Тема 1.7 — Управление информацией, защита данных и кибербезопасность

В здравоохранении и уходе защита информации неотделима от оказания помощи: те же данные, что спасают жизнь, при неправильном обращении могут разрушить доверие, делающее лечение возможным, поэтому то, как вы управляете ими, делитесь и защищаете их, — клиническая, этическая обязанность и обязанность перед общественным доверием, а не запоздалая мысль о соответствии.

Почему это важно в здравоохранении и уходе#

Данные здравоохранения и ухода — одна из самых чувствительных видов информации, которые человек когда-либо создаёт. Они фиксируют диагнозы, лекарства, эпизоды психического здоровья, сексуальное здоровье, права, связанные с иммиграцией, и интимные подробности хрупких и уязвимых жизней. Люди раскрывают это клиницистам, исходя из неявного обещания: информация будет использована, чтобы помочь им, и не будет небрежно распространена. Когда это обещание нарушается (через утечку, простой из-за программы-вымогателя или необъяснённую сделку по обмену данными), пациенты скрывают информацию, отказываются от записей или вовсе избегают помощи. Это не абстрактный вред; он напрямую ухудшает клиническую безопасность и здоровье населения.

Ставки также операционные. Современная больница не может работать без электронных систем: управление заказами, результаты, электронные назначения, визуализация и административное ведение пациентов цифровые. Когда эти системы отказывают, скорые перенаправляются, операции отменяются, а клиницисты возвращаются к бумаге способами, порождающими собственные ошибки. Управление информацией и кибербезопасность поэтому — дисциплины непрерывности ухода. Их место рядом с клинической безопасностью (тема 1.6 — Клиническая безопасность и управление рисками), а не в отдельном «силосе» соответствия.

Наконец, в центре этой темы лежит реальное и неизбежное противоречие. Общественность справедливо ожидает, что служба здравоохранения использует данные, чтобы улучшать уход, планировать услуги и поддерживать исследования, находящие завтрашние методы лечения. Она также ожидает конфиденциальности и контроля. Эти цели тянут в разные стороны, и ваша задача руководителя — не делать вид, что противоречия нет, а управлять им открыто: позволять законное использование, делая гарантии и выбор, который есть у пациентов, видимыми и честными. Ошибётесь с этим балансом в любую сторону, и вы проиграете: либо обескровите уход и исследования данными, либо подорвёте доверие, от которого зависит вся система.

Ключевые понятия#

Основа этой области — дисциплина управления информацией: рамка правил, ролей и контролей, через которую организация обращается с информацией законно, безопасно и этично. В Соединённом Королевстве первичные правовые основания — UK General Data Protection Regulation (UK GDPR), внутренняя версия регламента ЕС, сохранённая после Brexit, и Data Protection Act 2018 (DPA 2018), дополняющий его. Вместе они требуют, чтобы персональные данные обрабатывались законно, добросовестно и прозрачно и чтобы каждая деятельность по обработке опиралась на законное основание. Информация о здоровье — данные особой категории, которым нужны и законное основание по статье 6, и дополнительное условие по статье 9; для непосредственного ухода это обычно предоставление медицинской или социальной помощи специалистом при обязанности хранить конфиденциальность.

Законодательство о защите данных — не единственное ограничение. Обязанность конфиденциальности по общему праву — отдельное, более древнее обязательство: информация, предоставленная конфиденциально, не может быть раскрыта без согласия, юридического требования или преобладающего общественного интереса. Можно полностью соответствовать UK GDPR и всё равно нарушить конфиденциальность, поэтому нужно удовлетворить оба.

Две рамки, специфичные для здравоохранения, переводят эти обязанности в практику. Принципы Калдикотта (набор принципов, теперь восемь, для обращения с конфиденциальной информацией о пациентах, впервые изложенный в докладе Калдикотта 1997 года) соблюдаются внутри каждой организации Caldicott Guardian, старшим лицом, ответственным за защиту конфиденциальности пациентов и обеспечение надлежащего обмена информацией. На национальном уровне National Data Guardian for Health and Social Care (NDG) — независимый законодательный голос, консультирующий о том, как данные пациентов должны использоваться и защищаться. Национальный отказ от использования данных (national data opt-out) даёт пациентам механизм, не позволяющий использовать их конфиденциальную информацию в целях, выходящих за рамки непосредственного ухода, таких как планирование и исследования, и организации обязаны его соблюдать.

Операционно оценка воздействия на защиту данных (DPIA) — структурированная оценка, которую вы проводите до обработки, вероятно, высокого риска (а таково большинство новых проектов с данными о здоровье), чтобы выявить и смягчить риски для приватности. Каждая организация должна назначить инспектора по защите данных (DPO), независимую роль, отвечающую за консультирование и мониторинг соответствия. В Англии Data Security and Protection Toolkit (DSPT) — ежегодная самооценка, посредством которой организации здравоохранения и ухода демонстрируют соответствие стандартам безопасности данных и управления информацией, необходимым для работы с данными NHS.

Со стороны безопасности National Cyber Security Centre (NCSC) даёт авторитетное британское руководство и, через свою Cyber Assessment Framework (CAF), структурированный способ измерять киберустойчивость. Здоровая практика опирается на хорошо устоявшиеся основы: эшелонированную защиту — слои множества контролей, так что ни один отказ не катастрофичен; принцип наименьших привилегий — предоставление людям и системам только того доступа, который им действительно нужен; дисциплинированное обновление и проверенные резервные копии; и готовность к программам-вымогателям — вредоносному ПО, шифрующему системы ради вымогательства. Поскольку одной профилактики никогда не хватает, зрелые организации также инвестируют в операции: центр операций безопасности (SOC), возможность (собственную или общую), отслеживающую журналы и телеметрию для обнаружения и сдерживания вторжений, и отработанный процесс реагирования на инциденты, чтобы быстро перейти от обнаружения к восстановлению. Атака программы-вымогателя WannaCry 2017 года, нарушившая работу около трети трастов NHS в Англии и оцениваемая в £92 млн ущерба, остаётся определяющим предостерегающим примером: её ущерб в основном вытекал из необновлённых систем, а не из экзотического взлома.

Лучшие практики#

1. Начинайте каждый проект с данными с DPIA и воспринимайте её как проектирование, а не бумагу. Прежде чем строить или закупать что-либо, обрабатывающее персональные данные, пройдите оценку воздействия на защиту данных с вашим DPO и Caldicott Guardian. Проведённая рано, она формирует проект: минимизирует собираемые данные, выбирает псевдонимизацию, ужесточает доступ, а не штампует уже принятые решения. DPIA, отложенная до запуска, — тревожный признак того, что управление — театр.

2. Явно называйте ваше законное основание и основание конфиденциальности и записывайте их. Для каждого потока данных о здоровье укажите законное основание по статье 6, условие особой категории по статье 9 и то, как удовлетворена обязанность конфиденциальности по общему праву: согласие, законодательный канал или общественный интерес. Неопределённость здесь — место, где проекты буксуют или снимаются после запуска. Явность также позволяет объяснить обработку пациентам простым языком, что само по себе юридическое требование.

3. Применяйте наименьшие привилегии и ролевой доступ повсюду. Предоставляйте клиницистам, администраторам, исследователям и системам только тот доступ, который требует их роль, и регулярно пересматривайте его по мере того, как люди перемещаются и уходят. Протоколируйте доступ к чувствительным записям и проверяйте его, потому что правдоподобная угроза обнаружения сдерживает неуместное любопытство не меньше любого технического контроля. Большинство реальных утечек обыденны (не тот человек видит не ту запись), а не изощрённые вторжения.

4. Освойте основы кибербезопасности до покупки продвинутых инструментов. Руководство NCSC лишено блеска и эффективно: оперативно обновляйте, особенно обращённые в интернет и клинические системы; требуйте многофакторную аутентификацию; сегментируйте сети, чтобы заражение не могло свободно распространяться; и поддерживайте автономные, проверенные резервные копии. WannaCry распространялся через необновлённые системы Windows, и урок сохраняется: базовая гигиена предотвращает большинство инцидентов. Сначала тратьте на основы; покупайте сложное обнаружение, когда основы надёжны.

5. Исходите из того, что вас атакуют, и репетируйте реагирование. Поддерживайте и отрабатывайте план реагирования на инциденты и обеспечения непрерывности бизнеса, исходящий из того, что системы будут недоступны, включая клинический запасной вариант на бумаге и план коммуникации для персонала и пациентов. Проверяйте резервные копии, фактически восстанавливаясь из них, потому что копия, которую вы никогда не восстанавливали, — надежда, а не контроль. Проводите учения «за столом», чтобы первый раз, когда ваша команда столкнётся с простоем из-за вымогателя, не пришёлся на настоящий.

6. Проходите DSPT честно и используйте его как настоящую оценку. Data Security and Protection Toolkit — требование для работы с данными NHS, но его ценность в том, чтобы считать его честной ежегодной инвентаризацией, а не ритуалом проставления галочек. Где вы не можете соответствовать стандарту, фиксируйте разрыв и достоверный план улучшения, а не завышайте свою позицию. Завышенный отчёт DSPT даёт вашему совету ложные гарантии, что хуже, чем их отсутствие.

7. Делайте обмен информацией спроектированной возможностью, а не препятствием. В интегрированной системе ухода (ICS) хороший уход зависит от того, что данные пересекают организационные границы между трастами, практиками врачей общей практики, социальным уходом и общественными поставщиками. Заключите чёткие соглашения об обмене информацией (ISA) и данными, совместно согласуйте законные основания и основания конфиденциальности и проектируйте общие карты так, чтобы нужный специалист видел нужную информацию в точке оказания помощи. Цель — безопасный обмен, а не отсутствие обмена: удержание данных, нужных клиницисту, само по себе сбой безопасности пациентов. Это напрямую связано с темой 4.3 — Интероперабельность и стандарты данных.

8. Уважайте выбор пациентов и будьте прозрачны в отношении вторичного использования. Соблюдайте национальный отказ от использования данных в каждом потоке вторичного использования и публикуйте чёткую, доступную информацию о том, как данные используются для планирования и исследований. Когда данные передаются коммерческим партнёрам или используются для обучения моделей, раскрывайте это проактивно, а не позволяйте всплыть через утечку: скрытые договорённости неоднократно вызывали общественную реакцию и всплески отказов. Прозрачность — не любезность; это то, что вообще поддерживает поток данных.

9. Управляйте записями на протяжении всего жизненного цикла. Применяйте графики хранения на основе NHS Records Management Code of Practice, безопасно уничтожая записи по истечении срока хранения и сохраняя их доступными и целыми, пока он длится. Плохое управление записями создаёт и риск (хранение данных, которые вам больше не нужны), и вред (потеря данных, на которые полагаются клиницисты). Миграция между системами — момент высокого риска: планируйте качество данных, отображение и архивирование сознательно.

10. Встраивайте управление в закупки и управление поставщиками. Заложите требования к защите данных и безопасности в контракты: условия обработки данных, сертификацию DSPT или эквивалент, сроки уведомления о нарушениях и право на аудит. Слабая безопасность поставщика становится вашим инцидентом и вашим заголовком, поэтому оценивайте цепочку поставок, а не только собственный периметр. Прорабатывайте это совместно с коммерческими коллегами, как рассмотрено в теме 6.3 — Закупки и коммерческие вопросы, и требуйте чётких ответов о том, где размещены данные и кто имеет к ним доступ.

11. Инвестируйте в обнаружение, а не только в профилактику. Исходите из того, что некоторые атаки пройдут сквозь вашу защиту, и стройте возможность их увидеть: централизованное протоколирование, мониторинг ключевых систем и центр операций безопасности (собственный, общий в рамках ICS или использующий национальные службы, такие как NCSC и киберопераций NHS England), чтобы подозрительная активность выявлялась и сдерживалась, а не обнаруживалась через недели. Сочетайте это с непрерывным управлением уязвимостями и обнаружением угроз, чтобы вы обновляли слабости, которые атакующие действительно эксплуатируют. Обнаружение покупает вам время сдержать инцидент до того, как он станет простоем.

12. Рассматривайте серьёзную кибератаку как событие непрерывности клинической помощи. Напишите, обеспечьте ресурсами и отрепетируйте план реагирования на киберинциденты, называющий, кто объявляет инцидент, кто возглавляет техническое реагирование и кто отвечает за клиническую безопасность и внешние коммуникации, пока системы отключены. Свяжите его напрямую с вашими договорённостями по обеспечению непрерывности бизнеса и аварийному восстановлению (см. тему 3.9 — Непрерывность бизнеса и аварийное восстановление) и процессами крупных происшествий и EPRR (см. тему 3.10 — Готовность к чрезвычайным ситуациям, устойчивость и реагирование), чтобы простой из-за вымогателя обрабатывался с той же дисциплиной, что и любая угроза уходу за пациентами. План, живущий только в ИТ-отделе, провалится в момент, когда атака станет клиническим кризисом.

Вопросы для обсуждения с командой#

1. Где в наших услугах мы делимся слишком мало, а где слишком много, и как бы мы вообще узнали? Сбои управления информацией идут в обе стороны. Избыточный обмен проявляется как утечки и подорванное доверие; недостаточный проявляется тихо: клиницист, не увидевший аллергию, проблема защиты, потерявшаяся между ведомствами, или выписка, прошедшая неудачно, потому что у общественных команд не было контекста. Обсудите конкретные случаи из вашей практики. Есть ли у вас склонность (часто оборонительная) считать удержание автоматически безопасным? Какие сигналы подсказали бы вам, что граница обмена вредит пациентам, и кто отвечает за то, чтобы это заметить? Зрелая команда может назвать примеры обоих видов сбоев и имеет путь эскалации для каждого.

2. Если бы атака вымогателя завтра утром отключила наши клинические системы, что на самом деле произошло бы в первый час? Перейдите от плана на бумаге к прожитой реальности. Кто объявляет инцидент и как персонал узнаёт об этом, когда электронная почта и интранет могут не работать? Каков клинический запасной вариант для назначений, результатов и идентификации пациентов и отрабатывал ли его когда-нибудь персонал переднего края? Сколько времени каждая услуга может работать на бумаге, прежде чем безопасность пациентов ухудшится, и как вы решаете перенаправить или отменить? Когда вы в последний раз восстанавливались из резервной копии, чтобы доказать, что это работает? Честность этого разговора, особенно пробелов, которые люди неохотно признают, — лучшая мера устойчивости, чем любой балл рамки.

3. Как бы мы объяснили наше использование данных скептически настроенному пациенту и почувствовал ли бы он, что мы были с ним откровенны? Общественное доверие завоёвывается простым языком, а не юридическими уведомлениями. Выберите реальное вторичное использование данных в вашей организации (планирование услуг, исследовательское партнёрство, договорённость с поставщиком, ИИ-инструмент) и попробуйте объяснить его обычному человеку: какие данные, для какой цели, кому выгода, какие гарантии и какой выбор у него есть. Где объяснение становится неловким или уклончивым? Эта неловкость обычно отмечает то, что следует либо изменить, либо сообщать более открыто. Подумайте, как национальный отказ от использования данных и ваши материалы о прозрачности выглядели бы для человека, предрасположенного к недоверию, и свяжите это с управлением ИИ в теме 8.4 — Управление ИИ и новыми технологиями.

4. Когда поставщик или партнёр держит данные наших пациентов, чей это инцидент и уверены ли мы, что смогли бы узнать вовремя? Большинство организаций здравоохранения и ухода теперь зависят от цепочки третьих сторон: поставщик ЭМК, облачный хост, поставщик управляемых услуг, партнёр по патологии или визуализации. Нарушение или простой в любом месте цепочки становится вашим клиническим кризисом и вашим заголовком, но контракт, сертификация и часы уведомления о нарушении часто получают гораздо меньше внимания, чем ваш собственный периметр. Обсудите, что вы действительно знаете о том, где размещены ваши данные, кто имеет к ним доступ и как быстро поставщик договорно обязан сообщить вам, когда что-то идёт не так. Тестировали ли вы когда-нибудь этот путь уведомления или видели DSPT поставщика или эквивалентные гарантии, а не принимали на веру? Что произойдёт, если критического поставщика самого поразит вымогатель в пятницу вечером? Честный ответ называет поставщиков, которых вы сейчас не можете привлечь к ответственности, и связывает это с темой 6.3 — Закупки и коммерческие вопросы.

5. Кто на самом деле владеет риском управления информацией у нас и услышали бы они о проблеме до того, как она станет кризисом? На бумаге DPO и Caldicott Guardian владеют риском конфиденциальности и защиты данных, а совет владеет киберустойчивостью. На практике эти роли часто недофинансированы, привлекаются поздно или рассматриваются как подпись, а не голос, поэтому риски не выявляются и не эскалируются, пока не всплывут как инциденты. Обсудите честно, привлекаются ли ваши Caldicott Guardian и DPO к решениям рано, могут ли они сказать «нет» и быть услышанными и доходит ли киберриск до совета как нечто, что тот понимает и чем владеет, а не как технический отчёт, который просто кивком пропускают. Знал бы клиницист переднего края, заметивший неуместный доступ, или инженер, нашедший необновлённую критическую систему, как об этом сообщить, и верил бы, что что-то произойдёт? Проверка владения — не оргструктура, а то, быстро ли неприятные новости идут вверх, и это связано с культурой безопасности, обсуждавшейся в теме 1.6 — Клиническая безопасность и управление рисками.

6. Как мы решаем, какие данные хранить, какие удалять и кому всё ещё нужен доступ, и когда мы в последний раз это делали? Внимание управления сосредоточено на сборе и обмене данными, но хранение, уничтожение и пересмотр доступа — то место, где накапливается тихий риск: записи, хранящиеся задолго после законного срока хранения, спящие учётные записи, всё ещё открывающие действующие системы, и права доступа, следовавшие за людьми при смене ролей, но так и не отозванные. Каждая запись, которая вам больше не нужна, — обязательство, которое вы храните, а каждая устаревшая учётная запись — путь внутрь для атакующего или любопытного сотрудника. Обсудите, следуют ли ваши графики хранения NHS Records Management Code of Practice на деле или только в политике, когда права доступа в последний раз пересматривались и сокращались и как вы обращаетесь с моментом высокого риска миграции или вывода системы из эксплуатации. Кто отвечает за нажатие «удалить» и измеряется ли кто-нибудь по этому показателю? Честный ответ обычно выявляет накопление данных и доступа, которыми годами никто не владел.

На практике: пример из здравоохранения и ухода#

Интегрированная система ухода Meadowford создаёт общую карту ухода, чтобы клиницисты больниц, врачи общей практики, участковые медсёстры и социальные работники могли видеть единую картину каждого человека. Программа популярна у клиницистов и политически заметна, и соблазн — двигаться быстро.

Директор программы настаивает на том, чтобы выстраивать управление наравне с разработкой, а не позади неё. DPIA открывается в самом начале под совместным руководством DPO и ведущего Caldicott Guardian из организаций-партнёров. Она принуждает к ранним полезным решениям: карта будет показывать отобранную клиническую сводку, а не каждый исторический документ; записи социального ухода с информацией третьих лиц будут обрабатываться по более строгим правилам; а доступ будет ролевым, с проверкой законной связи, чтобы специалист мог открыть карту только того, кто находится под его опекой. Каждый доступ протоколируется и проверяется, и персоналу прямо об этом говорят.

Партнёры согласуют единое соглашение об обмене информацией, охватывающее обязанность конфиденциальности по общему праву и законные основания: непосредственный уход по статье 6(1)(e) и статье 9(2)(h), и подтверждают, что общая карта используется только для непосредственного ухода, поэтому национальный отказ от использования данных её не ограничивает. Когда поступает отдельное предложение использовать те же данные для аналитики здоровья населения, команда рассматривает это как отдельный поток со своей DPIA, собственным законным основанием, соблюдением отказа и общественной коммуникацией, а не тихо расширяет существующее соглашение.

За шесть недель до запуска руководитель по безопасности проводит учение «за столом» по вымогателю. Оно выявляет, что у общей карты нет клинического запасного варианта на случай недоступности и что резервные копии никогда не проверялись восстановлением. Запуск сдвигается на месяц, пока команда добавляет автономную копию только для чтения, обновляемую каждую ночь, доказывает, что восстановление работает, и инструктирует персонал переднего края о бумажном запасном варианте. Задержка непопулярна, но когда через три месяца ошибка обновления у поставщика отключает основную систему на целое утро, уход продолжается на запасном варианте и ни один приём не потерян. Доверие к программе и доверие клиницистов к карте остаются нетронутыми. Компромисс был явным: более медленный запуск купил устойчивость, которую более быстрый бы проиграл.

Отраслевые перспективы#

Стартап#

У стартапа health-tech часто самые сильные инстинкты технической безопасности и самое слабое понимание конфиденциальности, специфичной для здравоохранения, и ожиданий, специфичных для NHS. Если вы стартап, ожидайте, что придётся пройти DSPT или продемонстрировать эквивалентные гарантии, прежде чем орган NHS станет делиться с вами данными, и рано назначить или привлечь по договору DPO. Ваш крупнейший риск — быстро двигаться по использованию данных (аналитика, обучение моделей, партнёрства) без законного основания, DPIA и прозрачности, которых требует сектор, и мгновенно потерять клиента из NHS, когда это всплывёт. Относитесь к управлению информацией как к условию доступа на рынок, а не накладным расходам, и закладывайте его, пока вы малы.

Малый бизнес#

Устоявшийся небольшой поставщик (практика врача общей практики, общественная аптека, дом престарелых, агентство ухода на дому, клиника в одном месте или скромный поставщик health-tech) несёт те же юридические обязанности, что и крупный траст, но с долей мощности: часто нет собственного ИТ, нет выделенного DPO, а владелец или управляющий практикой управляет данными наряду с десятком других дел. Ваш реалистичный путь — опираться на общую и внешнюю помощь: DPO по договору, Caldicott Guardian, общий для первичной сети, киберподдержку вашей ICS и руководство NCSC для малых организаций, а не строить возможности, которые вы не можете себе позволить. Проходите DSPT честно, потому что для многих малых поставщиков это и договорное требование, и ваш лучше всего структурированный контрольный список, и фиксируйте реальные пробелы, а не завышайте отчёт. Сначала освойте доступные основы (MFA, оперативное обновление, автономные проверенные резервные копии, доступ с наименьшими привилегиями и простой бумажный запасной вариант), поскольку они предотвращают большинство инцидентов и стоят больше времени, чем денег. Будьте особенно осторожны с привязкой к поставщику и облачными договорённостями, где у вас может быть мало рычагов для согласования условий, но вы всё равно должны знать, где находятся данные пациентов и кто может до них добраться.

Крупная организация#

У крупного траста или устоявшегося поставщика зрелые политики, но трудности с масштабом, унаследованными системами и фрагментацией: десятки систем, непоследовательный контроль доступа, необновлённый парк и управление, тонко размазанное по командам. Ваш вызов — связность: единый взгляд на риск, настоящая опись активов и достаточные инвестиции в безопасность, чтобы чинить основы, а не только покупать инструменты. WannaCry сильнее всего ударил по крупным организациям именно из-за необновлённого унаследованного парка. Используйте DSPT и Cyber Assessment Framework NCSC, чтобы двигать подлинные улучшения, и следите, чтобы принадлежность на уровне совета была реальной, а не делегированной в невидимость.

Государство#

Национальные органы и заказчики задают рамки (принципы Калдикотта, руководство National Data Guardian, национальный отказ от использования данных, DSPT) и несут ответственность за общественное доверие в масштабе населения. Ваши инициативы по данным велики, заметны и политически заряжены, а прошлые программы показали, как быстро скрытый или плохо объяснённый обмен данными вызывает ответную реакцию и массовые отказы. Ведите с прозрачности, содержательного вовлечения общественности и независимого надзора до масштабирования, а не после. Признайте компромисс, которым вы владеете: излишне осторожная национальная политика обескровливает уход и исследования данными, а небрежная — лишает согласия общественность, чьи это данные.

Типичные способы сбоя#

• Управление как театр. DPIA, завершённые после запуска, завышенные отчёты DSPT для вида соответствия и политики, которым никто не следует. Это даёт ложные гарантии, опаснее признанной слабости.
• Основы безопасности забыты при покупке блестящих инструментов. Необновлённые системы, нет многофакторной аутентификации, плоские сети и непроверенные резервные копии, то есть именно те условия, что позволили WannaCry распространиться, нарядённые дорогой платформой обнаружения.
• Оборонительная сверхосторожность под видом безопасности. Отказ делиться данными, законно нужными клиницисту, с восприятием «нет» как безрискового, когда пропущенная аллергия или пробел защиты сам является серьёзным вредом пациентам.
• Скрытые вторичные использования. Расширение данных, собранных для ухода, на аналитику, коммерческие сделки или обучение моделей без нового законного основания, соблюдения отказа или общественной прозрачности, пока не просочится и доверие не рухнет.
• Резервные копии, которые никогда не восстанавливали. Обнаружение в ходе действующего инцидента с вымогателем, что резервные копии неполны, повреждены или зашифрованы вместе со всем остальным.
• Осиротевшая ответственность. DPO или Caldicott Guardian существуют в оргструктуре, но не привлекаются, не обеспечены ресурсами и не услышаны, поэтому риски не выявляются и не принадлежат никому.

Модель зрелости#

Контрольный список#

• DPIA открывается в начале каждого нового проекта с данными и согласуется DPO.
• Законное основание, условие особой категории и основание конфиденциальности задокументированы для каждого потока данных.
• Caldicott Guardian и инспектор по защите данных назначены, обеспечены ресурсами и реально привлекаются.
• Доступ с наименьшими привилегиями и ролевой доступ обеспечен, а доступ к чувствительным записям протоколируется и проверяется.
• Системы оперативно обновляются, многофакторная аутентификация обеспечена, сети сегментированы.
• Резервные копии делаются, хранятся автономно и регулярно проверяются восстановлением.
• План реагирования на инциденты и обеспечения непрерывности бизнеса, включая клинический бумажный запасной вариант, задокументирован и отработан.
• DSPT проходится честно, с зафиксированными пробелами и достоверными планами улучшения.
• Соглашения об обмене информацией действуют между партнёрами ICS с согласованными основаниями.
• Национальный отказ от использования данных применяется ко всем вторичным использованиям, материалы о прозрачности опубликованы.
• Хранение записей и безопасное уничтожение следуют NHS Records Management Code of Practice.
• Требования к защите данных и безопасности прописаны в контрактах с поставщиками, цепочка поставок оценена.

Ключевые источники#

• Information Commissioner's Office (ICO) — руководство по UK GDPR, DPIA и законным основаниям.
• National Data Guardian — обзоры и руководство по безопасности данных и принципам Калдикотта.
• NHS England — Data Security and Protection Toolkit и национальный отказ от использования данных.
• National Cyber Security Centre (NCSC) — руководство по кибербезопасности и Cyber Assessment Framework.
• UK Caldicott Guardian Council — роль и обязанности Caldicott Guardian.
• National Audit Office — расследование кибератаки WannaCry и NHS (2017–18).
• NHS Records Management Code of Practice.

Ссылки#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response