醫院信息系統軟件的安全管理與維護

范曉寧

（河北醫科大學第二醫院 河北 石家莊 050000）

1 引言

隨著信息化管理的日趨成熟，各大醫院引入了信息系統軟件并將其廣泛應用于日常工作。近年來，一些信息安全事件的發生引起了人們對信息系統安全性的思考，信息系統的安全性主要在于軟件的安全。下面將對醫院信息系統軟件的安全管理與維護進行闡述。

2 醫院信息系統軟件管理與維護的重要性

目前，信息系統已成為醫院開展醫療服務的主要途徑，系統軟件的安全管理越來越重要。一些醫院的信息系統沿用以前的開放網絡操作系統，有一定的安全風險。近年來，醫院網絡規模逐步擴大，信息系統覆蓋了醫院日常工作的方方面面，如病人看病就診、賬單結算、后勤物資、醫護管理等。如果醫院信息系統軟件突然出現問題，那么將可能導致整個醫院陷入混亂，甚至造成嚴重的醫療問題和巨大的經濟損失。因為，病人的治療記錄都存在系統中，如果有關數據被無意破壞或惡意篡改、泄露，將會造成嚴重的后果。此外，一些侵害信息的行為（如病毒入侵、黑客攻擊、網絡垃圾增多、信息盜取等）使當前的網絡環境變得錯綜復雜，信息系統的安全性降低。2016年，有不法分子竊取了275名艾滋病患者的個人資料并將其賣給詐騙人員。2018年，新加坡各醫院遭到網絡安全攻擊，不法分子盜取了150萬名病人的身份信息、家庭住址、工作單位等隱私資料，造成了嚴重的后果。諸如此類的案例還有很多。這些非法行為不但侵犯了患者的個人隱私權，而且嚴重威脅到醫患關系。值得肯定的是，它給人們敲響了警鐘，使越來越多的人關注醫院信息系統軟件的安全問題，從而促進醫院信息系統軟件安全管理和維護的加強。

3 醫院信息系統軟件管理與維護的策略

一般來說，系統軟件的使用壽命是比較短的。醫院若想延長軟件的壽命，就必須加強人員管理，做好信息系統軟件的日常維護工作，從而保證醫院數據的安全。具體來說，醫院信息系統軟件的安全管理與維護可以從以下兩個方面來進行。

3.1 加強醫院工作人員的管理

目前，醫院信息系統軟件還離不開人的操作，醫院要想管理好信息系統軟件，就要先加強對工作人員的管理，強化信息安全觀念，規范操作手法，從而提高信息安全管理水平。

3.1.1 增強保密意識

目前，醫院工作人員對信息的保密意識還有待提高。醫院信息系統軟件是由醫院各部門人員共同操作的，由于操作人員較多且分散，他們在使用系統軟件時很容易出現問題。為此，醫院應該定期對工作人員進行相關培訓，使其了解信息安全的重要性，提高思想覺悟，盡力避免人為的信息泄露、系統癱瘓等安全事故的發生。另外，醫院還要完善獎懲制度，對于那些不利于信息安全管理甚至監守自盜的行為必須予以嚴厲的懲處，對于那些積極維護系統軟件安全管理的行為必須給予充分的肯定和適當的獎勵。只有這樣，才能逐漸增強醫院工作人員的保密意識，使之在潛移默化中自覺遵守信息系統的使用規則。

3.1.2 規范操作流程

隨著社會發展，醫院信息系統數據庫的量越來越大，工作人員在使用軟件時也會出現各種各樣的問題，信息數據的安全受到了嚴重威脅。科學合理的操作流程對于提高信息數據的準確性具有重要作用，所以醫院必須對即將操作信息系統的每一位工作人員都進行培訓，并且要求他們考核過關以后才可以使用系統，這樣可以有效地減少因操作失誤而造成的損失。在培訓時，醫院要讓操作人員充分理解并掌握信息軟件的相關概念及具體操作流程，為他們分析和預測可能會出現的安全問題，并提供解決方案，以確保醫院工作的穩定運行。例如，在培訓過程中，醫院信息系統軟件的運維人員一邊給工作人員講解軟件操作的相關理論知識，一邊在電腦上操作，示范完成后，再讓工作人員進行模擬操作，找到操作過程中不恰當的步驟或出現的問題，并耐心地指導他們進行正確的操作，從而解決相關問題。當然，在這一過程中，工作人員需要不斷思考，反復實踐，盡量找到更多問題，為后面的實際操作做好充分的準備[1-2]。

3.2 加強軟件系統的安全維護

3.2.1 選用安全性能高的軟件

醫院是一個救死扶傷的地方，每天24h都在運營。作為醫院必備的操作系統，信息系統軟件必須一刻不停地運行，這樣才能保證醫院的正常運作。質量是軟件工作的基本保障，所以醫院在挑選信息系統軟件時首先要考慮它的質量。另外，好的安全監控系統才能防止黑客的入侵，好的售后服務才能保證系統的有序運行。因此，醫院在選用系統軟件時還應考慮系統軟件的安全穩定性和軟件公司的售后服務質量，以確保后續工作不留隱患。例如，系統突然出現故障，軟件公司的售后人員卻聯系不上或無法處理這個問題，這都將導致醫院信息系統長時間處于癱瘓狀態，從而影響醫院工作的開展。

3.2.2 重視系統數據的管理

隨著信息化技術的普及，醫院信息系統每天產生的數據量越來越多，這就要求醫院對這些數據進行科學合理的管理。系統數據管理可以分為數據的備份和恢復，這兩者在系統運行過程中是不容忽視的。無論系統軟件的安全性能有多高，都不能百分之百保證不會出現任何問題。例如，電腦死機、突然停電、自然災害、黑客攻擊等，這些都有可能導致系統出故障，造成醫療數據的丟失。為此，醫院必須做好數據備份和恢復工作。具體來說，醫院可以購置兩臺帶有自動存儲和修復功能的服務器，一臺用作信息系統日常運行的主服務器；另一臺作為備用機，一旦出現緊急情況，備用機就迅速啟動，接替主服務器的工作，以避免數據丟失。并且，這兩臺服務器在運行時還需不斷備份系統數據，在需要時恢復即可。比如，工作人員在異地或需要統計醫療數據時，可以調取已備份數據，快速查詢相關信息，從而提高工作效率。總之，醫院必須重視系統數據的備份和恢復。

3.2.3 防范各類病毒的入侵

隨著科技的進步，計算機病毒越來越多，這些病毒對軟件系統的破壞性很強，可能導致軟件系統癱瘓，使醫院管理陷入困境。所以醫院必須高度重視計算機病毒的危害性，強化對各類病毒的防范措施。首先，醫院可以構建僅供工作人員使用的局域網，并根據實際需求安裝正版、專業的防火墻軟件和高效的殺毒軟件，如卡巴斯基（Kaspersky Lab）、科摩多（Comodo）、諾頓（Norton）、大蜘蛛（Dr.Web）等。這些軟件具有自動防護和查殺普通電腦病毒的功能，對信息系統軟件具有一定的保護作用。除此之外，醫院必須定期檢查、升級或更新軟件，以增強信息系統的自我防護能力[3]。醫院還可以利用網絡處理器來提高防火墻的性能，盡量采用更先進的科技手段，防范各類病毒的入侵，有效確保醫院信息的安全。其次，醫院要制定嚴格的病毒防范制度，盡量減少病毒來源。例如，醫院必須禁止工作人員隨意瀏覽垃圾網站或下載不知名的插件，禁止非工作人員進入工作區使用醫院的電子設備，以避免出現主動接近病毒的情況。一旦發現有人違反規定，就要嚴格按照制度來實施懲罰。最后，醫院可以安裝一套用于監管流量情況的入侵檢測系統設備。當遇到非正常訪問時，該設備會發出警報，此時網絡運維人員就可以及時處理，而且可以利用入侵檢測系統追蹤到攻擊者的具體IP地址，甚至找到攻擊者，從而徹底解決信息系統軟件的安全危機。當然，僅靠防御是不夠的，經濟寬裕的醫院還可以配置具有自動反攻病毒功能的軟件。

3.2.4 加強用戶的身份認證和權限控制

醫院人多繁雜，增加了信息泄露的可能。這就要求醫院加強對用戶的身份認證和訪問控制。身份認證一般采用“用戶名+口令”的方式，但這種單一的方式已經不能滿足醫院信息系統軟件的安全性需求，所以醫院可以采用身份認證和權限控制并用的方式來加強對信息系統軟件的安全管理。例如，在身份認證方面，醫院工作人員在填寫授權表并獲得部門批準蓋章以后才能被授權操作信息系統，用戶密碼必須經常更換，以防止賬戶被盜用，離職人員的賬戶必須及時撤銷。在權限控制方面，醫院可以根據工作人員的職位等級及其需求設置不同的操作權限。數據庫是重中之重，所以數據庫的使用權限只能由信息系統的核心運維人員和醫院高層掌握，但不允許他們對數據庫的相關數據做任何改動，數據庫的密碼設置一定要復雜多變。另外，數據庫查詢需要獲得醫院領導層的同意后才能進行操作。當然，醫院也可以結合本院實際對這些系統訪問控制方法進行適當的調整，使醫院信息系統軟件更加安全可靠[4-6]。

4 結語

隨著科技的進步，醫院信息安全建設取得了一定的成效，但威脅信息安全的因素在逐漸增多，醫院信息系統仍存在許多安全問題。對此，醫院信息系統軟件的安全管理和維護必須得到強化。也就是說，醫院必須加強對安全隱患的分析，重視對工作人員的管理和監督，及時發現安全問題并加以解決，采取有效的措施進行防護和反攻，最大限度保證患者的個人信息安全，并確保醫院工作能夠正常開展。