Kepatuhan dan Tata Kelola Data dalam Layanan Kesehatan

Di era digital yang semakin berkembang, layanan kesehatan menghadapi tantangan besar dalam mengelola dan melindungi data pasien. Dengan meningkatnya ancaman siber dan kebocoran data, sektor kesehatan menjadi salah satu target utama para peretas. Oleh karena itu, penting bagi seluruh pemangku kepentingan dalam industri kesehatan untuk memahami kepatuhan dan tata kelola data yang baik guna memastikan keamanan, integritas, dan ketersediaan informasi kesehatan.

Dalam sebuah workshop yang diadakan oleh Cyberhub, Diah Sulistyowati, S.Kom., M.T., seorang Manggala Informatika Ahli Muda di Badan Siber dan Sandi Negara (BSSN), membagikan wawasan terkait regulasi, standar kepatuhan, dan praktik terbaik dalam pengelolaan data di sektor kesehatan. Artikel ini akan membahas berbagai aspek penting mengenai keamanan data kesehatan, mulai dari ancaman yang dihadapi, regulasi yang berlaku, hingga strategi yang harus diterapkan oleh institusi kesehatan.

Pentingnya Tata Kelola Data dalam Layanan Kesehatan
Teknologi telah membawa banyak manfaat dalam industri kesehatan, mulai dari rekam medis elektronik (RME), sistem manajemen rumah sakit (HMS), hingga telemedicine. Namun, dengan meningkatnya digitalisasi, ancaman terhadap data pasien juga meningkat.

Menurut Diah Sulistyowati, sektor kesehatan termasuk salah satu target utama serangan siber karena mengelola banyak data sensitif. Serangan terhadap sistem rumah sakit atau fasilitas kesehatan dapat menyebabkan kebocoran data pasien, manipulasi rekam medis, hingga gangguan operasional yang berpotensi mengancam nyawa pasien.

Untuk mengatasi tantangan ini, pemerintah dan sektor kesehatan harus bekerja sama dalam menerapkan tata kelola data yang baik. Tata kelola ini mencakup kebijakan keamanan informasi, audit kepatuhan, serta langkah-langkah mitigasi risiko siber.

Ancaman Siber di Sektor Kesehatan
Indonesia merupakan salah satu negara dengan jumlah pengguna internet terbesar di dunia, setelah India, China, dan Amerika Serikat. Sayangnya, tingginya tingkat penetrasi internet ini juga menjadikan Indonesia sebagai target utama serangan siber. Salah satu sektor yang paling rentan terhadap serangan ini adalah layanan kesehatan.

Menurut laporan Global Cyber Security Outlook 2025 yang dirilis oleh World Economic Forum (WEF), ada enam faktor utama yang membuat keamanan siber semakin kompleks:

1. Ketegangan Geopolitik Global: Konflik antarnegara meningkatkan potensi serangan siber lintas batas.
2. Peningkatan Kejahatan Siber: Serangan siber kini semakin canggih dan seringkali melibatkan kelompok peretas profesional.
3. Ketergantungan pada Rantai Pasok Digital: Banyak institusi kesehatan menggunakan layanan berbasis cloud, yang meningkatkan risiko kebocoran data.
4. Kurangnya Keahlian Siber: Tidak semua organisasi memiliki tenaga ahli yang cukup dalam menangani ancaman siber.
5. Perkembangan Teknologi AI: Meskipun AI dapat membantu dalam keamanan, teknologi ini juga dimanfaatkan oleh peretas untuk melancarkan serangan.
6. Persyaratan Regulasi yang Ketat: Banyak perusahaan kesulitan untuk memenuhi regulasi keamanan data yang semakin kompleks.

Salah satu jenis serangan siber yang paling sering menyerang sektor kesehatan adalah ransomware. Pada tahun 2024, terjadi 146 serangan ransomware terhadap institusi kesehatan di seluruh dunia, dengan 52% di antaranya terjadi di Amerika Serikat.

Indonesia juga tidak luput dari ancaman ini. Laporan dari Cyberhub Indonesia (2024) menunjukkan bahwa serangan siber terhadap sektor kesehatan di Indonesia meningkat 45% dalam dua tahun terakhir. 

Jenis Serangan Siber yang Mengincar Data Kesehatan

1. Ransomware: Jenis malware yang mengenkripsi data dan meminta tebusan untuk membuka aksesnya kembali. Contoh kasus terbaru adalah serangan ransomware terhadap Change Healthcare pada 2024 yang menyebabkan kerugian hingga 100 juta USD per hari.
2. Pencurian Data Medis: Data pasien sangat berharga di pasar gelap (dark web). Laporan dari Safety Detective menyebutkan bahwa rekam medis pasien bisa dijual hingga 1.000 USD per data.
3. Serangan Phishing: Penipuan siber yang menargetkan tenaga medis atau staf rumah sakit untuk mendapatkan kredensial login atau informasi sensitif lainnya.
4. DDoS (Distributed Denial of Service): Serangan yang membanjiri sistem rumah sakit dengan lalu lintas berlebihan sehingga mengganggu layanan kesehatan.
5. Kebocoran Data: Baik akibat peretasan maupun kelalaian internal. Kasus kebocoran data BPJS Kesehatan pada 2021 yang mencakup 279 juta data penduduk Indonesia adalah contoh nyata lemahnya keamanan data.

Beberapa insiden besar dalam sektor kesehatan yang terjadi dalam beberapa tahun terakhir antara lain:

1. Cencora (2024): Serangan siber terhadap raksasa farmasi AS ini menyebabkan kebocoran data 1,42 juta pasien.
2. Data COVID-19 (2022): Kebocoran 6 juta data pasien yang mencakup hasil tes COVID-19, hasil pindai X-ray, dan informasi medis lainnya.

Kasus-kasus ini menunjukkan betapa rentannya sektor kesehatan terhadap ancaman digital dan pentingnya meningkatkan perlindungan data secara menyeluruh.

Regulasi dan Kebijakan Keamanan Data Kesehatan di Indonesia
Untuk mengatasi ancaman ini, pemerintah Indonesia telah menetapkan berbagai regulasi yang mengatur tata kelola dan keamanan data di sektor kesehatan. Beberapa di antaranya adalah:

1. Undang-Undang dan Peraturan Pemerintah
   
   • PP No. 28 Tahun 2024: Peraturan pelaksanaan UU 17/2023 tentang Kesehatan, termasuk perlindungan data pasien.
   • UU No. 1 Tahun 2024:  Informasi dan Transaksi Elektronik (ITE), yang mengatur tentang penyalahgunaan data digital.
   • Perpres No. 82 Tahun 2022:  Pelindungan Infrastruktur Informasi Vital (IIV), termasuk data kesehatan.
   • UU No. 27 Tahun 2022:  Perlindungan Data Pribadi (PDP), yang mengatur tata kelola dan sanksi atas kebocoran data.
   • Perpres No. 47 Tahun 2023:  Strategi Keamanan Siber Nasional (SKSN) dan Manajemen Krisis Siber (MKS).
   • Permenkes No. 18 Tahun 2022: Tentang satu data bidang kesehatan melalui sistem informasi kesehatan.
   • Permenkes No. 24 Tahun 2022:  Tentang rekam medis elektronik dan sistem pencatatan data pasien.
2. Standar Keamanan Sistem Elektronik
   
   • Peraturan BSSN No. 8 Tahun 2020: Mengatur keamanan sistem elektronik di Indonesia.
   • ISO 27001: Standar global untuk manajemen keamanan informasi.
   • SPBE (Sistem Pemerintahan Berbasis Elektronik): Regulasi yang mengatur pengelolaan data di sektor pemerintahan, termasuk kesehatan.

Peraturan-peraturan ini mengamanatkan bahwa rumah sakit dan fasilitas kesehatan wajib memiliki sistem keamanan informasi yang kuat, termasuk enkripsi data pasien, autentikasi ganda, dan pencatatan audit data secara berkala.

Mengapa Data Kesehatan Sangat Berharga?
Data kesehatan pasien, seperti rekam medis, hasil tes laboratorium, dan informasi asuransi, memiliki nilai ekonomi yang tinggi di pasar gelap. Menurut Safety Detective, harga satu rekam medis di dark web bisa mencapai 1.000 USD per data, jauh lebih mahal dibandingkan data kartu kredit yang hanya bernilai 5-10 USD.

Tidak hanya itu, dampak dari pencurian data kesehatan sangat berbahaya karena:

1. Penyalahgunaan Identitas: Data pasien bisa digunakan untuk klaim asuransi palsu atau penipuan medis.
2. Pemerasan: Peretas dapat mengancam untuk menyebarkan informasi medis sensitif jika tidak dibayar tebusan.
3. Kesalahan Diagnosa: Jika data pasien diubah atau dihapus, dapat mengganggu pengobatan yang sedang berlangsung.

Karena itu, institusi kesehatan harus meningkatkan tindakan pencegahan guna mengurangi risiko kebocoran data.

Strategi Meningkatkan Keamanan Data Kesehatan
Untuk melindungi data pasien dan menghindari risiko kebocoran, berikut beberapa langkah yang dapat diambil oleh institusi kesehatan:

1. Penerapan Teknologi Keamanan
   
   • Menggunakan enkripsi data untuk melindungi informasi pasien dari akses tidak sah.
   • Mengimplementasikan autentikasi multi-faktor (MFA) agar hanya pengguna yang berwenang dapat mengakses data.
   • Memasang firewall dan sistem deteksi intrusi untuk mencegah akses ilegal ke sistem rumah sakit.
2. Audit dan Kepatuhan Regulasi
   
   • Melakukan audit keamanan secara berkala untuk mengidentifikasi celah keamanan.
   • Memastikan sistem teknologi informasi rumah sakit mematuhi standar seperti ISO 27001 dan regulasi PDP.
   • Menggunakan Sertifikat Keamanan Siber Nasional (SKSN) dari BSSN untuk memperkuat perlindungan data.
3. Pelatihan dan Kesadaran Keamanan Siber
   
   • Mengedukasi staf rumah sakit tentang phishing dan cara mengenali serangan siber.
   • Melatih petugas medis dan administrator IT dalam menangani insiden kebocoran data.
   • Membentuk tim tanggap darurat siber untuk merespons serangan dengan cepat.
4. Kolaborasi dengan Pemerintah dan Pihak Ketiga
   
   • Menjalin kerja sama dengan BSSN, Kementerian Kesehatan, dan perusahaan keamanan siber untuk meningkatkan perlindungan data.
   • Menggunakan solusi keamanan berbasis AI untuk mendeteksi ancaman sebelum terjadi kebocoran data.

Kesimpulan
Keamanan dan tata kelola data dalam layanan kesehatan bukan lagi sekadar opsi, tetapi sebuah kewajiban. Dengan meningkatnya ancaman siber, rumah sakit dan penyedia layanan kesehatan harus menerapkan regulasi yang berlaku serta mengadopsi teknologi keamanan yang lebih ketat.

Regulasi seperti UU PDP, Perpres 82/2022, dan ISO 27001 harus menjadi acuan bagi seluruh pemangku kepentingan di sektor kesehatan. Selain itu, peningkatan kesadaran, kolaborasi, serta penerapan strategi keamanan yang lebih baik dapat membantu mengurangi risiko kebocoran data dan melindungi informasi pasien dari serangan siber.

Seiring dengan perkembangan teknologi, sektor kesehatan harus terus beradaptasi untuk memastikan keamanan data tetap terjaga, demi melindungi privasi pasien dan menjaga kepercayaan masyarakat.