Teknik og jura spænder ben for nyt nationalt patientregister

Der er ingen juridiske problemer i at lade patienter se data om dem selv, men før lægerne kan få lov til at læse med, er der brug for ’yderligere juridisk afklaring’, oplyser Digital Sundhed, som har været i dialog med Datatilsynet.

Det nationale patientindeks er mere af de samme fejl vi hele tiden har set - bare smid det hele online og fjern al sikkerhed.

Så mangler man bare lige at tvinge Datatilsynet til at blåstemple modellen og vi er kørende.

Det triste er at vi aldrig bruger investeringerne til at lave holdbare løsninger - det bliver til lap på lap på lap af noget som allerede er forældet.

Ditlev

Jeg ved ikke om du opfatter det ovenstående som et argument for de fejl men begår eller som et råb om hjælp. Hvis det er førstnævnte, så narrer du dig selv. Du argumenterer fra en centralistisk systemtilgang men kommer ikke ind til problemets kerne.

For det første begår du den grove fejl at sætte lighedstegn mellem hvad "man" kan centralt i systemet og hvad "hvem" kan, dvs. du mener selv at skulle kunne det samme som lægen kan - det er nonsens. Systemadministrator er en bagdør som skal designes ud - han kan lave backup af krypterede data, men ikke kende indhold eller hvem data vedrører.

Du må ikke centralt kunne blot tilnærmelsesvis det samme som lægen. Kun en specifik behandler-relation kan berettige adgang til personhenførbare EPJ-data, det er lovens klare budskab selvom forvaltningen har gjort mange forsøg på at tilrane sig ikke-legitim adgang med "løgnagtige" påstande om hvad "man kan".

Selvfølgelig nytter det ikke at holde fast på principper som ikke kan håndteres - men vi kan sagtens håndtere problemerne hvis man blot begyndte at agere demokratisk. Sikkerhedsmæssigt har vi alle de værktøjer vi skal bruge - resten er vilje til at overvinde særinteressernes skævvridning.

For at tage det bagfra - akut/nødsituationen er vigtig. Men Det bør ske ved at borgeren selv fysisk bærer en nøgle til override og endda for kritiske sygdomme data til off-line brug. Her er en andengenerations RFID perfekt - den tekniske sikkerhed kan håndteres. Omkring risikoen for at man kan "miste" RFIDen, så vil jeg ikke advokere for implementering selvom nogle vil. Min preferred er som en "dogtag" eller et smykke man altid bærer - formålet er IKKE at identificere i dagligt brug (det er en RFID ikke stærkt nok til fordi der ikke er et brugerinterface), men KUN til nødstilfælde.

Du begår endvidere den klassiske fejl at tro at "mainframen passes bedre" og forveksler det med sikkerhed. Problemet er - som du selv påpeger - at verden ikke er et mainframe system. For at få fordelene af digitalisering en meget mere åben struktur. Mainframen er blot en database server som ikke er mere sikker end den eksterne nøglehåndtering. Bagdøre på mainframen er en åben invitation til misbrug.

Faktum er at man ikke i et centralt system KAN rumme modeleringen af verden rent sikkerhedsmæssigt og netop derfor ikke bør ligge magten i en primitiv adgangskontrol. Denne adgangskontrol degenerer af bl.a. administrative årsager til "overvågning", "logning" og "rolle-baseret adgangskontrol" som substitut for sikkerhed.

I praksis må du foretage det afgørende skift - serveren MÅ ikke kunne tilgå identificerbare data. Serveren kan checke formålsspecifikke credentials med henblik på adgangsbegrænsning og evt. betinget identifikation (dvs. mulig efterfølende ansvarliggørelse), men hvis adgangskontrollen KAN give tilgang til usikrede data, så kan både kriminelle og dem som styrer systemet gå udenom sikkerheden og blotlægge data.

I stedet skal patienten have kontrollen med data klient-side. Men kunne finegrained delegere en nøgle til netop dem som har behandler-relationer - og evt. kortvarigt under indlæggelse til en mere dynamisk håndtering på en hospitalsafdeling hvor udskiftningen er stor.

Det er klart at denne specifikke sikkerhed er begrænset af vores evne til at gøre det brugervenligt og forståeligt, dvs. nøglehåndteringen er den kritiske faktor BÅDE for at sikre mainframen og for at sikre patienten.

Du skriver så

For praktiserende læger kan adgangen sikres ved, at de ikke får lov at læse data, med mindre de samtidig har adgang til patientens digitale signatur. Altså at patienten har givet tilsagn. Det kræver, at ALLE har en digital signatur, i praksis et borgerkort af en slags. Og at patienten har det med.

Nej - INGEN må kunne se personhenførbare data medmindre de eksplicit har nøgler til at få adgang. Det andet kan ikke sirkes i en digitalt integreret verden. Det løb er kørt.

Formålet med et Borgerkort er IKKE at identificere af hensyn til en ikke-eksisterende serversikkerhed, men en væsentligt mere fine-grained nøglestyring og nøglehåndtering.

Borgerne selv kan bruge sin digitale signatur, og kunne derfor i princippet se alt om sig selv. Utvivlsomt også alt om sine børn! Det var måske ikke lige meningen, men hvordan skal man styre dette, uanset valgt teknologi? Her er det største problem, at man mange steder begrænser adgangen til meget nye registreringer, da "man" er lidt ked af, at borgerne kan se data, der ikke er forberedt til dette. Lidt pudsigt, da borgere har haft adgang til egen journal i årevis som papir, dog med en mulighed for begrænset "censur".

Sundhedssektoren i en nøddeskal - alle andre end patienten skal kunne se data om patienten. En rigtig fabriks- og regime mentalitet.

Vi har etiske begrænsninger såsom aldrig at præsentere en patient om terminale sygdomme uden der er en læge til stede. Men det er ikke din pointe.

Så er der sygehusene. De vil oftest få en henvisning, lang tid før patienten dukker op. De vil have brug for at kunne se nogle data, uden at patienten møder op med sin digitale signatur og giver dem adgang. Det skal altså skrues sammen på en anden måde.

Med henvisningen laves en specifik delegering.
Sygehus er en meget mere kompleks størrelse end de fleste har forholdt sig til - men det sidste man skal gøre er at forsøge at håndtere den dynamiske kompleksitet i en mainframe.

Og mange forskellige personalegrupper vil skulle have adgang til patientens oplysninger. Man kan ikke i praksis lave ret mange begrænsninger på typen af tilgængelige oplysninger, da der jo kan stå alt muligt i en journaltekst .. Perfekt bliver det aldrig.

Den gruppe må ganske enkelt ikke have adgang til personhenførbare data. Man skal selvfølgelig lave løsninger hvor dele af data gøre tilgængelige på gruppe-bases som f.eks. Rollebaseret adgangskontol - men selvfølgelig kun til IKKE-personhenførbare data. Behandler-relationen er den eneste valida adgang.

Jeg vil trække EPJ sikkerhed helt derud hvor det ikke er teknisk muligt at slå en given borgers læge op noget sted for at undgå targeting. Hvis du har brug for den viden, så har du den allerede.

I sidste ende må man hente den via den konkrete patientsnøglebackup som formentlig dels vil indebære en varm backup (mindst 2 opdaterede nøgleenheder) og en kold backup (f.eks. en deponering baseret på key-split blandt personlige relationer inkl. spouse).

Ditlev

Beklager - jeg ved at mine kommentarer er lidt hårde, men du argumetnere ud fra en forældet mainframe-tilgang som ganske enkelt ikke er holdbar i den verden vi hastigt er på vej ind i. Der er ingen central sikkerhed - slet ikke med cloud eller ambient devices. Sikkerheden er enten designet ind i bunden og alle fysiske entiteter virtualiseret overfor den digitale online verden - eller kontrollen og magtmisbruget er overført til nogen som ikke kan håndtere den.

Ingen bagdøre - kun åbne og verificerbare frontdøre.

Ditlev

Det er formentlig den tyndeste undskyldning for at ødelægge it-sikkerheden, jeg endnu er stødt på.
"Jeg skal kunne rette i data".

Der er intet væsentligt som man ikke vil kunne gøre i en Security By Design verden. I sidste ende kan patient eller læge altid delegere en - midlertidig finegrained - adgang, hvis der er behov herfor.

Men en række funktioner skal af helt naturlige årsager skifte og placeres anderledes - det er en naturlig del af innovation. Bedre betyder anderledes. F.eks. skal og vl en masse funktioner flytte helt ud til borgeren selv som den eneste der kan og har motiv til at varetage eget helbred og egne rettigheder. Men selvfølgelig med rådgivere.

Hvad vi reelt ser - også lige præcis her - er modstand mod forandring. Frygten for det anderledes får alle til at holde på sit.

Problemet er "den lille egoist" som virker på alle niveauer. Alle fokuserer på deres egeninteresse - mens hensynet til patienten og samfundet bliver sekundært.

Og i den process taber vi hele digitaliseringen på gulvet - fordi vi ligger magten forkert. Magten ligger i systemet eller hos den kommercielle udbyder i stedet for hos mennesket. Og det sker på bekostning af effektiviteten over tid, innovationen og navnlig it-sikkerheden.