在數(shù)字化浪潮席卷的當下，醫(yī)療行業(yè)的信息化進程不斷加速。醫(yī)院信息系統(tǒng)中存儲著海量的患者診療數(shù)據(jù)、醫(yī)療科研數(shù)據(jù)等，這些數(shù)據(jù)宛如一座寶庫，為醫(yī)療服務(wù)質(zhì)量提升、醫(yī)學研究突破等提供著關(guān)鍵支撐。然而，數(shù)據(jù)安全與網(wǎng)絡(luò)安全的挑戰(zhàn)也如影隨形。正如開篇所言，醫(yī)院的信息安全建設(shè)絕非標準化產(chǎn)品和服務(wù)的簡單堆疊，而是要精準錨定安全與業(yè)務(wù)需求的契合點。今天，就讓我們一同深入探討醫(yī)療行業(yè)數(shù)據(jù)與網(wǎng)絡(luò)安全合規(guī)的重要性，并為大家呈上精心梳理的合規(guī)指引。
我將圍繞行業(yè)評價標準和管理規(guī)范、衛(wèi)生行業(yè)專項管理規(guī)范與行政法規(guī)、國家安全標準規(guī)范、地方標準、國家層面發(fā)布的法律法規(guī)、國際標準，結(jié)合政策、案例、技術(shù)方案，輸出39份文件的安全合規(guī)解讀。
9份數(shù)據(jù)安全、網(wǎng)絡(luò)安全相關(guān)文件 一、行業(yè)評價標準和管理規(guī)范 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《電子病歷系統(tǒng)功能應(yīng)用水平分級評價標準》 12 15 《國家醫(yī)療健康信息醫(yī)院信息互聯(lián)互通標準化成熟度測評方案》 8 10 《三級醫(yī)院評審標準》 6 7 《醫(yī)院智慧服務(wù)分級評估標準體系》 5 6 《國家三級公立醫(yī)院績效考核操作手冊》 4 5 《智慧醫(yī)院建設(shè)評價》 7 8 二、衛(wèi)生行業(yè)專項管理規(guī)范與行政法規(guī) 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《醫(yī)療衛(wèi)生機構(gòu)網(wǎng)絡(luò)安全管理辦法》 28 32 《國家健康醫(yī)療大數(shù)據(jù)標準、安全和服務(wù)管理辦法》 15 25 《醫(yī)療機構(gòu)患者信息安全管理規(guī)定》 12 18 《電子病歷應(yīng)用管理規(guī)范》 10 12 《互聯(lián)網(wǎng)診療管理辦法》 8 10 《醫(yī)療聯(lián)合體管理辦法》 6 8 三、國家安全標準規(guī)范 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《醫(yī)院信息化建設(shè)標準》 10 12 《信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》 18 25 《信息安全技術(shù) 個人信息安全規(guī)范》 12 15 《信息安全技術(shù) 數(shù)據(jù)出境安全評估指南》 8 12 《信息安全技術(shù) 數(shù)據(jù)分類分級指南》 6 10 《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)分類分級規(guī)則》 5 8 四、地方標準 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《上海市數(shù)據(jù)條例》 15 20 《上海市公共數(shù)據(jù)開放實施細則》 8 12 《北京市數(shù)據(jù)安全評估指南》 10 15 《上海市衛(wèi)生健康數(shù)據(jù)分類分級要求》 12 18 《上海市公共數(shù)據(jù)安全分級指南》 10 15 《上海市互聯(lián)網(wǎng)醫(yī)院管理辦法》 8 10 《浙江省醫(yī)共體信息化建設(shè)標準》 6 8 《廣東省緊密型醫(yī)聯(lián)體建設(shè)指南》 5 7 五、國家層面發(fā)布的法律法規(guī) 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《中華人民共和國網(wǎng)絡(luò)安全法》 30 25 《中華人民共和國數(shù)據(jù)安全法》 20 35 《中華人民共和國個人信息保護法》 15 25 《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》 25 30 《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》 20 15 《網(wǎng)絡(luò)安全審查辦法》 12 10 《公共安全視頻圖像信息系統(tǒng)管理條例》 8 6 《數(shù)據(jù)出境安全評估辦法》 10 15 六、國際標準 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) HL7（Health Level Seven） 5 8 DICOM 8 10 ISO/TS 22220:2011 6 8 HIMSS EMRAM評級 4 5 JCI認證 3 4 每份文件中數(shù)據(jù)與網(wǎng)絡(luò)核心的內(nèi)容 01 行業(yè)評價標準和管理規(guī)范 《電子病歷系統(tǒng)功能應(yīng)用水平分級評價標準》著重規(guī)定，電子病歷系統(tǒng)應(yīng)配備訪問控制、數(shù)據(jù)加密以及日志審計等安全功能。尤其是處于高級別階段時，必須契合等保相關(guān)要求。 《國家醫(yī)療健康信息醫(yī)院信息互聯(lián)互通標準化成熟度測評方案》著重突出數(shù)據(jù)交換環(huán)節(jié)的安全性，明確需要達到等保標準，以此保障接口的安全可靠，同時切實做好患者隱私的保護工作。 《三級醫(yī)院評審標準》已將網(wǎng)絡(luò)安全納入評審的關(guān)鍵指標范疇，規(guī)定醫(yī)院必須通過等保測評，并且要構(gòu)建起完善的數(shù)據(jù)安全管理體系。 《醫(yī)院智慧服務(wù)分級評估標準體系》與患者隱私保護緊密相關(guān)，要求智慧服務(wù)系統(tǒng)擁有數(shù)據(jù)脫敏、訪問控制等實用功能。 《國家三級公立醫(yī)院績效考核操作手冊》聚焦于數(shù)據(jù)上報過程中的安全問題，明確提出要全力保護患者隱私，杜絕數(shù)據(jù)泄露情況的發(fā)生。 《智慧醫(yī)院建設(shè)評價》全面覆蓋數(shù)據(jù)安全治理層面，規(guī)定醫(yī)院需建立起數(shù)據(jù)分類分級機制，以及完善的訪問控制、日志審計機制 。 02 衛(wèi)生行業(yè)專項管理規(guī)范與行政法規(guī) 《醫(yī)療衛(wèi)生機構(gòu)網(wǎng)絡(luò)安全管理辦法》清晰界定了醫(yī)療機構(gòu)在網(wǎng)絡(luò)安全方面所承擔的責任，明確要求切實落實等級保護制度，并構(gòu)建起應(yīng)急響應(yīng)機制。 《國家健康醫(yī)療大數(shù)據(jù)標準、安全和服務(wù)管理辦法》對醫(yī)療大數(shù)據(jù)的分類分級作出規(guī)定，強調(diào)要采用去標識化的方式進行存儲，同時對數(shù)據(jù)共享實施嚴格管理。 《醫(yī)療機構(gòu)患者信息安全管理規(guī)定》對患者數(shù)據(jù)在整個生命周期中的保護舉措予以細化，其中涵蓋訪問控制手段、加密存儲方式以及防數(shù)據(jù)泄露的相關(guān)措施。 《電子病歷應(yīng)用管理規(guī)范》規(guī)定電子病歷系統(tǒng)需做好權(quán)限管理工作，確保操作過程有記錄留存，具備防篡改功能，以此保障數(shù)據(jù)的完整性。 《互聯(lián)網(wǎng)診療管理辦法》明確指出，在線診療數(shù)據(jù)應(yīng)進行加密存儲，要獲取患者的知情同意，嚴禁超出規(guī)定范圍使用數(shù)據(jù)。 《醫(yī)療聯(lián)合體管理辦法》關(guān)注跨機構(gòu)數(shù)據(jù)共享時的安全問題，要求建立起安全的數(shù)據(jù)傳輸機制以及訪問控制機制 。 03 國家安全標準規(guī)范 《醫(yī)院信息化建設(shè)標準》對網(wǎng)絡(luò)安全架構(gòu)有著明確要求，涵蓋防火墻設(shè)置、入侵檢測系統(tǒng)搭建以及數(shù)據(jù)備份機制構(gòu)建等方面。 《信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》主要用于指導醫(yī)療數(shù)據(jù)的分類分級工作，同時對去標識化操作、訪問控制手段以及安全存儲方式作出了相關(guān)規(guī)定。 《信息安全技術(shù) 個人信息安全規(guī)范》清晰界定了個人健康信息的處理原則，包括遵循最小必要原則、獲取知情同意以及實施數(shù)據(jù)脫敏處理等。 《信息安全技術(shù) 數(shù)據(jù)出境安全評估指南》明確指出，醫(yī)療數(shù)據(jù)出境必須進行安全評估，嚴禁敏感數(shù)據(jù)在未經(jīng)批準的情況下進行跨境傳輸。 《信息安全技術(shù) 數(shù)據(jù)分類分級指南》為醫(yī)療數(shù)據(jù)分級提供了依據(jù)，將醫(yī)療數(shù)據(jù)劃分為核心數(shù)據(jù)、重要數(shù)據(jù)以及一般數(shù)據(jù)等類別。 《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)分類分級規(guī)則》進一步細化了醫(yī)療數(shù)據(jù)的分級標準，針對不同級別的數(shù)據(jù)明確了相應(yīng)的保護要求。 04 地方標準 《上海市數(shù)據(jù)條例》著重強調(diào)對醫(yī)療公共數(shù)據(jù)要予以嚴格保護。在數(shù)據(jù)共享方面，必須施行匿名化處理；而涉及跨境傳輸時，則需經(jīng)過審批流程。 《上海市公共數(shù)據(jù)開放實施細則》明確規(guī)定，當醫(yī)療數(shù)據(jù)進行開放時，務(wù)必進行脫敏操作，以此切實保證個人隱私不被泄露。 《北京市數(shù)據(jù)安全評估指南》要求醫(yī)療機構(gòu)需定期開展數(shù)據(jù)安全風險評估工作，旨在有效防范數(shù)據(jù)泄露情況的發(fā)生。 《上海市衛(wèi)生健康數(shù)據(jù)分類分級要求》對醫(yī)療數(shù)據(jù)的分級進行了細致劃分，比如設(shè)置了敏感級、隱私級等類別，并明確了相應(yīng)的保護措施。 《上海市公共數(shù)據(jù)安全分級指南》對醫(yī)療公共數(shù)據(jù)的安全級別作出規(guī)定，舉例而言，將遺傳信息列為最高保護級別。 《上海市互聯(lián)網(wǎng)醫(yī)院管理辦法》規(guī)定數(shù)據(jù)應(yīng)實行本地化存儲，診療記錄在傳輸過程中要進行加密處理，同時要做好患者授權(quán)管理工作。 《浙江省醫(yī)共體信息化建設(shè)標準》著重突出醫(yī)共體內(nèi)數(shù)據(jù)共享的安全性，需要實施權(quán)限管控以及日志審計措施。 《廣東省緊密型醫(yī)聯(lián)體建設(shè)指南》關(guān)注跨機構(gòu)數(shù)據(jù)互通時的安全問題，要求建立統(tǒng)一的身份認證體系，并對數(shù)據(jù)進行加密處理。 05 國家法律法規(guī) 《網(wǎng)絡(luò)安全法》針對醫(yī)療機構(gòu)中的網(wǎng)絡(luò)運營者，詳盡闡釋了其所應(yīng)履行的技術(shù)層面與管理層面的義務(wù)。 《數(shù)據(jù)安全法》將醫(yī)療數(shù)據(jù)劃定為重要數(shù)據(jù)范疇，強調(diào)需對其開展分類分級保護工作，并且對醫(yī)療數(shù)據(jù)的跨境傳輸予以限制。 《個人信息保護法》規(guī)定，在處理患者信息時，必須獲取患者的單獨同意，嚴禁超出必要范圍收集信息，同時對違規(guī)行為制定了嚴格的處罰措施。 《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》對醫(yī)療數(shù)據(jù)安全要求進行了細化，涵蓋數(shù)據(jù)加密、訪問控制以及數(shù)據(jù)泄露應(yīng)急處理等方面。 《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》把大型醫(yī)院納入關(guān)鍵信息基礎(chǔ)設(shè)施保護范圍，要求其定期開展安全檢測工作，并組織應(yīng)急演練。 《網(wǎng)絡(luò)安全審查辦法》明確指出，當涉及醫(yī)療數(shù)據(jù)出境，或者醫(yī)療機構(gòu)采購國外IT系統(tǒng)時，必須進行安全審查。 《公共安全視頻圖像信息系統(tǒng)管理條例》規(guī)定，醫(yī)院監(jiān)控數(shù)據(jù)的存儲與調(diào)閱均需經(jīng)過授權(quán)，以此防止數(shù)據(jù)被濫用。 《數(shù)據(jù)出境安全評估辦法》規(guī)定，醫(yī)療數(shù)據(jù)出境必須經(jīng)過政府審批，嚴格禁止核心醫(yī)療數(shù)據(jù)未經(jīng)許可跨境傳輸。 05 國際標準 HL7（Health Level Seven）標準在醫(yī)療數(shù)據(jù)交互領(lǐng)域發(fā)揮著關(guān)鍵作用。依據(jù)該標準，醫(yī)療數(shù)據(jù)交換過程中必須采取加密手段，同時實施嚴格的權(quán)限控制，以確保完全符合諸如 GDPR 這類國際隱私標準的要求。 DICOM（醫(yī)學影像通信標準）則著重關(guān)注影像數(shù)據(jù)的流轉(zhuǎn)安全。按照規(guī)定，影像數(shù)據(jù)在存儲與傳輸環(huán)節(jié)都必須進行加密處理，而且在訪問時需要通過身份認證機制，以此保障數(shù)據(jù)的安全性與保密性。 ISO/TS 22220:2011 標準將重點放在患者身份標識管理方面，通過明確的規(guī)范，致力于確保患者隱私得到妥善保護。 在 HIMSS EMRAM 評級體系中，對于高級別的電子病歷系統(tǒng)有著嚴格要求。這類系統(tǒng)不僅要實現(xiàn)數(shù)據(jù)加密功能，還需具備審計跟蹤能力，并且能夠達成災(zāi)備恢復目標，以保障數(shù)據(jù)的完整性與可用性。 JCI 認證同樣對醫(yī)院提出了明確要求，醫(yī)院必須全力保護患者數(shù)據(jù)安全，采取有效措施防止出現(xiàn)未授權(quán)訪問患者數(shù)據(jù)的情況。 砥礪前行，展望未來 為了更好地助力醫(yī)療行業(yè)同仁理解和落實數(shù)據(jù)與網(wǎng)絡(luò)安全合規(guī)要求，我們圍繞行業(yè)評價標準和管理規(guī)范、衛(wèi)生行業(yè)專項管理規(guī)范與行政法規(guī)、國家安全標準規(guī)范、地方標準、國家層面發(fā)布的法律法規(guī)、國際標準的39份文件中數(shù)據(jù)與網(wǎng)絡(luò)核心內(nèi)容進行了初步提煉。 未來我們也將不斷完善這份合規(guī)指引，為醫(yī)療行業(yè)的數(shù)據(jù)與網(wǎng)絡(luò)安全保駕護航。因為只有筑牢安全防線，醫(yī)療行業(yè)的信息化建設(shè)才能行穩(wěn)致遠，更好地為患者服務(wù)，推動醫(yī)療事業(yè)的蓬勃發(fā)展。讓我們以合規(guī)為筆，以安全為墨，共同描繪醫(yī)療行業(yè)信息化建設(shè)的美好藍圖。 特別聲明：智慧醫(yī)療網(wǎng)轉(zhuǎn)載其他網(wǎng)站內(nèi)容，出于傳遞更多信息而非盈利之目的，同時并不代表贊成其觀點或證實其描述，內(nèi)容僅供參考。版權(quán)歸原作者所有，若有侵權(quán)，請聯(lián)系我們刪除。
智慧醫(yī)療網(wǎng) ? 2022 版權(quán)所有 ICP備案號：滬ICP備17004559號-5
