Infrastructure Security Planning for Public Health Emergencies

Bryan Warren‐MBA, CHPA, CPO‐ICorporate Security

Carolinas Healthcare System

Hospitals Are Considered CI/KRWhile hospitals do not typically present a primary target for terrorism or criminal action (although in certain specific circumstances they do have that distinction), they are excellent secondary “soft” targets.

Regardless of the event, any incident resulting in injuries (be it man made or naturally occurring) will require local hospitals and healthcare providers to become involved. As such, these facilities are Critical Infrastructures/ Key Resources for the communities which they serve.

Unique Characteristics of Healthcare• Open 24 / 7 / 365• Has money, drugs and other valuable materials• 80% female population (staff and patients)• Access to public with limited restrictions• Numerous points of ingress/egress• Microcosm of a city• Crisis mentality / High tension environment• Staffing shortages / long waits / short tempers• Unpredictability• Presence of certain Security Sensitive Areas

What are Security Sensitive Areas?In a hospital or healthcare  environment, Security Sensitive Areas (SSA’s) refer to certain departments or areas of the facility that are more likely to suffer from security related problems than others.

These “hot spots” are especially vulnerable for a number of reasons including exposure to potentially malicious actions, patient populations, presence of valuables or materials of interest, etc. 

Some Common  S S A’sThese areas can include (but are not limited to):

Accident & Emergency Departments Labor and Delivery Units Behavioral Health and Detox Units Pharmacies Business Offices Nuclear Source Material Storage Areas Other areas within the facility they may have       specific issues due to critical facility infrastructures and/or confidential information.

Emergency DepartmentThe A&E department requires constant surveillance by security and LE personnel, as this is the primary “Hot Spot” for most hospitals. When not on patrol or answering other calls for service, security officers typically post themselves near the area whenever possible.

Long term presence of behavioral health patients, forensic prisoner patients being treated 24 hours a day,  gang activity, acts of violence and potential response to public healthcare issues such as contamination events and patient surges keep the A&E a very busy and strategically important asset

Labor and Delivery / PediatricsLabor and Delivery / Pediatric units present special concerns from a Healthcare Security perspective. Aside from the possibility of infant abductions, these units are prime areas for domestic disturbances.

While identification badges are required in all areas while visiting or working in a healthcare facility, anyone observed in restricted areas without the proper identification or acting suspiciously should be reported promptly to security or facility staff.

Behavioral Health / Detox UnitBehavioral Health and Detox units also have unique security concerns Many patients in these areas have conditions that can cause them to be irrational or have violent reactions to others with little or no warning.  

Pharmacy Areas / Business OfficesDue to the presence of scheduled drugs and other controlled substances, pharmacies have always been a security sensitive area of any healthcare facility. Any business office or cashiers area inside a facility that collects money should likewise be considered an area of concern.

Medical Records, PHI and HIPAAConfidentiality is a huge concern in any healthcare facility. To ensure consistency and  with the Health Insurance Portability and Accountability Act, healthcare employees must protect security and confidentiality of health information. Confidential information, whether medical, patient‐related, staff‐related, business or financial, is only used as permitted by HIPAA guidelines and includes written, electronic or even verbal information (such as overheard conversations). Misuse of such data could be used for a variety of criminal and other malicious acts, which is why extraordinary precautions must be taken to protect such information.

Radiological Source MaterialHospitals and healthcare providers are also a source of potentially dangerous raw materials for the creation of a radiation dispersal device (RDD), or “dirty bomb” due to the presence of sometimes significant amounts of certain isotopes of interest. 

Special programs, such as the National Nuclear Security Administration’s Global Threat Reduction Initiative (GTRI) are being used to limit such threats by “hardening” of certain key areas inside of hospitals and other potential sources of such material throughout the world.

Critical Infrastructure AreasToday, with the increased threat of terrorism present, many areas there were once not considered as security sensitive are now being reexamined, such as mechanical rooms, communications centers and other critical infrastructure departments of the hospital.

Agencies such as the US Dept. of Homeland Security have created a number of best practices and guidelines for securing and reporting suspicious activity in and around such areas. Any issues which affect systems such as telecommunications, utilities, IS / IT  equipment can have a disastrous effect upon patient care and the ability to treat those in the community.

Infrastructure Security Planning Toolkit and Use of Public Information

• After limited success with existing programs and tools, our department began using the On the Safe Side Toolkit (a grant funded project for emergency preparedness and public health emergency response which I helped to create in 2011) as a basis for creating our own additions and site specific content as well as publically available content.

• The toolkit is Microsoft Office based, and uses common Word documents to create your own preparedness plans that can easily be modified quickly and shared with others or used as a visual planning tool for emergencies.

Additional Resources  The International Association for Healthcare Security and Safety Design guidelines document is approximately 60 pages in length including graphics. 

Final booklet was first published in May 2012.

Templates to facilitate  ease of use are currently being developed by the IAHSS Guidelines Council.  

IAHSS Design Guidelines Outline General Parking and External Campus 

Environment Design Buildings and the Internal 

Environment Design Inpatient Facilities.

Emergency Department. Mental Health Areas. Pharmacies. Cashier and Cash Collection 

Areas. Infant and Pediatric Facilities. Protected Health Information 

Areas. Utility, Mechanical, and 

Infrastructure Areas. Biological, Chemical, and 

Radiation Areas. Emergency Management Design

Basic Tenets

Applicable to all Healthcare Facilities (HCFs)

Address security upfront and early on during design

Focus on ‘What should be done’ (checklist) not how or why

Clear, concise & reasonable Cost effective (expense 

avoidance) Security emphasis with 

Emergency Management focus

Healthcare Security Design Guidelines

Steps that Make a Difference Security design should be risk appropriate – initial planning 

and conceptual design phase should include a security risk assessment conducted by a qualified security professional

Identification of organizational security representative –project  design team should prepare and submit plans for review and approval 

Develop a comprehensive security plan that includes a consistent application of security safeguards

Security plan should coordinate with building Life Safety Plan and regulations (state or other that has jurisdiction in the local environment)

Security plan should include requirements for construction, commissioning and move‐in

Healthcare Security Design Guidelines

Basic CPTED PrinciplesCPTED Principles 

The development of the Security Design Guidelines for Healthcare Facilities reflects the principles of Crime Prevention Through Environmental Design (CPTED). These principles, when applied early, can be integrated into any HCF design providing layers of protection for patients, visitors, and staff.

Concentric rings of control and protection. 

Property Perimeter

Building Perimeter

Interior Perimeters including areas segregating visitors

Public vs. staff areas

Security sensitive areas

Highly sensitive areas

Public vs. staff areas

Interior Perimeters including areas segregating visitors

Building Perimeter

Property Perimeter

CPTED Principles

Layers of Protections

Design Considerations Promote an all‐hazards approach to 

safety and security  Viewed as a secured area  Lighting, video surveillance, and 

communication equipment Exterior walls and protective material

The Emergency DepartmentThe External Environment

Design Considerations Decrease security implications associated with 

moving patient and visitors through ED Compartmentalize patient care and waiting areas Efficiency  (speed) directly correlates to tension 

levels

The Emergency DepartmentEffective Throughput = Lower Risks

Design Considerations Compartmentalization Furniture Family consult room

The Emergency DepartmentWaiting Areas

Design Considerations Video monitor display – live images Metal screening assessment

‐ Secure storage Signage & way‐finding

The Emergency DepartmentActual & Psychological Deterrents

Design Considerations Registration / admitting / triage Security / police workstations Nursing stations

Glass top hinders any attempt to climb over the top of the desk

The shape of the desk progressively sloping outward from the base to the top again hinders 

any attempt to climb over the desk

Strategically located duress button

The Emergency DepartmentOpen Workstation Environments

Design Considerations• Patient care area• Standard patient room• Staff lockers & lounges• Designated safe room• Video surveillance• Decontamination rooms

The Emergency DepartmentPatient Care Areas

Dedicated Space / Rooms Access control Hardening walls, ceilings and 

doors Incorporating safety measures 

that mitigate potential for harm Gun locker / storage

The Emergency DepartmentForensic (Prisoner) Patient

Changing the Security Culture    • All of these planning tools, polices, procedures and preparations cannot be successful without the support and commitment of the community at large in maintaining a secure environment.

•Programs such as “See Something, Say Something” campaigns offer guidance and assistance to everyone in taking a more active role in protecting our critical infrastructures and key resources by simply recognizing and reporting suspicious activity to the appropriate agency.

•With awareness and a little practice in observation skills, everyone can be a good witness and work together to prevent incidents before they occur.

General Security Guidelines Remain aware of your surroundings (particularly in and around security sensitive areas or CI/KR sites)

Wear business issued ID properly, challenge those without proper ID in secured areas and do not allow entry into such areas by unknown persons (piggybacking / tailgating)

Keep personal items , valuables and company equipment / data properly secured. Do not leave equipment in open sight in your vehicle or in an unsecured office or open area for any amount of time.

Learn who to contact should an event occur, what your emergency procedures are in the event of disasters or an active shooter or workplace violence and mentally rehearse what you would do should such an incident occur. 

Report all suspicious activity immediately and contact security or local law enforcement  if you have any concerns.

In ClosingSecurity is an integral part of any organization. While incidents can occur at any time and any place, it is typically the Security Sensitive Areas in an organization that are most likely to suffer from significant issues. Knowledge of these areas, how they operate and knowing what to look for and who to report incidents to are the best defenses for protecting these areas. Public health facilities and hospitals are Critical Infrastructures/ Key Resources for the communities and populations which they serve and must be provided with adequate resources, expertise and safeguards for their protection.