İngiltere Ulusal Sağlık Hizmeti (NHS), çalışanlarına hasta verilerine yetkisiz erişim konusunda sert bir uyarıda bulundu. NHS Başkanı Jim Mackey, tıbbi kayıtlara uygunsuz erişimin 'tamamen kabul edilemez, hasta güvenine ihanet ve yasa dışı' olduğunu belirtti. Bu açıklama, NHS'in personel için yeni bir farkındalık kampanyası başlatması ve sağlık kuruluşlarına yetkisiz erişimi önleme, izleme ve raporlama konusunda yeni rehberlik yayınlamasıyla eş zamanlı geldi.
NHS'in 'merakın kariyerinizi mahvetmesine izin vermeyin' sloganıyla başlattığı kampanya, son dönemde yaşanan bir dizi yüksek profilli vaka tarafından tetiklendi. Mayıs ayında 11 personel işten çıkarılırken, 14'üne yazılı uyarı verildi. Bu personel, 2023 Nottingham bıçaklı saldırı kurbanlarının kayıtlarına yasadışı yollarla erişmişti. Bir ay sonra, Cambridgeshire'daki bir hastane, ağır yaralı bir çocuğun kayıtlarına yaklaşık 40 personelin geçerli bir neden olmaksızın erişmesi üzerine soruşturma başlattı.
NHS çalışanları dışında da veri koruma ihlalleri yaşanıyor. Geçtiğimiz ay Bilgi Komiserliği Ofisi (ICO), eski bir sağlık çalışanına, Galler Prensesi'nin tıbbi kayıtlarına erişmeye çalışıp satmaya kalkıştığı için resmi uyarıda bulundu. Olay, Londra'daki özel bir hastanede meydana geldi. ICO CEO'su Paul Arnold, tıbbi verilerin bir kişinin sahip olduğu en hassas bilgilerden olduğunu vurgulayarak, 'Bir kaydı görüntüleme yetkisine sahip olmak, bunu yapmak için meşru bir ihtiyacınız olduğu anlamına gelmez. Her personelin bu sınıra saygı gösterme kişisel sorumluluğu vardır.' dedi.
Yeni NHS rehberliği, farklı yasadışı erişim türlerini açıklıyor ve bu durumlarda personelin ICO ve polise bildirileceğini, potansiyel cezai kovuşturma ile karşı karşıya kalacağını belirtiyor. Ayrıca sağlık kariyerlerini kaybetme riski de bulunuyor. Rehber, NHS kuruluşlarının yetkisiz erişimi nasıl izleyebileceğini ve düzenli denetimler yapabileceğini açıklıyor. Yeni elektronik hasta kayıt sistemlerinin olayları gerçek zamanlı olarak işaretleyebildiği belirtiliyor.
Sistem Güvenliği
BT ekipleri, en az ayrıcalık politikaları, çok faktörlü kimlik doğrulama (MFA) ve rol tabanlı erişim kontrolleri gibi teknik kontroller uygulamaya teşvik ediliyor. Check Point Kamu Sektörü Başkanı Graeme Stewart, kampanyanın tüm kuruluşların karşı karşıya olduğu iç risklerin zamanında bir hatırlatıcısı olduğunu söyledi. 'NHS son birkaç yılını ağırlıklı olarak fidye yazılımları, Synnovis'e yapılan tedarik zinciri saldırıları ve ulus-devlet faaliyetleri gibi dış tehditlere odaklanarak geçirdi. Ancak bu, sıfır güven ve en az ayrıcalık ilkelerinin hem dışarıdan hem de içeriden uygulanması gerektiğini gösteriyor.' dedi.
Stewart, riskin NHS'in daha geniş elektronik hasta kaydı dağıtımı ve Federasyon Veri Platformu gibi girişimlerle arttığını ekledi. Bu platformlar, hasta verilerini hastaneler arasında daha paylaşılabilir hale getirmeyi amaçlıyor. NHS, bu yeni rehberlik ve kampanyayla, hasta verilerinin güvenliğini sağlamak ve iç tehditlere karşı caydırıcılık oluşturmak istiyor. Yetkisiz erişim durumunda çalışanların sadece işlerini değil, aynı zamanda özgürlüklerini de kaybedebileceği vurgulanıyor.
Kaynak: infosecurity-magazine.com
