Bagian 3 Persyaratan Keamanan Informasi untuk Laboratorium Medis

I. Kondisi Lingkungan

  1. Dokumen prosedur harus dibuat untuk memelihara sistem informasi yang digunakan untuk mengumpulkan, mengolah, mencatat, melaporkan, menyimpan, atau mengambil data dan informasi pemeriksaan, guna memastikan pengoperasian normalnya dan menyediakan kondisi lingkungan serta pengoperasian yang diperlukan. Integritas data dan informasi harus dipelihara dan dicatat; fasilitas dan peralatan komputer harus dijaga kebersihannya, serta lokasi penempatan dan lingkungannya harus mematuhi ketentuan terkait (seperti ventilasi, listrik statis, suhu, dan kelembapan).

  2. Penempatan komputer harus mematuhi persyaratan keselamatan kebakaran.

  3. Tindakan perlindungan harus disediakan untuk kabel listrik dan kabel komputer yang berada di area lalu lintas.

  4. Catu daya tak terputus (UPS) harus disediakan untuk server LIS dan komputer yang terlibat dalam pengolahan data, guna mencegah kerusakan atau kehilangan data di LIS yang disebabkan oleh pemadaman listrik mendadak.

  5. Ketentuan dan tindakan harus dibuat untuk mencegah orang yang tidak berwenang mengakses fasilitas informasi.

II. Panduan Prosedur

  1. Panduan prosedur sistem operasi komputer dan instruksi kerja harus dibuat; dokumen tersebut dapat berbentuk elektronik agar memudahkan penggunaan oleh semua pengguna komputer yang berwenang, dan harus tersedia di lokasi tempat aktivitas dilakukan.

  2. Tujuan program komputer, cara pengoperasiannya, dan interaksinya dengan program komputer lain harus dijelaskan secara jelas. Tingkat detailnya harus cukup untuk mendukung administrator sistem informasi komputer dalam melakukan pemecahan masalah terkait dan melakukan perubahan sistem atau, jika diperlukan, modifikasi program yang berwenang.

  3. Panduan prosedur sistem komputer dan instruksi kerja harus ditinjau dan disetujui secara berkala oleh direktur laboratorium atau personel yang berwenang; panduan prosedur sistem komputer dan instruksi kerja yang digunakan harus mutakhir dan efektif.

  4. Prosedur harus dibuat agar, jika terjadi kebakaran atau kerusakan perangkat lunak maupun perangkat keras, tersedia tindakan untuk melindungi data, informasi, dan peralatan komputer.

III. Keamanan Sistem

  1. Pengguna LIS harus memiliki wewenang. Pemberian wewenang untuk LIS harus dirinci, dan wewenang diberikan kepada personel yang mengakses data pasien, memasukkan hasil pemeriksaan pasien, mengubah hasil, mengubah tagihan, atau mengubah program komputer.

  2. Semua orang yang berwenang masuk ke LIS laboratorium harus menjaga kerahasiaan informasi pasien di semua komputer dan sistem informasi. Laboratorium dan pusat manajemen jaringan harus memastikan bahwa: (1) prosedur dibuat dan diterapkan untuk melindungi integritas data di semua komputer dan sistem informasi setiap saat; (2) program komputer dan metode lainnya cukup untuk melindungi pengumpulan, pengolahan, pencatatan, pelaporan, penyimpanan, atau pengambilan data dan informasi pemeriksaan, guna mencegah akses, modifikasi, atau penghancuran yang tidak disengaja maupun tidak berwenang.

  3. Pemasangan perangkat lunak secara ilegal di komputer laboratorium dilarang, dan penggunaan kandar kilas USB serta perangkat transkripsi data lainnya dilarang.

  4. Jika informasi dari sistem komputer lain (seperti sistem farmasi atau rekam medis) dapat diakses melalui sistem komputer laboratorium, tindakan keamanan komputer yang sesuai harus diterapkan untuk mencegah akses tidak berwenang terhadap informasi tersebut.

  5. Tindakan keamanan komputer yang sesuai harus diterapkan untuk mencegah akses tidak berwenang dan perubahan tidak berwenang terhadap informasi laboratorium pasien mana pun melalui sistem komputer lain (seperti sistem farmasi atau rekam medis).

  6. Data yang ditransmisikan melalui jaringan, baik di dalam maupun di luar institusi, harus dilindungi dari penyadapan atau penerimaan ilegal.

IV. Entri Data dan Pelaporan

  1. Konsistensi antara hasil laporan pemeriksaan akhir di LIS dan data input asli harus diperiksa secara berkala, serta dokumen prosedur dan catatan untuk mencegah kesalahan transmisi data harus dipelihara. Data harus diperiksa secara berkala untuk mendeteksi kesalahan yang muncul selama pemrosesan dan penyimpanan. Contohnya: (1) Konsistensi antara data di sistem kueri hasil pemeriksaan seperti stasiun kerja dokter dan perawat dengan data asli harus diperiksa secara berkala. (2) Ketika instrumen baru dihubungkan ke LIS, sejumlah perbandingan antara data instrumen dan data LIS harus dilakukan.

  2. Salinan ganda tabel yang dipelihara di sistem yang berbeda (misalnya, tabel interval referensi biologis di sistem informasi laboratorium dan sistem informasi rumah sakit) harus diperiksa secara berkala untuk memastikan konsistensi semua salinan selama penggunaan. Prosedur replikasi atau perbandingan yang sesuai harus tersedia, dan pemeriksaan berkala harus dilakukan.

  3. Laboratorium harus mengaudit dan mencatat proses serta hasil pemrosesan data pasien oleh komputer secara berkala. Catatan: proses dan hasil pemrosesan data pasien merujuk pada setiap modifikasi yang dilakukan pada catatan pasien berdasarkan data yang dimasukkan, termasuk perhitungan numerik, fungsi logis, verifikasi otomatis hasil, dan penambahan catatan tambahan.

  4. Ketika data dimasukkan ke komputer atau sistem informasi lainnya dengan metode manual atau otomatis, kebenaran data yang dimasukkan harus diperiksa dan diverifikasi sebelum tinjauan akhir komputer dan penerbitan laporan. Jika memungkinkan, entri hasil harus diperiksa berdasarkan rentang numerik yang telah ditentukan sebelumnya untuk pemeriksaan tertentu, guna mendeteksi hasil yang tidak wajar atau tidak mungkin sebelum tinjauan dan penerbitan laporan akhir.

  5. Direktur laboratorium harus meninjau dan menyetujui konten serta format laporan laboratorium di LIS, dan harus meminta pendapat dari tenaga klinis.

  6. LIS harus memiliki prosedur tinjauan laporan dalam operasional normal. Manajemen laboratorium atau personel yang ditunjuk harus bertanggung jawab untuk mengirimkan hasil pemeriksaan kepada penerima yang berwenang secara akurat dan efisien, serta harus menyetujui modifikasi di sistem informasi apa pun yang dapat memengaruhi perawatan medis pasien.

  7. LIS sebaiknya memiliki prosedur yang mampu mendeteksi hasil yang tidak wajar atau tidak mungkin sebelum komputer menerbitkan laporan; setelah data pasien dimodifikasi, data asli harus tetap dapat ditampilkan. LIS harus mampu menampilkan data historis pasien, sehingga tenaga pemeriksa dapat membandingkan data pengujian selama tinjauan laporan.

  8. Format laporan di LIS harus menyediakan fungsi penambahan catatan tambahan seperti kualitas sampel dan interpretasi hasil.

  9. LIS harus mampu mengidentifikasi dan mencatat informasi personel yang telah mengakses atau memodifikasi data pasien, dokumen kendali, atau program komputer.

  10. LIS harus memiliki prosedur yang mampu mendeteksi hasil nilai kritis dan mengeluarkan peringatan dini sebelum komputer menerbitkan laporan, serta harus memberitahu pihak klinis secara tepat waktu melalui prosedur terkait (misalnya, layar berkedip di stasiun kerja dokter dan perawat) dan menyimpan catatan (termasuk tanggal dan waktu pihak klinis menerima hasil nilai kritis, hasil nilai kritis, penerima hasil nilai kritis, pemberi notifikasi, serta tanggal dan waktu notifikasi).

  11. LIS harus memiliki fungsi pemilihan metode kontrol kualitas internal, analisis data, pembuatan grafik, inisiasi peringatan, dan alarm keadaan di luar kendali, serta fungsi penyimpanan data setelah pelepasan kendali dan data asli, serta fungsi analisis retrospektif dan statistik.

  12. LIS harus memiliki fungsi yang mencerminkan catatan waktu, status operasional, keadaan darurat, dan konten lainnya mulai dari pengumpulan spesimen, transportasi, dan pengiriman ke laboratorium hingga pemeriksaan dan penerbitan laporan.

  13. LIS harus memiliki fungsi yang mencakup penyimpanan gudang, pengeluaran, penggunaan, dan inventaris barang habis pakai laboratorium, serta harus menampilkan peringatan dini saat barang habis pakai mulai menipis.

V. Pengambilan dan Penyimpanan Data

  1. Data hasil pemeriksaan pasien dan informasi arsip yang disimpan dalam sistem informasi harus mudah diambil untuk keperluan kueri. Laboratorium harus menentukan masa retensi data hasil pemeriksaan pasien dan informasi arsip dalam sistem informasinya. Masa retensi tersebut harus mematuhi persyaratan batas waktu nasional untuk rekam medis elektronik. Metode pengambilan dan kueri harus dikonsultasikan dengan tenaga klinis.

  2. LIS harus mampu mereproduksi secara lengkap hasil pemeriksaan yang diarsipkan dan informasi tambahan lain yang diperlukan, termasuk ketidakpastian pengukuran, interval referensi biologis, serta peringatan, catatan kaki, atau catatan penjelas yang dilampirkan pada hasil pemeriksaan.

  3. Jika tidak ada sarana lain yang tersedia, data pasien dan data laboratorium harus dapat diambil secara “daring” dalam batas waktu yang ditentukan.

  4. Dokumen prosedur harus dibuat untuk memberi label yang benar dan menyimpan media penyimpanan data dengan tepat, serta mencegah penggunaan oleh pihak yang tidak berwenang.

  5. LIS harus mencadangkan data hasil pemeriksaan pasien.

VI. Perangkat Keras dan Perangkat Lunak

  1. Prosedur harus dibuat untuk melaksanakan pemeliharaan pencegahan pada seluruh perangkat keras komputer dan menyimpan catatannya, yang tersedia untuk dirujuk kapan saja.

  2. Setelah setiap pencadangan atau pemulihan berkas data, sistem harus diperiksa untuk mendeteksi perubahan yang tidak diinginkan, dan hasil pemeriksaan tersebut harus dicatat.

  3. Perubahan yang dilakukan pada perangkat keras dan perangkat lunak sistem harus diidentifikasi dan dicatat secara akurat. Perubahan pada perangkat keras dan perangkat lunak sistem harus diverifikasi untuk memastikan bahwa perubahan tersebut dapat diterima.

  4. Seluruh perubahan dalam LIS yang dapat memengaruhi perawatan medis pasien, seperti peninjauan ulang laporan, harus melalui proses tinjauan dan persetujuan, dengan disimpannya catatan terkait.

  5. Saat program pertama kali diinstal, atau setelah diubah atau dimodifikasi, pengoperasian normalnya harus diperiksa dan dicatat.

  6. Dokumen prosedur harus dibuat agar tenaga yang berwenang di semua tingkatan dapat melaksanakan pemecahan masalah, modifikasi sistem, atau pemrograman.

  7. Pengguna komputer harus dilatih agar mereka menguasai cara menggunakan sistem baru dan sistem lama yang telah dimodifikasi.

  8. Penanggung jawab khusus harus ditunjuk untuk melaporkan secara tepat waktu ke tingkat atas dan menyimpan catatan saat komputer mengalami gangguan yang jelas.

VII. Pemeliharaan Sistem

  1. Laboratorium harus membuat prosedur untuk menguji seluruh perangkat keras komputer secara berkala. Jadwal pemeliharaan berkala harus tersedia.

  2. Laboratorium harus menetapkan langkah pencadangan yang efektif untuk mencegah hilangnya data pasien akibat kegagalan perangkat keras atau perangkat lunak. Efektivitas pencadangan harus diperiksa secara berkala.

  3. Laboratorium harus menentukan siklus pencadangan dan masa retensi.

  4. Kesalahan yang terdeteksi selama pencadangan sistem dan langkah korektif yang diambil harus dicatat dan dilaporkan kepada penanggung jawab laboratorium.

  5. Sistem alarm komputer (biasanya konsol komputer utama yang memantau kinerja perangkat keras dan perangkat lunak) harus dipantau dan diuji secara berkala untuk memastikan pengoperasian normal.

  6. Dokumen prosedur harus dibuat dengan merinci persyaratan untuk mematikan dan memulai ulang seluruh atau sebagian sistem, guna memastikan integritas data, meminimalkan dampak terhadap layanan yang diberikan laboratorium, dan memastikan pengoperasian sistem yang normal setelah memulai ulang.

  7. Catatan pemeliharaan, servis, dan perbaikan berkala harus disimpan agar operator dapat menelusuri pekerjaan yang telah dilakukan pada komputer mana pun.

  8. Dokumentasi harus dibuat untuk pelaksanaan langkah korektif terhadap gangguan komputer dan penyebabnya, serta catatan terkait harus disimpan.

  9. Rencana tanggap tertulis harus disusun untuk keadaan darurat sistem komputer.

VIII. Validasi Sistem Informasi

  1. Ketika komputer digunakan untuk mengumpulkan, memproses, mencatat, melaporkan, menyimpan, atau mengambil data pemeriksaan, laboratorium harus memastikan bahwa perangkat lunak komputer, termasuk perangkat lunak umum yang digunakan dalam instrumen atau sistem terintegrasi (seperti aplikasi pengolah kata atau spreadsheet), telah divalidasi.

  2. Pada saat instalasi pertama, dan setelah perubahan atau modifikasi yang direncanakan, program harus divalidasi sebelum dapat dioperasikan secara normal.

  3. Setiap perubahan pada perangkat keras atau perangkat lunak sistem harus divalidasi kesesuaiannya untuk mengonfirmasi bahwa semua perubahan layak dilakukan, dan catatan harus disimpan. Informasi tentang semua personel yang menambah atau memodifikasi perangkat lunak harus dicatat.

IX. Pemulihan Data

  1. Prosedur harus ditetapkan untuk menangani waktu henti sistem lain (seperti sistem informasi rumah sakit) guna memastikan integritas data pasien. Prosedur harus ditetapkan untuk memverifikasi pemulihan sistem lain dan penggantian atau pembaruan berkas data.

  2. Semua pemadaman yang tidak direncanakan, periode penurunan kinerja sistem (seperti waktu respons yang melambat), dan masalah komputer lainnya, termasuk penyebab kerusakan dan tindakan korektif yang diambil, harus dicatat. Laboratorium harus segera melaporkan semua kerusakan komputer yang serius kepada personel yang ditunjuk.

  3. Rencana darurat tertulis harus disusun untuk menanggapi peristiwa tertentu dan memastikan bahwa laporan hasil pemeriksaan pasien dapat diterbitkan dengan cepat dan efektif jika terjadi kegagalan komputer atau sistem informasi lainnya.

X. Perlindungan Bertingkat Keamanan Sistem Informasi

1. Latar Belakang Pengembangan

Seiring dengan perkembangan informatisasi rumah sakit yang berkelanjutan, pelaksanaan setiap jenis pekerjaan rumah sakit telah mengadopsi sistem informasi jaringan dalam tingkat yang berbeda-beda, dan peran sistem informasi di rumah sakit menjadi semakin penting. Pengembangan dan pembangunan rumah sakit modern telah terintegrasi dengan informatisasi; ketika keamanan sistem informasi rumah sakit diserang atau dirusak, sehingga rumah sakit tidak dapat melaksanakan berbagai aktivitas medisnya secara normal, hal ini sangat mudah memicu insiden massa sosial, seperti kebocoran informasi pribadi rahasia pasien (penyakit serius), atau pasien menjadi tidak puas dan menimbulkan gangguan di rumah sakit karena sistem pendaftaran terhenti. Oleh karena itu, cara menjaga keamanan sistem informasi rumah sakit juga menjadi isu yang memerlukan perhatian dalam pengembangan informatisasi rumah sakit.

Untuk lebih meningkatkan perlindungan keamanan informasi rumah sakit, Kementerian Kesehatan, menanggapi keadaan terkini dari berbagai sektor industri medis pada tahap saat ini di Tiongkok, menerbitkan “Opini Panduan tentang Pekerjaan Perlindungan Bertingkat Keamanan Informasi di Industri Kesehatan” (Nomor 85 [2011]), yang menjelaskan keterkaitan antara perlindungan bertingkat keamanan informasi dan perlindungan keamanan informasi di industri medis. Sesuai dengan semangat panduan dokumen ini, sistem bisnis inti rumah sakit tingkat tiga kelas A harus dibangun dan dilindungi sesuai dengan Tingkat 3 ketentuan perlindungan bertingkat keamanan informasi.

2. Proses Pembangunan

Pembangunan pekerjaan perlindungan bertingkat keamanan informasi rumah sakit terutama dibagi menjadi proses-proses berikut:

2.1 Tinjauan Klasifikasi Sistem Informasi Rumah Sakit

Berdasarkan ketentuan terkait tentang perlindungan bertingkat keamanan informasi, ketika suatu sistem informasi diserang atau dirusak, konsekuensi yang dihasilkan harus dinilai tingkatannya berdasarkan tingkat kerugian yang ditimbulkan terhadap keamanan nasional, ketertiban sosial dan kepentingan umum, serta kepentingan sah warga negara dan individu.

2.2 Pengarsipan Sistem Informasi Rumah Sakit

Setelah tinjauan klasifikasi sistem informasi rumah sakit, rumah sakit wajib menyerahkan “Formulir Pendaftaran Perlindungan Terklasifikasi Keamanan Sistem Informasi”, “Laporan Klasifikasi Perlindungan Terklasifikasi Keamanan Sistem Informasi”, dan dokumen terkait kepada dinas kesehatan berwenang setempat. Dinas kesehatan wajib melaporkan kepada instansi keamanan publik tingkat kotamadya ke atas untuk pendaftaran dan pencatatan, dan klasifikasi sistem informasi dinyatakan selesai setelah bukti pendaftaran diperoleh.

2.3 Pengujian dan Evaluasi Perlindungan Terklasifikasi Sistem Informasi Rumah Sakit

Setelah menyelesaikan klasifikasi dan pendaftaran sistem informasi, lembaga pengujian dan evaluasi profesional yang diberi wewenang oleh dinas keamanan publik setempat dan memiliki kualifikasi pengujian dan evaluasi perlindungan terklasifikasi keamanan informasi harus dipilih untuk melakukan evaluasi menyeluruh terhadap sistem informasi rumah sakit. Tujuan evaluasi adalah untuk menilai secara objektif kemampuan perlindungan keamanan sistem informasi rumah sakit. Melalui pemeriksaan keamanan pada aspek keamanan fisik, keamanan jaringan, keamanan aplikasi, keamanan data, keamanan host, dan manajemen keamanan, serta menjadikan persyaratan dasar perlindungan terklasifikasi keamanan informasi nasional sebagai dasar acuan keamanan, penentuan kesesuaian secara objektif dilakukan untuk lebih mengukur kemampuan perlindungan keamanan sistem saat ini serta ancaman dan risiko yang dihadapi sistem, sehingga memberikan dasar yang kuat untuk perbaikan keamanan dan pembangunan keamanan di masa mendatang.

2.3.1 Indikator dan Metode Evaluasi

Sistem bisnis inti rumah sakit merupakan sistem perlindungan terklasifikasi Tingkat 3, dan indikator evaluasi keamanan harus mencakup kelas indikator umum Tingkat 3 (G3), kelas indikator keamanan informasi bisnis Tingkat 3 (S3), dan kelas jaminan layanan bisnis Tingkat 3 (A3) dalam Bagian 7.1 “Persyaratan Teknis” pada dokumen “Persyaratan Dasar Perlindungan Terklasifikasi Keamanan Sistem Informasi”.

Tiga jenis metode, yaitu wawancara, inspeksi, dan pengujian, akan digunakan dalam pekerjaan evaluasi di lokasi. Wawancara adalah metode di mana personel evaluasi memperoleh bukti melalui aktivitas seperti pertukaran pandangan dan diskusi dengan personel yang terkait dengan sistem informasi. Inspeksi adalah metode di mana personel evaluasi memperoleh bukti melalui aktivitas seperti pengamatan, pemeriksaan, dan analisis terhadap objek evaluasi. Pengujian merujuk pada aktivitas di mana personel evaluasi mengarahkan objek evaluasi untuk menghasilkan respons spesifik sesuai dengan metode/alat yang telah ditentukan, kemudian memperoleh bukti dengan memeriksa dan menganalisis keluaran respons tersebut. Alat utama yang digunakan dalam kegiatan wawancara adalah daftar wawancara. Personel evaluasi menindaklanjuti pertanyaan-pertanyaan dalam daftar wawancara satu per satu melalui pertukaran pandangan dan diskusi dengan personel yang terkait dengan sistem informasi, serta mempelajari dan mengonfirmasi kondisi perlindungan keamanan sistem informasi berdasarkan jawaban para responden. Alat utama yang digunakan dalam kegiatan inspeksi adalah daftar verifikasi. Personel evaluasi menindaklanjuti pertanyaan-pertanyaan dalam daftar verifikasi satu per satu melalui aktivitas seperti observasi, pemeriksaan, dan analisis. Berdasarkan perbedaan objek inspeksi, inspeksi dapat dibagi lebih lanjut menjadi tinjauan dokumen, observasi lapangan, dan verifikasi konfigurasi. Berdasarkan perbedaan alat dan proses implementasi, pengujian dapat dibagi lebih lanjut menjadi akuisisi informasi, pemindaian kerentanan, pengujian penetrasi, dan analisis kriptografi. Akuisisi informasi merujuk pada perolehan informasi seperti nama host/perangkat yang aktif, alamat IP, sistem operasi, port layanan yang terbuka, dan paket data tertentu; pemindaian kerentanan merujuk pada penggunaan perangkat pemindaian kerentanan untuk menyelidiki perangkat target secara otomatis dan menemukan kesalahan konfigurasi serta kerentanan keamanan yang telah diketahui pada setiap port jaringan terbuka milik host/perangkat tersebut; pengujian penetrasi mensimulasikan teknik serangan yang mungkin digunakan oleh peretas, dengan upaya menyusup ke sistem informasi atau memperoleh lebih banyak sumber daya di dalamnya, guna mengevaluasi status keamanan sistem informasi secara langsung. Pelaksanaan pemindaian kerentanan dan pengujian penetrasi pada sistem informasi dari berbagai titik akses yang berbeda dapat mencerminkan status keamanan sistem informasi dari berbagai sudut dan perspektif.

2.3.2 Evaluasi Unit

Penggabungan indikator evaluasi dan metode evaluasi dengan objek evaluasi spesifik sistem informasi membentuk unit kerja yang dapat dievaluasi secara khusus. Lembaga evaluasi akan melakukan evaluasi unit secara terpisah untuk aspek keamanan fisik, keamanan jaringan, keamanan sistem host, keamanan aplikasi, keamanan data dan pencadangan/pemulihan, organisasi manajemen keamanan, sistem manajemen keamanan, manajemen keamanan personel, manajemen pembangunan sistem, serta manajemen operasi dan pemeliharaan sistem.

2.3.3 Evaluasi Keseluruhan

Setelah kontrol keamanan suatu sistem informasi diintegrasikan ke dalam sistem informasi tersebut, muncul hubungan saling terkait seperti koneksi, interaksi, ketergantungan, dan koordinasi di dalam lapisan, antar lapisan, dan antar wilayah, sehingga fungsi keamanan keseluruhan sistem informasi berkaitan erat dengan strukturnya dan menunjukkan karakteristik terintegrasi secara keseluruhan. Karakteristik terintegrasi ini tidak sepenuhnya tercermin dalam unit kerja kontrol keamanan. Oleh karena itu, berdasarkan evaluasi kontrol keamanan, perlu dilakukan evaluasi menyeluruh terhadap sistem yang terintegrasi dan lingkungan operasionalnya.

Evaluasi keamanan antar kontrol keamanan utamanya mempertimbangkan efek korelatif, seperti peningkatan fungsi, pelengkapan, atau pelemahan, yang ada di antara kontrol keamanan yang berbeda pada lapisan yang sama. Misalnya, autentikasi identitas dan kontrol akses pada lapisan host berkaitan erat, dan perlu diperhatikan efek korelatif serta komplementer keduanya.

Evaluasi keamanan antar lapisan utamanya mempertimbangkan efek korelatif, seperti peningkatan fungsi, pelengkapan, dan pelemahan, yang ada di antara lapisan yang berbeda di dalam wilayah yang sama. Misalnya, lapisan jaringan, lapisan sistem host, dan aspek manajemen operasi serta pemeliharaan sistem dari manajemen keamanan berkaitan erat, dan perlu diperhatikan efek korelatif serta komplementer ketiganya.

Evaluasi keamanan antar wilayah utamanya mempertimbangkan efek korelatif, seperti peningkatan, pelengkapan, dan pelemahan fungsi keamanan, yang ada di antara wilayah berbeda yang saling terhubung dan dapat beroperasi bersama (termasuk interkoneksi fisik dan logis), terutama dua wilayah berbeda yang terjadi pertukaran data di antaranya.

Evaluasi keamanan struktur sistem utamanya mempertimbangkan keamanan struktur keseluruhan sistem informasi dan rasionalitas tindakan pencegahan keamanan secara keseluruhan. Evaluasi keamanan struktur keseluruhan harus dimulai dari tata letak fisik, topologi jaringan, logika bisnis (aliran data bisnis), implementasi sistem, dan pendekatan integrasi sistem informasi, serta dengan mempertimbangkan ancaman yang mungkin dihadapi di berbagai posisi dan kerentanan yang mungkin terekspos, menentukan secara komprehensif apakah tata letak keseluruhan sistem informasi rasional dan apakah sistem tersebut aman serta efektif secara keseluruhan.

Setelah memeriksa metode implementasi spesifik dan penerapan langkah-langkah perlindungan keamanan sistem informasi, serta menganalisis, dikombinasikan dengan aliran data bisnisnya, hubungan antara wilayah yang berbeda dan batas yang berbeda dengan langkah-langkah perlindungan keamanan, serta hubungan antara bisnis penting dan informasi kunci dengan langkah-langkah perlindungan keamanan, persyaratan pertahanan berlapis dijadikan acuan untuk mengidentifikasi apakah tindakan pencegahan keamanan sistem informasi menonjolkan poin-poin kunci dan diperdalam lapis demi lapis, guna menentukan secara komprehensif apakah tindakan pencegahan keamanan keseluruhan sistem informasi sudah tepat dan rasional.

2.4 Pelaporan Hasil Pengujian dan Perbaikan

Setelah menyelesaikan evaluasi sistem informasi rumah sakit, lembaga evaluasi akan menerbitkan “Laporan Evaluasi Terklasifikasi Sistem Informasi”. Rumah sakit wajib menyerahkan laporan evaluasi tersebut kepada instansi keamanan publik setempat untuk pengarsipan. Berdasarkan hasil evaluasi dalam laporan evaluasi, dengan merujuk pada standar seperti “Persyaratan Dasar Perlindungan Terklasifikasi Keamanan Sistem Informasi”, dan disesuaikan dengan pekerjaan aktual rumah sakit, rumah sakit wajib menyelenggarakan dan melaksanakan pekerjaan pembangunan keamanan dan perbaikan untuk perlindungan terklasifikasi, menugaskan pekerjaan perbaikan kepada personel tertentu, dan menyelesaikan perbaikan dalam batas waktu yang telah ditetapkan.

2.5 Perumusan Sistem Manajemen Perlindungan Terklasifikasi Informasi Rumah Sakit

Rumah sakit akan, dengan merujuk pada persyaratan manajemen perlindungan terklasifikasi keamanan informasi dan mempertimbangkan situasi aktualnya sendiri, membangun sistem manajemen perlindungan terklasifikasi keamanan informasinya dari aspek organisasi manajemen keamanan informasi, sistem manajemen keamanan informasi, keamanan personel informasi, manajemen pembangunan sistem, serta manajemen operasi dan pemeliharaan sistem.

Secara umum, sistem pembangunan perlindungan terklasifikasi keamanan informasi harus didasarkan pada kebutuhan aktual dan menguji kepatuhan serta rasionalitas pembangunan secara berkala. Kepatuhan berarti membangun sistem keamanan informasi rumah sakit yang lengkap di bawah panduan persyaratan kebijakan: menerapkan standar perlindungan terklasifikasi nasional; menindaklanjuti semangat panduan Kementerian Kesehatan dalam memajukan pembangunan perlindungan terklasifikasi; lulus evaluasi perlindungan terklasifikasi nasional; serta menjadi uji coba dan percontohan bagi pembangunan sistem keamanan informasi dan pembangunan perlindungan terklasifikasi di industri medis. Kebutuhan aktual berarti melaksanakan pembangunan sistematis dengan mempertimbangkan persyaratan pengembangan bisnis rumah sakit itu sendiri dan secara nyata meningkatkan tingkat perlindungan keamanan informasinya sendiri: mewujudkan pertahanan aktif terhadap ancaman intrusi eksternal dan mencegah dampak berbahaya yang ditimbulkan oleh operasi internal yang tidak teratur; mengurangi kesulitan pekerjaan manajemen informasi sehari-hari dan meningkatkan efisiensi operasi serta manajemen untuk sistem informasi heterogen yang kompleks, sehingga dapat mewujudkan “terdapat hukum yang dapat dipatuhi dan teknik yang dapat digunakan”; serta merencanakan secara rasional dan menstandarisasi pembangunan sistem informasi yang sudah dibangun, yang baru dibangun, dan yang direncanakan pembangunannya.