NHS kan nakli servisi çağrı cihazı veri ihlalini kabul etti

İngiltere Ulusal Sağlık Hizmeti'ne (NHS) bağlı NHS Blood and Transplant (NHSBT), ülke genelindeki nakil hastalarının hassas tıbbi verilerinin şifrelenmemiş bir çağrı cihazı ağı üzerinden gönderildiğini kabul etti. BBC'nin araştırması, NHSBT'nin hastane nakil ekiplerine gönderdiği mesajlarda hastaların adları, doğum tarihleri ve nakledilecek veya ihtiyaç duyulan organ türlerinin yer aldığını ortaya çıkardı.

2019'da dönemin Sağlık Bakanı Matt Hancock, İngiltere'deki NHS'in 2021'e kadar çağrı cihazlarını kullanmayı bırakması gerektiğini açıklamıştı. Ancak bazı birimler bu cihazları kullanmaya devam etti. NHSBT, veri ihlalini Bilgi Komiserliği Ofisi'ne (ICO) bildirdiğini ve artık hasta verilerini bu şekilde göndermeyi durdurduğunu açıkladı.

Çağrı cihazları hâlâ kullanılıyor

1980'lerde ve 1990'larda popüler olan çağrı cihazları, kısa metin mesajları, aranacak numaralar veya uyarılar alabilen küçük, pille çalışan radyo alıcılarıdır. Tek yönlü iletişim sistemi olan bu cihazlar, yalnızca mesaj alabiliyor. Bu nedenle cep telefonlarının yaygınlaşmasıyla birlikte halkın kullanımından büyük ölçüde çıktılar. Ancak düşük frekansta çalışarak binalara, asansörlere ve özellikle kalın duvarlı hastanelere nüfuz edebildikleri ve uzun pil ömürleri olduğu için bazı sağlık kuruluşlarında hâlâ tercih ediliyorlar.

NHSBT'nin bünyesinde çağrı cihazı bulunmamasına rağmen, bu cihazlara mesaj gönderen bir sistem kullanılıyordu. Çağrı cihazı mesajlarının alıcıları takip edilemediği için NHSBT, şifrelenmemiş bilgilere erişilip erişilmediğinin veya kaç kişinin etkilenmiş olabileceğinin belirsiz olduğunu söyledi.

Ambulans servisleri de etkilenmiş

BBC'nin araştırması, sadece NHSBT'nin değil, ambulans servisleri, hastaneler ve itfaiye servislerinin de 10 gün boyunca yüzlerce mesajı şifrelenmemiş çağrı cihazı ağı üzerinden gönderdiğini ortaya çıkardı. Bu mesajlarda ruh sağlığı vakaları, ilaç bilgileri ve intihar girişiminde bulunan bir hastanın adı gibi çeşitli bilgiler yer aldı.

North West Ambulance Service (NWAS) ve Northern Ireland Ambulance Service (NIAS) da ekiplere adres, hasta yaşı ve tıbbi bilgiler gibi detayları içeren mesajlar göndermiş. Her iki servis de mesajlarda hastaların isimlerinin yer almadığını belirtti. NWAS çağrı cihazlarının tamamen kaldırıldığını, NIAS'ın ise büyük ölçüde kaldırdığını açıkladı. Kuzey İrlanda'da sağlık ve sosyal bakım yetkisi devredilmiş bir konu olduğundan, bu konuda Kuzey İrlanda Sağlık Bakanlığı'na başvuruldu.

NHSBT'nin organ nakli başkanı Anthony Clarkson, bu durumun bir veri ihlali olduğunu kabul ederek, "Derin üzgünüz" dedi. Acil durumlarda hızın kritik olduğu nakil ekipleriyle iletişimde e-posta, SMS ve yakın zamana kadar çağrı cihazı kullandıklarını belirten Clarkson, "Bu mesajların şifrelenmediğini ve bu açığın olduğunu görünce şaşırdık" ifadelerini kullandı. NHSBT, hassas bilgi içeren mesajları çağrı cihazı ağına göndermeyi durdurduğunu ve iç soruşturma başlattığını duyurdu.

Birmingham Üniversitesi'nden teknoloji uzmanı Luca Arnaboldi, çağrı cihazlarının 'asla gizlilik için tasarlanmadığını' belirterek, mesajların geniş bir alana yayınlandığını ve doğru frekansta olan herkesin bunları alabileceğini söyledi. Bu durumun ciddi güvenlik sorunlarına yol açabileceğini vurguladı.

ICO sözcüsü, "İnsanların tıbbi verileri son derece hassastır; kuruluşların bunları özenle ve güvenli bir şekilde işleme sorumluluğu vardır. NHS Blood and Transplant bize bir olay bildirdi ve biz de inceleme başlattık" dedi. Sağlık ve Sosyal Bakım Bakanlığı ise NHS'in 'eski teknolojileri' değiştirmede ilerleme kaydettiğini ve çalışanların güvenli ve güvenilir dijital araçlara erişimini sağlamak için çalıştığını söyledi.