Ketika sistem rumah sakit lumpuh akibat serangan siber, yang tertunda bukan hanya layanan administrasi. Di balik layar, tindakan operasi bisa tertunda, hasil laboratorium tidak dapat diakses, hingga keputusan klinis harus diambil tanpa riwayat medis pasien. Di era digital healthcare, keamanan informasi bukan lagi urusan divisi IT semata, melainkan bagian dari keselamatan pasien.

Digitalisasi layanan kesehatan di Indonesia berkembang semakin pesat. Implementasi Rekam Medis Elektronik (RME), integrasi dengan platform SATUSEHAT, hingga meningkatnya pemanfaatan sistem informasi rumah sakit (SIMRS) telah membawa efisiensi sekaligus tantangan baru. Semakin banyak data yang terdigitalisasi, semakin besar pula risiko yang harus diantisipasi.

Data global menunjukkan besarnya taruhan ini. Berdasarkan IBM Cost of a Data Breach Report 2025, sektor kesehatan tercatat sebagai industri dengan biaya rata-rata insiden kebocoran data tertinggi selama 14 tahun berturut-turut, yakni sekitar USD 7,42 juta per insiden, dengan waktu deteksi dan penanganan yang jauh lebih panjang dibandingkan sektor lain. Data pasien memiliki nilai tinggi karena memuat identitas pribadi, riwayat penyakit, hasil pemeriksaan, hingga informasi pembiayaan yang bersifat permanen. Berbeda dengan kata sandi atau nomor kartu yang dapat diganti, kebocoran rekam medis akan terus melekat pada pemiliknya sepanjang hidup.

Belajar dari Kasus Nyata

Indonesia sendiri sudah pernah merasakan dampak ini secara langsung. Pada Mei 2017, RS Dharmais dan RS Harapan Kita di Jakarta menjadi bagian dari korban serangan ransomware WannaCry yang melumpuhkan sistem komputer secara global. Akses terhadap data medis dan administrasi pasien terganggu, sehingga sejumlah prosedur administrasi terpaksa dialihkan sementara ke cara manual. Kedua rumah sakit tersebut memilih tidak membayar tebusan dan berhasil pulih berkat sistem backup yang mereka miliki — sebuah pelajaran penting bahwa kesiapan cadangan data adalah lini pertahanan yang menentukan.

Contoh lain datang dari luar negeri: insiden ransomware terhadap penyedia layanan klaim kesehatan Change Healthcare di Amerika Serikat pada 2024 mengganggu proses klaim di ribuan fasilitas kesehatan dan menimbulkan kerugian yang diperkirakan mencapai lebih dari USD 2 miliar. Kedua kasus ini menegaskan hal yang sama: ketika sistem informasi rumah sakit terganggu, dampaknya menjalar jauh melampaui ruang server, hingga ke pelayanan pasien dan keberlangsungan finansial organisasi.

Isu inilah yang menjadi fokus pembahasan dalam webinar Digital Health Readiness Series bertajuk “Strategi Keamanan Informasi di Era Digital” yang menghadirkan Bapak Wawan Kusmawan, S.Kom., CELM., CCSM., General Manager PT Inova Medika Solusindo sekaligus Direktur Operasional PT Inova Infra Teknologi, sebagai narasumber.

Dalam sesi ini, Bapak Wawan menegaskan bahwa keamanan informasi tidak boleh dipandang sebagai proyek teknologi semata.

“Keamanan data kesehatan adalah fondasi utama dalam menjaga keselamatan pasien, kepercayaan publik, dan keberlanjutan layanan rumah sakit. Tanpa keamanan yang memadai, digitalisasi layanan justru dapat menjadi liabilitas yang membahayakan.”

Mengapa Rumah Sakit Menjadi Sasaran Empuk?

Rumah sakit memiliki karakteristik yang berbeda dengan industri lainnya. Layanan harus berjalan selama 24 jam tanpa henti, ribuan tenaga kesehatan mengakses sistem setiap hari, serta seluruh proses pelayanan sangat bergantung pada SIMRS dan Rekam Medis Elektronik.

Kondisi tersebut menjadikan rumah sakit sebagai target yang menarik bagi pelaku kejahatan siber. Ketika sistem terkunci akibat ransomware, tekanan untuk segera memulihkan layanan sering kali membuat institusi berada dalam posisi yang sulit. Selain serangan ransomware, ancaman lain yang banyak terjadi meliputi phishing untuk mencuri kredensial pengguna, malware yang menyusup melalui perangkat, hingga penyalahgunaan hak akses oleh pihak internal maupun vendor.

Menurut Bapak Wawan, teknologi yang canggih tidak akan mampu melindungi organisasi apabila pengelolaan akses pengguna masih lemah.

“Sering kali celah keamanan bukan berasal dari sistemnya, melainkan dari cara pengguna mengelola akses. Karena itu, keamanan harus dibangun melalui kombinasi teknologi, prosedur, dan budaya organisasi.”

Dampaknya Bukan Sekadar Kehilangan Data

Dalam layanan kesehatan, gangguan terhadap sistem informasi dapat menimbulkan konsekuensi yang jauh lebih luas dibandingkan sektor lain. Ketika SIMRS tidak dapat diakses, proses pendaftaran pasien terhenti. Riwayat penyakit tidak dapat ditampilkan, farmasi dan laboratorium mengalami hambatan, hingga klaim BPJS berpotensi tertunda. Pada kondisi tertentu, keterlambatan memperoleh informasi medis dapat memengaruhi keputusan klinis yang berhubungan langsung dengan keselamatan pasien.

Tidak hanya itu, kebocoran data pasien juga berpotensi menggerus kepercayaan masyarakat terhadap institusi pelayanan kesehatan. Sekali informasi medis tersebar, dampaknya bersifat permanen bagi pasien maupun reputasi rumah sakit.

Kepatuhan Regulasi Tidak Bisa Ditawar

Modernisasi layanan kesehatan juga diikuti dengan semakin ketatnya regulasi terkait perlindungan data. Rumah sakit perlu memastikan implementasi keamanan informasi selaras dengan berbagai ketentuan, di antaranya:

• Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), yang mewajibkan setiap pengendali data — termasuk rumah sakit — menjaga kerahasiaan dan keamanan data pribadi pasien.
• Permenkes Nomor 24 Tahun 2022 mengenai Rekam Medis Elektronik, yang mengatur standar penyelenggaraan RME termasuk aspek keamanan sistemnya.
• Regulasi dan standar teknis platform SATUSEHAT dari Kementerian Kesehatan, yang mensyaratkan interoperabilitas data sekaligus perlindungan terhadap data yang dipertukarkan antarfasilitas kesehatan.
• ISO 27001, standar internasional untuk sistem manajemen keamanan informasi yang dapat menjadi acuan tata kelola keamanan di rumah sakit.
• NIST Cybersecurity Framework, kerangka kerja yang membantu organisasi mengidentifikasi, melindungi, mendeteksi, merespons, dan memulihkan diri dari insiden siber secara terstruktur.

Sebagai referensi internasional, standar seperti HIPAA di Amerika Serikat juga kerap dijadikan pembanding dalam menyusun kebijakan perlindungan data kesehatan, meskipun penerapannya di Indonesia tetap mengacu pada regulasi nasional di atas.

Dalam praktiknya, keamanan informasi harus dibangun berdasarkan tiga prinsip utama atau CIA Triad, yaitu menjaga kerahasiaan (Confidentiality), memastikan keutuhan data (Integrity), serta menjamin ketersediaan data setiap saat ketika dibutuhkan (Availability).

Strategi Membangun Ketahanan Sistem Informasi Rumah Sakit

Bapak Wawan menjelaskan bahwa keamanan informasi tidak cukup hanya dengan memasang firewall atau antivirus. Rumah sakit memerlukan pendekatan berlapis (defense in depth) yang mencakup keamanan akses, aplikasi, infrastruktur, hingga strategi pemulihan ketika insiden benar-benar terjadi.

Beberapa langkah mendasar yang perlu diterapkan antara lain penggunaan akun pengguna yang bersifat individual (unique user), penerapan Role-Based Access Control (RBAC), penggunaan Multi-Factor Authentication (MFA), segmentasi jaringan, pemanfaatan VPN untuk akses jarak jauh, serta pencatatan aktivitas melalui audit log.

Selain upaya pencegahan, kesiapan menghadapi insiden juga menjadi aspek yang tidak kalah penting. Salah satu praktik terbaik yang disoroti adalah penerapan aturan backup 3-2-1, yakni memiliki tiga salinan data, menggunakan dua media penyimpanan yang berbeda, serta menyimpan satu salinan di lokasi terpisah (offsite) — pendekatan yang sama yang terbukti menyelamatkan RS Dharmais dan RS Harapan Kita saat insiden WannaCry.

Menurutnya, strategi backup harus selalu diiringi dengan proses uji pemulihan (restore test) secara berkala. Sebab, data cadangan yang tidak pernah diuji belum tentu dapat digunakan ketika bencana benar-benar terjadi.

Kesalahan yang Masih Sering Terjadi

Dalam sesi diskusi, Bapak Wawan juga menyoroti sejumlah kesalahan yang masih banyak ditemui di berbagai fasilitas pelayanan kesehatan, di antaranya menyimpan server utama dan backup pada lokasi yang sama, tidak memiliki Standar Operasional Prosedur (SOP) Disaster Recovery yang terdokumentasi, hingga ketergantungan terhadap satu personel IT dalam proses pemulihan sistem.

Situasi tersebut membuat waktu pemulihan (Recovery Time Objective/RTO) menjadi jauh lebih lama ketika terjadi gangguan, sehingga risiko terhadap pelayanan pasien maupun operasional rumah sakit semakin besar.

Diskusi berlangsung interaktif dengan banyak pertanyaan dari peserta mengenai implementasi backup, keamanan akses pengguna, hingga strategi menghadapi serangan ransomware. Antusiasme peserta menunjukkan bahwa keamanan informasi kini menjadi perhatian penting seiring semakin pesatnya digitalisasi layanan di sektor kesehatan.

Komitmen Inovamedika dalam Mengawal Keamanan Informasi Rumah Sakit

Melalui pengalaman mendampingi implementasi SIMRS, Rekam Medis Elektronik, integrasi SATUSEHAT, hingga penyusunan roadmap digitalisasi layanan di berbagai rumah sakit, Inovamedika melihat bahwa tantangan terbesar bukan lagi pada pemilihan teknologi, melainkan pada kesiapan tata kelola, sumber daya manusia, dan keamanan informasi yang mendukung keberlangsungan layanan. Bagi Inovamedika, keamanan informasi merupakan bagian yang tidak terpisahkan dari setiap proyek digitalisasi rumah sakit yang dijalankan, mulai dari tahap perencanaan arsitektur sistem hingga pendampingan pasca-implementasi.

Pemanfaatan teknologi digital memang membuka peluang besar untuk meningkatkan kualitas layanan kesehatan. Namun, tanpa fondasi keamanan informasi yang kuat, kemajuan tersebut justru dapat menjadi titik lemah yang mengancam keselamatan pasien dan keberlangsungan layanan. Oleh karena itu, membangun budaya keamanan informasi bukan lagi pilihan, melainkan kebutuhan yang harus menjadi prioritas setiap fasilitas pelayanan kesehatan.