|
В отчете, опубликованном в 1997 году Национальным советом по исследованиям, выделено пять «уровней угроз» информации, хранимой в медицинских компьютерах"133. 1. Инсайдеры (законные пользователи системы), которые совершают «невинные» ошибки, приводящие к случайному разглашению конфиденциальной информации. Это могут быть такие простые ситуации, как посылка результатов лабораторного исследования по факсу на ошибочный номер или передача медсестрой записей одного пациента вместо другого. 2. Инсайдеры, превышающие свои полномочия по доступу к информации. Просмотр является распространенной проблемой во многих электронных системах хранения информации. В Налоговом управлении всегда существовала проблема любопытных служащих, просматривающих налоговую документацию, к которой они имели доступ. Было бы наивным полагать, что госпитали могут так или иначе избежать этой беды. 3. Инсайдеры, которые осуществляют доступ к информации злоумышленно или с целью наживы. Во время предвыборной кампании Демократической партии в 1992 году к одному моему знакомому патологоанатому из Beth Israel Hospital в Бостоне обратился представитель прессы, желавший получить доступ к медицинским данным кандидата Пола Цонгаса [Paul Tsongas]. Репортер предложил неплохие деньги, и менее этичный врач мог бы легко достать нужный файл, не оставив при этом следов. 4. Физический нарушитель, получивший доступ к информации, не имея на то права. Многие госпитали полагаются на физические меры обеспечения безопасности хранимой в компьютерах информации: терминалы размещаются в специальных помещениях или за стойками, куда должен иметь доступ только допущенный персонал. Но журналист мог просто надеть белый халат, фальшивую табличку с именем и получить доступ к данным Цонгаса без посторонней помощи. 5. Обиженные служащие и внешние нарушители, такие как желающие отомстить пациенты или нарушители, планирующие несанкционированный доступ к информации, повреждение систем или прерывание операций. Работающий в НМО врач рассказал мне о проблеме, с которой столкнулась его группа: один из служащих — они предполагали, кто именно, — проникал в компьютер, на котором хранилось расписание работы врачей, и удалял записи о назначенных визитах пациентов. В регистратуре думали, что данное время свободно и назначали его для других; в результате на прием одновременно являлось два или три пациента. Существует большое количество методик, которые можно использовать для минимизации угрозы несанкционированного доступа. Например, в Beth Israel Hospital файлы некоторых пациентов помечены как VIP. Когда к этим файлам осуществляется доступ (с любой целью), имя осуществившего его сотрудника записывается в журнал; в обязанности специально назначенного человека входит регулярный аудит этих журналов для контроля того, что все попытки доступа законны. — 151 —
|