الفصل الخامس متطلبات السلامة للمختبرات الطبية الذكية
القسم 3 متطلبات أمن المعلومات للمختبرات الطبية
أولاً: الشروط البيئية
-
يجب وضع وثائق إجرائية للحفاظ على أنظمة المعلومات المستخدمة في جمع بيانات ومعلومات الفحوصات ومعالجتها وتسجيلها والإبلاغ عنها وتخزينها أو استرجاعها، لضمان تشغيلها الطبيعي وتوفير الشروط البيئية والتشغيلية اللازمة. ويجب الحفاظ على سلامة البيانات والمعلومات وتسجيلها؛ كما يجب الحفاظ على نظافة المرافق والمعدات الحاسوبية، وأن تتوافق مواقع وضعها وبيئاتها مع الأحكام ذات الصلة (مثل التهوية والكهرباء الساكنة ودرجة الحرارة والرطوبة).
-
يجب أن يتوافق وضع أجهزة الحاسوب مع متطلبات السلامة من الحرائق.
-
يجب توفير تدابير وقائية للأسلاك الكهربائية وكابلات الحاسوب الموجودة في مناطق المرور.
-
يجب توفير مصادر طاقة غير منقطعة (UPS) لخوادم نظام معلومات المختبر (LIS) وأجهزة الحاسوب المشاركة في معالجة البيانات، لمنع تلف أو فقدان البيانات في نظام LIS الناتج عن انقطاع التيار الكهربائي المفاجئ.
-
يجب وضع أحكام وتدابير لمنع الأشخاص غير المصرح لهم من الوصول إلى مرافق المعلومات.
ثانياً: الأدلة الإجرائية
-
يجب وضع أدلة إجرائية وتعليمات عمل لنظام تشغيل الحاسوب؛ ويمكن أن تكون في شكل إلكتروني لتسهيل استخدامها من قبل جميع مستخدمي الحاسوب المصرح لهم، ويجب أن تكون متاحة في الموقع الذي تُنفذ فيه الأنشطة.
-
يجب وصف الغرض من برامج الحاسوب وطريقة تشغيلها وتفاعلها مع برامج حاسوب أخرى بوضوح. ويجب أن يكون مستوى التفاصيل كافياً لدعم مديري أنظمة المعلومات الحاسوبية في أداء عمليات استكشاف الأخطاء ذات الصلة، وإجراء تغييرات على النظام، أو عند الضرورة، تعديل البرامج المصرح بها.
-
يجب مراجعة الأدلة الإجرائية وتعليمات عمل نظام الحاسوب بشكل دوري واعتمادها من قبل مدير المختبر أو الموظفين المصرح لهم؛ ويجب أن تكون الأدلة الإجرائية وتعليمات عمل نظام الحاسوب المستخدمة حالية وسارية المفعول.
-
يجب وضع إجراءات بحيث تكون هناك تدابير مطبقة لحماية البيانات والمعلومات والمعدات الحاسوبية في حال حدوث حريق أو تلف في البرامج أو الأجهزة.
ثالثاً: أمن النظام
-
يجب أن يكون مستخدمو نظام معلومات المختبر (LIS) مصرحاً لهم. ويجب أن يكون التفويض الخاص بنظام LIS مفصلاً، ويُمنح التفويض للموظفين الذين يصلون إلى بيانات المرضى، أو يدخلون نتائج المرضى، أو يعدلون النتائج، أو يعدلون الفواتير، أو يغيرون برامج الحاسوب.
-
يجب على جميع الأشخاص المصرح لهم بالدخول إلى نظام معلومات المختبر (LIS) الحفاظ على سرية معلومات المرضى في جميع أجهزة الحاسوب وأنظمة المعلومات. ويجب على المختبر ومركز إدارة الشبكة ضمان ما يلي: (1) وضع وتنفيذ إجراءات لحماية سلامة البيانات في جميع أجهزة الحاسوب وأنظمة المعلومات في جميع الأوقات؛ (2) أن تكون برامج الحاسوب والطرق الأخرى كافية لحماية عمليات جمع بيانات ومعلومات الفحوصات ومعالجتها وتسجيلها والإبلاغ عنها وتخزينها أو استرجاعها، ومنع الوصول أو التعديل أو التدمير العرضي أو غير المصرح به.
-
يُحظر تثبيت البرامج بشكل غير قانوني على أجهزة حاسوب المختبر، ويُحظر استخدام محركات الأقراص المحمولة USB وغيرها من أجهزة نقل البيانات.
-
إذا كان من الممكن الوصول إلى معلومات من أنظمة حاسوب أخرى (مثل أنظمة الصيدلية أو السجلات الطبية) من خلال نظام الحاسوب الخاص بالمختبر، فيجب تطبيق تدابير أمن حاسوب مناسبة لمنع الوصول غير المصرح به إلى هذه المعلومات.
-
يجب تطبيق تدابير أمن حاسوب مناسبة لمنع الوصول غير المصرح به إلى أي معلومات مخبرية للمرضى، وتعديلها بشكل غير مصرح به، من خلال أنظمة حاسوب أخرى (مثل أنظمة الصيدلية أو السجلات الطبية).
-
يجب حماية البيانات المرسلة عبر الشبكات، سواء داخل المؤسسة أو خارجها، من الاعتراض أو الاستقبال غير القانوني.
رابعاً: إدخال البيانات والإبلاغ
-
يجب فحص الاتساق بين نتائج تقارير الفحص النهائية في نظام معلومات المختبر (LIS) وبيانات الإدخال الأصلية بشكل دوري، ويجب الاحتفاظ بوثائق الإجراءات والسجلات اللازمة لمنع أخطاء نقل البيانات. كما يجب فحص البيانات بشكل دوري للكشف عن الأخطاء التي قد تنشأ أثناء المعالجة والتخزين. على سبيل المثال: (1) يجب فحص الاتساق بين البيانات الموجودة في أنظمة استعلام نتائج الفحص مثل محطات عمل الأطباء والممرضات والبيانات الأصلية بشكل دوري. (2) عند توصيل جهاز جديد بنظام معلومات المختبر، يجب إجراء عدد معين من المقارنات بين بيانات الجهاز وبيانات نظام معلومات المختبر.
-
يجب فحص النسخ المتعددة من الجداول التي يتم الاحتفاظ بها في أنظمة مختلفة (على سبيل المثال، جداول الفترات المرجعية البيولوجية في نظام معلومات المختبر ونظام معلومات المستشفى) بشكل دوري لضمان اتساق جميع النسخ أثناء الاستخدام. ويجب توفير إجراءات النسخ المتماثل أو المقارنة المناسبة، وإجراء الفحوصات الدورية.
-
يجب على المختبر تدقيق وتسجيل عملية ونتائج معالجة الحاسوب لبيانات المرضى بشكل دوري. ملاحظة: تشير عملية ونتائج معالجة بيانات المرضى إلى أي تعديل يتم إجراؤه على سجلات المرضى بناءً على البيانات المدخلة، بما في ذلك الحسابات العددية، والوظائف المنطقية، والتحقق التلقائي من النتائج، وإضافة الملاحظات.
-
عند إدخال البيانات إلى الحاسوب أو أي نظام معلومات آخر بطرق يدوية أو آلية، يجب فحص والتحقق من صحة البيانات المدخلة قبل المراجعة الحاسوبية النهائية وإصدار التقارير. وحيثما كان ذلك ممكناً، يجب فحص إدخال النتائج مقابل النطاق العددي المحدد مسبقاً للفحص المعين، وذلك للكشف عن النتائج غير المعقولة أو المستحيلة قبل المراجعة النهائية وإصدار التقارير.
-
يجب على مدير المختبر مراجعة والموافقة على محتوى وتنسيق تقارير المختبر في نظام معلومات المختبر، كما يجب عليه استطلاع آراء الموظفين السريريين.
-
يجب أن يحتوي نظام معلومات المختبر على إجراء لمراجعة التقارير يعمل بشكل طبيعي. ويتحمل إدارة المختبر أو الموظفون المعينون مسؤولية نقل نتائج الفحص بدقة وكفاءة إلى المستلمين المصرح لهم، كما يجب عليهم الموافقة على التعديلات في أي نظام معلومات قد تؤثر على الرعاية الطبية للمرضى.
-
ينبغي أن يحتوي نظام معلومات المختبر على إجراء قادر على الكشف عن النتائج غير المعقولة أو المستحيلة قبل أن يصدر الحاسوب التقرير؛ وبعد تعديل بيانات المرضى، يجب أن تظل البيانات الأصلية قابلة للعرض. ويجب أن يكون نظام معلومات المختبر قادراً على عرض البيانات التاريخية للمرضى، بحيث يتمكن موظفو الفحص من مقارنة بيانات الاختبار أثناء مراجعة التقارير.
-
يجب أن يوفر تنسيق التقرير في نظام معلومات المختبر وظيفة إضافة ملاحظات مثل جودة العينة وتفسير النتائج.
-
يجب أن يكون نظام معلومات المختبر قادراً على تحديد وتسجيل المعلومات المتعلقة بالموظفين الذين قاموا بالوصول إلى بيانات المرضى أو وثائق التحكم أو برامج الحاسوب أو تعديلها.
-
يجب أن يحتوي نظام معلومات المختبر على إجراء قادر على الكشف عن نتائج القيم الحرجة وإصدار إنذار مبكر قبل أن يصدر الحاسوب التقرير، كما يجب إخطار الجانب السريري في الوقت المناسب من خلال الإجراءات ذات الصلة (على سبيل المثال، وميض الشاشة في محطات عمل الأطباء والممرضات) والاحتفاظ بالسجلات (بما في ذلك تاريخ ووقت استلام الجانب السريري لنتيجة القيمة الحرجة، ونتيجة القيمة الحرجة، ومستلم نتيجة القيمة الحرجة، والمُخطر، وتاريخ ووقت الإخطار).
-
يجب أن يحتوي نظام معلومات المختبر على وظائف لاختيار طريقة مراقبة الجودة الداخلية، وتحليل البيانات، ورسم الرسوم البيانية، وبدء التحذير، والإنذار في حالة الخروج عن السيطرة، بالإضافة إلى وظائف الاحتفاظ بالبيانات بعد الخروج عن السيطرة والبيانات الأصلية، ووظائف التحليل الاستعادي والإحصائي.
-
يجب أن يحتوي نظام معلومات المختبر على وظائف تعكس سجلات الوقت، وحالة التشغيل، والحالات الطارئة، وغيرها من المحتويات بدءاً من جمع العينات، ونقلها، وتسليمها إلى المختبر، وحتى إجراء الفحص وإصدار التقرير.
-
يجب أن يحتوي نظام معلومات المختبر (LIS) على وظائف تعكس تخزين المواد الاستهلاكية للمختبر وإصدارها واستخدامها وجردها، ويجب أن يقدم تنبيهات إنذار مبكر عندما تنفد هذه المواد الاستهلاكية.
خامساً: استرجاع البيانات وتخزينها
-
يجب أن تكون بيانات نتائج المرضى والمعلومات الأرشيفية المخزنة في أنظمة المعلومات قابلة للاسترجاع بسهولة لإجراء الاستعلامات. ويحدد المختبر فترة الاحتفاظ ببيانات نتائج المرضى والمعلومات الأرشيفية في أنظمة المعلومات الخاصة به. ويجب أن تتوافق فترة الاحتفاظ مع المتطلبات الوطنية للحد الزمني للسجلات الطبية الإلكترونية. وتخضع طريقة الاسترجاع والاستعلام للتشاور مع الموظفين السريريين.
-
يجب أن يكون نظام معلومات المختبر قادراً على إعادة إنتاج نتائج الفحوصات المؤرشفة بالكامل وغيرها من المعلومات الإضافية الضرورية، بما في ذلك عدم اليقين في القياس، والفترات المرجعية البيولوجية، والتحذيرات أو الحواشي السفلية أو الملاحظات التوضيحية المرفقة بنتائج الفحوصات.
-
في حالة عدم توفر وسائل أخرى، يجب أن تكون بيانات المرضى والمختبر قابلة للاسترجاع “عبر الإنترنت” خلال حد زمني محدد.
-
يجب وضع وثائق إجراءات لتصنيف وسائط تخزين البيانات بشكل صحيح وحفظها بشكل سليم، ومنع استخدامها من قبل أشخاص غير مصرح لهم.
-
يقوم نظام معلومات المختبر بنسخ احتياطي لبيانات نتائج المرضى.
سادساً: الأجهزة والبرمجيات
-
يجب وضع إجراء لإجراء الصيانة الوقائية لجميع أجهزة الكمبيوتر والاحتفاظ بالسجلات، لتكون متاحة للرجوع إليها في أي وقت.
-
بعد كل عملية نسخ احتياطي أو استعادة لملفات البيانات، يجب فحص النظام للتأكد من عدم وجود تغييرات غير مقصودة، وتسجيل عملية الفحص.
-
يجب تحديد وتسجيل التغييرات التي تُجرى على أجهزة وبرمجيات النظام بدقة. ويجب التحقق من التغييرات التي تُجرى على أجهزة وبرمجيات النظام لضمان كونها مقبولة.
-
تخضع جميع التغييرات في نظام معلومات المختبر التي قد تؤثر على الرعاية الطبية للمرضى، مثل إعادة مراجعة التقارير، للمراجعة والموافقة، مع الاحتفاظ بالسجلات.
-
عند تثبيت برنامج لأول مرة، أو بعد تغييره أو تعديله، يجب فحص تشغيله الطبيعي وتسجيل ذلك.
-
يجب وضع وثائق إجراءات تمكن الموظفين المصرح لهم على جميع المستويات من إجراء استكشاف الأخطاء وإصلاحها، أو تعديل النظام، أو البرمجة.
-
يجب تدريب مستخدمي الكمبيوتر حتى يتقنوا كيفية استخدام الأنظمة الجديدة والأنظمة الحالية المعدلة.
-
يجب تعيين شخص مخصص للإبلاغ الفوري إلى المستويات الأعلى والاحتفاظ بالسجلات عند حدوث عطل واضح في الكمبيوتر.
سابعاً: صيانة النظام
-
يجب أن يضع المختبر إجراءً لاختبار جميع أجهزة الكمبيوتر بشكل دوري. ويجب توفير جدول زمني للصيانة الدورية.
-
يجب أن يضع المختبر تدابير نسخ احتياطي فعالة لمنع فقدان بيانات المرضى الناتج عن أعطال الأجهزة أو البرمجيات. ويتم فحص فعالية النسخ الاحتياطية بشكل دوري.
-
يحدد المختبر دورة النسخ الاحتياطي وفترة الاحتفاظ.
-
يجب تسجيل الأخطاء التي يتم اكتشافها أثناء النسخ الاحتياطي للنظام والتدابير التصحيحية المعتمدة، والإبلاغ عنها إلى الشخص المسؤول عن المختبر.
-
يجب مراقبة واختبار نظام إنذار الكمبيوتر (عادةً ما يكون وحدة التحكم الرئيسية للكمبيوتر، التي تراقب أداء الأجهزة والبرمجيات) بشكل دوري لضمان تشغيله الطبيعي.
-
يجب وضع وثائق إجراءات تحدد متطلبات إيقاف تشغيل النظام كلياً أو جزئياً وإعادة تشغيله، وذلك لضمان سلامة البيانات، وتقليل التأثير على الخدمات التي يقدمها المختبر، وضمان التشغيل الطبيعي للنظام بعد إعادة التشغيل.
-
يجب الاحتفاظ بسجلات الصيانة الدورية والخدمة والإصلاح، حتى يتمكن المشغلون من تتبع الأعمال التي تم إجراؤها على أي جهاز كمبيوتر.
-
يجب وضع وثائق لاتخاذ التدابير التصحيحية ضد أعطال الكمبيوتر وأسبابها، والاحتفاظ بالسجلات.
-
يجب وضع خطة استجابة مكتوبة لحالات الطوارئ في نظام الكمبيوتر.
ثامناً: التحقق من صحة أنظمة المعلومات
-
عند استخدام أجهزة الحاسوب لجمع بيانات الفحوصات أو معالجتها أو تسجيلها أو الإبلاغ عنها أو تخزينها أو استرجاعها، يجب على المختبر التأكد من التحقق من صحة برمجيات الحاسوب، بما في ذلك البرمجيات ذات الأغراض العامة المستخدمة في تطوير الأجهزة أو الأنظمة (مثل تطبيقات معالجة النصوص أو برامج جداول البيانات).
-
عند التثبيت الأولي للبرامج، وبعد إجراء أي تغييرات أو تعديلات مخطط لها، يجب التحقق من صحتها قبل السماح بتشغيلها بشكل اعتيادي.
-
يجب التحقق من ملاءمة أي تغيير يطرأ على أجهزة النظام أو برمجياته للتأكد من أن جميع التغييرات قابلة للتطبيق، ويجب الاحتفاظ بسجلات بهذه التغييرات. كما يجب تسجيل بيانات جميع الموظفين القائمين بإضافة البرمجيات أو تعديلها.
IX. استعادة البيانات
-
يجب وضع إجراءات للتعامل مع فترات توقف الأنظمة الأخرى (مثل نظام معلومات المستشفى) لضمان سلامة بيانات المرضى. كما يجب وضع إجراءات للتحقق من نجاح استعادة الأنظمة الأخرى، وعمليات استبدال ملفات البيانات أو تحديثها.
-
يجب تسجيل جميع عمليات الإيقاف غير المخطط لها، وفترات تدهور أداء النظام (مثل تباطؤ زمن الاستجابة)، وغيرها من مشاكل الحاسوب، بما في ذلك أسباب الأعطال والتدابير التصحيحية المتخذة لمعالجتها. ويجب على المختبر الإبلاغ فوراً عن كافة الأعطال الخطيرة في أنظمة الحاسوب إلى الموظفين المعينين.
-
يجب إعداد خطة طوارئ مكتوبة للاستجابة لأحداث محددة، وضمان إمكانية إصدار تقارير نتائج فحوصات المرضى بسرعة وفعالية في حالة فشل أجهزة الحاسوب أو غيرها من أنظمة المعلومات.
X. الحماية التصنيفية لأمن أنظمة المعلومات
1. خلفية التطوير
مع التطوير المستمر للتحول المعلوماتي في المستشفيات، اعتمد سير جميع أنواع الأعمال بالمستشفيات على أنظمة المعلومات الشبكية بدرجات متفاوتة، وأصبح دور أنظمة المعلومات في المستشفيات ذا أهمية متزايدة. لقد أصبح تطوير وبناء المستشفيات الحديثة متكاملاً بشكل وثيق مع المعلوماتية؛ وعندما تتعرض منظومة أمن نظام معلومات المستشفى للهجوم أو التلف، مما يؤدي إلى عجز المستشفى عن ممارسة أنشطته الطبية المختلفة بشكل اعتيادي، فمن السهل جداً أن تندلع أحداث جماهيرية اجتماعية، مثل تسريب المعلومات الشخصية الخاصة بالمرضى المتعلقة بالأمراض الخطيرة، أو استياء المرضى وقيامهم بأعمال إخلال بالنظام داخل المستشفى نتيجة انقطاع نظام التسجيل. لذلك، أصبحت كيفية حماية أمن أنظمة معلومات المستشفيات قضية تستوجب الاهتمام في مسار المعلوماتية بالمستشفيات.
بهدف تعزيز حماية أمن معلومات المستشفيات بشكل أكبر، أصدرت وزارة الصحة، استجابةً للوضع الراهن لمختلف قطاعات الرعاية الصحية في الصين خلال المرحلة الحالية، وثيقة “الآراء التوجيهية بشأن عمل الحماية التصنيفية لأمن المعلومات في القطاع الصحي” (الرقم 85 لعام 2011)، والتي أوضحت الارتباط بين الحماية التصنيفية لأمن المعلومات وحماية أمن المعلومات في القطاع الطبي. ووفقاً للروح التوجيهية لهذه الوثيقة، يجب بناء وحماية الأنظمة التشغيلية الأساسية في مستشفيات الدرجة الثالثة الفئة أ وفقاً للمستوى الثالث من نظام الحماية التصنيفية لأمن المعلومات.
2. مراحل البناء
ينقسم عمل بناء الحماية التصنيفية لأمن معلومات المستشفيات بشكل أساسي إلى المراحل التالية:
2.1 مراجعة التصنيف لأنظمة معلومات المستشفيات
وفقاً للأحكام ذات الصلة بنظام الحماية التصنيفية لأمن المعلومات، عند تعرض أحد أنظمة المعلومات للهجوم أو التلف، يتم تصنيف العواقب الناتجة وفقاً لدرجة الضرر الذي يلحق بالأمن الوطني، والنظام الاجتماعي والمصالح العامة، والمصالح المشروعة للمواطنين والأفراد.
2.2 تسجيل وإيداع أنظمة معلومات المستشفيات
بعد مراجعة تصنيف نظام معلومات المستشفى، يجب على المستشفى تقديم “نموذج إيداع الحماية المصنفة لأمن نظم المعلومات”، و"تقرير تصنيف الحماية المصنفة لأمن نظم المعلومات"، والوثائق ذات الصلة إلى الإدارة الصحية المختصة المحلية. وتقوم الإدارة الصحية برفعها إلى جهاز الأمن العام على المستوى البلدي أو أعلى لإجراء الإيداع والتسجيل، ويكتمل تصنيف نظام المعلومات بمجرد الحصول على إيصال الإيداع.
2.3 اختبار وتقييم الحماية المصنفة لنظام معلومات المستشفى
بعد الانتهاء من تصنيف نظام المعلومات وإيداعه، يجب اختيار مؤسسة اختبار وتقييم مهنية مخولة من قبل إدارة الأمن العام المحلية، وتمتلك مؤهلات اختبار وتقييم الحماية المصنفة لأمن المعلومات، لإجراء تقييم شامل لنظام معلومات المستشفى. ويتمثل الغرض من التقييم في إجراء تقييم موضوعي لقدرة الحماية الأمنية لنظام معلومات المستشفى. ومن خلال عمليات التفتيش الأمني التي تشمل الأمن المادي، وأمن الشبكات، وأمن التطبيقات، وأمن البيانات، وأمن المضيف، والإدارة الأمنية، مع أخذ المتطلبات الأساسية للحماية المصنفة الوطنية لأمن المعلومات كخط أساسي أمني، يتم إجراء تحديد مطابقة موضوعي لقياس قدرة الحماية الأمنية الحالية للنظام والتهديدات والمخاطر التي يواجهها بشكل أدق، مما يوفر أساسًا قويًا للتصحيح الأمني والبناء الأمني في المستقبل.
2.3.1 مؤشرات وطرق التقييم
تُعد نظم الأعمال الأساسية للمستشفى نظم حماية مصنفة من المستوى الثالث، ويجب أن تشمل مؤشرات التقييم الأمني فئة المؤشرات العامة للمستوى الثالث (G3)، وفئة مؤشرات أمن معلومات الأعمال للمستوى الثالث (S3)، وفئة ضمان خدمات الأعمال للمستوى الثالث (A3) الواردة في القسم 7.1 “المتطلبات التقنية” من وثيقة “المتطلبات الأساسية للحماية المصنفة لأمن نظم المعلومات”.
سيتم استخدام ثلاثة أنواع من الطرق في عمل التقييم الميداني، وهي المقابلات، وعمليات التفتيش، والاختبارات. تُعد المقابلة طريقة يحصل من خلالها موظفو التقييم على الأدلة عبر أنشطة مثل تبادل الآراء وإجراء المناقشات مع الموظفين المعنيين بنظام المعلومات. أما التفتيش فهو طريقة يحصل من خلالها موظفو التقييم على الأدلة عبر أنشطة مثل ملاحظة وفحص وتحليل كائنات التقييم. ويشير الاختبار إلى الأنشطة التي يقوم من خلالها موظفو التقييم بحمل كائنات التقييم على إنتاج استجابات محددة وفقًا للطرق/الأدوات المحددة مسبقًا، ثم الحصول على الأدلة عن طريق فحص وتحليل مخرجات الاستجابة. الأداة الرئيسية المستخدمة في المقابلات هي قائمة المقابلات. يقوم موظفو التقييم بمعالجة الأسئلة المدرجة في قائمة المقابلات واحدة تلو الأخرى من خلال تبادل الآراء وإجراء المناقشات مع الموظفين المرتبطين بنظام المعلومات، ويتعرفون على حالة الحماية الأمنية لنظام المعلومات ويؤكدونها بناءً على إجابات الأشخاص الذين تتم مقابلتهم. الأداة الرئيسية المستخدمة في عمليات التفتيش هي قائمة التحقق. يقوم موظفو التقييم بمعالجة الأسئلة المدرجة في قائمة التحقق واحدة تلو الأخرى من خلال أنشطة مثل الملاحظة والفحص والتحليل. بناءً على اختلاف كائنات التفتيش، يمكن تقسيم عمليات التفتيش بشكل أكبر إلى مراجعة الوثائق والملاحظة الميدانية والتحقق من التكوين. وبناءً على اختلاف الأدوات وعمليات التنفيذ، يمكن تقسيم الاختبارات بشكل أدق إلى اكتساب المعلومات، ومسح الثغرات الأمنية، واختبار الاختراق، والتحليل التشفيري. يشير اكتساب المعلومات إلى الحصول على معلومات مثل أسماء المضيفات/الأجهزة العاملة، وعناوين IP، وأنظمة التشغيل، ومنافذ الخدمة المفتوحة، وحزم البيانات المحددة؛ أما مسح الثغرات الأمنية فيشير إلى استخدام أجهزة مسح الثغرات الأمنية لفحص الأجهزة المستهدفة تلقائيًا واكتشاف التكوينات الخاطئة والثغرات الأمنية المعروفة على كل منفذ شبكي مفتوح لهذه المضيفات/الأجهزة؛ ويحاكي اختبار الاختراق تقنيات الهجوم التي قد يستخدمها القراصنة، ويحاول اقتحام نظام المعلومات أو الحصول على المزيد من الموارد الموجودة عليه، وذلك من أجل تقييم الحالة الأمنية لنظام المعلومات بشكل مباشر. إن إجراء مسح الثغرات الأمنية واختبار الاختراق على نظام المعلومات من نقاط وصول مختلفة يمكن أن يعكس الحالة الأمنية لنظام المعلومات من زوايا ومنظورات مختلفة.
2.3.2 تقييم الوحدات
إن دمج مؤشرات التقييم وطرق التقييم مع كائنات التقييم المحددة لنظام المعلومات يشكل وحدات عمل يمكن تقييمها بشكل محدد. ستقوم مؤسسة التقييم بإجراء تقييمات للوحدات بشكل منفصل لكل من الأمن المادي، وأمن الشبكات، وأمن أنظمة المضيف، وأمن التطبيقات، وأمن البيانات والنسخ الاحتياطي/الاستعادة، وهيئة الإدارة الأمنية، وأنظمة الإدارة الأمنية، وإدارة أمن الموظفين، وإدارة بناء الأنظمة، وإدارة تشغيل وصيانة الأنظمة.
2.3.3 التقييم الشامل
بعد دمج ضوابط الأمان الخاصة بنظام المعلومات في بنيته، تنشأ علاقات مترابطة متمثلة في الاتصال والتفاعل والاعتماد والتنسيق داخل كل طبقة، وفيما بين الطبقات، وفيما بين المناطق المختلفة، مما يجعل وظيفة الأمان العامة لنظام المعلومات مرتبطة ارتباطًا وثيقًا بهيكله، وتتسم بطابع التكامل ككل. هذه الخصائص التكاملية لا تنعكس بالكامل في وحدات عمل ضوابط الأمان. لذلك، وبالاستناد إلى تقييم ضوابط الأمان، من الضروري إجراء تقييم شامل للنظام المتكامل وبيئة تشغيله. يركز التقييم الأمني فيما بين ضوابط الأمان بشكل أساسي على التأثيرات المترابطة القائمة بين مختلف ضوابط الأمان في نفس الطبقة، كالتعزيز الوظيفي أو التكملة أو الإضعاف. فعلى سبيل المثال، يرتبط كل من مصادقة الهوية والتحكم في الوصول في طبقة المضيف ارتباطًا وثيقًا، ويجب إيلاء الاهتمام لتأثيراتهما المترابطة والتكاملية. ويركز التقييم الأمني فيما بين الطبقات بشكل أساسي على التأثيرات المترابطة القائمة بين مختلف الطبقات داخل نفس المنطقة، كالتعزيز الوظيفي والتكملة والإضعاف. فعلى سبيل المثال، ترتبط كل من طبقة الشبكة وطبقة نظام المضيف وجانب إدارة تشغيل وصيانة النظام ضمن إدارة الأمان ارتباطًا وثيقًا، ويجب إيلاء الاهتمام لتأثيراتها المترابطة والتكاملية. ويركز التقييم الأمني فيما بين المناطق بشكل أساسي على التأثيرات المترابطة القائمة بين مختلف المناطق المترابطة والقابلة للتشغيل المتبادل (بما في ذلك الترابط المادي والمنطقي)، كتعزيز وظائف الأمان وتكملتها وإضعافها، ولا سيما المنطقتان المختلفتان اللتان يتم تبادل البيانات بينهما. أما تقييم أمان هيكل النظام فيركز بشكل أساسي على أمان الهيكل العام لنظام المعلومات ومدى معقولية الاحتياطات الأمنية العامة. يجب أن يبدأ تقييم أمان الهيكل العام من التخطيط المادي لنظام المعلومات، والطوبولوجيا الشبكية، والمنطق التجاري (تدفق البيانات التجارية)، وتنفيذ النظام، ونهج التكامل، ومع مراعاة التهديدات التي قد تواجهها المواقع المختلفة والثغرات الأمنية التي قد تنكشف، يتم تحديد شامل لمدى معقولية التخطيط العام لنظام المعلومات ومدى كونه آمنًا وفعالًا ككل. بعد فحص طرق التنفيذ المحددة ونشر تدابير الحماية الأمنية لنظام المعلومات، وتحليل العلاقة بين المناطق المختلفة والحدود المختلفة وتدابير الحماية الأمنية، والعلاقة بين الأعمال الهامة والمعلومات الأساسية وتدابير الحماية الأمنية، بالاقتران مع تدفق البيانات التجارية للنظام، يجب الاسترشاد بمتطلبات الدفاع المتعمق لتحديد ما إذا كانت الاحتياطات الأمنية لنظام المعلومات تبرز النقاط الأساسية وتتعمق طبقة تلو الأخرى، وذلك من أجل تحديد شامل لمدى ملاءمة ومعقولية الاحتياطات الأمنية العامة لنظام المعلومات.
2.4 الإبلاغ عن نتائج الاختبار والتصحيح
بعد الانتهاء من تقييم نظام معلومات المستشفى، تصدر مؤسسة التقييم “تقرير التقييم المصنف لنظام المعلومات”. ويجب على المستشفى تقديم تقرير التقييم إلى جهاز الأمن العام المحلي لغايات الإيداع. ووفقًا لنتائج التقييم الواردة في التقرير، واستنادًا إلى معايير مثل “المتطلبات الأساسية للحماية المصنفة لأمان أنظمة المعلومات”، وفي ضوء طبيعة العمل الفعلي للمستشفى، يجب على المستشفى تنظيم وتنفيذ أعمال البناء الأمني والتصحيح المتعلقة بالحماية المصنفة، وإسناد مهام التصحيح إلى أفراد محددين، وإكمال جميع أعمال التصحيح خلال المهلة الزمنية المتوقعة.
2.5 صياغة نظام إدارة الحماية التصنيفية لمعلومات المستشفيات
ستقوم المستشفى، بالرجوع إلى متطلبات إدارة الحماية التصنيفية لأمن المعلومات، وفي ضوء وضعها الفعلي الخاص، ببناء نظام إدارة الحماية التصنيفية لأمن المعلومات التابع لها من جوانب هيكل إدارة أمن المعلومات، وأنظمة إدارة أمن المعلومات، وأمن العاملين في المجال المعلوماتي، وإدارة بناء الأنظمة، وإدارة تشغيل الأنظمة وصيانتها.
بشكل عام، يجب أن ينطلق نظام بناء الحماية التصنيفية لأمن المعلومات من الاحتياجات الفعلية، وأن يختبر بشكل دوري مدى الامتثال والمعقولية لعملية البناء. يُقصد بالامتثال بناء نظام أمن معلومات متكامل للمستشفى تحت توجيه متطلبات السياسات: تنفيذ المعايير الوطنية للحماية التصنيفية؛ والاستجابة للروح التوجيهية لوزارة الصحة في دفع بناء الحماية التصنيفية؛ واجتياز التقييم الوطني للحماية التصنيفية؛ والعمل كنموذج تجريبي ورائد لبناء نظام أمن المعلومات ومشاريع الحماية التصنيفية في القطاع الطبي. أما الاحتياجات الفعلية فتعني تنفيذ البناء المنهجي في ضوء متطلبات تطوير الأعمال الخاصة بالمستشفى، والرفع الفعلي لمستوى حماية أمن المعلومات لديها: تحقيق الدفاع النشط ضد تهديدات الاختراق الخارجي، والوقاية من الآثار الضارة الناتجة عن العمليات الداخلية غير المنتظمة؛ وتقليل صعوبة أعمال إدارة المعلومات اليومية، ورفع كفاءة إدارة التشغيل للأنظمة المعلوماتية المعقدة وغير المتجانسة، من أجل تحقيق مبدأ “وجود قواعد يُلتزم بها وتقنيات متاحة للاستخدام”؛ والتخطيط والمعيرة بشكل منطقي لبناء أنظمة المعلومات التي تم تشييدها بالفعل، والأنظمة الجديدة، والأنظمة المخطط لبنائها.