醫療機構數據安全運營體系建設研究

2020年12月，《信息安全技術—健康醫療數據安全指南》（GB/T 39725-2020）發布，指南深度貼合健康醫療數據，給出分類分級的框架內容以及各典型業務場景下的數據安全管控措施。2021年，國家頒布實施《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》，為建立健全數據安全治理體系指明了發展方向。

醫療數據是我國重要的基礎性戰略資源，數據安全是醫療機構信息化發展的核心支撐。數據安全貫穿數據采集、傳輸、存儲、處理、交換和銷毀全生存周期。醫療數據安全建設相對滯后，存在數據資產不明確、防護措施單一、標準不完善、機制不健全等情況。涉及國家安全、社會穩定。

一、數據資產梳理

1.數據分類 數據是醫療業務系統的核心，數據資產梳理是數據安全治理的前提。健康醫療數據包含個人屬性數據、健康狀況數據、醫療應用數據、醫療支付數據、衛生資源數據等。對數據整理后進行編目、標準化，形成資源目錄。數據分類可通過行業或主管部門相關標準規范、結合自身業務特點開展。

2.數據分級 數據分級是數據安全保護的基礎，為數據資產防護提供依據。根據數據重要程度和敏感程度進行分級。數據分類分級應遵循合法合規原則、可執行原則、時效性原則、自主性原則、差異性原則及客觀性原則。根據結果確定數據的共享屬性和開放屬性。

3.根據數據重要程度分級 根據數據重要程度，分為核心數據、重要數據、一般數據。核心數據指具有較高覆蓋度或達到較大規模的重要數據，非法使用或共享可能直接影響政治安全，是省級地市級全民健康平臺相關數據等。重要數據指特定領域達到一定精度和規模的數據，被泄露、損毀，可能直接危害國家安全、社會穩定，是三甲醫院、疾控中心等相關信息數據。

一般數據指可能對個人權益、組織權益造成危害，不會危害國家安全、經濟運行，對社會穩定、公共利益造成一般危害的數據，一般為個人隱私或敏感信息、人力資源信息等。

4.根據數據敏感程度分級 根據數據敏感程度，將健康醫療數據分為5級。第一級可完全公開使用如互聯網。第二級可在較大范圍內訪問使用，如管理研究、統計分析。第三級可在中等范圍內使用，如服務對象告知。第四級可在較小范圍內使用，如醫療服務管理。第五級在極小范圍嚴格限制下使用，如特殊疾病診療。

二、數據安全治理

1.數據安全風險評估 通過風險評估，明確現有安全防護措施和管理方式是否有效，促進防御體系改進提升。針對醫療行業內部特定業務場景數據安全泄露應重點關注。

例如：患者診療數據、涉疫情醫療數據泄露風險；基因測序、檢驗檢查標本外送等生物特征數據泄露風險；物聯網設備、AI軟件信息采集泄露風險；大型醫療設備遠程運維數據外泄風險；EDC、GCP等科研系統數據泄露風險。

2.數據安全技術防護 以HIS系統為例，涉及數據全流程管理及多業務交互的安全防護：

數據采集：HIS系統涉及業務流包含門診預約、掛號、診療、檢驗檢查、開藥繳費等，與互聯網醫院、PACS、LIS、超聲、病理、EMR、集成平臺系統產生數據交互，在此數據環節階段可采取最小授權、流程管理、日志記錄、身份認證、數據流控制、存儲介質安全掃描、數據加密、鏈路加密、數據脫敏、數據訪問控制等防護措施。

數據傳輸：涉及業務數據傳輸，可采取數據審批、流程管控、數據加密、脫敏、網絡隔離、VPN/專線、身份認證等措施。

數據存儲：針對HIS系統產生的數據，可采取最小授權、本地/異地數據備份恢復（實時備份恢復）、訪問授權、訪問審計、高可用、加密等措施。

數據應用：涉及數據處理和交換。可采取多因素身份鑒別、行為審計、最小授權、流程管控、數據導入導出控制、靜態、動態脫敏、下載二次鑒權、移動介質數據加密等措施。數據交換包含HIS系統與患者、內部信息系統、上級主管部門的信息交互，可采取數據目錄、數據審批、流程管控、日志記錄、數據脫敏等防護措施。

數據銷毀：HIS數據一般為長期存儲，如確需進行數據銷毀操作，則應采取流程審批、授權管理、銷毀數據核查、銷毀方式評估等安全措施。

三、數據安全管理

1.數據安全責任制 信息化部門對本單位業務數據進行統一歸口管理，并設有專人負責數據安全和個人信息保護工作，應用系統管理和相關數據安全責任應落實到人。

履行主要領導負責制，建立安全事件管理，明確重大數據安全事件處置流程，及時報告并采取應急措施。

2.數據安全制度 數據安全制度體系應圍繞技術管理、人員管理、合作管理、流程管理等維度進行規劃設計，醫療機構應結合政策法規要求以及自身實際情況，制定本單位數據管理規程，包括數據安全策略、保障措施、保密范圍、保密時效、授權范圍、授權流程、操作核對規程、操作記錄規程、操作審查機制、責任追究機制、應急預案、第三方合作單位管理制度、保密協議等，并定期評價及更新，為數據安全管理提供依據。

3.數據資產監控 醫療機構應建立本單位的數據資產監測與預警平臺，動態監測核心醫療信息系統數據資產運行狀況，及時發現安全漏洞及潛在威脅，提升監測預警和感知處理能力，切實保障醫療數據安全。

4.人員管理與措施落實 醫療機構定期開展網絡和數據安全宣傳教育、提升信息安全意識。

醫務人員在提供醫療服務的各個環節，應嚴守安全紅線，保護患者隱私和診療數據、不隨意傳播或發布患者的就診信息。對駐場等第三方人員，一方面通過管理制度及簽署保密協議進行管控約束，另一方面通過技術措施，如按照最小授權原則進行資源管控、VPN+堡壘機遠程運維方式、數據庫審計及日志審計溯源等，以防越權操作和竊取數據事件。

構建完善的數據安全保障體系，對于提升醫療機構信息安全保障能力、推動高質量發展具有重要意義。醫療機構應對數據資產進行分類分級、形成數據資產目錄、確定共享開放屬性，采取有效的安全防護措施并定期開展風險檢測評估工作，落實數據安全責任制、加強安全管理，在合法合規的基礎上提升數據安全防護和處置能力。

（作者單位：江蘇省中醫院信息數據中心，通信作者：周宇）