[논문 리뷰] Healthcare Data Governance, Privacy, and Security -- A Conceptual Framework

Amen Faridoon, Tahar Kechadi|arXiv (Cornell University)|2024. 03. 26.

Patient Dignity and PrivacyMedicine인용 수 3

한 줄 요약

이 논문은 개인정보 및 보안을 우선시하는 개념적 프레임워크를 제안하며, 데이터 프라이버시 및 보안 설계(PSbD)를 개인정보 강화 기술(PETs) 및 정책 기반 준수 검사와 통합한다. 이 프레임워크는 전자 건강기록의 체계적 취약성을 해소하기 위해 데이터 라이프사이클 전반에 프라이버시를 통합함으로써, 침해와 내부자 위협을 사전에 방지할 수 있는 능동적이고 준수 준비가 된 모델을 제공한다.

ABSTRACT

The abundance of data has transformed the world in every aspect. It has become the core element in decision making, problem solving, and innovation in almost all areas of life, including business, science, healthcare, education, and many others. Despite all these advances, privacy and security remain critical concerns of the healthcare industry. It is important to note that healthcare data can also be a liability if it is not managed correctly. This data mismanagement can have severe consequences for patients and healthcare organisations, including patient safety, legal liability, damage to reputation, financial loss, and operational inefficiency. Healthcare organisations must comply with a range of regulations to protect patient data. We perform a classification of data governance elements or components in a manner that thoroughly assesses the healthcare data chain from a privacy and security standpoint. After deeply analysing the existing literature, we propose a conceptual privacy and security driven healthcare data governance framework.

연구 동기 및 목표

• 개인정보가 핵심 설계 원칙이 아니라 후속 고려 사항으로 간주되는 건강정보 거버넌스의 지속적인 격차를 해소하기 위해.
• 전자 건강기록(EHR)에서의 데이터 유출, 내부자 위협, 규제 준수 미비로 인한 위험을 완화하기 위해.
• 전체 건강정보 라이프사이클에 적용 가능한 종합적이고 프라이버시 및 보안 중심의 개념적 프레임워크를 개발하기 위해.
• 규정 변화에 대응하기 위해 데이터 거버넌스 프로세스에 정책 기반 자동 준수 검사 기능을 통합하여 준수를 보장하기 위해.
• 프라이버시, 보안, 데이터 무결성 간의 일치를 통해 데이터 품질과 신뢰도를 향상시키기 위해.

제안 방법

• 건강정보 체인 전반의 프라이버시 및 보안에 중점을 두어 데이터 거버넌스 구성 요소를 분류하기 위한 체계적 문헌 고찰을 수행한다.
• 세 기둥 구조의 개념적 프레임워크를 제안한다: (1) 데이터 거버넌스, (2) 데이터 프라이버시 및 보안 설계(PSbD), (3) PETs 및 정책 기반 준수를 통한 데이터 강화.
• 차별적 프라이버시, 동형 암호화, 안전한 다중 당사자 계산과 같은 개인정보 강화 기술(PETs)을 활용해 처리 중인 민감한 데이터를 보호한다.
• 로그, 거래 내역, 액세스 패턴을 모니터링하여 프라이버시 및 보안 정책 위반 여부를 탐지할 수 있는 정책 기반 자동 준수 검사 시스템을 구현한다.
• 정확성, 완전성, 일관성, 유일성, 시기적합성, 타당성의 여섯 가지 데이터 품질 차원을 기반으로 프레임워크를 구성하여 신뢰할 수 있고 안전한 데이터 처리를 보장한다.
• 시스템 설계, 개발, 구현 단계에 PSbD 원칙을 통합하여 프라이버시 침해를 사전에 방지한다.

Figure 1: Healthcare Data Protection Governance - A Conceptual Framework

실험 결과

연구 질문

• RQ1 어떻게 건강정보 거버넌스를 재구성하여 프라이버시와 보안을 보조적 고려 사항이 아니라 근본적인 요소로 삼을 수 있는가?
• RQ2 종합적이고 프라이버시 및 보안 중심의 건강정보 거버넌스 프레임워크에 필수적인 구성 요소는 무엇인가?
• RQ3 개인정보 강화 기술(PETs)은 건강정보 라이프사이클 전반에 어떻게 효과적으로 통합되어 민감한 정보를 보호할 수 있는가?
• RQ4 자동 준수 검사는 건강정보 시스템에서 규제 준수를 향상시키고 데이터 유출 위험을 줄이는 데 어떤 방식으로 기여하는가?
• RQ5 프라이버시 및 보안와 데이터 품질 차원을 통합함으로써 건강정보 시스템의 전체 무결성과 신뢰성은 어떻게 향상되는가?

주요 결과

• 기존의 건강정보 거버넌스 프레임워크는 종종 프라이버시를 부차적인 고려 사항으로 간주하여 침해에 취약한 경향이 있다.
• 제안된 개념적 프레임워크는 데이터 라이프사이클 전반에 걸쳐 프라이버시 및 보안 설계(PSbD)를 통합함으로써, 무단 액세스 및 데이터 泄露 위험을 크게 감소시킨다.
• 차별적 프라이버시 및 안전한 계산과 같은 개인정보 강화 기술(PETs)은 데이터 유용성에 영향을 주지 않으면서도 분석 및 공유 과정에서 민감한 데이터를 효과적으로 보호할 수 있다.
• 정책 기반 자동 준수 검사 시스템은 실시간 모니터링과 정책 위반 탐지를 가능하게 하여 새로운 위협과 규제 변화에 더 빠르게 대응할 수 있도록 한다.
• 정확성, 완전성, 일관성, 유일성, 시기적합성, 타당성의 데이터 품질 차원은 프라이버시 및 보안 제어가 신뢰할 수 있는 데이터 기반으로 작동하도록 보장하는 데 필수적이다.
• 내부자 위협을 완화하기 위해 프레임워크는 정당한 시스템 액세스 권한이 있는 사용자에게도 엄격한 액세스 제어 및 모니터링를 시행함으로써 악성 내부 행동의 위험을 줄인다.