醫(yī)療行業(yè)信息系統(tǒng)等級保護工作
伴隨醫(yī)療行業(yè)信息化建設(shè)的不斷發(fā)展，信息系統(tǒng)在其中扮演的角色也越來越重要，其所面臨的安全挑戰(zhàn)也不斷涌現(xiàn)，患者隱私泄露、掛號系統(tǒng)中斷以及木馬病毒攻擊直接威脅到醫(yī)療行業(yè)運行秩序和信息系統(tǒng)安全。
在等保2.0時代，醫(yī)療行業(yè)的等級保護工作變得更加重要，等保2.0將云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等新技術(shù)、新應(yīng)用的場景列入標(biāo)準(zhǔn)范圍。但是由于醫(yī)療行業(yè)的行業(yè)特征和特殊性，因此，今天的文章我們就來簡單了解醫(yī)療行業(yè)等級保護工作的有關(guān)內(nèi)容。
醫(yī)療行業(yè)的等級保護建設(shè)之路
早在2011年，原衛(wèi)生部就下發(fā)了《關(guān)于全面開展衛(wèi)生行業(yè)信息安全等級保護工作的通知》，要求三級甲等醫(yī)院的核心業(yè)務(wù)信息系統(tǒng)信息安全保護等級不低于第三級，同時要求各醫(yī)院于2015年12月30日前完成信息安全等級保護建設(shè)整改工作，并通過等級測評。
隨后從2017年開始，我國網(wǎng)絡(luò)安全建設(shè)步伐加速前進，尤其是2018年，醫(yī)院信息建設(shè)步伐加速，國務(wù)院辦公廳制定了《關(guān)于促進“互聯(lián)網(wǎng)+醫(yī)療健康”發(fā)展的意見》（國辦發(fā)〔2018〕26號），要求建成省、市、縣三級全民健康信息平臺，二級以上醫(yī)院全部接入信息平臺，支撐全民健康管理和決策，提供便民惠民的健康醫(yī)療服務(wù)。再到2020年，“互聯(lián)網(wǎng)+醫(yī)療服務(wù)”模式基本形成。
醫(yī)療行業(yè)信息系統(tǒng)現(xiàn)狀
|
醫(yī)院信息系統(tǒng) |
主要應(yīng)用 |
|
HIS系統(tǒng) |
醫(yī)療信息系統(tǒng)（流程） |
|
LIS系統(tǒng) |
臨床試驗系統(tǒng)（臨床、患者狀況、用藥、療程） |
|
PACS系統(tǒng) |
影像（B超、彩超、X光等） |
|
EMR系統(tǒng) |
電子病歷（接收并存放LIS的信息） |
醫(yī)療行業(yè)信息系統(tǒng)特點
● 高速的響應(yīng)速度和聯(lián)機事務(wù)處理能力
● 醫(yī)療信息數(shù)據(jù)的復(fù)雜性
● 信息的安全、保密度要求高
● 數(shù)據(jù)量大
● 穩(wěn)定性要求高
● 瞬時并發(fā)訪問量大
● 系統(tǒng)后期數(shù)據(jù)維護工作量大
業(yè)務(wù)中存在的威脅
● 傳統(tǒng)存儲無法支持高并發(fā)訪問
● 蠕蟲、病毒的入侵導(dǎo)致的系統(tǒng)故障等信息安全事件
● 人為誤操作導(dǎo)致的數(shù)據(jù)丟失事件
● 業(yè)務(wù)系統(tǒng)架構(gòu)存在單點故障點，存儲故障易導(dǎo)致業(yè)務(wù)中斷和數(shù)據(jù)丟失
● 傳統(tǒng)備份數(shù)據(jù)恢復(fù)事件長
從上述內(nèi)容我們總結(jié)一下對醫(yī)療行業(yè)信息系統(tǒng)等級保護的要求：
HIS、PACS等平臺屬于為國計民生提供服務(wù)的信息系統(tǒng)，其服務(wù)范圍為區(qū)域范圍內(nèi)的普通公民、醫(yī)院等。該業(yè)務(wù)系統(tǒng)遭到破壞后，所侵害的客體是公民、法人和其他組織的合法權(quán)益，同時也侵害社會秩序和公共利益。客觀方面的侵害結(jié)果表現(xiàn)為：1、影響正常工作的開展，導(dǎo)致業(yè)務(wù)能力下降；2、造成社會不良影響，為公眾服務(wù)的醫(yī)療衛(wèi)生機構(gòu)的業(yè)務(wù)受到影響。
根據(jù)《定級指南》的要求，出現(xiàn)上述兩個侵害客體時，優(yōu)先考慮社會秩序和公共利益，另外一個不做考慮。上述結(jié)果的程度表現(xiàn)為：對社會秩序和公共利益造成一般損害。
其中HIS、PACS等相關(guān)政策要求：
《電子病歷基本規(guī)范（試行）》第十六條第一項規(guī)定：
1、具備保障電子病歷數(shù)據(jù)安全的制度和措施，有數(shù)據(jù)備份機制，有條件的醫(yī)療機構(gòu)應(yīng)當(dāng)建立信息系統(tǒng)災(zāi)備體系。應(yīng)當(dāng)能夠落實系統(tǒng)出現(xiàn)故障時的應(yīng)急預(yù)案，確保電子病歷業(yè)務(wù)的連續(xù)性；
《電子病歷基本規(guī)范2017》第十九條規(guī)定：
2、門（急）診電子病歷由醫(yī)療機構(gòu)保管的，保存時間自患者最后一次就診之日起不少于15年；住院電子病歷保存時間自患者最后一次出院之日起不少于30年。
《醫(yī)學(xué)影像診斷中心管理規(guī)范（試行）》規(guī)定：
3、影像資料保存10年以上，至少3年在線，可供快速調(diào)閱、瀏覽和診斷使用。按照衛(wèi)生計生行政部門有關(guān)要求及時上傳影像資料數(shù)據(jù)信息。
另外我們要注意的是，在《衛(wèi)生行業(yè)信息安全等級保護工作的指導(dǎo)意見》通知中，明確提出衛(wèi)生行業(yè)信息安全等級保護工作的指導(dǎo)意見。以下重要衛(wèi)生信息系統(tǒng)安全保護等級原則上不低于第三級：
（1）衛(wèi)生統(tǒng)計網(wǎng)絡(luò)直報系統(tǒng)、傳染性疾病報告系統(tǒng)、衛(wèi)生監(jiān)督信息報告系統(tǒng)、突發(fā)公共衛(wèi)生事件應(yīng)急指揮信息系統(tǒng)等跨省全國聯(lián)網(wǎng)運行的信息系統(tǒng)；
（2）國家、省、地市三級衛(wèi)生信息平臺，新農(nóng)合、衛(wèi)生監(jiān)督、婦幼保健等國家級數(shù)據(jù)中心；
（3）三級甲等醫(yī)院的核心業(yè)務(wù)信息系統(tǒng)；
（4）衛(wèi)生部網(wǎng)站系統(tǒng)；
（5）其他經(jīng)過信息安全技術(shù)專家委員會評定為第三級以上（含第三級）的信息系統(tǒng)。
綜合概括起來就是要達(dá)到等級保護的要求，除了醫(yī)療行業(yè)信息系統(tǒng)的機房按照標(biāo)準(zhǔn)化建設(shè)外，還要再做好三方面的工作：
|
存儲 |
以解決15年以上的急診（門診）病歷和30年住院電子病歷為主。 |
|
災(zāi)備 |
以保護HIS、EMR、LIS、OA等數(shù)據(jù)為主。 |
|
防御 |
以加強網(wǎng)絡(luò)安全、日志審計、防御各種攻擊為主。 |
醫(yī)療行業(yè)信息系統(tǒng)的等級保護是關(guān)乎國計民生的重要工作，多方面因素導(dǎo)致了信息系統(tǒng)等級保護的工作思路也要與時俱進的變化，做好等級保護工作，通過等級保護測評，都是為了讓醫(yī)療行業(yè)的信息系統(tǒng)在網(wǎng)絡(luò)安全防護上更加牢固。
