Bezpieczeństwo i RODO

Bezpieczeństwo — bo dane medyczne to nie dane sklepowe

Dane o zdrowiu należą do szczególnych kategorii danych osobowych (art. 9 RODO). Obejmują diagnozy, wyniki badań, przebieg leczenia, przyjmowane leki, a także dane genetyczne i biometryczne. Za naruszenia przepisów RODO grożą kary administracyjne do 20 mln euro lub do 4% rocznego obrotu (art. 83), do tego dochodzi odpowiedzialność wobec pacjentów i utrata ich zaufania. W ochronie zdrowia pojawia się dodatkowo ustawa o krajowym systemie cyberbezpieczeństwa, która po nowelizacji obejmuje część placówek obowiązkami wynikającymi z dyrektywy NIS2.

Trzy obszary, którymi się zajmujemy

NIS2 i KSC w ochronie zdrowia

Ustalamy, czy i w jakim zakresie przepisy obejmują placówkę, a potem przygotowujemy dokumentację, procedury i rozwiązania techniczne, których one wymagają.

Ransomware i reagowanie na incydenty

Ochrona przed najpoważniejszym zagrożeniem dla szpitali, a gdy atak już się zdarzy, plan działania na pierwsze godziny.

Kopie zapasowe i odtwarzanie

Ostatnia linia obrony: dane, które da się odzyskać, i system, który wróci do działania w ustalonym czasie.

Dokumentacja bezpieczeństwa

Placówka potrzebuje uporządkowanych dokumentów: polityki bezpieczeństwa informacji, instrukcji zarządzania systemem informatycznym, rejestru czynności przetwarzania, analizy ryzyka i, przy przetwarzaniu danych o zdrowiu na dużą skalę, oceny skutków dla ochrony danych (DPIA). Przygotowujemy je, aktualizujemy po zmianach w systemach i wspieramy placówkę podczas kontroli. Prawną interpretację wątpliwych kwestii warto potwierdzić z prawnikiem lub inspektorem ochrony danych; nasza rola to strona techniczna i organizacyjna.

Kontrola dostępu

• Minimalne uprawnienia — lekarz widzi swoich pacjentów, rejestratorka dane rejestracyjne, a nie dokumentację medyczną.
• Administrator nie czyta historii chorób — zarządza systemem, ale nie ma potrzeby oglądać danych pacjentów.
• Rejestr dostępu — każde otwarcie dokumentacji pacjenta jest zapisywane: kto, kiedy i w jakim celu.
• Przegląd logów — regularne sprawdzanie, czy ktoś nie przeglądał danych osób, których nie leczy.
• Konta osób odchodzących — wyłączane w dniu zakończenia pracy.

Szkolenia

Większość incydentów zaczyna się od zachowania człowieka: kliknięcia w fałszywy załącznik, hasła zapisanego na karteczce przy monitorze, nośnika znalezionego na parkingu. Szkolimy z rozpoznawania phishingu, zasad haseł, zgłaszania incydentów i bezpiecznego używania poczty, telefonu i pamięci przenośnych. Szkolenia powtarzamy regularnie, bo zagrożenia się zmieniają, a personel także.