Monday, April 28, 2008

病人私隱外泄事故化危為機

  醫療機構遺失USB電子儲存媒體而引致病人私隱外泄,事件近日被揭發而備受關注。第一宗在上周五被揭發的,是於今年4月18日在衞生署屯門兒童體能智力測驗中心,一名醫生的USB電子儲存媒體在他離開診症室時未有被收好和鎖門而告遺失,內存六百六十五名病人的資料。

   之後在周五晚上,基督教聯合醫院公開在去年10月一名精神科護士外出工作時也遺失了一隻存有二十六名病人資料的USB電子儲存媒體,至周六晚上,醫院管 理局再證實九龍醫院一名醫護人員在2006年11月亦曾遺失USB電子儲存媒體,內有五名2006年5月前病人紀錄和醫院的一般工作文件,唯該名護士已記 不起檔案涉及的病人,故無法通知受影響人士,三宗事故都已交由警方處理。

制定使用守則

  在電子化和無紙化的 世界中,屢屢發生令人關注的私隱問題,但我們必須明白,即使在紙張式運作過程中,這類問題同樣存在,甚至更嚴重,但無可否認,電子儲存媒體無論是USB記 憶體、光盤甚至整台筆記本電腦,儲存量高,影響也相對嚴重,加上社會進步令公眾對個人私隱更重視,各公私營機構必須改善以電子方法處理個人私隱的系統、標 準、守則、教育和實施。

  首先,在系統方面,醫管局的電子病歷紀錄及臨床管理系統並沒有下載功能,一般而言,醫護人員只可以從系統讀取、 瀏覽或輸入病人資料。然而,個別醫護人員為何因「工作需要」而下載病人資料?只是為求方便,還是因為不同系統啣接需要而變成必要?這是醫管局需要跟進確定 的,必須在正開始開發的第三代臨床管理系統的設計上完全解決這問題。

  在標準和守則方面,醫管局的確已設有程序指引保障病人資料和私隱, 指引限制醫護人員只可以在實際工作需要下,例如為病人提供治療、進行醫學研究或教學時方可從電腦系統直接讀取病人資料。但隨着科技轉變和使用愈來愈方便, 醫管局有必要檢討這些程序指引,令其更全面、一致和切合時宜。

加密電子儲存

  醫管局和院方雖已表示會提醒職 員避免使用無加密的電子儲存媒體用作儲存,但其實更有必要制定指引,明確要求在何環境應用和相關資料性質下必須使用什麼加密技術,而採用的電子儲存媒體必 須由院方中央提供,使用過程和儲存內容尤其是病人資料必須記錄等,醫管局有必要研究和檢討這些守則,引入儲存及使用病人資料的制度和有效監察。

   當然,即使有了最好的守則,但事在人為,培訓和令方便員工跟從守則的措施也非常重要,筆者知道醫管局一向為各職級的員工定期舉辦保障病人資料和私隱的培 訓班,也有做定期電腦保安審查,但恐怕這並不足夠,相關培訓有必要成為前線人員尤其是有責任處理病人資料的人員的必修項目。

強化監管機制

   近日事件曝光後,有批評指「即使醫管局並非存心隱瞞,但事件卻反映當局不重視病人的私隱,忽略病人資料遺失後可引致的影響,因而不呈報」,但筆者相信未 呈報是管理制度未追上應用的問題,並非因為「漠視病人私隱」,筆者會建議醫管局就病人私隱事故引入如早前就醫療失誤事故的通報及公布機制,強化監管和增加 透明度,以加強公眾信心。

  電子醫療病歷在公私營醫療機構分享互通,是香港醫療改革重要核心部分,對病人護理和安全也有利,然而,病人和公眾對系統及運作的信心也至為重要,當局要把這次事故視為合時的警號,化危為機。就以上的關注點和建議,筆者作為醫管局成員,當會盡力跟進。

  公眾也必須明白,公道地說,在公營機構中尤其是在處理大量敏感資料的醫療機構,在事故通報上其透明度其實已經相對地高。在整體社會而言,是否引入法定就個人私隱失泄的通報制度,是已經拖延多時,而必須檢討的香港個人私隱法例諮詢,也一定要討論的。

刊載於《信報財經新聞》2008年4月28日

4 Comments:

At 11:58 PM, Anonymous Danny said...

Dear Mr Mok,

In response to the following news:

醫管局成立病人資料安全及 私隱專責小組

醫院管理局行政總裁蘇利民今日(五月五日)公布,鑑於有數間公立醫院呈報遺失載有病人資料電子儲存器的事件,醫管局已委任一個病人資料 安全及私隱專責小組,研究措施加強系統保安及保障病人資料。

I would like to know:

Why there is no practical IS security (CISSP), auditor (CISA) and risk/crisis management man in this group? Why there is no "Hospital IT experience" man in this group? Are there no such man in Hong Kong?

BR,
Danny
http://dannyha.blog.com

 
At 10:22 AM, Blogger Charles Mok said...

Dear Danny, HA management set up this internal investigation panel and it is certainly my own personal intention, as an IT person, and HA board member, to seek the expert advice of security experts. I have already talked in my personal capacity to a number of them. We will have a panel meeting shortly and the panel will decide on a number of things to do. But personally, be assured that I will involve security experts including CISSPs etc. I am trying to set that up now in fact.

Please email me any particular ideas or comments you will have and much appreciated.

Charles
mok@hknet.com

 
At 10:52 AM, Anonymous Anonymous said...

Have U already responded to Alertboot's remarks? If not, then pls do so ASAP. Quite frankly, it's a disgrace not only to the HK Internet community, but also HK Police! Shame on U.

http://www.alertboot.com/blog/blogs/endpoint_security/archive/2008/05/06/disk-encryption-not-used-to-secure-hong-kong-hospital-data.aspx

 
At 11:08 PM, Blogger Charles Mok said...

Thank you for pointing me to the writing of Mr Sang Lee. I tried to comment/respond on his blog but was unable to do so.

We all know that these data should be encrypted and at the HA task force we will accept the responsibility to review the current procedure and technical measures in place and recommend changes, and please give us any advice you have in mind. We may also procure independent consultants to look at this.

About the comment about HSBC encryption, it is a misquote and it is not fair to speculate based on one newspaper quote. Nobody knows (maybe except HSBC or at most HKMA?) what encryption was used. I did tell SCMP that I believed the encryption at HSBC would be sufficient, but nothing is 100% and encryption is no excuse for losing the whole thing physically. But the quote came out in a different way.

 

Post a Comment

<< Home

-->