Sağlık Turizminde Siber Güvenlik: Yabancı Hasta Verisi Sızıntısına Karşı 12 Maddelik Kontrol Listesi
Pasaport fotokopileri, kan tahlilleri, radyoloji görüntüleri ve kredi kartı slip’leri... Sağlık turizmi klinikleri ve acentaları fidye yazılımı (ransomware) korsanlarının en gözde hedefi haline geldi. Uluslararası itibar kaybı ve ağır tazminatlardan korunma rehberi.
Uluslararası sağlık turizmi yürüten kuruluşlar, siber saldırganlar için eşsiz bir hedef teşkil etmektedir. Çünkü bir sağlık turizmi kuruluşunun veri tabanında yalnızca hastanın adı soyadı değil; pasaport numarası, uçuş biletleri, kredi kartı bilgileri ve en mahrem tıbbi fotoğrafları bir arada bulunmaktadır. Olası bir veri sızıntısı, kliniğin sadece KVKK cezası almasıyla kalmaz; uluslararası sigorta şirketlerinin anlaşmaları iptal etmesine ve küresel itibarın çökmesine yol açar.
Sağlık Kuruluşları İçin 12 Maddelik Siber Güvenlik Kontrol Listesi
| No | Güvenlik Alanı | Zorunlu Uygulama | Kritiklik Seviyesi |
|---|---|---|---|
| 1 | İki Faktörlü Doğrulama (2FA) | CRM, e-posta ve bulut sürücülere girişte SMS veya Authenticator zorunluluğu. | Kritik |
| 2 | Uçtan Uca Şifreleme (Encryption) | Hasta epikrizleri ve pasaport görsellerinin depolandığı sunucularda AES-256 şifreleme. | Kritik |
| 3 | WhatsApp Veri Politikası | Personelin kişisel cep telefonlarında hasta epikrizi ve fotoğrafı saklanmasının yasaklanması. | Yüksek |
| 4 | Rol Bazlı Erişim (RBAC) | Tercümanın sadece kendi baktığı hastanın verisini görmesi; tüm hasta havuzuna erişememesi. | Yüksek |
| 5 | Yedekleme ve Ransomware Koruması | İnternetle bağlantısı kesilmiş (Air-gapped) çevrimdışı günlük yedekleme. | Kritik |
| 6 | Personel Oltalama (Phishing) Eğitimi | Sahte rezervasyon veya hasta formu gibi gelen e-postalara karşı 6 ayda bir simülasyon. | Orta |
| 7 | Açık Rıza ve Aydınlatma Metni | Veri toplanmadan önce hastanın kendi dilinde açık rıza beyanının zaman damgalı alınması. | Kritik |
| 8 | Güvenli Hasta Yükleme Portalı | E-posta eki yerine tek kullanımlık şifreli yükleme linklerinin tercih edilmesi. | Yüksek |
| 9 | Loglama ve Denetim İzi (Audit Trail) | Hangi personelin hangi hasta dosyasını ne zaman görüntülediğinin 5651 sayılı kanuna uygun kaydı. | Yüksek |
| 10 | Ayrılan Personel Prosedürü | İşten ayrılan hasta temsilcisinin hesaplarının anında kapatılması ve cihaz formatlanması. | Kritik |
| 11 | Sızma (Penetrasyon) Testi | Yılda en az bir kez TSE onaylı siber güvenlik firmasına sistem testi yaptırılması. | Orta |
| 12 | Siber Olay Müdahale Planı | Veri sızıntısı halinde KVKK ve USOM'a 72 saat içinde bildirim yapacak kriz ekibinin belirlenmesi. | Kritik |
Murat Aksoy
Sağlık Teknolojileri & Entegrasyon AnalistiSağlık turizmi operasyonlarında yapay zekâ triyaj botları, çok dilli CRM otomasyonları ve tele-sağlık altyapıları üzerine sektörel teknoloji raporları hazırlamaktadır.