الصلاحيات في العيادة: من يجب أن يرى ماذا، وما هو حساب كسر الزجاج

حين يدور الحديث عن أمن المعلومات في العيادة، يذهب الخيال إلى اختراق من الخارج. أمّا عمليًّا، فمعظم الأحداث التي تصادفها العيادات أبسط بكثير: موظّف اطّلع على ملفّ لم يكن ينبغي له الاطّلاع عليه. جار، أو قريب، أو شخص معروف. ولا توجد هنا نيّة خبيثة مُتقنة، بل صلاحية واسعة أكثر مما ينبغي وفضول إنساني.

لذلك ليست الصلاحيات مسألةً تقنيةً بل أداة إدارية. فهي تُحدّد ما يمكن فعله أصلًا، وبالتالي تُحدّد مسبقًا أيّ الأحداث يمكن أن يقع.

ابدأ من الأدوار، لا من الأشخاص

الخطأ الشائع هو تعريف الصلاحيات لكل موظّف على حدة. وهذا مريح في البداية وغير قابل للصيانة بعد سنة: لا أحد يتذكّر لماذا يملك أحدٌ وصولًا معيّنًا، ولا أحد يجرؤ على التقليص. والنهج الصحيح هو تعريف مجموعة محدودة من الأدوار، وتحديد ما هو مسموح لكل دور، ونسب الأشخاص إلى الأدوار.

تكتفي العيادة النمطية بستّة أدوار:

الدور	ما هو مسموح	ما هو غير مسموح عادةً
مدير النظام	الإعدادات، والمستخدمون، والصلاحيات، ويوميّة التدقيق	ليس بالضرورة الاطّلاع على التوثيق السريري
طبيب أو مُعالِج واصف	الملفّ الكامل، والزيارات، والوصفات، والطلبات والنتائج	تغيير إعدادات النظام
مُعالِج أو ممرّض	التوثيق السريري، والمؤشّرات، وتنفيذ التعليمات	الوصفات، والبيانات المالية
الطاقم الأمامي	اليومية، وبيانات المريض، والاستقبال، والدفع	التوثيق السريري الكامل، ونتائج المختبر
مسك الحسابات	الفوترة، والمدفوعات، والتقارير المالية	المحتوى السريري المُفصَّل
حساب الطوارئ	وصول واسع مؤقّت، مشروط بتبرير وتوثيق	الاستخدام الاعتيادي

التمييز الذي يُغفله كثيرون

الصلاحية ليست مسألة نعم أو لا، بل مسألة نوع الفعل. فهناك فرق بين معرفة أنّ سجلًّا موجود، ورؤية محتواه، وإنشاء سجلّ جديد، والتحرير، والحذف. فالطاقم الأمامي يحتاج إلى معرفة أنّ للمريض زيارةً اليوم ومن المُعالِج، دون قراءة الملخّص السريري. ومسك الحسابات يحتاج إلى معرفة أنّ علاجًا أُجري يُبرّر الفوترة، دون قراءة التفصيل.

والنظام الذي لا يتيح إلّا وصولًا كاملًا أو حجبًا كاملًا سيدفعكم إلى الوصول الكامل، لأنّ العمل يتعذّر خلاف ذلك. وهذا فحص جيّد عند تقييم نظام: طلب رؤية شاشة الصلاحيات وعدّ كم نوع فعل يمكن تعريفه.

ما هو حساب كسر الزجاج

يأتي المصطلح من خزانة الطوارئ التي يُكسَر زجاجها للوصول إلى ما في داخلها: مُمكن، لكنّه يترك أثرًا يتعذّر إخفاؤه. وفي سياق أنظمة المعلومات الطبّية، هو آليّة تُتيح وصولًا خارجًا عن الحدّ في حالة طوارئ، بثمن توثيق كامل.

ولماذا يلزم هذا. لأنّ سياسة صلاحيات مُحكمةً أكثر مما ينبغي تنكسر في لحظة الحقيقة. فالمُعالِج المناوب الذي يحتاج إلى رؤية ملفّ مريض ليس مريضه، في ساعة لا يوجد فيها من يُصادِق، سيجد طريقةً: سيطلب كلمة مرور زميل، أو يستخدم حسابًا مشتركًا، أو يلتفّ. وكلّ هذه أسوأ من آليّة مُنظَّمة.

الآليّة السليمة تبدو هكذا:

1. يطلب المستخدم وصولًا خارجًا عن الحدّ ويُطالَب بالتبرير بنصّ حرّ. لا قيمة افتراضية ولا قائمة مريحة للاختيار.
2. يُمنَح الوصول فورًا — وإلّا فالآليّة عديمة القيمة في الطوارئ — ويكون محدودًا زمنيًّا.
3. يُسجَّل الحدث بوضوح، ويظهر في قائمة منفصلة لا يبتلعه اليوميّة العامّة.
4. يُعيَّن من يراجع القائمة بانتظام، مثلًا مرّةً في الأسبوع، فيُصادِق أو يستفسر.

القاعدة: الردع أفضل من الحجب، حين يكون الحجب قد يضرّ بالعلاج. فالشخص الذي يعلم أنّ وصوله سيظهر في قائمة يقرؤها أحدٌ يتصرّف على نحو مختلف عن شخص يفترض أنّ لا أحد يفحص.

يوميّة تدقيق يمكن استخدامها

يوميّة التدقيق موجودة في كل نظام تقريبًا. والسؤال هو ما إذا كان يمكن طرح أسئلة عليها. ثلاثة أسئلة يجدر التأكّد من إمكان الإجابة عنها خلال دقائق: من اطّلع على ملفّ مريض معيّن في نصف السنة الأخير؛ وعلى ماذا اطّلع مستخدم معيّن في يوم معيّن؛ وأيّ السجلّات حُرِّرت بعد توقيعها.

ويجدر أيضًا فحص أمرين تقنيّين. أولًا، أن تشمل اليوميّة الاطّلاع لا التغيير فقط — فالتسرّب اطّلاع. ثانيًا، أن تكون أسطر اليوميّة محميّةً من التغيير، مثلًا بتوقيع سلامة لكل سطر، بحيث لا يستطيع حتى من يملك وصولًا إلى قاعدة البيانات محو الآثار بصمت.

حالات حسّاسة داخل العيادة

كل عيادة تُعالِج بين الحين والآخر أشخاصًا يعرفهم الفريق: موظّف، أو قريب موظّف، أو شخص معروف في المجتمع. وهذه بالضبط الملفّات التي تجذب الفضول. طريقتان مقبولتان للتعامل. الأولى وسم الملفّ على أنّه حسّاس، بحيث يتطلّب كل فتح له تبريرًا ويظهر في تقرير منفصل. والثانية، حين يتعلّق الأمر بموظّف العيادة نفسه، قصر المعالجة على مُعالِج واحد مُحدَّد.

والمهمّ ليس أيّ آليّة تُختار، بل أن تُقرَّر مسبقًا وكتابةً. فالعيادة التي تقرّر في الوقت الحقيقي، بعد أن يكون شيء ما قد وقع فعلًا، تتّخذ قرارًا أسوأ وتصعب عليها تبريره.

روتين فحص يستغرق ربع ساعة

أمن المعلومات في عيادة صغيرة لا يسقط بسبب غياب التكنولوجيا بل بسبب غياب الروتين. أربعة فحوص يمكن إجراؤها مرّةً في الشهر، في جلسة ربع ساعة:

1. قائمة المستخدمين النشطين — هل ما زالوا جميعًا يعملون هنا.
2. قائمة استخدامات الوصول الخارج عن الحدّ في الشهر الأخير — هل كلٌّ منها مُبرَّر.
3. تقرير الاطّلاعات على الملفّات المَوسومة حسّاسة.
4. قائمة الصلاحيات التي تغيّرت هذا الشهر، ومن صادق.

روتينٌ كهذا يساوي أكثر من أيّ مستند سياسة طويل، لأنّه يُنشئ توقّعًا بأنّ أحدًا ينظر. وهذا، في نهاية المطاف، ما يُغيّر السلوك.

صيانة جارية: أربعة إجراءات

• إلغاء الوصول يوم المغادرة. يبدو بديهيًّا، وهو العطل الأكثر شيوعًا. يُستحسن ربطه بإجراء إنهاء التوظيف.
• مراجعة الصلاحيات مرّتين في السنة. قائمة بكل المستخدمين ودورهم، على صفحة واحدة. وكل سطر يُفاجئ — يُستفسَر عنه.
• لا حسابات مشتركة. فحساب استقبال عامّ يُفرِغ يوميّة التدقيق كلّها من قيمتها، لأنّه يتعذّر معرفة من فعل ماذا.
• الصلاحيات المؤقّتة تنتهي فعلًا. فالوصول الممنوح لبديل لشهر يجب أن ينتهي من تلقاء نفسه، لا أن يبقى.

وماذا عن المدير

سؤال يُطرَح دائمًا: هل يُسمَح لمدير النظام برؤية كل شيء. الإجابة المقبولة هي الفصل بين الإدارة التقنية والمحتوى السريري. فمن يُدير المستخدمين والإعدادات لا يجب عليه قراءة السجلّات الطبّية، وحتى وصوله يجب أن يُسجَّل. وفي عيادة صغيرة يشغل فيها الشخص نفسه دورين، فليكن على الأقلّ حسابان منفصلان — واحد للعمل الاعتيادي وواحد لإجراءات الإدارة. هذا الفصل يُكلّف شيئًا يكاد لا يُذكَر، ويُغيّر تمامًا القدرة على تفسير ما حدث لاحقًا.

العودة إلى المدوّنة