Колокация за здравни организации: GDPR, специални категории данни и инфраструктурни изисквания - AbsCloud Data Center

Здравните данни са сред най-чувствителните категории лична информация в европейското законодателство. Когато болница, медицински център, лаборатория или здравна платформа взема решение за своята ИТ инфраструктура, тя не прави само технически, но и регулаторен и правен избор с преки последствия за пациентите, персонала и организацията, като цяло.

В тази статия от екипа на AbsCloud Data Center разглеждаме конкретните изисквания, на които трябва да отговаря инфраструктурата на здравна организация, и как колокацията в сертифициран дейта център адресира голяма част от тях.

Здравните данни под GDPR

GDPR разграничава обикновените лични данни от „специалните категории" - информация, чието неправомерно обработване носи по-висок риск за правата и свободите на физическите лица.

Здравните данни попадат изрично в тази категория заедно с генетичните данни, биометричните данни, данните за расов и етнически произход, политически и религиозни убеждения.

За специалните категории данни GDPR изисква изрично правно основание за обработване (обикновено изричното съгласие на лицето или необходимостта от медицински изследвания и лечение). Изискват се строги технически и организационни мерки за защита и документирана оценка на въздействието върху защитата на данните (DPIA). А при нарушение - задължително уведомяване на надзорния орган в срок от 72 часа, а в определени случаи - и на засегнатите лица.

Глобите за нарушения, засягащи специални категории данни, достигат до 20 млн. евро или 4% от глобалния годишен оборот (по-високата от двете стойности). Но финансовата санкция рядко е най-тежкото последствие. Загубата на доверие от страна на пациентите и репутационните щети са по-трудно измерими и поправими за здравната организация.

Физическото местоположение на данните има значение

Един от основните принципи на GDPR е, че данните на европейски граждани трябва да се съхраняват и обработват в рамките на ЕС/ЕИП или в трети страни с адекватно ниво на защита. За здравни организации в България това означава, че съхранението на пациентски данни на сървъри извън ЕС (дори при реномиран облачен доставчик) изисква допълнителни правни гаранции и документация.

Колокацията в сертифициран дейта център на територията на България и ЕС премахва тази неяснота. Данните остават физически в юрисдикцията на ЕС, под българско и европейско законодателство, с ясна отговорност за физическата защита на инфраструктурата.

Допълнително, при колокацията сървърното оборудване остава собственост на организацията. Пациентските данни не се съхраняват на споделена инфраструктура на трета страна. Достъпът до тях е под пълен контрол на здравната организация и не зависи от политиките на облачен доставчик, чиито условия могат да се променят.

Инфраструктурни изисквания, специфични за здравния сектор

Здравните организации имат изисквания към ИТ инфраструктурата, които в много случаи надхвърлят стандарта за обикновен бизнес. Те са длъжни да докажат, че разчитат на:

Висока наличност без изключения. Информационните системи, системите за образна диагностика (PACS), лабораторните информационни системи (LIS) и електронните здравни досиета са критични. Прекъсване на достъпа до тях може да забави диагностика или лечение. Изискването за uptime не е въпрос на комфорт, а на безопасност.
Резервираност на захранването. Здравните системи не могат да толерират прекъсвания на тока. Дейта център с две независими захранвания, UPS системи и дизелови генератори осигурява нивото на резервираност, което самостоятелната ИТ стая в болницата рядко може да постигне.
Физическа сигурност, която може да се одитира. GDPR изисква организациите да могат да докажат кой е имал достъп до системите с лични данни и кога. В дейта центъра всеки достъп до сървърното пространство е регистриран, времево маркиран и проследим. Това помага на организациите да покрият изискванията за проследимост.
Криптиране и мрежова изолация. Пациентските данни трябва да са криптирани при съхранение и пренос. Дейта центърът осигурява мрежовата инфраструктура (физическата изолация на трафика, VLAN сегментацията, физическите cross-connect връзки), без да се намесва в криптирането на данните и конфигурацията на мрежовата сигурност, които остават отговорност на здравната организация или на нейния ИТ доставчик.
Disaster Recovery и непрекъсваемост. Регулациите в здравния сектор (включително изискванията на НЗИС и насоките на НЗОК за електронно здравеопазване) предполагат наличие на план за непрекъсваемост на дейността. Disaster Recovery точката в дейта центъра е конкретен и документиран елемент от такъв план: резервно копие на критичните системи на физически отделена локация, с ясно дефинирани RPO и RTO стойности.

Ролята на дейта центъра за съвместимост с GDPR

Когато здравна организация разположи собствени сървъри в дейта център и единствено тя има достъп до тях, тя се явява администратор и обработващ лични данни едновременно. Това елиминира нуждата от сключване на договор за обработване на данни (Data Processing Agreement, DPA) с трета страна. Служителите в дейта центъра просто нямат достъп и възможност да достигнат до данните, дори и да искат.

За сравнение, при използване на облачни услуги от доставчик, се налага сключване на DPA.

Какво трябва да провери здравната организация при избор на дейта център

Освен стандартните въпроси за TIER класификация, SLA и свързаност, здравните организации трябва да проверят конкретно:

Документирани ли са процедурите при нарушение на сигурността? Дейта центърът трябва да има документирана процедура за реакция при инцидент и за уведомяване на клиентите, което е изискване по ISO/IEC 27001. Когато дейта центърът притежава такъв сертификат, той е доказал, че процесите за управление на информационната сигурност съответстват на международен стандарт. Прочетете повече за сертификатите на AC☁DC.
Изолирана ли е физически инфраструктурата? При колокация оборудването е физически отделено. То е собственост на здравната организация и е в заключен шкаф с контролиран достъп. Това е по-добра позиция спрямо споделена облачна инфраструктура от гледна точка на физическата изолация на данните.
Референции от други клиенти - винаги е полезно да се проучи дали други клиенти със сходен организационен профил използват дейта центъра и какво е мнението им за услугата. Това за вас би означавало, че избирате надежден доставчик с опит, който може да е ценен за вас. Обикновено от самия дейта център могат да Ви дадат тази информация, стига клиентите да са дали съгласие да бъде споменавани. Във всеки случай ви съветваме поне да питате.

Какви са ползите, ако разчитате на регионален дейта център?

За здравна организация в Източна България изборът между собствена сървърна стая, дейта център в София и локален дейта център от висок клас е технически, оперативен, и регулаторен.

Собствената сървърна стая рядко може да осигури нивото на физическа сигурност, резервираност и документираност, което GDPR изисква за специални категории данни. Дейта центърът в София добавя разстояние, логистически усложнения и по-висока латентност към болничните системи.

AC☁DC е сертифициран по ISO/IEC 27001:2022, ISO/IEC 20000-1:2018 и ISO 9001:2015, разполага с резервирано захранване и охлаждане, денонощна физическа охрана с одитиран достъп и директна свързаност с множество оператори. Тези характеристики покриват значителна част от техническите и организационни изисквания, на които здравната организация трябва да отговори по GDPR.

Ако управлявате ИТ инфраструктура в здравна организация и искате да обсъдите конкретните изисквания и решения, свържете се с екипа на AC☁DC или запазете посещение на дейта центъра, за да се уверите сами как се грижим за сървърното оборудване на нашите клиенти и какви стандарти за безопасност на данните прилагаме.