স্বাস্থ্যসেবা লঙ্ঘনের সমস্যা
২০২৬ সালের জন্য আপডেট: ২০২৪ সালে ৭২৫ স্বাস্থ্যসেবা ডেটা লঙ্ঘন ২৭৫ মিলিয়ন রেকর্ড প্রকাশ করেছে (HHS OCR)। সেই সংখ্যা সমগ্র মার্কিন জনসংখ্যাকে ছাড়িয়ে গেছে।
খরচ বেশি। স্বাস্থ্যসেবা লঙ্ঘনের গড় $১০.২২ মিলিয়ন প্রতিটি। এটি যেকোনো শিল্পের শীর্ষ খরচ — টানা পনের বছর (IBM Cost of Data Breach 2025)। সমস্ত স্বাস্থ্যসেবা লঙ্ঘনের অর্ধেক একটি বিক্রেতা বা ব্যবসায়িক অংশীদার দিয়ে শুরু হয় (HHS OCR 2024)।
এই সংখ্যাগুলি হাসপাতাল নেতারা কীভাবে কাজ করেন তা পরিবর্তন করেছে। বড় স্বাস্থ্য সিস্টেমে, CISO PHI কাজের জন্য ক্লাউড টুল অনুমোদন করবেন না। ঝুঁকি অনেক বেশি।
কেন ক্লাউড PHI টুল ব্লক করা হয়
HHS Civil Rights প্রয়োগ বাড়িয়েছে। ২০২৪ HIPAA Security Rule আপডেট ২০১৩ সালের পর প্রথম বড় পরিবর্তন ছিল:
- সমস্ত ইলেক্ট্রনিক PHI-র জন্য ট্রানজিট এবং বিশ্রামে এনক্রিপশন
- প্রতিটি তৃতীয় পক্ষের বিক্রেতার সাথে Business Associate Agreements (BAAs)
- প্রতিটি বিক্রেতার পছন্দের জন্য ঝুঁকি বিশ্লেষণ রেকর্ড
- ঘটনা প্রতিক্রিয়া পরিকল্পনা
এমনকি একটি স্বাক্ষরিত BAA সহ, CISO-এর দৃষ্টিভঙ্গি প্রায়ই একই: একটি BAA লঙ্ঘনের পরে দোষ নির্ধারণ করে। এটি একটি প্রতিরোধ করে না। আমাদের নিরাপত্তা ওভারভিউ ব্যাখ্যা করে কীভাবে স্থানীয় প্রক্রিয়াকরণ সেই শৃঙ্খল কেটে দেয়।
নির্ভুলতার সমস্যা
ক্লাউড ব্লক কম গুরুত্বপূর্ণ হত যদি সহজ টুলগুলি কাজটি করতে পারত। গবেষণা দেখায় তারা পারে না।
২০২৫ সালের একটি গবেষণায় দেখা গেছে যে সাধারণ-উদ্দেশ্য LLM টুলগুলি ফ্রি-টেক্সট নোটে ৫০%+ ক্লিনিকাল PHI মিস করে (arXiv:2509.14464)। HIPAA Safe Harbor ১৮ ধরনের শনাক্তকারী সরানো দরকার।
মানক টুলগুলি এই ক্ষেত্রগুলি মিস করে:
- "Pt. J.D., DOB 4/12/67" — সংক্ষিপ্ত নাম এবং তারিখের ফরম্যাট
- "Dx: HCC f/u, appt at UCSF MC" — ক্লিনিকাল সংক্ষেপণে হাসপাতালের নাম
- "Seen by Dr. Smith in ED #3, Room 12B" — কক্ষ নম্বর সহ প্রদানকারীর নাম
আমাদের সম্মতি পাতা Safe Harbor এবং Expert Determination উভয় মান কভার করে।
টুলের ফাঁক
ক্লিনিকাল ইনফর্মেটিক্স দলগুলি একটি বাস্তব ফাঁকের মুখোমুখি:
বাণিজ্যিক ক্লাউড পরিষেবাগুলি ভালো কাজ করে। কিন্তু তাদের বাইরের বিক্রেতার কাছে সুরক্ষিত স্বাস্থ্য ডেটা পাঠানো প্রয়োজন। বেশিরভাগ বড় হাসপাতাল সিস্টেম এটি ব্লক করে।
ওপেন-সোর্স টুলগুলি (যেমন Presidio এবং MIST) সাইটে চলে। কিন্তু তাদের ভারী সেটআপ এবং চলমান যত্ন প্রয়োজন।
ম্যানুয়াল ডি-আইডেন্টিফিকেশন বিশেষজ্ঞ নির্ধারণ পদ্ধতির অধীনে একজন প্রশিক্ষিত পরিসংখ্যানবিদের প্রয়োজন। এটি ৫০,০০০+ রেকর্ডে কাজ করে না।
প্রয়োজনটি স্পষ্ট: ক্লাউড-মানের নির্ভুলতা, স্থানীয় হার্ডওয়্যারে। কোনো বাইরের কল নেই। রোগীর ডেটায় কোনো বিক্রেতার অ্যাক্সেস নেই।
স্থানীয় ডি-আইডেন্টিফিকেশনের জন্য প্রয়োজন
একটি স্থানীয় টুল ক্লাউড পরিষেবার সনাক্তকরণ মানের সাথে মেলাতে হবে। এর জন্য চার স্তর লাগে:
স্তর ১ — ক্লিনিকাল প্যাটার্ন সহ Regex। কাঠামোবদ্ধ শনাক্তকারী — MRN, SSN, NPI, DEA নম্বর।
স্তর ২ — Named entity recognition। ক্লিনিকাল নোটগুলি সাধারণ পাঠে PHI লুকায়।
স্তর ৩ — একাধিক ভাষা। US স্বাস্থ্যসেবা অনেক ভাষায় কথা বলা রোগীদের সেবা দেয়।
স্তর ৪ — প্রসঙ্গ স্কোরিং। একটি সাত-সংখ্যার সংখ্যা এক নোটে MRN এবং অন্যটিতে ড্রাগ ডোজ।
একটি বাস্তব-বিশ্ব ওয়ার্কফ্লো
একটি আঞ্চলিক হাসপাতাল বিশ্ববিদ্যালয় অংশীদারের সাথে একটি যৌথ গবেষণার জন্য একটি ডি-আইডেন্টিফাইড EHR ডেটাসেট চায়। CISO ২০২৪ লঙ্ঘনের সংখ্যার পরে রোগীর ডেটার ক্লাউড প্রক্রিয়াকরণ ব্লক করেছেন।
একটি স্থানীয়-প্রথম টুলের সাথে ওয়ার্কফ্লো:
- এক্সপোর্ট। EHR সিস্টেম ৫০,০০০ ক্লিনিকাল নোট নিরাপদ স্থানীয় ফোল্ডারে রপ্তানি করে।
- প্রক্রিয়া। ডেস্কটপ অ্যাপ স্থানীয় ওয়ার্কস্টেশনে রাতারাতি ১০ ব্যাচ চালায়।
- পর্যালোচনা। ক্লিনিকাল ইনফর্মেটিক্স দল HIPAA Safe Harbor নিয়মের বিরুদ্ধে একটি নমুনা পরীক্ষা করে।
- ডকুমেন্ট। একটি প্রক্রিয়াকরণ লগ প্রতিটি পরিচালিত আইটেম রেকর্ড করে — IRB অডিট ট্রেইল।
- স্থানান্তর। ডি-আইডেন্টিফাইড আউটপুট একটি নিরাপদ চ্যানেলের মাধ্যমে বিশ্ববিদ্যালয়ে পাঠানো হয়।
CISO অনুমোদন করেন কারণ কোনো রোগীর ডেটা হাসপাতালের নেটওয়ার্ক ছাড়েনি। IRB অনুমোদন করে কারণ পদ্ধতি Safe Harbor ডকুমেন্টেশন নিয়ম পূরণ করে।
anonym.legal-এর Desktop App ক্লাউড-মানের PHI ডি-আইডেন্টিফিকেশন সরবরাহ করে। এটি তিন-স্তরের সনাক্তকরণ ব্যবহার করে: Presidio NLP, regex, এবং XLM-RoBERTa transformers। এটি স্থানীয়ভাবে ইনস্টল করে এবং সেটআপের পরে কোনো ইন্টারনেটের প্রয়োজন নেই। সমস্ত ১৮ HIPAA Safe Harbor শনাক্তকারী সমর্থিত।