Elektronische medische dossiers: hier staat het op het spel

Voor degenen die zich hebben aangemeld voor gezondheidszorg volgens de federale of staatsplannen die eind 2013 werden uitgerold, hoop ik dat uw ervaring beter was dan de mijne. Woonachtig in Minnesota, schreef ik me in bij MNsure, het staatsprogramma. Het proces duurde zes uur.

Helaas zijn slecht functionerende websites niet het enige digitale probleem bij de inschrijving van een zorgplan. Na het uitvoeren van audits van federale en staatssites, verklaren overheidsinstanties en onafhankelijke organisaties dat velen - waaronder healthcare.gov en MNsure.org - slecht scoren als het gaat om het beschermen van gevoelige medische informatie.

Een artikel dat bijvoorbeeld op 24 januari in The Weekly Standard verscheen, rapporteerde over een enorme beveiligingsstoring op de federale website HealthCare.gov. Volgens TrustedSec CEO David Kennedy, die in het stuk wordt geciteerd, stelt de registratiewebsite aanvallers in staat om binnen de HealthCare.gov-website functionele en mogelijk kwaadaardige webpagina's te maken. (over de uitrol - en de uitval - in Waarom de eerste uitrol van HealthCare.gov crashte, een architectonische beoordeling.)

Rond de tijd dat de federale HealthCare.gov werd uitgerold, werd een groot beveiligingslek van persoonlijke financiële gegevens van Target gemeld. Er wordt aangenomen dat tot 40 miljoen credit- en debetkaarten mogelijk zijn beïnvloed.

Ik heb eerder gezegd dat ik uit Minnesota kom, de thuisbasis van Target's hoofdkantoor en een website voor het inschrijven van gezondheidszorg in de staat die minder dan fantastisch is als het gaat om het beveiligen van de persoonlijke gegevens van leden. Het is moeilijk om je niet af te vragen of er een patroon ontstaat. Vooral wanneer MinnPost, een lokale online nieuwsdienst, een verhaal vertelt over het gebrek aan beveiliging rond de gegevens van de staatsapotheek. Immers, als Target de financiële gegevens niet kan beschermen, waarom denken we dan dat ze gezondheidsgegevens buiten gevaar kunnen houden?

Slechte jongens willen elektronische medische dossiers

Voor criminelen zijn elektronische medische dossiers (EPD), inclusief medische identificatiegegevens, een schat aan bruikbare informatie. Het artikel in MinnPost raakt één reden waarom:

"o de zogenaamde 'medische identiteitsdiefstal' is een groeiende zorg in het hele land, omdat dieven toegang kunnen krijgen tot het gezondheidsplannummer van de patiënt, de geschiedenis van het voorschrift en andere persoonlijke informatie, die kan worden gebruikt om zorgverleners te bedriegen."

Het MinnPost-artikel citeert vervolgens een expert van Gartner, die zegt dat diefstal van medische identiteit vooral lastig is omdat het jaren kan duren om het te ontdekken. Als criminelen in die tijd succesvol zijn in het doen van frauduleuze claims, zal het arme slachtoffer hoogstwaarschijnlijk premium stijgingen ontvangen en geen idee hebben waarom; of erger nog, neem aan dat de verzekeringsmaatschappij doet wat ze normaal doet - gewoon de tarieven verhogen.

De sterke toename van de interesse van EHR door slechteriken ging niet verloren bij Symantec Corporation. Een paar maanden geleden publiceerde het bedrijf een whitepaper waarin "de uitdagingen en vereisten voor het beschermen van vertrouwelijke patiëntgegevens online, het risico van inbreuken op de beveiliging in de wereld van EPD en de maatregelen die organisaties in de gezondheidszorg moeten nemen om nakoming."

Het artikel begint met een overzicht van EPD, waarin wordt uitgelegd dat de belangrijkste voordelen zijn dat patiëntengegevens snel, nauwkeurig en gemakkelijk kunnen worden gedeeld met zorgverleners overal in de Verenigde Staten. Meer specifiek helpen EPD's:

• Record continuïteit van provider naar provider
• Verminder fouten in recepten
• Bied realtime tracking en waarschuwingen voor effectievere, efficiëntere patiëntenzorg

Vervolgens onderzocht Symantec welke interne processen de privacy van de patiënt en de beveiliging van patiëntinformatie waarborgen.

Patiëntgegevens in rust en onderweg beveiligen

Toen de Symantec-paper begon te praten over het beveiligen van patiëntgegevens, gingen de auteurs ervan uit dat zorgorganisaties over adequate beveiligingsoplossingen voor opgeslagen patiëntendossiers beschikken. Wat betreft de patiëntgegevens die onderweg zijn, biedt Symantec een eigen oplossing,

"Om vertrouwelijke patiëntgegevens te beschermen tegen ongeautoriseerde toegang, hebben organisaties in de gezondheidszorg een systematische benadering nodig van beveiliging gedurende de gehele online transactie, waardoor bedreigingen op meerdere niveaus worden beperkt."

Patiëntenprivacy

Als het gaat om het handhaven van de privacy van patiënten, legt Symantec uit dat principes van de Health Insurance Portability and Accountability Act (HIPAA) prominent aanwezig zijn in alle EHR-doctrine. Staatsoverheden hebben ook hun eigen statuten toegevoegd, die de neiging hebben om zich te concentreren op individuele privacy, zware boetes opleggen als aanbieders patiënteninformatie onjuist behandelen of patiënten traag informeren over een datalek.

Het artikel gaat er ook vanuit dat "veel consumenten waarschijnlijk geneigd zouden zijn te zeggen dat de beveiliging van hun financiële gegevens van groter belang is dan de privacy van hun medische gegevens."

Kan zijn. Maar wat is echt erger?

Datalekken zoals Target-shoppers hebben er immers last van, maar de schade kan worden hersteld. Het is moeilijk om hetzelfde te zeggen voor een datalek met als gevolg diefstal van patiëntendossiers in de gezondheidszorg.

Volgens Symantec: "Als vertrouwelijke informatie eenmaal op internet is gemorst, kan deze niet meer in de fles worden gestopt. Vrienden, collega's, familieleden en potentiële werkgevers weten misschien altijd wat een privékwestie was tussen u en uw arts die leidt tot schaamte, discriminatie op het werk en andere ernstige gevolgen. "

In tegenstelling tot financiële datalekken kan geen enkel bedrag de schade herstellen.

Nog een laatste overweging

Het is belangrijk om te begrijpen dat zorgverleners, om te voldoen aan HIPAA, een audittrail moeten bijhouden van wie toegang heeft gehad tot welke records, welke wijzigingen zijn aangebracht en wanneer. Dus als er iets niet klopt, kunnen patiënten antwoorden op EHR-gerelateerde vragen verwachten. Dat is een goed ding. Helaas kan de schade tegen die tijd al zijn aangericht.