Bu alt bölüm yedi standarttan oluşuyor ve kapsamı adının düşündürdüğünden geniş. İçinde yalnızca hastane bilgi yönetim sistemi yok: kâğıt hasta dosyası, arşiv odası, kimin hangi kayda erişebildiği, sistem durduğunda hizmetin nasıl süreceği ve çalışanın bütün bunları bilip bilmediği de aynı başlığın altında. “Bilgi yönetimi bilgi işlemin işidir” varsayımı, hazırlıkta en pahalı yanlış anlamalardan biri; çünkü yedi standardın üçünün muhatabı bilgi işlem değil.
Bu alt bölüm hangi riski kapatıyor
Üç somut risk var ve üçü de kurumu farklı yerden vuruyor.
- Yetkisiz görme. Sağlık verisi, Kişisel Verilerin Korunması Kanununda “özel nitelikli kişisel veri” olarak sayılıyor. Bir çalışanın, tedavisiyle ilgisi olmayan bir hastanın kaydını açması teknik bir ihmal değil, hukuki bir ihlaldir. Yetkilendirme bu riski daraltır; işlem izinin tutulması ise ihlalin sonradan gösterilebilmesini sağlar. İkisinden biri eksikse diğeri tek başına yetmiyor: yetki olmadan iz kaydı sadece olup biteni seyreder, iz kaydı olmadan yetki ihlali hiç kanıtlanamaz.
- Veri kaybı. Burada belirleyici olan yedeğin alınıp alınmadığı değil, yedekten geri dönülebilip dönülemediğidir. Alınmış ama hiç denenmemiş yedek, kurumun elinde bir güvence değil bir varsayımdır; ve bu varsayım ancak gerçekten ihtiyaç duyulduğu gün sınanır.
- Hizmetin durması. Bilgi sisteminin yarım saat durması, acilde tedavi gecikmesi, ameliyat listesinin kayması ve laboratuvar sonucunun hekime ulaşmaması demek. Bu yüzden standart metni yalnızca arızayı değil yavaşlamaları da takip edilecek olaylar arasında sayıyor.
Denetimde en çok nerede takılıyor
Yedek alınıyor, geri dönüş denenmiyor
En sık görülen eksik bu. Kurum “her gece yedek alıyoruz” diyor, denetçi geri dönüş testinin tutanağını istiyor ve tutanak yok. Sağlık Bilgi Yönetim Sistemleri Hakkında Yönetmelik bu testi açıkça bir periyoda ve bir belgeye bağlamış: en az altı ayda bir yapılır, sonucu tutanakla kayda alınır ve tutanakta kurum temsilcisinin imzası bulunur. Aynı madde, yedeklerin bir kopyasının farklı bir fiziksel konuma aktarılmasını da istiyor — sunucu odasının içindeki ikinci disk, “farklı konum” değildir.
Yetki matrisi kâğıtta duruyor, personel listesiyle örtüşmüyor
Yetkilendirme dokümanı hazırlanıyor, sonra kimse ona dokunmuyor. Denetimde iki liste yan yana konduğunda tablo çıkıyor: işten ayrılmış kişinin hesabı hâlâ açık, bölüm değiştiren kişi eski bölümünün kayıtlarını görmeye devam ediyor, bir de kimin kullandığı belli olmayan ortak hesaplar var. Yetkilendirmeyi bir doküman olarak değil, işe giriş ve çıkışta tetiklenen bir işlem olarak kurmak gerekiyor; kanıtı da o işlemin kaydıdır.
Kesinti kaydı kurumsal değil, kişisel
Arızalar genellikle kayıt altında: bilgi işlem sorumlusunun telefonunda, bir not uygulamasında ya da firmayla yapılan yazışmada. Standart ise kesintilerin, yavaşlamaların ve arızaların takip edilmesini ve bunlara dayanarak iyileştirme yapılmasını istiyor. Bu, kurumsal bir kayıt ve o kayıttan çıkan bir düzeltici faaliyet demek. Tek tek olaylar değil, olayların zaman içindeki eğilimi değerlendiriliyor.
Fiziksel arşiv, dijital hazırlığın gölgesinde kalıyor
Yedi standarttan biri doğrudan fiziksel olarak saklanan tıbbi kayıtlara ayrılmış. Kurumun hazırlığı HBYS üzerine kurulduğunda bu standart boşta kalıyor: arşiv odasının muhafaza koşulları değerlendirilmemiş, odaya kimin girdiği kayda geçmiyor, tıbbi kayıtların imhasına ilişkin kurallar yazılı değil. Burada beklenen şey arşivin kilitli olması değil, bu üç başlığın gösterilebilir olmasıdır.
Eğitim yapılıyor, katılım kaydı tutulmuyor
Bilgi güvenliği eğitimi çoğu kurumda genel oryantasyonun içinde eriyor. Alt bölümün son standardı eğitimi ayrıca istiyor; yani eğitimin konusu, tarihi, eğitimi vereni ve katılanları gösteren bir kayıt gerekiyor. Oryantasyon imza listesi, içeriğinde bilgi güvenliği başlığı görünmüyorsa bu standardı karşılamıyor.
Mevcut durum tespiti bir toplantı değil, bir kayıt
İlk standart, sorumluların düzenli aralıklarla mevcut durum tespiti yapmasını, riskleri belirlemesini ve gerektiğinde düzeltici ve önleyici faaliyet başlatmasını istiyor. Kurumda bu konuşma genellikle yapılıyor, fakat tarihli ve çıktısı olan bir kaydı olmuyor. Denetimde değerlendirilen şey konuşmanın kendisi değil, kaydı.
Kurumun elinde ne olmalı
Bu alt bölüm için hazırlığın somut çıktısı şu dört kümedir.
- Belge: bilgi yönetimi sorumlularının görevlendirme yazısı ve tanımlı sorumlulukları; fiziksel ve teknolojik tedbirleri, bilgi güvenliğini, bilgi mahremiyetini, bilgi sürekliliğini, harici bilgi kaynaklarına erişimi, yetkilendirmeyi ve uzaktan erişimi kapsayan doküman; tıbbi kayıtların imha kuralları.
- Kayıt: yetki açma ve kapatma kayıtları; yedek alma kayıtları ve imzalı geri dönüş testi tutanakları; kesinti, yavaşlama ve arıza kayıtları; sunucu bakım, test ve güncelleme kayıtları; yetkisiz erişim izleme kayıtları; veri değişikliği ve silme işlemlerinin izleri; arşiv erişim ve imha tutanakları; çalışan eğitim kayıtları.
- Ölçüm: kesinti süresinin ve sıklığının dönemsel toplamı, geri dönüş testinin başarı durumu, eğitim katılım oranı. Bunlar kurumun kendi izlediği sayılar; eğilim göstermedikleri sürece tek bir ölçüm işe yaramıyor.
- Tatbikat: bilgi sistemi durduğunda hizmetin kâğıt üzerinden nasıl süreceğini önceden denemek. Standart metni bir tatbikat istemiyor; fakat kesinti anında kullanılacak formların hazır olduğunu ve çalışanın bunları bildiğini başka hiçbir kayıt bu kadar iyi göstermiyor.
Bu alt bölümdeki yedi standardın hepsinin ortak noktası, kanıtının geçmişe dönük olması. Yetki kaydı, kesinti kaydı, geri dönüş testi ve eğitim kaydı sonradan üretilemez; denetimden bir ay önce yazılan bir doküman, olmayan altı aylık geçmişi geri getirmiyor.