Viðfangsefni 1.7 — Upplýsingastjórnarhættir, gagnavernd og netöryggi

Í heilbrigðis- og velferðarþjónustu er vernd upplýsinga óaðskiljanleg frá því að veita umönnun: sömu gögn sem bjarga lífi geta, ef illa farið, brotið traustið sem gerir meðferð mögulega – svo hvernig þú stýrir, deilir og tryggir þau er klínísk, siðferðileg og almannatraustsskylda, ekki reglufylgni-eftiráhugsun.

Hvers vegna þetta skiptir máli í heilbrigðis- og velferðarþjónustu#

Heilbrigðis- og velferðargögn eru meðal viðkvæmustu upplýsinga sem manneskja býr nokkru sinni til. Þau skrá greiningar, lyf, geðheilbrigðisþætti, kynheilbrigði, réttindi tengd innflytjendamálum og nánustu smáatriði veikburða og viðkvæmra lífa. Fólk upplýsir þetta fyrir klínísku starfsfólki á óbeinu loforði: að upplýsingarnar verði notaðar til að hjálpa því og ekki dreift af kæruleysi. Þegar það loforð brestur – gegnum leka, gíslatökuhugbúnaðarstöðvun eða óútskýrðan gagnamiðlunarsamning – halda sjúklingar upplýsingum eftir, afþakka skrár eða forðast umönnun alfarið. Það er ekki óhlutbundinn skaði; það rýrir klínískt öryggi og lýðheilsu beint.

Hagsmunirnir eru líka rekstrarlegir. Nútíma sjúkrahús getur ekki starfað án rafrænna kerfa sinna: pantanasamskipti, niðurstöður, rafræn lyfjaávísun, myndgreining og sjúklingastjórnun eru öll stafræn. Þegar þau kerfi detta niður beina sjúkrabílar annað, aðgerðir falla niður og klínískt starfsfólk snýr aftur í pappír á hátt sem leiðir inn eigin villur. Upplýsingastjórnarhættir og netöryggi eru því samfellu-umönnunar-greinar. Þær tilheyra við hlið klínísks öryggis (Viðfangsefni 1.6 — Klínískt öryggi og áhættustýring), ekki í sérstöku reglufylgni-sílói.

Að lokum er ósvikin og óumflýjanleg spenna í miðju þessa viðfangsefnis. Almenningur væntir réttilega að heilbrigðisþjónustan noti gögn til að bæta umönnun, skipuleggja þjónustu og styðja rannsóknir sem finna meðferðir morgundagsins. Hann væntir líka trúnaðar og stjórnar. Þessi markmið togast á, og verk þitt sem leiðtogi er ekki að þykjast spennuna burt heldur að stýra henni opinskátt – að gera lögmæta notkun mögulega meðan öryggisráðstafanirnar, og valið sem sjúklingar hafa, eru gerð sýnileg og heiðarleg. Fáðu jafnvægið rangt í hvora átt og þú tapar: annaðhvort sveltir þú umönnun og rannsóknir af gögnum, eða þú rýrir traustið sem allt kerfið veltur á.

Lykilhugtök#

Undir þessu sviði liggur fræðigrein upplýsingastjórnarhátta – ramminn af reglum, hlutverkum og stýringum sem skipulagsheild meðhöndlar upplýsingar gegnum löglega, örugglega og siðferðilega. Í Bretlandi eru helstu lagalegu undirstöðurnar bresk almenn persónuverndarreglugerð (UK GDPR), innlenda útgáfa ESB-reglugerðarinnar varðveitt eftir Brexit, og Data Protection Act 2018 (DPA 2018), sem viðbætir hana. Saman krefjast þau að persónuupplýsingar séu unnar löglega, sanngjarnt og gagnsætt, og að hver vinnslustarfsemi hvíli á lagagrundvelli. Heilbrigðisupplýsingar eru sérstakur flokkur gagna, sem þarfnast bæði lagagrundvallar samkvæmt 6. gr. og viðbótarskilyrðis samkvæmt 9. gr. – fyrir beina umönnun, venjulega veitingu heilbrigðis- eða félagsþjónustu af fagmanni undir trúnaðarskyldu.

Gagnaverndarlög eru ekki eina takmörkunin. Almenna trúnaðarskylda réttarvenjunnar er sérstök, eldri skylda: upplýsingar gefnar í trúnaði má ekki upplýsa án annaðhvort samþykkis, lagakröfu eða yfirgnæfandi almannahagsmuna. Þú getur fylgt UK GDPR fullkomlega og samt brotið trúnað, svo hvort tveggja verður að vera uppfyllt.

Tveir heilbrigðissértækir rammar þýða þessar skyldur í framkvæmd. Caldicott-reglurnar – sett reglna (nú átta) um meðhöndlun trúnaðarsjúklingaupplýsinga, fyrst settar fram í Caldicott-skýrslunni 1997 – eru varðar innan hverrar skipulagsheildar af Caldicott-verndara, æðra fólki sem ber ábyrgð á að vernda sjúklingatrúnað og gera viðeigandi upplýsingamiðlun mögulega. Á landsvísu er National Data Guardian for Health and Social Care (NDG) sjálfstæð, lögbundin rödd sem ráðleggur um hvernig sjúklingagögn ættu að vera notuð og varin. Landsbundna gagnaafþökkunin gefur sjúklingum vélbúnað til að koma í veg fyrir að trúnaðarupplýsingar þeirra séu notaðar í tilgangi umfram beina umönnun, svo sem skipulag og rannsóknir, og skipulagsheildir verða að virða hana.

Rekstrarlega er gagnaverndaráhrifamat (DPIA) skipulagða matið sem þú klárar áður en vinnsla sem líklega er há áhætta – sem flest ný heilbrigðisgagnaverkefni eru – til að greina og draga úr persónuverndaráhættu. Sérhver skipulagsheild verður að skipa gagnaverndarfulltrúa (DPO), sjálfstætt hlutverk ábyrgt fyrir ráðgjöf um og vöktun á reglufylgni. Á Englandi er Data Security and Protection Toolkit (DSPT) árlega sjálfsmatið sem heilbrigðis- og velferðarskipulagsheildir sýna með að þær uppfylli gagnaöryggis- og upplýsingastjórnarháttastaðlana sem krafist er til að meðhöndla NHS-gögn.

Öryggismegin veitir National Cyber Security Centre (NCSC) viðurkennda bresku leiðsögn og, gegnum Cyber Assessment Framework (CAF) sitt, skipulagða leið til að mæla netseiglu. Traust starfsvenja hvílir á vel þekktum grunnatriðum: dýptarvörn, að leggja margar stýringar í lög svo engin ein bilun sé skelfileg; minnstu-réttinda-reglan, að veita fólki og kerfum aðeins aðgang sem það þarfnast raunverulega; agaða plástrun og prófaða afritun; og viðbúnað fyrir gíslatökuhugbúnað, spilliforritið sem dulkóðar kerfi til fjárkúgunar. Þar sem forvarnir einar halda aldrei fjárfesta þroskaðar skipulagsheildir líka í rekstri: öryggisrekstrarmiðstöð (SOC) – geta, innanhúss eða sameiginleg, sem vaktar skrár og fjarmælingar til að greina og innihalda innbrot – og æfða atvikaviðbragðs ferli til að færa sig hratt frá greiningu til endurheimtar. WannaCry-gíslatökuárásin 2017, sem raskaði um þriðjungi NHS-samsteypa á Englandi og olli áætluðum 92 milljón punda áhrifum, er áfram skilgreinandi viðvörunardæmi – skaði hennar flæddi að mestu úr óplástruðum kerfum, ekki framandi hakki.

Bestu starfsvenjur#

1. Byrjaðu hvert gagnaverkefni á DPIA, og meðhöndlaðu það sem hönnun, ekki pappírsvinnu. Áður en þú smíðar eða útvegar nokkuð sem vinnur persónuupplýsingar, vinndu gegnum gagnaverndaráhrifamat með DPO og Caldicott-verndara þínum. Gert snemma mótar það hönnunina – lágmarkar gögnin sem safnað er, velur gerviauðkenningu, herðir aðgang – frekar en að stimpla ákvarðanir sem þegar eru teknar. DPIA lagt á hilluna til opnunar er viðvörunarmerki um að stjórnarhættir séu leikrit.

2. Nefndu lagagrundvöll þinn og trúnaðargrundvöll skýrt, og skrifaðu þá niður. Fyrir hvert flæði heilbrigðisgagna, tilgreindu 6. gr. lagagrundvöll, 9. gr. sérflokkaskilyrði og hvernig almenna trúnaðarskyldan er uppfyllt – samþykki, lögbundin gátt eða almannahagsmunir. Tvíræðni hér er þar sem verkefni stöðvast eða eru dregin til baka eftir opnun. Að vera skýr leyfir þér líka að útskýra vinnsluna fyrir sjúklingum á látlausu máli, sem er sjálft lagaleg krafa.

3. Beittu minnstu réttindum og hlutverkabyggðum aðgangi alls staðar. Veittu klínísku starfsfólki, stjórnendum, rannsakendum og kerfum aðeins þann aðgang sem hlutverk þeirra krefst, og yfirfarðu hann reglulega eftir því sem fólk flytur og hættir. Skráðu aðgang að viðkvæmum skrám og endurskoðaðu hann, því trúverðug hætta á uppgötvun fælir frá óviðeigandi forvitni jafn mikið og hvaða tæknileg stýring sem er. Flest raunveruleg brot eru hversdagsleg – rangt fólk sér ranga skrá – ekki háþróuð innbrot.

4. Fáðu netgrunnatriðin rétt áður en þú kaupir háþróuð tól. Leiðsögn NCSC er óglamúrleg og árangursrík: plástraðu skjótt, sérstaklega netvísandi og klínísk kerfi; framfylgdu fjölþátta auðkenningu; skiptu netum í hluta svo sýking geti ekki breiðst frjálslega út; og haltu ótengdum, prófuðum afritum. WannaCry breiddist út gegnum óplástruð Windows-kerfi, og lærdómurinn varir – grunnhreinlæti kemur í veg fyrir meirihluta atvika. Eyddu í grunnatriðin fyrst; keyptu háþróaða greiningu þegar grunnurinn er traustur.

5. Gerðu ráð fyrir að ráðist verði á þig, og æfðu viðbrögð þín. Viðhaldaðu og æfðu atvikaviðbragðs- og rekstrarsamfelluáætlun sem gerir ráð fyrir að kerfi verði ekki aðgengileg, þar með talin klínísk varaleið á pappír og samskiptaáætlun fyrir starfsfólk og sjúklinga. Prófaðu afritin þín með því að endurheimta í raun úr þeim, því afrit sem þú hefur aldrei endurheimt er von, ekki stýring. Keyrðu borðæfingar svo í fyrsta sinn sem teymið þitt meðhöndlar gíslatökuhugbúnaðarstöðvun sé ekki í raunverulegri.

6. Kláraðu DSPT heiðarlega og notaðu það sem raunverulegt mat. Data Security and Protection Toolkit er krafa til að meðhöndla NHS-gögn, en virði þess kemur af því að meðhöndla það sem heiðarlega árlega birgðatalningu frekar en krossmerkjasiðvenju. Þar sem þú getur ekki uppfyllt staðal, skráðu bilið og trúverðuga umbótaáætlun frekar en að ofmeta stöðu þína. Uppblásin DSPT-skil gefa stjórninni þinni falska tryggingu, sem er verra en engin.

7. Gerðu upplýsingamiðlun að hönnuðu getu, ekki hindrun. Yfir samþætt umönnunarkerfi (ICS) veltur góð umönnun á að gögn fari yfir skipulagsmörk milli sjúkrahúsasamsteypa, heimilislæknastofa, félagsþjónustu og samfélagsveitenda. Komdu á skýrum upplýsingamiðlunarsamningum (ISA) og gagnamiðlunarsamningum, semdu sameiginlega um lagalegan og trúnaðargrundvöll og hannaðu sameiginlegar skrár svo rétti fagmaðurinn sjái réttar upplýsingar á umönnunarstað. Markmiðið er örugg miðlun, ekki engin miðlun – að halda aftur gögnum sem klínískur starfsmaður þarfnast er sjálft sjúklingaöryggisbrestur. Þetta tengist beint Viðfangsefni 4.3 — Samvirkni og gagnastaðlar.

8. Virtu val sjúklinga og vertu gagnsær um aukanotkun. Virtu landsbundnu gagnaafþökkunina í hverju aukanotkunarflæði, og birtu skýrar, aðgengilegar upplýsingar um hvernig gögn eru notuð til skipulags og rannsókna. Þegar gögnum er deilt með viðskiptalegum samstarfsaðilum eða notuð til að þjálfa líkön, upplýstu fyrirbyggjandi frekar en að láta það koma upp gegnum leka – falin fyrirkomulag hafa ítrekað kallað fram opinbert bakslag og afþökkunarbylgjur. Gagnsæi er ekki kurteisi; það er það sem heldur gögnunum að flæða yfirleitt.

9. Stýrðu skrám yfir allan líftímann. Beittu varðveislutímaáætlunum byggðum á NHS Records Management Code of Practice, fargaðu skrám örugglega þegar varðveislutímabil þeirra endar og haltu þeim aðgengilegum og óskemmdum meðan það varir. Léleg skrárstjórnun skapar bæði áhættu (að halda gögnum sem þú þarfnast ekki lengur) og skaða (að glata gögnum sem klínískt starfsfólk reiðir sig á). Flutningur milli kerfa er hááhættu augnablik – skipuleggðu gagnagæði, kortlagningu og skjalasafn vísvitandi.

10. Byggðu stjórnarhætti inn í innkaup og birgjastjórnun. Bakaðu gagnaverndar- og öryggiskröfur inn í samninga: gagnavinnsluskilmála, DSPT eða jafngilda vottun, tilkynningartímamörk brota og rétt til úttektar. Veikt öryggi birgis verður þitt atvik og þín fyrirsögn, svo metið aðfangakeðjuna, ekki bara eigin jaðar. Vinnið þetta sameiginlega með viðskiptafélögum eins og fjallað er um í Viðfangsefni 6.3 — Innkaup og viðskiptahlið, og krefstu skýrra svara um hvar gögn eru hýst og hver getur nálgast þau.

11. Fjárfestu í greiningu, ekki bara forvörnum. Gerðu ráð fyrir að sumar árásir komist gegnum varnir þínar og byggðu getuna til að sjá þær: miðlægt skráningarkerfi, vöktun lykilkerfa og öryggisrekstrarmiðstöð – innanhúss, sameiginleg yfir ICS eða sem sækir í landsþjónustu eins og NCSC og netaðgerðir NHS England – svo grunsamleg starfsemi sé greind og innihaldin frekar en uppgötvuð vikum síðar. Paraðu þetta við samfellda veikleikastjórnun og ógnargreiningu, svo þú plástrir veikleikana sem árásaraðilar nýta í raun. Greining kaupir þér tímann til að innihalda atvik áður en það verður stöðvun.

12. Meðhöndlaðu alvarlega netárás sem klíníska samfelluatburð. Skrifaðu, fjármagnaðu og æfðu netatvikaviðbragðsáætlun sem nefnir hver lýsir yfir atviki, hver leiðir tæknileg viðbrögð og hver á klínískt öryggi og ytri samskipti meðan kerfi eru niðri. Tengdu hana beint við rekstrarsamfellu- og endurheimtarfyrirkomulag þitt (sjá Viðfangsefni 3.9 — Rekstrarsamfella og endurheimt eftir hamfarir) og stórslysa- og EPRR-ferla þína (sjá Viðfangsefni 3.10 — Neyðarviðbúnaður, seigla og viðbrögð), svo gíslatökuhugbúnaðarstöðvun sé meðhöndluð með sama aga og hver ógn við sjúklingaumönnun. Áætlun sem lifir aðeins í upplýsingatæknideildinni mun bregðast um leið og árás verður klínísk kreppa.

Spurningar til að ræða með teyminu#

1. Hvar í þjónustu okkar erum við að deila of litlu, og hvar of miklu – og hvernig myndum við yfirleitt vita? Upplýsingastjórnarháttabrestir ganga í báðar áttir. Of-miðlun birtist sem brot og rýrt traust; van-miðlun birtist hljóðlega, sem klínískur starfsmaður sem gat ekki séð ofnæmi, verndunaráhyggjur sem féllu milli stofnana eða útskrift sem fór úrskeiðis því samfélagsteymi skorti samhengi. Ræðið áþreifanleg dæmi úr eigin umhverfi. Hafið þið hneigð – oft varnarsinnaða – sem meðhöndlar að halda aftur sem sjálfkrafa öruggt? Hvaða merki myndu segja ykkur að miðlunarmörk skaði sjúklinga, og hver ber ábyrgð á að taka eftir? Þroskað teymi getur nefnt dæmi um báða bilunarhætti og hefur leið til að stigmagna hvorn.

2. Ef gíslatökuhugbúnaðarárás tæki klínísk kerfi okkar niður á morgun, hvað myndi í raun gerast fyrstu klukkustundina? Færið ykkur frá áætluninni á pappír að lifaða veruleikanum. Hver lýsir yfir atvikinu, og hvernig komast starfsmenn að því þegar tölvupóstur og innra net kunna að vera niðri? Hver er klíníska varaleiðin fyrir lyfjaávísun, niðurstöður og auðkenningu sjúklinga, og hefur frontlínustarfsfólk nokkru sinni æft hana? Hversu lengi getur hver þjónusta rekið á pappír áður en sjúklingaöryggi versnar, og hvernig ákveðið þið að beina annað eða aflýsa? Hvenær endurheimtuð þið síðast úr afriti til að sanna að það virkar? Heiðarleiki þessa samtals – sérstaklega bilin sem fólk er tregt til að viðurkenna – er betri mælikvarði á seiglu en hvaða rammastig sem er.

3. Hvernig myndum við útskýra gagnanotkun okkar fyrir tortryggnum sjúklingi, og myndi hann finna að við hefðum verið hreinskilin við hann? Almannatraust er unnið á látlausu máli, ekki lagatilkynningum. Veljið raunverulega aukanotkun gagna í skipulagsheild ykkar – þjónustuskipulag, rannsóknarsamstarf, birgjafyrirkomulag, gervigreindartæki – og reynið að útskýra hana fyrir venjulegri manneskju: hvaða gögn, í hvaða tilgangi, hver nýtur góðs, hvaða öryggisráðstafanir og hvaða val hún hefur. Hvar verður skýringin óþægileg eða undanskotin? Sá óþægindi markar yfirleitt eitthvað sem þið ættuð annaðhvort að breyta eða miðla opnara. Íhugið hvernig landsbundna gagnaafþökkunin og gagnsæisefni ykkar myndu líta út fyrir einhvern tilhneigðan til vantrausts, og tengið þetta við stjórnarhætti gervigreindar í Viðfangsefni 8.4 — Stjórnun gervigreindar og nýrrar tækni.

4. Þegar birgir eða samstarfsaðili heldur gögnum sjúklinga okkar, hvers atvik er það – og erum við viss um að við gætum komist að því í tíma? Flestar heilbrigðis- og velferðarskipulagsheildir reiða sig nú á keðju þriðju aðila: EPR-söluaðilann, skýjahýsinn, stýrðan þjónustuveitanda, meinafræði- eða myndgreiningarsamstarfsaðila. Brot eða stöðvun hvar sem er í þeirri keðju verður þín klíníska kreppa og þín fyrirsögn, en samningurinn, vottunin og tilkynningarklukkan fá oft langtum minni rýni en eigin jaðar ykkar. Ræðið hvað þið vitið í raun um hvar gögn ykkar eru hýst, hver getur nálgast þau og hversu hratt birgir er samningsbundinn að segja ykkur þegar eitthvað fer úrskeiðis. Hafið þið nokkru sinni prófað þá tilkynningarleið, eða séð DSPT eða jafngilda tryggingu birgis frekar en að þiggja hana á trú? Hvað gerist ef mikilvægur birgir er sjálfur hittur af gíslatökuhugbúnaði á föstudagskvöldi? Heiðarlegt svar nefnir birgjana sem þið getið nú ekki haldið til ábyrgðar og tengist Viðfangsefni 6.3 — Innkaup og viðskiptahlið.

5. Hver á í raun upplýsingastjórnarháttaáhættu hér – og myndi hann heyra um vandamál áður en það yrði kreppa? Á pappír eiga DPO og Caldicott-verndari trúnaðar- og gagnaverndaráhættu, og stjórnin á netseiglu. Í reynd eru þessi hlutverk oft vanmönnuð, ráðfært við þau seint eða meðhöndluð sem undirskrift frekar en rödd, svo áhætta er hvorki dregin fram né stigmögnuð fyrr en hún birtist sem atvik. Ræðið heiðarlega hvort Caldicott-verndari ykkar og DPO eru í raun dregin inn í ákvarðanir snemma, hvort þau geta sagt nei og verið heyrð og hvort netáhætta nær stjórninni sem eitthvað sem hún skilur og á frekar en tæknileg skýrsla sem hún kinkar kolli yfir. Myndi frontlínu klínískur starfsmaður sem sá óviðeigandi aðgang, eða verkfræðingur sem fann óplástrað mikilvægt kerfi, vita hvernig á að tilkynna það og treysta að eitthvað myndi gerast? Prófið á eignarhaldi er ekki skipuritið heldur hvort óþægilegar fréttir ferðast hratt upp á við, og þetta tengist öryggismenningunni sem rædd er í Viðfangsefni 1.6 — Klínískt öryggi og áhættustýring.

6. Hvernig ákveðum við hvaða gögn á að halda, hverju á að eyða og hver þarfnast enn aðgangs – og hvenær gerðum við það síðast í raun? Stjórnarháttaathygli þéttist í söfnun og miðlun gagna, en varðveisla, förgun og aðgangsyfirferð er þar sem hljóðlát áhætta safnast: skrár haldnar langt umfram lögmætt varðveislutímabil, aðgerðalausir reikningar sem opna enn lifandi kerfi og aðgangsréttindi sem fylgdu fólki þegar það skipti um hlutverk en voru aldrei tekin burt. Sérhver skrá sem þú þarfnast ekki lengur er skuld sem þú geymir, og sérhver úrelt skilríki er leið inn fyrir árásaraðila eða forvitinn innanbúðarmann. Ræðið hvort varðveislutímaáætlanir ykkar fylgja NHS Records Management Code of Practice í raun eða aðeins í stefnu, hvenær aðgangsréttindi voru síðast yfirfarin og klippt og hvernig þið meðhöndlið hááhættu augnablikið að flytja eða leggja niður kerfi. Hver ber ábyrgð á að ýta á eyða, og er nokkur mældur á því? Heiðarlegt svar leiðir yfirleitt í ljós uppsöfnun gagna og aðgangs sem enginn hefur átt árum saman.

Í reynd: dæmi úr heilbrigðis- og velferðarþjónustu#

Meadowford samþætt umönnunarkerfi er að setja upp sameiginlega umönnunarskrá svo sjúkrahúsalæknar, heimilislæknar, samfélagshjúkrunarfræðingar og félagsráðgjafar geti séð samræmda sýn á hverja manneskju. Áætlunin er vinsæl meðal klínísks starfsfólks og pólitískt sýnileg, og freistingin er að fara hratt.

Áætlunarstjórinn krefst þess að raða stjórnarháttum samhliða smíði frekar en á eftir henni. DPIA er opnað í upphafi, leitt sameiginlega af DPO og aðal Caldicott-verndara úr samstarfsstofnunum. Það knýr fram snemmbúnar, gagnlegar ákvarðanir: skráin mun sýna ræktaða klíníska samantekt frekar en sérhvert sögulegt skjal; félagsþjónustuskrár með þriðja aðila upplýsingum verða meðhöndlaðar undir strangari reglum; og aðgangur verður hlutverkabyggður, með lögmætu-sambandi athugun svo fagmaður geti aðeins opnað skrá fyrir einhvern í umönnun hans. Sérhver aðgangur er skráður og endurskoðaður, og starfsfólki er sagt það skýrt.

Samstarfsaðilarnir semja um einn upplýsingamiðlunarsamning sem nær yfir almennu trúnaðarskylduna og lagagrundvöllinn — beina umönnun samkvæmt 6. gr. (1)(e) og 9. gr. (2)(h) — og þeir staðfesta að sameiginlega skráin sé notuð aðeins fyrir beina umönnun, svo landsbundna gagnaafþökkunin takmarkar hana ekki. Þegar sérstök tillaga berst um að nota sömu gögn fyrir þýðisheilsugreiningu meðhöndlar teymið það sem sérstakt flæði með eigið DPIA, eigin lagagrundvöll, afþökkunarfylgni og opinber samskipti, frekar en að víkka hljóðlega út núverandi samning.

Sex vikum fyrir opnun keyrir öryggisleiðtoginn borðæfingu fyrir gíslatökuhugbúnað. Hún afhjúpar að sameiginlega skráin hefur enga klíníska varaleið ef hún verður ótiltæk og að afrit hafa aldrei verið prófendurheimt. Opnun færist um mánuð meðan teymið bætir við ótengdu lesaðgangsafriti endurnýjuðu á hverri nóttu, sannar að endurheimtin virkar og upplýsir frontlínustarfsfólk um pappírsvaraleið. Seinkunin er óvinsæl, en þegar plástrunarvilla birgis tekur aðalkerfið niður einn morgun þremur mánuðum síðar heldur umönnun áfram á varaleiðinni og engum tímum er glatað. Trúverðugleiki áætlunarinnar — og traust klínísks starfsfólks á skránni — lifir óskertur. Málamiðlunin var skýr: hægari opnun keypti seiglu sem hraðari hefði teflt burt.

Geirasjónarhorn#

Sprotafyrirtæki#

Heilbrigðistæknisprotafyrirtæki hefur oft sterkustu tæknilegu öryggiseðlisávísanir og veikasta skilning á heilbrigðissértækum trúnaði og NHS-sértækum væntingum. Ef þú ert sprotafyrirtæki, væntu þess að klára DSPT eða sýna jafngilda tryggingu áður en NHS-stofnun mun deila gögnum með þér, og skipa eða semja við DPO snemma. Stærsta áhætta þín er að fara hratt á gagnanotkun — greining, líkanaþjálfun, samstarf — án lagagrundvallar, DPIA og gagnsæis sem geirinn krefst, og að missa NHS-viðskiptavin á einni nóttu þegar það kemur upp. Meðhöndlaðu upplýsingastjórnarhætti sem markaðsaðgangskröfu, ekki yfirbyggingu, og byggðu þá inn meðan þú ert lítill.

Lítil fyrirtæki#

Rótgróinn lítill veitandi — heimilislæknastofa, samfélagsapótek, hjúkrunarheimili, heimaþjónustufyrirtæki, stakstaða stofa eða hóflegur heilbrigðistæknibirgi — ber sömu lagalegu skyldur og stórt sjúkrahús en með brot af getunni: oft enga upplýsingatækni innanhúss, engan sérstakan DPO og eiganda eða stofustjóra sem stýrir gögnum samhliða tugi annarra verka. Raunsæja leiðin er að styðjast við sameiginlega og ytri hjálp — verktaka-DPO, Caldicott-verndara sameiginlegan yfir grunnþjónustunet, netstuðning ICS ykkar og smáskipulagsheildaleiðsögn NCSC — frekar en að byggja getu sem þið hafið ekki efni á. Kláraðu DSPT heiðarlega, því fyrir marga litla veitendur er það bæði samningskrafa og best skipulagði gátlistinn, og skráðu raunveruleg bil frekar en að blása upp skilin. Fáðu viðráðanlegu grunnatriðin rétt fyrst — MFA, skjóta plástrun, ótengd prófuð afrit, minnstu-réttinda aðgang og einfalda pappírsvaraleið — því þau koma í veg fyrir flest atvik og kosta tíma frekar en fé. Vertu sérstaklega varkár með birgjainnilokun og skýjafyrirkomulag, þar sem þú hefur kannski litla vigt til að semja um skilmála og verður samt að vita hvar sjúklingagögn sitja og hver getur náð til þeirra.

Stórfyrirtæki#

Stór sjúkrahússamsteypa eða rótgróinn birgir hefur þroskaðar stefnur en berst við umfang, arfakerfi og sundrun: tugi kerfa, ósamkvæmar aðgangsstýringar, óplástraða eign og stjórnarhætti dreifða þunnt yfir teymi. Áskorun þín er samhengi — ein sýn á áhættu, raunveruleg eignaskrá og nægileg öryggisfjárfesting til að laga grunnatriði frekar en bara að kaupa tól. WannaCry hitti stórar skipulagsheildir harðast einmitt vegna óplástraðrar arfakerfaeignar. Notaðu DSPT og NCSC Cyber Assessment Framework til að knýja ósvikna umbót, og tryggðu að eignarhald á stjórnarstigi sé raunverulegt frekar en framselt í ósýnileika.

Hið opinbera#

Landsstofnanir og þjónustukaupendur setja rammana — Caldicott-reglurnar, leiðsögn National Data Guardian, landsbundnu gagnaafþökkunina, DSPT — og bera ábyrgð á almannatrausti á þýðiskvarða. Gagnafrumkvæði ykkar eru stór, sýnileg og pólitískt hlaðin, og fyrri áætlanir hafa sýnt hversu fljótt falin eða illa útskýrð gagnamiðlun kallar fram bakslag og fjöldaafþökkun. Leiðið með gagnsæi, marktækri þátttöku almennings og sjálfstæðu eftirliti áður en skalað er, ekki eftir. Viðurkennið málamiðlunina sem þið eigið: of varkár landsstefna sveltir umönnun og rannsóknir af gögnum, á meðan kæruleysisleg stefna fórnar samþykki almennings sem gögnin tilheyra.

Algeng mistök#

• Stjórnarhættir sem leikrit. DPIA kláruð eftir opnun, DSPT-skil blásin upp til að líta út fyrir að fylgja reglum og stefnur sem enginn fylgir. Þetta framleiðir falska tryggingu, sem er hættulegri en viðurkenndur veikleiki.
• Öryggisgrunnatriðum sleppt meðan glansandi tól eru keypt. Óplástruð kerfi, engin fjölþátta auðkenning, flöt net og óprófuð afrit — nákvæmlega skilyrðin sem leyfðu WannaCry að dreifast — klædd upp með dýrum greiningarvettvangi.
• Varnarsinnuð ofvarkárni klædd sem öryggi. Að neita að deila gögnum sem klínískur starfsmaður þarfnast lögmætt, meðhöndla „nei“ sem áhættulaust þegar misstur ofnæmisþáttur eða verndunarbil er sjálft alvarlegur sjúklingaskaði.
• Falin aukanotkun. Að víkka gögn safnað fyrir umönnun í greiningu, viðskiptasamninga eða líkanaþjálfun án nýs lagagrundvallar, afþökkunarfylgni eða opinbers gagnsæis — þar til það lekur og traust hrynur.
• Afrit sem aldrei voru endurheimt. Að uppgötva við lifandi gíslatökuhugbúnaðaratvik að afritin eru ófullkomin, spillt eða dulkóðuð ásamt öllu öðru.
• Munaðarlaus ábyrgð. DPO eða Caldicott-verndari sem er til á skipuritinu en er ekki ráðfært við, mannaður eða hlustað á, svo áhætta er hvorki dregin fram né í eigu.

Þroskalíkan#

Gátlisti#

• DPIA er opnað við upphaf hvers nýs gagnaverkefnis og undirritað af DPO.
• Lagagrundvöllur, sérflokkaskilyrði og trúnaðargrundvöllur eru skjalfest fyrir hvert gagnaflæði.
• Caldicott-verndari og gagnaverndarfulltrúi eru skipaðir, mannaðir og í raun ráðfært við.
• Minnstu-réttinda, hlutverkabyggður aðgangur er framfylgt og aðgangur að viðkvæmum skrám er skráður og endurskoðaður.
• Kerfi eru plástruð skjótt, fjölþátta auðkenning er framfylgt og net eru skipt í hluta.
• Afrit eru tekin, haldin ótengd og prófendurheimt á reglulegri áætlun.
• Atvikaviðbragðs- og rekstrarsamfelluáætlun, þar með talin klínísk pappírsvaraleið, er skjalfest og æfð.
• DSPT er klárað heiðarlega, með skráð bil og trúverðugar umbótaáætlanir.
• Upplýsingamiðlunarsamningar eru á sínum stað yfir ICS-samstarfsaðila með samþykktum grundvelli.
• Landsbundna gagnaafþökkunin er beitt á alla aukanotkun og gagnsæisefni er birt.
• Skrárvarðveisla og örugg förgun fylgir NHS Records Management Code of Practice.
• Gagnaverndar- og öryggiskröfur eru skrifaðar inn í birgjasamninga og aðfangakeðjan er metin.

Helstu heimildir#

• Information Commissioner's Office (ICO) — Guide to UK GDPR, DPIA og lagagrundvöllur.
• National Data Guardian — yfirferðir og leiðbeiningar um gagnaöryggi og Caldicott-reglurnar.
• NHS England — Data Security and Protection Toolkit og landsbundna gagnaafþökkunin.
• National Cyber Security Centre (NCSC) — netöryggisleiðbeiningar og Cyber Assessment Framework.
• UK Caldicott Guardian Council — hlutverk og ábyrgð Caldicott-verndara.
• National Audit Office — rannsókn á WannaCry-netárásinni og NHS (2017–18).
• NHS Records Management Code of Practice.

Tilvísanir#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response