PHPベースのオープンソースEHRシステムのいくつかは、アクセス制御に PHP GACL を使用しています。それがどれほど頻繁に使用されるかはわかりませんが、役割ベースのACLをどのように実装および制御できるかを検討するのに適した場所です。 PHP GACLは3段階のアクセスモデルを提供するため、アクセストライアドに物事を分割できます。role：doctor power：modify dataのように、患者のレコードを作成してインテリジェントに除外することができます。 role：doctor power：read data：patientを除いて、doctor = Dr。Smith power = readおよび患者= Dr。Smiths娘。
Vistaがどのようにアクセス制御を行うかはわかりませんが、Vistaには一般的なルールを実行し、これらのより微妙な例外を作成する力があると思います。
米国の医療IT規制の組み合わせにより、アクセス制御の問題がさらに構造化されました。もちろん、最初のHIPAAは、アクセス制御が「必要最小限」のアクセス制御を実施することを要求するものです。 164.312 および 164.308（a）（4）45 CFR 164.502（b）45 CFR 164.514（d） ofセキュリティルールでは、このアクセス制御が必要です。しかし、これらの標準を読むのではなく、HHSは 必要最小限 の概念の素晴らしい要約を持っています。
したがって、EHRは、各ユーザーが自分の仕事を行うために必要な最小限の機能にアクセスできるように構成する必要があります。つまり、ヘルスケアのアクセス制御は、主に仕事に依存しています。実際的に言えば、ベストプラクティスは単に「このタイプのユーザーはこのタイプの患者データにアクセスして自分の仕事をする必要があるのか」と尋ねることです。答えが「いいえ」の場合、役割ベースのアクセス制御制限によりアクセスが妨げられ、おそらく役割とデータオブジェクトのアクセスの組み合わせに対するアクセス試行が自動的にログに記録されます。
有意義な使用には、アクセス制御を必要とするコア要件（＃15）（ 電子健康情報の保護 ）もあります。ほとんどの場合、HIPAAの45 CFR 164.308（a）（1）部分の監査実施を要求するだけです。したがって、アクセス制御を行う必要があり、そのアクセス制御への準拠を監査する必要があります。
これらの規制のいずれも、「医師はYではなくXを実行できる必要がある」または「スケジューラはBを表示できるがCは表示できない」と述べていないことに注意してください。これはかなり意図的なものです。病院や診療所では、ワークフローに自然に発生するバリエーションが多すぎて、実際に機能するほとんどのワンサイズフィットのアドバイスはなく、ワンサイズフィットのすべてではありません。したがって、必要なのは、
- すべての従業員がすべてにアクセスできるべきではありません
- 彼らがアクセスできることは、彼らが自分の仕事のために何をしているのかに関連しているべきであり、
- 実際にそれを強制する必要があります。
これらの詳細には2つの一般的な注意事項があります。 「1」あなたの練習が十分に小さい場合は適用されない場合があります。診療が、スケジューリング、看護、請求、オフィス管理を行い、ゴミを出す医師以外の1人で構成されている場合、その人はおそらくEHRのほぼすべてにアクセスできる必要があります。すべてのジョブがある場合は、すべてのジョブのアクセス権を取得します。ただし、より厳格なアクセス制御の可能性を検討したが、実際的な理由で拒否したことを示すために、必ずこの事実を文書化してください。
第二に、PHP GACLなどは非常に複雑なことを行うことができますが、多くのEHRシステムは単純化された、または後方アクセス制御の実装を持っています。EHRが実行できることまたは構成できることによって非常に制限される場合があります。繰り返しになりますが、EHR設計でワークフローのニーズと互換性のある方法でアクセス制御を処理できない場合（より寛大なアクセスを許可することをお勧めします）、それも正式に文書化してください。また、ベンダーにバグを報告してください。
一般的に、特定のEHRに設定方法に関する「ベストプラクティス」がない限り、目標はおそらく「コンプライアンス」であるべきだと思います。たとえば、Vistaには、すべての構成を決定するための一種の「zen of Vista」があります。特定の構成を処理する正しい方法に関する文書化された、または非公式のルール。
O'Reillyは、 ' Meaningful Use and Beyond '（恥知らずなプラグイン...私はそれを書いた）と呼ばれる意味のある使用法のガイドをリリースしました。
ここに記載されているようなHIPAAおよび特にHL7シナリオを実装するために 、属性ベースのアクセス制御（ [〜＃〜 ] abac [〜＃〜] ）および [〜＃〜] xacml [〜＃〜] 、ABACを実装するOASIS標準。