Transformasi digital telah mengubah cara rumah sakit mengelola informasi pasien. Rekam medis yang sebelumnya banyak dikelola dalam bentuk dokumen fisik kini semakin beralih ke Rekam Medis Elektronik (RME).
Perubahan ini memberikan banyak manfaat. Dokter dapat mengakses informasi pasien dengan lebih cepat, data dapat terintegrasi antarunit pelayanan, proses administrasi menjadi lebih efisien, dan riwayat pelayanan pasien dapat dikelola secara digital. Namun, digitalisasi juga membawa tanggung jawab yang lebih besar. Data rekam medis mengandung informasi kesehatan yang bersifat sensitif dan termasuk Data Pribadi yang bersifat spesifik berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Artinya, rumah sakit tidak cukup hanya memiliki sistem rekam medis elektronik. Rumah sakit juga perlu memastikan bahwa data tersebut dapat disimpan dalam jangka panjang, terlindungi dari akses yang tidak berwenang, tetap utuh, tersedia ketika dibutuhkan, dan dapat dipulihkan ketika terjadi gangguan atau serangan siber.
Regulasi yang Perlu Menjadi Perhatian Rumah Sakit
Setidaknya terdapat tiga regulasi penting yang relevan dengan pengelolaan dan perlindungan data elektronik di lingkungan rumah sakit, yaitu Permenkes No. 24 Tahun 2022, UU No. 27 Tahun 2022, dan PP No. 71 Tahun 2019.
1. Permenkes No. 24 Tahun 2022 tentang Rekam Medis
Permenkes No. 24 Tahun 2022 mewajibkan setiap fasilitas pelayanan kesehatan, termasuk rumah sakit, menyelenggarakan Rekam Medis Elektronik. Peraturan ini juga menegaskan bahwa penyimpanan Rekam Medis Elektronik harus menjamin keamanan, keutuhan, kerahasiaan, dan ketersediaan data. Rumah sakit yang menggunakan penyimpanan digital juga wajib memiliki sistem backup yang ditempatkan di lokasi berbeda, dilakukan secara periodik, dan dituangkan dalam standar prosedur operasional.
Hal yang sangat penting adalah ketentuan jangka waktu penyimpanan. Pasal 39 mengatur bahwa data Rekam Medis Elektronik disimpan paling singkat selama 25 tahun sejak tanggal kunjungan terakhir pasien. Setelah periode tersebut berakhir, data dapat dikecualikan untuk dimusnahkan apabila masih akan digunakan atau dimanfaatkan.
Dengan demikian, rumah sakit perlu memandang penyimpanan RME bukan sebagai kebutuhan jangka pendek, tetapi sebagai bagian dari infrastruktur informasi yang harus dirancang untuk keberlangsungan data dalam jangka panjang.
2. UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
UU PDP menempatkan data dan informasi kesehatan sebagai Data Pribadi yang bersifat spesifik. Dalam pemrosesan Data Pribadi, Pengendali Data Pribadi memiliki kewajiban untuk menjaga kerahasiaan, melindungi data dari pemrosesan yang tidak sah, serta mencegah Data Pribadi diakses secara tidak sah dengan menggunakan sistem keamanan yang andal, aman, dan bertanggung jawab.
Bagi rumah sakit, hal ini menjadi sangat relevan karena sistem informasi rumah sakit menyimpan berbagai jenis informasi sensitif, mulai dari identitas pasien, hasil pemeriksaan, diagnosis, tindakan medis, resep, hasil laboratorium, hingga informasi administratif dan pembiayaan. UU PDP menempatkan data dan informasi kesehatan sebagai Data Pribadi yang bersifat spesifik.
Dalam pemrosesan Data Pribadi, Pengendali Data Pribadi memiliki kewajiban untuk menjaga kerahasiaan, melindungi data dari pemrosesan yang tidak sah, serta mencegah Data Pribadi diakses secara tidak sah dengan menggunakan sistem keamanan yang andal, aman, dan bertanggung jawab. Semakin banyak data yang tersimpan secara digital, semakin penting pula pengendalian akses dan perlindungan terhadap data tersebut.
3. PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik
PP No. 71 Tahun 2019 mengatur bahwa Penyelenggara Sistem Elektronik harus menyelenggarakan sistem elektronik secara andal dan aman. Sistem elektronik juga harus mampu menampilkan kembali informasi atau dokumen elektronik secara utuh sesuai masa retensi yang ditetapkan, serta melindungi ketersediaan, keutuhan, keotentikan, kerahasiaan, dan keteraksesan informasi elektronik. Ketentuan tersebut memperlihatkan bahwa menyimpan data saja tidak cukup. Data harus tetap dapat dipercaya, tersedia, dapat diakses oleh pihak yang berwenang, dan dapat ditampilkan kembali ketika dibutuhkan.
Mengapa Penyimpanan Rekam Medis Tidak Cukup Hanya dengan Backup?
Banyak organisasi masih melihat backup sebagai sekadar membuat salinan data. Padahal, dalam menghadapi ancaman siber saat ini, backup konvensional belum tentu cukup. Salah satu ancaman yang perlu menjadi perhatian rumah sakit adalah ransomware.
Dalam serangan ransomware, penyerang dapat mengenkripsi data sehingga sistem tidak dapat digunakan sebagaimana mestinya. Jika sistem backup juga dapat diakses atau diubah oleh penyerang, salinan data tersebut berpotensi ikut terdampak.
Akibatnya, rumah sakit dapat menghadapi situasi ketika data utama tidak dapat digunakan sementara backup yang seharusnya menjadi sumber pemulihan juga mengalami gangguan.
Karena itu, rumah sakit membutuhkan pendekatan yang lebih kuat terhadap perlindungan dan pemulihan data.
Cyber Resilient Storage sebagai Bagian dari Strategi Perlindungan Data
Cyber Resilient Storage dirancang untuk membantu organisasi mempertahankan ketersediaan dan kemampuan pemulihan data ketika menghadapi gangguan, termasuk serangan ransomware. Pendekatan ini tidak hanya berfokus pada menyimpan salinan data, tetapi juga pada bagaimana data tersebut dilindungi, dipisahkan, dikontrol aksesnya, dan dapat dipulihkan ketika sistem utama mengalami gangguan. Dalam konteks rumah sakit, solusi storage yang resilient dapat membantu memperkuat beberapa kebutuhan penting.
Perlindungan dari Perubahan Data yang Tidak Sah
Data rekam medis perlu dijaga integritasnya. Perubahan terhadap data tidak boleh dilakukan secara sembarangan. Permenkes No. 24 Tahun 2022 menegaskan bahwa integritas merupakan jaminan terhadap keakuratan data dan perubahan data hanya boleh dilakukan oleh pihak yang memiliki hak akses untuk melakukan perubahan.
Karena itu, sistem penyimpanan sebaiknya memiliki mekanisme perlindungan terhadap perubahan atau penghapusan data yang tidak sah. Teknologi seperti immutable storage atau mekanisme data protection yang mencegah perubahan tertentu pada salinan backup dapat menjadi salah satu pendekatan untuk memperkuat perlindungan terhadap ransomware.
Enkripsi Data
Enkripsi dapat digunakan untuk mengurangi risiko ketika data disimpan maupun ditransmisikan. Dengan enkripsi yang diterapkan secara tepat, data menjadi lebih sulit dimanfaatkan oleh pihak yang tidak memiliki otorisasi. Namun, enkripsi saja bukan satu-satunya bentuk perlindungan. Rumah sakit tetap membutuhkan pengelolaan kunci, kontrol akses, monitoring, serta kebijakan keamanan yang tepat.
Granular Access Control
Tidak semua pengguna rumah sakit membutuhkan akses terhadap seluruh data. Dokter, perawat, bagian administrasi, bagian keuangan, tim IT, dan pihak lainnya memiliki kebutuhan akses yang berbeda.
Karena itu, rumah sakit perlu menerapkan prinsip akses berdasarkan kebutuhan dan kewenangan. Dengan granular access control, hak akses dapat disesuaikan dengan peran pengguna sehingga akses terhadap data sensitif dapat dibatasi dan dikendalikan.
Backup yang Terpisah dari Sistem Utama
Permenkes No. 24 Tahun 2022 mengatur bahwa fasilitas pelayanan kesehatan yang melakukan penyimpanan digital wajib memiliki backup system. Backup tersebut harus ditempatkan di lokasi berbeda, dilakukan secara periodik, dan dituangkan dalam SOP.
Artinya, rumah sakit perlu memiliki strategi backup yang jelas. Backup tidak seharusnya hanya berada pada lingkungan penyimpanan yang sama dengan sistem utama. Pemisahan lingkungan penyimpanan dapat membantu mengurangi risiko ketika terjadi kerusakan sistem atau serangan yang menyebar ke lingkungan utama.
Pemulihan Data Harus Menjadi Prioritas
Dalam lingkungan rumah sakit, kehilangan akses terhadap data dapat berdampak langsung terhadap operasional pelayanan. Sistem informasi pasien, hasil pemeriksaan, informasi medis, administrasi, hingga proses pendukung lainnya dapat membutuhkan akses terhadap data secara cepat.
Karena itu, rumah sakit perlu menentukan target pemulihan, termasuk Recovery Point Objective (RPO) dan Recovery Time Objective (RTO). RPO menentukan seberapa banyak kehilangan data yang masih dapat ditoleransi, sedangkan RTO menentukan berapa lama sistem dapat ditoleransi berada dalam kondisi tidak tersedia.
Dengan strategi Cyber Resilient Storage yang dirancang dengan baik, proses pemulihan dapat dibuat lebih cepat dan terukur. Dalam implementasi tertentu, pemulihan data dapat ditargetkan dalam hitungan menit, tergantung arsitektur, kapasitas, kondisi sistem, dan desain recovery yang digunakan.
Kesimpulan
Rekam Medis Elektronik merupakan aset informasi yang sangat penting bagi rumah sakit. Data tersebut tidak hanya harus tersedia ketika pasien membutuhkan pelayanan, tetapi juga harus dilindungi dan dipertahankan dalam jangka panjang. Permenkes No. 24 Tahun 2022 menetapkan bahwa Rekam Medis Elektronik disimpan paling singkat 25 tahun sejak kunjungan terakhir pasien dan penyimpanannya harus menjamin keamanan, keutuhan, kerahasiaan, serta ketersediaan data.
Di sisi lain, UU No. 27 Tahun 2022 menempatkan data kesehatan sebagai Data Pribadi yang bersifat spesifik dan mewajibkan perlindungan terhadap pemrosesan dan akses yang tidak sah. PP No. 71 Tahun 2019 juga menekankan pentingnya sistem elektronik yang andal dan aman serta perlindungan terhadap keutuhan, keotentikan, kerahasiaan, ketersediaan, dan keteraksesan informasi.
Karena itu, rumah sakit perlu mulai melihat penyimpanan rekam medis bukan sekadar sebagai kebutuhan kapasitas, tetapi sebagai bagian dari strategi data protection, business continuity, dan cyber resilience.
Dengan infrastruktur penyimpanan yang tepat, backup yang teruji, kontrol akses yang kuat, perlindungan terhadap ransomware, serta proses recovery yang terencana, rumah sakit dapat menjaga data tetap terlindungi sekaligus memastikan pelayanan kepada pasien dapat terus berjalan ketika terjadi gangguan.
Data pasien harus tetap aman. Sistem harus tetap tersedia. Dan ketika insiden terjadi, rumah sakit harus siap untuk pulih.
