Sağlık verisi KVKK’da özel nitelikli veridir ve sızıntının sonucu ağırdır. Hastanelerde en riskli veri kanallarını, paylaşımlı cihaz sorununu ve DLP uygulama planını anlatıyoruz.
Önemli Çıkarım
Hastanede veri sızıntısı çoğu zaman bir saldırıdan değil, günlük iş akışından doğar: USB ile taşınan tetkik sonucu, kişisel e-postaya gönderilen epikriz, mesajlaşma uygulamasında paylaşılan görüntü. DLP bu akışları durdurmadan görünür ve güvenli hâle getirmelidir.
- Sağlık verisi KVKK m.6 kapsamında özel nitelikli kişisel veridir. Daha sıkı tedbir gerekir.
- En riskli kanallar: USB, kişisel e-posta, mesajlaşma uygulamaları, yazıcı ve yapay zeka araçları.
- Paylaşımlı cihazlar (hemşire istasyonu, poliklinik bilgisayarı) kullanıcı bazlı kayıt ister.
- Engellemeyi klinik iş akışını bozmadan uygulayın. Acil durum istisnası tanımlayın.
Sağlık verisi neden farklı?
KVKK sağlık verisini özel nitelikli kişisel veri olarak sayar. Bu veri daha sıkı işleme şartlarına ve güvenlik tedbirlerine tabidir. Sağlık verisi ayrıca kalıcıdır: bir parola değiştirilebilir, ama bir tanı değiştirilemez. Bu yüzden sızıntının kişi üzerindeki etkisi uzun sürer.
Hastanelerde en riskli 6 veri kanalı
| Kanal | Tipik senaryo | Önerilen kontrol |
|---|---|---|
| USB ve harici disk | Tetkik görüntüsünün başka kuruma elden taşınması | Yalnızca şifreli ve kayıtlı USB’ye izin |
| Kişisel e-posta | Epikrizin evden çalışmak için kişisel adrese gönderilmesi | Hasta verisi içeren eki engelle veya uyar |
| Mesajlaşma uygulamaları | Görüntünün masaüstü mesajlaşma uygulamasıyla paylaşılması | Dosya yüklemeyi kaydet ve kısıtla |
| Yazıcı | Toplu hasta listesinin yazdırılması | Toplu yazdırmayı kaydet ve eşik koy |
| Yapay zeka araçları | Rapor özetini hazırlamak için hasta notunun yapıştırılması | İstem kutusunda hasta verisini engelle |
| Paylaşımlı cihazlar | Aynı bilgisayarda birden fazla personelin oturum açması | Kullanıcı bazlı kayıt ve oturum kontrolü |
Hangi veri tiplerini tanımlamalısınız?
- TC kimlik numarası ve protokol numarası
- Tanı kodları (ICD-10) ve ilaç bilgisi
- Laboratuvar ve radyoloji sonuçları
- Epikriz ve hasta notları
- Sigorta ve fatura bilgileri
Klinik iş akışını bozmadan DLP
Sağlıkta en büyük risk, güvenlik kontrolünün hasta bakımını yavaşlatmasıdır. Bu nedenle politikaları önce izleme modunda çalıştırın. Hangi birimin hangi kanalı neden kullandığını öğrenin. Engellemeyi yalnızca açıkça riskli kanallara uygulayın ve acil durumlar için kayıtlı bir istisna yolu bırakın.
90 günlük plan
- 0–30 gün: Keşif. Dosya sunucularında ve uç noktalarda hasta verisinin nerede olduğunu bulun.
- 31–60 gün: İzleme. USB, e-posta, mesajlaşma ve yapay zeka kanallarında kayıt modunu açın. Birim bazında raporlayın.
- 61–90 gün: Kontrol. En riskli kanallarda engellemeye geçin. İstisna ve olay müdahale sürecini yazılı hâle getirin.
Moftgate sağlık kurumlarında nasıl çalışır?
Moftgate kurum içinde kurulabilir. Hasta verisi ve kayıtlar kendi sunucularınızda kalır. Aynı ajan DSPM ile hasta verisini keşfeder, DLP ile USB, e-posta, bulut ve yapay zeka kanallarını denetler. Ajan hafiftir; eski donanımlı klinik bilgisayarlarında da çalışır.
Stratejik Çıkarım
Sağlıkta DLP’nin amacı hekimi durdurmak değil, hasta verisinin nereye gittiğini bilmektir. Önce görün, sonra en riskli kanalı kapatın.
Moftgate DLP, cihaz yönetimi ve veri güvenliği modüllerini geliştiren ve kurum kurulumlarını yöneten ürün mimarları ve saha mühendisleri.
Uygulayıcılar İçin Uzman Yanıtları
Sağlık verisi KVKK’da neden özel?
KVKK sağlık verisini özel nitelikli kişisel veri olarak sayar. Bu veri daha sıkı işleme şartlarına ve güvenlik tedbirlerine tabidir.
Hastanede DLP hasta bakımını yavaşlatır mı?
İzleme modu ile başlanır ve engelleme yalnızca riskli kanallara uygulanırsa etki düşük kalır. Acil durum istisnası tanımlanmalıdır.
Paylaşımlı bilgisayarlarda kim ne yaptı nasıl bilinir?
DLP kayıtları cihaz yerine kullanıcı oturumuna bağlanmalıdır. Böylece aynı bilgisayardaki farklı personelin hareketleri ayrılır.
Hasta verisini yapay zeka araçlarına göndermek yasak mı?
Kurum politikasına ve hukuki değerlendirmeye bağlıdır. Genel kural olarak onaylı olmayan araçlara hasta verisi gönderilmemelidir.
Resmi Standartlar ve Kaynakça
- •6698 sayılı Kişisel Verilerin Korunması Kanunu (m.6 özel nitelikli veri, m.12 veri güvenliği) ↗(Sağlık verisi özel nitelikli kişisel veridir.)
- •HHS: HIPAA Security Rule ↗(ABD sağlık verisi güvenlik kuralları. Uluslararası hasta ve iş ortakları için referans.)
- •T.C. Sağlık Bakanlığı ↗(Sağlık bilgi sistemleri ve bilgi güvenliği düzenlemeleri.)
- •NIST SP 800-53 Rev. 5: Security and Privacy Controls ↗(Erişim ve veri akışı kontrolleri için referans katalog.)