Ämne 1.7 — Informationsstyrning, dataskydd och cybersäkerhet

Inom hälsa och vård är skyddet av information oskiljaktigt från att leverera vård: samma data som räddar ett liv kan, om de hanteras fel, bryta det förtroende som gör behandling möjlig — så hur ni styr, delar och skyddar dem är en klinisk, etisk och förtroendemässig förpliktelse, inte en efterlevnadsefterhandling.

Varför detta är viktigt inom hälsa och vård#

Hälso- och vårddata hör till den mest känsliga information en person någonsin skapar. De registrerar diagnoser, läkemedel, psykiatriska episoder, sexuell hälsa, rättigheter kopplade till migration och de intima detaljerna i skörare och sårbara liv. Människor yppar dessa saker för kliniker under ett underförstått löfte: att uppgifterna ska användas för att hjälpa dem och inte spridas vårdslöst. När det löftet bryts — genom ett läckage, ett ransomware-driftstopp eller en oförklarad datadelningsaffär — undanhåller patienter information, väljer bort journaler eller undviker vård helt. Det är ingen abstrakt skada; den försämrar klinisk säkerhet och befolkningshälsa direkt.

Insatserna är också operativa. Ett modernt sjukhus kan inte fungera utan sina elektroniska system: ordersystem, svar, e-förskrivning, bilddiagnostik och patientadministration är alla digitala. När de systemen går ned omdirigeras ambulanser, operationer ställs in och kliniker återgår till papper på sätt som inför egna fel. Informationsstyrning och cybersäkerhet är därför discipliner för vårdkontinuitet. De hör hemma vid sidan av klinisk säkerhet (Ämne 1.6 — Klinisk säkerhet och riskhantering), inte i en separat efterlevnadssilo.

Slutligen finns en genuin och oundviklig spänning i centrum av detta ämne. Allmänheten förväntar sig med rätta att hälso- och sjukvården använder data för att förbättra vården, planera tjänster och stödja forskning som hittar morgondagens behandlingar. Den förväntar sig också sekretess och kontroll. Dessa mål drar åt olika håll, och er uppgift som ledare är inte att låtsas bort spänningen utan att hantera den öppet — att möjliggöra legitim användning samtidigt som skydden, och de val patienter har, görs synliga och ärliga. Får ni den balansen fel åt endera hållet förlorar ni: antingen svälter ni vård och forskning på data, eller urholkar ni det förtroende hela systemet vilar på.

Grundläggande begrepp#

Grunden för detta fält är disciplinen informationsstyrning — ramverket av regler, roller och kontroller genom vilket en organisation hanterar information lagligt, säkert och etiskt. I Storbritannien är de primära rättsliga grunderna den brittiska dataskyddsförordningen (UK GDPR), den nationella versionen av EU-förordningen som behölls efter Brexit, och Data Protection Act 2018 (DPA 2018), som kompletterar den. Tillsammans kräver de att personuppgifter behandlas lagligt, rättvist och öppet, och att varje behandlingsverksamhet vilar på en rättslig grund. Hälsoinformation är särskild kategori av personuppgifter, vilket kräver både en rättslig grund enligt artikel 6 och ett tilläggsvillkor enligt artikel 9 — för direkt vård vanligen tillhandahållande av hälso- eller socialtjänst av en yrkesutövare under tystnadsplikt.

Dataskyddslagen är inte den enda begränsningen. Den sedvanerättsliga tystnadsplikten (common law duty of confidentiality) är en separat, äldre förpliktelse: information som lämnats i förtroende får inte röjas utan antingen samtycke, ett lagkrav eller ett överordnat allmänintresse. Ni kan vara fullt förenliga med UK GDPR och ändå bryta mot sekretessen, så båda måste uppfyllas.

Två hälsospecifika ramverk översätter dessa plikter till praktik. Caldicott-principerna — en uppsättning principer (numera åtta) för hantering av konfidentiell patientinformation, först framlagda i Caldicott-rapporten 1997 — upprätthålls inom varje organisation av en Caldicott Guardian, en senior person ansvarig för att skydda patientsekretess och möjliggöra lämpligt informationsutbyte. Nationellt är National Data Guardian for Health and Social Care (NDG) en oberoende lagstadgad röst som ger råd om hur patientdata bör användas och skyddas. Det nationella dataavståndstagandet (national data opt-out) ger patienter en mekanism för att förhindra att deras konfidentiella information används för andra ändamål än direkt vård, såsom planering och forskning, och organisationer måste respektera det.

Operativt är en konsekvensbedömning avseende dataskydd (Data Protection Impact Assessment) (DPIA) den strukturerade bedömning ni fullbordar före behandling som sannolikt innebär hög risk — vilket de flesta nya hälsodataprojekt gör — för att identifiera och mildra integritetsrisker. Varje organisation måste utse ett dataskyddsombud (Data Protection Officer) (DPO), en oberoende roll ansvarig för att ge råd om och bevaka efterlevnad. I England är Data Security and Protection Toolkit (DSPT) den årliga självbedömning genom vilken hälso- och vårdorganisationer visar att de uppfyller de standarder för datasäkerhet och informationsstyrning som krävs för att hantera NHS-data.

På säkerhetssidan tillhandahåller National Cyber Security Centre (NCSC) auktoritativ brittisk vägledning och, genom sitt Cyber Assessment Framework (CAF), ett strukturerat sätt att mäta cyberresiliens. God praxis vilar på väletablerade grunder: skydd i flera lager (defence in depth), där flera kontroller läggs i lager så att inget enskilt fel blir katastrofalt; principen om minsta behörighet, att bara ge människor och system den åtkomst de genuint behöver; disciplinerad patchning och testade säkerhetskopior; och beredskap för ransomware, den skadliga programvara som krypterar system för utpressning. Eftersom enbart förebyggande aldrig håller investerar mogna organisationer också i drift: ett säkerhetsoperationscenter (security operations centre) (SOC) — en förmåga, internt eller delad, som bevakar loggar och telemetri för att upptäcka och begränsa intrång — och en inövad incidenthanteringsprocess för att snabbt gå från upptäckt till återhämtning. WannaCry-ransomwareattacken 2017, som störde ungefär en tredjedel av NHS-sjukhusen i England och orsakade en uppskattad påverkan på 92 miljoner pund, förblir det definierande varnande exemplet — dess skada berodde till stor del på opatchade system, inte exotiskt hackande.

Bästa praxis#

1. Starta varje dataprojekt med en DPIA, och behandla den som design, inte pappersarbete. Innan ni bygger eller upphandlar något som behandlar personuppgifter, gå igenom en konsekvensbedömning avseende dataskydd tillsammans med ert dataskyddsombud och er Caldicott Guardian. Gjord tidigt formar den designen — minimera insamlade data, välja pseudonymisering, skärpa åtkomst — i stället för att godkänna beslut som redan fattats. En DPIA parkerad till driftsättning är en varningssignal om att styrningen är teater.

2. Namnge uttryckligen er rättsliga grund och sekretessgrund, och skriv ned dem. För varje flöde av hälsodata, ange den rättsliga grunden enligt artikel 6, villkoret för särskild kategori enligt artikel 9 och hur den sedvanerättsliga tystnadsplikten uppfylls — samtycke, en lagstadgad portal eller allmänintresse. Oklarhet här är där projekt stannar av eller dras tillbaka efter lansering. Att vara uttrycklig låter er också förklara behandlingen för patienter i klarspråk, vilket i sig är ett lagkrav.

3. Tillämpa minsta behörighet och rollbaserad åtkomst överallt. Ge kliniker, administratörer, forskare och system bara den åtkomst deras roll kräver, och granska den regelbundet allteftersom människor flyttar och slutar. Logga åtkomst till känsliga journaler och granska den, eftersom det trovärdiga hotet om upptäckt avskräcker olämplig nyfikenhet lika mycket som någon teknisk kontroll. De flesta verkliga intrång är vardagliga — fel person som ser fel journal — inte sofistikerade intrång.

4. Få cybergrunderna rätt innan ni köper avancerade verktyg. NCSC:s vägledning är oglamorös och effektiv: patcha snabbt, särskilt internetvända och kliniska system; kräv multifaktorautentisering; segmentera nätverk så att en infektion inte kan sprida sig fritt; och underhåll offline, testade säkerhetskopior. WannaCry spred sig genom opatchade Windows-system, och lärdomen består — grundläggande hygien förhindrar merparten av incidenterna. Spendera på grunderna först; köp sofistikerad detektion när grunderna är stabila.

5. Anta att ni kommer att attackeras, och repetera ert svar. Upprätthåll och öva en incidenthanterings- och kontinuitetsplan som förutsätter att system kommer att vara otillgängliga, inklusive klinisk reservlösning på papper och en kommunikationsplan för personal och patienter. Testa era säkerhetskopior genom att faktiskt återställa från dem, eftersom en säkerhetskopia ni aldrig återställt är ett hopp, inte en kontroll. Kör skrivbordsövningar så att första gången ert team hanterar ett ransomware-driftstopp inte är under ett verkligt.

6. Fullborda DSPT ärligt och använd den som en verklig bedömning. Data Security and Protection Toolkit är ett krav för att hantera NHS-data, men dess värde kommer av att behandla den som en ärlig årlig inventering snarare än en rutatickningsritual. Där ni inte kan uppfylla en standard, registrera glappet och en trovärdig förbättringsplan i stället för att överdriva er position. En uppblåst DSPT-inlämning ger er styrelse falsk kvalitetssäkring, vilket är värre än ingen.

7. Gör informationsutbyte till en utformad förmåga, inte ett hinder. Över ett integrerat vårdsystem (ICS) beror god vård på att data korsar organisatoriska gränser mellan sjukhus, läkarpraktiker, socialtjänst och närsjukvårdsutförare. Inför tydliga avtal om informationsutbyte (information sharing agreements, ISA) och dataöverlåtelse, kom gemensamt överens om rättsliga grunder och sekretessgrunder och utforma delade journaler så att rätt yrkesutövare ser rätt information vid vårdtillfället. Målet är säkert utbyte, inte inget utbyte — att undanhålla data en kliniker behöver är i sig ett patientsäkerhetsmisslyckande. Detta hänger direkt ihop med Ämne 4.3 — Interoperabilitet och datastandarder.

8. Respektera patientens val och var transparent om sekundär användning. Respektera det nationella dataavståndstagandet i varje flöde för sekundär användning och publicera tydlig, tillgänglig information om hur data används för planering och forskning. När data delas med kommersiella partner eller används för att träna modeller, redovisa det proaktivt i stället för att låta det komma fram genom ett läckage — dolda arrangemang har upprepade gånger utlöst offentlig motreaktion och vågor av avståndstaganden. Transparens är inte en artighet; det är vad som över huvud taget håller datan flödande.

9. Förvalta journaler genom hela deras livscykel. Tillämpa gallringsscheman baserade på NHS Records Management Code of Practice, gallra journaler säkert när gallringstiden löper ut och håll dem tillgängliga och intakta så länge den varar. Dålig journalhantering skapar både risk (att inneha data ni inte längre behöver) och skada (att förlora data kliniker förlitar sig på). Migrering mellan system är ett högriskögonblick — planera för datakvalitet, mappning och arkivering medvetet.

10. Bygg in styrning i upphandling och leverantörsförvaltning. Foga in krav på dataskydd och säkerhet i avtal: villkor för databehandling, DSPT eller motsvarande certifiering, tidsfrister för anmälan av intrång och rätten att granska. En leverantörs svaga säkerhet blir er incident och er rubrik, så bedöm leveranskedjan, inte bara er egen perimeter. Arbeta med detta tillsammans med kommersiella kollegor såsom behandlas i Ämne 6.3 — Upphandling och kommersiella frågor, och kräv tydliga svar om var data hostas och vem som kan komma åt dem.

11. Investera i upptäckt, inte bara förebyggande. Anta att vissa attacker kommer att ta sig igenom era försvar och bygg förmågan att se dem: centraliserad loggning, bevakning av nyckelsystem och ett säkerhetsoperationscenter — internt, delat över ett ICS eller med stöd av nationella tjänster såsom NCSC och NHS Englands cyberoperationer — så att misstänkt aktivitet upptäcks och begränsas snarare än upptäcks veckor senare. Para detta med kontinuerlig sårbarhetshantering och hotdetektion, så att ni patchar de svagheter angripare faktiskt utnyttjar. Upptäckt köper er tiden att begränsa en incident innan den blir ett driftstopp.

12. Behandla en allvarlig cyberattack som en händelse som hotar klinisk kontinuitet. Skriv, resurssätt och öva en plan för cyberincidenthantering som namnger vem som förklarar en incident, vem som leder det tekniska svaret och vem som äger klinisk säkerhet och extern kommunikation medan system är nere. Koppla den direkt till era arrangemang för verksamhetskontinuitet och katastrofåterställning (se Ämne 3.9 — Kontinuitetsplanering och katastrofåterställning) och era processer för stora händelser och EPRR (se Ämne 3.10 — Krisberedskap, motståndskraft och krishantering), så att ett ransomware-driftstopp hanteras med samma disciplin som vilket hot som helst mot patientvård. En plan som bara lever inom IT-avdelningen kommer att falla i det ögonblick en attack blir en klinisk kris.

Frågor att diskutera med ditt team#

1. Var i våra tjänster delar vi för litet, och var delar vi för mycket — och hur skulle vi ens veta det? Misslyckanden inom informationsstyrning går åt båda håll. Överdelning visar sig som intrång och urholkat förtroende; underdelning visar sig tyst, som en kliniker som inte kunde se en allergi, en oro om skydd av utsatta som föll mellan organ eller en utskrivning som gick fel därför att närsjukvårdsteam saknade sammanhang. Diskutera konkreta fall från er egen miljö. Har ni en — ofta defensiv — benägenhet att behandla undanhållande som automatiskt säkert? Vilka signaler skulle tala om för er att en delningsgräns skadar patienter, och vem är ansvarig för att märka det? Ett moget team kan namnge exempel på båda felmönstren och har en väg att eskalera var och ett.

2. Om ett ransomware-angrepp slog ut våra kliniska system i morgon bitti, vad skulle faktiskt hända den första timmen? Gå bortom planen på papperet till den levda verkligheten. Vem förklarar incidenten, och hur får personalen veta när e-post och intranät kan vara nere? Vad är den kliniska reservlösningen för förskrivning, svar och patientidentifiering, och har frontlinjepersonal någonsin övat den? Hur länge kan varje tjänst köra på papper innan patientsäkerheten försämras, och hur avgör ni att omdirigera eller ställa in? När återställde ni senast från en säkerhetskopia för att bevisa att den fungerar? Ärligheten i detta samtal — särskilt de glapp människor är ovilliga att erkänna — är ett bättre mått på resiliens än något ramverkspoäng.

3. Hur skulle vi förklara våra datauppgifters användningar för en skeptisk patient, och skulle de känna att vi hade varit raka mot dem? Allmänhetens förtroende förtjänas i klarspråk, inte i juridiska notiser. Välj en verklig sekundär användning av data i er organisation — tjänsteplanering, ett forskningspartnerskap, ett leverantörsarrangemang, ett AI-verktyg — och försök förklara den för en vanlig person: vilka data, för vilket ändamål, vem som gynnas, vilka skydd och vilket val de har. Var blir förklaringen obekväm eller undvikande? Det obehaget markerar vanligen något ni bör antingen ändra eller kommunicera öppnare. Beakta hur det nationella dataavståndstagandet och era transparensmaterial skulle se ut för någon som är förutfattad att misstro, och koppla detta till styrningen av AI i Ämne 8.4 — Styrning av AI och ny teknik.

4. När en leverantör eller partner håller våra patienters data, vems incident är det — och är vi säkra på att vi skulle få veta i tid? De flesta hälso- och vårdorganisationer är nu beroende av en kedja av tredje parter: leverantören av elektronisk patientjournal, en molnhost, en leverantör av hanterade tjänster, en partner inom patologi eller bilddiagnostik. Ett intrång eller driftstopp var som helst i den kedjan blir er kliniska kris och er rubrik, men avtalet, certifieringen och klockan för anmälan om intrång får ofta långt mindre granskning än er egen perimeter. Diskutera vad ni faktiskt vet om var era data hostas, vem som kan komma åt dem och hur snabbt en leverantör är avtalsmässigt bunden att tala om för er när något går fel. Har ni någonsin testat den anmälningsvägen, eller sett en leverantörs DSPT eller motsvarande kvalitetssäkring snarare än tagit den på förtroende? Vad händer om en kritisk leverantör själv drabbas av ransomware en fredagskväll? Ett ärligt svar namnger de leverantörer ni för närvarande inte kan hålla ansvariga och kopplar detta till Ämne 6.3 — Upphandling och kommersiella frågor.

5. Vem äger egentligen informationsstyrningsrisken här — och skulle de höra om ett problem innan det blev en kris? På papperet äger ett dataskyddsombud och en Caldicott Guardian sekretess- och dataskyddsrisk, och styrelsen äger cyberresiliensen. I praktiken är dessa roller ofta underresurssatta, rådfrågade sent eller behandlade som ett godkännande snarare än en röst, så risker varken lyfts fram eller eskaleras förrän de dyker upp som incidenter. Tala ärligt om huruvida er Caldicott Guardian och ert dataskyddsombud faktiskt dras in i beslut tidigt, om de kan säga nej och bli hörda och om cyberrisk når styrelsen som något de förstår och äger snarare än en teknisk rapport de nickar igenom. Skulle en frontlinjekliniker som upptäckte olämplig åtkomst, eller en tekniker som hittade ett opatchat kritiskt system, veta hur de tar upp det och lita på att något skulle hända? Testet på ägarskap är inte organisationsschemat utan om obekväma nyheter färdas uppåt snabbt, och detta länkar till den säkerhetskultur som diskuteras i Ämne 1.6 — Klinisk säkerhet och riskhantering.

6. Hur avgör vi vilka data vi ska behålla, vilka vi ska radera och vem som fortfarande behöver åtkomst — och när gjorde vi det senast på riktigt? Styrningens uppmärksamhet koncentreras på att samla in och dela data, men gallring, avveckling och åtkomstgranskning är där tyst risk ackumuleras: journaler som hålls långt efter sin lagliga gallringstid, vilande konton som fortfarande öppnar levande system och åtkomsträttigheter som följde människor när de bytte roller men aldrig togs bort. Varje journal ni inte längre behöver är ett ansvar ni lagrar, och varje inaktuell inloggningsuppgift är en väg in för en angripare eller en nyfiken insider. Diskutera om era gallringsscheman följer NHS Records Management Code of Practice i verkligheten eller bara i policy, när åtkomsträttigheter senast granskades och rensades och hur ni hanterar högriskögonblicket när ett system migreras eller avvecklas. Vem är ansvarig för att trycka på radera, och mäts någon på det? Ett ärligt svar avslöjar vanligen en ackumulering av data och åtkomst som ingen ägt på år.

I praktiken: ett exempel från hälsa och vård#

Meadowford Integrated Care System inrättar en gemensam vårdjournal så att sjukhusläkare, allmänläkare, distriktssköterskor och socialsekreterare kan se en enhetlig bild av varje person. Programmet är populärt bland kliniker och politiskt synligt, och frestelsen är att röra sig fort.

Programdirektören insisterar på att sekvensera styrning vid sidan av bygget snarare än bakom det. En DPIA öppnas från början, ledd gemensamt av dataskyddsombudet och den ledande Caldicott Guardian hämtad från partnerorganisationerna. Den tvingar fram tidiga, användbara beslut: journalen kommer att visa en kurerad klinisk sammanfattning snarare än varje historiskt dokument; socialtjänstjournaler med tredjepartsinformation hanteras under strängare regler; och åtkomst blir rollbaserad, med en kontroll av legitim relation så att en yrkesutövare bara kan öppna en journal för någon i deras vård. Varje åtkomst loggas och granskas, och personalen får tydligt veta det.

Partnerna kommer överens om ett enda avtal om informationsutbyte som täcker den sedvanerättsliga tystnadsplikten och de rättsliga grunderna — direkt vård enligt artikel 6.1 e och artikel 9.2 h — och de bekräftar att den gemensamma journalen används endast för direkt vård, så det nationella dataavståndstagandet begränsar den inte. När ett separat förslag anländer om att använda samma data för befolkningshälsoanalys behandlar teamet det som ett särskilt flöde med egen DPIA, egen rättslig grund, efterlevnad av avståndstagandet och offentlig kommunikation, i stället för att i tysthet utvidga det befintliga avtalet.

Sex veckor före driftsättning kör säkerhetsansvarig en skrivbordsövning med ransomware. Den avslöjar att den gemensamma journalen saknar klinisk reservlösning om den blir otillgänglig och att säkerhetskopior aldrig testats genom återställning. Driftsättningen skjuts en månad medan teamet lägger till en skrivskyddad offlinekopia som uppdateras varje natt, bevisar att återställningen fungerar och instruerar frontlinjepersonal om reservlösning på papper. Förseningen är impopulär, men när ett patchningsfel hos en leverantör tar ned huvudsystemet en förmiddag tre månader senare fortsätter vården på reservlösningen och inga besök går förlorade. Programmets trovärdighet — och klinikers förtroende för journalen — överlever intakt. Avvägningen var uttrycklig: en långsammare lansering köpte resiliens som en snabbare skulle ha spelat bort.

Sektorperspektiv#

Startup-företag#

Ett hälsotekniskt startup-företag har ofta de starkaste tekniska säkerhetsinstinkterna och det svagaste greppet om hälsospecifik sekretess och NHS-specifika förväntningar. Om ni är ett startup-företag, förvänta er att fullborda DSPT eller visa motsvarande kvalitetssäkring innan ett NHS-organ delar data med er, och utse eller kontraktera ett dataskyddsombud tidigt. Er största risk är att röra sig fort på datanvändningar — analys, modellträning, partnerskap — utan den rättsliga grund, DPIA och transparens som sektorn kräver, och att förlora en NHS-kund över en natt när det kommer fram. Behandla informationsstyrning som ett marknadstillträdeskrav, inte overhead, och bygg in den medan ni är små.

Småföretag#

En etablerad liten vårdgivare — en läkarpraktik, ett närapotek, ett vårdhem, en hemtjänstorganisation, en klinik på en enda ort eller en blygsam hälsotekniksleverantör — bär samma rättsliga plikter som ett stort sjukhus men med en bråkdel av kapaciteten: ofta ingen intern IT, inget dedikerat dataskyddsombud och en ägare eller praktikchef som styr data vid sidan av ett dussin andra uppgifter. Er realistiska väg är att luta sig mot delad och extern hjälp — ett kontrakterat dataskyddsombud, en Caldicott Guardian delad över ett nätverk för primärvård, ert ICS cyberstöd och NCSC:s vägledning för små organisationer — snarare än att bygga förmåga ni inte har råd med. Fullborda DSPT ärligt, eftersom den för många små vårdgivare är både ett avtalskrav och er bäst strukturerade checklista, och registrera verkliga glapp i stället för att blåsa upp inlämningen. Få de överkomliga grunderna rätt först — MFA, snabb patchning, offline testade säkerhetskopior, minsta behörighet och en enkel reservlösning på papper — eftersom dessa förhindrar de flesta incidenter och kostar mer tid än pengar. Var särskilt noga med leverantörsinlåsning och molnarrangemang, där ni kan ha litet inflytande att förhandla villkor och ändå måste veta var patientdata finns och vem som kan nå dem.

Storföretag#

Ett stort sjukhus (trust) eller en etablerad leverantör har mogna policyer men kämpar med skala, äldre system och fragmentering: dussintals system, inkonsekventa åtkomstkontroller, opatchat bestånd och styrning utspridd tunt över team. Er utmaning är sammanhang — en enda bild av risk, en verklig tillgångsförteckning och tillräcklig säkerhetsinvestering för att åtgärda grunderna snarare än bara köpa verktyg. WannaCry drabbade stora organisationer hårdast just på grund av opatchat äldre bestånd. Använd DSPT och NCSC:s Cyber Assessment Framework för att driva genuin förbättring, och se till att ägarskap på styrelsenivå är verkligt snarare än delegerat till osynlighet.

Staten#

Nationella organ och beställare sätter ramverken — Caldicott-principerna, National Data Guardians vägledning, det nationella dataavståndstagandet, DSPT — och bär ansvar för allmänhetens förtroende i befolkningsskala. Era datainitiativ är stora, synliga och politiskt laddade, och tidigare program har visat hur snabbt dolt eller dåligt förklarat datadelande utlöser motreaktion och massavståndstaganden. Led med transparens, meningsfullt offentligt engagemang och oberoende tillsyn före uppskalning, inte efter. Erkänn den avvägning ni äger: alltför försiktig nationell politik svälter vård och forskning på data, medan vårdslös politik förverkar samtycket från den allmänhet vars data det är.

Vanliga felmönster#

• Styrning som teater. DPIA gjorda efter lansering, DSPT-inlämningar uppblåsta för att se förenliga ut och policyer ingen följer. Detta producerar falsk kvalitetssäkring, vilket är farligare än erkänd svaghet.
• Säkerhetsgrunder försummade medan blanka verktyg köps. Opatchade system, ingen multifaktorautentisering, platta nätverk och otestade säkerhetskopior — just de förhållanden som lät WannaCry sprida sig — maskerade med en dyr detektionsplattform.
• Defensiv överförsiktighet förklädd till säkerhet. Att vägra dela data en kliniker legitimt behöver, och behandla ”nej” som riskfritt när en missad allergi eller ett glapp i skyddet av utsatta i sig är allvarlig patientskada.
• Dolda sekundära användningar. Att utvidga data insamlade för vård till analys, kommersiella affärer eller modellträning utan ny rättslig grund, efterlevnad av avståndstagandet eller offentlig transparens — tills det läcker och förtroendet kollapsar.
• Säkerhetskopior som aldrig återställdes. Att under ett levande ransomware-angrepp upptäcka att säkerhetskopiorna är ofullständiga, korrumperade eller krypterade tillsammans med allt annat.
• Föräldralöst ansvar. Ett dataskyddsombud eller en Caldicott Guardian som finns i organisationsschemat men inte rådfrågas, resurssätts eller lyssnas på, så att risker varken lyfts fram eller ägs.

Mognadsmodell#

Checklista#

• En DPIA öppnas vid starten av varje nytt dataprojekt och godkänns av dataskyddsombudet.
• Rättslig grund, villkor för särskild kategori och sekretessgrund är dokumenterade för varje dataflöde.
• En Caldicott Guardian och ett dataskyddsombud är utsedda, resurssatta och faktiskt rådfrågade.
• Rollbaserad åtkomst med minsta behörighet verkställs och åtkomst till känsliga journaler loggas och granskas.
• System patchas snabbt, multifaktorautentisering verkställs och nätverk segmenteras.
• Säkerhetskopior tas, hålls offline och teståterställs enligt regelbundet schema.
• En incidenthanterings- och kontinuitetsplan, inklusive klinisk reservlösning på papper, är dokumenterad och övad.
• DSPT fullbordas ärligt, med registrerade glapp och trovärdiga förbättringsplaner.
• Avtal om informationsutbyte finns över ICS-partner med överenskomna grunder.
• Det nationella dataavståndstagandet tillämpas på alla sekundära användningar och transparensmaterial publiceras.
• Journalgallring och säker avveckling följer NHS Records Management Code of Practice.
• Krav på dataskydd och säkerhet skrivs in i leverantörsavtal och leveranskedjan bedöms.

Viktiga källor#

• Information Commissioner's Office (ICO) — Guide to UK GDPR, DPIA och rättsliga grunder.
• National Data Guardian — översyner och vägledning om datasäkerhet och Caldicott-principerna.
• NHS England — Data Security and Protection Toolkit och det nationella dataavståndstagandet.
• National Cyber Security Centre (NCSC) — vägledning om cybersäkerhet och Cyber Assessment Framework.
• UK Caldicott Guardian Council — Caldicott Guardians roll och ansvar.
• National Audit Office — utredning av WannaCry-cyberattacken och NHS (2017–18).
• NHS Records Management Code of Practice.

Referenser#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response