القرار الوزاري 85/2024 · التعميم 26/2025

نبض والسياسة الوطنية لحوكمة وإدارة المعلومات الصحية

قرأنا السياسة كاملة — ١٢٢ صفحة — واستخرجنا منها كل متطلب يُنفّذ في البرمجيات، ثم بنيناه في النظام بندًا ببند. ما يلي ليس وصفًا لنيّة ولا بيان نوايا، بل ضوابط قائمة في النظام تُعرَض وتُجرّب — كل واحد منها برقم بنده في السياسة.

ضوابط منفّذة: 95 آخر تحديث: 2026-09-16

البنود المنفَّذة، بفصولها

كل بند مذكور برقمه في السياسة، وبوصف لما يفعله النظام فعليًا — لا بوصف ما ينبغي أن يفعله.

تحديد الهوية والمصادقة

7.1(2) لا يُفتح شيء قبل التوقيع على وثيقة السرية، ويُحفظ إصدارها مع تاريخه، وتُعرض ثانيةً كل سنة أو عند تغييرها
7.2(2) المعلومات عالية الحساسية خلف إجراء إضافي: سبب مُختار وتبرير مكتوب، يفتح فئة واحدة لمريض واحد ولهذه الجلسة فقط، ويُقيّد باسم الموظف ودرجته الوظيفية ويُراجعه مسؤول
7.2(3) الصلاحيات تتبع المهمة الوظيفية، والشاشة غير المصنّفة تُرفض لا تُفتح
7.2(4) شاشة الدخول تحمل تنبيهًا قانونيًا يذكر القرار الوزاري بالرقم
7.3(2) معرّف فريد لكل شخص، ورقم سري واحد لا يتكرر داخل المنشأة
7.3(3) لا يُقبل حساب باسم مكتب أو قسم أو وردية — الحساب لشخص، وما يُكتب به منسوب إليه
7.3(5) جولة تدقيق لكل معرفات الدخول مرتين سنويًا: كل حساب يُبتّ فيه بالإبقاء أو التقليص أو السحب، ولا تُغلق الجولة وفيها حساب لم يُنظر فيه
7.3(6) يُقفل الحساب عند المحاولة الثالثة الفاشلة، وللرقم السري عدّاده المستقل
7.3(7) المعرّف غير المستخدم ١٨٠ يومًا يُوقَف، ويُسجَّل السبب خمولًا لا فصلًا
7.3(8) لا يُستخدم الحساب على أكثر من جهاز في الوقت نفسه؛ الجلسة الأقدم تُنهى وتُخبَر بالسبب
7.4(1) كلمة المرور التي يمنحها المسؤول مؤقتة: لا يُفتح شيء قبل استبدالها
7.4(2) الحد الأدنى عشرة رموز، وسقف السياسة ثمانية
7.4(3) حرف كبير وصغير ورقم ورمز مميز — الأربعة مطلوبة
7.4(4) تنتهي صلاحية كلمة المرور كل ١٨٠ يومًا وتُحجب الشاشات حتى تُغيَّر
7.4(6) لا تُعاد كلمة مرور استُخدمت خلال سنة؛ يُحفظ أثرها المشفّر لا الكلمة
7.4(7) تُرفض كلمة المرور المبنية على الاسم أو الرقم المدني أو الهاتف
7.4(8,9) كلمات المرور مشفّرة ومخفية على الشاشة، ولا تظهر في تقرير ولا سجل
7.5(4) شاشة صلاحيات تُظهر ما يملكه كل مستخدم فعليًا للتحقق من الحد الأدنى
7.5(5) مراجعة سنوية للصلاحيات تُسجَّل باسم الرئيس المباشر الذي رُوجعت معه، ولا يُقلَّص وصول أو يُسحب دون سبب مكتوب
7.6 إجازة معتمدة تُجمّد الحساب وتُنهي جلسته، والعودة تُعيده، والإنابة مسجَّلة باسم من ناب ومتى سُحبت
7.7(1) انتهاء الخدمة في سجل الموارد البشرية يغلق الحساب تلقائيًا في اليوم التالي، وتُنهى جلسته وتُسحب إناباته
7.7(3) Active-account list to department heads twice a year

معالجة البيانات الصحية

8.10 لا يُلصق في السجل نصٌّ منسوخ من ملف مريض آخر — يُرفض في المتصفح وتُسجَّل المحاولة — وكل نصٍّ مُلصق يحمل مصدره واسم من وثّقه وتاريخ توثيقه، وللتقسيم المختص شاشة تقيس النسخ واللصق وتكشف النصوص المكرَّرة
8.11.1 لا يُحذف شيء إلا لأحد الأسباب الثلاثة التي تسمح بها السياسة، ويُسجَّل السبب المختار مع كلمات الموظف نفسه
8.11.2 البيانات المحذوفة تبقى في السجل مشطوبة باللون الأحمر ومعها سبب الحذف واسم من حذفها وتاريخه ووقته، وتظهر كذلك عند الطباعة
8.12 يُدمج الملفان المتكرران بخطوات واضحة، ويُسجَّل ما دُمج في ماذا ومن نفّذه ومتى وكم سجلًّا انتقل؛ والملف المدموج يبقى فيظل رقمه القديم يفتح المريض نفسه
8.13 يستطيع المريض طلب حجب سجله كليًّا أو جزئيًّا لدواعٍ اجتماعية أو نفسية أو أمنية أو سياسية، ويُطبَّق الحجب على كل شاشة تقرأ السجل — حتى على الإدارة — ويبقى الطارئ وحده منفذًا مسجَّلًا
8.14(4) Every printed page carries the printing user’s identifier
8.14(6) A print audit trail
8.15.3 تُسجَّل قرارات مشاركة البيانات بأطرافها وأغراضها وأسبابها، ويعتمدها شخص غير الذي قرّرها، وتُحفظ قرارات الرفض كما تُحفظ الموافقات
8.16 يُسجَّل كل إفصاح عن بيانات مريض: من أفصح، ولمن، وما الذي أُفصح عنه، ولأي غرض من الأغراض الاثني عشر، وبأي سند قانوني
8.16.11 المستخرج البحثي يخرج بلا هوية تلقائيًا لمن يحمل تصريح بحث ساريًا — لا بخيار يؤشّره الباحث: رقم الملف يصير رمزًا ثابتًا داخل الدراسة وحدها، وتُحجب الأسماء ووسائل الاتصال، ويُعمَّم الميلاد إلى سنة؛ ولا تُكشف المعرفات إلا بموافقة المريض المسجَّلة على التصريح
8.16.3(6) حساب المتدرب (والبديل والجهة الخارجية) يحمل تاريخ انتهاء فترته، ويتوقف عن العمل لحظة انقضائها ويُغلق تلقائيًا، ويظهر تاريخ الانتهاء في شاشة المستخدمين قبل حلوله
8.16.9 وصول جهة التحقيق أو التدقيق تصريح محدود بمدة وبملفات بعينها ولا يُنشأ بلا تاريخ انتهاء؛ ويُلغى فور إخطار الجهة بانتهاء عملها فيُعطَّل الحساب وتُنهى جلسته في الفعل نفسه، ويغلق المجدول ما نُسي كل ساعة
8.18 يُجمَّد سجل المتوفّى بعد عشرة أيام من تاريخ الوفاة فلا يقبل أي عمل إجرائي، وتبقى الأيام العشرة مفتوحة لإتمام التوثيق؛ والتصحيح بعدها بنافذة قصيرة بسبب مكتوب يُسجَّل على الملف
8.19 يُصنَّف السجل جاريًا ما دام المريض يُعالَج، ووسيطًا بعد عشر سنوات من انقطاعه أو من وفاته، ثم مؤرشفًا بانقضاء مدة الوسيط؛ ينقلها أمر مجدول كل ليلة، وتُعرض على شاشة تقول أي قاعدة نقلت كل سجل
8.19.1(10) تُسلَّم سجلات المؤسسة كاملةً بأمر واحد: كل جداولها بصيغة قابلة للقراءة، مع بصمة تحقّق لكل ملف وكشف بعدد السطور، والمرفقات مفكوكة التشفير — لمؤسسة واحدة لا لقاعدة البيانات كلها
8.3 كل عنصر بيانات مُصنّف على المستويات الثلاثة التي يسمّيها القرار، وسجلّ يبيّن تصنيف كل جدول وسبب تصنيفه؛ وما لم يُصنّف يُعامَل سرّياً لا مفتوحاً
8.3.1(3) الملاحظة عالية الحساسية لا يقرؤها إلا الفريق الطبي الذي وثّقها، والقاعدة مكتوبة مرة واحدة فترثها كل شاشة وكل مستند مطبوع - لا شاشة واحدة كما كان
8.4(1) الرقم المدني يمنع إنشاء ملف ثانٍ للمريض نفسه
8.4(4) البيانات الديموغرافية الأربعة عشر التي تسمّيها السياسة مطلوبة كلها عند التسجيل — أُضيفت الديانة وجهة العمل، وصارت المهنة واسم أحد الأقارب ورقم هاتفه إلزامية لا اختيارية
8.5.1(2) لا يوثّق أحد باسم غيره: أول ملاحظة تُحدّد صاحب الزيارة نهائيًا
8.5.1(4) لا تُغلق الاستشارة قبل استيفاء الحد الأدنى الستة — المشاكل الصحية والتقييم والفحوصات والوصفات والإحالات والإرشادات — كلٌّ منها مسجَّل أو مُعلَّم صراحةً أنه لا ينطبق على هذه الزيارة
8.5.1(5) شهادة الإجازة المرضية لا تذكر نوع المرض إلا بموافقة مسجَّلة من المريض أو من ينوب عنه أو بنصٍّ قانوني يُسمّى، ويُطبع سند الإفصاح بجانب التشخيص؛ والتشخيص يبقى في السجل الصحي على أي حال
8.5.1(7) التوثيق فوري، والإضافة المتأخرة تُميَّز بسببها ووقتها
8.5.2 التوثيق خارج زيارة مفتوحة يتطلب سببًا مكتوبًا
8.6 الرعاية عن بعد وحدة قائمة: التصنيفات السبعة، وموقع المريض وقت تقديمها، والفريق المعالج، وطريقة التحقق من هويته، وكل عطل تقني أثّر على الجلسة — وموافقة إلكترونية يسحبها المريض متى شاء دون إبداء سبب

حقوق المريض على ملفه

9.10 يُنقل ملف المريض إلى متحكم آخر بصيغة يقرأها نظام، بعد البتّ في الطلب لا قبله، ويُقيَّد النقل في سجل الإفصاح
9.13 يُخطَر كل مريض متضرر خلال عشرة أيام عمل من تاريخ الاختراق، ببيان طبيعة البيانات المخترقة والإجراءات المتخذة ونقطة اتصال يرجع إليها — وناقصها لا يُقيَّد إخطارًا
9.14 تُبتّ الشكوى خلال خمسة عشر يوم عمل، ومضيّ الميعاد يُسجَّل رفضًا بحكم البند لا باجتهاد أحد، ومنه تبدأ مهلة التظلّم وتُعرض معدودة
9.2 الأصناف الخمسة التي تسمّيها السياسة تُطبع للمريض، ومنها سجل التحصينات الذي لم يكن له في النظام جدول أصلًا: اللقاح ورقم الجرعة والتاريخ ورقم التشغيلة والموضع ومن أعطاها وموعد الجرعة القادمة
9.7 تُصحَّح البيانات الديموغرافية مباشرة عند إبراز البطاقة المدنية

الاتصال بالشبكة

10.3(6) تُقفل الجلسة بعد خمس عشرة دقيقة دون نشاط
10.3(8) لا شيء يُخدَم بلا تشفير: المنفذ ٨٠ على عقدة العيادة يحوّل كل اسم إلى الاسم الذي تغطّيه الشهادة، وملفّ الجلسة صار Secure
10.4(12) يمكن إنهاء أي جلسة مفتوحة فورًا ودون إشعار مسبق
10.4(3) يمكن حصر حساب بأيام وساعات عمل صاحبه — ويُفحص مع كل طلب لا عند الدخول فقط، فلا تمتد جلسة بدأت قبل نهاية الوردية طوال الليل. والوردية الليلية ٢٢:٠٠ ← ٠٦:٠٠ تُقرأ كما هي
10.6 Third-party access enumerable, time-bounded, revocable

المخاطر البرمجية

11.4 الترخيص يُحسب بمن يستطيع الدخول فعلًا: الحساب المغلق يعيد مقعده، والفحص يجري عند إنشاء حساب وعند إعادة فتح حساب مغلق

الحوسبة السحابية

13.6(5) أمر تسليم يُصدِّر سجلّ مؤسسة واحدة بصيغة قياسية مع بصمة لكل ملف وكشف مُبصَّم — لا نسخة قاعدة بيانات كاملة
13.7(2) لا يوجد أي سجل صحي عُماني خارج سلطنة عُمان: لا في قاعدة بيانات، ولا في نسخة احتياطية، ولا في سجلات النسخ المتزامن. تم التحقق على الخادم نفسه في ١٦ سبتمبر ٢٠٢٦

إدارة تحديث الأنظمة

15.2 كل إصدار يُسجَّل قبل استبداله، والرجوع عنه بأمر واحد — ويُنبَّه أولًا إلى أي ترحيلات نزلت معه، فالرجوع عن الشيفرة ليس رجوعًا عن المخطط
15.2(1) كل تغيير على النظام مُسجَّل بإصداره وتاريخه
15.2(2) نسخة احتياطية مُتحقَّق منها قبل أي تغيير، والنشر يتوقف إن فشلت
15.2(4) التحديث المحوري يُعرض على الموظف مرة قبل أن يتابع عمله، ويُسجَّل من قرأه — فيُعرف من بقي دون إخطار أو تدريب

عمليات التدقيق

16.2(1) سجلات تدقيق للدخول والوصول للملفات والوثائق والأحداث
16.2(2) User, time, device and scope of data — on every access attempt
16.2(3) شاشات لتتبع نشاط المستخدمين، كل منها خلف صلاحية مستقلة
16.2(4) سجل التدقيق يُكتب إلى خادم مستقل بحساب لا يملك تعديلًا ولا حذفًا، وأمر audit:verify يفحص ما يعمل فعلًا لا ما كان مقصودًا
16.2(6) تقرير دوري لكل ما خرج من النظام طباعةً أو تصديرًا: من أخذه، ولأي مريض، ومتى — ويُنزَّل ملفًا
16.2(7) جرد الصلاحيات كاملًا في أي لحظة، ويُصدَّر ملفًا تُقارَن به الحالة شهرًا بشهر

مراجعة نشاط نظم المعلومات

17.2(4,5) تُسجَّل المراجعة الدورية باسم المراجع ووظيفته ووقتها ونتائجها والإجراء المتخذ، وتُجمَّد أرقامها كما كانت وقت التوقيع
17.2(5a) تُحصى محاولات الدخول الفاشلة وإغلاق الحسابات وحالات رفض الوصول على فترة محددة، ويُعرض أكثر الحسابات تكرارًا لها
17.2(5d) شاشة تعرض الحسابات مرتَّبة بمدة صمتها، تُراجَع بشريًا قبل أن يوقف النظام الحساب الخامل تلقائيًا

سلامة البيانات

18.1(3) كل إضافة وتعديل وحذف على السجل الطبي والمالي والصلاحيات يترك سطرًا يحمل ما كان وما صار — وكلمات المرور لا تدخله
18.1(7) كل إصدار يمرّ على مجموعة الاختبارات كاملة قبل النشر، واختبار فاشل واحد يوقف الإطلاق

خطة الطوارئ

19.1 النسخة الاحتياطية تُقرأ فعلًا لا يُفترض أنها تُقرأ: أمر يأخذ نسخة ويستعيدها في قاعدة منفصلة ويعدّ صفوفها، ويُسجَّل تاريخ آخر مرة ثبت فيها ذلك ويظهر على الشاشة إن تجاوز مدته
19.2(3) نموذجان ورقيان جاهزان للطباعة — التسجيل والتوثيق الطبي والمالي — يحمل كل منهما رقمًا تعريفيًا مؤقتًا مطبوعًا عليه وباركوده، فلا يُزوَّج نموذج برقم باليد يوم التوقف

توقف النظام عن العمل

21 نسخة تعمل للقراءة حين يتعذّر الوصول إلى خادم العيادة
21.2 ثلاثة إخطارات كما نصّ البند: التوقف المخطط له، والانقطاع غير المتوقع، واستئناف الخدمة — يُسجَّل في كل منها من أخطر ومتى ومن أُخطر، ويظهر على كل شاشة شريطٌ لا يُغلق بنقرة
21.3(1) أرقام تعريف مؤقتة تُعدّ وتُطبع مسبقًا — فالرقم لا يمكن إنشاؤه والنظام متوقف — تحمل كل قسيمة رقمها وباركوده، وتعرض الشاشة كم بقي في الدرج وتحذّر قبل النفاد
21.3(5) طابور يعرض ما كُتب على الورق ولم يصل السجل بعد، الأقدم أولًا؛ وإدخال الورقة يُسجَّل إدخالًا لاحقًا باسم من أدخله ووقته، مع بقاء وقت الرعاية الفعلي منفصلًا عنه

الوصول في الطوارئ (كسر الزجاج)

22.1 كسر الزجاج يفتح الحد الأدنى الضروري: ما قيس وشُخّص وطُلب وصُرف. أما ما كتبه الأطباء فيتطلب طلبًا ثانيًا مستقلًا يُسجَّل ويُراجَع وحده
22.1(1) ستة أسباب معرَّفة يُختار منها عند كسر الزجاج، مع شرح بكلمات المستخدم نفسه
22.2(1) الوصول الطارئ يتطلب طلبًا داخل النظام مع ذكر السبب قبل الفتح
22.2(2) سجل مستقل يحفظ الحقول الخمسة: المستخدم، ومسماه الوظيفي وقت الوصول، والسبب، والوقت، وكل إضافة أو تعديل أو حذف أجراه أثناء فتح السجل
22.2(3) طابور مراجعة يعرض كل حالة كسر زجاج على مسؤول يقرر إن كان الوصول مبرَّرًا، ورفضه يستوجب سببًا مكتوبًا
22.2(4) تاريخ الحفظ يُكتب في السجل لحظة إنشائه: خمس سنوات كاملة، لا يُستنتج لاحقًا

الإخطار بالاختراق

23.1 يُبلَّغ عن الاختراق المحتمل خلال أربع وعشرين ساعة من العلم به — ساعات حقيقية لا أيام عمل — وتُعرض المهلة على الشاشة أُوفِيَت أم فاتت
23.5 بلاغ مركز الدفاع الإلكتروني يحمل الأربعة التي يشترطها البند: طبيعة البيانات المخترقة، واسم الموظف المسؤول وهاتفه، والتبعات المتوقعة، والتدابير المتخذة — وناقصها لا يُسجَّل تامًّا
23.6 احتواء الاختراق مربوط بقيد الواقعة: خمسة إجراءات تُؤشَّر بما نُفِّذ منها فعلًا، ووقف الممارسة غير المصرح بها يُحتسب من إغلاق الحساب وإنهاء جلسته

انتهاك الخصوصية

24.1(1) تُوثَّق واقعة انتهاك الخصوصية بحقولها الستة: مكانها ووقت وقوعها، ومن أبلغ، ومن نُسبت إليه، ومن وصلته البيانات، والسبب المحتمل، والخطوات المتخذة
24.1(3) يُغلق حساب المنسوب إليه الانتهاك من القيد نفسه وتُنهى جلسته فورًا، ويُسجَّل السبب تحقيقًا لا فصلًا فيُعاد فتحه إن بَرِئ

التوعية والتدريب

26.2 سجل يعرض الموظفين لا الشهادات — فالسؤال في التفتيش هو «من لم يتدرَّب» — بست مواد لكل منها بندها، ويقبل الجلسات الحضورية والخارجية بأسماء مدرِّبيها، ويُصدَّر ملفًا
26.3 بوابة على شكل وثيقة السرية نفسه وخلفها مباشرة: لا تُفتح شاشة قبل إتمام تدريب التعريف والتوجيه، ويُسجَّل الإتمام بإصدار المنهج وله مدة صلاحية
26.7 سياسة الخصوصية والأمن صفحة داخل النظام في قائمة المستخدم على كل شاشة، بلا صلاحية عمدًا — لا ملف PDF في بريد أحدهم

ما ليس من مسؤولية النظام

بنود السياسة الإدارية والتنظيمية والمادية — اللجان، والسياسات المكتوبة، وكاميرات المراقبة، والتدريب الحضوري — مسؤولية المؤسسة الصحية لا مسؤولية البرنامج، والنظام يُعين عليها ولا يقوم مقامها. والفصل الثاني عشر يحكم أنظمة الذكاء الاصطناعي، ونبض لا يحوي أي نموذج ذكاء اصطناعي.

والتقييم التفصيلي الكامل — بندًا ببند ومع شاهد كل ضابط في الشيفرة — محفوظ لدينا ويُقدّم لوزارة الصحة وللعميل عند الطلب.