Seguretat en els mecanismes de transmissió i en el fet de compartir informació assistencial

Transcripción

1 Seguretat en els mecanismes de transmissió i en el fet de compartir informació assistencial Responsabilitats pròpies del proveïdor en el procés de securització Manel Garcia, CESICAT Responsable de l Oficina de Seguretat de la Informació de Salut Pàgina 1

2 Índex 1. Requeriments de seguretat dels principals mecanismes de compartició d informació assistencial: Història Clínica Compartida i la Recepta Electrònica de Catalunya 2. Visió del pacient 3. Visió tècnica: Arquitectura de seguretat de la HC3 i Rec@t 4. Responsabilitats pròpies del proveïdor sanitari en el procés de securització 5. Principals reptes futurs Pàgina 2

3 1. Requeriments de seguretat de la Història Clínica Compartida i la Recepta Electrònica de Catalunya Els requeriments de seguretat consten a: HC3 Legislació sobre drets dels pacients i documentació clínica (Llei 21/2000, Ley 41/2002) Conveni d incorporació a la HC3 Rec@t: Legislació (Llei 29/2006, Decret 159/2007, RD 1718/2010, Ordre SLT/72/2008) Instruccions del CatSalut Convenis sobre l emissió de certificats digitals a professionals sanitaris Aquestes legislacions i el conveni d incorporació a la HC3 han estat revisats per l APDCAT, la qual cosa dota d una alta garantia de compliment de la LOPD complint efectivament les mesures de seguretat especificades als mateixos. Pàgina 3

4 2. Visió del pacient Cara als pacients, podem transmetre una millor defensa dels seus drets i de la preservació de la confidencialitat de les seves dades: Els impresos i protocol de Drets ARCO sobre la HCCC permeten, entre d altres, oposar-se a la compartició de part de la seva HC L accés a la HCCC està limitat a estrictament els professionals sanitaris que tinguin oberta una atenció sanitària al pacient. Tots els accessos deixen traça, que es conserva durant 2 anys. Pàgina 4

5 3. Visió tècnica: Arquitectura de seguretat de la HC3 i Rec@t Entitat Sanitària Usuari: Contrasenya: Sistema d Informació de l Entitat Sanitària Departament de Salut Autenticació individualitzada al SI de l Entitat amb Certificat Digital o Usuari/ CONTRASENYA ROBUSTA (8 posicions amb al menys una lletra, un dígit i un signe de puntuació i complint els requeriments de la LOPD - sota algunes condicions es poden admetre de 6 posicions) Autorització accés només si el professional sanitari participa en l assistència o diagnòstic del pacient Autenticació a la HC3 mitjançant CERTIFICAT DIGITAL DE L ENTITAT SANITÀRIA SIRE A l obrir per primera vegada el visor de HC3: acceptació AVÍS LEGAL sobre restriccions d accés i traça de les operacions TRAÇA Autenticació del servidor central de HC3 del Departament i xifrat de les comunicacions amb certificat de servidor segur i SSL (https) TRAÇA (incloent el professional sanitari que ha fet cada operació a cada entitat sanitària) Controls generals addicionals requerits a la Entitat Sanitària: Protecció física Antivirus de les dades Dret del Departament a auditar el compliment de les mesures de seguretat per l Entitat Tallafocs Sanitària AVANTATGES Cada Entitat Sanitària gestiona els seus propis usuaris: més àgil, pròxim a l usuari i més segur Cada Entitat Sanitària necessita un únic certificat per accedir tant a l HC 3 com a Recepta Electrònica, CMBD, LES... El Departament de Salut comprova els certificats de cada Entitat Sanitària en comptes dels usuaris/contrasenyes o certificats digitals de cada professional sanitari Pàgina 5

6 4. Responsabilitats pròpies del proveïdor sanitari en el procés de securització Autenticació dels usuaris: Usuaris estrictament personals Contrasenyes robustes Gestió segura de les contrasenyes (en el seu lliurament, emmagatzematge, reset per oblit...) Autorització dels usuaris: Assegurar que només usuaris dels perfils permesos poden accedir I només quan participin en l atenció sanitària Compte: la reutilització d informació assistencial per recerca mèdica requereix consentiment dels afectats o l anonimització de la informació. Guardar traça i informar correctament als webservices sobre les dades dels usuaris, perquè la traça del Departament de Salut sigui correcta. Mantenir la seguretat dels certificats de l entitat sanitària Controls físics, tallafocs, antivirus, etc. Compliment general de la LOPD Pàgina 6

7 5. Principals reptes futurs (1/2) Seguretat perimetral: La progressiva utilització d una xarxa interna, privada (l Anella Sanitària) enlloc d Internet és una garantia de seguretat davant d atacs externs per hackers. Les auditories de seguretat perimetral ( hackings ètics ) fetes pel Departament/CatSalut i les que hagin fet les entitats sanitàries, reforcen addicionalment la seguretat en aquest aspecte. Compliment de la LOPD i de la legislació específica: Fer un seguiment de l efectiva aplicació de les mesures de seguretat, tant a nivell TIC, com, sobre tot, per part dels professionals sanitaris, corregint els incompliments i creant conscienciació entre els professionals: Per part dels proveïdors sanitaris. Per exemple: Revisió periòdica de les traces (mensual per complir la LOPD) per detectar i analitzar casos com: Estadística de nombre de persones diferents amb accessos per centre, servei, etc.: per detectar possibles comparticions de credencials, etc. Usuaris amb més volum d accessos (i verificar si corresponen o no amb perfils com control de qualitat, responsables... o poden ser casos d irregularitats com compartició de credencials d accés, accessos no autoritzats, etc.) Usuaris amb més dies amb accessos (i verificar si és raonable i lliga amb períodes de vacances de les persones) Seguiment d assistències sanitàries cancel.lades (per verificar que no hagin falses assistències creades per fer accessos a la HC o HCCC no autoritzats). Auditoria biennal del compliment de la LOPD (requerida per la LOPD) Pàgina 7

8 5. Principals reptes futurs (2/2) Per part del Departament/CatSalut: Revisió periòdica de les traces. Continuar amb la revisió anual d estadístiques agregades sobre seguretat a les entitats sanitàries basat en el Mapa de Tendències de la Fundació TICSalut Complementar l autoavaluació demanada a les entitats sanitàries connectades a HCCC i Recepta Electrònica a principis del 2010 per cobrir les entitats connectades posteriorment. Requerir i revisar les auditories LOPD de les entitats sanitàries. Pàgina 8