ISSN:1896Ǧ382X|www.wnus.edu.pl/epu DOI:10.18276/epu.2018.131/2Ǧ12|strony:127Ǧ135
KrzysztofMusiaÏ
ActiveMEDSp.zo.o. krzysztof.musial@activemed.plMateuszKuczabski
AkademiaSztukiWojennej WydziaÏBezpieczeÑstwaNarodowego InstytutStudiówStrategicznych KatedraBezpieczeÑstwaInformacyjnegoiKomunikacji mateusz.kuczabski@piastunzoz.plBezpieczeÑstwoinformacyjne
worganizacjachochronyzdrowia
Kod JEL: I 11Sáowa kluczowe: ochrona zdrowia, bezpieczeĔstwo informacyjne, sieci komputerowe
Streszczenie. BezpieczeĔstwo informacyjne w sektorze ochrony zdrowia to wyzwanie
najbliĪ-szych lat na wszystkich poziomach organizacyjnych. Począwszy od Ministerstwa Zdrowia, aĪ po pojedyncze gabinety realizujące Ğwiadczenia w zakresie ochrony zdrowia. Zmiana sposobu reje-strowania danych, ich rosnąca iloĞü i zakres wprowadzania do systemów, a takĪe przetwarzanie i przesyáanie wymagają nowych metod i narzĊdzi zabezpieczania przed wyciekiem i utratą prze-chowywanych i przetwarzanych informacji. Konieczne staje siĊ budowanie bezpiecznych syste-mów przechowujących i przetwarzających dane oraz ksztaátowanie ĞwiadomoĞci w tym zakresie zarówno osób zarządzających jednostkami jak i caáego personelu, który ma dostĊp do przetwa-rzanych informacji.
Wprowadzenie
Upowszechnianie i rozwój technologii informacyjno-komunikacyjnych w jednost-kach ochrony zdrowia spowodowaá w ostatnich latach gwaátowny wzrost iloĞci prze-chowywanych danych w systemach informatycznych. Zarówno na poziomie Minister-stwa Zdrowia, narodowego páatnika jakim jest NFZ, jednostek samorządu
terytorialne-go, jak i Ğwiadczeniodawców dziaáających w publicznym systemie ochrony zdrowia oraz w placówkach komercyjnych.
Problem iloĞci i jakoĞci przechowywanych danych rozpatrywany jest na dwóch poziomach. Poziomie zarządzania centralnego, mogącego kontrolowaü wielkoĞü i pra-widáowoĞü wprowadzanych danych, a co za tym idzie racjonalizowaü sposoby wydat-kowania Ğrodków publicznych na krytyczną infrastrukturĊ paĔstwa – ochronĊ zdrowia oraz poziomie pojedynczych jednostek sektora zdrowia, które mogą optymalizowaü zasoby ludzkie i sprzĊtowe, pozwalając na efektywne zarządzanie.
Ustawa o ochronie danych osobowych z 1997 roku wraz z póĨniejszymi zmiana-mi, rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepáywu takich danych, a takĪe przepisy doty-czące prowadzenia dokumentacji medycznej, narzucają na jednostki ochrony zdrowia okreĞlone wymagania dotyczące przechowywania, przetwarzania i udostĊpniania zbie-ranych danych (Rozporządzenie UE 2016/679, 2016).
1. WdraĂanie systemów przetwarzania informacji w jednostkach
sektoraochronyzdrowia
Przetwarzanie, przechowywanie i udostĊpnianie dokumentacji medycznej zarów-no w formie papierowej, jak i elektronicznej obwarowane jest wieloma przepisami polskimi oraz europejskimi. Przygotowanie jednostki do wdroĪenia systemu przetwa-rzania Elektronicznej Dokumentacji Medycznej musi uwzglĊdniaü wiele obszarów zarządzania placówki (Rekomendacje Centrum Systemów…, 2017). PominiĊcie jednego z obszarów moĪe skutkowaü powaĪnymi báĊdami mogącymi uniemoĪliwiü poprawną realizacjĊ takiego wdroĪenia. Zakres wdroĪenia powinien obejmowaü przynajmniej:
modelowanie struktury organizacyjnej jednostki, przygotowanie i wdroĪenie polityki bezpieczeĔstwa, przygotowanie i wdroĪenie infrastruktury sieciowej, dobór urządzeĔ i sprzĊtu informatycznego,
dobór serwerów i stacji roboczych, dobór oprogramowania,
utrzymanie i zabezpieczenie infrastruktury teleinformatycznej, zasady dostĊpu do urządzeĔ i danych,
metody archiwizacji i reguá postepowania w przypadku naruszeĔ polityki bez-pieczeĔstwa.
2.Finansowanie
Jednym z podstawowych problemów wspomnianego wdroĪenia systemów jest brak dostatecznego finansowania w jednostkach sáuĪby zdrowia. Na podstawie badania przeprowadzonego w 2016 roku przez CSIOZ koszt wdroĪenia systemów HIS w ankie-towanych jednostkach jest wysoki. „79% szpitali, 96% stacjonarnych caáodobowych ĞwiadczeĔ zdrowotnych innych niĪ szpitalne oraz 97% AĝZ-ów szacuje, iĪ na ten cel potrzebuje poniĪej 1 miliona záotych, 15% szpitali, 3% stacjonarnych caáodobowych ĞwiadczeĔ zdrowotnych innych niĪ szpitalne oraz 2% AĝZ-ów pomiĊdzy 1–5 milionów záotych, a 5% szpitali, 1% stacjonarnych caáodobowych ĞwiadczeĔ zdrowotnych innych niĪ szpitalne oraz 0,5% AĝZ-ów powyĪej 5 milionów záotych” (Badanie stopnia przy-gotowania…, 2016).
Rysunek 1. Szacowana wartoĞü dostosowania siĊ podmiotu do obowiązków wáaĞciwych na podstawie ustawy z 28 kwietnia 2011 roku o systemie informacji w ochronie zdrowia
ħródáo: Badanie stopnia przygotowania… (2016).
Pomocne okazują siĊ tutaj Ğrodki z funduszy unijnych w ramach projektów e-Zdrowia, z których skorzystaáo wiele jednostek Ğwiadczących usáugi w publicznym systemie ochrony zdrowia. Od 2007 roku czĊĞü z nich, w tym publiczne zakáady opieki zdrowotnej, uzyskaáa finansowanie pozwalające na wdroĪenie informatycznych syste-mów HIS klasy EDM. Zgodnie z deklaracjami ankietowanymi w 2016 roku systemy Elektronicznej Dokumentacji Medycznej obejmującej przynajmniej podstawowe ele-menty miaáo do 50% ankietowanych.
Rysunek 2. Czy podmiot leczniczy ma rozwiązania informatyczne umoĪliwiające prowadzenie dokumentacji medycznej w postaci elektronicznej (w rozumieniu ustawy o SIOZ, czyli w postaci dokumentów elektronicznych)?
ħródáo: Badanie stopnia przygotowania… (2016).
3.PolitykabezpieczeÑstwa
Ustawa o ochronie danych osobowych z 29 sierpnia 1997 roku naáoĪyáa na admi-nistratora danych obowiązek opracowania i wdroĪenia Polityki BezpieczeĔstwa oraz Instrukcji Zarządzania Systemem Informatycznym sáuĪącym do przetwarzania danych osobowych. NaleĪy tu zwróciü uwagĊ, Īe w przypadku podmiotów realizujących Ğwiadczenia zdrowotne, poza danymi osobowymi przetwarzane są równieĪ dane wraĪ-liwe (dane dotyczące zdrowia) podlegające szczególnej ochronie (ĝwitaáa, 2016). Zgodnie z par. 6 dane wraĪliwe o stanie zdrowia są przetwarzane w systemach telein-formatycznych o poziomie bezpieczeĔstwa podwyĪszonym lub wysokim – w przypadku poáączenia rozwiązaĔ sáuĪących do przetwarzania danych z publiczną siecią telekomu-nikacyjną. Szczegóáowy katalog i opis Ğrodków bezpieczeĔstwa stosowany na poszcze-gólnych poziomach okreĞla zaáącznik do omawianego rozporządzenia (Rozporządzenie UE 2016/679, 2016).
Zgodnie z wymogami ustawy przygotowano wytyczne dla usáugodawców realizu-jących Ğwiadczenia w zakresie ochrony zdrowia przez prezesa CSIOZ (Rekomendacje Centrum Systemów…, 2017). Podstawowe elementy obejmujące zakres krytycznych skáadowych z uwagi na bezpieczeĔstwo budowy takich systemów stanowią:
bezpieczeĔstwo fizyczne i Ğrodowiskowe, bezpieczeĔstwo sieciowe,
bezpieczeĔstwo systemów klasy EDM, kontrola dostĊpu,
stosowanie podpisu elektronicznego,
archiwizacja danych medycznych,
zarządzanie incydentami związanymi z bezpieczeĔstwem informacji, zarządzanie ciągáoĞcią dziaáania.
W celu zapewnienia bezpieczeĔstwa jednostki, konieczne jest podjĊcie dziaáaĔ w kaĪdym z wymienionych elementów. W zaleĪnoĞci od wybranego rodzaju oprogra-mowania (model klasyczny, outsourcing-kolokacja, IAAS, PAAS, SAAS) zabezpiecze-nie poszczególnych elementów moĪe naleĪeü bezpoĞrednio do jednostki ochrony zdro-wia lub usáugodawcy realizującego konkrety zakres usáug.
Poza wyĪej wymienionymi, istotnym elementem bezpieczeĔstwa informacyjnego jest budowanie ĞwiadomoĞci personelu w jednostce, który ma dostĊp do danych osobo-wych (Strategia cyberbezpieczeĔstwa, 2016). UĞwiadomienie ryzyka związanego z nieuprawnionym przekazywaniem danych osobom, które bezpoĞrednio mają do nich dostĊp, moĪe w znaczącym stopniu ograniczyü wystĊpowanie takich incydentów.
Rysunek 3. Elementy organizacyjne i prawne konieczne do poprawnego wdroĪenia polityki bezpieczeĔstwa w organizacji
ħródáo: opracowanie wáasne na podstawie: „ABC bezpieczeĔstwa danych osobowych przetwarzanych przy uĪyciu systemów informatycznych”, www.giodo.gov.pl.
4.WdroĂenieinfrastrukturysieciowejisprz¸towej
MnogoĞü i záoĪonoĞü rozwiązaĔ sieciowych i serwerowych sprawia, Īe doborem odpowiedniego sprzĊtu muszą zająü siĊ eksperci. Z doĞwiadczeĔ wáasnych wynika, Īe nawet jednostki dysponujące swoimi dziaáami IT i zatrudnionymi tam informatykami nie są w stanie samodzielnie dobraü sprzĊtu do potrzeb w ramach konkretnego
rozwią-zania. Potencjalni dostawcy konkurują cenami – a rozpiĊtoĞü cen urządzeĔ sieciowych i serwerów jest bardzo duĪa – nie zapewniając optymalnych rozwiązaĔ i jakoĞci. Ko-niecznoĞü wyboru okreĞlonych moduáów, funkcji moĪe byü kluczowa z punktu widze-nia bezpieczeĔstwa i funkcjonalnoĞci projektowanego systemu. Odpowiedni projekt infrastruktury sieciowej, dobór konkretnego rozwiązania czy technologii moĪe uproĞciü zarządzanie taką infrastrukturą bądĨ ją bardzo utrudniü, czy wrĊcz uniemoĪliwiü dziaáa-nie. Z tego powodu, na uwagĊ zasáuguje rozwiązanie polegające na projektowaniu za pomocą metody top-down firmy Cisco (Oppenheimer, 2007). Zakáada ono cztery pod-stawowe fazy przygotowania do uruchomienia sieci teleinformatycznej:
CzĊĞü I – OkreĞlenie potrzeb i celów klienta. CzĊĞü II – Projekt logiczny.
CzeĞü III – Projekt fizyczny.
CzĊĞü IV – Testy, dokumentacja i konserwacja.
Rysunek 4. Poszczególne elementy przy projektowaniu sieci metodą top-down ħródáo: opracowanie wáasne.
Wspomniany sposób projektowania, bez wzglĊdu na rodzaj wykorzystywanego poáączenia – czy bĊdzie to poáączenie kablowe czy bezprzewodowe gwarantuje, Īe zaprojektowana sieü bĊdzie wydajna, zarządzalna i skalowalna, co z kolei pozwala na bezproblemową pracĊ przez dáugie lata.
Drugim, nie mniej waĪnym elementem, jest infrastruktura serwerowa. Wybór odpowiedniej technologii wdroĪenia systemu jest zagadnieniem kluczowym dla po-prawnej i bezpiecznej pracy caáego systemu. Technologie uwierzytelniania, autoryzacji,
autentykacji systemów pozwalają na bezpieczną pracĊ záoĪonych systemów. Metody uwierzytelniania serwerów RADIUS, czy teĪ jednokrotnego logowania (SSO – Single Sign On) pozwalają na bezpieczną, ale teĪ wygodną pracĊ dla uĪytkowników caáego systemu. DziĊki takim rozwiązaniom nie jest konieczne zapamiĊtywanie kilku haseá do logowania do kaĪdego systemu. Jeden login i hasáo dają uĪytkownikowi dostĊp do wszystkich systemów – przy czym do kaĪdego zgodnie z jego listą ACL (Access Con-trol List)
5.Dobóroprogramowania
Elementarnym problemem jednostki jest taki wybór systemu, który zapewni po-prawne funkcjonowanie w okreĞlonych warunkach organizacyjno-prawnych. Obecnie brakuje doradców w zakresie wsparcia jednostek w doborze wáaĞciwego rodzaju opro-gramowania i wyboru jego funkcjonalnoĞci, obejmującej jak najwiĊkszy obszar dziaáal-noĞci konkretnej organizacji. Z uwagi na liczbĊ i jakoĞü funkcjonujących systemów na polskim rynku, dobór systemu jest trudnym zadaniem. System pracujący w tzw. chmu-rze bardzo dobchmu-rze sprawdza siĊ dla pojedynczego gabinetu, który samodzielnie nie jest w stanie realizowaü bieĪących aktualizacji, weryfikacji czy archiwizacji, a dziĊki zasto-sowaniu tej technologii, są one wykonywane regularnie i poprawnie. Jednostki korzy-stające w swojej dziaáalnoĞci z rozwiązaĔ wielostanowiskowych, które decydują siĊ na zastosowanie technologii tzw. chmury, potencjalnie mogą byü naraĪone, w przypadku braku dostĊpu do internetu (awaria áączy, lokalnego routera dostĊpowego), na przerwĊ w pracy dla kilkudziesiĊciu specjalistów.
NaleĪy podkreĞliü, Īe jednym z podstawowych argumentów wdraĪania systemów HIS jest lepsza organizacja pracy, która ma podnosiü wydajnoĞü caáej jednostki, co w dobie starzejącego siĊ spoáeczeĔstwa i ograniczonych Ğrodków na finansowanie sáuĪ-by zdrowia staje siĊ kluczowym zagadnieniem dla przetrwania jednostki w warunkach bieĪącej i przyszáej sytuacji rynkowej oraz zapewnienia wysokiego poziomu Ğwiadczo-nych usáug. Równie istotnym argumentem jest wpieranie decyzji medyczĞwiadczo-nych dziĊki budowanej bazie wiedzy i umiejĊtnego wykorzystania przechowywanych informacji. DziĊki coraz czĊĞciej pojawiającym siĊ funkcjonalnoĞciom, które wspomagają decyzje lekarzy na podstawie zgromadzonych informacji – leczenie pacjenta moĪe byü bardziej efektywne i mniej kosztocháonne. Niestety, w tym zakresie odnotowuje siĊ czĊsto brak zrozumienia i niechĊü personelu medycznego do wdraĪanych rozwiązaĔ. Problemem jest takĪe brak na rynku specjalistów przygotowanych do wykonywania wdroĪeĔ, które wymagają czĊstej i róĪnorodnej komunikacji pomiĊdzy systemami, umoĪliwiającej opracowanie jak najdokáadniejszych baz danych, wspomagających decyzje lekarzy. Próbą rozwiązania mogą okazaü siĊ dziaáające obecnie tzw. Regionalne Platformy Gromadzenia, Analizy i UdostĊpniania Zasobów Cyfrowych o Zdarzeniach Medycz-nych, które choü w ograniczonym zakresie, to jednak zbierają dane o zdarzeniach me-dycznych od czĊĞci jednostek sektora ochrony zdrowia. Przykáadem takiej platformy
jest m.in. Podkarpacki System Informacji Medycznej (PSIM) uruchomiony w 2014 roku (www.psim.podkarpackie.pl). Wspomniane platformy byáy tworzone z zaáoĪeniem ich integracji z powstającym systemem centralnym w ramach Krajowej Platformy P1, ale wdroĪenie to jest przesuwane w czasie. Zintegrowanie wszystkich systemów pozwo-liáoby na peáną wymianĊ informacji pomiĊdzy jednostkami ochrony zdrowia, takimi jak szpitale, ambulatoria, laboratoria, apteki a nawet lecznice weterynaryjne.
Podsumowanie
Systemy ochrony zdrowia przetwarzają i przechowują bardzo rozlegáą informacjĊ o stanie zdrowia pacjentów. BezpieczeĔstwo przetwarzanych informacji stanowi wy-zwanie na najbliĪsze lata na wszystkich poziomach zarządzania w systemie ochrony zdrowia. Brak specjalistów d.s. bezpieczeĔstwa, wykorzystywanie przestarzaáych tech-nologii, luki w zabezpieczeniach, brak ĞwiadomoĞci uĪytkowników systemów informa-tycznych to rzeczywistoĞü sporej czĊĞci podmiotów przetwarzających dane medyczne. Dopóki sytuacja nie ulegnie drastycznej poprawie bezpieczeĔstwo informacyjne w caáym obszarze bĊdzie zagroĪone, a dane pacjentów juĪ są zagroĪone. Wycieki takich informacji niestety siĊ zdarzają (www.zaufanatrzeciastrona.pl, 2017).
Bibliografia
ABC bezpieczeĔstwa danych osobowych przetwarzanych przy uĪyciu systemów informatycznych
(2007). Wydawnictwo sejmowe. Pobrane z: www.giodo.gov.pl.
Badanie stopnia przygotowania podmiotów wykonujących dziaáalnoĞü leczniczą do obowiązków wynikających z ustawy z 28 kwietnia 2011 roku o systemie informacji w ochronie zdrowia (2016). CSIOZ. Pobrane z: https://www.csioz.gov.pl/aktualnosci/szczegoly/wyniki-ii-edycji-badania-ankietowego-dotyczacego-stopnia-informatyzacji-podmiotow-wykonujacych-dz/. Oppenheimer, P. (2007). Cisco. Projektowanie sieci metodą Top-Down. Warszawa:
Wydawnic-two Naukowe PWN.
Podkarpacki System Informacji Medycznej (2014). Pobrane z: https://psim.podkarpackie.pl/
strona-glowna.
Rekomendacje Centrum Systemów Informacyjnych Ochrony Zdrowia w zakresie bezpieczeĔstwa oraz rozwiązaĔ technologicznych stosowanych podczas przetwarzania dokumentacji me-dycznej w postaci elektronicznej (2017). CSIOZ 2017. Pobrane z: www.csioz.gov.pl.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 roku. Po-brane z: http://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679. ĝwitaáa, K. (2016). Obowiązki prawne podmiotów przetwarzających dane medyczne w kontekĞcie
wdraĪania rozwiązaĔ e-zdrowia w Polsce. Roczniki. Kolegium Analiz Ekonomicznych, 42,
Wytyczne, zasady i rekomendacje dla usáugodawców w zakresie budowy i stosowania systemu bezpiecznego przetwarzania elektronicznej dokumentacji medycznej (2014), cz. 1–6.
CSIOZ. Pobrane z: https://csioz.gov.pl/aktualnosci/archiwum/szczegoly/zaktualizowane-wytyczne-i-rekomendacje-w-zakresie-bezpiecznego-przetwarzania-edm/.
Wyciek danych wraĪliwych (2017). Pobrane z:
https://zaufanatrzeciastrona.pl/post/wyciek-danych-wrazliwych-50-tysiecy-pacjentow-polskiego-szpitala/.
ZaáoĪenia strategii cyberbezpieczeĔstwa dla Rzeczypospolitej Polskiej (2016). Pobrane z: http://www.konsultacje.gov.pl/sites/default/files/file-attachments/3903/.
INFORMATION SECURITY IN HEALTHCARE INSTITUTION
Keywords: healthcare, information security, computer networks
Summary. Information security in the healthcare sector is the main challenge at all levels of
organizations in upcoming years. Starting with Health Ministries to single offices providing health services. Change the way of registration of data and its increasing amount, the scope of entering data into the system, and also processing and data transmission demand new methods and tools to protect from leaks and loosing proceeded and stored information. It is becoming to be necessary to build safe systems dealing with storing and preceding data and create public aware-ness in this filed among both management of healthcare institutions and all medical staff who have access to proceed information.
Translated by Mateusz Kuczabski
Cytowanie
Musiaá, K., Kuczabski, M. (2018). BezpieczeĔstwo informacyjne w organizacjach ochrony zdro-wia. Ekonomiczne Problemy Usáug, 2 (131/2), 127–135. DOI: 10.18276/epu.2018.131/2-12.
