موضوع 1.7 — معلومات کی نظامت، ڈیٹا کا تحفظ اور سائبر سیکیورٹی

صحت اور نگہداشت میں معلومات کا تحفظ نگہداشت کی فراہمی سے جدا نہیں: وہی ڈیٹا جو جان بچاتا ہے، اگر غلط طور پر سنبھالا جائے، تو اس اعتماد کو توڑ سکتا ہے جو علاج کو ممکن بناتا ہے — اس لیے آپ اسے کیسے منظم، شیئر اور محفوظ کرتے ہیں یہ طبی، اخلاقی اور عوامی اعتماد کی ذمہ داری ہے، تعمیل کی بعد کی سوچ نہیں۔

یہ صحت اور نگہداشت میں کیوں اہم ہے#

صحت اور نگہداشت کا ڈیٹا ان حساس ترین معلومات میں سے ہے جو کوئی شخص کبھی تخلیق کرے گا۔ اس میں تشخیصیں، ادویات، ذہنی صحت کے واقعات، جنسی صحت، امیگریشن سے منسلک استحقاقات، اور کمزور اور نازک زندگیوں کی گہری تفصیلات ریکارڈ ہوتی ہیں۔ لوگ یہ باتیں معالجین کو ایک ضمنی وعدے پر بتاتے ہیں: کہ معلومات ان کی مدد کے لیے استعمال ہوں گی اور لاپروائی سے نہیں پھیلائی جائیں گی۔ جب یہ وعدہ ٹوٹتا ہے — لیک، رینسم ویئر کی بندش، یا کسی غیر واضح ڈیٹا شیئرنگ سودے کے ذریعے — تو مریض معلومات روک لیتے ہیں، ریکارڈ سے باہر نکل جاتے ہیں، یا نگہداشت سے مکمل گریز کرتے ہیں۔ یہ کوئی تجریدی نقصان نہیں؛ یہ طبی تحفظ اور آبادی کی صحت کو براہِ راست گھٹاتا ہے۔

داؤ عملیاتی بھی ہیں۔ جدید ہسپتال اپنے برقی نظاموں کے بغیر کام نہیں کر سکتا: آرڈر مواصلات، نتائج، برقی نسخہ نویسی، تصویر کشی اور مریضوں کی انتظامیہ سب ڈیجیٹل ہیں۔ جب یہ نظام بند ہوتے ہیں تو ایمبولینسیں رخ بدلتی ہیں، آپریشن منسوخ ہوتے ہیں، اور معالجین کاغذ پر لوٹ جاتے ہیں ایسے طریقوں سے جو اپنی غلطیاں پیدا کرتے ہیں۔ لہٰذا معلومات کی نظامت اور سائبر سیکیورٹی نگہداشت کے تسلسل کے نظم و ضبط ہیں۔ یہ طبی تحفظ (موضوع 1.6 — طبی تحفظ اور خطرات کا انتظام) کے ساتھ ہیں، الگ تعمیل کے جزیرے میں نہیں۔

آخر میں، اس موضوع کے مرکز میں ایک حقیقی اور ناگزیر کشمکش ہے۔ عوام بجا طور پر توقع کرتے ہیں کہ صحت کی خدمت ڈیٹا کو نگہداشت بہتر بنانے، خدمات کی منصوبہ بندی کرنے، اور وہ تحقیق سپورٹ کرنے کے لیے استعمال کرے جو کل کے علاج ڈھونڈتی ہے۔ وہ رازداری اور اختیار کی بھی توقع کرتے ہیں۔ یہ مقاصد ایک دوسرے کے خلاف کھنچتے ہیں، اور ایک رہنما کے طور پر آپ کا کام کشمکش کو غائب ظاہر کرنا نہیں بلکہ اسے کھلے عام سنبھالنا ہے — جائز استعمال کو ممکن بناتے ہوئے، حفاظتی تدابیر اور مریضوں کے انتخابات کو نظر آنے والا اور دیانت دار بنانا۔ توازن کسی بھی سمت میں غلط ہو تو آپ ہارتے ہیں: یا آپ نگہداشت اور تحقیق کو ڈیٹا سے بھوکا رکھتے ہیں، یا اس اعتماد کو کھوکھلا کرتے ہیں جس پر پورا نظام منحصر ہے۔

بنیادی تصورات#

اس شعبے کی بنیاد معلومات کی نظامت کا نظم و ضبط ہے — قواعد، کرداروں اور کنٹرولز کا وہ ڈھانچہ جس کے ذریعے ادارہ معلومات کو قانونی، محفوظ اور اخلاقی طور پر سنبھالتا ہے۔ برطانیہ میں بنیادی قانونی بنیادیں UK جنرل ڈیٹا پروٹیکشن ریگولیشن (UK GDPR)، بریگزٹ کے بعد برقرار رکھا گیا EU ضابطے کا ملکی ورژن، اور ڈیٹا پروٹیکشن ایکٹ 2018 (DPA 2018) ہیں جو اس کی تکمیل کرتا ہے۔ مل کر یہ تقاضا کرتے ہیں کہ ذاتی ڈیٹا پر کارروائی قانونی، منصفانہ اور شفاف طریقے سے ہو، اور ہر کارروائی کی سرگرمی ایک قانونی بنیاد پر قائم ہو۔ صحت کی معلومات خصوصی زمرے کا ڈیٹا ہے، جس کے لیے آرٹیکل 6 کے تحت قانونی بنیاد اور آرٹیکل 9 کے تحت اضافی شرط دونوں درکار ہیں — براہِ راست نگہداشت کے لیے، عموماً رازداری کے فرض کے تحت پیشہ ور کی صحت یا سماجی نگہداشت کی فراہمی۔

ڈیٹا تحفظ کا قانون واحد رکاوٹ نہیں۔ رازداری کا عام قانونی فرض ایک الگ، پرانی ذمہ داری ہے: جو معلومات اعتماد میں دی گئی ہو اسے رضامندی، قانونی تقاضے، یا غالب عوامی مفاد کے بغیر ظاہر نہیں کیا جا سکتا۔ آپ UK GDPR کی مکمل تعمیل کرتے ہوئے بھی رازداری کی خلاف ورزی کر سکتے ہیں، اس لیے دونوں پورے ہونے چاہییں۔

دو صحت سے مخصوص فریم ورک ان فرائض کو عمل میں ترجمہ کرتے ہیں۔ کالڈیکوٹ اصول — خفیہ مریض کی معلومات سنبھالنے کے اصولوں کا مجموعہ (اب آٹھ) جو پہلی بار 1997 کی کالڈیکوٹ رپورٹ میں طے ہوئے — ہر ادارے کے اندر کالڈیکوٹ گارڈین کے ذریعے برقرار رکھے جاتے ہیں، ایک سینئر شخص جو مریض کی رازداری کے تحفظ اور مناسب معلومات کے تبادلے کو ممکن بنانے کا ذمہ دار ہے۔ قومی سطح پر، صحت اور سماجی نگہداشت کے لیے نیشنل ڈیٹا گارڈین (NDG) ایک آزاد، قانونی آواز ہے جو مشورہ دیتی ہے کہ مریض کا ڈیٹا کیسے استعمال اور محفوظ کیا جانا چاہیے۔ قومی ڈیٹا اوپٹ آؤٹ مریضوں کو یہ ذریعہ دیتا ہے کہ ان کی خفیہ معلومات براہِ راست نگہداشت سے آگے کے مقاصد، جیسے منصوبہ بندی اور تحقیق، کے لیے استعمال نہ ہوں، اور اداروں کو اس کا احترام کرنا لازم ہے۔

عملی طور پر، ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ (DPIA) وہ منظم جائزہ ہے جو آپ ایسی کارروائی سے پہلے مکمل کرتے ہیں جو غالباً زیادہ خطرے والی ہو — جیسا کہ صحت کے ڈیٹا کے زیادہ تر نئے منصوبے ہوتے ہیں — تاکہ رازداری کے خطرات کی شناخت اور تخفیف ہو۔ ہر ادارے کو ایک ڈیٹا پروٹیکشن آفیسر (DPO) مقرر کرنا ہوتا ہے، ایک آزاد کردار جو تعمیل پر مشورہ دینے اور نگرانی کا ذمہ دار ہے۔ انگلینڈ میں ڈیٹا سیکیورٹی اینڈ پروٹیکشن ٹول کٹ (DSPT) وہ سالانہ خود جائزہ ہے جس کے ذریعے صحت اور نگہداشت کے ادارے ظاہر کرتے ہیں کہ وہ NHS کا ڈیٹا سنبھالنے کے لیے درکار ڈیٹا سیکیورٹی اور معلومات کی نظامت کے معیار پورے کرتے ہیں۔

سلامتی کی طرف، نیشنل سائبر سیکیورٹی سینٹر (NCSC) برطانیہ کی مستند رہنمائی فراہم کرتا ہے اور اپنے سائبر اسسمنٹ فریم ورک (CAF) کے ذریعے سائبر لچک ناپنے کا منظم طریقہ دیتا ہے۔ درست مشق مضبوط بنیادوں پر قائم ہے: گہرائی میں دفاع، متعدد کنٹرولز کی تہیں تاکہ کوئی ایک ناکامی تباہ کن نہ ہو؛ کم از کم استحقاق کا اصول، لوگوں اور نظاموں کو صرف وہی رسائی دینا جس کی انہیں واقعی ضرورت ہے؛ نظم و ضبط والی پیچنگ اور آزمودہ بیک اپ؛ اور رینسم ویئر کے لیے تیاری، وہ میل ویئر جو بھتے کے لیے نظاموں کو خفیہ کر دیتا ہے۔ چونکہ صرف روک تھام کبھی قائم نہیں رہتی، پختہ ادارے آپریشنز میں بھی سرمایہ کاری کرتے ہیں: سیکیورٹی آپریشنز سینٹر (SOC) — ایک صلاحیت، اندرونی ہو یا مشترکہ، جو لاگز اور ٹیلی میٹری کی نگرانی کر کے دراندازی کا پتا لگاتی اور اسے روکتی ہے — اور مشق شدہ واقعے کا ردعمل کا عمل تاکہ شناخت سے بحالی تک جلد پہنچا جا سکے۔ 2017 کا WannaCry رینسم ویئر حملہ، جس نے انگلینڈ میں NHS کے تقریباً ایک تہائی ٹرسٹس کو متاثر کیا اور اندازاً £92 ملین کا اثر ڈالا، اب بھی وضاحتی تنبیہی مثال ہے — اس کا نقصان زیادہ تر غیر پیچ شدہ نظاموں سے آیا، کسی انوکھی ہیکنگ سے نہیں۔

بہترین طریقے#

1. ہر ڈیٹا منصوبہ DPIA سے شروع کریں، اور اسے ڈیزائن سمجھیں، کاغذی کارروائی نہیں۔ ذاتی ڈیٹا پر کارروائی کرنے والی کوئی بھی چیز بنانے یا خریدنے سے پہلے اپنے DPO اور کالڈیکوٹ گارڈین کے ساتھ ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ سے گزریں۔ جلد کیا جائے تو یہ ڈیزائن کو ڈھالتا ہے — جمع کردہ ڈیٹا کم سے کم کرنا، گمنامی سازی چننا، رسائی سخت کرنا — پہلے سے کیے گئے فیصلوں پر ربڑ اسٹیمپ لگانے کے بجائے۔ لائیو ہونے تک رکھا گیا DPIA اس بات کی تنبیہ ہے کہ نظامت تماشا ہے۔

2. اپنی قانونی بنیاد اور رازداری کی بنیاد کا صریح نام لیں، اور انہیں لکھ لیں۔ صحت کے ڈیٹا کے ہر بہاؤ کے لیے آرٹیکل 6 کی قانونی بنیاد، آرٹیکل 9 کی خصوصی زمرے کی شرط، اور رازداری کا عام قانونی فرض کیسے پورا ہوتا ہے — رضامندی، قانونی راستہ، یا عوامی مفاد — بیان کریں۔ یہاں ابہام وہ جگہ ہے جہاں منصوبے رک جاتے ہیں یا لانچ کے بعد واپس لے لیے جاتے ہیں۔ صریح ہونا آپ کو مریضوں کو سادہ زبان میں کارروائی سمجھانے دیتا ہے، جو خود قانونی تقاضا ہے۔

3. ہر جگہ کم از کم استحقاق اور کردار پر مبنی رسائی لاگو کریں۔ معالجین، منتظمین، محققین اور نظاموں کو صرف وہ رسائی دیں جو ان کا کردار مانگتا ہے، اور لوگوں کے آنے جانے کے ساتھ اس کا باقاعدہ جائزہ لیں۔ حساس ریکارڈ تک رسائی کو لاگ اور آڈٹ کریں، کیونکہ پتا لگنے کا قابلِ اعتماد خطرہ کسی بھی تکنیکی کنٹرول جتنا ہی نامناسب تجسس کو روکتا ہے۔ حقیقی دنیا کی زیادہ تر خلاف ورزیاں معمولی ہیں — غلط شخص کا غلط ریکارڈ دیکھ لینا — نہ کہ نفیس دراندازیاں۔

4. جدید آلات خریدنے سے پہلے سائبر کی بنیادیں درست کریں۔ NCSC کی رہنمائی بے رونق اور مؤثر ہے: فوراً پیچ کریں، خصوصاً انٹرنیٹ رخی اور طبی نظام؛ ملٹی فیکٹر تصدیق نافذ کریں؛ نیٹ ورکس کو تقسیم کریں تاکہ انفیکشن آزادانہ نہ پھیل سکے؛ اور آف لائن، آزمودہ بیک اپ رکھیں۔ WannaCry غیر پیچ شدہ ونڈوز نظاموں کے ذریعے پھیلا، اور سبق قائم ہے — بنیادی صفائی زیادہ تر واقعات کو روکتی ہے۔ پہلے بنیادوں پر خرچ کریں؛ نفیس شناخت تب خریدیں جب بنیادیں ٹھوس ہوں۔

5. فرض کریں کہ آپ پر حملہ ہوگا، اور اپنے ردعمل کی مشق کریں۔ واقعے کے ردعمل اور کاروباری تسلسل کا منصوبہ برقرار رکھیں اور اس کی مشق کریں جو فرض کرتا ہے کہ نظام دستیاب نہیں ہوں گے، بشمول کاغذ پر طبی متبادل اور عملے اور مریضوں کے لیے ابلاغی منصوبہ۔ اپنے بیک اپ کو واقعی ان سے بحال کر کے آزمائیں، کیونکہ جس بیک اپ کو آپ نے کبھی بحال نہیں کیا وہ امید ہے، کنٹرول نہیں۔ ٹیبل ٹاپ مشقیں چلائیں تاکہ آپ کی ٹیم کا رینسم ویئر کی بندش سے پہلی بار سامنا اصل بندش کے دوران نہ ہو۔

6. DSPT ایمانداری سے مکمل کریں اور اسے حقیقی جائزے کے طور پر استعمال کریں۔ ڈیٹا سیکیورٹی اینڈ پروٹیکشن ٹول کٹ NHS کا ڈیٹا سنبھالنے کی شرط ہے، لیکن اس کی قدر اسے خانہ پُری کی رسم کے بجائے سالانہ دیانت دار جائزہ سمجھنے سے آتی ہے۔ جہاں آپ کوئی معیار پورا نہ کر سکیں وہاں اپنی پوزیشن بڑھا چڑھا کر بتانے کے بجائے خلا اور قابلِ اعتماد بہتری کا منصوبہ ریکارڈ کریں۔ بڑھا چڑھا کر بھری گئی DSPT آپ کے بورڈ کو جھوٹی یقین دہانی دیتی ہے، جو کسی یقین دہانی کے نہ ہونے سے بدتر ہے۔

7. معلومات کے تبادلے کو ایک ڈیزائن شدہ صلاحیت بنائیں، رکاوٹ نہیں۔ مربوط نگہداشتی نظام (ICS) میں اچھی نگہداشت اس پر منحصر ہے کہ ڈیٹا ٹرسٹس، جی پی پریکٹسز، سماجی نگہداشت اور کمیونٹی فراہم کنندگان کی تنظیمی حدود پار کرے۔ واضح معلومات کے تبادلے کے معاہدے (ISAs) اور ڈیٹا کے تبادلے کے معاہدے قائم کریں، قانونی اور رازداری کی بنیادیں مل کر طے کریں، اور مشترکہ ریکارڈ یوں ڈیزائن کریں کہ نگہداشت کے مقام پر درست پیشہ ور کو درست معلومات نظر آئیں۔ مقصد محفوظ تبادلہ ہے، تبادلہ نہ ہونا نہیں — وہ ڈیٹا روکنا جو معالج کو درکار ہو خود مریض کے تحفظ کی ناکامی ہے۔ یہ براہِ راست موضوع 4.3 — باہمی عملیت اور ڈیٹا معیارات سے جڑتا ہے۔

8. مریض کے انتخاب کا احترام کریں اور ثانوی استعمالات پر شفاف رہیں۔ ہر ثانوی استعمال کے بہاؤ میں قومی ڈیٹا اوپٹ آؤٹ کا احترام کریں، اور شائع کریں واضح، قابلِ رسائی معلومات کہ ڈیٹا منصوبہ بندی اور تحقیق کے لیے کیسے استعمال ہوتا ہے۔ جب ڈیٹا تجارتی شراکت داروں سے شیئر ہو یا ماڈل سکھانے کے لیے استعمال ہو تو اسے لیک کے ذریعے سامنے آنے دینے کے بجائے پیشگی ظاہر کریں — چھپے انتظامات نے بار بار عوامی ردعمل اور اوپٹ آؤٹ کی لہریں جنم دی ہیں۔ شفافیت مہربانی نہیں؛ یہی ہے جو ڈیٹا کو بہتا رکھتی ہے۔

9. ریکارڈز کا ان کے پورے دورانیے میں انتظام کریں۔ NHS ریکارڈز مینجمنٹ کوڈ آف پریکٹس پر مبنی برقرار رکھنے کے شیڈول لاگو کریں، برقرار رکھنے کی مدت ختم ہونے پر ریکارڈ کو محفوظ طریقے سے تلف کریں اور مدت کے دوران انہیں قابلِ رسائی اور برقرار رکھیں۔ ناقص ریکارڈز کا انتظام خطرہ بھی پیدا کرتا ہے (وہ ڈیٹا رکھنا جس کی اب ضرورت نہیں) اور نقصان بھی (وہ ڈیٹا کھونا جس پر معالجین انحصار کرتے ہیں)۔ نظاموں کے درمیان منتقلی زیادہ خطرے والا لمحہ ہے — ڈیٹا کے معیار، نقشہ سازی اور آرکائیونگ کی جان بوجھ کر منصوبہ بندی کریں۔

10. خریداری اور سپلائر کے انتظام میں نظامت شامل کریں۔ معاہدوں میں ڈیٹا تحفظ اور سلامتی کے تقاضے شامل کریں: ڈیٹا پر کارروائی کی شرائط، DSPT یا مساوی سرٹیفیکیشن، خلاف ورزی کی اطلاع کی مدت، اور آڈٹ کا حق۔ سپلائر کی کمزور سلامتی آپ کا واقعہ اور آپ کی سرخی بن جاتی ہے، اس لیے صرف اپنی حد نہیں بلکہ سپلائی چین کا جائزہ لیں۔ یہ تجارتی ساتھیوں کے ساتھ مل کر کریں جیسا کہ موضوع 6.3 — خریداری اور تجارتی امور میں بیان ہے، اور واضح جوابات مانگیں کہ ڈیٹا کہاں ہوسٹ ہوتا ہے اور اس تک کون رسائی رکھتا ہے۔

11. صرف روک تھام میں نہیں، شناخت میں بھی سرمایہ کاری کریں۔ فرض کریں کہ کچھ حملے آپ کے دفاع سے گزر جائیں گے، اور انہیں دیکھنے کی صلاحیت بنائیں: مرکزی لاگنگ، اہم نظاموں کی نگرانی، اور سیکیورٹی آپریشنز سینٹر — اندرونی، ICS میں مشترکہ، یا NCSC اور NHS انگلینڈ کے سائبر آپریشنز جیسی قومی خدمات پر مبنی — تاکہ مشکوک سرگرمی ہفتوں بعد دریافت ہونے کے بجائے پکڑی اور روکی جائے۔ اسے مسلسل کمزوریوں کے انتظام اور خطرے کی شناخت سے جوڑیں، تاکہ آپ وہ کمزوریاں پیچ کریں جو حملہ آور واقعی استعمال کرتے ہیں۔ شناخت آپ کو واقعے کے بندش بننے سے پہلے اسے روکنے کا وقت خریدتی ہے۔

12. سنگین سائبر حملے کو طبی تسلسل کا واقعہ سمجھیں۔ سائبر واقعے کے ردعمل کا منصوبہ لکھیں، اس کے وسائل رکھیں اور مشق کریں جو نام لے کہ واقعے کا اعلان کون کرتا ہے، تکنیکی ردعمل کی قیادت کون کرتا ہے، اور نظاموں کے بند ہونے کے دوران طبی تحفظ اور بیرونی ابلاغ کا مالک کون ہے۔ اسے براہِ راست اپنے کاروباری تسلسل اور آفت سے بحالی کے انتظامات (دیکھیے موضوع 3.9 — کاروباری تسلسل اور آفت سے بحالی) اور بڑے واقعے اور EPRR کے عمل (دیکھیے موضوع 3.10 — ہنگامی تیاری، لچک اور ردعمل) سے جوڑیں، تاکہ رینسم ویئر کی بندش اسی نظم و ضبط سے سنبھالی جائے جیسے مریض کی نگہداشت کو درپیش کوئی بھی خطرہ۔ جو منصوبہ صرف IT کے شعبے میں رہتا ہے وہ اس لمحے ناکام ہوگا جب حملہ طبی بحران بنے گا۔

اپنی ٹیم کے ساتھ زیرِ بحث لانے کے سوالات#

1. ہماری خدمات میں ہم کہاں بہت کم شیئر کر رہے ہیں، اور کہاں بہت زیادہ — اور ہمیں اصل میں کیسے پتا چلے گا؟ معلومات کی نظامت کی ناکامیاں دونوں سمتوں میں چلتی ہیں۔ ضرورت سے زیادہ تبادلہ خلاف ورزیوں اور گھٹے ہوئے اعتماد کے طور پر ظاہر ہوتا ہے؛ کم تبادلہ خاموشی سے ظاہر ہوتا ہے، اس معالج کے طور پر جو الرجی نہ دیکھ سکا، حفاظتی تشویش جو اداروں کے درمیان گر گئی، یا ڈسچارج جو اس لیے بگڑا کہ کمیونٹی ٹیموں کے پاس سیاق نہ تھا۔ اپنے ماحول کے ٹھوس کیسز پر بات کریں۔ کیا آپ کا کوئی جھکاؤ ہے — اکثر دفاعی — جو روکنے کو خودبخود محفوظ سمجھتا ہے؟ کون سے اشارے بتائیں گے کہ تبادلے کی کوئی حد مریضوں کو نقصان پہنچا رہی ہے، اور اسے نوٹس کرنے کا ذمہ دار کون ہے؟ پختہ ٹیم دونوں ناکامی کے طریقوں کی مثالیں دے سکتی ہے اور ہر ایک کے لیے اوپر بھیجنے کا راستہ رکھتی ہے۔

2. اگر کل صبح رینسم ویئر حملہ ہمارے طبی نظام بند کر دے تو پہلے گھنٹے میں اصل میں کیا ہوگا؟ کاغذ پر منصوبے سے آگے جیتی جاگتی حقیقت پر آئیں۔ واقعے کا اعلان کون کرتا ہے، اور عملے کو کیسے پتا چلتا ہے جب ای میل اور انٹرانیٹ بند ہو سکتے ہوں؟ نسخہ نویسی، نتائج اور مریض کی شناخت کے لیے طبی متبادل کیا ہے، اور کیا پہلی صف کے عملے نے کبھی اس کی مشق کی ہے؟ ہر خدمت مریض کے تحفظ کے بگڑنے سے پہلے کتنی دیر کاغذ پر چل سکتی ہے، اور آپ رخ بدلنے یا منسوخ کرنے کا فیصلہ کیسے کرتے ہیں؟ آپ نے آخری بار بیک اپ سے کب بحال کیا تاکہ ثابت ہو کہ وہ کام کرتا ہے؟ اس گفتگو کی دیانت — خصوصاً وہ خلا جنہیں ماننے سے لوگ ہچکچاتے ہیں — کسی بھی فریم ورک کے اسکور سے لچک کا بہتر پیمانہ ہے۔

3. ہم کسی شکی مریض کو اپنے ڈیٹا کے استعمالات کیسے سمجھائیں گے، اور کیا وہ محسوس کرے گا کہ ہم نے اس سے سچ بولا؟ عوامی اعتماد سادہ زبان میں کمایا جاتا ہے، قانونی نوٹسوں میں نہیں۔ اپنے ادارے میں ڈیٹا کا کوئی حقیقی ثانوی استعمال لیں — خدمت کی منصوبہ بندی، تحقیقی شراکت، سپلائر کا انتظام، AI آلہ — اور اسے ایک عام شخص کو سمجھانے کی کوشش کریں: کون سا ڈیٹا، کس مقصد کے لیے، کسے فائدہ، کون سی حفاظتی تدابیر، اور اسے کیا اختیار ہے۔ وضاحت کہاں ناگوار یا ٹال مٹول والی ہو جاتی ہے؟ وہ بے آرامی عموماً اس چیز کی نشاندہی کرتی ہے جسے آپ یا تو بدلیں یا زیادہ کھلے طور پر بتائیں۔ سوچیں کہ قومی ڈیٹا اوپٹ آؤٹ اور آپ کا شفافیت کا مواد اس شخص کو کیسا لگے گا جو پہلے سے عدم اعتماد کا شکار ہو، اور اسے موضوع 8.4 — مصنوعی ذہانت اور ابھرتی ٹیکنالوجی کی نظامت میں AI کی نظامت سے جوڑیں۔

4. جب کوئی سپلائر یا شراکت دار ہمارے مریضوں کا ڈیٹا رکھتا ہے تو یہ کس کا واقعہ ہے — اور کیا ہمیں یقین ہے کہ ہم بروقت معلوم کر سکیں گے؟ صحت اور نگہداشت کے زیادہ تر ادارے اب تیسرے فریقوں کی ایک زنجیر پر منحصر ہیں: EPR فروخت کنندہ، کلاؤڈ ہوسٹ، منظم خدمت فراہم کنندہ، پیتھالوجی یا تصویر کشی کا شراکت دار۔ اس زنجیر میں کہیں بھی خلاف ورزی یا بندش آپ کا طبی بحران اور آپ کی سرخی بن جاتی ہے، پھر بھی معاہدے، سرٹیفیکیشن اور خلاف ورزی کی اطلاع کی گھڑی کو اکثر آپ کی اپنی حد سے کہیں کم جانچ ملتی ہے۔ بات کریں کہ آپ اصل میں کیا جانتے ہیں کہ آپ کا ڈیٹا کہاں ہوسٹ ہے، اس تک کون رسائی رکھتا ہے، اور کچھ غلط ہونے پر سپلائر معاہدے کے تحت آپ کو کتنی جلدی بتانے کا پابند ہے۔ کیا آپ نے کبھی اطلاع کے اس راستے کی آزمائش کی، یا سپلائر کی DSPT یا مساوی یقین دہانی اعتماد پر لینے کے بجائے دیکھی؟ اگر کوئی اہم سپلائر خود جمعہ کی رات رینسم ویئر کا شکار ہو تو کیا ہوگا؟ دیانت دار جواب ان سپلائرز کا نام لیتا ہے جنہیں آپ فی الحال جواب دہ نہیں ٹھہرا سکتے اور اسے موضوع 6.3 — خریداری اور تجارتی امور سے جوڑتا ہے۔

5. یہاں معلومات کی نظامت کے خطرے کا حقیقی مالک کون ہے — اور کیا وہ کسی مسئلے کے بحران بننے سے پہلے اس کے بارے میں سنے گا؟ کاغذ پر، DPO اور کالڈیکوٹ گارڈین رازداری اور ڈیٹا تحفظ کے خطرے کے مالک ہیں، اور بورڈ سائبر لچک کا۔ عملاً یہ کردار اکثر کم وسائل والے ہوتے ہیں، دیر سے مشورے میں لیے جاتے ہیں، یا آواز کے بجائے منظوری سمجھے جاتے ہیں، اس لیے خطرات نہ سامنے آتے ہیں نہ اوپر جاتے ہیں جب تک واقعات کے طور پر ابھر نہ آئیں۔ دیانت داری سے بات کریں کہ آیا آپ کا کالڈیکوٹ گارڈین اور DPO واقعی فیصلوں میں جلد شامل ہوتے ہیں، کیا وہ نہ کہہ سکتے ہیں اور سنے جاتے ہیں، اور کیا سائبر خطرہ بورڈ تک ایسی چیز کے طور پر پہنچتا ہے جسے وہ سمجھتا اور اپنا مانتا ہے بجائے تکنیکی رپورٹ کے جس پر وہ سر ہلا دیتا ہے۔ کیا کوئی پہلی صف کا معالج جس نے نامناسب رسائی دیکھی، یا انجینئر جس نے غیر پیچ شدہ اہم نظام پایا، جانتا ہو گا کہ اسے کیسے اٹھانا ہے اور بھروسا رکھے گا کہ کچھ ہوگا؟ ملکیت کا امتحان ادارے کا خاکہ نہیں بلکہ یہ ہے کہ آیا ناگوار خبر تیزی سے اوپر جاتی ہے، اور یہ موضوع 1.6 — طبی تحفظ اور خطرات کا انتظام میں زیرِ بحث تحفظ کی ثقافت سے جڑتا ہے۔

6. ہم کیسے طے کرتے ہیں کہ کون سا ڈیٹا رکھنا ہے، کون سا مٹانا ہے، اور کسے اب بھی رسائی چاہیے — اور ہم نے آخری بار یہ اصل میں کب کیا؟ نظامت کی توجہ ڈیٹا جمع کرنے اور شیئر کرنے پر مرکوز ہوتی ہے، لیکن برقرار رکھنا، تلف کرنا اور رسائی کا جائزہ وہ جگہیں ہیں جہاں خاموش خطرہ جمع ہوتا ہے: ریکارڈ جو قانونی مدت سے بہت آگے رکھے گئے، غیر فعال اکاؤنٹس جو اب بھی لائیو نظام کھولتے ہیں، اور رسائی کے حقوق جو لوگوں کے کردار بدلنے کے ساتھ چلتے رہے مگر کبھی واپس نہیں لیے گئے۔ ہر وہ ریکارڈ جس کی آپ کو اب ضرورت نہیں ایک ذمہ داری ہے جسے آپ ذخیرہ کر رہے ہیں، اور ہر باسی اسناد حملہ آور یا متجسس اندرونی شخص کے لیے راستہ ہے۔ بات کریں کہ آیا آپ کے برقرار رکھنے کے شیڈول عملاً NHS ریکارڈز مینجمنٹ کوڈ آف پریکٹس کی پیروی کرتے ہیں یا صرف پالیسی میں، رسائی کے حقوق کا آخری بار کب جائزہ لیا اور انہیں چھانٹا گیا، اور نظام کی منتقلی یا بندش کے زیادہ خطرے والے لمحے کو آپ کیسے سنبھالتے ہیں۔ حذف کرنے کا بٹن دبانے کا ذمہ دار کون ہے، اور کیا اس پر کسی کو ناپا جاتا ہے؟ دیانت دار جواب عموماً ڈیٹا اور رسائی کے ایسے جمع شدہ ڈھیر ظاہر کرتا ہے جن کا برسوں سے کوئی مالک نہیں رہا۔

عملی مثال: صحت اور نگہداشت کی ایک مثال#

میڈو فورڈ انٹیگریٹڈ کیئر سسٹم مشترکہ نگہداشتی ریکارڈ قائم کر رہا ہے تاکہ ہسپتال کے معالجین، جی پیز، کمیونٹی نرسیں اور سماجی کارکن ہر شخص کا متحد منظر دیکھ سکیں۔ پروگرام معالجین میں مقبول اور سیاسی طور پر نمایاں ہے، اور تیزی سے آگے بڑھنے کی کشش ہے۔

پروگرام ڈائریکٹر اصرار کرتا ہے کہ نظامت کو تعمیر کے پیچھے نہیں بلکہ ساتھ ساتھ ترتیب دیا جائے۔ آغاز ہی میں DPIA کھولا جاتا ہے، جس کی قیادت DPO اور شراکت دار اداروں سے لیا گیا سربراہ کالڈیکوٹ گارڈین مل کر کرتے ہیں۔ یہ ابتدائی، مفید فیصلے کرواتا ہے: ریکارڈ ہر تاریخی دستاویز کے بجائے منتخب طبی خلاصہ دکھائے گا؛ تیسرے فریق کی معلومات والے سماجی نگہداشت کے ریکارڈ سخت قواعد کے تحت سنبھالے جائیں گے؛ اور رسائی کردار پر مبنی ہوگی، جائز تعلق کی جانچ کے ساتھ تاکہ پیشہ ور صرف اس شخص کا ریکارڈ کھول سکے جو اس کی نگہداشت میں ہو۔ ہر رسائی لاگ اور آڈٹ ہوتی ہے، اور عملے کو صاف بتایا جاتا ہے۔

شراکت دار ایک واحد معلومات کے تبادلے کے معاہدے پر متفق ہوتے ہیں جو رازداری کے عام قانونی فرض اور قانونی بنیادوں کا احاطہ کرتا ہے — آرٹیکل 6(1)(e) اور آرٹیکل 9(2)(h) کے تحت براہِ راست نگہداشت — اور وہ تصدیق کرتے ہیں کہ مشترکہ ریکارڈ صرف براہِ راست نگہداشت کے لیے استعمال ہوتا ہے، اس لیے قومی ڈیٹا اوپٹ آؤٹ اسے محدود نہیں کرتا۔ جب اسی ڈیٹا کو آبادی کی صحت کے تجزیات کے لیے استعمال کرنے کی الگ تجویز آتی ہے، تو ٹیم اسے الگ بہاؤ سمجھتی ہے جس کا اپنا DPIA، اپنی قانونی بنیاد، اوپٹ آؤٹ کی تعمیل اور عوامی ابلاغ ہو، موجودہ معاہدے کو خاموشی سے بڑھانے کے بجائے۔

لائیو ہونے سے چھ ہفتے پہلے سیکیورٹی کا سربراہ ٹیبل ٹاپ رینسم ویئر مشق چلاتا ہے۔ یہ بے نقاب کرتی ہے کہ مشترکہ ریکارڈ کے ناقابلِ دستیاب ہونے کی صورت میں کوئی طبی متبادل نہیں اور بیک اپ کبھی ٹیسٹ کے طور پر بحال نہیں کیے گئے۔ لائیو ہونا ایک مہینے آگے بڑھتا ہے جبکہ ٹیم ہر رات تازہ ہونے والی آف لائن، صرف پڑھنے کی کاپی شامل کرتی ہے، ثابت کرتی ہے کہ بحالی کام کرتی ہے، اور پہلی صف کے عملے کو کاغذی متبادل کی ہدایت دیتی ہے۔ تاخیر غیر مقبول ہے، لیکن جب تین مہینے بعد سپلائر کی پیچنگ کی غلطی ایک صبح مرکزی نظام بند کر دیتی ہے تو نگہداشت متبادل پر جاری رہتی ہے اور کوئی ملاقات ضائع نہیں ہوتی۔ پروگرام کی ساکھ — اور ریکارڈ میں معالجین کا اعتماد — برقرار رہتا ہے۔ سمجھوتا صریح تھا: سست لانچ نے وہ لچک خریدی جو تیز لانچ جوئے میں ہار دیتا۔

شعبہ جاتی زاویے#

اسٹارٹ اپ#

ہیلتھ ٹیک اسٹارٹ اپ کے پاس اکثر سب سے مضبوط تکنیکی سلامتی کی جبلت مگر صحت سے مخصوص رازداری اور NHS سے مخصوص توقعات کی سب سے کمزور سمجھ ہوتی ہے۔ اگر آپ اسٹارٹ اپ ہیں تو توقع رکھیں کہ NHS ادارہ آپ سے ڈیٹا شیئر کرنے سے پہلے آپ سے DSPT مکمل کرنے یا مساوی یقین دہانی دکھانے کا تقاضا کرے گا، اور DPO جلد مقرر یا معاہدے پر لیں۔ آپ کا سب سے بڑا خطرہ ڈیٹا کے استعمالات — تجزیات، ماڈل کی تربیت، شراکتیں — پر اس قانونی بنیاد، DPIA اور شفافیت کے بغیر تیزی سے آگے بڑھنا ہے جو یہ شعبہ مانگتا ہے، اور سامنے آنے پر NHS گاہک راتوں رات کھو دینا۔ معلومات کی نظامت کو اوور ہیڈ نہیں بلکہ منڈی تک رسائی کی شرط سمجھیں، اور جب آپ چھوٹے ہیں تب اسے شامل کریں۔

چھوٹا کاروبار#

ایک قائم شدہ چھوٹا فراہم کنندہ — جی پی پریکٹس، کمیونٹی فارمیسی، کیئر ہوم، گھریلو نگہداشت کی ایجنسی، ایک مقام کا کلینک، یا معمولی ہیلتھ ٹیک سپلائر — بڑے ٹرسٹ جیسے ہی قانونی فرائض اٹھاتا ہے مگر صلاحیت کے ایک معمولی حصے کے ساتھ: اکثر کوئی اندرونی IT نہیں، کوئی مخصوص DPO نہیں، اور ایک مالک یا پریکٹس مینیجر جو درجن بھر دوسرے کاموں کے ساتھ ڈیٹا کا نظم کرتا ہے۔ آپ کا حقیقت پسند راستہ مشترکہ اور بیرونی مدد پر انحصار ہے — معاہدے پر DPO، پرائمری کیئر نیٹ ورک میں مشترکہ کالڈیکوٹ گارڈین، آپ کے ICS کی سائبر مدد، اور NCSC کی چھوٹے اداروں کے لیے رہنمائی — بجائے وہ صلاحیت بنانے کے جو آپ برداشت نہیں کر سکتے۔ DSPT ایمانداری سے مکمل کریں، کیونکہ بہت سے چھوٹے فراہم کنندگان کے لیے یہ معاہداتی تقاضا اور آپ کی سب سے منظم جانچ فہرست دونوں ہے، اور رٹرن کو بڑھانے کے بجائے حقیقی خلا ریکارڈ کریں۔ پہلے سستی بنیادیں درست کریں — MFA، فوری پیچنگ، آف لائن آزمودہ بیک اپ، کم از کم استحقاق کی رسائی، اور سادہ کاغذی متبادل — کیونکہ یہ زیادہ تر واقعات کو روکتی ہیں اور رقم سے زیادہ وقت لیتی ہیں۔ سپلائر کی پابندی اور کلاؤڈ انتظامات کے بارے میں خاص طور پر محتاط رہیں، جہاں شرائط پر مذاکرات میں آپ کا اثر کم ہو سکتا ہے اور آپ کو پھر بھی معلوم ہونا چاہیے کہ مریض کا ڈیٹا کہاں ہے اور اس تک کون پہنچ سکتا ہے۔

بڑا ادارہ#

بڑا ٹرسٹ یا قائم شدہ سپلائر پختہ پالیسیاں رکھتا ہے مگر پیمانے، پرانے نظام اور بکھراؤ سے جدوجہد کرتا ہے: درجنوں نظام، غیر یکساں رسائی کے کنٹرولز، غیر پیچ شدہ نظام، اور نظامت جو ٹیموں میں باریکی سے بکھری ہوئی ہے۔ آپ کا چیلنج ہم آہنگی ہے — خطرے کا واحد منظر، حقیقی اثاثوں کی فہرست، اور صرف آلات خریدنے کے بجائے بنیادیں ٹھیک کرنے کے لیے کافی سلامتی کی سرمایہ کاری۔ WannaCry نے بڑے اداروں کو سب سے زیادہ ٹھیک اسی لیے متاثر کیا کہ ان کا پرانا غیر پیچ شدہ نظام تھا۔ DSPT اور NCSC سائبر اسسمنٹ فریم ورک کو حقیقی بہتری چلانے کے لیے استعمال کریں، اور یقینی بنائیں کہ بورڈ سطح کی ملکیت حقیقی ہے، نظر نہ آنے والی چیز میں سونپ دی نہیں گئی۔

حکومت#

قومی ادارے اور کمیشن دہندگان فریم ورک طے کرتے ہیں — کالڈیکوٹ اصول، نیشنل ڈیٹا گارڈین کی رہنمائی، قومی ڈیٹا اوپٹ آؤٹ، DSPT — اور آبادی کے پیمانے پر عوامی اعتماد کی ذمہ داری اٹھاتے ہیں۔ آپ کے ڈیٹا کے اقدامات بڑے، نمایاں اور سیاسی طور پر چارج شدہ ہیں، اور ماضی کے پروگراموں نے دکھایا ہے کہ چھپی یا خراب سمجھائی گئی ڈیٹا شیئرنگ کتنی جلدی ردعمل اور بڑے پیمانے پر اوپٹ آؤٹ کو جنم دیتی ہے۔ وسعت سے پہلے، بعد میں نہیں، شفافیت، بامعنی عوامی شمولیت اور آزاد نگرانی کے ساتھ قیادت کریں۔ اس سمجھوتے کو پہچانیں جس کے آپ مالک ہیں: حد سے زیادہ محتاط قومی پالیسی نگہداشت اور تحقیق کو ڈیٹا سے بھوکا رکھتی ہے، جبکہ لاپروا پالیسی اس عوام کی رضامندی کھو دیتی ہے جس کا ڈیٹا ہے۔

عام ناکامی کے طریقے#

• نظامت بطور تماشا۔ لانچ کے بعد مکمل کیے گئے DPIAs، تعمیلی دکھنے کے لیے بڑھا چڑھا کر بھری گئی DSPT رٹرنز، اور ایسی پالیسیاں جن کی کوئی پیروی نہیں کرتا۔ یہ جھوٹی یقین دہانی پیدا کرتا ہے، جو تسلیم شدہ کمزوری سے زیادہ خطرناک ہے۔
• چمکدار آلات خریدتے ہوئے سلامتی کی بنیادوں کو نظر انداز کرنا۔ غیر پیچ شدہ نظام، ملٹی فیکٹر تصدیق کا فقدان، سپاٹ نیٹ ورک، اور غیر آزمودہ بیک اپ — ٹھیک وہ حالات جنہوں نے WannaCry کو پھیلنے دیا — جنہیں مہنگے شناختی پلیٹ فارم سے سجایا گیا ہو۔
• حفاظت کے بھیس میں دفاعی حد سے زیادہ احتیاط۔ وہ ڈیٹا شیئر کرنے سے انکار جو معالج کو جائز طور پر درکار ہے، "نہیں" کو خطرے سے پاک سمجھنا جبکہ چھوٹی ہوئی الرجی یا حفاظتی خلا خود مریض کا سنگین نقصان ہیں۔
• چھپے ثانوی استعمالات۔ نگہداشت کے لیے جمع کیے گئے ڈیٹا کو نئی قانونی بنیاد، اوپٹ آؤٹ کی تعمیل یا عوامی شفافیت کے بغیر تجزیات، تجارتی سودوں یا ماڈل کی تربیت تک بڑھانا — جب تک وہ لیک نہ ہو اور اعتماد ٹوٹ نہ جائے۔
• بیک اپ جو کبھی بحال نہیں کیے گئے۔ لائیو رینسم ویئر واقعے کے دوران دریافت کرنا کہ بیک اپ نامکمل، خراب، یا باقی سب کے ساتھ خفیہ ہو چکے ہیں۔
• یتیم جواب دہی۔ DPO یا کالڈیکوٹ گارڈین جو ادارے کے خاکے پر موجود ہے مگر جس سے مشورہ، وسائل یا توجہ نہیں ملتی، اس لیے خطرات نہ سامنے آتے ہیں نہ کسی کی ملکیت بنتے ہیں۔

پختگی کا ماڈل#

جانچ فہرست#

• ہر نئے ڈیٹا منصوبے کے آغاز پر DPIA کھولا جاتا ہے اور DPO منظوری دیتا ہے۔
• ہر ڈیٹا بہاؤ کے لیے قانونی بنیاد، خصوصی زمرے کی شرط اور رازداری کی بنیاد دستاویزی ہے۔
• کالڈیکوٹ گارڈین اور ڈیٹا پروٹیکشن آفیسر مقرر، وسائل یافتہ اور واقعی مشاورت میں شامل ہیں۔
• کم از کم استحقاق، کردار پر مبنی رسائی نافذ ہے اور حساس ریکارڈ تک رسائی لاگ اور آڈٹ ہوتی ہے۔
• نظام فوراً پیچ ہوتے ہیں، ملٹی فیکٹر تصدیق نافذ ہے، اور نیٹ ورک تقسیم ہیں۔
• بیک اپ لیے جاتے، آف لائن رکھے جاتے اور باقاعدہ شیڈول پر ٹیسٹ بحال ہوتے ہیں۔
• واقعے کا ردعمل اور کاروباری تسلسل کا منصوبہ، بشمول طبی کاغذی متبادل، دستاویزی اور مشق شدہ ہے۔
• DSPT ایمانداری سے مکمل کی گئی ہے، ریکارڈ شدہ خلا اور قابلِ اعتماد بہتری کے منصوبوں کے ساتھ۔
• معلومات کے تبادلے کے معاہدے ICS شراکت داروں میں متفقہ بنیادوں کے ساتھ موجود ہیں۔
• قومی ڈیٹا اوپٹ آؤٹ تمام ثانوی استعمالات پر لاگو ہے اور شفافیت کا مواد شائع ہے۔
• ریکارڈز کو برقرار رکھنا اور محفوظ تلف کرنا NHS ریکارڈز مینجمنٹ کوڈ آف پریکٹس کی پیروی کرتا ہے۔
• ڈیٹا تحفظ اور سلامتی کے تقاضے سپلائر معاہدوں میں لکھے ہیں اور سپلائی چین کا جائزہ لیا گیا ہے۔

کلیدی ماخذ#

• انفارمیشن کمشنرز آفس (ICO) — UK GDPR، DPIAs اور قانونی بنیادوں کی رہنمائی۔
• نیشنل ڈیٹا گارڈین — ڈیٹا سیکیورٹی اور کالڈیکوٹ اصولوں پر جائزے اور رہنمائی۔
• NHS انگلینڈ — Data Security and Protection Toolkit اور قومی ڈیٹا اوپٹ آؤٹ۔
• نیشنل سائبر سیکیورٹی سینٹر (NCSC) — سائبر سیکیورٹی کی رہنمائی اور Cyber Assessment Framework۔
• UK Caldicott Guardian Council — کالڈیکوٹ گارڈین کا کردار اور ذمہ داریاں۔
• نیشنل آڈٹ آفس — WannaCry سائبر حملے اور NHS کی تحقیقات (2017–18)۔
• NHS Records Management Code of Practice۔

حوالہ جات#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response