Bu makalenin ilk bölümünü Kişisel Sağlık Verilerinin Korunması Açısından Önem Taşıyan Noktalar – 1 / Giriş ve ikinci bölümünü Kişisel Sağlık Verilerinin Korunması Açısından Önem Taşıyan Noktalar – 2 / Kapsam-Terimler&Tanımlar başlığı altında okuyabilirsiniz.
3. Sağlık Bilgi Güvenliği
3.1 Sağlık Bilgi Güvenliği’nin Hedefleri
Bilginin CIA’ini (denetlenebilirlik, hesap verilebilirlik ve gerçeklikte dahil olmak üzere) sağlamak bilgi güvenliğinin en temel hedeflerindendir.
Sağlıkta tıbbi tedavinin süjesinin mahremiyeti kişisel sağlık bilgilerinin gizliliğinin sağlanmasına bağlıdır. Bu gizliliği sağlamak için, öncelikle verinin bütünlüğünü sağlamak gereklidir. Ayrıca hasta güvenliği de kişisel sağlık bilgisinin bütünlüğünün korunmasına bağlıdır. Burada yapılacak bir hata hastalık, mağduriyet veya hatta ölümle sonuçlanabilecektir. Tedavi genellikle zaman açısından kritik olduğu için, yüksek seviyede bir erişilebilirlik de sağlık sistemlerinin özellikle önemli bileşenlerinden biridir. Aslında sağlığa ilişkin olmayan diğer IT sistemlerinde yaşanabilecek sistem çökmeleri ve hizmetin engellenmesi[11] saldırıları da, sağlık sistemlerinde muhafaza edilen bilgilere acil ihtiyaç duyulan hallerde sorun yaratacaktır.
Sağlık bilgi güvenliğinin hedeflerini şekillendiren diğer unsurlar ise şunlardır:
-
a) Tıbbi tedavinin süjesinin (veri öznesi) mahremiyet hakkını koruyan veri koruması yasaları ve düzenlemeler
b) Sağlık bilişimi alanındaki mevcut mahremiyet ve güvenliğe ilişkin iyi uygulama örneklerini muhafaza etmek
c) Sağlık kuruluşları ve sağlık profesyonelleri arasında bireysel ve kurumsal hesap verilebilirliği sağlama
d) Sağlık kuruluşları kapsamında sistematik risk yönetimi uygulamasını destekleme
e) Genel sağlık hizmeti sunumu için ihtiyaç olarak belirlenen güvenlik isterlerini karşılamak
f) Mevcut sağlık aktivitelerini destekleyen teknolojilerin gittikçe artan kullanımını güvenli, güvenilir ve iyi yönetilir şekilde sağlayarak operasyonel masrafları azaltmak
g) Sağlık kuruluşlarına ve bu kuruluşların dayandığı bilgi sistemlerine olan kamu güvenini devam ettirmek
h) Sağlıkla ilgili profesyonel organizasyonlar tarafından geliştirilen standartlar ve etik ilkelerin devamını sağlamak[12].
i) Tehditlere karşı uygun şekilde korunmuş bir ortamda elektronik sağlık bilgi sistemlerinin işletilmesini sağlamak,
j) Sağlık bilgileri gittikçe artan bir şekilde kurumlar ve yasal sınırlar ötesine aktığı için, sağlık sistemleri arasındaki karşılıklı işlerliği kolaylaştırmaktır.
3.2.Bilgi Yönetişimi[13] Kapsamında Bilgi Güvenliği
Son yıllarda kurumsal yönetişim, Amerika’daki Sarbanes Oxley Act[14] ve HIPAA (Health Insurance Portability and Accountability Act)[15], European Basel II Accords[16], İngiltere’deki Turnbull Code[17] ve Almanya’daki KontraG[18] gibi yasal inisatiflerin içine gömülmüş düzenleyici güçlere cevap verebilmek amacıyla, hemen her sınıftaki kurum için önemli bir konu haline gelmiştir. Ayrıca kurumların bilgiye onun destekleyicisi niteliğinde olan teknolojilere giderek daha çok bağımlı hale gelmesi de, bilgi yönetişimini operasyonel risk yönetimi süreçlerinin önemli bir bileşeni haline getirmiştir[19].
Akreditasyon ve veri koruması gibi bilgi güvenliğinin birçok alanı, bilgi yönetişimi kapsamına dahil olarak düşünülebilir. Ayrıca bilgi yönetişiminin kapsamı da bilgi güvenliğinin gelişimine katkıda bulunmakta ve bu bağlamda dikkatler her zaman gizlilik, bütünlük ve erişilebilirliğe çekilmektedir. Bilgi güvenliği, bilgi yönetişiminin daha geniş bir çerçevede değerlendirilmesini olanaklı kılmaktadır.
3.3. Kurumsal ve Klinik Yönetişim kapsamında Bilgi Yönetişimi
Sağlık kurumları klinik yönetişim ve kurumsal yönetişime ilişkin pozisyonları bakımından ayrımlaştıkları için, bilgi yönetişimine entegre olmanın önemi her iki ayrım bakımından tartışmasızdır.
Sağlık kuruluşları sağlık sunumunu desteklemek için bilgi sistemlerine giderek daha çok bağlı hale geldiği için (örneğin; karar destek sistemlerini kullanma ve tecrübeye dayalı sağlık hizmeti sunumu yerine, kanıta dayalı sağlık hizmeti trendine doğru yönelim gibi), gizlilik, bütünlük ve erişilebilirliğin kaybedilmesi oldukça önemli klinik etkilere neden olmakta ve bu etkilerden doğan sorunlar “tedavi görevi” ile içselleşmiş olan etik ve yasal sorumlulukların da sekteye uğraması sonucunu doğurmaktadır. Birçok ülke ve hukuk sistemleri bu tür ihlallerin yanlış teşhis, ölüm veya tedavinin sürüncemede kalması sonuçlarını kapsayan örnek olaylar yaşamıştır. Klinik yönetişim çerçevesi bu nedenle diğer esaslı klinik yönetim konuları, tedavi planları ile aynı öneme sahip olan efektif bir bilgi güvenliği risk yönetimine ihtiyaç duymaktadır.
Bu makalenin devamını Kişisel Sağlık Verilerinin Korunması Açısından Önem Taşıyan Noktalar – 4 / Tehditler & Zayıflıklar başlığı altında okuyabilirsiniz.
[11] Denial-of-Service.
[12] Bu noktada İngiltere Sağlık Bakanlığı’nın hazırlattığı Aralık 1997 tarihli Caldicott Rapor’u (www.dh.gov.uk) dikkate değer bir örnektir.
[13] www.connectingforhealth.nhs.uk.
[14] www.soxlaw.com
[15]
[16] www.bis.org
[17] www
[18] de.wikipedia.org
[19] www.connectingforhealth.nhs.uk
Kaynak : 