobusthed. I praksis er disse roller ofte underressourcesat, konsulteres sent eller behandles som en godkendelse frem for en stemme, så risici hverken bringes frem eller eskaleres, før de dukker op som hændelser. Tal ærligt om, hvorvidt jeres Caldicott Guardian og DPO faktisk trækkes ind i beslutninger tidligt, om de kan sige nej og blive hørt, og om cyberrisiko når bestyrelsen som noget, de forstår og ejer, frem for en teknisk rapport, de nikker igennem. Ville en kliniker fra frontlinjen, der opdagede upassende adgang, eller en udvikler, der fandt et ikke-opdateret kritisk system, vide, hvordan de skulle rejse det, og stole på, at der ville ske noget? Testen på ejerskab er ikke organisationsdiagrammet, men om ubehagelige nyheder rejser hurtigt opad, og dette hænger sammen med den sikkerhedskultur, der drøftes i emne 1.6 — Klinisk sikkerhed og risikostyring.

6. Hvordan beslutter vi, hvilke data vi skal beholde, hvad vi skal slette, og hvem der stadig har brug for adgang – og hvornår gjorde vi det sidst rent faktisk? Styringens opmærksomhed koncentrerer sig om at indsamle og dele data, men opbevaring, bortskaffelse og adgangsgennemgang er der, hvor stille risiko akkumuleres: journaler holdt langt ud over deres lovlige opbevaringsperiode, hvilende konti, der stadig åbner systemer i drift, og adgangsrettigheder, der fulgte folk, da de skiftede rolle, men aldrig blev fjernet. Hver journal, du ikke længere har brug for, er et ansvar, du opbevarer, og hvert forældet legitimationsoplysning er en vej ind for en angriber eller en nysgerrig insider. Drøft, om jeres opbevaringsplaner følger NHS Records Management Code of Practice i virkeligheden eller kun i politik, hvornår adgangsrettigheder sidst blev gennemgået og beskåret, og hvordan I håndterer det højrisiko øjeblik, når et system migreres eller nedlægges. Hvem er ansvarlig for at trykke på slet, og bliver nogen målt på det? Et ærligt svar afslører som regel en ophobning af data og adgang, ingen har ejet i årevis.

I praksis: et eksempel fra sundhed og pleje#

Meadowford Integrated Care System er ved at etablere en fælles omsorgsjournal, så hospitalsklinikere, praktiserende læger, kommunale sygeplejersker og socialrådgivere kan se et samlet overblik over hver person. Programmet er populært blandt klinikere og politisk synligt, og fristelsen er at bevæge sig hurtigt.

Programdirektøren insisterer på at sekventere styring side om side med udviklingen frem for bagved den. En DPIA åbnes fra starten, ledet i fællesskab af DPO’en og den ledende Caldicott Guardian hentet fra partnerorganisationerne. Den tvinger tidlige, nyttige beslutninger: journalen vil vise et kurateret klinisk resumé frem for hvert historisk dokument; socialplejejournaler med tredjepartsoplysninger håndteres under strammere regler; og adgang vil være rollebaseret, med en kontrol af legitimt forhold, så en fagperson kun kan åbne en journal for en person i deres pleje. Hver adgang logføres og revideres, og personalet får det at vide ligeud.

Partnerne aftaler en enkelt informationsdelingsaftale, der dækker den almindelige retlige tavshedspligt og de lovlige grundlag – direkte pleje under artikel 6(1)(e) og artikel 9(2)(h) – og bekræfter, at den fælles journal kun bruges til direkte pleje, så den nationale dataopt-out ikke begrænser den. Da et separat forslag ankommer om at bruge de samme data til befolkningssundhedsanalyse, behandler teamet det som et særskilt flow med sin egen DPIA, sit eget lovlige grundlag, overholdelse af opt-out og offentlig kommunikation frem for stille og roligt at udvide den eksisterende aftale.

Seks uger før idriftsættelsen kører sikkerhedslederen en bordøvelse med ransomware. Den afslører, at den fælles journal ikke har nogen klinisk reserveløsning, hvis den bliver utilgængelig, og at sikkerhedskopier aldrig er testet ved genskabelse. Idriftsættelsen skubbes en måned, mens teamet tilføjer en offline skrivebeskyttet kopi opdateret hver nat, beviser, at genskabelsen virker, og briefer frontpersonale om papirreserveløsningen. Forsinkelsen er upopulær, men da en leverandørs patchfejl tre måneder senere tager hovedsystemet offline en formiddag, fortsætter plejen på reserveløsningen, og ingen aftaler går tabt. Programmets troværdighed – og klinikernes tillid til journalen – overlever intakt. Afvejningen var eksplicit: en langsommere lancering købte robusthed, som en hurtigere ville have sat på spil.

Sektorperspektiver#

Startup#

En sundhedsteknologisk startup har ofte de stærkeste tekniske sikkerhedsinstinkter og det svageste greb om sundhedsspecifik fortrolighed og NHS-specifikke forventninger. Er du en startup, så forvent at gennemføre DSPT eller påvise tilsvarende assurance, før et NHS-organ vil dele data med dig, og udpeg eller kontrahér en DPO tidligt. Din største risiko er at bevæge dig hurtigt på databrug – analyse, modeltræning, partnerskaber – uden det lovlige grundlag, den DPIA og den gennemsigtighed, sektoren kræver, og at miste en NHS-kunde natten over, når det kommer frem. Behandl informationsstyring som et krav for markedsadgang, ikke overhead, og byg det ind, mens du er lille.

Lille virksomhed#

En etableret lille udbyder – en lægepraksis, et lokalt apotek, et plejehjem, et hjemmeplejefirma, en enkelt klinik eller en beskeden sundhedsteknologileverandør – bærer de samme retlige pligter som et stort hospital, men med en brøkdel af kapaciteten: ofte ingen intern it, ingen dedikeret DPO og en ejer eller praksisleder, der styrer data ved siden af et dusin andre opgaver. Jeres realistiske vej er at læne jer op ad delt og ekstern hjælp – en kontraheret DPO, en Caldicott Guardian delt på tværs af et primærsundhedsnetværk, jeres ICS’ets cyberstøtte og NCSC’s vejledning til små organisationer – frem for at bygge kapabilitet, I ikke har råd til. Gennemfør DSPT ærligt, fordi den for mange små udbydere både er et kontraktligt krav og jeres bedst strukturerede tjekliste, og registrér reelle huller frem for at oppuste indberetningen. Få de overkommelige grundprincipper rigtige først – MFA, hurtig patching, offline afprøvede sikkerhedskopier, adgang efter mindste rettighed og en simpel papirreserveløsning – da disse forebygger de fleste hændelser og koster mere tid end penge. Vær særligt omhyggelig med leverandørlåsning og cloud-ordninger, hvor I kan have ringe forhandlingsstyrke over vilkår og stadig skal vide, hvor patientdata ligger, og hvem der kan nå dem.

Stor virksomhed#

Et stort hospital eller en etableret leverandør har modne politikker, men kæmper med skala, legacy og fragmentering: dusinvis af systemer, inkonsekvente adgangskontroller, ikke-opdateret landskab og styring tyndt fordelt på tværs af teams. Jeres udfordring er sammenhæng – et samlet overblik over risiko, en reel aktivfortegnelse og nok sikkerhedsinvestering til at rette grundprincipperne frem for kun at købe værktøjer. WannaCry ramte store organisationer hårdest netop på grund af ikke-opdateret legacy-landskab. Brug DSPT og NCSC’s Cyber Assessment Framework til at drive reel forbedring, og sørg for, at ejerskab på bestyrelsesniveau er virkeligt frem for uddelegeret ud i usynlighed.

Myndighed#

Nationale organer og bestillere fastsætter rammeværkerne – Caldicott-principperne, National Data Guardians vejledning, den nationale dataopt-out, DSPT – og bærer ansvaret for offentlig tillid i befolkningsskala. Jeres datainitiativer er store, synlige og politisk ladede, og tidligere programmer har vist, hvor hurtigt skjult eller dårligt forklaret datadeling udløser modreaktion og massive opt-outs. Led med gennemsigtighed, meningsfuld offentlig inddragelse og uafhængigt tilsyn, før I skalerer, ikke efter. Anerkend den afvejning, I ejer: overdrevent forsigtig national politik sulter pleje og forskning for data, mens skødesløs politik forspilder samtykket fra den offentlighed, hvis data det er.

Typiske fejlmønstre#

• Styring som teater. DPIA’er gennemført efter lancering, DSPT-indberetninger oppustet for at se i overensstemmelse ud og politikker, ingen følger. Det producerer falsk assurance, som er farligere end erkendt svaghed.
• Sikkerhedsgrundprincipper forsømt, mens der købes blændende værktøjer. Ikke-opdaterede systemer, ingen multifaktorgodkendelse, flade netværk og uprøvede sikkerhedskopier – netop de forhold, der lod WannaCry sprede sig – pyntet med en dyr detektionsplatform.
• Defensiv overforsigtighed forklædt som sikkerhed. At nægte at dele data, en kliniker legitimt har brug for, og behandle "nej" som risikofrit, når en overset allergi eller et hul i beskyttelsen i sig selv er alvorlig patientskade.
• Skjulte sekundære anvendelser. At udvide data indsamlet til pleje til analyse, kommercielle aftaler eller modeltræning uden et nyt lovligt grundlag, overholdelse af opt-out eller offentlig gennemsigtighed – indtil det lækker, og tilliden kollapser.
• Sikkerhedskopier, der aldrig blev genskabt. At opdage under et ransomware-angreb i gang, at sikkerhedskopierne er ufuldstændige, ødelagte eller krypteret sammen med alt andet.
• Forældreløst ansvar. En DPO eller Caldicott Guardian, der findes i organisationsdiagrammet, men ikke konsulteres, ressourcesættes eller lyttes til, så risici hverken bringes frem eller ejes.

Modenhedsmodel#

Tjekliste#

• En DPIA åbnes ved starten af hvert nyt dataprojekt og godkendes af DPO’en.
• Det lovlige grundlag, betingelsen for særlige kategorier og fortrolighedsgrundlaget er dokumenteret for hvert dataflow.
• En Caldicott Guardian og en databeskyttelsesrådgiver er udpeget, ressourcesat og faktisk konsulteret.
• Rollebaseret adgang efter mindste rettighed håndhæves, og adgang til følsomme journaler logføres og revideres.
• Systemer patches hurtigt, multifaktorgodkendelse håndhæves, og netværk segmenteres.
• Sikkerhedskopier tages, opbevares offline og test-genskabes efter en regelmæssig plan.
• En plan for hændelseshåndtering og forretningskontinuitet, herunder klinisk papirreserveløsning, er dokumenteret og øvet.
• DSPT gennemføres ærligt, med registrerede huller og troværdige forbedringsplaner.
• Informationsdelingsaftaler er på plads på tværs af ICS-partnere med aftalte grundlag.
• Den nationale dataopt-out anvendes på alle sekundære anvendelser, og gennemsigtighedsmateriale er offentliggjort.
• Journalopbevaring og sikker bortskaffelse følger NHS Records Management Code of Practice.
• Krav til databeskyttelse og sikkerhed er skrevet ind i leverandørkontrakter, og forsyningskæden er vurderet.

Centrale kilder#

• Information Commissioner’s Office (ICO) — Guide to UK GDPR, DPIAs og lovlige grundlag.
• National Data Guardian — gennemgange og vejledning om datasikkerhed og Caldicott-principperne.
• NHS England — Data Security and Protection Toolkit og den nationale dataopt-out.
• National Cyber Security Centre (NCSC) — vejledning om cybersikkerhed og Cyber Assessment Framework.
• UK Caldicott Guardian Council — Caldicott Guardianens rolle og ansvar.
• National Audit Office — undersøgelse af WannaCry-cyberangrebet og NHS (2017–18).
• NHS Records Management Code of Practice.

Referencer#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response