Pintu yang Lupa Dikunci: Merancang Siklus Hak Akses SIMRS dan RME bagi Staf PPA

Seorang perawat mengundurkan diri dari sebuah rumah sakit di Jawa Tengah pada awal tahun. Tiga bulan kemudian, saat tim IT melakukan audit rutin, mereka menemukan akun login perawat tersebut masih aktif di sistem informasi manajemen rumah sakit (SIMRS) — lengkap dengan hak akses penuh ke modul rekam medis elektronik (RME) di unit rawat inap tempat ia dulu bertugas. Tidak ada bukti penyalahgunaan. Tapi pertanyaannya tetap mengganggu: berapa lama sebenarnya “pintu” itu terbuka, dan siapa yang bertanggung jawab jika seseorang memutuskan untuk masuk?

Kasus semacam ini jauh lebih umum daripada yang dibayangkan manajer rumah sakit. Persoalannya bukan pada apakah RS memiliki SIMRS atau RME — kewajiban itu sudah jelas sejak Permenkes Nomor 24 Tahun 2022 — melainkan pada bagaimana hak akses terhadap sistem tersebut dikelola sepanjang masa kerja seorang pemberi pelayanan asuhan (PPA), dari hari pertama bergabung hingga hari terakhir bertugas.

Dasar Regulasi: Hak Akses Bukan Perkara Teknis Semata

Pasal 30 Permenkes Nomor 24 Tahun 2022 secara eksplisit mewajibkan pimpinan fasilitas pelayanan kesehatan memberikan hak akses kepada tenaga kesehatan dan tenaga lain, dan menegaskan bahwa pemberian hak akses ini harus menjadi bagian dari kebijakan serta standar prosedur operasional yang ditetapkan pimpinan fasyankes (Kementerian Kesehatan Republik Indonesia, 2022). Regulasi ini membagi hak akses menjadi tiga jenis: hak untuk menginput data, memperbaiki data, dan melihat data — masing-masing dengan batasan kewenangannya sendiri, termasuk jangka waktu koreksi data yang dibatasi 2×24 jam sejak data diinput.

Dari sisi akreditasi, standar Manajemen Rekam Medis dan Informasi Kesehatan (MRMIK) dalam STARKES juga menuntut rumah sakit menentukan secara spesifik siapa yang berwenang mengakses rekam medis dan pada tingkat apa — apakah sebatas view-only, atau memiliki kewenangan menginput, mengubah, bahkan menghapus data (KARS, 2024). Rumah sakit juga diharapkan mampu melacak siapa yang mengubah, mengedit, atau menghapus data melalui mekanisme audit trail. Artinya, ketika surveyor akreditasi bertanya “siapa yang boleh mengakses data pasien ini”, jawaban yang diharapkan bukan sekadar “dokter dan perawat”, melainkan peta kewenangan yang terdokumentasi dan dapat ditelusuri.

Prinsip Dasar: Kewenangan Klinis sebagai Fondasi Hak Akses

Kesalahan yang sering terjadi adalah menyamakan hak akses SIMRS dengan hak akses generik berdasarkan jabatan struktural. Padahal, prinsip yang lebih tepat adalah least privilege — setiap pengguna hanya mendapat akses seminimal mungkin yang dibutuhkan untuk menjalankan tugasnya, tidak lebih. Dalam konteks PPA, ini berarti hak akses seharusnya terikat langsung pada Surat Penugasan Klinis (SPK) dan Rincian Kewenangan Klinis (RKK) yang telah melalui proses kredensial — bukan sekadar status kepegawaian.

Model role-based access control (RBAC) menjadi pendekatan yang paling banyak direkomendasikan: hak akses dikelompokkan berdasarkan peran (dokter, perawat, bidan, apoteker, petugas rekam medis, administrasi), bukan diberikan satu per satu secara manual untuk tiap individu (Accountable, 2026a). Peran-peran ini kemudian dipetakan ke unit kerja dan lingkup layanan — misalnya perawat ICU memiliki modul yang berbeda dari perawat rawat jalan, meskipun sama-sama berstatus perawat. Beberapa organisasi bahkan mengombinasikan RBAC dengan attribute-based access control (ABAC), yaitu penyesuaian akses berdasarkan atribut dinamis seperti jadwal jaga atau status on-call, sehingga akses benar-benar mengikuti konteks pelayanan, bukan sekadar jabatan di atas kertas (Accountable, 2026a).

Siklus Hidup Akses: Dari Bergabung hingga Berhenti

Kerangka yang lazim dipakai dalam tata kelola identitas dan akses adalah model joiner-mover-leaver (JML) — memetakan setiap peristiwa kepegawaian ke tindakan akses yang sesuai (Netwrix, 2026). Untuk konteks PPA rumah sakit, tiga fase ini bisa diterjemahkan sebagai berikut.

Saat bergabung (joiner). Akses baseline diberikan sejak hari pertama berdasarkan jenis profesi dan unit penempatan, kemudian ditambahkan akses spesialistik setelah proses kredensial dan penetapan SPK-RKK selesai (Accountable, 2026a). Idealnya, permintaan akses tidak berdiri sendiri sebagai tiket IT terpisah, melainkan otomatis terpicu begitu SK penempatan atau SPK diterbitkan oleh komite medik/keperawatan. Ini mencegah dua skenario buruk yang sama-sama merugikan: staf baru menunggu berhari-hari tanpa akses sehingga pelayanan tersendat, atau sebaliknya diberi akses penuh “sementara” sejak awal demi kepraktisan, yang justru melanggar prinsip least privilege.

Saat berpindah (mover). Rotasi antarunit adalah rutinitas rumah sakit — perawat dipindah dari bangsal ke IGD, dokter umum ditugaskan sementara di unit gawat darurat. Titik lemah paling umum dalam siklus ini adalah privilege accumulation: akses lama tidak dicabut saat akses baru diberikan, sehingga seorang staf lambat laun mengumpulkan hak akses ke banyak unit yang sebenarnya sudah tidak relevan dengan tugasnya (RealVNC, 2026). Praktik terbaik mengharuskan setiap perubahan peran memicu peninjauan ulang menyeluruh — bukan hanya penambahan, tapi juga pencabutan akses yang tidak lagi dibutuhkan.

Saat berhenti (leaver). Ini fase yang paling sering diabaikan, seperti pada kasus pembuka artikel ini. Standar industri menekankan pencabutan akses yang segera dan menyeluruh — idealnya di hari yang sama dengan tanggal efektif pengunduran diri, pemutusan kontrak, mutasi keluar, atau bahkan kematian staf — mencakup seluruh sistem yang relevan, bukan hanya SIMRS utama tapi juga VPN, email, dan akun bersama (Accountable, 2026b). Akun yang “lupa” dinonaktifkan disebut orphaned account, dan menjadi salah satu celah keamanan data kesehatan yang paling sering ditemukan saat audit.

Tinjauan Berkala dan Jejak Audit

Pemberian dan pencabutan akses yang tepat waktu tidak cukup tanpa peninjauan berkala (periodic access review). Praktik yang direkomendasikan adalah sertifikasi akses secara rutin — biasanya triwulanan — di mana atasan langsung atau pemilik sistem memverifikasi ulang bahwa setiap staf masih membutuhkan akses yang dimilikinya, sekaligus mengidentifikasi akun dormant atau hak akses berlebih yang terlewat dari proses rutin (Accountable, 2026b). Jejak audit (audit trail) yang mencatat siapa mengakses data apa, kapan, dan perubahan apa yang dilakukan — sebagaimana disyaratkan STARKES — menjadi instrumen verifikasi sekaligus alat investigasi jika terjadi insiden.

Akses Darurat: Ketika Prosedur Bertemu Kondisi Gawat Darurat

Ketatnya kontrol akses tidak boleh mengorbankan kecepatan penanganan pasien dalam situasi kritis. Untuk itu, banyak fasilitas kesehatan menyediakan mekanisme break-glass access — akses darurat yang dibatasi waktu, memerlukan justifikasi tertulis, memicu notifikasi otomatis kepada atasan, dan wajib ditinjau setelah kejadian selesai (Accountable, 2026a). Mekanisme ini memungkinkan tenaga kesehatan mengakses data pasien di luar kewenangan rutinnya saat nyawa menjadi taruhan, tanpa menghilangkan akuntabilitas atas akses tersebut.

Tantangan di Lapangan

Bagi banyak rumah sakit kelas C dan D di Indonesia, penerapan kerangka ini menghadapi kendala nyata: keterbatasan SDM IT, SIMRS yang belum mendukung konfigurasi RBAC granular, serta lemahnya integrasi antara sistem kepegawaian, komite medik, dan modul akses SIMRS itu sendiri. Sebuah studi implementasi RBAC di rumah sakit menunjukkan bahwa sistem seperti SIMGOS memang sudah membatasi akses data pasien sesuai peran dan tanggung jawab, namun celah tetap muncul pada praktik penyimpanan kata sandi dan pengawasan penggunaan akun (Jurnal Kesehatan Tambusai, 2025). Ini menegaskan bahwa kerangka kebijakan yang baik di atas kertas perlu dikawal dengan disiplin operasional harian — sesuatu yang jauh lebih sulit dijaga daripada sekadar menulis SPO.

Catatan transparansi: Kerangka joiner-mover-leaver dan role-based access control yang diuraikan dalam artikel ini berasal dari literatur tata kelola identitas dan keamanan siber di sektor kesehatan global, yang sebagian besar berkembang dalam konteks regulasi HIPAA di Amerika Serikat. Adaptasinya ke konteks Indonesia — termasuk penautan dengan SPK-RKK dan STARKES — merupakan interpretasi analitis penulis, bukan rujukan resmi Kementerian Kesehatan atau KARS yang secara spesifik mengatur mekanisme ini langkah demi langkah. Belum ditemukan data epidemiologis nasional (SKI/Riskesdas) mengenai insiden kebocoran data akibat kegagalan pencabutan akses di rumah sakit Indonesia; rekomendasi dalam artikel ini bersifat praktik terbaik umum yang perlu disesuaikan dengan kapasitas dan struktur masing-masing fasilitas.

Ringkasan: Hak akses SIMRS dan RME bagi staf PPA harus dikelola sebagai siklus, bukan sekali beri lalu lupa. Prinsip least privilege, kaitan dengan kewenangan klinis, serta model joiner-mover-leaver membantu mencegah akun “hantu” yang tetap aktif setelah staf pindah atau berhenti — celah keamanan data pasien yang paling sering luput dari perhatian manajemen rumah sakit.

Referensi

Accountable. (2026a). How to implement role-based access control (RBAC) in healthcare: Steps, compliance, and best practices. https://www.accountablehq.com/post/how-to-implement-role-based-access-control-rbac-in-healthcare-steps-compliance-and-best-practices

Accountable. (2026b). Healthcare privileged access management best practices: Practical steps to protect EHRs and meet HIPAA compliance. https://www.accountablehq.com/post/healthcare-privileged-access-management-best-practices-practical-steps-to-protect-ehrs-and-meet-hipaa-compliance

Jurnal Kesehatan Tambusai. (2025). Keamanan sistem informasi rekam medis elektronik berbasis role-based access control, 6(3). https://journal.universitaspahlawan.ac.id/index.php/jkt/article/download/48971/30753

Komisi Akreditasi Rumah Sakit (KARS). (2024). Manajemen Rekam Medis dan Informasi Kesehatan (MRMIK) – Standar Akreditasi Rumah Sakit 2024. https://snars.web.id/rs/manajemen-rekam-medis-dan-informasi-kesehatan-mrmik-kmk-1128-akreditasi-kemenkes/

Kementerian Kesehatan Republik Indonesia. (2022). Peraturan Menteri Kesehatan Nomor 24 Tahun 2022 tentang Rekam Medis. Kemenkes RI.

Netwrix. (2026). Joiner, mover, leaver (JML). https://netwrix.com/en/cybersecurity-glossary/security-concepts/joiner-mover-leaver-jml/

RealVNC. (2026). User provisioning and deprovisioning: The complete guide to identity lifecycle management. https://www.realvnc.com/en/blog/user-provisioning-and-deprovisioning/