醫(yī)院信息系統(tǒng)安全問題及對策研究

高晨光 （牡丹江醫(yī)學(xué)院，黑龍江 牡丹江 157011）

0 引 言

隨著現(xiàn)代信息技術(shù)的快速發(fā)展，醫(yī)院信息系統(tǒng)也得到了快速發(fā)展，醫(yī)院的各項業(yè)務(wù)對醫(yī)院信息系統(tǒng)的依賴性越來越強，涵蓋了醫(yī)院各主要部門的各項主要業(yè)務(wù)，極大地提高了醫(yī)院診療工作的效率，但同時，醫(yī)院信息系統(tǒng)也存在著很多不安全因素，一旦其安全性受到影響或破壞，必將對醫(yī)院的工作造成較大的影響甚至可能危及到患者的生命。因此，對醫(yī)院信息系統(tǒng)的安全性進行研究，并制定出相應(yīng)的應(yīng)對措施是很有必要的。

1 醫(yī)院信息系統(tǒng)的現(xiàn)狀

1.1 單一的信息系統(tǒng)

近十幾年我國醫(yī)院才建立和應(yīng)用醫(yī)療信息系統(tǒng)，軟件無固定的模式，仍處于摸索階段，同時我國地域廣大，還沒有相對統(tǒng)一的管理模式，沒有一種完全適合所有醫(yī)院的信息系統(tǒng)軟件。所以，造成醫(yī)院信息系統(tǒng)開發(fā)公司眾多，大多數(shù)醫(yī)院的信息系統(tǒng)是按照手工業(yè)務(wù)流程而開發(fā)的，比較重視業(yè)務(wù)收費這種單一的信息系統(tǒng)，距真正的醫(yī)院信息系統(tǒng)還有相當一段距離，這是一種較為局限的網(wǎng)絡(luò)，也不能提供大量的共享信息，不能方便病人的診療。

1.2 單一的局域網(wǎng)絡(luò)

在一部分醫(yī)院沒有將全部業(yè)務(wù)科室進行聯(lián)網(wǎng)，數(shù)據(jù)信息不能共享，只是手工工作方式的計算機化，不能發(fā)揮網(wǎng)絡(luò)管理的功能。而醫(yī)院信息系統(tǒng)的應(yīng)用，不應(yīng)僅滿足于對手工業(yè)務(wù)管理的模仿，而是要對醫(yī)院信息系統(tǒng)的運行過程和管理方式進行較深入的分析，及時發(fā)現(xiàn)現(xiàn)問題，找出弊端，使醫(yī)院的管理手段和方法有所改進，從而去改變和影響醫(yī)院的運行過程。

1.3 安全事故頻發(fā)

病毒的流行、網(wǎng)絡(luò)的攻擊、數(shù)據(jù)信息的泄漏等諸多問題，已經(jīng)比較嚴重地影響到醫(yī)院正常業(yè)務(wù)的運行。作為醫(yī)院信息系統(tǒng)運行的各個客戶端要與服務(wù)器進行相應(yīng)的信息交換，這就成為黑客和病毒制造者的攻擊目標。雖然相關(guān)的殺病毒軟件可以阻擋一部分，但不能阻擋所有病毒和木馬的入侵。隨著信息技術(shù)的發(fā)展，無線網(wǎng)絡(luò)技術(shù)、移動辦公用戶的發(fā)展，網(wǎng)絡(luò)的接入情況越來越復(fù)雜，對醫(yī)院信息系統(tǒng)的攻擊也會大量存在，安全事故頻發(fā)。

2 醫(yī)院信息系統(tǒng)常見的信息安全問題

2.1 硬件方面的安全問題

醫(yī)院信息系統(tǒng)需要的硬件設(shè)備主要有機房、服務(wù)器、各個工作站計算機以及各種連接設(shè)備。存在攻擊、干涉信息系統(tǒng)的正常運行，對計算機、存儲設(shè)備、電源等實施物理破壞的問題。

2.2 軟件方面的安全問題

通過互聯(lián)網(wǎng)上的軟件工具，攔截信息系統(tǒng)的數(shù)據(jù)或者以不正當?shù)姆绞皆斐删W(wǎng)絡(luò)堵塞；或者對系統(tǒng)的越權(quán)訪問，用偽裝的身份或利用操作系統(tǒng)的漏洞進入信息系統(tǒng)等。在電子郵件中置入木馬或病毒，對信息系統(tǒng)用戶進行破壞，或為以后的破壞制造機會，獲得醫(yī)院資源等。

當前的殺毒軟件可查殺大部分的病毒和木馬，在一般的網(wǎng)頁訪問中不會出現(xiàn)太多問題，但是在醫(yī)院信息系統(tǒng)使用中，由于終端用戶較多，而使用信息系統(tǒng)的醫(yī)院工作人員水平參差不齊，系統(tǒng)漏洞沒能及時補上，殺毒軟件沒能及時更新，為病毒和木馬的進入提供了機會，最終會影響到整個信息系統(tǒng)的使用[1]。

2.3 制度方面的安全問題

隨著技術(shù)的發(fā)展和信息系統(tǒng)的應(yīng)用，單純從技術(shù)方面解決系統(tǒng)安全問題已變得不夠了。事實上，除技術(shù)外，管理也是很重要的一個方面。由于醫(yī)院信息系統(tǒng)應(yīng)用時間較短，領(lǐng)導(dǎo)對系統(tǒng)安全問題了解不夠，沒有建立有針對性的信息安全措施，不能及時發(fā)現(xiàn)安全風險和漏洞，沒有根據(jù)醫(yī)院實際制定出符合醫(yī)院實際的安全管理策略。雖然有的醫(yī)院也制定了一些制度，但是制度往往不夠健全，其信息系統(tǒng)安全管理的規(guī)章制度很不完備，即使有了安全管理的規(guī)章制度，往往也是流于形式，沒有真正執(zhí)行，成了擺設(shè)[2]。

2.4 其它方面的威脅

在人員操作過程中，不可避免地造成因擊鍵錯誤、數(shù)字錯誤、缺乏校驗等，對信息系統(tǒng)產(chǎn)生影響；或因斷電、地震、風災(zāi)、火災(zāi)、水災(zāi)等造成信息資源的損失，也對信息系統(tǒng)的安全產(chǎn)生較大影響。

3 醫(yī)院信息系統(tǒng)安全對策

3.1 硬件安全的措施

醫(yī)院信息中心的機房是醫(yī)院信息系統(tǒng)的存放地點，因此，必須要對機房的供電、避雷、抗靜電、抗干擾等做好安全保障工作，保證醫(yī)院信息系統(tǒng)的正常安全運行。信息系統(tǒng)服務(wù)器是整個系統(tǒng)的核心，一旦服務(wù)器發(fā)生故障，將會導(dǎo)致整個系統(tǒng)癱瘓，無法運行。各部門工作人員使用的終端設(shè)備主要是負責當時發(fā)生的業(yè)務(wù)數(shù)據(jù)的輸入，要嚴格按照規(guī)定使用各種移動存儲設(shè)備，對各種操作活動要進行有效監(jiān)控，同時也要對各種網(wǎng)絡(luò)連接設(shè)備的安全進行管理。定期進行硬件的檢修及維護工作，做好機器設(shè)備的日常維護保養(yǎng)和檢修；對相關(guān)使用人員進行硬件使用培訓(xùn)，將故障率降低到最低水平。

3.2 軟件安全方面的措施

（1） 更新系統(tǒng)軟件

操作系統(tǒng)是保證醫(yī)院信息系統(tǒng)安全運行的重要保證，因此對于系統(tǒng)軟件要及時更新，堵塞軟件漏洞，使系統(tǒng)更安全，防止病毒和木馬隨著漏洞入侵信息系統(tǒng)。

（2）殺病毒軟件和防火墻技術(shù)

網(wǎng)絡(luò)的普及，病毒的種類和數(shù)量都在逐漸增多，影響信息系統(tǒng)運行的病毒泛濫，為了避免因為病毒而造成的系統(tǒng)癱瘓，必須制定嚴格的病毒防護制度，減少、關(guān)閉病毒來源，定期對系統(tǒng)程序進行查殺，利用防火墻對系統(tǒng)進行實時監(jiān)控，并及時更新查殺病毒軟件[3]。

（3） 數(shù)據(jù)備份技術(shù)

數(shù)據(jù)備份技術(shù)是將信息系統(tǒng)本身或者其中的部分或全部數(shù)據(jù)在某一時間的狀態(tài)以特定的格式保存下來，以備數(shù)據(jù)源出現(xiàn)錯誤、被誤刪除、惡意加密等各種原因造成數(shù)據(jù)丟失時，可快速準確的將數(shù)據(jù)備份進行恢復(fù)。

也可在遭遇自然災(zāi)害以及重大事故造成系統(tǒng)無法運行時，利用系統(tǒng)備份和恢復(fù)技術(shù)幫助醫(yī)院在極短的時間內(nèi)將系統(tǒng)快速恢復(fù)，盡量減少業(yè)務(wù)停頓時間。基于磁盤的數(shù)據(jù)備份技術(shù)不但可以對數(shù)據(jù)源的不同時間和狀態(tài)進行備份，也能完全保證備份數(shù)據(jù)與數(shù)據(jù)源的一致性。物理保護主要確保存儲備份的介質(zhì)在儲存與運輸時的完整性與可靠性。但要注意保護備份數(shù)據(jù)不會被解密，不會被非法的、非授權(quán)的訪問讀取。

（4） 劃分 VLAN

VLAN即虛擬局域網(wǎng)，其功能是將物理的LAN劃分成不同的虛擬子網(wǎng)。通過劃分VLAN，可以避免廣播風暴產(chǎn)生和互相非法訪問的次數(shù)，提高網(wǎng)絡(luò)交換的效率，保證網(wǎng)絡(luò)的穩(wěn)定性，也為信息系統(tǒng)的穩(wěn)定運行提供保障。

3.3 制定信息系統(tǒng)安全制度

對于信息系統(tǒng)的安全問題，世界組織和國家有關(guān)部門已經(jīng)出臺了一系列政策。首先必須建立內(nèi)部控制制度的組織機構(gòu)，明確確定工作責任，責成專人負責。工作人員應(yīng)該遵循檢查規(guī)則定期檢查，并定期提交安全檢查報告。其次，醫(yī)院必須根據(jù)自己業(yè)務(wù)的特點，建立一系列有關(guān)的工作程序和規(guī)章制度。包括信息使用制度、信息發(fā)布制度、信息保密制度、獎懲制度，以及對于信息技術(shù)人員的管理、使用、評價、培訓(xùn)的制度。對于內(nèi)部工作人員應(yīng)當建立在接觸醫(yī)院信息系統(tǒng)、特別是重要的控制系統(tǒng)時應(yīng)當遵守的規(guī)章制度。再次，制定系統(tǒng)安全應(yīng)急預(yù)案，對突發(fā)事件進行及時處理，提高對突發(fā)事件的應(yīng)急處理能力，將系統(tǒng)的中斷時間、故障損失和社會影響降低到最低程度[4]。

3.4 其他措施

對于人為失誤，要對相關(guān)人員加強責任心教育和業(yè)務(wù)技術(shù)培訓(xùn)；對于重要信息要經(jīng)過校驗后才能傳送；對于自然災(zāi)害的發(fā)生要有預(yù)案和防范措施，防止不必要的損失發(fā)生影響醫(yī)院信息系統(tǒng)的運行。

4 結(jié)束語

醫(yī)院信息系統(tǒng)安全問題是一個系統(tǒng)工程，需要各部門相關(guān)人員共同努力才能完成。醫(yī)院信息系統(tǒng)在整個醫(yī)院管理體系中具有十分重要的地位，其穩(wěn)定性和安全性將直接影響到醫(yī)院的管理水平和質(zhì)量。因此，必須從技術(shù)上和制度上制定嚴格的保障措施，以保證醫(yī)院信息系統(tǒng)安全正常運行，杜絕信息的泄漏，提高醫(yī)院的信息化水平和信息管理的水平，真正起到提高醫(yī)院的醫(yī)療水平和為患者服好務(wù)的作用。

[1]方力，秦樂陽.強化醫(yī)院信息系統(tǒng)安全的對策[J].電腦編程技巧與維護，2011(16)：128-129.

[2]范春雨.醫(yī)院信息系統(tǒng)安全及對策[J].科技創(chuàng)新導(dǎo)報，2010(12)：215-216.

[3]韓煜，李楠.提高醫(yī)院信息系統(tǒng)安全性的策略[J].醫(yī)學(xué)信息學(xué)雜志，2010(3)：21-22.

[4]陳曉鋮，李少華，陳凱立，等.醫(yī)院信息化終端安全管理[J].醫(yī)學(xué)信息 （上旬刊），2008(12)：2007-2011.