ارزيابي امنيت سيستم‌هاي اطلاعات بيمارستاني

Evaluation of Hospital Information Systems Security

مقدمه: امنيت سيستم شامل مجموعهاي از حفاظتهاي امنيتي مرتبط با نرمافزار، سختافزار، كاركنان و سياستهاي سازماني ميباشد كه از سيستمهاي اطلاعاتي در برابر تهديدات داخلي و خارجي محافظت ميكند. مطالعه حاضر با هدف ارزيابي امنيت سيستمهاي اطلاعات بيمارستاني HIS )Systems Information Hospital( در سه حوزه امنيت مديريتي، فيزيكي و فني انجام شد. روش بررسي: اين مطالعه از نوع كيفي- توصيفي و جامعه پژوهش شامل چهار بيمارستان آموزشي دولتي از مناطق مختلف كشور بود كه هر كدام HIS متفاوتي داشتند. دادهها با استفاده از چكليستي مشتمل بر 134 سوال جمعآوري گرديد. به منظور طراحي چكليست، ابتدا معيارهاي امنيتي لازم از روي استانداردهاي امنيتي شناسايي و سپس الزامات امنيت HIS با استفاده از تكنيك Delphi اصلاح شده در سه حيطه امنيت مديريتي، فيزيكي و فني تعيين شد. پاسخ هر يك از سوالات چكليست به صورت بله )نمره 1( و خير )نمره صفر( در نظر گرفته شد. سطوح امنيتي HIS نيز از صفر تا 100 درصد و در پنج سطح خيلي پايين تا خيلي بالا تعيين گرديد. دادهها با استفاده از آمار توصيفي مانند فراواني و درصد مورد تجزيه و تحليل قرار گرفت. يافتهها: امنيت مديريتي HIS در بيمارستانهاي مورد بررسي با 8/ 31 درصد و امنيت فيزيكي با 0/25 درصد در سطح پاييني قرار داشت. امنيت فني HIS نيز در بيمارستانها با 6/42 درصد، در سطح متوسطي بود. نتيجهگيري: نتايج مطالعه حاضر با آشكار ساختن نقاط ضعف امنيت HIS، بستر مناسبي را براي مديران بخشهاي مديريت اطلاعات سلامت و فنآوري اطلاعات بيمارستانها فراهم ميآورد تا در زمينه تدوين خطمشيها، آموزش كاربران، كنترل دسترسي، مديريت خطر و ساير ابعاد استانداردهاي مديريتي و فيزيكي اقدامات اصلاحي مناسبي را اجرا نمايند

Introduction: System security includes a set of security protections related to software, hardware, personnel and enterprise policies that protect Information Systems (IS) against internal and external threats. The present study aimed to define a comprehensive security model and then, assess hospital information systems (HIS) security in three areas of administrative, physical and technical safeguards. Methods: This was a qualitative-descriptive study. The study population included 4 public educational hospitals from different regions of the country, each with a different HIS. The data collection tool was a checklist of 134 questions. In order to design a checklist, first, the security criteria were identified from the security standards. Then, HIS security requirements were determined in three areas of administrative, physical and technical safeguards through modified Delphi method. The answers to the questions of the checklist were defined as Yes “1” or No “0”. HIS security level was identified in a five-level scale ranging from very low (0%) to very high (100%). Data were analyzed by descriptive statistics such as frequency and percentage. Results: Administrative safeguards of HIS in studied hospitals with 31.8 % and physical safeguards with 25% had a low level of security. Moreover, technical safeguards of HIS in hospitals were observed to be a medium level of security with 42.6%. Conclusion: The findings of this study expose HIS security weaknesses thus providing a good basis for managers of health information management and information technology departments in hospitals to implement appropriate corrective actions in policy formulation, user training, access control and risk management, and other dimensions of managerial and physical standards.