新《檔案法》背景下醫院檔案信息化安全體系構建芻議

摘 要：安全是醫院檔案信息化的底線、紅線，新《檔案法》的修訂，專門提出檔案信息化建設要求和內容，這些都為新時代做好醫院檔案信息化安全體系建設提供根本遵循。本文以新《檔案法》為背景，分析醫院檔案信息化安全體系內容，并從前端、中端、末端全面分析醫院檔案信息化安全體系存在的主要問題，基于檔案安全保障各要素，從理論層、監控層、措施層、評估層提出新《檔案法》背景下醫院檔案信息化安全體系構建內容，切實織密新時代醫院檔案信息化安全防線。

關鍵詞：檔案信息化；安全體系；新《檔案法》

概述

1987年全國人大審議通過的《檔案法》，先后經歷了3次修正，其中2020年第三次修正把“檔案信息化建設”作為單獨一個章節，該章節共7條，有4處提到“安全”，即“檔案數字資源安全保存”“保障檔案信息安全”“符合安全管理要求”“電子檔案的安全性”。在《“十四五”全國檔案事業發展規劃》中也有44處提及“安全”，并把“堅持安全底線”列為五大工作原則之一，將“深入推進檔案安全體系建設，筑牢平安中國的檔案安全防線”作為“十四五”時期全國檔案事業發展八大主要任務之一，明確提出到2025年“檔案安全防線得到新加強”。這些新要求、新規定為新時期醫院檔案信息化安全體系建設列出了時間表、畫出了路線圖，需要包括醫院在內的所有機關、企業事業單位、團體認真抓好貫徹落實。

1 醫院檔案信息化安全體系內容

黨的二十大報告強調，“推進國家安全體系和能力現代化，堅決維護國家安全和社會穩定”。這是從頂層設計上為新時代國家安全理論突破創新和實踐能力建設提出目標、指明方向[1]。體系泛指某個范圍或同類事物按照一定秩序及內部聯系組合為整體，是不同系統組成的系統。具體到醫院檔案信息化安全領域，其體系主要是由運行環境、信息資源、標準規范、專業素養等若干安全子體系共同組成。

1.1 檔案運行環境

檔案運行環境是醫院檔案信息化安全體系的物質基礎。這里的環境包括物理空間，也包括檔案信息運行空間。前者，主要是指醫院檔案信息化基礎設施，如檔案庫房要按照“防高溫、防潮濕、防盜、防塵、防蟲、防光、防霉、防火”等“八防”標準建設、運行和管理，添置恒溫機、除濕機、防磁柜等設備，確保醫院存儲檔案的庫房始終保持恒溫恒濕。光盤、磁盤、U盤等特殊存儲介質要放入專門的防磁柜中儲存。后者，主要是指醫院檔案信息收集、存儲、傳輸、檢索、利用等所在的虛擬空間。雖然是虛擬空間，但其運行環境的安全性同樣不容忽視，為此，通常需要搭建醫院電子檔案信息管理平臺、電子檔案數據庫，應用正版病歷檔案管理軟件，并及時做好系統及軟件的實時升級更新。

1.2 檔案信息資源

檔案信息資源是醫院檔案信息化安全內容體系。電子檔案信息安全最重要的是數據安全[2]。根據《檔案法》《檔案法實施條例》的相關規定，電子檔案只有滿足“來源可靠、程序規范、要素合規”，方可與“傳統載體檔案具有同等效力”，而且還要對入館的電子檔案進行“四性”檢測。“來源、程序、要素”及“真實、完整、可用和安全”“四性”共同構成醫院電子檔案信息資源安全體系的主要內容。如電子檔案的內容、邏輯結構與信息環境一致，且內容、結構及背景信息齊全，元數據、必填著錄項完整。可以被信息技術檢索、呈現及理解，檔案信息內容可讀。管理過程可控、數據存儲可靠，未遭受破壞、非法訪問等。

1.3 安全標準規范

安全標準規范是醫院檔案信息化安全制度體系。從宏觀層面來看，《檔案法》《檔案法實施條例》《保密法》《數據安全法》構成醫院檔案信息化安全制度體系的頂層依歸》。從中觀層面來看，《電子檔案證據效力維護規范》《電子檔案移交接收操作規程》《檔案仿真復制工作規范》《檔案庫房空氣質量檢測技術規范》《檔案蟲霉防治一般規則》等共同構成了醫院檔案安全技術標準規范的行業要求。從微觀層面來看，《XXX醫院檔案借閱歸還守則》《XXX醫院檔案庫房管理細則》《XXX醫院檔案信息化保密辦法》等是醫院安全標準規范的直接規定，也是醫院根據其檔案信息化安全管理實際需要，立足醫院自身實際制定出臺的標準規范。

1.4 安全知識素養

安全知識素養是醫院檔案信息化安全管理中人員要素體系，包括安全意識培育、安全素養能力、安全要求落實。這里的人員是廣義上的，既包括具體從事檔案管理人員，也包括醫院其他人員的安全素養。總之，檔案信息化安全體系建設，要把人員管理放在首要位置[3]。首先，從檔案服務對象來說，要加強檔案安全知識宣傳普及，使其自覺遵守醫院檔案借閱、歸還等安全管理的各項規定、標準和要求。其次，要重點做好檔案管理人員的安全綜合素養培育。既要樹牢安全意識，養成安全自覺性，從醫院檔案借閱登記、審批、歸還檢查等小事小節處著眼，也要做好醫院檔案信息系統安全定期升級、維護，研究信息化背景下醫院檔案信息化安全面臨的新形勢、新情況、新規律，不斷提高應對能力和水平。

2 醫院檔案信息化安全體系問題

檔案信息化是計算機數據庫、密碼學、多媒體、數據存儲等多種計算機技術在檔案管理工作中的應用過程[4]。任何一個環節或細節出現問題，都有可能導致檔案安全事故發生。醫院檔案信息化安全體系具有整體性、系統性、前瞻性，從當前醫院檔案信息化安全體系現狀來看，前端、中端、末端全鏈條存在問題。

2.1 前端安全體系規劃整體性滯后

近年來，隨著信息技術的發展，醫院積極落實“增量電子化、存量數字化”方針，檔案數字資源建設、應用系統及平臺建設投入力度較大，但在檔案信息化安全體系建設規劃部署方面存在滯后性，重醫院檔案資源管理利用，輕檔案信息資源安全的現象依然存在。直接表現在缺少前瞻性、整體性檔案安全體系頂層規劃設計，大多將安全要求落實于檔案管理的具體環節、過程，沒有專門的檔案信息化安全體系謀劃。究其原因，既有思想上重視程度不夠，沒有把檔案信息化安全體系建設擺在與檔案業務信息化同等重要的位置抓落實，還有缺少對檔案信息化安全極端重要性的思想認識，安全風險的防范意識不強、預防措施未跟上，表現在檔案運行安全環境投入不足，安全標準規范滯后，安全教育培訓不足。

2.2 中端安全體系內容完整性不足

從醫院檔案信息化安全體系內容來看，醫院檔案安全體系內容包括檔案運行環境、檔案信息資源、安全標準規范和安全知識素養，任何部分安全防范做的不到位都有可能引發各種不安全事故，可謂是缺一不可。但從現實情況來看，缺乏相應的投入，必備設備未配齊，系統軟件更新不及時。缺乏專業信息技術人才，醫院檔案安全主要依靠第三方公司負責維護。檔案信息化采集過程中存在要素不全、程序不規范等現象，數字檔案信息資源沒有可靠的災備策略，雙備份落實不到位，埋下各種安全風險隱患。把安全標準規范條文至于其他標準規范之中，缺少專門的檔案信息化安全規范標準。檔案人員業務培訓開展較多，專門的安全知識培訓開展較少，安全防范意識不強，如此種種，都會直接影響到醫院檔案管理安全。

2.3 末端安全體系執行徹底性較弱

一直以來，檔案安全防范措施執行不夠徹底的現象依然不同程度地存在。無論是《檔案法》《檔案法實施條例》，還是其他標準規范，抑或是醫院自身制定的各項規章制度，安全標準和要求落實存在“寬松軟”現象。安全防范意識不強，大多是在出現安全風險事故后才采取相應的安全補救措施，有些安全風險的發生，會導致檔案難以彌補的損失，沒有把安全風險防范落實到日常檔案管理全過程、各環節。

3 醫院檔案信息化安全體系構建

檔案安全保障各要素處于動態變化之中，分為理論層、監控層、措施層、評估層，彼此之間相互關聯（見圖1）[5]。醫院檔案信息化安全體系構建要始終把總體國家安全觀貫穿于醫院檔案信息化安全管理全過程、各環節，織密檔案信息化安全物防、技防、人防體系，并把制度防控貫穿始終。

3.1 理論層，法規標準及宣傳

醫院檔案信息化安全體系的第一層，也是基礎層，就是要結合醫院檔案信息化管理的實際需要，制定與其相適應的檔案管理安全標準、規范，并抓好標準、規范的學習宣傳和教育。首先是制定規范。按照《檔案法》《檔案法實施條例》中有關檔案安全管理的最新規定和要求，立足醫院檔案信息化安全管理現實需要，制定安全管理規范，如《XXX醫院檔案安全管理工作規定》《XXX醫院檔案安全應急處置預案》等。由國家檔案局牽頭，做好頂層規劃設計，將散見于各規章制度的安全管理標準和要求集中起來，制定一部針對檔案信息化安全管理的專門性規范或規章制度，要放眼國際，以國際方面標準規范為輔，漸進式實現[6]。其次是制定標準。無規矩、不成方圓。標準是醫院檔案信息化安全體系的重要保障。具體來說，就是要在規范的基礎上，從國家標準、行業標準等方面，逐步完善醫院檔案庫房安全標準、檔案信息化安全標準、系統安全運行標準、電子數據安全標準、網絡安全標準、身份驗證、加密技術、防讀寫等安全技術標準等，保障醫院檔案信息安全。再次是宣傳。規范、標準的制定和出臺是前提，做好宣傳教育是關鍵。利用全國檔案宣傳周、歸檔月、“6.9”國際檔案日等特殊的時間節點，加強醫院檔案信息化安全體系的規范、標準知識的宣傳普及。可在醫院門戶網站、局域網、公開欄等張貼檔案安全小知識，印刷檔案安全知識小冊子，召開全院檔案安全知識競賽等，立體式宣傳檔案安全規范、標準，真正讓全院上下對檔案安全規范、標準入腦入心，成為自覺行為。

3.2 監控層，風險預估及監督

醫院檔案信息化安全體系的第二層，保證理論層得到有效落實，同時對潛在的安全風險進行預估并及時做出相應規避。醫院檔案信息化安全常面臨著設備故障、水災、火災或其他非傳統因素、突發性偶然因素，需要提前做好預估，并針對預估的風險，制定相應的安全風險應對預案，如《檔案庫房信息化災害預警預案》《檔案信息化安全災害防災計劃》，并做好安全風險應急演練，監督相關措施得到有效落實。加大對檔案災害監測預報技術的科研投入，研發與推廣檔案災害應急設備及產品[7]。如定期檢查檔案庫房設施裝備，常態化監測庫房的溫度、濕度、空氣環境質量等，收集相關信息，提升信息分析能力。此外，要加強與氣象、地震、電信、供電等部門的聯系，聯合舉辦檔案信息化突發風險應急處置演練，針對演練中發現的問題，及時監督解決，切實做好應對醫院檔案信息化安全風險的各項準備工作，做到防范于未然。

3.3 措施層，問題風險及處置

醫院檔案信息化安全體系的第三層，就是措施層。是針對第二層風險預估中發現的安全問題，通過問題分析、策略制定、實施搶救、記錄過程四個環節，是處置醫院檔案信息化安全風險的具體行為。首先是問題分析。通過風險預估發現安全風險問題，要針對已經暴露的安全問題進行分析，既要分析出現的安全風險，也要分析潛在的安全風險，要擴大風險預估范圍，最大限度地排除不安全因素。其次是策略制定。針對分析的安全風險問題，有針對性地提出應對舉措，措施的制定要緊密結合安全問題，選擇適宜的搶救技術及搶救方案，充分考慮醫院自身的技術儲備、物質條件等因素，以最低成本處理安全問題。再次是實施搶救。風險處置預案及策略制定完畢，要按照制定的方案不折不扣地抓好落實，及時消除安全風險因素，確保醫院檔案信息化安全。最后是記錄過程。就是將本次安全風險處置的全過程記錄下來，從發現問題、分析問題到制定方案、方案實施的全過程，使檔案信息化安全處置有據可查，為后期類似問題的解決提供經驗參考。

3.4 評估層，評價評估及復盤

醫院檔案信息化安全體系的第四層，即醫院檔案信息化安全體系評估，重點是評估措施層中的思想措施落實情況以及落實的質量和效果，并對其進行質量評估，做好復盤，回顧整個問題解決過程中是否做到最優、最佳。以醫院聲像檔案為例，為做好醫院該類檔案信息化安全，首先制定出臺了《XXX醫院聲像檔案安全管理辦法》，并將其主要內容印制成海報或小冊子，張貼于檔案庫房門口或發放給醫護人員、檔案管理人員等，普及聲像檔案安全常識。同時，針對醫院聲像檔案的風險，預估其可能面臨著蟲害、輻射、光照、污染物、管理疏忽等風險隱患，借助相應的風險評估模型，劃分聲像電子檔案風險類型、風險源及風險引發的后果（見表1），評估風險等級，然后采取相應的措施，提前做好安全風險排查、整治，做到防患于未然。

參考文獻

[1]林克勤.論國家認知安全體系的建構[J]學術界，2023（2）：57-66.

[2]王玉杰，蘇衛東.檔案信息化與檔案信息安全保障體系建設[J]機電兵船檔案，2012（4）：68-70.

[3]許德斌.高校檔案信息化安全體系建設探究[J]黔南民族師范學院學報，2018（5）：125-128.

[4]劉少朋，雷曉蓉，楊雯.高校檔案信息化安全體系建設中存在的問題與應對策略[J]機電兵船檔案，2021（6）：62-64.

[5]金俊蘭.構建檔案信息化安全體系[J]湖北師范學院學報（哲學社會科學版），2011（2）：153-154.

[6]王靜.檔案信息化安全體系建設研究[J]治黃科技信息，2015（5）：29-32.

[7]陳陽，倪麗娟.美日兩國檔案災害預警機制建設對我國的啟示[J]北京檔案，2017（9）：39-41.

作者簡介：劉桂英（1967.7—），女，大學學歷，梁山縣人民醫院副研究館員，主要從事檔案管理研究。