הרשאות במרפאה: מי צריך לראות מה, ומה זה חשבון שבירת זכוכית

כשמדברים על אבטחת מידע במרפאה, הדמיון הולך לפריצה מבחוץ. בפועל, רוב האירועים שמרפאות נתקלות בהם פשוטים בהרבה: עובד שצפה בתיק שלא היה צריך לצפות בו. שכן, קרוב משפחה, אדם מוכר. אין כאן כוונת זדון מתוחכמת, יש הרשאה רחבה מדי וסקרנות אנושית.

לכן ההרשאות אינן נושא טכני אלא כלי ניהולי. הן קובעות מה בכלל אפשר לעשות, ולכן קובעות מראש אילו אירועים יכולים לקרות.

להתחיל מתפקידים, לא מאנשים

הטעות הנפוצה היא להגדיר הרשאות לכל עובד בנפרד. זה נוח בהתחלה ובלתי ניתן לתחזוקה אחרי שנה: אף אחד לא זוכר למה למישהו יש גישה מסוימת, ואף אחד לא מעז לצמצם. הגישה הנכונה היא להגדיר קבוצה מצומצמת של תפקידים, לקבוע לכל תפקיד מה מותר, ולשייך אנשים לתפקידים.

מרפאה טיפוסית מסתדרת עם שישה תפקידים:

ההבחנה שהרבה מפספסים

הרשאה אינה שאלה של כן או לא, אלא של סוג פעולה. יש הבדל בין לדעת שרשומה קיימת, לראות את תוכנה, ליצור חדשה, לערוך ולמחוק. צוות קדמי צריך לדעת שלמטופל יש ביקור היום ומי המטפל, בלי לקרוא את הסיכום הקליני. הנהלת חשבונות צריכה לדעת שבוצע טיפול שמצדיק חיוב, בלי לקרוא את הפירוט.

מערכת שמאפשרת רק גישה מלאה או חסימה מלאה תדחוף אתכם לגישה מלאה, כי אחרת אי אפשר לעבוד. זו בדיקה טובה בהערכת מערכת: לבקש לראות את מסך ההרשאות ולספור כמה סוגי פעולות אפשר להגדיר.

מה זה חשבון שבירת זכוכית

המונח מגיע מארון החירום שמנפצים את הזכוכית שלו כדי להגיע למה שבפנים: אפשרי, אך משאיר סימן שאי אפשר להסתיר. בהקשר של מערכות מידע רפואי, זהו מנגנון שמאפשר גישה חורגת במצב חירום, במחיר תיעוד מלא.

למה זה נחוץ. כי מדיניות הרשאות הדוקה מדי נשברת ברגע האמת. מטפל תורן שצריך לראות תיק של מטופל שאינו שלו, בשעה שבה אין מי שיאשר, ימצא דרך: יבקש סיסמה של עמית, ישתמש בחשבון משותף, יעקוף. כל אלה גרועים ממנגנון מסודר.

מנגנון תקין נראה כך:

1. המשתמש מבקש גישה חורגת ונדרש לנמק בטקסט חופשי. אין ברירת מחדל ואין רשימה נוחה לבחירה.
2. הגישה ניתנת מיד — אחרת המנגנון חסר ערך בחירום — ומוגבלת בזמן.
3. האירוע נרשם בבירור, ומופיע ברשימה נפרדת ולא נבלע ביומן הכללי.
4. מישהו מוגדר עובר על הרשימה בקביעות, למשל פעם בשבוע, ומאשר או מברר.

הכלל: הרתעה טובה יותר מחסימה, כשהחסימה עלולה לפגוע בטיפול. אדם שיודע שהגישה שלו תופיע ברשימה שמישהו קורא מתנהג אחרת מאדם שמניח שאיש לא בודק.

יומן ביקורת שאפשר להשתמש בו

יומן ביקורת קיים כמעט בכל מערכת. השאלה היא אם אפשר לשאול אותו שאלות. שלוש שאלות שכדאי לבדוק שאפשר לענות עליהן תוך דקות: מי צפה בתיק של מטופל מסוים בחצי השנה האחרונה; במה צפה משתמש מסוים ביום מסוים; ואילו רשומות נערכו אחרי שנחתמו.

שווה גם לבדוק שני דברים טכניים. ראשית, שהיומן כולל גם צפייה ולא רק שינוי — דליפה היא צפייה. שנית, ששורות היומן מוגנות מפני שינוי, למשל באמצעות חתימת שלמות לכל שורה, כך שגם מי שיש לו גישה למסד הנתונים אינו יכול למחוק עקבות בשקט.

מקרים רגישים בתוך המרפאה

כל מרפאה מטפלת מדי פעם באנשים שהצוות מכיר: עובד, בן משפחה של עובד, אדם מוכר בקהילה. אלה בדיוק התיקים שמושכים סקרנות. שתי דרכים מקובלות להתמודד. הראשונה היא סימון התיק כרגיש, כך שכל פתיחה שלו דורשת נימוק ומופיעה בדוח נפרד. השנייה, כשמדובר בעובד המרפאה עצמו, היא להגביל את הטיפול למטפל אחד מוגדר.

מה שחשוב אינו איזה מנגנון נבחר אלא שהוא נקבע מראש ובכתב. מרפאה שמחליטה בזמן אמת, אחרי שכבר קרה משהו, מקבלת החלטה גרועה יותר ומתקשה להסביר אותה.

שגרת בדיקה של רבע שעה

אבטחת מידע במרפאה קטנה לא נופלת בגלל היעדר טכנולוגיה אלא בגלל היעדר שגרה. ארבע בדיקות שאפשר לעשות פעם בחודש, בישיבה של רבע שעה:

1. רשימת המשתמשים הפעילים — האם כולם עדיין עובדים כאן.
2. רשימת השימושים בגישה חורגת מהחודש האחרון — האם כל אחד מהם מוסבר.
3. דוח צפיות בתיקים שסומנו כרגישים.
4. רשימת ההרשאות שהשתנו החודש, ומי אישר.

שגרה כזו שווה יותר מכל מסמך מדיניות ארוך, כי היא יוצרת ציפייה שמישהו מסתכל. וזה, בסופו של דבר, מה שמשנה התנהגות.

תחזוקה שוטפת: ארבע פעולות

• ביטול גישה ביום העזיבה. נשמע מובן מאליו, וזו התקלה הנפוצה ביותר. שווה לקשור את זה לתהליך סיום ההעסקה.
• סקירת הרשאות פעמיים בשנה. רשימה של כל המשתמשים והתפקיד שלהם, על דף אחד. כל שורה שמפתיעה — לברר.
• אין חשבונות משותפים. חשבון קבלה כללי הופך את כל יומן הביקורת לחסר ערך, כי אי אפשר לדעת מי עשה מה.
• הרשאות זמניות באמת פגות. גישה שניתנה למחליף לחודש צריכה להסתיים מעצמה, לא להישאר.

ומה עם המנהל

שאלה שמתעוררת תמיד: האם למנהל המערכת מותר לראות הכול. התשובה המקובלת היא להפריד בין ניהול טכני לבין תוכן קליני. מי שמנהל משתמשים והגדרות לא חייב לקרוא רשומות רפואיות, וגם גישה שלו צריכה להירשם. במרפאה קטנה שבה אותו אדם ממלא שני תפקידים, לפחות שיהיו שני חשבונות נפרדים — אחד לעבודה השוטפת ואחד לפעולות ניהול. ההפרדה הזו עולה כמעט כלום, ומשנה לגמרי את היכולת להסביר בדיעבד מה קרה.

חזרה לבלוג