健康信息化背景下醫護人員醫療信息安全風險識別與應對策略

徐王權，姚樂融，李 銳，柴 靜

（安徽醫科大學衛生管理學院，安徽 合肥 230032）

信息化是我國衛生事業發展的重要內容，也是發展的工具之一[1]。“十三五”時期，醫療衛生行業將是國家信息化發展的重點，已納入國家網絡安全和信息化建設重點規劃[2]。《健康中國2030 規劃綱要》《國務院促進大數據發展行動綱要》《國家信息化發展綱要》等系列文件將全民健康信息化建設提升到國家高度[3]。醫藥衛生領域的信息化迎來了前所未有的發展機遇，并進入高速發展期。與此同時，醫療信息安全越來越成為政府和衛生行政部門關注的焦點。本文主要闡述醫護人員在不同的職業場景中面臨的醫療信息安全風險，并針對性的提出了應對策略，旨在為我國醫藥衛生信息化提供安全保障。

1 醫療信息安全是衛生信息化的前提和保障

1.1 信息安全已經上升到國家層面 2014 年美國斯諾登事件以后，信息安全受到世界各國的高度重視，已經上升到了國家安全的高度。同年，我國成立了以國家主席為組長的中央網絡安全與信息化領導小組，全面負責國家信息安全工作。2015 年國家主席習近平在互聯網大會上指出，沒有網絡空間的安全，就沒有國家的安全。信息安全是信息化社會重要的保障，沒有信息安全，就無法真正實現信息化。至此，信息安全和網絡空間安全已經上升到國家層面。

1.2 醫藥衛生領域信息安全形勢嚴峻 在醫藥衛生領域，醫療信息事關患者的生命健康、個人隱私及倫理道德，直接影響醫院的正常運轉和社會形象，因而其安全性極為重要。根據美國電信Verizon 的數據泄露調查報告顯示，全球醫療衛生行業的數據泄露威脅從2014 年開始逐漸呈現飛速上升的趨勢：2014 年行業排名第6，到2016 年已僅次于金融行業排名第2，2017 年排名第1。2019 年占比為15%，遠超金融行業10%[4]。國內醫療安全事件層出不窮，2014 年某婦幼保健院醫生販賣產婦信息，造成了極其惡劣的社會影響，2018 年全國有247 家三甲醫院檢測出勒索病毒。為此，國家衛健委出臺了醫療機構信息安全等級保護條例，要求醫療機構于2015 年12 月完成醫療機構等級保護測評工作。2018 年出臺了《國家健康醫療大數據標準、安全和服務管理辦法》，其中第十七條規定：責任單位應當建立健全相關安全管理制度、操作規程和技術規范，落實“一把手”責任制，加強安全保障體系建設，強化統籌管理和協調監督，保障健康醫療大數據安全[5]。2019 年《中華人民共和國基本醫療衛生與健康促進法》第九十二條規定：國家保護公民個人健康信息，確保公民個人健康信息安全。推進醫療衛生機構建立健全醫療衛生信息交流和信息安全制度。這些條列和法規對醫療機構的醫療信息安全都提出了明確的目標和要求。

1.3 醫護人員在醫療信息安全管理中扮演著重要角色 在信息安全管理過程中，人是其中最為活躍的因素，也是絕大部分（80%左右）信息安全事件的源頭[6]。作為醫療信息的生產者和使用者，一線醫護人員在醫療信息安全工作中扮演著極為重要的角色，他們的行為將直接影響醫療信息的安全程度。因此，減少醫護人員面臨的信息安全風險，規范其日常操作行為，是醫療信息安全管理的重要舉措之一。

2 健康信息化背景下醫護人員執業場景變化

2.1 傳統環境下醫護人員的行為場景 傳統環境下，醫護人員的職責是在執業醫院進行日常診療活動，主要工作場所包括門診部診室、住院部醫生辦公室及手術室。與信息有關的主要工作內容包括：病歷撰寫（大病歷、病程記錄等）、醫囑開設（檢查、檢驗及用藥醫囑等）、查閱檢查及化驗報告等。所采用的工具為醫護工作站信息系統或者手工紙質病歷材料。工作場所穩定，角色相對單一，因而面臨的醫療信息安全風險較少。

2.2 健康信息化背景下醫護人員的行為場景 2013年11 月20 日，《關于加快推進人口健康信息化建設的指導意見》中明確了健康信息化的總體目標是：以業務和管理需求為導向，全面建成實用、共享、安全的人口健康信息網絡體系。在此背景下，催生出了基于互聯網+醫藥衛生的多種新模式、新業態和新技術，如區域衛生信息平臺、移動醫療、互聯網醫院、醫療網站、遠程醫療、醫聯體和醫共體及專科聯盟等[7]，大大提升了醫療機構的工作效率，也極大的方便了患者。在此過程中，醫護人員將面臨更多、更復雜的工作場景，承擔的角色也呈現多元化的特征，見圖1。醫護人員在不同的場所扮演的角色和使用的工具均不相同，工具本身有紙質和信息系統之分，信息系統也有是否聯網及登入方式的區別，醫護人員在這些場景中行為方式也不盡相同。因此，其面臨的信息安全風險種類和性質也存在較大差異。

3 健康信息化背景下醫護人員信息安全風險識別

醫護人員面臨的醫療信息安全風險主要受三個因素的影響：工作環境、職業角色及使用工具。工作環境主要是指公共網絡或是局域網絡或是單機系統；職業角色主要指對醫療信息的訪問權限；使用工具是指信息化工具或手工紙質工具。依據上述三個因素及具體的內容，本文對醫護人員可能面對的風險進行了研判，見表1。

4 信息安全風險應對策略

4.1 規范賬戶信息管理，提升醫護人員口令的安全級別

4.1.1 妥善維護個人口令 醫護人員的工作環境偏向于公共場合，或多或少都有旁觀者存在，個人賬號泄露的可能性較大。另外，部分醫護人員存在將賬號和密碼寫在紙條及記錄本上的習慣，也容易導致口令泄露，且長時間使用同一口令泄露的可能性將成倍增加[8]。因此，為保障口令不被“有心人”竊取和利用，醫護人員應定期更新口令，盡可能的減小因口令泄露帶來的風險。

4.1.2 部署弱口令檢測系統 口令失竊另一個重要的原因是口令設置過于簡單，即弱口令，如采用生日、姓名的拼音、電話號碼、簡單數字組合、鍵盤特定形狀字母或數字組合等作為口令，很容易通過猜測或者簡單的密碼破解軟件等識破。因此，有條件的醫院可以通過部署弱口令檢測系統來解決這一問題，通過掃描系統中賬號的口令，識別出弱口令，并提醒醫護人員進行修改。

圖1 健康信息化背景下醫護人員工作場所、角色及工具

表1 健康信息化背景下醫護人員執業場景及可能面臨的醫療信息安全風險

4.2 嚴格醫護人員系統權限分配，降低由于賬戶泄露造成的危害程度 針對醫護人員的角色和級別，嚴格確定其系統訪問權限及可訪問的內容。同時，在醫護人員角色和級別變動的情況下，動態更新其訪問權限和訪問內容，在滿足其日常工作的前提下，盡量賦予其最小訪問權限和有限訪問內容。此舉的目的是一旦醫護人員賬號泄露，可將其對系統造成的影響限定在可控范圍之內。另外，對于已經離職的醫護人員，應及時注銷其各系統的賬戶信息，消除醫療信息泄露的隱患。

4.3 加強醫護人員的信息安全培訓，提高醫護人員的信息安全素養 醫護人員的信息安全培訓可以依據信息安全素養的理念[9]，從信息安全意識、知識、能力及執行和維持等五個方面進行系統性培訓，見圖2。信息安全意識：主要是建立信息化工作必須安全的觀念，保持對信息安全風險的一種戒備和警覺的心理狀態；信息安全知識：主要是對信息安全基本知識的了解，如病毒、密碼、防火墻、釣魚網站等；信息安全能力：主要是基本的處理信息安全事件的方法或者預防信息安全風險的措施等，如安裝殺毒軟件的方法、殺毒、對特定文件設置密碼等；信息安全執行：主要涉及是否落實了信息安全的規章制度，將信息安全工作落實到日常工作中等；信息安全維持：主要將信息安全措施作為常態化的工作，持續保持。

圖2 醫護人員信息安全培訓內容及遞進關系圖

醫護人員的信息安全培訓還可根據不同的場景設立培訓主題，如診室醫生工作站、互聯網平臺、手機APP 及科研平臺等，針對不同場景中存在的風險，有針對的進行培訓。需要說明的是，醫護人員的信息安全培訓不是一蹴而就，需要定期或者不定期持續進行，不斷強化其信息安全意識，提升安全防護能力。另外還需做好日常的宣傳工作，使醫護人員時刻保持警惕。

4.4 完善工作場所規章制度，規范醫護人員的醫療信息安全行為 針對不同工作場景可能面臨的信息安全風險，制定針對型的日常行為制度，如作廢的病歷用紙應及時粉碎銷毀、不得將病歷資料拍照留存上網（發朋友圈等）、不得擅自將工作資料內容拷貝及拍照私自留存、不得使用未脫敏的醫療信息進行科學研究等。將相關的制度和要求印成醫護人員工作手冊，便于醫護人員日常查閱及落實。同時，醫院還需建立相應的懲罰措施，對違規行為進行處罰，確保信息安全規章制度落到實處。

5 總結

在全民健康信息化的背景下，醫護人員將進入更多的職業場景，面臨的醫療信息安全風險也在不斷變化，這一現象應該引起醫院和衛生主管部門的高度重視。及時準確識別醫護人員面臨的醫療信息安全風險源，有針對性的進行規避與提前應對，盡可能將風險消除在萌芽狀態，使醫護人員的職業場景更加規范與安全，以為醫療行業的信息安全管理工作奠定基礎。