Vilka av de öppna källkods EMR: erna kan det vara bra att lära sig av? Några referenser som jag kan gå till som utgångspunkt?
Flera av de PHP-baserade Open Source EHR-systemen har använt PHP GACL för åtkomstkontroll. Jag är inte säker på hur ofta den används längre, det är ett bra ställe att börja titta på hur rollbaserad ACL kan implementeras och kontrolleras. PHP GACL tillhandahåller en tre-teir-åtkomstmodell, så att du kan dela upp saker i åtkomsttriader. Gilla roll: läkarmakt: modifiera data: patientjournaler kan göras och undantas på ett intelligent sätt, såsom roll: läkarmakt: läsdata: patient utom där läkare = Dr. Smith makt = läs och tålmodig = Dr. Smiths dotter.
Jag är inte säker på hur VistA gör åtkomstkontroll, men jag tror att det har makten att göra både de allmänna reglerna och skapa dessa mer subtila undantag.
Kombinationerna av IT-regler inom hälso- och sjukvården i USA har gett ytterligare struktur för åtkomstkontrollfrågan. Först är naturligtvis HIPAA, som insisterar på att åtkomstkontroll verkställer den "minsta nödvändiga" åtkomstkontrollen. 164.312 och 164.308 (a) (4) 45 CFR 164.502 (b) 45 CFR 164.514 (d) av säkerhetsregeln kräver denna åtkomstkontroll. Men snarare än att läsa dessa standarder har HHS en trevlig sammanfattning av begreppet minimum nödvändigt.
Så en EHR måste konfigureras så att varje användare har tillgång till det minsta som krävs för att göra sitt jobb. Vilket innebär att tillgångskontroll inom hälso- och sjukvården till stor del är arbetsberoende. Praktiskt taget betyder det att den bästa metoden helt enkelt är att fråga "behöver den här typen av användare tillgång till denna typ av patientdata för att göra sitt jobb?" Om svaret är nej, bör en rollbaserad åtkomstkontrollbegränsning förhindra åtkomst och antagligen automatiskt logga åtkomstförsök för den kombinationen av roll till dataobjektåtkomst.
Meningsfull användning har också ett grundläggande krav (# 15) ( skydda elektronisk hälsoinformation) som kräver åtkomstkontroll. För det mesta bara genom att kräva granskning av 45 CFR 164.308 (a) (1) -delen av HIPAA. Så du måste göra åtkomstkontroll och du måste ha granskat efterlevnaden av den åtkomstkontrollen.
Lägg märke till att ingen av dessa föreskrifter har sagt "Läkare ska kunna göra X och inte Y" eller "Schemaläggare ska kunna se B men inte C". Detta är ganska avsiktligt. Det finns för många naturligt förekommande variationer av arbetsflöden på sjukhus och kliniker att det inte finns några råd som passar de flesta som verkligen fungerar, mycket mindre en storlek som passar alla. Så det enda som krävs är att
Det finns två allmänna försiktighetsåtgärder för dessa detaljer. "1." kanske inte gäller om din träning är tillräckligt liten. Om en praxis består av en annan person förutom en läkare som gör schemaläggning, omvårdnad, fakturering, kontorshantering och tar ut soporna, så kommer den personen antagligen att behöva ha tillgång till nästan allt i EHR. Om du har alla jobb får du tillgång till alla jobb. Var dock säker på att dokumentera detta faktum för att visa att du övervägde möjligheten till strängare åtkomstkontroller, men avvisade det av praktiska skäl.
För det andra, medan PHP GACL etc kan göra oerhört komplicerade saker, kommer många EHR-system att ha förenklade eller bakåtåtgärder för implementering av åtkomstkontroll. Du kan vara mycket begränsad av vad din EHR kan göra eller vad den enkelt kan konfigureras att göra. Återigen, om din EHR-design inte tillåter dig att hantera åtkomstkontroll på ett sätt som är kompatibelt med dina arbetsflödesbehov (tvingar dig att ge mer generös åtkomst så föredrar du), se till att du också formellt dokumenterar det. Registrera också ett fel med din leverantör.
I allmänhet tror jag att målet troligen bör vara "överensstämmelse" såvida inte din speciella EPJ har en "bästa praxis" för hur man ställer in saker. VistA, till exempel, har ett slags "zen of VistA" för alla konfigurationsbeslut. En dokumenterad eller informell regel om rätt sätt att hantera en viss konfiguration.
O'Reilly har släppt en guide till meningsfull användning som heter ' Meningsfull användning och bortom' (skamlös plugg ... Jag skrev det) Denna fråga diskuteras i kapitel 8 meningsfull användning översikt och kapitel 12 om HIPAA.