NHS Personelini Uyardı Yetkisiz Veri Erişimi Hapisle Sonuçlanabilir

Ne Oldu

İngiltere Ulusal Sağlık Servisi (NHS), kendi personeline yönelik ciddi bir uyarıda bulundu. Kurum, meşru bir gerekçe olmaksızın hasta verilerine erişen çalışanların hapis cezasıyla karşı karşıya kalabileceğini net bir dille ifade etti. Bu uyarı, son zamanlarda yaşanan ve kamuoyunda geniş yankı uyandıran birkaç yüksek profilli veri ihlali vakasının ardından geldi. NHS, bu tür eylemlerin hem hasta mahremiyetini ihlal ettiğini hem de yasalara aykırı olduğunu vurgulayarak, konunun ciddiyetini ortaya koydu.

NHS Başkanı Jim Mackey, yaptığı açıklamada, tıbbi kayıtlara usulsüz erişimin "kesinlikle kabul edilemez, hasta güvenine yönelik utanç verici bir ihlal ve yasalara aykırı" olduğunu belirtti. Mackey'nin bu sert açıklamaları, kurumun iç tehditlere karşı sıfır tolerans politikası benimsediğini gösteriyor. Bu kapsamda, çalışanları bilinçlendirmek amacıyla yeni bir farkındalık kampanyası başlatıldı. "Merakın kariyerini bitirmesine izin verme" sloganıyla yürütülen kampanya, personelin anlık bir merakla yapacağı bir hatanın sonuçlarının ne kadar ağır olabileceğini gözler önüne seriyor. Kampanya, aynı zamanda sağlık kuruluşlarının yetkisiz erişimi önleme, izleme ve raporlama konularında uyması gereken yeni bir rehberle birlikte sunuldu.

Ele Geçirilen Veriler

Kaynak makalede, yetkisiz erişim sonucu tam olarak hangi tür hasta verilerinin görüntülendiği detaylandırılmıyor. Ancak, erişilen verilerin kişisel tıbbi kayıtlar olduğu açıkça belirtiliyor. Bu kayıtlar, hastaların teşhisleri, tedavi süreçleri, kişisel sağlık geçmişleri ve diğer hassas bilgileri içerebilir. İhlallerin doğası gereği, çalışanlar görev tanımları dışında, tamamen kişisel merak veya başka amaçlarla bu bilgilere erişmiştir. Özellikle Nottingham bıçaklı saldırı kurbanları ve ciddi şekilde yaralanan bir çocuğun verilerine bakılması, durumun ne kadar hassas olduğunu ortaya koyuyor. Galler Prensesi vakasında ise verilerin satılmaya çalışılması, bu tür ihlallerin sadece merakla sınırlı kalmayıp, maddi çıkar sağlama amacına da yönelebileceğini gösteriyor.

Saldırı Nasıl Gerçekleşti

Bu olaylar, dışarıdan gelen bir siber saldırıdan ziyade, bir "iç tehdit" (insider threat) örneğidir. Yani, ihlali gerçekleştiren kişiler, zaten sisteme erişim yetkisi bulunan NHS çalışanlarıdır. Çalışanlar, sahip oldukları meşru kullanıcı kimlik bilgilerini kullanarak, görevleri gereği olmamasına rağmen hasta kayıt sistemlerine girmiş ve mahrem bilgilere göz atmışlardır.

Bu tür eylemleri tespit etmek ve önlemek için NHS, yeni bir rehber yayınladı. Bu rehberde, sağlık kuruluşlarının yetkisiz erişimi nasıl izleyebileceği ve düzenli denetimler yapması gerektiği anlatılıyor. Modern elektronik hasta kayıt sistemlerinin, kimin, ne zaman ve hangi kayda eriştiğini takip edebilen denetim izleri (audit trail) oluşturma yeteneği bulunuyor. Rehber, kurumları bu teknik kontrolleri aktif olarak kullanmaya ve şüpheli aktiviteleri proaktif bir şekilde araştırmaya teşvik ediyor. Bu vakalarda saldırı, sofistike bir hackleme yöntemiyle değil, mevcut yetkilerin kötüye kullanılmasıyla gerçekleşmiştir.

Etkilenenler Kim

Yaşanan yetkisiz erişim olaylarından doğrudan etkilenenler, kayıtlarına bakılan hastalardır. Kaynakta üç spesifik olaydan bahsedilmektedir:

• 2023 Nottingham Bıçaklı Saldırı Kurbanları: Bu trajik olayın kurbanlarının tıbbi kayıtlarına, 11'i işten atılan ve 14'ü yazılı ihtar alan NHS personeli tarafından yasa dışı bir şekilde erişildi.
• Ciddi Yaralı Bir Çocuk: Cambridgeshire'daki bir hastanede, yaklaşık 40 personel, geçerli bir sebep olmaksızın ağır yaralı bir çocuğun kayıtlarına erişti. Hastane bu konuda bir soruşturma başlattı.
• Galler Prensesi: Sadece NHS çalışanları değil, özel sağlık sektörü çalışanları da benzer ihlallerde bulunuyor. Londra'daki özel bir hastanede eski bir sağlık çalışanı, Galler Prensesi'nin tıbbi kayıtlarına erişmeye ve bu verileri satmaya çalıştığı için Bilgi Komiserliği Ofisi (ICO) tarafından resmi bir uyarı aldı.

Bu olaylar, hem kamu hem de özel sağlık sektöründe hasta verilerinin iç tehditlere karşı ne kadar savunmasız olabileceğini gösteriyor.

Ne Yapabilirsin

Bu haber, doğrudan genel halktan ziyade sağlık sektörü çalışanları ve yöneticilerine yönelik önemli mesajlar içeriyor.

• Sağlık Çalışanları İçin: NHS'in "Merakın kariyerini bitirmesine izin verme" uyarısını ciddiye alın. Sadece görevinizin gerektirdiği hasta verilerine erişin. Merak, arkadaş veya aile üyesinin durumunu kontrol etme gibi meşru olmayan gerekçelerle kayıtlara bakmak, kariyerinizi sonlandırabilir ve sizi hapis cezasıyla karşı karşıya bırakabilir.
• Sağlık Kuruluşları İçin: NHS tarafından yayınlanan yeni rehberi dikkatle inceleyin. Veri erişimlerini izlemek için teknik kontrolleri ve denetim mekanizmalarını güçlendirin. Kimin hangi veriye neden eriştiğini sorgulayan proaktif bir denetim süreci oluşturun. Personelinize düzenli olarak veri koruma ve mahremiyet eğitimleri vererek yasal sorumluluklarını hatırlatın.

Şirket Ne Diyor

NHS Başkanı Jim Mackey, konuya ilişkin son derece net ve sert bir tutum sergiledi. Mackey, "Tıbbi kayıtlara uygunsuz erişim kesinlikle kabul edilemez, hasta güvenine yönelik utanç verici bir ihlaldir ve yasalara aykırıdır" dedi. Bu açıklama, NHS yönetiminin bu tür olayları ne kadar ciddiye aldığını ve faillerin sonuçlarıyla yüzleşeceğini açıkça ortaya koyuyor. Kurum, yeni kampanya ve rehber ile sadece cezai yaptırımları hatırlatmakla kalmıyor, aynı zamanda bu tür ihlalleri önlemek için proaktif adımlar atma kararlılığını da vurguluyor. Rehberde, bu tür olayların yaşanması durumunda personelin Bilgi Komiserliği Ofisi (ICO) ve polise bildirileceği, potansiyel bir cezai kovuşturma ile karşı karşıya kalacakları da belirtiliyor.

Kaynak

https://www.infosecurity-magazine.com/news/nhs-warns-staff-unauthorized/