Все под контролем: Кто и как следит за тобой

госпитали могут так или иначе избежать этой беды.

3. Инсайдеры, которые осуществляют доступ к информации злоумышленно или с целью наживы. Во время предвыборной кампании Демократической партии в 1992 году к одному моему знакомому патологоанатому из Beth Israel Hospital в Бостоне обратился представитель прессы, желавший получить доступ к медицинским данным кандидата Пола Цонгаса [Paul Tsongas]. Репортер предложил неплохие деньги, и менее этичный врач мог бы легко достать нужный файл, не оставив при этом следов.

4. Физический нарушитель, получивший доступ к информации, не имея на то права. Многие госпитали полагаются на физические меры обеспечения безопасности хранимой в компьютерах информации: терминалы размещаются в специальных помещениях или за стойками, куда должен иметь доступ только допущенный персонал. Но журналист мог просто надеть белый халат, фальшивую табличку с именем и получить доступ к данным Цонгаса без посторонней помощи.

5. Обиженные служащие и внешние нарушители, такие как желающие отомстить пациенты или нарушители, планирующие несанкционированный доступ к информации, повреждение систем или прерывание операций. Работающий в НМО врач рассказал мне о проблеме, с которой столкнулась его группа: один из служащих – они предполагали, кто именно, – проникал в компьютер, на котором хранилось расписание работы врачей, и удалял записи о назначенных визитах пациентов. В регистратуре думали, что данное время свободно и назначали его для других; в результате на прием одновременно являлось два или три пациента.

Существует большое количество методик, которые можно использовать для минимизации угрозы несанкционированного доступа. Например, в Beth Israel Hospital файлы некоторых пациентов помечены как VIP. Когда к этим файлам осуществляется доступ (с любой целью), имя осуществившего его сотрудника записывается в журнал; в обязанности специально назначенного человека входит регулярный аудит этих журналов для контроля того, что все попытки доступа законны.

Кто же должен быть отнесен к категории VIP? В настоящее время госпиталь помечает файлы как VIP, если имеются достаточные основания полагать, что сотрудники госпиталя могут интересоваться информацией о данном человеке. Известные люди и политики являются первыми кандидатами на это.

Но служащие госпиталя и члены их семей также получают данный статус, чтобы сократить число обращений к информации со стороны любопытных (или имеющих самые добрые намерения) коллег. В идеале все, кто хочет получить VIР-статус, должны получать его. Но на практике Beth Israel Hospital не уведомляет пациентов, что они имеют на это право.

Некоторые компьютерные специалисты видят простое решение проблемы компьютеризованных историй болезни в использовании криптографических методов. Выдайте каждому копию его истории болезни, помещенную на смарт-карту. Для защиты от хищения карты сохраните копию медицинских записей где-нибудь еще и зашифруйте ее, чтобы исключить несанкционированный доступ.

Но врачей беспокоит такой технократический подход к решению проблемы с использованием криптографии. Они опасаются, что в экстренных случаях может оказаться невозможным расшифровать или даже найти медицинские записи человека. Большинство людей, аргументируют они, не желают умирать за свое право на приватность.

Другие угрозы

Компьютеризация подвергает приватность и другим рискам, которые только сейчас становятся очевидными. Вспомним услугу по расшифровке диктофонных записей в Индии. Что, если служащий индийской фирмы узнает имя пациента, чью запись он расшифровывает и решит продать эту информацию какой-нибудь бульварной газете в Америке? Даже если предположить, что расследование утечки информации выведет на этого служащего, трудно представить, какое адекватное наказание он может понести.

Но компьютеризация также дает возможность обеспечить пациентам повышенный уровень конфиденциальности. Служащий в Индии не нуждается в имени пациента, чью запись он расшифровывает, – вполне хватит цифрового кода. При этом, вместо того чтобы использовать в качестве кода номер социального страхования, надо брать случайное число, время, в которое пациент был на приеме, или другой код, сгенерированный госпиталем, пославшим аудиозапись на расшифровку. Обрабатываемая запись будет, по существу, анонимной, по крайней мере с точки зрения сотрудника в Индии.

Возможно, способность компьютеров обезличивать и скрывать информацию является причиной, по которой чуть больше половины (53 %) главных администраторов госпиталей считают, что компьютеры действительно обеспечат пациентам большую конфиденциальность. Среди руководителей страховых компаний этот процент больше – 61, по сравнению с 35 %, считающими, что компьютеры нарушают конфиденциальность.

В чем причина различия взглядов администраторов и врачей? Возможно, она кроется в том, что администраторы знают возможности информационных технологий, а врачи видят реальное положение вещей. Врачи также знают, что любая технология, затрудняющая доступ персонала госпиталя к медицинской информации, может стоить жизни пациенту. Даже простые обезличивающие коды повышают риск того, что записи двух пациентов могут случайно перепутаться, и это может повлечь тяжкие последствия. Хотели бы вы, чтобы вам оказывали помощь в палате интенсивной терапии, где компьютеры требуют от персонала введения имени и пароля для получения доступа к анализам?

Когда в медицинском центре Вашингтонского университета была внедрена компьютерная система доступа к медицинским данным, каждому врачу и медсестре были выданы имя и пароль. Система была спроектирована таким образом, чтобы каждое обращение персонала к информации протоколировалось в журналах. В системе даже был предусмотрен таймер неактивности, т. е., если кто-то покидал терминал, с которого он вошел в систему, через некоторое время таймер автоматически отключался. Проведенный месяц спустя анализ журналов показал, что единственным человеком, входящим в систему из одной палаты, был старший ординатор. Осмотр терминала показал, что имя и пароль этого врача были написаны на листочке и приклеены к терминалу, поэтому любой находившийся поблизости врач или медсестра могли при необходимости войти в систему под его именем.

Сегодня мы можем представить гораздо более простое и элегантное решение проблемы учета доступа к медицинской информации в учреждениях, вроде этого медицинского центра. Во-первых, обеспечить установку терминалов в защищенных местах, чтобы только авторизованный персонал мог получить доступ к записям пациентов. После чего установить над каждым терминалом небольшую видеокамеру, чтобы записывалось изображение человека, осуществившего доступ. Создание таких систем видеозаписи вполне возможно уже сегодня.

Переосмысление медицинского обслуживания и медицинского страхования

Большинство американцев считают записи в своих медицинских картах одной из самых критичных составляющих персональной информации. Но для медицинских объединений и страховых компаний медицинская документация всего лишь партитура для сложной игры в «музыкальные стулья».[p37] Страховая компания знает, что, если она будет ждать слишком долго, велик шанс того, что данный пациент будет перехвачен другой страховой компанией по причине того, что он или его компания изменили предпочтения, или он потерял работу, или потому, что достиг 65-летнего возраста и теперь попадает под программу Medicare – американскую социальную программу медицинского страхования для пожилых людей. Страховые компании с высокой текучестью клиентов не заинтересованы продвигать профилактическое медицинское обслуживание и закрывают глаза на ранние дешевые в лечении стадии многих заболеваний, надеясь, что когда болезни начнут прогрессировать, пациент уже будет вне их