醫院電子信息系統面臨的安全問題及防御措施探討

張勁輝

摘 要：近年來，隨著信息技術的快速發展，電子信息技術普遍應用在各行業中，并為醫院信息管理提供新的平臺和方式。在醫院管理中，可通過電子通訊、計算機設備收集、提取、存儲、處理病人醫療信息、財務信息、檔案等，最終提高醫院管理水平。

關鍵詞：醫院；電子信息系統；安全問題；防御措施

引言

隨著醫改的不斷深入，國家對醫院信息系統建設給予的充分重視和支持，醫院的信息系統建設被提升至前所未有的高度。因此，進行醫院信息系統建設，將醫院調整到最佳運行狀態成為各家醫院管理和建設的一個重點。但就整體狀況而言，尤其是應用系統軟件和管理水平方面與國外先進國家尚有很大差距。

1醫院電子信息系統構建的必要性

1.1促使醫院建立適用的計算機網絡系統

以前的一個傳統誤區就是認為搞計算機系統就是購買一堆計算機和網絡設備即可，這點給很多單位造成了巨大的資源浪費。目前我國的計算機硬件和網絡建設在國際上相比是不落后的，但是利用率非常低，效益很不好。信息化應用的核心是應用軟件，一般的應用應該確定軟件需求和功能后，根據科學的方式計算出所需的計算機硬件和網絡設備的配置，再購買計算機及網絡設備，這是投入產出比比較好的方式。除了少數具備專業人才的醫院外，大部分醫院在規劃和購買計算機及網絡設備在專業公司幫助和服務下，才有比較好的投資收益。

1.2為醫院培養各類信息化所需人才

醫院的計算機應用是一個復雜的系統，除了購買必須的硬件、軟件外，醫院信息化主要人才的意識和水平，各類操作人員對于計算機硬件、網絡以及信息化所需要的各類知識掌握情況的好壞，也直接決定一個醫院計算機應用的效果。計算機網絡公司在為醫院實施信息系統的過程中，一般都通過培訓、輔導等方式，讓醫院的各類人員掌握必須的計算機硬件、網絡以及信息化所需要的各類知識，同時在系統正式使用后，對于醫院在運行過程中出現的各類問題、新需求等，計算機網絡公司都通過一定的方式給予解決，在這個過程中又進一步為醫院傳播了各類知識。通過上述信息系統實施和應用的過程，計算機網絡公司同時要為醫院培養各類信息化所需人才，如系統管理員、熟練操作計算機的收費員等，到以后可能還會有醫院運營分析與管理方面的人才、輔助領導決策的人才、制定競爭策略的人才等。

1.3從根本上改變醫院運行模式與管理方式

信息化從根本上改變醫院管理者的決策方式和決策手段，一切決策都變得有據可依。決策需要情況和數據，在手工處理數據階段，一般要在月末之后的5～10天才能給出結果。運行信息系統之后，可向領導提供即時性的、真真切切的數據，且信息量大大增加，醫院的管理者從“結果管理”轉變為“過程管理”，同時信息化幫助醫院引進其他醫院的先進經驗，醫院信息管理系統是融合很多醫院的先進管理經驗而成的，醫院使用HIS系統后，可以直接接受其他醫院的先進經驗，完善自身管理。醫院管理所涉及的人、財、物以及市場資源等方方面面全部可以實現精細化管理與專業管理，更符合市場競爭的要求。

2醫院電子信息系統面臨的安全問題

2.1醫院信息系統安全風險評估處于初級階段

目前醫院信息系統通常由醫院自己招聘的網絡管理團隊進行維護，而信息系統安全風險評估技術涉及多學科知識，其不僅是一個技術性問題，也是一個管理學問題，而許多醫院的信息系統沒有進行過風險評估，所以無法及時和準確地獲取醫院信息系統存在的安全漏洞和攻擊威脅風險，不能夠及時地采取安全防范措施進行預防和保護。另外，醫院信息系統應用背景復雜，包括藥品管理、醫學診斷、醫學治療等方面的知識，在醫院信息系統風險評估過程中，風險評估缺乏規范化的標準，導致風險評估主體和客體不清晰，無法明確劃分參與者的工作內容，并且承擔相關的角色，因此醫院風險評估效果較差。

2.2醫院電子信息系統攻擊技術逐漸增強

云計算、分布式移動和移動計算技術快速發展，其不但促進了電子信息系統在醫院行業中的應用，同時也提高了網絡黑客、木馬和病毒攻擊技術，網絡安全威脅更加智能化，尤其是網絡威脅更加隱蔽，潛伏的周期更長，給醫院信息系統帶來的安全威脅也更加嚴重，非常容易導致患者病歷資料丟失，無法長期跟蹤患者身體健康狀況，不能夠優化患者治療方案，提供最佳的治療服務。

2.3醫院電子信息系統操作人員安全意識薄弱

醫院電子信息系統用戶角色包括醫生、護士、行政管理人員和普通的患者，用戶通常為非計算機專業人員，在操作系統的過程中，不能夠嚴格按照醫院電子信息系統的操作規范進行，時常攜帶含有病毒的優盤、硬盤或網絡傳輸文件，隨意插拔，非常容易感染醫院網絡平臺內的其他終端或系統，導致系統崩潰或數據資源被盜。

2.4網絡攻擊和威脅形式呈現多樣化

傳統網絡攻擊和威脅多來源于黑客、病毒和木馬，并且由于醫院信息系統孤立存在，所以導致網絡攻擊威脅不能夠達到目的。近年來由于移動互聯網、光纖網絡的快速發展和進步，分布式管理系統基于互聯網連接在一起，登錄終端包括PC、iPad、iPhone等智能終端，因此網絡病毒傳播途徑越來越多，呈現多樣化。

3醫院電子信息系統安全問題的防御措施

3.1應用層數據加密傳輸

醫院電子信息系統關聯的用戶在操作過程中，通常位于網絡的不同位置，比如內網核心位置、內網普通位置、外網位置等，因此為了保證應用層數據信息輸入的安全性，可以采用IPSec VPN和SSL VPN技術加密通信渠道，實現數據的加密傳輸。

3.2數據傳輸控制

由于不同的用戶分屬于醫院行政管理部門、業務科室等，所以為了不同角色的用戶實現網絡服務器的安全存取控制，可以將醫院內部網絡的IP地址進行分段、分類管理。醫院電子信息系統IP地址歸屬不同的子網、VLAN和VPN，并且與計算機的MAC地址、用戶名等進行逐一關聯，形成良好的映射關系，不但可以有效地控制網絡應用的訪問和存取權限，同時也可以非常容易且方便地管理和監測網絡中的所有用戶，采用ROST技術實施強制訪問控制，所有用戶都無法訪問受保護的網絡資源。因此，醫院網絡設計過程中，IP地址劃分、VLAN設計和ROST技術，將是一項非常重要的工作。

3.3服務器安全防護

醫院電子信息系統服務器在操作過程中，要構建嚴格的防病毒體系，采用防火墻、入侵檢測控制、安全審計、訪問控制列表等，控制服務器操作系統用戶的權限和角色，使其能夠按照規則進行操作，保證醫院信息化系統服務器不會受到網絡木馬、病毒和黑客的攻擊。

3.4用戶角色控制

醫院電子信息系統用戶數目多，各個系統用戶具有不同的訪問權限，所以為了控制醫院電子信息系統的操作規程，系統在訪問權限控制過程中，采用角色權限進行動態的調控，以便能夠靈活管理用戶，限制用戶的系統操作功能和服務器訪問權限，采用統一的訪問認證系統和單點登錄認證機制，保證用戶獲取系統服務器的授權和安全訪問系統的服務資源。

結束語

綜上所述，醫院信息系統建設是現代化醫院的重要標志之一，也是必要的基礎設施。盡管目前仍然存在諸多問題，但是只要針對這些問題采取相應的對策，必將帶動醫院管理模式的改變、工作效率的提高和巨大的經濟利益，同時為廣大患者和醫務人員帶來便捷。

參考文獻

[1]張晨燕.醫院電子信息檔案PFS管理模式探討[J].辦公室業務，

（作者單位：興隆縣人民醫院）