Sağlık Hizmetlerinde Bilgi Güvenliği ve Etik

Sağlık hizmetlerinde etik ilkeler hasta haklarının korunması, gizlilik ve mahremiyetin sağlanması gibi temel prensipleri kapsarken, bilgi güvenliği bu prensiplerin dijital altyapıda korunmasını sağlar. Sağlık verilerinin elektronik ortamda saklanması ve paylaşılması, hasta bilgilerinin izinsiz erişimlere karşı korunmasını zorunlu kılar. Bu doğrultuda, etik ilkelerle uyumlu bir şekilde sağlık verilerinin gizliliğini ve bütünlüğünü sağlamak için güçlü güvenlik protokolleri ve şifreleme yöntemlerinin kullanılması gereklidir. 

Çevreden duyu organlarımız aracılığı ile topladığımız ham, işlenmemiş her türlü materyal ya da olguya denir.

Bilgi Sistemleri: Donanım, yazılım, veri, bilgisayar ağları ve insan unsurlarından oluşan, veriyi toplayan, kaydeden, işleyen, dönüştüren ve yayan sistemler bütününe bilgi sistemleri adı verilir.

Bilgi Güvenliğinin Kavramsal Çerçevesi Tanımlardan anlaşılacağı üzere verinin ait olduğu mülkiyetin türüne göre kişisel ya da kamuya ait olabileceğini belirtmek gerekir. Kişinin bulaşıcı bir hastalık taşıyıp taşımaması, finansal durumu kişisel veri olarak belirtilebilir.

Bilgi güvenliği kavramı ilk olarak McCumber (2005) tarafından şöyle tanımlanmıştır; “...bir varlık ve değer olan bilginin korunmasıdır”. 

Bilgi güvenliğinin bileşenleri ile ilgili tarihçeye bakıldığında 1973 yılında ABD Sağlık, Eğitim ve Refah Bakanlığının (U.S. Department of Health, Education and Welfare-HEW) güvenlik ve gizlilik konusunda yayımladığı rapora dek dayandığı düşünülmektedir. Bu rapora göre, hiçbir kişisel veri kayıt sisteminin varlığı gizli olmamalıdır. Bireyin, kendisi hakkında hangi bilgilerin kayıtlı olduğunu öğrenme imkânı olmalıdır.

• Bireyin, kendisi hakkında bir amaç için elde edilen bilgilerin başka amaçlar için kullanılması veya erişilebilir hâle getirilmesini engelleme imkânı olmalıdır.
• Bireyin, tanımlanabilir kişisel bilgilerin bulunduğu bir kaydı düzeltme veya değiştirme imkânı olmalıdır.
• Tanımlanabilir kişisel verileri oluşturan, sürdüren, kullanan veya yayan herhangi bir organizasyon, verilerin amaçlarına uygunluğunu sağlamalı ve verilerin kötüye kullanılmasını önlemek için makul önlemler almalıdır.

Siber alan, internet üzerindeki tüm dijital sistem, ağ ve benzeri tüm etkinlikleri kapsar, “siber güvenlik” ise bu alanda gerçekleşen tehditlerin belirlenmesi, önlenmesi ve bunlara karşı savunma sağlamak için kullanılan stratejileri ve teknolojileri ifade eder.

Siber alan, internet üzerindeki tüm dijital sistem, ağ ve benzeri tüm etkinlikleri kapsar, “siber güvenlik” ise bu alanda gerçekleşen tehditlerin belirlenmesi, önlenmesi ve bunlara karşı savunma sağlamak için kullanılan stratejileri ve teknolojileri ifade eder.

gizlilik,

güvenlik (fiziksel, teknik ve idari),

ihlalin bildirimi

hasta hakları gereği bilgiye erişim ve düzeltmenin sınırları

Siber alan

Sağlık hizmetlerinde depolanan ve işlenen veriler hassas özellik taşımakla birlikte toplum sağlığının söz konusu olduğu durumlarda anonimleştirilerek yayımlanabilir. Anonim hâle getirme, kişisel verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir.

Prevelans: Belirli bir zamanda belirli bir popülasyon içinde mevcut olan bir hastalık veya
durumun yaygınlığını ifade eden ölçümdür.

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi işlemidir.

Kişisel verilerin yok edilmesi için, verilerin bulunduğu tüm kopyalar tespit edilir ve verilerin bulunduğu sistemlerin türüne göre de-manyetize etme, fiziksel yok etme, üzerine yazma gibi yöntemlerden bir ya da birkaçı kullanılır.

Mortalite: Belirli bir zamanda belirli bir popülasyon içindeki ölüm sayısının oranını ifade eder.

Sağlık verileri gibi kişisel her türlü verinin korunması ve paylaşım standartlarının sağlanması açısından Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye’de kişisel verilerin korunması ve işlenmesi ile ilgili esasları düzenleyen bir kanun olarak (6698 sayılı KVKK), 7 Nisan 2016 tarihinde yürürlüğe girmiştir.

Aydınlatılmış onam: Hasta veya araştırma katılımcısının, kendisine sunulan tıbbi tedavi veya araştırma prosedürleri hakkında yeterli bilgiye sahip olduktan sonra özgür ve bilinçli bir şekilde onay vermesidir.

Bir sağlık kuruluşunda tedavi gören hastaya ait her türlü veri ve bilginin korunması için, hastane yönetiminin idari ve yasal bilgi güvenliği uygulama ve politikalarına ihtiyacı bulunmaktadır. Sağlık kuruluşu içinde kurulacak ve işletilecek bilgi güvenliği yönetim sisteminin ulusal ve uluslararası düzeyde bu alanda oluşturulmuş standartlara ihtiyacı vardır. Bu anlamda, uluslararası standartlar, özellikle ISO/IEC 27001, bilgi güvenliği yönetim sisteminin nasıl kurulması ve yönetilmesi gerektiği konusunda rehberlik sağlar. Bilgi kaynaklarının korunması, risklerin doğru yönetilmesi, sürekli iyileştirme gibi ana amaçları hedefler.

Bilgi kaynaklarının hastane yönetimi tarafından korunmasında bir diğer araç, erişim kontrol politikalarıdır. Bu politikalar ile hangi personelin hangi modül ya da veriye erişim izninin olduğu tanımlanır. Sağlık Bilgi ve Yönetim Sistemleri Topluluğuna (HIMSS) göre, güçlü erişim kontrol politikaları, kimlik doğrulama ve yetkilendirme mekanizmaları ile desteklenmelidir. Örneğin dâhiliye polikliniğinde çalışan tıbbi sekreterin yalnızca dâhiliye için tanımlanmış yazılım modülüne erişmesi ve bu modüle ulaşabilmek için kimlik ve şifre bilgisinin bulunması gereklidir.

Türkiye’de, merkezî ihlal bildirim sistemine ulaşan, güvenlik ihlallerinde Siber Olaylara Müdahale Ekibi (SOME) herhangi bir ihbar aldığında bilgi sistemleri ve endüstriyel kontrol sistemleri (ağa bağlanabilen diğer cihazlar, tıbbi cihazlar vb.) veya bu sistemlerde tutulan veya işlenen verilerin gizlilik, bütünlük veya erişilebilirliğinde meydana gelme riski bulunan veya meydana getirilen siber olayın kaynağını, nedenlerini ve sonuçlarını tespit ederek siber olayın devam etmesini, tekrarını veya zarar vermesini önleyen çalışmaları yerine getirmektedir. Güvenlik yönetimi, Kurumsal SOME’ler (personel, paydaş ve üçüncü taraflar) tarafından kullanılan güvenlik teknolojilerinin kurulumu, yapılandırılması, bakımı, güncellenmesi, iyileştirilmesi ve yönetilmesi faaliyetleri ile bu faaliyetlerin güvenli bir şekilde gerçekleştirilmesine yönelik kural ve talimatların geliştirilmesini ve uygulanmasını kapsamaktadır.