Günümüzde bilişim sistemlerine ve bu sistemler tarafından işlenen verilere yönelik güvenlik ihlalleri inanılmaz bir hızla artmaktadır. Bilgisayar sistemlerine ve ağlarına yönelik saldırılar; para, zaman, itibar ve değerli bilgi kayıplarına neden olabilmektedir. Bu saldırıların hastane bilişim sistemleri gibi doğrudan yaşamı etkileyen sistemlere yönelmesi durumunda ise kaybedilen insan hayatı bile olabilir. T.C. Sağlık Bakanlığının ilgili mevzuat ve genelgelerinde elektronik sağlık bilgilerinin güvenliği, hasta mahremiyeti ile hasta hakları konularına yer verilmiş ve bu konuların önemi vurgulanmıştır.
Hukuki anlamda, sağlık mevzuatları gereği bireylerin sağlık ve kişisel bilgilerinin gizliliğine uyulması öngörülmektedir.
Bu öngörü doğrultusunda söz konusu bilgilerde sıkı kimlik doğrulama, rol tabanlı erişim denetimi uygulanması ve kriptografik yöntemlerle mahremiyetin sağlanması şarttır. Ayrıca hasta ile doktorun kimlik ve klinik bilgilerinin güvenliğinin sağlanması, kurumun ekonomik kaybının önlenmesi ve saygınlığının korunması istenmektedir.
Temel Kavramlar
Gizlilik (Confidentiality)
Gizlilik, kişiye ait bilgilerin erişiminin kişi tarafından sınırlandırılmasıdır. Bir başka ifadeyle, bir kaydı kimin görebileceğine karar verme yetkisidir.
Mahremiyet (Privacy)
Mahremiyet, kişilik haklarının korunmasıyla ilgilidir. Kişiye özgü bilgilerin, kişiler arası özel ilişkiler çerçevesinde (çoğunlukla hekim–hasta ilişkisi) paylaşılmasını ifade eder. Bu bilgilerin açıklanması bireye zarar verebilir.
Güvenlik (Security)
Güvenlik; elektronik bilginin ve veri süreçlerinin yetkisiz erişim, kullanım, değiştirme, zarar verme veya yok edilmesine karşı korunması için alınan teknik ve organizasyonel önlemleri kapsar.
Gizlilik, güvenlik ve mahremiyet; hem manuel hem de elektronik sağlık kayıtlarının vazgeçilmez unsurlarıdır. Amerikan Hekimler Birliği (AMA), tıp ve sağlık bilgisi sunan internet sitelerinin uyması gereken yönergelerde bu konuların önemini özellikle vurgulamıştır.
Uygun şekilde geliştirilmiş ve denetlenen elektronik hasta kayıt sistemleri, yalnızca yetkili kullanıcıların erişimine izin verdiğinden, kâğıda dayalı sistemlere kıyasla daha yüksek düzeyde koruma ve güvenlik sağlar.
Sağlık Bilgisinin Artışı ve Yönetimi
Tıp bilgisinin hızla artması; ölçüm ve görüntüleme yöntemlerinin gelişmesi; otomatikleşen test, analiz ve izleme cihazlarının yaygınlaşması, bireyler ve hastalar hakkında toplanan veri miktarını büyük ölçüde artırmıştır.
Daha kaliteli sağlık hizmeti sunabilmek için gerekli bilgi ve verilerin standart yöntemlerle toplanması, kullanılması, paylaşılması ve analiz edilmesi, üretilen bilgiden en üst düzeyde yararlanılmasını sağlar.
Hastane Bilgi Sistemleri ve Ağ Yapısı
Sağlık kurumlarında hizmet türleri ve rollerin çeşitliliği nedeniyle, hizmet üretimi ve yönetimi için gerekli bilgiye erişim karmaşık bir süreçtir. Bu nedenle bilgi üretimi ve bilgiye erişim yöntemleri en baştan doğru ve sistematik şekilde tasarlanmalıdır.
İdari ve mali kayıtların tutulmasında sağlanan başarı, tıbbi kayıtların tutulması ve kullanılması alanında da yakalanmalıdır.
Hastanelerdeki yüksek hasta yoğunluğu; personel sayısı ve çeşitliliğini, buna bağlı olarak da kullanılan bilgisayar ve mobil cihaz sayısını artırmaktadır. Günlük hasta sayısı binlere ulaşan hastanelerde; hasta yakınları, hastane personeli ve taşınabilir bilgisayar kullanan ilaç firması temsilcileri ağın temel kullanıcılarını oluşturmaktadır.
Hastane ağları; hem gizli ve özel hasta bilgilerini hem de günlük yüksek meblağlara ulaşan mali bilgileri barındırmaktadır.
Riskler ve Güvenliğin Önemi
Yüksek risk içeren bu verilerin, kurum içinden veya dışından gelebilecek saldırılara karşı korunması; 7 gün 24 saat çalışan, yüksek güvenilirliğe sahip ve kesintisiz bilgi akışı sağlayan otomasyon sistemleriyle mümkündür.
Elektronik ortamdaki bilgilerin geniş kitlelerce erişilebilir hâle gelmesi, riskleri artırmaktadır. Yerel ve geniş alan ağlarının yaygınlaşması, veri ve bilgi güvenliği açısından yeni sorunları beraberinde getirmektedir.
Özellikle hasta ve hastalık kayıtlarının gizliliği ve mahremiyeti büyük önem taşır. Güvenliğin temel bileşenlerinden biri de, kimin hangi bilgilere erişebileceğinin yetkilendirilmesidir. Bu nedenle farklı kullanıcılar için farklı erişim seviyeleri tanımlanmalıdır.
Sağlık Kayıtlarında Güvenlik ve Mahremiyet
“Sağlık kayıtlarının güvenliği” ile “kişisel sağlık kayıtlarının mahremiyeti” birbiriyle ilişkili ancak farklı kavramlardır. Her koşulda sağlık kayıtları, güvenlik kriterlerine uygun biçimde toplanmalı ve depolanmalıdır.
Bu şartlar sağlandıktan sonra;
- Kimlerin,
- Hangi erişim haklarıyla,
- Hangi seviyelerde
verilere ulaşabileceği belirlenmelidir.
Mahremiyet, bu erişim seviyeleriyle şekillenir. Kişisel sağlık kayıtlarını içeren veri alanlarına erişim kısıtlı olmalı ve yetkiler seviyelendirilmelidir.
Hasta sağlık bilgileri; araştırma, istatistik ve karar destek sistemleri amacıyla kurumlar veya Sağlık Bakanlığı bilgi sistemleri tarafından kullanılabilir. Ancak bu kullanımda hasta bilgileri, kimlik tanımlayıcılarla ilişkilendirilemez.
Kimlik Denetimi ve Erişim Kontrolü
- Aile hekimleri yalnızca kendilerine kayıtlı hastaların elektronik sağlık kayıtlarına erişebilmelidir.
- Hastane personeli, hastanın yatış–taburculuk süresi içinde ve hastanın yazılı onayı bulunması hâlinde kayıtlara erişebilmelidir.
- Bu erişim geçici süreli olmalıdır.
Sistem yöneticileri için de ek güvenlik katmanları oluşturulmalıdır. Veri tabanı yazılımlarının gelişmiş güvenlik özellikleri kullanılmalı; saat veya gün bazında erişim kısıtlamaları uygulanabilmelidir.
Aynı kullanıcı hesabı ile eş zamanlı birden fazla oturuma izin verilmemelidir. Hasta, belirli bir sağlık çalışanının kayıtlarına erişmesini istemiyorsa, ilgili çalışan okuma yetkisi elde edememelidir; ancak kendi muayene sonuçlarını sisteme girebilmelidir.
Veri Tabanı Güvenliği ve Denetim
- Kullanıcıların yalnızca yetkili oldukları veri setlerine erişimi sağlanmalıdır.
- Çok katmanlı denetim mekanizmaları uygulanmalıdır.
- Veri tutarlılığı için doğrulama (validation), çapraz kontrol (cross‑checking) ve mükerrer kayıt önleme yöntemleri kullanılmalıdır.
- Analiz amacıyla aktarılan verilerden kişisel kimlik tanımlayıcılar çıkarılmalıdır.
Kullanıcı aktiviteleri izlenmeli, şüpheli işlemler denetlenmelidir. Sistem; kullanıcının ne zaman, nereden, hangi veriye eriştiğini kayıt altına almalıdır.
Kimlik Doğrulama ve Şifreleme
- Sistem yöneticileri için X.509v3 uyumlu sayısal sertifikalar kullanılmalıdır.
- Sertifikalar akıllı kart veya USB token gibi güvenli ortamlarda saklanmalıdır.
- Erişimde temel prensipler: izlenebilirlik, kimlik doğrulama, güvenirlik ve inkâr edilemezlik.
Hasta tanımlayıcı olarak T.C. Kimlik Numarası esas alınmalı; ancak veri tabanlarında hastalık tanıları ile doğrudan eşleştirilmemelidir. Bunun yerine tek yönlü algoritmalarla üretilmiş özel tanımlayıcılar kullanılmalıdır.
Tüm kurum içi ve kurumlar arası iletişim şifreli yapılmalı; VPN ve Açık Anahtar Altyapısı (PKI) teknolojilerinden yararlanılmalıdır.
Elektronik Sağlık Kayıt Türleri
Otomatik Tıbbi Kayıtlar (Automated Medical Record)
Kâğıt hasta dosyalarıyla birlikte kullanılan sistemlerdir. Bilgilerin bir kısmı kâğıtta, bir kısmı bilgisayar ortamında tutulur.
Bilgisayarlı Tıbbi Kayıt Sistemi (Computerized Medical Record)
Kâğıt dosyaların taranarak elektronik ortama aktarılması esasına dayanır. Kâğıtsız sisteme geçiş bu aşamada başlar.
Elektronik Tıbbi Kayıtlar (Electronic Medical Record)
Kurum içinde üretilen tüm bilgilerin bütünleşik olarak kullanıldığı, sağlık personelinin aktif veri girişi yaptığı sistemlerdir. Erişim kontrolü ve veri bütünlüğü bu aşamada kritik öneme sahiptir.
Elektronik Hasta Kaydı (Electronic Patient Record)
Bölgesel, ulusal ve uluslararası düzeyde hasta kayıtlarının, gizlilik ve güvenlik ilkeleri çerçevesinde paylaşılabildiği sistemlerdir.
Elektronik Sağlık Kayıtları (Electronic Health Records)
Bireyin yaşam boyu sağlık bilgilerini kapsar. Hastanın yalnızca hastalık bilgilerini değil, sağlıklı dönem verilerini de içerir. Hasta katılımını esas alır ve farklı sağlık kuruluşları arasında bilgi paylaşımını mümkün kılar.
Sonuç
Elektronik sağlık kayıtları; gizlilik, güvenlik ve mahremiyet ilkeleri temel alınarak tasarlandığında hem hasta haklarını korur hem de sağlık hizmetlerinin etkinliğini ve kalitesini artırır.