“互聯網+”背景下醫療行業信息安全策略探討

陳心怡 吳 翔 洪紫映

(華中科技大學同濟醫學院醫藥衛生管理學院 武漢430030)

1 引言

互聯網技術很大程度上能解決現有行業中存在的開放性、兼容性等問題，為多個行業的全面智能化提供助力。在醫療行業中“互聯網+醫療健康”正在成為新的發展方向。隨著互聯網科技產業及大數據技術的飛速發展，衛生信息和衛生保健服務的提供和接受方式正在改變。在“互聯網+”時代強有力的信息安全政策是保證醫療行業信息化服務平穩有序開展的重要前提。網絡技術的發展使醫療行業能夠為從業者和客戶提供更好的服務、更豐富的信息資源和更高的可用性。醫療保健是文檔密集型行業，為了順應行業發展需求醫療行業正在逐步向無紙化、智能化轉變，與此同時面臨問題與機遇[1]。此外在醫療保健智能化全過程中，患者個人隱私等敏感數據會在衛生保健組織之間流轉，需要高度重視數據完整性與安全性。解決醫療保健領域安全風險和隱私保護問題的前提是制定有力的信息安全政策，本文著重探討“互聯網+”背景下醫療行業所采取的信息安全策略。

2 醫療行業信息安全和隱私保護問題

2.1 概述

醫療信息是指在醫療過程中所產生的個人信息，包括患者身心健康、醫療狀況等信息[2]。對紙質媒介而言，保存的信息只存在于一個物理空間內且復制信息成本較高，信息保護較容易，即使發生信息泄漏其影響范圍相對較小。電子信息媒介的特點在于短時間批量信息處理效率較高、信息傳播速度較快、信息復制成本較低，在信息保護方面面臨較大風險和挑戰?！盎ヂ摼W+”背景下對于用戶面臨的醫療信息風險，一般可以從安全性和隱私性兩個角度考慮。

2.2 醫療行業安全性和隱私性

安全和隱私概念不同，為了全面考慮用戶信息安全問題必須對二者進行區分。美國《健康保險可攜帶與責任法案》(Health Insurance Portability and Accountability Act，HIPAA)定義了醫療行業安全問題和隱私問題。安全問題指醫療信息通過技術手段進行存儲和傳輸過程中，保障信息保密性、完整性和可用性的相關問題。安全問題主要針對數據收集、保護和傳播過程。隱私問題是通過不同形式、由不同用戶對患者醫療信息進行保護[1]。安全問題更多地關注組織安全，而隱私問題更為關注個體保護。

2.3 醫療行業安全問題

2.3.1 網絡安全 與一些大型企業相比，國內醫院在網絡安全建設、運營和保障方面存在不足，整體抵御威脅攻擊能力較弱，這是因為醫院信息化建設歷程存在特殊性。在醫院信息化建設初期主要考慮內部醫療業務需求，較少考慮為患者提供信息化醫療服務，此時網絡建設主要是為滿足院內局域網使用需求，不需要與外部系統互聯互通[3]。隨著“互聯網+醫療”時代的來臨醫院信息化建設越來越多地考慮患者信息化服務需求，包括在線預約、掛號、診療、手續辦理、繳費、查看檢查結果等。此外醫院還將從醫療、醫保、醫藥“三醫聯動”角度推動互聯網與醫療健康服務相融合并制訂、完善相關配套政策，加快實現醫療健康信息互通互享，提高醫院管理和便民服務水平[4]。推進業務線上化需要打通醫院局域網和互聯網，實現數據傳遞與共享，醫院網絡開放程度提升，為網絡安全帶來巨大挑戰。雖然近年來醫療行業針對網絡開放性帶來的風險采取了相應措施，醫院日益重視網絡安全，但我國醫院網絡安全依然存在一些問題。在硬件設備方面，許多醫院交換機等網絡核心設備老化，更新換代不及時，難以匹配較為先進的安全防護技術。在軟件方面，醫院信息系統底層技術架構普遍較老舊，存在大量安全漏洞，無法充分防御網絡入侵。在管理方面，部分醫院網絡安全管理制度不規范、不健全，并未根據院內實際情況制定網絡安全管理制度；部分醫院制定相關管理制度落實不到位。在人員方面，大部分醫院重視醫學人才引進，對信息化特別是網絡安全人才重視不足，現有人才技術能力水平普遍偏低。醫院網絡安全建設落后于“互聯網+醫療”發展速度是導致醫院網絡安全問題的主要原因。

2.3.2 數據安全 除醫療信息外醫療行業數據還包括醫院財務、管理信息等，其中任何一種數據被破壞或泄露都會造成難以估量的后果[5]。在“互聯網+”背景下醫院信息化程度日益加深，醫院信息系統所產生數據如果得不到有效保護可能造成巨大損失。因此保障醫院信息系統數據保密性、完整性和可用性是信息化建設過程中需要解決的重要問題。在實際醫療情境中由于醫院信息系統間數據交互存在隱患，醫院信息化建設在數據安全方面仍有較大風險。醫院網絡開放帶來的數據交互共享存在于醫療機構信息化流程中的各個環節。縱向來看，國家衛生健康委員會、縣級醫院、村級衛生院等不同層級單位信息終端點多面廣，安全防護能力參差不齊，數據泄露出口眾多。橫向來看，醫保系統需要與醫院系統、有關主管部門和醫保定點藥店對接，數據傳輸需經過銀行、運營商等行業外部機構，進一步增大了數據安全風險[6]。

2.4 醫療行業中的隱私問題

2.4.1 概述 醫療行業中，用戶隱私是指在不對其他人以及社會造成利益影響的情況下，不愿意讓他人和社會了解的信息[7]。由于醫療行為的特殊性，隱私信息被不當使用的風險較高，同時存在醫療信息隱私與醫方知情權之間的矛盾。

2.4.2 隱私不當使用 醫療信息化使敏感隱私信息被不當使用的風險提升。醫療保健服務提供者保存和共享、維護大量敏感醫療信息，用于診斷和治療、支付保健服務費用、公共衛生研究，甚至用于營銷和媒體宣傳。從管理角度來看，目前我國醫療領域關于隱私保護法律文件中存在薄弱點，部分領域存在空白，導致隱私不當使用的成本較低。此外當醫療機構對從業人員進行考評時較重視醫療質量，較少將患者隱私保護納入評價體系內，導致部分醫療行業從業者對患者隱私保護重視程度不足。從技術角度來看，雖然傳統基于紙質媒介的信息系統存在缺陷，但其限制了信息收集者共享和傳播信息的行為，在一定程度上避免隱私信息不當傳播。隨著醫療保健行業數據收集、存儲和傳輸信息化程度日益加深，醫療信息可以輕松被定位、收集和傳輸，如果不對信息技術使用加以規范，將會大幅提升敏感隱私信息被不當使用的風險。

2.4.3 隱私權與醫方知情權之間存在矛盾 在許多醫療場景下患者隱私權與醫方知情權之間存在矛盾。醫方知情權是指醫方在使患者恢復健康過程中，知曉患者本次病情中所有相關醫療信息的權利。醫療過程中醫方知情權與患者隱私權之間存在一定沖突。為了使患者恢復健康，醫方只有得到足夠的醫療信息才可以對病情做出正確診斷，難免會觸碰到患者醫療隱私[8]。由于“互聯網+”背景下信息化技術在醫療領域廣泛應用帶來信息安全風險，患者擔心健康信息被不當使用或泄露進而造成危害和損失，有時會采取極端措施來保護個人健康信息隱私。有調查顯示近1/6的美國成年人采取極端措施保護個人醫療信息隱私，例如向醫生隱瞞信息或提供不準確、不完整信息，導致醫生無法給予最佳診斷和治療。同時不準確的健康信息影響下游用戶信息利用，醫療保健體系可能遭到破壞[1]。在保證患者恢復健康的同時如何最大程度減少對患者醫療隱私的侵犯是醫療從業者必須思考的問題。

3 我國醫療行業信息安全政策分析

3.1 有關政策

3.1.1 2011-2015年 2011年原衛生部發布《衛生行業信息安全等級保護工作的指導意見》和《關于全面開展衛生行業信息安全等級保護工作的通知》，提出通過等級保護方式保障醫療行業信息安全。2015年3月國務院辦公廳發布《全國醫療衛生服務體系規劃綱要(2015-2020年)》，提出要依托國家電子政務網構建與互聯網安全隔離，聯通各級平臺和各級各類衛生計生機構，高效、安全、穩定的信息網絡[9]。同年5月國務院辦公廳發布《關于城市公立醫院綜合改革試點的指導意見》，提出加強區域醫療衛生信息平臺建設，完善技術標準和安全防護體系，強化信息技術標準應用和數據安全管理。

3.1.2 2016-2018年 2016年國務院辦公廳發布《關于促進和規范健康醫療大數據應用發展的指導意見》，提出加強健康醫療大數據保障體系建設策略，要求加強對涉及國家利益、公共安全、患者隱私、商業秘密等重要信息的保護，加強醫學院、科研機構等方面的安全防范[10]。同年《網絡安全法(草案)》對外征求意見，針對保障網絡空間主權安全、產品應用和服務網絡安全、網絡數據信息安全、網絡安全監測預警以及突發事件應急處置預案等內容進行規定。2017年《網絡安全法》實施，將網絡安全領域相關要求上升至國家法律層面。2018年4月國務院辦公廳發布《關于促進“互聯網+健康醫療”發展的意見》，提出“互聯網+醫療健康”發展需要加強行業監管和安全保障，即強化質量監管和保障數據信息安全；同時要求研究制定健康醫療大數據確權、開放、流通、交易和產權保護法規，嚴格執行信息安全和健康醫療數據保密規定，建立完善個人隱私信息保護制度。同年7月國家衛生健康委員會發布《國家健康醫療大數據標準、安全和服務管理辦法(試行)》，其進一步明確了各級衛生健康行政部門、各級各類醫療衛生機構、相關應用單位及個人在健康醫療大數據標準管理、安全管理、服務管理中的責、權、利，對于統籌標準管理、落實安全責任、規范數據服務管理具有重要意義[11]。

3.1.3 2019-2021年 2019年9月國家發展改革委發布《促進健康產業高質量發展行動綱要(2019-2022年)》，提出建立健全健康醫療大數據的信息共享、數據安全、隱私保護政策和應急保障機制；推進健康醫療大數據的安全共享，深化健康醫療大數據在醫學科研、教育培訓、臨床診療、產品研發、行業治理、醫保支付等方面應用。同年12月我國頒布衛生健康領域第1部基礎性、綜合性法律《中華人民共和國基本醫療衛生與健康促進法》，明確規定國家應采取措施推進醫療衛生機構建立健全信息安全制度，保護公民個人健康信息安全，對醫療信息安全制度、保障措施不健全，導致醫療信息泄露和非法損害公民個人健康信息的行為進行處罰[12]。2020年10月工信部和國家衛健委聯合發布《關于進一步加強遠程醫療網絡能力建設的通知》，提出進一步加強遠程醫療網絡能力建設需要加強組織保障，建立協同工作機制，完善“互聯網+醫療健康”網絡標準體系，重點推進包括網絡安全在內的總體性標準，加強遠程醫療網絡質量監測管理。2021年6月10日，第十三屆全國人民代表大會常務委員會第二十九次會議通過《中華人民共和國數據安全法》，該法對行業數據安全管理、個人數據隱私保護等方面進行明確規定，成為我國數據安全治理體系的重要基礎[13]。同年8月十三屆全國人大常委會第三十次會議表決通過《中華人民共和國個人信息保護法》，該法明確要求處理生物識別、醫療健康、金融賬戶、行蹤軌跡等敏感個人信息應取得個人單獨同意。

3.2 存在的不足

3.2.1 安全法規體系不健全 我國醫療行業現行的信息安全政策主要聚焦安全性問題，對隱私性問題關注不足。首先，醫療行業隱私性問題立法較晚。自2011年首次在醫療衛生行業發布相關政策以來，我國通過等級保護在技術層面對醫療行業的信息安全問題進行保障并通過一系列政策規范安全性層面的管理問題。2016年首次從國家層面對醫療行業的隱私保護問題提出要求。其次，對醫療行業隱私問題的全流程管控不全面。雖然已從國家層面頒布針對個人信息保護的有關法律，但缺乏針對醫療行業的隱私保護法規體系。現有對醫療行業隱私保護的要求和規定散落在不同法規中，缺乏從醫療行業隱私信息的產生、流轉、保存、消亡的全流程建立完整的法律制度和管控體系。最后，對患者隱私權和醫方知情權的矛盾缺少法律規范，沒有定義醫療行為過程中患者與醫方在隱私保護領域的權利范圍，權責劃分不清晰。

3.2.2 政策對行業信息安全管理支撐不足 我國醫療行業信息安全立法滯后于行業信息化建設進度，難以為行業信息安全管理提供支持。我國醫療行業信息安全立法開始于“十二五”時期，在立法初期相關法規較不完善，大量領域存在空白。進入“互聯網+”時代后，雖然我國加快了醫療行業信息安全立法速度，但總體進度仍然滯后于信息化發展速度，難以滿足信息化、數字化、智能化建設過程中對網絡及信息安全的管理需求。

3.2.3 政策可落地性不足 目前我國相關政策和法律法規條文對于具體權利、義務和責任劃分有待進一步明確，實際操作中存在一定困難，也影響醫療行業政策落實效果。例如《網絡安全法》中規定網絡運營者不得泄露、篡改、損毀其收集的個人信息，但對于違規行為將處以何種形式的懲罰并沒有進行明確規定。在醫療信息隱私保護方面，對于醫療信息中的敏感信息和隱私信息也沒有專門制定統一的定義和標準[14]。

4 美國醫療行業信息安全法律體系借鑒

4.1 HIPAA法案

美國醫療健康信息安全立法多以隱私權保護作為基礎，HIPAA法案是美國健康醫療信息安全保護體系的核心。經過20多年的修訂與完善HIPAA及其補充法案已成為一套相對完善、系統并具備較強可操作性的健康醫療信息保護專門法。其要求采用健康信息和患者信息電子傳輸的國家統一標準，規定在記錄和傳輸醫療信息的過程中最基本的信息安全要求。HIPAA安全要求涉及對象廣泛，包括生成或以其他方式處理電子病歷和醫療數據的任何組織。

4.2 其他法律

2009年美國頒布《經濟和臨床健康信息科技法案》(Health Information Technology for Economic and Clinical Health Act, HITECH)，該法案是對HIPAA的進一步擴展，增加對違反HIPAA的處罰規定[15]。隨著互聯網覆蓋范圍不斷擴展，醫療行業健康類APP的廣泛使用帶來嚴重的信息安全問題。對此美國國會提出《停止銷售和披露可穿戴設備、追蹤器中消費者健康數據法案》《信息透明于個人數據控制法案》《保護個人健康數據法案》等多項關于公民健康信息安全的綜合性立法建議，以構建醫療信息傳輸、出售、共享的監管框架[16]。

4.3 行業監管

美國通過一系列立法加強和促進醫療行業信息安全政策的實施和落地。美國衛生與公共服務部(United States Department of Health and Human Services，HHS)修訂《個人信息隱私保護標準和實施指南》，從國家層面制定法規保護醫療信息的完整性、機密性和可用性。2016年美國聯邦貿易委員會(Federal Trade Commission，FTC)發布《FTC針對移動健康應用程序開發人員的最佳實踐指南》，對移動健康應用程序能獲取的用戶數據和權限進行規定。2018年美國食品藥品管理局(Food and Drug Administration，FDA)發布《醫療器械網絡安全管理上市前提交內容指南草案》，通過加強醫療行業網絡與信息安全管理，在網絡安全攻擊事件中保障患者免遭延遲治療的傷害[16]。

5 我國醫療行業信息安全發展建議

5.1 完善醫療行業信息安全立法保障

我國尚缺乏關于醫療行業信息安全和隱私性問題的相關法律法規，亟待建立醫療行業信息安全保障的專門性、常態性法規體系?，F行法律文件中雖然規定了醫療行業機構必須保障患者健康信息安全，但處罰機制尚不明確，醫療信息不當使用的成本較低，政策及法律震懾性不足。對于責任主體，不僅要規范醫療行業從業人員行為，還需對健康信息化平臺信息收集、使用、存儲、傳輸等行為進行規范，對從業人員和患者責任范圍進行明確劃分。同時應加快我國醫療行業立法相關進程，緊跟時代特點，聚焦行業問題，實現對行業信息安全管理的有效支撐。

5.2 健全醫療行業信息安全監管政策

我國醫療行業監管為上級監管部門對醫療機構信息安全的管理提供一定指導，目前尚缺少針對醫療行業信息安全政策實際落地的監管機制。首先，應完善并明確現有政策及法規中部分權利和責任劃分、界定，使落實行業監管工作有據可依。其次，應在現有政策及法規基礎上制定細化、專門化的指導性實施細則并指定相關風險評判工具，使醫療行業信息安全管理工作真正落到實處。

5.3 加強組織管理和文化建設

良好的組織和安全文化是使信息技術發揮其潛力的重要因素。目前醫療衛生行業從業人員更多關注的是醫療信息使用，而對醫療信息安全管理重視不足。行業信息安全措施能否真正有效落地取決于醫療從業人員信息安全意識水平。增強醫療行業全員信息安全意識，需要在行業內形成安全和保密文化，持續開展信息安全培訓和意識宣貫，醫療行業管理組織需通過持續教育、獎勵等手段加強相關人員的信息安全意識。

5.4 優化醫療行業信息安全技術手段

目前我國絕大部分醫院僅靠網絡防火墻保障醫療信息安全，新一代網絡安全設備及技術應用率低于50%[17]。提升醫療行業信息安全防護整體水平是“互聯網+”背景下信息化、數字化、智能化建設中的重要一環。醫療行業應按照等級保護2.0要求持續開展等級保護工作，針對不同信息系統制定科學保護措施。同時廣泛推廣網閘、防入侵系統、防毒墻、上網行為管理等設備和系統，從網絡層面增強網絡及信息安全保護能力。此外在數據方面要實現醫療信息轉碼和加密并隱匿個人基本信息。

6 結語

自“十二五”以來我國醫療行業信息安全管理體系建設取得了一定成效，但相對于發達國家而言仍存在一定差距。在“互聯網+”時代背景下，分析我國醫療行業存在的信息安全與隱私性問題以及有關政策現狀，借鑒美國醫療行業信息安全法規體系建設經驗，以期為我國醫療行業信息安全管理未來發展提供有益參考。