Manajemen Resiko Implementasi Rekam Medis Elektronik

Kendala Rekam Medis Elektronik

•Masih kurangnya keterampilan SDM untuk operasional rekam medis elektronik. Banyak tenaga Kesehatan yang masih gagap teknologi informasi

•Infrastruktur jaringan komunikasi dan data yang tidak sesuai standar sehingga mengganggu proses transfer data antara client dengan server.

•Tidak memiliki backup perangkat Ketika terjadi kerusakan hardware.

•Sebelum RME diimplementasikan, SIMRS ini merupakan sistem elektronik yang harus lebih dulu berjalan dengan baik, karena RME erat kaitannya dengan proses bisnis lain yang ada di rumah sakit

Alur Kerja Manajemen Risiko Sistem Informasi & RME

•Penilaian risiko (risk assessment), yaitu sebuah proses mengumpulkan dan menganalisis informasi mengenai aset dan kontrol organisasi, serta menggabungkan data tersebut dengan melakukan evaluasi kemungkinan peristiwa yang dapat menimbulkan ancaman bagi lingkungan TI dan potensi dampaknya guna menentukan dan memprioritaskan risiko yang dimiliki oleh suatu organisasi.

•Perlakukan risiko (risk treatment), yaitu tindakan yang diambil untuk memulihkan, mengurangi, menghindari, menerima, mentransfer, ataupun mengelola risiko yang terjadi.

Alur Proses Penilaian Risiko

•Resource profiling – tahap untuk mendeskripsikan sumber daya dan tingkat sensitivitas risiko yang dilakukan oleh pemilik bisnis.

•Risk assessment – proses yang dilakukan oleh keamanan informasi dalam mengidentifikasi ancaman, kerentanan, dan risiko.

•Risk evaluation – sebuah keputusan yang dibuat oleh keamanan informasi dan pemilik bisnis untuk menerima, menghindari, mentransfer, ataupun mengurangi risiko.

•Document – tahap dalam mendokumentasikan keputusan risiko termasuk pengecualian dan rencana mitigasi yang dilakukan oleh keamanan informasi dan pemilik bisnis.

•Risk mitigation – proses penerapan rencana mitigasi dengan kontrol tertentu yang dilakukan oleh seseorang yang bertanggung jawab terhadap sumber daya.

•Validation – keamanan informasi akan melakukan uji kontrol untuk memastikan eksposur risiko aktual sesuai dengan tingkat risiko yang diinginkan.

•Monitoring and audit – keamanan informasi dan pemilik bisnis akan terus melacak perubahan pada sistem yang dapat memengaruhi profil risiko dan juga melakukan audit secara rutin.

Resiko Yang Mungkin Ditimbulkan Sebagai Akibat Dari Gagalnya Pengembangan suatu RME

•RME yang dikembangkan tidak sesuai dengan kebutuhan organisasi rumah sakit.

•Melonjaknya biaya pengembangan RME karena adanya “scope creep” (atau pengembangan berlebihan) yang tanpa terkendali.

•RME yang dikembangkan tidak dapat meningkatkan kinerja organisasi

Identifikasi Risiko

•Manajemen suatu risiko dimulai dengan tahapan identifikasi risiko, yaitu suatu tahapan mengidentifikasi kemungkinan faktor-faktor risiko yang mungkin muncul dari tahap pengembangan perangkat lunak atau dalam hal ini adalah sistem informasi dan teknologi informasi (SI/TI). Proses identifikasi risiko ini dilakukan sesuai tahapan pengembangan dari suatu perangkat lunak mengacu pada System Development Life Cycle (SDLC), sehingga identifikasi faktor risiko akan digambarkan sesuai masing-masing tahapan dalam SDLC. Keluaran dari tahapan identifikasi risiko ini adalah daftar kemungkinan faktor-faktor risiko yang mungkin terjadi dalam pengembangan SI/TI

Identifikasi Risiko Untuk Setiap Tahap Pada SDLC

•Tahap Investigasi, Tahap mendefinisikan sistem (ruang lingkup pengembangan dan pendokumentasian), contoh kemungkinan risiko ditahap ini adalalah tidak adanya kebijakan pihak manajerial yang mendukung standar pengembangan SI/TI, tidak adanya dokumentasi perencanaan kebutuhan pengembangan sistem.

•Tahap Pengembangan, Tahap suatu SI/TI dirancang, pembelian komponen pendukung, penyusunan aplikasi dan konstruksi SI/TI, contoh kemungkinan risiko yang muncul ditahap ini adalah tidak adanya spesifikasi komponen yang jelas, belum jelas vendor yang akan bekerja sama dalam pembelian komponen pendukung.

•Tahap Implementasi, Tahap ini meliputi konfigurasi keamanan SI/TI, uji coba dan verifikasi SI/TI, contoh kemungkinan risiko yang muncul adalah belum adannya konfigurasi keamanan sistem, belum adanya butir uji untuk pengujian dan verifikasi sistem yang akan diimplementasikan.

•Tahap Pengoperasian dan Perawatan, Tahap ini SI/TI yang dikembangkan akan dijalankan tetapi secara berkala membutuhkan modifikasi, penambahan perangkat keras maupun lunak, perubahan tenaga operasi dan kebijakan organisasi, contoh kemungkinan risiko yang muncul adalah belum adanya manajemen konfigurasi yang digunakan untuk memelihara konsistensi antara sistem, desain, kode dan test case.

•Tahap Penyelesaian dan Penyebaran, Tahap penggunaan SI/TI dan investasi baru, contoh kemungkinan risiko yang muncul adalah belum adanya prosedur pemusnahan atas komponen-komponen sistem yang sudah tidak layak pakai, atau belum terkelolanya keamanan sistem

RISIKO PADA TAHAP INVESTIGASI

•Tidak ada kebijakan manajerial dalam standar pengembangan SI/TI

•Tidak adanya dokumentasi perencanaan kebutuhan SI/TI

•Penentuan tim pengembang SI/TI yang belum jelas

•Belum adanya jadwal kegiatan pengembangan SI/TI

•Biaya pengembangan belum masuk ke dalam RENSTRA perusahaan

•Tidak adanya hasil audit SI/TI yang sudah ada

RISIKO PADA TAHAP PENGEMBANGAN

•Spesifikasi komponen SI/ TI yang tidak jelas

•Penentuan vendor untuk pembelian komponen

•Pengembangan yang belum jelas

•Harga komponen pengembangan SI/TI yang fluktuatif

•Proses analisis dan perancangan SI/TI yang tidak sesuai dengan kebutuhan perusahaan

•Regulasi yang berubah-ubah

RISIKO PADA TAHAP IMPLEMENTASI

•Belum adanya verifikasi implementasi

•Belum adanya butir uji sistem yang jelas

•Kesalahan perencanaan SI/TI yang dikembangkan

•SI/TI yang dikembangkan menghasilkan SOP baru

•Penambahan modul pengembangan SI/TI yang tiba-tiba

•Permintaan baru pihak manajerial yang tidak sesuai dengan kesepakatan sebelumnya

•Pengerjaan pengembangan SI/TI yang tidak sesuai jadwal

RISIKO PADA TAHAP PENGOPERASIAN & PERAWATAN

•Belum adanya konfigurasi, pemeliharaan desain, implementasi, dan test case

•Ketidaksesuaian kebiasaan dan SOP yang akan diterapkan

•Masih banyaknya kepentingan pribadi dari pihak manajerial

•Adanya protes dari bagian lain

•Perencanaan waktu testing yang tidak sesuai

•Kualifikasi SDM yang tidak sesuai pada proses testing SI/TI

•Adanya perubahan konten atau penambahan modul SI/TI

RISIKO PADA TAHAP PENYELESAIAN

•Belum ada prosedur pemusnahan komponen tidak layak pakai

•Belum terkelolanya keamanan sistem

•Waktu penyerahan SI/TI yang tidak sesuai jadwal

•Biaya penggantian peralatan

•Biaya tambahan pengembangan SI/TI

Ancaman Pada Pengembangan & Impelementasi RME/SI/TI

•Bencana alam dan politik  : Gempa bumi, banjir, kebakaran, perang.

•Kesalahan manusia : Kesalahan pemasukkan data, kesalahan penghapusan data, kesalahan operator (salah memberi label pada pita magnetik), hacking, gangguan sistem, adalah mengubah data, penggunaan informasi secara ilegal, dan sabotase sistem.

•Kegagalan perangkat lunak dan perangkat keras : Gangguan listrik, kegagalan peralatan, kegagalan fungsi perangkat lunak.

•Kecurangan dan kejahatan komputer : Penyelewengan aktivitas, sabotase, pengaksesan oleh orang yang tidak berhak.

•Gangguan pada program : Virus, cacing (worm), bom waktu, dan penyalahgunaan komputer (spoofing).

Cara yang bisa dilakukan oleh rumah sakit yang akan mengembangkan RME/SI/TI dalam menghadapi ancaman dalam pengembangan & Implementasinya

•Pengaturan akses dan identifikasi user/ pengguna sistem informasi dan teknologi informasi.

•Pembuktian keaslian pemakai atau user authentication

•Pemantauan serangan pada sistem

•Penggunaan teknologi enkripsi data untuk keamanan sistem informasi

Penanganan/Mitigasi Risiko

•Penanganan risiko merupakan tahapan terakhir dari analisis manajemen risiko. Melakukan mitigasi dengan membagi menjadi beberapa tingkat resiko seperti Resiko Rendah, Resiko Sedang, Resiko Tinggi

•Level Risiko Rendah Seperti Kerusakan Hardware/Perangkat Pendukung seperti UPS, Printer, Server yang sudah berumur, kabel jaringan yang sudah terlalu lama, Penanganan dengan menyiapkan usulan anggaran proyek pengembangan SI/TI untuk dimasukan dalam anggaran perusahaan.

•Level Resiko Sedang seperti Gangguan listrik, kegagalan peralatan, kegagalan fungsi perangkat lunak, kesalahan input data, penghapusan data, kebocoran user rpivilages dll, Penanganan dengan mengevaluasi berbagai alternatif konfigurasi, pemasangan log aktivitas user dll.

•Level Resiko Tinggi seperti kebocoran data server karena proses hacking, Server gagal booting, hardisk corrupt, bencana alam, Penanganan dengan mengidentifikasi area permasalahan potensial pada tahap perencanaan pengembangan SI/TI, mengidentifikasi berbagai alternatif konfigurasi pengembangan SI/TI dan mengevaluasi berbagai alternatif konfigurasi system, menyiapkan detail pengelolaan keamanan dalam pengembangan SI/TI

Persiapan Dalam Menangani Bencana Alam, Kegagalan System, Hardisk Server Rusak

•Menyediakan server cadangan/server backup database, hal ini dimaksudkan jika terjadi kerusakan pada server utama maka server cadangan bisa digunakan.

•Untuk server cadangan sendiri bisa bersifat replikasi dari server utama yang dikonfigurasi agar kembar identik dengan selisih data yang tidak lebih dari satu detik.

•Untuk server cadangan yang bersifat periodik bisa dibuat dengan time schedule/crontab dan biasanya dilakukan secara otomatis oleh system di luar jam pelayanan yang padat.

•Backup cloud, biasanya dilakukan terpisah dari server utama dan server cadangan, hasil backup langsung dilempar ke server data cloud seperti server Google Drive, One Drive, Drop Box atau dengan menggunakan SCP yang langsung dibackup ke VPS. Tujuannya jika terjadi bencana seperti kebakaran, gempa bumi dll, data masih bisa diambil dari cloud

Cyber Attack/Serangan Cyber

•Cyber attack merupakan tindak kejahatan yang dilakukan oleh para hacker dengan tujuan untuk merusak jaringan atau sistem komputer. Selain menimbulkan berbagai kerusakan, cyber attack biasanya juga dilakukan untuk mencuri data penting yang tersimpan di dalam database

Mengapa Anda harus Mewaspadai Cyber Attack?

•Proses Bisnis yang Terhambat, Serangan siber dapat menghambat kegiatan bisnis rumah sakit. Misalnya, bisa saja database terkena serangan ransomware yang membuat SI/TI tidak bisa mengakses dokumen-dokumen penting/data-data RME

•Kehilangan Kepercayaan Pasien, Ketika berita tentang sistem jaringan rumah sakit yang lumpuh terdengar oleh pasien, besar kemungkinan mereka akan mulai tidak percaya dengan rumah sakit. Hal ini karena pelanggan tentu tidak ingin bertransaksi di tempat yang memiliki sistem yang rentan karena bisa saja data mereka bocor akibat serangan siber pada sistem system rumah sakit

•Kebocoran Data, Salah satu ancaman terbesar dari serangan siber pada proses bisnis rumah sakit adalah kebocoran data. Tidak hanya terkait data pasien, data rumah sakit juga berada dalam ancaman. Kebocoran kedua data tersebut tentu dapat berdampak besar pada image rumah sakit yang kemudian dapat berdampak pada keuangan perusahaan, bisa dari berkurangnya transaksi atau bocornya strategi bisnis rumah sakit pada kompetitor.