Šta je audit log i zašto ga traže i inspekcija i pacijent

Pacijent nazove i pita: „Ko je iz vaše ordinacije gledao moj karton prošle sedmice?“ Pitanje je legitimno po svim zakonima o zaštiti podataka u regionu, a odgovor „ne znamo“ nije prihvatljiv ni pacijentu ni nadzornom organu. Audit log, ili evidencija pristupa, postoji da bi taj odgovor uvijek postojao.

Šta se bilježi

Svaka radnja nad podacima pacijenta: otvaranje kartona, pregled nalaza, izmjena, brisanje, štampa, izvoz, dijeljenje kroz portal. Uz svaku radnju: ko, kada, sa koje adrese i šta tačno. I radnje nad sistemom: prijava, neuspjela prijava, promjena dozvola, storno računa. Zapis se ne može mijenjati ni brisati, ni od strane administratora ustanove.

Zašto zakon to traži

GDPR, Zakon o zaštiti ličnih podataka BiH i Zakon o zaštiti podataka o ličnosti Srbije, kao i odgovarajući propisi drugih zemalja regiona, traže da rukovalac, a to je ustanova, obezbijedi da podacima pristupaju samo ovlaštene osobe i da to može dokazati. Dokaz je evidencija. Bez nje ustanova ne može odgovoriti ni pacijentu ni inspekciji, a ne može ni sama otkriti zloupotrebu iznutra, koja je u zdravstvu češća od napada spolja.

Kad evidencija ne vrijedi ništa

Evidencija pokazuje korisnički nalog, ne osobu. Ako cijela recepcija radi pod jednim nalogom, ili se smjene ne odjavljuju, zapis kaže „recepcija“ i time je bezvrijedan. Tri stvari to rješavaju:

• svaki zaposleni ima svoj nalog, bez izuzetka
• na dijeljenom računaru sistem traži potvrdu identiteta pri povratku i automatski odjavljuje poslije neaktivnosti
• dvofaktorska prijava za privilegovane uloge, da tuđa lozinka ne znači tuđi identitet

Ko smije da čita evidenciju

Ne svi. Pristup evidenciji je posebna dozvola, obično za upravu i lice zaduženo za zaštitu podataka. I samo čitanje evidencije se bilježi. Ljekar ne treba da vidi ko je gledao tuđe kartone, ali uprava mora moći da provjeri ko je gledao karton poznate ličnosti ili bivšeg zaposlenog.

Kako se koristi u praksi

Zahtjev pacijenta. Filter po pacijentu i periodu daje spisak pristupa; izvoz ide pacijentu ili nadzornom organu.

Sumnja na zloupotrebu. Filter po korisniku pokazuje obrazac: pristupi kartonima bez termina, van radnog vremena, sa nepoznate adrese.

Inspekcija. Izvoz za period u tabeli, uz spisak uloga i dozvola, pokazuje da ustanova kontroliše pristup.

Interna greška. Ko je izbrisao termin ili stornirao račun, i kada. Češće se traži zbog unutrašnjih nesporazuma nego zbog zakona.

Šta tražiti od softvera

• bilježi li svaki pristup kartonu, ne samo izmjene
• može li se zapis mijenjati ili brisati (odgovor mora biti ne)
• filtrira li se po pacijentu, korisniku, radnji i periodu
• izvozi li se u tabelu za nadzorni organ
• ko smije čitati evidenciju i bilježi li se i to
• kako sistem obezbjeđuje da je iza naloga stvarna osoba

Kako je evidencija pristupa riješena u sistemu, zajedno sa ulogama, dvofaktorskom prijavom i potvrdom identiteta na dijeljenom računaru, piše na stranici Sigurnost i GDPR.