引 言
在數(shù)字化時(shí)代，健康醫(yī)療數(shù)據(jù)的安全性和隱私保護(hù)已成為醫(yī)療行業(yè)的核心議題。隨著“互聯(lián)網(wǎng)+醫(yī)療健康”和智慧醫(yī)療的快速發(fā)展，新業(yè)務(wù)、新應(yīng)用層出不窮，健康醫(yī)療數(shù)據(jù)在全鏈路的各個(gè)階段都面臨著前所未有的安全挑戰(zhàn)，如數(shù)據(jù)采集階段可能存在數(shù)據(jù)泄露風(fēng)險(xiǎn)，存儲(chǔ)階段可能會(huì)被內(nèi)部的工作人員、第三方合作伙伴甚至黑客竊取敏感數(shù)據(jù)信息，數(shù)據(jù)共享階段可能由于范圍選擇不當(dāng)?shù)仍蛐孤睹舾行畔⒌纫幌盗邪踩魬?zhàn)，需要采取相應(yīng)的安全措施來(lái)應(yīng)對(duì)。個(gè)保法針對(duì)個(gè)人信息安全提出了明確的要求，國(guó)家標(biāo)準(zhǔn)GB/T 35273-2020《信息安全技術(shù) 個(gè)人信息安全規(guī)范》圍繞個(gè)人信息安全針對(duì)個(gè)人信息控制者提出了更為詳盡的要求。針對(duì)健康醫(yī)療行業(yè)特點(diǎn)，尤其是健康醫(yī)療信息的高敏感性、高價(jià)值性和生命相關(guān)性以及一些常見(jiàn)業(yè)務(wù)場(chǎng)景，GB/T 39725-2020《信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》（下文稱“指南”）給出了具體的安全指南，為醫(yī)療行業(yè)提供了數(shù)據(jù)保護(hù)的指導(dǎo)和參考。本文旨在探討醫(yī)療行業(yè)如何踐行這一指南，確保數(shù)據(jù)安全的同時(shí)促進(jìn)醫(yī)療服務(wù)的高質(zhì)量發(fā)展。
為確保健康醫(yī)療數(shù)據(jù)的安全性、保密性和可用性，規(guī)范和推動(dòng)健康醫(yī)療數(shù)據(jù)的融合共享、開放應(yīng)用，促進(jìn)健康醫(yī)療事業(yè)發(fā)展，同時(shí)保護(hù)個(gè)人信息安全和國(guó)家安全，《指南》在安全措施方面，明確了具體要求。
在數(shù)據(jù)安全領(lǐng)域，數(shù)據(jù)分類分級(jí)與安全措施的實(shí)施是確保數(shù)據(jù)安全的基礎(chǔ)。針對(duì)醫(yī)療行業(yè)的數(shù)據(jù)，根據(jù)數(shù)據(jù)的敏感性和個(gè)人信息安全風(fēng)險(xiǎn)，數(shù)據(jù)可分為五個(gè)級(jí)別，每個(gè)級(jí)別都有其特定的業(yè)務(wù)要求和適用場(chǎng)合。例如，第1級(jí)數(shù)據(jù)可以公開發(fā)布，而第5級(jí)數(shù)據(jù)則涉及特殊疾病診療所必須的敏感信息（如圖1所示）。安全措施包括去標(biāo)識(shí)化處理、身份鑒別、訪問(wèn)控制管理等，以確保數(shù)據(jù)的完整性和真實(shí)性。在數(shù)據(jù)流通使用場(chǎng)景中，不同角色如醫(yī)療機(jī)構(gòu)、科研機(jī)構(gòu)、醫(yī)保機(jī)構(gòu)等，根據(jù)其在數(shù)據(jù)生命周期中的角色和責(zé)任，需滿足不同的安全控制要求，這些要求涵蓋數(shù)據(jù)采集、傳輸、存儲(chǔ)和使用的各個(gè)環(huán)節(jié)，包括知情同意、加密、去標(biāo)識(shí)化、權(quán)限管理等。對(duì)于數(shù)據(jù)開放，無(wú)論是通過(guò)網(wǎng)站公開、文件共享、API接入、在線查詢還是數(shù)據(jù)分析平臺(tái)，都應(yīng)遵循“最少必要原則”，并確保數(shù)據(jù)開放的目的、內(nèi)容、使用方等經(jīng)過(guò)相應(yīng)的審批，以符合合法性、正當(dāng)性和必要性的要求。此外，還需盡可能地去標(biāo)識(shí)化，明確數(shù)據(jù)開發(fā)和使用目的、使用方需要承擔(dān)的安全責(zé)任，并簽署相應(yīng)的協(xié)議。對(duì)于涉及出境的數(shù)據(jù)，應(yīng)依規(guī)進(jìn)行安全評(píng)估，涉及重要數(shù)據(jù)的則需依規(guī)進(jìn)行評(píng)估審批。這些綜合措施共同構(gòu)建了一個(gè)多層次、全方位的數(shù)據(jù)保護(hù)體系，旨在保護(hù)個(gè)人信息安全，同時(shí)促進(jìn)醫(yī)療數(shù)據(jù)的合理利用。
圖1 從個(gè)人信息安全風(fēng)險(xiǎn)出發(fā)的數(shù)據(jù)分級(jí)與安全措施要點(diǎn)
醫(yī)療機(jī)構(gòu)需根據(jù)國(guó)家標(biāo)準(zhǔn)和業(yè)務(wù)需求，對(duì)數(shù)據(jù)進(jìn)行分類分級(jí)管理。這不僅涉及到對(duì)數(shù)據(jù)的敏感性評(píng)估，還包括對(duì)數(shù)據(jù)的存儲(chǔ)、處理和傳輸過(guò)程中的動(dòng)態(tài)分類分級(jí)。
1.全類型全格式數(shù)據(jù)分類分級(jí)模型
依據(jù)GB/T 39725-2020《信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》，數(shù)據(jù)分類分級(jí)模型需覆蓋全類型全格式數(shù)據(jù)，包括結(jié)構(gòu)化、非結(jié)構(gòu)化信息中的敏感數(shù)據(jù)識(shí)別。模型應(yīng)支持多維度數(shù)據(jù)分類，還應(yīng)根據(jù)數(shù)據(jù)的來(lái)源、類型、內(nèi)容和格式進(jìn)行細(xì)分。此外，模型應(yīng)遵循合法合規(guī)性原則、綜合性原則、規(guī)范性原則等，確保數(shù)據(jù)分類分級(jí)的準(zhǔn)確性和有效性。醫(yī)療機(jī)構(gòu)依據(jù)該指南，結(jié)合自身業(yè)務(wù)情況，可制定符合醫(yī)院的數(shù)據(jù)分類分級(jí)標(biāo)準(zhǔn)，確保數(shù)據(jù)識(shí)別模型的全面性和細(xì)致性。通過(guò)建立數(shù)據(jù)分類分級(jí)模型，醫(yī)療機(jī)構(gòu)能夠快速自動(dòng)地實(shí)現(xiàn)數(shù)據(jù)的分類分級(jí)工作，為確保不同級(jí)別的數(shù)據(jù)得到相應(yīng)級(jí)別的保護(hù)奠定基礎(chǔ)。
2.數(shù)據(jù)資產(chǎn)自動(dòng)發(fā)現(xiàn)
基于數(shù)據(jù)分類分級(jí)模型，對(duì)醫(yī)療機(jī)構(gòu)的所有數(shù)據(jù)資產(chǎn)進(jìn)行盤點(diǎn)和識(shí)別，避免遺漏或誤判。通過(guò)配置的醫(yī)療信息系統(tǒng)信息，進(jìn)行自動(dòng)化的數(shù)據(jù)資產(chǎn)掃描，獲取非結(jié)構(gòu)化文檔、數(shù)據(jù)庫(kù)、數(shù)據(jù)表、視圖、數(shù)據(jù)表字段等信息，并生成數(shù)據(jù)資產(chǎn)目錄。同時(shí)，配合人工審核和驗(yàn)證，與各業(yè)務(wù)科室、信息部門、技術(shù)部門溝通核驗(yàn)數(shù)據(jù)資源目錄的準(zhǔn)確性和完整性。借助自動(dòng)化的數(shù)據(jù)分類分級(jí)工具，利用智能化算法，如自然語(yǔ)言處理和機(jī)器學(xué)習(xí)，提高識(shí)別率和流程效率，幫助醫(yī)療機(jī)構(gòu)快速定位數(shù)據(jù)，清晰了解數(shù)據(jù)資產(chǎn)的類型、分布、權(quán)限和敏感數(shù)據(jù)的流轉(zhuǎn)使用情況，為數(shù)據(jù)安全防護(hù)策略的制定提供依據(jù)。
3.動(dòng)態(tài)分類分級(jí)
醫(yī)療行業(yè)的數(shù)據(jù)資產(chǎn)并非一直保持靜態(tài)存儲(chǔ)狀態(tài)，在整個(gè)采集、交換、使用等的過(guò)程中，需進(jìn)行動(dòng)態(tài)的數(shù)據(jù)分類分級(jí)。這包括對(duì)增量數(shù)據(jù)的持續(xù)性分類分級(jí)，持續(xù)梳理新產(chǎn)生變化的部分。同時(shí)，對(duì)于同樣一份數(shù)據(jù)在其流轉(zhuǎn)過(guò)程中，應(yīng)能識(shí)別加密壓縮、格式轉(zhuǎn)化、隱寫變形等操作下的數(shù)據(jù)內(nèi)容，以保證數(shù)據(jù)流轉(zhuǎn)的可控性。醫(yī)療機(jī)構(gòu)的分類分級(jí)需支持對(duì)各種格式壓縮包進(jìn)行多層嵌套識(shí)別，支持加密文件識(shí)別，支持不同編碼格式，支持基于文件指紋、文件DNA等文件生物特征檢測(cè)，以及隱寫數(shù)據(jù)、加密數(shù)據(jù)等包含敏感信息的不可解析數(shù)據(jù)識(shí)別標(biāo)注，這有助于實(shí)現(xiàn)敏感數(shù)據(jù)全鏈路智能聚合及溯源，確保數(shù)據(jù)安全和合規(guī)性。（二）基于數(shù)據(jù)分類分級(jí)的數(shù)據(jù)安全防護(hù)措施
醫(yī)療行業(yè)需基于分級(jí)分類加強(qiáng)數(shù)據(jù)安全防護(hù)。通過(guò)數(shù)據(jù)安全平臺(tái)，對(duì)醫(yī)療數(shù)據(jù)采取適宜的安全措施，涵蓋身份鑒別與訪問(wèn)控制、細(xì)粒度權(quán)限管理、個(gè)人信息去標(biāo)識(shí)化、數(shù)據(jù)加密、介質(zhì)管控、審批授權(quán)、審計(jì)追溯等技術(shù)手段，確保數(shù)據(jù)在產(chǎn)生、傳輸、存儲(chǔ)、使用、共享等全鏈路的安全。
1.身份鑒別與訪問(wèn)控制
在醫(yī)療行業(yè)中，身份鑒別與訪問(wèn)控制是確保數(shù)據(jù)安全的基礎(chǔ)。為有效的實(shí)施安全措施，可根據(jù)數(shù)據(jù)的分類分級(jí)來(lái)實(shí)施更精細(xì)的安全控制。對(duì)于分級(jí)級(jí)別高的數(shù)據(jù)，可采用多因素身份認(rèn)證和細(xì)粒度訪問(wèn)控制機(jī)制；對(duì)于一般級(jí)別的數(shù)據(jù)，可配置基本的身份認(rèn)證和訪問(wèn)控制機(jī)制。通過(guò)分類分級(jí)采取安全措施有助于優(yōu)化資源分配，提高業(yè)務(wù)效率的同時(shí)，滿足合規(guī)性要求。
2.細(xì)粒度權(quán)限管理
醫(yī)療信息系統(tǒng)的用戶權(quán)限管理是確保醫(yī)療機(jī)構(gòu)數(shù)據(jù)安全的重要組成部分。實(shí)施角色和權(quán)限分配時(shí)，可根據(jù)數(shù)據(jù)的分類分級(jí)，確保相應(yīng)角色的用戶訪問(wèn)其職責(zé)范圍內(nèi)的數(shù)據(jù)。權(quán)限管理通過(guò)將用戶分配到不同角色，并為每個(gè)角色配置相應(yīng)權(quán)限來(lái)限制用戶對(duì)數(shù)據(jù)的訪問(wèn)和操作范圍，確保數(shù)據(jù)安全和隱私保護(hù)。根據(jù)員工的職責(zé)和需求，將醫(yī)療信息系統(tǒng)的權(quán)限分配到如醫(yī)生、護(hù)士、行政人員等不同的角色，每個(gè)角色都有明確的權(quán)限集合。同時(shí)，權(quán)限分配遵循最小化權(quán)限原則，即用戶只獲得完成其工作所必須的最低權(quán)限，以減少潛在安全風(fēng)險(xiǎn)，通過(guò)合理的權(quán)限分配避免非授權(quán)用戶對(duì)系統(tǒng)進(jìn)行惡意操作，保護(hù)患者隱私和醫(yī)療機(jī)構(gòu)的安全。
3.個(gè)人信息去標(biāo)識(shí)化
醫(yī)療機(jī)構(gòu)的數(shù)據(jù)中含有大量的個(gè)人信息，包括患者的姓名、地址、電話號(hào)碼、病歷、藥物處方等敏感信息。這些信息一旦泄露或被盜用，可能會(huì)對(duì)患者造成嚴(yán)重的身體和心理傷害，同時(shí)也侵犯了患者的隱私權(quán)。保護(hù)這些個(gè)人信息不僅是醫(yī)療機(jī)構(gòu)的法律責(zé)任，也是維護(hù)患者信任和機(jī)構(gòu)聲譽(yù)的重要措施。去標(biāo)識(shí)化旨在依據(jù)個(gè)人信息能多大程度上標(biāo)識(shí)個(gè)人身份（即標(biāo)識(shí)度）進(jìn)行分級(jí)，用于評(píng)估去標(biāo)識(shí)化活動(dòng)的效果，以此形成的個(gè)人信息標(biāo)識(shí)度分級(jí)，需依據(jù)國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù) 個(gè)人信息去標(biāo)識(shí)化效果評(píng)估指南》（GB/T 42460-2023）進(jìn)行評(píng)估。去標(biāo)識(shí)化作為重要的個(gè)人信息保護(hù)技術(shù)，能夠降低數(shù)據(jù)與特定個(gè)人關(guān)聯(lián)的風(fēng)險(xiǎn)。醫(yī)療數(shù)據(jù)在使用中，可基于數(shù)據(jù)分類分級(jí)措施，明確數(shù)據(jù)的不同級(jí)別或類型，使用去標(biāo)識(shí)化技術(shù)，幫助醫(yī)療機(jī)構(gòu)在不泄露患者隱私的前提下，對(duì)數(shù)據(jù)進(jìn)行處理和分析。在臨床研究中，去標(biāo)識(shí)化可以用于保護(hù)患者數(shù)據(jù)，以便在不違反隱私法規(guī)的情況下，進(jìn)行研究和分析。在進(jìn)行流行病學(xué)研究或疾病模式分析時(shí)，可以在保護(hù)患者隱私的同時(shí)，對(duì)醫(yī)療數(shù)據(jù)進(jìn)行統(tǒng)計(jì)和分析。在醫(yī)療數(shù)據(jù)需要共享的情況下，如醫(yī)療合作研究，去標(biāo)識(shí)化可以降低數(shù)據(jù)泄露個(gè)人隱私的風(fēng)險(xiǎn)，使得數(shù)據(jù)可以在保護(hù)隱私的前提下共享和利用。
4.數(shù)據(jù)加密
數(shù)據(jù)加密是醫(yī)療信息系統(tǒng)中保護(hù)患者隱私和數(shù)據(jù)不被非法訪問(wèn)、泄露或篡改的主要技術(shù)之一。在數(shù)據(jù)傳輸過(guò)程中，可采用安全的通信協(xié)議或安全的通道對(duì)數(shù)據(jù)進(jìn)行加密傳輸，確保數(shù)據(jù)在傳輸過(guò)程中的安全性。同時(shí)，醫(yī)療機(jī)構(gòu)還可通過(guò)接口安全控制，確保通過(guò)接口傳輸時(shí)的安全性，防止數(shù)據(jù)被竊取。在數(shù)據(jù)存儲(chǔ)中，可通過(guò)數(shù)據(jù)庫(kù)加密技術(shù)、文檔加密技術(shù)，確保數(shù)據(jù)在存儲(chǔ)中的安全。為了更有效的實(shí)施數(shù)據(jù)加密，可以根據(jù)數(shù)據(jù)的敏感性和重要性進(jìn)行分類分級(jí)，對(duì)不同敏感程度、不同級(jí)別的數(shù)據(jù)采取適宜的安全措施。通過(guò)數(shù)據(jù)加密措施，醫(yī)療機(jī)構(gòu)能夠保障數(shù)據(jù)在傳輸、存儲(chǔ)過(guò)程中的安全。
5.介質(zhì)管控
介質(zhì)管控涉及對(duì)存儲(chǔ)介質(zhì)的嚴(yán)格管理，包括對(duì)數(shù)據(jù)存儲(chǔ)設(shè)備如硬盤、U盤、光盤等的授權(quán)管理、訪問(wèn)控制、數(shù)據(jù)保護(hù)、備份恢復(fù)以及銷毀安全。醫(yī)療機(jī)構(gòu)可以基于數(shù)據(jù)分類分級(jí)的管理要求，通過(guò)介質(zhì)管控的自動(dòng)化工具對(duì)介質(zhì)進(jìn)行登記、控制和定期審計(jì)，確保只有授權(quán)人員才能訪問(wèn)和使用這些介質(zhì)。在數(shù)據(jù)通過(guò)存儲(chǔ)介質(zhì)傳輸過(guò)程中，介質(zhì)管控可結(jié)合數(shù)據(jù)泄露防護(hù)技術(shù)，保障數(shù)據(jù)轉(zhuǎn)移到U盤、光盤等移動(dòng)存儲(chǔ)介質(zhì)中的安全，以防止數(shù)據(jù)被竊取。介質(zhì)管控還包含對(duì)數(shù)據(jù)的備份和恢復(fù)策略的管理，以防止數(shù)據(jù)丟失或損壞。通過(guò)以上措施，醫(yī)療機(jī)構(gòu)能夠確保醫(yī)療數(shù)據(jù)的安全性，防止未經(jīng)授權(quán)的訪問(wèn)和泄露，滿足合規(guī)性要求。
6.知所必須 最小授權(quán)
審批授權(quán)是醫(yī)療機(jī)構(gòu)確保數(shù)據(jù)安全的重要環(huán)節(jié)之一，醫(yī)療機(jī)構(gòu)在將數(shù)據(jù)用于不同的使用場(chǎng)景時(shí)，可基于數(shù)據(jù)分類分級(jí)進(jìn)行審批和授權(quán)。如不能標(biāo)識(shí)個(gè)人身份的數(shù)據(jù)，各科室醫(yī)生經(jīng)過(guò)申請(qǐng)審批可以用于研究分析；因?yàn)閷W(xué)術(shù)研討需要，需要向境外提供相應(yīng)數(shù)據(jù)的，在進(jìn)行必要的去標(biāo)識(shí)化處理后，需經(jīng)過(guò)討論審批同意后方可授權(quán)使用。嚴(yán)格執(zhí)行數(shù)據(jù)處理和使用的審批流程，明確各級(jí)權(quán)限，對(duì)不同角色設(shè)置不同的數(shù)據(jù)使用權(quán)限，按照“知所必須，最小授權(quán)”的原則進(jìn)行細(xì)粒度訪問(wèn)權(quán)限的授權(quán)，控制數(shù)據(jù)權(quán)限，如授權(quán)特定的人員可使用數(shù)據(jù)、授權(quán)特定的人員對(duì)數(shù)據(jù)具有只讀、可寫、是否可打印等權(quán)限，以防范數(shù)據(jù)丟失、泄露、未授權(quán)訪問(wèn)等安全風(fēng)險(xiǎn)。對(duì)于數(shù)據(jù)共享（含交換、導(dǎo)出、開放）環(huán)節(jié)的安全管控，防止不經(jīng)審批、不受控制的數(shù)據(jù)共享行為，確保只有授權(quán)人員才能訪問(wèn)已審批授權(quán)的敏感數(shù)據(jù)，從而減少數(shù)據(jù)泄露的風(fēng)險(xiǎn)。
7.審計(jì)追溯
審計(jì)追溯通過(guò)記錄和監(jiān)控用戶對(duì)醫(yī)療數(shù)據(jù)的訪問(wèn)、查詢、修改和導(dǎo)出等操作，有助于追溯數(shù)據(jù)的使用，或作為法律證據(jù)，保護(hù)患者隱私，防止不當(dāng)?shù)男畔⒃L問(wèn)和濫用。而醫(yī)療行業(yè)的審計(jì)追溯可與數(shù)據(jù)分類分級(jí)結(jié)果進(jìn)行關(guān)聯(lián)分析，如數(shù)據(jù)的重要性、敏感程度以及篡改、破壞、泄露或非法獲取、非法利用造成的危害程度等，追蹤和檢測(cè)數(shù)據(jù)使用操作行為是否符合合規(guī)性和內(nèi)部安全制度，及時(shí)發(fā)現(xiàn)潛在的數(shù)據(jù)安全風(fēng)險(xiǎn)和異常行為。通過(guò)審計(jì)日志，醫(yī)療機(jī)構(gòu)能夠監(jiān)測(cè)系統(tǒng)安全事件，及時(shí)發(fā)現(xiàn)并阻止不當(dāng)行為，為合規(guī)性審計(jì)和證據(jù)收集提供支持。綜上，審計(jì)追溯是確保醫(yī)療大數(shù)據(jù)安全性和合規(guī)性的關(guān)鍵措施，強(qiáng)化日志留存和管理，有助于確保數(shù)據(jù)的可追溯性，增強(qiáng)數(shù)據(jù)使用的透明度和責(zé)任追究能力。
《健康醫(yī)療數(shù)據(jù)安全指南》給出了健康醫(yī)療信息安全的措施建議，并提出了一些特定場(chǎng)景下的具體指導(dǎo)，可指導(dǎo)健康醫(yī)療信息控制者開展健康醫(yī)療數(shù)據(jù)安全工作。醫(yī)療機(jī)構(gòu)通過(guò)踐行該指南，不僅能夠保護(hù)患者隱私和數(shù)據(jù)安全，還能提升醫(yī)療服務(wù)的質(zhì)量，促進(jìn)醫(yī)療行業(yè)的健康發(fā)展。通過(guò)自動(dòng)化的數(shù)據(jù)安全平臺(tái)實(shí)施安全措施，有助于醫(yī)療行業(yè)構(gòu)建起一個(gè)全面的數(shù)據(jù)安全防護(hù)體系，保護(hù)醫(yī)療數(shù)據(jù)不被非法訪問(wèn)、泄露或?yàn)E用，提升醫(yī)療服務(wù)的安全性和合規(guī)性。
（本文作者：北京數(shù)安行科技有限公司 郭靈）
特別聲明：智慧醫(yī)療網(wǎng)轉(zhuǎn)載其他網(wǎng)站內(nèi)容，出于傳遞更多信息而非盈利之目的，同時(shí)并不代表贊成其觀點(diǎn)或證實(shí)其描述，內(nèi)容僅供參考。版權(quán)歸原作者所有，若有侵權(quán)，請(qǐng)聯(lián)系我們刪除。
凡來(lái)源注明智慧醫(yī)療網(wǎng)的內(nèi)容為智慧醫(yī)療網(wǎng)原創(chuàng)，轉(zhuǎn)載需獲授權(quán)。
