Но чаще люди имеют датчики, которые носят на теле, – это беспроводные акселерометры типа Fitbit и Jawbone73–75. Эти компании теперь продают свои устройства тысячам работодателей для корпоративных оздоровительных программ75. Представитель одной крупной медицинской страховой компании отметил, что «данные, собираемые с помощью этих гаджетов, могут в конце концов повлиять на ценообразование группового страхования». Группового – а как насчет индивидуального? Кроме вашего работодателя, который может быть заинтересован в отслеживании ваших действий, есть еще ваш спортзал или фитнес-клуб, и они уже этим занимаются. Многие люди, которые покупают абонемент и не пользуются им, в будущем, возможно, уже не смогут спрятаться. Life Time Fitness, компания с фитнес-клубами в 24 штатах, имеет «менеджера по устройствам, работающего в рамках национальной программы»76, который убеждает каждого члена клуба позволить вести мониторинг каждого его движения в спортзале. Членов клуба заверяют, что они могут выбирать, с кем из друзей поделиться данными, и всегда имеется опция «Выходные в Лас-Вегасе», позволяющая полностью закрыть информацию76.
Медицинские устройства и хакерство
В то время как нам еще только предстоит увидеть широкомасштабное использование потребителями непрерывного мониторинга кровяного давления и других жизненно важных показателей, есть достаточное количество пациентов с имплантированными медицинскими устройствами для выявления многих потенциальных предрасположенностей77–81. Как выразилась Сейди Криз, профессор кибербезопасности из Оксфордского университета: «Если вы думаете, что попытки не дать ворам украсть информацию о ваших кредитных картах или взломать вашу страницу в Facebook достаточно рутинная задача, вообразите себе попытки помешать им забраться в вашу поджелудочную железу»82. На самом деле это уже случалось и с инсулиновыми насосами, и с сердечными дефибрилляторами. И те и другие имеют беспроводную связь для отслеживания и обновления программного обеспечения83. Производители не предусматривали никаких мер безопасности в этих устройствах, но были предложены новые концепции шифрования дефибриллятора посредством сигнала о сердцебиении самого пациента или кодировки данных каким-то иным способом80. Базы данных трех крупнейших производителей медицинских устройств в мире – Medtronic, St. Jude Medical и Boston Scientific – подвергались хакерским атакам, предположительно из Китая, и компании об этом не знали, пока их не уведомили федеральные власти77. Управление по контролю за продуктами и лекарствами США подняло вопрос о необходимости обеспечения кибербезопасности медицинских устройств, которые особенно уязвимы, поскольку подсоединены и к Интернету, и к больничным сетям, и к смартфонам, и к другим медицинским устройствам78.
Ошибка Heartbleed, обнаруженная в 2014 г., – яркое напоминание об уязвимости популярного, широко используемого программного обеспечения с открытым исходным кодом84–86. Мы знаем, что это программное обеспечение называется OpenSSL и используется оно для кодирования большого количества разнообразных встроенных устройств, подвергая их риску. Такие недостатки в коде, безусловно, могут быть и в программном обеспечении с закрытым исходным кодом, как и во всех наших системах электронных медицинских карт (типа EPIC, Cerner, Allscripts), которые используются на всей территории США в больницах и информационных системах здравоохранения.
Всестороннее изучение кибербезопаности больниц и организаций здравоохранения США – которое охватывало медицинские устройства и программное обеспечение, включая частные виртуальные сети передачи данных, межсетевые защитные экраны, колл-центры, программное обеспечение для радиологических исследований, телесистемы, работающие по замкнутому каналу, и роутеры – привело к выводу, что состояние медицинской кибербезопасности «ужасающее» и «вызывает тревогу», а также «является иллюстрацией того, как далеко отстала сфера здравоохранения». В отчете критиковали такие никчемные с точки зрения стандартов безопасности данных законы, как Закон о страховании здоровья и медицинской ответственности (Health Insurance Portability and Accountability Act) и Закон о применении медицинских информационных технологий в экономической деятельности и клинической практике (Health Information Technology for Economic and Clinical Health Act). Эти выводы были подкреплены результатами «первого моделирования атаки на кибербезопасность в отрасли здравоохранения», проведенного в 2014 г.87, 88а, 88b Один только факт, что первое моделирование имело место только в 2014 г., говорит сам за себя, но есть и более серьезные проблемы. Участники говорили о невозможности скоординировать действия различных медицинских практик, производителей устройств, информационных систем больниц и всех, кто с ними связан88а, 89. Джим Кониг, один из руководителей моделирования, сказал, что ожидает только роста количества атак87. Поэтому неудивительно, что число хакерских атак на больницы возросло, возможно, даже быстрее, чем предсказывалось, и они становятся все мощнее. В апреле 2014 г. неизвестная группа хакеров атаковала сайт Бостонской детской больницы, практически выведя серверы из строя и заставив больницу временно прекратить электронную переписку88с. Всего через несколько месяцев Community Health System, организация здравоохранения, обслуживающая 4,5 млн пациентов и включающая 206 больниц, подверглась кибератаке со стороны китайских хакеров, в результате чего были утрачены персональные данные, фамилии, адреса и номера социального страхования88d. Пока это самый крупный взлом базы медицинских данных из числа зарегистрированных.
Когда бы я ни выступал на тему геномики, первый, неизменно задаваемый вопрос касается конфиденциальности. В настоящее время самая обширная база геномных данных имеется у 23andMe. Миссия компании – создать «самую крупную, надежную частную базу данных в мире с генотипической и фенотипической информацией, которая может быть использована для сравнительного анализа и исследований»90. Миссия эта кажется прекрасной, пока не узнаешь о том, что «генетическая информация, которой вы делитесь с другими, может быть использована не в ваших интересах», или о перспективном плане компании продавать анонимизированные данные фармацевтической промышленности.
На самом деле есть много поводов для беспокойства относительно прайвеси и безопасности, когда дело касается ваших ДНК. Начнем с генетического анализа, который может включать все – от простого генотипирования до полногеномного секвенирования или любого из «омов», составляющих ГИС человека. Решение должен принимать хозяин генома, единственным исключением могут быть дети, за которых это делают родители. К сожалению, очень легко провести генетическое тестирование, не ставя в известность человека, ведь это так просто – прихватить немного вашей ДНК с чашки, посуды или стакана, которыми вы пользовались. Нелегальная генетическая оценка должна быть запрещена, так как представляет собой откровенное нарушение неприкосновенности частной жизни.
Следующий вопрос: кто может иметь доступ к результатам анализа вашей ДНК? Ваш страховщик? Ну, в этом деле задействованы врачи, что отражает исследование, проведенное Колумбийским университетом, которое показало, что 5 % из 220 терапевтов преднамеренно скрывали или искажали генетические данные своих пациентов. «Кодекс медицинской этики» Американской медицинской ассоциации предполагает, что от врачей может потребоваться хранить генетические результаты в отдельном файле, недоступном страховщикам. И разумеется, вы вправе беспокоиться из-за того, что результаты вашего геномного секвенирования хранятся в вашей медицинской карте. Электронная карта может подвергнуться хакерской атаке или быть взломана, как мы уже говорили. Или страховая компания может воспользоваться информацией, чтобы либо отказать в покрытии, либо потребовать исключительно высоких страховых взносов91.
После 14 лет бездействия американского Конгресса в 2008 г. наконец был принят Закон о недопущении дискриминации в связи с генетической информацией (Genetics Information Nondiscrimination Act)92. В то время как этот закон защищает людей от передачи их генетических данных работодателям или медицинским страховым компаниям и злоупотреблений ими, он не распространяется на страхование жизни, страхование на случай инвалидности и необходимости длительного лечения. Исключив эти важные виды страхования из рассмотрения вопроса о конфиденциальности и запрете на передачу генетической информации, закон породил существенные противоречия и путаницу92.
Так, например, Барта Мария Кнопперс, директор Центра геномики и политики при Университете Макгилла, указывает, что «ни одно исследование никогда не устанавливало существования генетической дискриминации страховщиками»93, и делает вывод: «Сомнительно, что очередной закон о страховании жизни, инвалидности и долгосрочного лечения на самом деле может предотвратить дискриминацию»93. И действительно, Джоли с коллегами провели систематический анализ всех публикаций о генетической дискриминации и страховании жизни и сделали вывод: «За исключением достойного внимания изучения болезни Хантингтона, ни одно из рассматриваемых здесь исследований не дает бесспорных доказательств системных проблем генетической дискриминации, которые могли бы привести к нежелательным социальным последствиям»94.
