主题 1.7 — 信息治理、数据保护与网络安全

在医疗与照护领域,保护信息与提供照护密不可分:同一份能挽救生命的数据,一旦被不当处理,也能摧毁让治疗得以进行的信任——因此你如何治理、共享与保护它,是一项临床、伦理与公众信任方面的义务,而不是一件合规上的事后补充。

为什么这在医疗与照护领域很重要#

医疗与照护数据是一个人一生中所创造的最敏感的信息之一。它记录着诊断、用药、精神健康事件、性健康、与移民身份挂钩的权利,以及体弱与脆弱人生的私密细节。人们向临床医生披露这些事情,是基于一个心照不宣的承诺:这些信息将被用来帮助他们,不会被随意扩散。当这个承诺被打破时——通过一次泄露、一次勒索软件导致的中断,或一笔莫名其妙的数据共享交易——患者会隐瞒信息、选择退出记录系统,或干脆回避照护。这不是一种抽象的伤害;它会直接损害临床安全与人群健康。

其风险也是运营层面的。一家现代医院离开它的电子系统就无法运转:医嘱通信、检验结果、电子处方、影像与患者管理都是数字化的。当这些系统宕机时,救护车要改道,手术要取消,临床医生要退回纸质流程,而这本身又会引入新的错误。因此,信息治理与网络安全是照护连续性方面的学科。它们应当与临床安全(主题 1.6——临床安全与风险管理)并列,而不是被放在一个独立的合规孤岛中。

最后,本主题的核心存在着一种真实而不可避免的张力。公众理所当然地期望卫生系统利用数据来改善照护、规划服务,并支持那些能发现明日疗法的研究。公众同样期望保密与掌控权。这些目标彼此拉扯,而作为领导者,你的工作不是假装这种张力不存在,而是公开地管理它——在让合法使用得以进行的同时,让保障措施以及患者所拥有的选择变得清晰可见、诚实透明。在任何一个方向上把这种平衡弄错,你都会输:要么让照护与研究缺乏数据,要么侵蚀整个系统所依赖的信任。

核心概念#

支撑这个领域的是信息治理这门学科——一个机构合法、安全、符合伦理地处理信息所依据的规则、角色与管控措施的框架。在英国,主要的法律基础是英国通用数据保护条例(英国 GDPR)——脱欧后保留下来的欧盟条例的国内版本——以及对其加以补充的2018 年数据保护法(DPA 2018)。二者共同要求个人数据的处理必须合法、公正、透明,每一项处理活动都必须建立在一个合法依据之上。健康信息属于特殊类别数据,既需要第 6 条下的一个合法依据,也需要第 9 条下的一个附加条件——对于直接照护而言,通常是由一位负有保密义务的专业人员提供医疗或社会照护。

数据保护法并不是唯一的约束。普通法上的保密义务是一项独立、更古老的义务:以保密方式提供的信息,未经同意、法律要求或压倒性的公共利益,不得披露。你可以完全符合英国 GDPR,却仍然违反保密义务,因此两者都必须被满足。

两个专属于医疗领域的框架把这些义务转化为实践。Caldicott 原则——一套(现在共八条)处理保密患者信息的原则,最早在 1997 年 Caldicott 报告中提出——在每个机构内部由一位 Caldicott Guardian来维护,这是一位负责保护患者保密性并促成恰当信息共享的高级人员。在国家层面,国家医疗与社会保健数据守护者(NDG)是就患者数据应如何被使用与保护提供意见的独立法定声音。国家数据退出选项为患者提供了一种机制,阻止他们的保密信息被用于超出其直接照护之外的目的,例如规划与研究,各机构必须尊重这一选择。

在操作层面,一份数据保护影响评估(DPIA)是你在开展可能属于高风险的处理活动之前——大多数新的健康数据项目都属于此类——所完成的结构化评估,用以识别并缓解隐私风险。每个机构都必须任命一位数据保护官(DPO),这是一个独立的角色,负责就合规提供建议并进行监督。在英格兰,数据安全与保护工具包(DSPT)是医疗与照护机构用来证明自己达到处理 NHS 数据所需的数据安全与信息治理标准的年度自我评估。

在安全方面,国家网络安全中心(NCSC)提供权威的英国指导,并通过其网络评估框架(CAF)提供一种结构化的方式来衡量网络韧性。稳健的实践建立在一些行之有效的基础之上:纵深防御,即分层设置多重管控措施,使得单点失效不会造成灾难;最小权限原则,只授予人员与系统真正需要的访问权限;有纪律的补丁管理与经过测试的备份;以及对勒索软件——一种为敲诈而加密系统的恶意软件——的防范准备。由于单靠预防永远无法万无一失,成熟的机构还会投资于运营能力:一个安全运营中心(SOC)——无论是内部的还是共享的一种能力,用于监控日志与遥测数据以侦测并遏制入侵——以及一套经过演练的事故响应流程,以便快速地从侦测走向恢复。2017 年的 WannaCry 勒索软件攻击扰乱了英格兰约三分之一的 NHS 信托机构,造成了估计 9200 万英镑的影响,至今仍是最具代表性的警示案例——它造成的破坏,主要源于未打补丁的系统,而不是什么高深的黑客手段。

最佳实践#

1. 以 DPIA 开始每一个数据项目,把它当作设计,而不是文书工作。 在构建或采购任何处理个人数据的东西之前,与你的 DPO 与 Caldicott Guardian 一起完成一份数据保护影响评估。及早完成,它会塑造设计——最小化收集的数据、选择假名化、收紧访问权限——而不是为已经做出的决定盖橡皮图章。一份被搁置到上线才做的 DPIA,是治理沦为表演的警示信号。

2. 明确指明你的合法依据与保密依据,并把它们写下来。 对于健康数据的每一次流动,说明第 6 条下的合法依据、第 9 条下的特殊类别条件,以及普通法保密义务是如何被满足的——同意、法定通道,还是公共利益。这里的模糊不清,正是项目停滞或在上线后被叫停的地方。明确表述也能让你用通俗语言向患者解释处理活动,而这本身就是一项法律要求。

3. 在任何地方都应用最小权限与基于角色的访问控制。 只授予临床医生、行政人员、研究人员与系统其角色所需的访问权限,并在人员变动或离职时定期审查。记录对敏感记录的访问并进行审计,因为被发现的可信威胁,与任何技术管控措施一样,能够震慑不当的窥探行为。大多数真实世界的泄露事件都是平凡的——错误的人看到了错误的记录——而不是复杂的入侵。

4. 在购买先进工具之前先把网络安全基础做对。 NCSC 的指导并不光鲜,却很有效:及时打补丁,尤其是面向互联网的系统与临床系统;强制多因素身份验证;对网络进行分段,使感染无法自由扩散;并维护经过测试的离线备份。WannaCry 通过未打补丁的 Windows 系统传播,这一教训依然成立——基本的卫生习惯能预防大多数事故。先在基础上投入,等基础扎实之后再购买复杂的侦测工具。

5. 假设你将遭到攻击,并演练你的应对方案。 维护并演练一份事故响应与业务连续性计划,假设系统将不可用,包括临床上退回纸质流程的方案,以及面向员工与患者的沟通计划。通过实际从备份中恢复来测试你的备份,因为一份从未被恢复过的备份只是一种期望,而不是一项管控措施。开展桌面演练,让你的团队第一次处理勒索软件中断不是在真实事件发生时。

6. 诚实地完成 DSPT,并把它当作一次真正的评估来使用。 数据安全与保护工具包是处理 NHS 数据的一项要求,但它的价值来自于把它当作一次诚实的年度盘点,而不是走过场的仪式。在你无法达到某项标准的地方,记录下这个差距以及一份可信的改进计划,而不是夸大你的处境。一份被夸大的 DSPT 提交,给董事会带来的是虚假的安心感,这比没有安心感更糟。

7. 让信息共享成为一项被设计出来的能力,而不是一道障碍。 在一个整合照护系统(ICS)内,良好的照护依赖于数据跨越信托机构、全科诊所、社会照护与社区提供者之间的机构边界。建立清晰的信息共享协议(ISA)与数据共享协议,共同商定合法与保密依据,并设计共享记录,让正确的专业人员在照护现场能看到正确的信息。目标是安全的共享,而不是不共享——扣留一位临床医生所需的数据,本身就是一次患者安全上的失败。这与主题 4.3——互操作性与数据标准直接相关。

8. 尊重患者的选择,并对二次使用保持透明。 在每一个适用的二次使用流程中尊重国家数据退出选项,并发布清晰、易于获取的信息,说明数据如何被用于规划与研究。当数据被共享给商业伙伴或用于训练模型时,主动披露,而不是让它通过一次泄露才浮出水面——隐藏的安排一再引发公众的强烈反弹与退出选项使用量的飙升。透明不是一种礼貌;它是让数据得以继续流动的先决条件。

9. 在整个生命周期内管理记录。 依据 NHS 记录管理行为守则应用保留期限表,在保留期结束时安全地处置记录,并在保留期内保持记录的可访问性与完整性。糟糕的记录管理既会造成风险(持有你已不再需要的数据),也会造成伤害(丢失临床医生所依赖的数据)。系统之间的迁移是一个高风险时刻——要刻意为数据质量、映射与归档做好规划。

10. 把治理内建到采购与供应商管理之中。 把数据保护与安全要求写进合同:数据处理条款、DSPT 或等同的认证、违规通知时限,以及审计权。一位供应商薄弱的安全性,会变成你的事故与你的头条新闻,因此要评估整个供应链,而不仅仅是你自己的边界。与商务同事一起开展这项工作,详见主题 6.3——采购与商务,并要求就数据托管在何处、谁能访问它给出明确答案。

11. 投资于侦测,而不仅仅是预防。 假设有些攻击会突破你的防御,并构建能够看见它们的能力:集中式日志记录、对关键系统的监控,以及一个安全运营中心——无论是内部的、在整个 ICS 范围内共享的,还是借助 NCSC 与 NHS England 网络运营等国家级服务——这样可疑活动能被及时发现并遏制,而不是几周后才被发现。把这与持续的漏洞管理及威胁侦测配对,这样你打的补丁才是攻击者真正会利用的弱点。侦测能力为你争取到在事故演变成中断之前将其遏制的时间。

12. 把一次严重的网络攻击当作一次临床连续性事件来对待。 编写、配备资源并演练一份网络事故响应计划,明确谁来宣布事故、谁领导技术响应、谁在系统宕机期间负责临床安全与对外沟通。把它直接接入你的业务连续性与灾难恢复安排(见主题 3.9——业务连续性与灾难恢复)以及你的重大事故与 EPRR 流程(见主题 3.10——应急准备、韧性与响应),这样一次勒索软件导致的中断,就能以对待任何威胁患者照护的事情同样的纪律来处理。一份只存在于 IT 部门的计划,在一次攻击变成临床危机的那一刻就会失效。

与团队讨论的问题#

1. 我们的服务在哪些地方共享得太少,又在哪些地方共享得太多——我们要如何才能知道? 信息治理的失败会朝两个方向发生。过度共享表现为泄露事件与信任受损;共享不足则悄无声息地表现出来,比如一位临床医生看不到某种过敏史、一项在多个机构之间掉落的保障关切,或是一次因社区团队缺乏背景信息而出错的出院安排。讨论你所在环境中的具体案例。你是否存在一种——往往是防御性的——偏见,把扣留信息自动地当作安全的?什么样的信号会告诉你一条共享边界正在伤害患者,谁负责察觉它?一个成熟的团队能说出两种失败模式的例子,并对每一种都有上报升级的渠道。

2. 如果明天早上一次勒索软件攻击让我们的临床系统离线,第一个小时里实际上会发生什么? 超越纸面上的计划,直面生活中的现实。谁来宣布这次事故,如果电子邮件与内网可能都已宕机,员工要如何知道?对于处方、检验结果与患者身份识别,临床上的备用方案是什么,一线员工是否曾经演练过?每项服务在患者安全开始恶化之前能靠纸质流程运行多久,你们如何决定要不要转移或取消服务?你上一次从备份中恢复、证明它确实有效是什么时候?这场对话的诚实程度——尤其是人们不愿承认的缺口——是比任何框架评分都更好的韧性度量标准。

3. 我们要如何向一位持怀疑态度的患者解释我们的数据用途,他们会觉得我们对他们坦诚相待吗? 公众信任是靠通俗的语言、而不是法律通知赢得的。挑选一个你机构中真实的数据二次使用案例——服务规划、一项研究合作、一项供应商安排、一个 AI 工具——试着向一位普通人解释它:什么数据、用于什么目的、谁受益、有什么保障措施、他们有什么选择。这个解释在哪里变得让人不舒服或含糊其辞?这种不适通常标志着某件你应当改变或更公开沟通的事情。想一想国家数据退出选项与你的透明材料,在一个倾向于不信任你的人眼中会是什么样子,并把这与主题 8.4——人工智能与新兴技术治理中对 AI 的治理联系起来。

4. 当一个供应商或合作伙伴持有我们患者的数据时,这算是谁的事故——我们真的能确保及时知情吗? 大多数医疗与照护机构现在都依赖一条第三方链条:电子病历供应商、一个云托管商、一个托管服务提供者、一个病理或影像合作伙伴。这条链条中任何一处的泄露或中断,都会变成你的临床危机与你的头条新闻,然而合同、认证与违规通知的时限,往往比你自己的边界受到少得多的审视。讨论你实际上对数据托管在哪里、谁能访问它,以及供应商在合同上被要求多快通知你出了问题,了解多少。你是否曾经测试过那条通知路径,或者查看过供应商的 DSPT 或等同的保证,而不是仅凭信任接受它?如果一个关键供应商自己在某个周五晚上遭到了勒索软件攻击,会发生什么?一个诚实的答案会说出你目前无法追责的供应商,并把这与主题 6.3——采购与商务联系起来。

5. 这里谁真正拥有信息治理风险——他们会在一个问题变成危机之前就听说它吗? 在纸面上,一位 DPO 与一位 Caldicott Guardian 拥有保密性与数据保护风险,董事会拥有网络韧性。但在实践中,这些角色往往资源不足、被咨询得太晚,或被当作一道签核关卡而不是一种发声渠道,因此风险既不会被揭示,也不会被上报升级,直到它们以事故的形式浮现。诚实地谈一谈,你的 Caldicott Guardian 与 DPO 是否真的被及早拉入决策,他们能否说不并被听见,网络风险抵达董事会时是作为董事会理解并拥有的东西,还是仅仅点头通过的一份技术报告。一位发现不当访问的一线临床医生,或一位发现未打补丁关键系统的工程师,会知道如何提出这件事,并相信会有所行动吗?衡量所有权的标准不是组织架构图,而是令人不安的消息是否能迅速向上传递,这与主题 1.6——临床安全与风险管理中讨论的安全文化相关联。

6. 我们如何决定保留什么数据、删除什么数据、谁仍然需要访问权限——我们上一次真正这样做是什么时候? 治理的关注往往集中在数据的收集与共享上,但保留、处置与访问审查,正是静默风险积累的地方:记录被保留的时间远超其合法保留期,已经停用的账户仍能打开在线系统,访问权限跟随人员变动了角色,却从未被收回。你不再需要的每一条记录,都是你正在储存的负债,每一个过时的凭证,都是攻击者或好奇的内部人员的一条入侵路径。讨论你的保留期限表是否在现实中、而不仅仅是在政策上遵循了 NHS 记录管理行为守则,访问权限上一次被审查与修剪是什么时候,以及你如何处理迁移或退役一个系统这一高风险时刻。谁对按下删除键负责,是否有人因此被衡量?一个诚实的答案通常会揭示出多年来无人认领的数据与访问权限的积累。

实践中:一个医疗与照护案例#

Meadowford 整合照护系统正在建立一份共享照护记录,让医院临床医生、全科医生、社区护士与社工能够看到每个人统一的视图。这个项目深受临床医生欢迎,在政治上也很受关注,诱惑在于快速推进。

项目总监坚持把治理与建设并行排序,而不是排在它后面。一份 DPIA 从一开始就被开启,由 DPO 与从合作机构中选出的首席 Caldicott Guardian 共同主导。它迫使团队及早做出有用的决策:这份记录将显示一份经过筛选的临床摘要,而不是每一份历史文件;带有第三方信息的社会照护记录将在更严格的规则下处理;访问将基于角色,并有一项合法关系检查,确保一位专业人员只能为自己照护范围内的人打开记录。每一次访问都被记录并被审计,员工也被明确告知这一点。

各合作机构商定了一份统一的信息共享协议,涵盖普通法保密义务与合法依据——第 6(1)(e) 条与第 9(2)(h) 条下的直接照护——并确认这份共享记录仅用于直接照护,因此不受国家数据退出选项的限制。当一项将同一数据用于人群健康分析的独立提案出现时,团队将其当作一个独立的流程来对待,拥有自己的 DPIA、自己的合法依据、退出选项合规性与公众沟通,而不是悄悄扩展现有协议。

在上线前六周,安全负责人开展了一次勒索软件桌面演练。它揭示出这份共享记录在不可用时没有临床备用方案,而且备份从未被测试性地恢复过。上线因此推迟了一个月,团队添加了一份每晚刷新的离线只读副本,证明恢复确实有效,并向一线员工简要介绍了纸质备用方案。这次延迟不受欢迎,但当三个月后一次供应商打补丁错误导致主系统在一个上午离线时,照护在备用方案上得以延续,没有预约被取消。这个项目的可信度——以及临床医生对这份记录的信任——完好无损地保留了下来。这个取舍是明确的:一次较慢的启动换来了韧性,而一次较快的启动本会拿这种韧性去冒险。

行业视角#

初创企业#

一家健康科技初创企业往往在技术安全方面本能很强,但对医疗领域特有的保密性与 NHS 特有的期望理解薄弱。如果你是一家初创企业,预期在一个 NHS 机构与你共享数据之前,你需要完成 DSPT 或展示同等的保证,并及早任命或聘请一位 DPO。你最大的风险,是在数据用途上——分析、模型训练、合作——快速推进,却没有这个领域所要求的合法依据、DPIA 与透明度,并在这一点浮出水面时一夜之间失去一个 NHS 客户。把信息治理当作一项市场准入要求,而不是开销,并在你还小的时候就把它构建进去。

小型企业#

一家成熟的小型服务提供者——一家全科诊所、一家社区药房、一家养老院、一家居家照护机构、一家单一场所的诊所,或是一家规模不大的健康科技供应商——承担着与大型信托机构同样的法律义务,却只有零头的能力:通常没有内部 IT,没有专职 DPO,一位业主或执业经理要在处理数据治理的同时兼顾其他十几项工作。你现实的路径是依靠共享与外部的帮助——一位合同雇用的 DPO、一位在初级照护网络内共享的 Caldicott Guardian、你的 ICS 的网络支持,以及 NCSC 面向小型机构的指导——而不是构建你负担不起的能力。诚实地完成 DSPT,因为对许多小型提供者而言,它既是合同要求,也是你结构最完善的核对清单,记录真实的差距,而不是夸大你的申报。先把负担得起的基础做对——多因素身份验证、及时打补丁、经过测试的离线备份、最小权限访问,以及一个简单的纸质备用方案——因为这些能预防大多数事故,花费的时间多于金钱。要对供应商锁定与云端安排格外小心,在那里你可能几乎没有谈判条款的筹码,却仍然必须知道患者数据存放在哪里、谁能接触到它。

大型企业#

一家大型信托机构或成熟的供应商拥有成熟的政策,却在规模、遗留系统与碎片化方面苦苦挣扎:数十个系统、不一致的访问控制、未打补丁的资产,治理力量被稀薄地分散在各个团队之间。你的挑战是连贯性——对风险的单一视图、一份真实的资产清单,以及足够的安全投资来修复基础,而不仅仅是购买工具。WannaCry 之所以对大型机构打击最重,恰恰是因为未打补丁的遗留资产。利用 DSPT 与 NCSC 网络评估框架来推动真正的改进,并确保董事会层面的所有权是真实的,而不是被下放到无影无踪。

政府机构#

国家机构与委托方制定了框架——Caldicott 原则、国家数据守护者的指导、国家数据退出选项、DSPT——并在人群规模上承担着维护公众信任的责任。你的数据倡议规模庞大、高度可见、充满政治敏感性,过往的项目已经表明,隐藏的或解释不清的数据共享会多么迅速地引发强烈反弹与大规模退出。要在扩大规模之前,而不是之后,以透明、有意义的公众参与与独立监督为先导。要认识到你所承担的这个取舍:过度谨慎的国家政策会让照护与研究缺乏数据,而粗心的政策会丧失那些数据所属的公众的同意。

常见失败模式#

• 治理沦为表演。 上线之后才完成的 DPIA、被夸大以显得合规的 DSPT 申报,以及没有人遵守的政策。这会产生虚假的安心感,这比承认的薄弱更危险。
• 忽视安全基础却购买光鲜的工具。 未打补丁的系统、没有多因素身份验证、扁平化的网络、未经测试的备份——正是让 WannaCry 得以扩散的条件——却被一个昂贵的侦测平台包装起来。
• 把防御性的过度谨慎伪装成安全。 拒绝共享一位临床医生合理需要的数据,把"不"当作无风险的选择,而一次遗漏的过敏史或一个保障方面的缺口本身就是严重的患者伤害。
• 隐藏的二次使用。 在没有新的合法依据、退出选项合规性或公开透明度的情况下,把为照护而收集的数据延伸用于分析、商业交易或模型训练——直到它泄露,信任随之崩塌。
• 从未被恢复过的备份。 在一次真实的勒索软件事故中才发现备份不完整、已损坏,或与其他一切一同被加密。
• 无人认领的问责。 一位存在于组织架构图上、却从未被咨询、配备资源或倾听的 DPO 或 Caldicott Guardian,导致风险既不被揭示,也无人拥有。

成熟度模型#

检查清单#

• 每个新数据项目开始时都开启一份 DPIA,并由 DPO 签核。
• 每条数据流的合法依据、特殊类别条件与保密依据都有文档记录。
• 任命了一位 Caldicott Guardian 与一位数据保护官,并为他们配备了资源、真正被咨询。
• 最小权限、基于角色的访问被强制执行,对敏感记录的访问被记录并审计。
• 系统被及时打补丁,强制执行多因素身份验证,网络被分段。
• 备份被制作、离线保存,并按固定计划经过测试恢复。
• 一份事故响应与业务连续性计划(包括临床纸质备用方案)已被记录并演练。
• DSPT 被诚实地完成,记录了差距与可信的改进计划。
• ICS 各合作方之间的信息共享协议已到位,并商定了依据。
• 国家数据退出选项被应用于所有二次使用,透明材料已发布。
• 记录保留与安全处置遵循 NHS 记录管理行为守则。
• 数据保护与安全要求被写入供应商合同,供应链得到评估。

关键来源#

• 信息专员办公室(ICO)——英国 GDPR、DPIA 与合法依据指南。
• 国家数据守护者 ——关于数据安全与 Caldicott 原则的审查与指导。
• NHS England ——数据安全与保护工具包与国家数据退出选项。
• 国家网络安全中心(NCSC)——网络安全指导与网络评估框架。
• 英国 Caldicott Guardian 委员会 ——Caldicott Guardian 的角色与职责。
• 国家审计署 ——关于 WannaCry 网络攻击与 NHS 的调查(2017–18)。
• NHS 记录管理行为守则。

参考文献#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response