Zabezpieczenia danych medycznych w chmurze

I idąc za ciosem kolejny artykuł (żeby nie było, że nic nie publikuje ;)) Tym razem o sposobach zabezpieczeń danych medycznych na przykładzie konkretnych mechanizmów w Azure.

Przyglądamy się rozwiązaniom chmurowym pod kątem zabezpieczenia danych w sektorze medycznym w podziale na ogólnie przyjęte rodzaje platform chmurowych oraz mechanizmy, dzięki którym to bezpieczeństwo można zwiększyć, a także wykazać się zasadą rozliczalności, o której tak wiele mówi się w kontekście nowego unijnego rozporządzenia o ochronie danych osobowych.

Bardzo ważnym aspektem pojawiającym się u każdego managera IT, którego organizacja przetwarza dane o szczególnym priorytecie, jest kwestia zapewnienia bezpieczeństwa tych danych. Nie inaczej jest i w przypadku danych medycznych – ich bezpieczeństwo powinno być priorytetem. „No jak to, przecież się nie da”, „przecież muszę mieć możliwość fizycznego audytu danych, za które odpowiadam”, „trzymanie danych medycznych gdzieś za granicą jest niemożliwe i niebezpieczne” – często na konferencjach w oficjalnych pytaniach czy kuluarowych rozmowach słychać takie wątpliwości. Przyjrzyjmy się zatem w pierwszej kolejności temu, co mówią nam nowe regulacje odnośnie do wymagań, jakie trzeba spełnić z perspektywy podmiotu przetwarzającego dane osobowe w chmurze.

Czytaj całość

Chmura a potrzeby podmiotów medycznych

Poniżej zamieszczam treść do zajawki artykułu zamieszczonego na łamach IT Professional. Aktualnie z tego cyklu ukazały się 3 artykuły, czwarty jest w trakcie drukowania.

Informatyzacja placówek szeroko pojętej ochrony zdrowia trwa w najlepsze. Mnogość różnego rodzaju projektów, regulacji prawnych, a także zbliżające się wielkimi krokami nowe rozporządzenie o zasadach przetwarzania danych osobowych (rodo) wywołuje duże poruszenie w branży. Czy chmura odpowiada potrzebom podmiotów medycznych? Czy warto przyjrzeć się tego typu rozwiązaniom? Jak wygląda sytuacja u samych zainteresowanych?

Z  doniesień medialnych wszyscy wiemy, że nasz system ochrony zdrowia od lat zmaga się z wieloma problemami organizacyjno-finansowymi. Podobna sytuacja występuje w przypadku informatyzacji sektora. Informatyzacji rozumianej jako spójny zestaw usług na poziomie ogólnopolskim, bo nie ma co ukrywać, że prywatne podmioty oferujące usługi medyczne (zwłaszcza te duże) mają dużą świadomość informatyczną i radzą sobie znakomicie. I to radzą sobie zarówno z wykorzystaniem najnowocześniejszych technologii w celu ułatwienia życia pacjentom, jak i sprawnością systemów IT w zakresie obsługi procesów wewnątrz organizacji. Dzięki środkom unijnym także duża liczba szpitali podległych resortom czy też władzom na różnego rodzaju szczeblach samorządowych wdrożyła, bądź wdraża, nowoczesne rozwiązania. Na szczeblu ogólnopolskim sprawa jednak nie jest taka prosta. Od lat trwają prace nad Elektroniczną Platformą Gromadzenia, Analizy i Udostępniania zasobów cyfrowych o Zdarzeniach Medycznych (tzw. system P1).

Czytaj całość

Najciekawsze wydarzenia – marzec 2018

Na początku mały wstęp o aktualnej sytuacji. Dużo się dzieje. Dużo ostatnio mówię i myślę o chmurze, o czym świadczą chociażby spotkania – m.in z Piotrem Marczukiem z Microsoft w ramach Młodych Menadżerów Medycyny, konferencja Centrum Promocji Informatyki i tam prelekcja o chmurze, do tego artykuły na temat wykorzystania chmury w IT Professional oraz dla Menadżera Zdrowia. Obydwa ukażą się w marcu, jeden z nich mam już wydrukowany u siebie!

Czytaj całość

Chmura w praktyce część 2 – bezpieczeństwo danych w chmurze (na przykładzie SQL databases w Azure)

We wpisie

Co to jest chmura i czy może nam się przydać?

jako jeden ze sposobów wykorzystania chmury w naszym środowisku informatycznym podałem wykorzystanie jej dość szeroko pojętej funkcjonalności nazwanej „baza danych”. Wpis ten jednak nie będzie roztrząsał rodzajów tego typu mechanizmów w poszczególnych typach chmury czy mechanizmów rozliczania. Uznajmy, że tego typu aspekty są do przedyskutowania na konkretnym przykładzie biznesowym. Tym wpisem chciałem zwrócić uwagę na bezpieczeństwo danych przechowywanych w mechanizmach chmurowych na przykładzie bazy danych. Wiadomo, rozwiązań chmurowych jest wiele i generalnie dostawcy radzą sobie z aspektami bezpieczeństwa na różne sposoby.

Czytaj całość

„RODO W SEKTORZE ŚWIADCZENIA USŁUG ZDROWOTNYCH – PRZETWARZANIE DANYCH WRAŻLIWYCH A NOWE REGULACJE”

Z przyjemnością informuję, że 20.02.2018 roku będę miał przyjemność opowiedzieć o chmurze na konferencji organizowanej przez Centrum Promocji Informatyki. Wydarzenie odbywa się pod hasłem „RODO W SEKTORZE ŚWIADCZENIA USŁUG ZDROWOTNYCH – PRZETWARZANIE DANYCH WRAŻLIWYCH A NOWE REGULACJE”. Wiadomo, teraz do maja wszędzie RODO 😉

Czytaj całość

Czy wdrożenie RODO to zadanie IT?

Klienci podczas rozmów bardzo często poruszają tę kwestię, mało tego, często w mniejszych placówkach słyszę, że informatyk się zajmuje RODO. Sprawa nie jest jednak taka prosta i oczywista. Aspekty IT to dość otwarta kwestia w RODO, ponieważ akt nie nakazuje niczego szczególnego. System i dane powinny być odpowiednio zabezpieczone. Należy sobie jednak zdawać sprawę z tego, że warstwa systemów informatycznych to tylko część procesu wdrożenia RODO w organizacji a samo wdrożenie to proces interdyscyplinarny wymagający zaangażowania trzech głównych warstw kompetencyjnych – regulacyjnej, organizacyjno-procesowej i dopiero warstwy systemów i infrastruktury IT.  Warstwa informatyczna jest to istotny, jednakże nie jedyny czynnik, który trzeba przystosować do nowych regulacji. Istotna w tym wymiarze jest także współpraca specjalistów z tych dziedzin tak aby wszystko przebiegło pomyślnie i z korzyścią dla szpitala, przychodni czy innego podmiotu.

Czytaj całość

Znów dane medyczne udostępnione publicznie czyli kolejny „wyciek”

„Setki zrzutów ekranu i dokumentów z danymi osobowymi i medycznymi pacjentów oraz dane finansowe dziesiątek szpitali, w tym dane dostępowe do różnych systemów informatycznych oraz dane osobowe pracowników szpitali — takie informacje znajdowały się w publicznie dostępnym katalogu systemu stosowanego do obsługi placówek opieki zdrowotnej, obsługiwanego przez firmę Konsultant IT. Pobrać je mógł każdy. Ilość ujawnionych danych jest znaczna i może dotyczyć wielu szpitali z całej Polski, w tym szpitali psychiatrycznych.” – poinformował wczoraj serwis Niebezpiecznik.pl .

Czytaj całość

CSIOZ naruszyło przepisy ustawy o ochronie danych osobowych?

Taka ciekawostka.. 23 listopada 2017 r. Prezes Naczelnej Rady Lekarskiej  skierował do Generalnego Inspektora Ochrony Danych Osobowych  pismo dotyczące ochrony danych osobowych lekarzy i lekarzy dentystów gromadzonych w systemie SMK:

„Niniejszym informuję o naruszeniu przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), do którego doszło 16 listopada 2017 r. poprzez wysłanie przez pracownika Centrum Systemów Informacyjnych Ochrony Zdrowia, dalej „CSIOZ”, do wszystkich okręgowych izb lekarskich oraz do wszystkich urzędów wojewódzkich danych osobowych lekarzy i lekarzy dentystów wygenerowanych z Systemu Monitorowania Kształcenia Pracowników Medycznych, zwanego dalej „SMK”.

Czytaj całość

Polityka bezpieczeństwa – wykaz budynków, pomieszczeń

Dzisiaj krótka i łatwa kontynuacja budowania naszej polityki bezpieczeństwa. Mamy zidentyfikowane zbiory danych, przypisane osoby oraz pomieszczenia w których te osoby się znajdują. Teraz, żeby wszystko było w porządku spróbujmy wyłuskać pomieszczenia z poprzedniego przykładu. Czyli np.:

Czytaj całość

Nowe wytyczne CSIOZ

Na stronie CSIOZ pojawił się nowy dokument: „Rekomendacje CSIOZ w zakresie bezpieczeństwa oraz rozwiązań technologicznych stosowanych podczas przetwarzania dokumentacji medycznej w postaci elektronicznej”. Otrzymałem tym samym informacje, że „Wytyczne, zasady i rekomendacje dla usługodawców w zakresie budowy i stosowania systemu bezpiecznego przetwarzania elektronicznej dokumentacji medycznej”  (ostatnia aktualizacja marzec 2017) są nieaktualne. O tyle dobrze się składa, że miałem brać się za analizę i pod tym kątem ustawiać wpisy na blogu. Teraz będzie to miało miejsce dla najnowszego dokumentu, który jest już zrobiony z myślą o RODO, także można przewidywać, że będzie aktualny dłużej niż jego poprzednicy.

Czytaj całość