İngiltere Ulusal Sağlık Hizmeti (NHS), personeline hasta verilerine yetkisiz erişim konusunda sert bir uyarı yayımladı. NHS Başkanı Jim Mackey, tıbbi kayıtlara uygunsuz erişimin "tamamen kabul edilemez, hasta güvenine ihanet ve yasa dışı" olduğunu belirtti. Uyarı, NHS'in personel için yeni bir farkındalık kampanyası başlatması ve sağlık kuruluşlarına yetkisiz erişimi önleme, izleme ve raporlama konusunda rehberlik yayımlamasıyla geldi.
"Merakınız kariyerinizi mahvetmesin" sloganıyla başlatılan kampanya, son dönemde yaşanan bir dizi yüksek profilli olayın ardından geldi. Mayıs ayında, 2023 Nottingham bıçaklı saldırı kurbanlarının kayıtlarına yasa dışı erişen 11 personel işten çıkarılırken, 14 personele yazılı uyarı verildi. Bir ay sonra, Cambridgeshire'daki bir hastanede yaklaşık 40 personelin ağır yaralı bir çocuğun kayıtlarına geçerli bir neden olmadan erişmesi üzerine soruşturma başlatıldı.
NHS personeli dışında da veri koruma ihlalleri yaşanıyor. Geçen ay, Bilgi Komiserliği Ofisi (ICO), eski bir sağlık çalışanına Galler Prensesi'nin tıbbi kayıtlarına erişmeye ve satmaya çalıştığı için resmi uyarı yayımladı. Olay, Londra'daki özel bir hastanede meydana geldi. ICO CEO'su Paul Arnold, tıbbi verilerin bir kişinin sahip olduğu en hassas bilgiler arasında olduğunu vurguladı.
Teknik Analiz
NHS rehberliği, farklı yasa dışı erişim türlerini tanımlıyor ve bu tür durumlarda personelin ICO ve polise bildirileceğini, olası cezai kovuşturma ile karşı karşıya kalacağını belirtiyor. Ayrıca, sağlık kuruluşlarının yetkisiz erişimi izlemek ve düzenli denetimler yapmak için teknik kontroller uygulaması gerektiği vurgulanıyor. Yeni elektronik hasta kayıt sistemleri, olayları gerçek zamanlı olarak işaretleyebiliyor.
IT ekiplerine, en az ayrıcalık ilkesi, çok faktörlü kimlik doğrulama ve rol tabanlı erişim kontrolleri gibi teknik önlemler almaları çağrısı yapıldı. Check Point kamu sektörü başkanı Graeme Stewart, kampanyanın tüm kuruluşların karşılaştığı iç tehditlerin zamanında bir hatırlatıcısı olduğunu belirtti. Stewart, "NHS son yıllarda ağırlıklı olarak fidye yazılımları, Synnovis'e yapılan tedarik zinciri saldırıları ve devlet destekli faaliyetler gibi dış tehditlere odaklanmıştı. Ancak bu, sıfır güven ve en az ayrıcalık ilkelerinin hem dışa hem de içe uygulanması gerektiğini gösteriyor" dedi.
Detaylar ve Etkileri
Uzmanlar, riskin NHS'in elektronik hasta kayıt sistemlerini yaygınlaştırması ve Federasyon Veri Platformu gibi hasta verilerini daha paylaşılabilir hale getiren girişimlerle arttığını belirtiyor. Bu nedenle, sağlık çalışanlarının veri güvenliği konusunda eğitilmesi ve teknik önlemlerin sıkılaştırılması, hem hasta mahremiyetinin korunması hem de personelin hukuki yaptırımlardan kaçınması açısından kritik önem taşıyor.
Kaynak: infosecurity-magazine.com
