Keamanan Data dalam AI Layanan Kesehatan: Yang Perlu Diketahui Tim IT Rumah Sakit

Mengapa Keamanan Data Layanan Kesehatan Menuntut Perhatian Khusus

Organisasi layanan kesehatan mengelola sebagian dari data pribadi paling sensitif yang ada: riwayat medis, informasi genetik, catatan kesehatan mental, riwayat penggunaan zat, data kesehatan seksual, dan informasi finansial yang terkait dengan asuransi kesehatan. Data ini tunduk pada perlindungan regulasi spesifik di banyak yurisdiksi dan menjadi sasaran pelaku kejahatan siber. Verizon 2023 Data Breach Investigations Report mencatat 433 pelanggaran di sektor Healthcare, di bawah Public Administration dengan 582 dan Finance dengan 477. Karena itu, laporan tersebut tidak mendukung pernyataan bahwa Healthcare adalah industri yang paling banyak mengalami pelanggaran pada tahun itu.

Bergantung pada arsitektur dan peran layanan, adopsi alat AI dapat menambah lokasi pemrosesan, pengiriman, atau penyimpanan data klinis sensitif, termasuk oleh pihak ketiga. Tanggung jawab dibagi menurut peran: institusi tetap menjalankan kewajiban hukum dan tata kelola klinisnya, klinisi bertanggung jawab atas keputusan klinis, sedangkan vendor bertanggung jawab atas kontrol dan komitmen kontraktual dalam lingkup layanannya. Pembagian yang tepat bergantung pada yurisdiksi, bentuk penerapan, aliran data, dan kontrak.

Artikel ini adalah panduan praktis tentang pertanyaan keamanan yang paling penting saat menilai vendor AI layanan kesehatan.

Lanskap Regulasi

Sebelum menilai kontrol keamanan tertentu, penting untuk memahami konteks regulasinya:

Indonesia: UU PDP (Undang-Undang Pelindungan Data Pribadi)

Undang-Undang Pelindungan Data Pribadi Indonesia (UU No. 27/2022) diundangkan pada 2022 dan menggolongkan data kesehatan sebagai Data Pribadi yang bersifat spesifik. Berdasarkan Pasal 46 ayat (1), Pengendali Data Pribadi wajib memberikan pemberitahuan tertulis kepada subjek data pribadi dan Lembaga paling lambat 3 x 24 jam setelah terjadi kegagalan Pelindungan Data Pribadi. Tenggat ini berlaku untuk kewajiban pemberitahuan tertulis tersebut, bukan sebagai batas universal bagi setiap insiden keamanan.

Singapura: PDPA dan persyaratan layanan kesehatan yang berlaku

Personal Data Protection Act Singapura berlaku atas penanganan data pribadi. Health Information Act 2026 disahkan pada Februari 2026, tetapi kewajibannya belum berlaku saat ini: undang-undang tersebut mulai berlaku pada tanggal yang ditetapkan melalui Gazette, dan Kementerian Kesehatan menyatakan penyedia layanan kesehatan berlisensi akan diwajibkan secara bertahap mulai September 2027. Karena itu, PDPA serta kewajiban HCSA atau kewajiban MOH lain yang berlaku saat ini perlu dinilai terpisah dari perencanaan penerapan HIA. Untuk pelanggaran yang setelah asesmen dinyatakan wajib diberitahukan berdasarkan PDPA, organisasi harus memberi tahu PDPC sesegera mungkin dan paling lambat tiga hari kalender setelah menyelesaikan asesmen; individu terdampak harus diberi tahu sesegera mungkin. Ini bukan tenggat umum tiga hari sejak setiap pelanggaran terjadi. Lihat panduan notifikasi PDPC.

Hong Kong: PDPO dan Panduan PCPD

Personal Data (Privacy) Ordinance Hong Kong dan prinsip perlindungan data tetap berlaku atas penanganan data pribadi. Pembatasan transfer lintas batas dalam Pasal 33 belum berlaku. PCPD merekomendasikan uji tuntas untuk memastikan perlindungan yang sebanding dan menyediakan klausul kontrak model untuk transfer lintas batas; PCPD tidak menyatakan Pasal 33 sebagai pembatasan hukum yang saat ini sudah berlaku. Lihat panduan PCPD.

Standar ISO

Standar internasional menyediakan kerangka kerja yang netral terhadap vendor untuk penilaian keamanan. Yang paling relevan bagi vendor AI layanan kesehatan adalah ISO 27001 (Sistem Manajemen Keamanan Informasi), ISO 27701 (Manajemen Informasi Privasi), ISO 13485 (Manajemen Mutu Alat Kesehatan, untuk sistem AI yang memenuhi kualifikasi sebagai alat kesehatan), dan ISO 9001 (Sistem Manajemen Mutu).

Pertanyaan Keamanan Utama untuk Vendor AI

1. Arsitektur Pemrosesan Data

Di mana data klinis diproses? Pemrosesan cloud menimbulkan pertanyaan tentang penyedia, wilayah, akses dukungan, subprosesor, dan pengaturan transfer. Penerapan on-premise menghindari ketergantungan pada lingkungan cloud yang dioperasikan vendor, tetapi menambah tanggung jawab lokal atas hardening, patching, identitas dan akses, pencadangan, ketahanan, pemantauan, serta keamanan fisik. Arsitektur hibrida membagi tanggung jawab tersebut dan perlu dinilai secara menyeluruh.

Pertanyaan utamanya: opsi penerapan apa yang benar-benar tersedia, di mana setiap jenis data diproses dan disimpan, siapa yang dapat mengaksesnya untuk operasional atau dukungan, dan komitmen apa yang tertuang dalam kontrak? Lokasi data merupakan salah satu masukan dalam analisis; faktor ini tidak dengan sendirinya menentukan hukum, kewajiban klinis, atau kewajiban keamanan yang berlaku.

2. Minimalisasi dan Retensi Data

Apakah sistem AI memerlukan akses ke seluruh rekam medis pasien, atau hanya kolom tertentu yang diperlukan untuk menjalankan fungsinya? Minimalisasi data, yaitu hanya memproses data yang benar-benar dibutuhkan, mengurangi paparan. Demikian pula, kebijakan retensi data yang jelas (berapa lama vendor menyimpan data apa pun yang mereka proses?) dan prosedur penghapusan yang aman merupakan hal yang esensial.

3. Standar Enkripsi

Data saat transit perlu memakai transport terenkripsi modern yang memenuhi baseline keamanan institusi dan persyaratan yang berlaku. TLS 1.3 dapat diprioritaskan jika sistem yang terhubung mendukungnya, tetapi bukan ambang hukum universal. Akses ke kunci enkripsi perlu dikontrol dan dapat diulas. Mintalah vendor menjelaskan protokol, kebijakan cipher, tanggung jawab pengelolaan kunci, dan komitmen lokasi data dalam kontrak.

4. Kontrol Akses

Siapa di dalam organisasi vendor yang dapat mengakses data pasien, untuk tujuan apa, dan atas otorisasi siapa? Akses berbasis peran, autentikasi kuat, dan ulasan akses berkala merupakan kontrol yang lazim, tetapi desain yang diperlukan bergantung pada penerapan dan asesmen risiko. Sebagian arsitektur dapat mengurangi kemampuan vendor melihat isi data; kelayakan teknis dan kesesuaiannya harus diverifikasi untuk alur kerja nyata, bukan diperlakukan sebagai kewajiban universal.

5. Log Audit

Bukti audit perlu sebanding dengan alur kerja dan kewajiban yang berlaku. Pastikan peristiwa akses, usulan AI, persetujuan, ekspor, dan tulis balik mana yang dicatat; siapa yang dapat melihat atau mengekspor bukti tersebut; bagaimana integritas dan retensinya dikelola; serta catatan apa yang diterima institusi. Jangan berasumsi semua kejadian dicatat, log tidak dapat dimanipulasi, atau cakupan yang sama diwajibkan di setiap yurisdiksi.

6. Respons Insiden

Bagaimana prosedur respons insiden vendor, dan seberapa cepat vendor memberi tahu organisasi layanan kesehatan yang menjadi pelanggannya? Di Indonesia, Pasal 46 ayat (1) memberi Pengendali Data Pribadi waktu paling lama 3 x 24 jam setelah kegagalan Pelindungan Data Pribadi untuk menyampaikan pemberitahuan tertulis yang diwajibkan kepada subjek data pribadi dan Lembaga. Di Singapura, batas tiga hari kalender untuk memberi tahu PDPC dimulai setelah organisasi menyelesaikan asesmen dan menetapkan bahwa pelanggaran wajib diberitahukan; individu terdampak harus diberi tahu sesegera mungkin. Kedua ketentuan ini bukan tenggat universal untuk menangani setiap insiden. SLA kontraktual vendor untuk pemberitahuan dan respons harus memberi organisasi layanan kesehatan yang bertanggung jawab cukup waktu dan informasi untuk memenuhi kewajiban yang benar-benar berlaku.

7. Penilaian Pihak Ketiga

Sertifikat ISO 27001, laporan SOC 2 Type II, dan hasil pengujian penetrasi dapat memberikan bukti pihak ketiga dengan cakupan tertentu mengenai kontrol, periode, dan sistem tertentu. Pembeli perlu meminta dan mengulas ruang lingkup, penerbit, tanggal, temuan, serta keterbatasannya, bukan memperlakukan kredensial sebagai validasi menyeluruh.

Apa Arti ISO 27001 yang Sebenarnya

ISO 27001 sering dikutip sebagai kredensial keamanan oleh vendor teknologi, termasuk perusahaan AI layanan kesehatan. Penting untuk memahami secara tepat apa yang disertifikasinya dan apa yang tidak.

Sertifikasi ISO 27001 berarti bahwa badan sertifikasi pihak ketiga telah menilai Sistem Manajemen Keamanan Informasi (SMKI) organisasi berdasarkan persyaratan standar, termasuk asesmen risiko, kontrol, dan perbaikan berkelanjutan. ISO menyatakan bahwa badan sertifikasi dapat memperoleh akreditasi, tetapi akreditasi tidak wajib. Pembeli perlu memverifikasi badan sertifikasi, status akreditasinya, dan ruang lingkup sertifikat secara terpisah melalui panduan sertifikasi ISO.

Sertifikasi itu tidak berarti bahwa organisasi tersebut tidak pernah mengalami insiden keamanan, bahwa semua kemungkinan kerentanan telah ditangani, atau bahwa ruang lingkup sertifikasi mencakup semua sistem yang dioperasikan organisasi. Dokumentasi ruang lingkup sertifikasi sebaiknya diminta untuk memahami secara persis apa yang tercakup.

Mengintegrasikan Penilaian Keamanan Vendor ke dalam Pengadaan

Salah satu pendekatan pengadaan yang praktis adalah menggunakan kuesioner keamanan terstandar berbasis risiko untuk vendor teknologi layanan kesehatan, yang mencakup pertanyaan-pertanyaan di atas sebelum penandatanganan kontrak. Organisasi seperti HIMSS (Healthcare Information and Management Systems Society) menerbitkan kerangka kerja penilaian keamanan vendor yang dapat diadaptasi untuk konteks regulasi lokal.

Dua checklist pendamping dapat membantu menata ulasan tersebut: pertanyaan yang perlu diajukan CIO sebelum membeli AI kesehatan dan cara klinik mengelola data kesehatan pasien berdasarkan UU PDP Indonesia.

Penilaian keamanan perlu berlanjut selama hubungan teknologi berlangsung. Frekuensi ulasan, pemantauan advisori vendor, bukti assurance, serta hak audit atau informasi dalam kontrak perlu ditetapkan menurut risiko, hukum yang berlaku, kebijakan institusi, dan kontrak.

Inilah disiplin asesmen yang Micromeet terapkan pada platformnya sendiri. Sebagai infrastruktur AI layanan kesehatan untuk perawatan berkelanjutan, Micromeet memperlakukan keamanan dan tata kelola sebagai persyaratan produk, bukan fitur tambahan. Untuk alur yang diaktifkan, Micromeet Care Workspace mendukung akses berbasis peran, status persetujuan, dan riwayat ulasan yang dikonfigurasi. Institusi dan Micromeet tetap harus memverifikasi data yang diproses, sumber acuan, lokasi pemrosesan, akses dukungan, bukti audit, jalur ekspor, jalur tulis balik, dan pembagian tanggung jawab untuk penerapan tersebut. Keputusan dan persetujuan klinis akhir tetap berada pada tenaga profesional berwenang; Micromeet bertanggung jawab atas kontrol serta komitmen dalam lingkup layanan yang disepakati. AI tidak mendiagnosis dan tidak menandatangani. Kami mendorong tim IT rumah sakit untuk menilai Micromeet dengan asesmen yang sama seperti yang dijelaskan di atas.

FAQ

Pertanyaan keamanan apa saja yang perlu diajukan tim IT rumah sakit kepada vendor AI kesehatan? Nilai aliran data, lokasi pemrosesan, akses dukungan, dan komitmen kontraktual; minimalisasi serta retensi data; transport terenkripsi sesuai baseline institusi; kontrol akses; bukti audit dan jalur ekspor yang benar-benar tersedia; respons insiden sesuai kewajiban yang berlaku; serta penilaian independen yang relevan. Petakan tanggung jawab institusi, klinisi, vendor, dan subprosesor untuk yurisdiksi serta penerapan nyata.

Sertifikasi ISO 27001 sebenarnya membuktikan apa? Sertifikasi ini menunjukkan bahwa badan sertifikasi pihak ketiga telah menilai Sistem Manajemen Keamanan Informasi organisasi berdasarkan ISO 27001. Akreditasi badan sertifikasi tersebut tidak wajib menurut panduan ISO, sehingga pembeli perlu memverifikasi badan, status akreditasinya, dan ruang lingkup sertifikat secara terpisah. Sertifikasi tidak membuktikan bahwa organisasi tidak pernah mengalami insiden, seluruh kerentanan sudah ditangani, atau semua sistem tercakup.

Undang-undang perlindungan data apa saja yang berlaku untuk AI kesehatan di Asia Tenggara? UU PDP Indonesia menggolongkan data kesehatan sebagai Data Pribadi yang bersifat spesifik; Pasal 46 ayat (1) mewajibkan Pengendali Data Pribadi memberi tahu subjek data pribadi dan Lembaga secara tertulis paling lambat 3 x 24 jam setelah kegagalan Pelindungan Data Pribadi. Di Singapura, PDPA serta kewajiban HCSA atau kewajiban MOH lain yang berlaku saat ini perlu dinilai sesuai layanan dan penerapannya. HIA disahkan pada Februari 2026, tetapi menurut MOH kewajibannya mulai berlaku secara bertahap sejak September 2027, sehingga tidak boleh dicampur dengan kewajiban yang sudah berlaku saat ini. Pelanggaran yang wajib diberitahukan berdasarkan PDPA harus dilaporkan kepada PDPC sesegera mungkin dan paling lambat tiga hari kalender setelah asesmen. Di Hong Kong, PDPO dan prinsip perlindungan data berlaku, tetapi Pasal 33 belum berlaku; PCPD merekomendasikan perlindungan sebanding dan klausul kontrak model untuk transfer lintas batas.

Sebaiknya data AI klinis diproses di cloud atau on-premise? Jawabannya bergantung pada kewajiban yang berlaku, arsitektur, dan profil risiko fasilitas. Cloud menimbulkan pertanyaan tentang penyedia, wilayah, akses, subprosesor, dan transfer. On-premise menghindari ketergantungan pada cloud yang dioperasikan vendor, tetapi menambah tanggung jawab keamanan serta operasional lokal. Lokasi data saja tidak menentukan hukum yang berlaku. Nilai aliran data, pembagian tanggung jawab, kontrol, dan komitmen kontraktual secara menyeluruh.

Bagaimana pendekatan Micromeet terhadap keamanan data dalam AI kesehatannya? Micromeet memperlakukan tata kelola keamanan sebagai persyaratan produk. Untuk alur yang diaktifkan, Micromeet Care Workspace mendukung akses berbasis peran, status persetujuan, dan riwayat ulasan yang dikonfigurasi. Lokasi data, bukti audit, ekspor, koneksi, tulis balik, dan pembagian tanggung jawab diverifikasi untuk tiap institusi. Tenaga profesional berwenang tetap mengambil keputusan klinis; Micromeet bertanggung jawab atas kontrol dan komitmen dalam lingkup layanan yang disepakati. Tim IT rumah sakit sebaiknya menilai Micromeet dengan uji tuntas yang sama.