Sağlık Uygulamalarında Hasta Verisine Erişim Nasıl Planlanır?

Sağlık uygulamalarında hasta verisine erişim, yalnızca kimin sisteme giriş yapabileceği sorusu değildir. Bir çalışanın hangi hastanın hangi bilgilerini, hangi görev için görebileceği ve yaptığı işlemin nasıl izleneceği de tasarımın parçasıdır. Hasta verileri KVKK kapsamında özel nitelikli kişisel veri olduğundan, erişim kararlarını uygulama geliştikten sonra eklenen bir ayar olarak ele almak risklidir. Kurumunuzda randevu, muayene, laboratuvar ve destek süreçleri farklı yetkiler gerektirebilir. Bu nedenle teknik kontrolleri, çalışanların gerçek iş akışları ve veri işleme ihtiyaçlarıyla birlikte planlamanız gerekir.

01Hasta verisine erişim için iş akışlarını ve rolleri haritalayın

İlk adım, uygulamanın ekranlarından önce verinin kurum içinde nasıl kullanıldığını anlamaktır. Bir hasta kaydını kim oluşturuyor, kim güncelliyor, kim yalnızca belirli bir bölümünü görüntülüyor? Bu soruları görevler üzerinden yanıtlamak, herkese geniş erişim tanımlamak yerine rol bazlı erişim modeli kurmanıza yardımcı olur. Ancak tek başına görev unvanı yeterli olmayabilir: Aynı roldeki iki çalışanın farklı birimlerde ya da farklı hasta gruplarıyla çalışması mümkündür.

Keşif sırasında hasta kaydındaki bilgi türlerini ve işlem türlerini ayrı ayrı listeleyin. Görüntüleme, düzenleme, dışa aktarma ve silme gibi işlemler aynı yetki olarak değerlendirilmemelidir. Ardından her rol için erişimin hangi koşullarda geçerli olduğunu yazılı hâle getirin. Örneğin bir çalışanın yalnızca görev aldığı hastaların kayıtlarını görmesi gerekiyorsa, bu ilişki uygulamada doğrulanabilir bir kurala dönüşmelidir.

• Her rol için gerekli veri alanlarını ve izin verilen işlemleri belirleyin.
• Birim, görev ve hasta ilişkisi gibi erişim koşullarını açıkça tanımlayın.
• Yeni işe başlama, görev değişikliği ve işten ayrılma durumlarında yetkilerin nasıl değişeceğini planlayın.
• İstisnai erişim ihtiyacını, normal yetkilerden ayrı bir süreç olarak değerlendirin.

Ortaya çıkan yetki matrisi, hem geliştirmenin hem de kurum içi onayın dayanağı olabilir. Belirsiz kalan bir rol, kodla çözülmeden önce ilgili iş birimiyle netleştirilmelidir.

02Şifrelemeyi veri akışına göre tasarlayın

Şifreleme kararında başlangıç noktası, verinin nerede bulunduğunu ve hangi sistemler arasında hareket ettiğini gösteren bir veri akış haritasıdır. Hasta bilgisi uygulama ile sunucu arasında aktarılabilir, depolanabilir veya yetkili başka bir sağlık sistemiyle paylaşılabilir. Bu yolların her birinde risk ve işletim ihtiyacı farklıdır. Aktarımda ve depolamada şifreleme planlanırken uygulamanın veriyi hangi aşamada işlemesi gerektiği de değerlendirilmelidir.

Örneğin sağlık uygulaması mevcut bir hastane veya laboratuvar sistemiyle bütünleşiyorsa yalnızca kullanıcı arayüzünü korumak yeterli değildir. Entegrasyonun kullandığı bağlantılar, teknik hesapların yetkileri ve aktarılan veri alanları da incelenmelidir. Bir bağlantının güvenli olması, karşı tarafta gereğinden geniş veri erişimi tanımlanmasını tek başına önlemez.

• Hasta verisinin toplandığı, aktarıldığı, işlendiği ve saklandığı noktaları işaretleyin.
• Aktarım ve depolama için şifreleme gereksinimlerini ayrı değerlendirin.
• Şifreleme anahtarlarına erişimi, anahtarların yenilenmesini ve yönetim sorumluluğunu tanımlayın.
• Entegrasyonlarda hangi veri alanlarının gerçekten gerekli olduğunu doğrulayın.

Bu kararları kurumunuzun veri saklama ve erişim süreçleriyle birlikte gözden geçirin. Teknik tasarım, personelin işi yapabilmesini sağlamalı; aynı zamanda ihtiyaç dışı veri kullanımını sınırlamalıdır.

03Erişim kayıtlarını denetim sorularına yanıt verecek biçimde kurun

Erişim kaydı yalnızca giriş yapıldığı bilgisinden ibaret değildir. Bir olay incelendiğinde kimin, hangi kayıt üzerinde, ne zaman ve hangi işlemi yaptığının anlaşılabilmesi gerekir. Görüntüleme ve değiştirme işlemlerinin ayırt edilmesi, olağan dışı erişimlerin değerlendirilmesini kolaylaştırır. Bu gereksinimler tasarım aşamasında belirlenirse uygulama, olayları sonradan yorumlamayı zorlaştıran eksik kayıtlar üretmez.

Öte yandan kayıt sisteminin kendisi yeni bir veri riski yaratmamalıdır. İşlem kaydına hasta bilgisinin tamamını veya hassas içerikleri kopyalamak yerine, denetim için gerekli olay bilgisini seçin. Kayıtlara kimlerin erişeceğini, kayıtların nerede tutulacağını ve kurumun saklama kurallarına göre nasıl yönetileceğini de tanımlayın. Kayıtların yalnızca biriktirilmesi değil, ilgili kişiler tarafından incelenebilir olması önemlidir.

• Başarılı ve başarısız erişim girişimleri için kaydedilecek olayları belirleyin.
• Hasta kaydı görüntüleme, değiştirme ve dışa aktarma işlemlerini ayrı olaylar olarak ele alın.
• İstisnai yetki kullanımının gerekçesini ve sonradan inceleme adımını tanımlayın.
• Kayıtların bütünlüğünü ve kayıtları görüntüleme yetkilerini değerlendirin.

Somut bir kontrol sorusu şudur: Bir hasta kaydına olağan görev ilişkisi dışında erişildiğinde, kurumunuz bu işlemi kayıtlardan fark edip inceleyebilir mi? Yanıt belirsizse kayıt kapsamı ile inceleme sorumluluğu birlikte yeniden ele alınmalıdır.

04Yetki kurallarını gerçek senaryolarla doğrulayın

Onaylanmış bir yetki matrisi, uygulamada doğru çalıştığı test edilmedikçe yeterli değildir. Test planına yalnızca izin verilen işlemleri değil, reddedilmesi gereken erişimleri de ekleyin. Örneğin bir kullanıcı kendisine atanmış olmayan bir hasta kaydını bağlantı adresini değiştirerek açmayı denediğinde uygulamanın nasıl davrandığı kontrol edilmelidir. Aynı kontrol, arayüzün yanında API ve entegrasyon katmanında da düşünülmelidir.

İş akışları değiştiğinde yetki kurallarının güncel kalması da önemlidir. Yeni bir görev tanımı, farklı bir laboratuvar akışı veya başka bir sistemle entegrasyon, daha önce geçerli olan erişim varsayımlarını değiştirebilir. Bu yüzden iş birimleri, BT ekibi ve veri koruma süreçlerinden sorumlu kişiler değişiklikleri birlikte değerlendirmelidir.

1. Her rol için izin verilen ve reddedilmesi gereken örnek işlemleri yazın.
2. Görev değişikliği sonrasında eski yetkilerin devam edip etmediğini test edin.
3. Entegrasyon hesaplarının yalnızca ihtiyaç duydukları verilere ulaşabildiğini doğrulayın.
4. Şifreleme, erişim kaydı ve yetkilendirme bulgularını devreye alma öncesinde birlikte inceleyin.

Canlıya geçişten sonra da rollerin ve kayıtların belirli aralıklarla gözden geçirilmesi için kurum içi sorumluluk belirleyin. Amaç, tasarımda verilen kararların günlük kullanımda geçerliliğini koruyup korumadığını görebilmektir.

05Sık sorulan sorular

Rol bazlı erişim tek başına hasta verisini korumak için yeterli mi?

Hayır. Roller, kimin hangi işlemi yapabileceğini tanımlar; ancak aktarım ve depolama sırasında şifreleme, erişim kayıtları ve yetki değişikliklerinin yönetimi de planlanmalıdır. Kontrollerin kapsamı, kurumunuzun iş akışlarına ve işlediği verilere göre değerlendirilmelidir.

Hasta kaydına acil erişim gerektiğinde ne yapılmalı?

Olağan rolün dışında erişim gerektiren durumlar önceden tanımlanmalıdır. Böyle bir süreçte erişimin hangi koşulda verileceği, kimin kullanabileceği, gerekçenin nasıl kaydedileceği ve işlemin sonradan kim tarafından inceleneceği açık olmalıdır. İstisnai erişim, kalıcı geniş yetkinin yerine geçmemelidir.

Erişim kayıtlarında hasta verisinin tamamı tutulmalı mı?

Denetim için gerekli işlem bilgisi ile hastanın sağlık içeriği aynı şey değildir. Kayıtların olay incelemesini mümkün kılması gerekir; ancak gereksiz hassas verinin kayıtlara kopyalanması ayrıca değerlendirilmesi gereken bir risktir. Kayıt kapsamını ilgili iş birimleri ve veri koruma sorumlularıyla belirleyin.

06Sonuç: Teknik kararları kurumun çalışma biçimiyle eşleştirin

Sağlık uygulamalarında hasta verisine erişimi planlamak; rolleri tanımlamayı, veri akışına uygun şifreleme kararları vermeyi, işlemleri izlenebilir kılmayı ve bu kararları test etmeyi gerektirir. KVKK kapsamındaki özel nitelikli veriler için yalnızca bir güvenlik özelliği seçmek yerine, özelliğin kurumunuzdaki gerçek görevlere ve süreçlere nasıl uyduğunu değerlendirin. Mevcut erişim modelinizi ve teknik kontrollerinizi gözden geçirmek için OPEIS Teknoloji’nin Siber Güvenlik hizmetini inceleyebilirsiniz.