在數(shù)字化浪潮席卷的當(dāng)下，醫(yī)療行業(yè)的信息化進(jìn)程不斷加速。醫(yī)院信息系統(tǒng)中存儲著海量的患者診療數(shù)據(jù)、醫(yī)療科研數(shù)據(jù)等，這些數(shù)據(jù)宛如一座寶庫，為醫(yī)療服務(wù)質(zhì)量提升、醫(yī)學(xué)研究突破等提供著關(guān)鍵支撐。然而，數(shù)據(jù)安全與網(wǎng)絡(luò)安全的挑戰(zhàn)也如影隨形。正如開篇所言，醫(yī)院的信息安全建設(shè)絕非標(biāo)準(zhǔn)化產(chǎn)品和服務(wù)的簡單堆疊，而是要精準(zhǔn)錨定安全與業(yè)務(wù)需求的契合點(diǎn)。今天，就讓我們一同深入探討醫(yī)療行業(yè)數(shù)據(jù)與網(wǎng)絡(luò)安全合規(guī)的重要性，并為大家呈上精心梳理的合規(guī)指引。
我將圍繞行業(yè)評價(jià)標(biāo)準(zhǔn)和管理規(guī)范、衛(wèi)生行業(yè)專項(xiàng)管理規(guī)范與行政法規(guī)、國家安全標(biāo)準(zhǔn)規(guī)范、地方標(biāo)準(zhǔn)、國家層面發(fā)布的法律法規(guī)、國際標(biāo)準(zhǔn)，結(jié)合政策、案例、技術(shù)方案，輸出39份文件的安全合規(guī)解讀。
9份數(shù)據(jù)安全、網(wǎng)絡(luò)安全相關(guān)文件 一、行業(yè)評價(jià)標(biāo)準(zhǔn)和管理規(guī)范 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《電子病歷系統(tǒng)功能應(yīng)用水平分級評價(jià)標(biāo)準(zhǔn)》 12 15 《國家醫(yī)療健康信息醫(yī)院信息互聯(lián)互通標(biāo)準(zhǔn)化成熟度測評方案》 8 10 《三級醫(yī)院評審標(biāo)準(zhǔn)》 6 7 《醫(yī)院智慧服務(wù)分級評估標(biāo)準(zhǔn)體系》 5 6 《國家三級公立醫(yī)院績效考核操作手冊》 4 5 《智慧醫(yī)院建設(shè)評價(jià)》 7 8 二、衛(wèi)生行業(yè)專項(xiàng)管理規(guī)范與行政法規(guī) 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《醫(yī)療衛(wèi)生機(jī)構(gòu)網(wǎng)絡(luò)安全管理辦法》 28 32 《國家健康醫(yī)療大數(shù)據(jù)標(biāo)準(zhǔn)、安全和服務(wù)管理辦法》 15 25 《醫(yī)療機(jī)構(gòu)患者信息安全管理規(guī)定》 12 18 《電子病歷應(yīng)用管理規(guī)范》 10 12 《互聯(lián)網(wǎng)診療管理辦法》 8 10 《醫(yī)療聯(lián)合體管理辦法》 6 8 三、國家安全標(biāo)準(zhǔn)規(guī)范 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《醫(yī)院信息化建設(shè)標(biāo)準(zhǔn)》 10 12 《信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》 18 25 《信息安全技術(shù) 個人信息安全規(guī)范》 12 15 《信息安全技術(shù) 數(shù)據(jù)出境安全評估指南》 8 12 《信息安全技術(shù) 數(shù)據(jù)分類分級指南》 6 10 《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)分類分級規(guī)則》 5 8 四、地方標(biāo)準(zhǔn) 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《上海市數(shù)據(jù)條例》 15 20 《上海市公共數(shù)據(jù)開放實(shí)施細(xì)則》 8 12 《北京市數(shù)據(jù)安全評估指南》 10 15 《上海市衛(wèi)生健康數(shù)據(jù)分類分級要求》 12 18 《上海市公共數(shù)據(jù)安全分級指南》 10 15 《上海市互聯(lián)網(wǎng)醫(yī)院管理辦法》 8 10 《浙江省醫(yī)共體信息化建設(shè)標(biāo)準(zhǔn)》 6 8 《廣東省緊密型醫(yī)聯(lián)體建設(shè)指南》 5 7 五、國家層面發(fā)布的法律法規(guī) 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) 《中華人民共和國網(wǎng)絡(luò)安全法》 30 25 《中華人民共和國數(shù)據(jù)安全法》 20 35 《中華人民共和國個人信息保護(hù)法》 15 25 《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》 25 30 《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》 20 15 《網(wǎng)絡(luò)安全審查辦法》 12 10 《公共安全視頻圖像信息系統(tǒng)管理?xiàng)l例》 8 6 《數(shù)據(jù)出境安全評估辦法》 10 15 六、國際標(biāo)準(zhǔn) 文件名稱 網(wǎng)絡(luò)安全相關(guān)條數(shù) 數(shù)據(jù)安全相關(guān)條數(shù) HL7（Health Level Seven） 5 8 DICOM 8 10 ISO/TS 22220:2011 6 8 HIMSS EMRAM評級 4 5 JCI認(rèn)證 3 4 每份文件中數(shù)據(jù)與網(wǎng)絡(luò)核心的內(nèi)容 01 行業(yè)評價(jià)標(biāo)準(zhǔn)和管理規(guī)范 《電子病歷系統(tǒng)功能應(yīng)用水平分級評價(jià)標(biāo)準(zhǔn)》著重規(guī)定，電子病歷系統(tǒng)應(yīng)配備訪問控制、數(shù)據(jù)加密以及日志審計(jì)等安全功能。尤其是處于高級別階段時(shí)，必須契合等保相關(guān)要求。 《國家醫(yī)療健康信息醫(yī)院信息互聯(lián)互通標(biāo)準(zhǔn)化成熟度測評方案》著重突出數(shù)據(jù)交換環(huán)節(jié)的安全性，明確需要達(dá)到等保標(biāo)準(zhǔn)，以此保障接口的安全可靠，同時(shí)切實(shí)做好患者隱私的保護(hù)工作。 《三級醫(yī)院評審標(biāo)準(zhǔn)》已將網(wǎng)絡(luò)安全納入評審的關(guān)鍵指標(biāo)范疇，規(guī)定醫(yī)院必須通過等保測評，并且要構(gòu)建起完善的數(shù)據(jù)安全管理體系。 《醫(yī)院智慧服務(wù)分級評估標(biāo)準(zhǔn)體系》與患者隱私保護(hù)緊密相關(guān)，要求智慧服務(wù)系統(tǒng)擁有數(shù)據(jù)脫敏、訪問控制等實(shí)用功能。 《國家三級公立醫(yī)院績效考核操作手冊》聚焦于數(shù)據(jù)上報(bào)過程中的安全問題，明確提出要全力保護(hù)患者隱私，杜絕數(shù)據(jù)泄露情況的發(fā)生。 《智慧醫(yī)院建設(shè)評價(jià)》全面覆蓋數(shù)據(jù)安全治理層面，規(guī)定醫(yī)院需建立起數(shù)據(jù)分類分級機(jī)制，以及完善的訪問控制、日志審計(jì)機(jī)制 。 02 衛(wèi)生行業(yè)專項(xiàng)管理規(guī)范與行政法規(guī) 《醫(yī)療衛(wèi)生機(jī)構(gòu)網(wǎng)絡(luò)安全管理辦法》清晰界定了醫(yī)療機(jī)構(gòu)在網(wǎng)絡(luò)安全方面所承擔(dān)的責(zé)任，明確要求切實(shí)落實(shí)等級保護(hù)制度，并構(gòu)建起應(yīng)急響應(yīng)機(jī)制。 《國家健康醫(yī)療大數(shù)據(jù)標(biāo)準(zhǔn)、安全和服務(wù)管理辦法》對醫(yī)療大數(shù)據(jù)的分類分級作出規(guī)定，強(qiáng)調(diào)要采用去標(biāo)識化的方式進(jìn)行存儲，同時(shí)對數(shù)據(jù)共享實(shí)施嚴(yán)格管理。 《醫(yī)療機(jī)構(gòu)患者信息安全管理規(guī)定》對患者數(shù)據(jù)在整個生命周期中的保護(hù)舉措予以細(xì)化，其中涵蓋訪問控制手段、加密存儲方式以及防數(shù)據(jù)泄露的相關(guān)措施。 《電子病歷應(yīng)用管理規(guī)范》規(guī)定電子病歷系統(tǒng)需做好權(quán)限管理工作，確保操作過程有記錄留存，具備防篡改功能，以此保障數(shù)據(jù)的完整性。 《互聯(lián)網(wǎng)診療管理辦法》明確指出，在線診療數(shù)據(jù)應(yīng)進(jìn)行加密存儲，要獲取患者的知情同意，嚴(yán)禁超出規(guī)定范圍使用數(shù)據(jù)。 《醫(yī)療聯(lián)合體管理辦法》關(guān)注跨機(jī)構(gòu)數(shù)據(jù)共享時(shí)的安全問題，要求建立起安全的數(shù)據(jù)傳輸機(jī)制以及訪問控制機(jī)制 。 03 國家安全標(biāo)準(zhǔn)規(guī)范 《醫(yī)院信息化建設(shè)標(biāo)準(zhǔn)》對網(wǎng)絡(luò)安全架構(gòu)有著明確要求，涵蓋防火墻設(shè)置、入侵檢測系統(tǒng)搭建以及數(shù)據(jù)備份機(jī)制構(gòu)建等方面。 《信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》主要用于指導(dǎo)醫(yī)療數(shù)據(jù)的分類分級工作，同時(shí)對去標(biāo)識化操作、訪問控制手段以及安全存儲方式作出了相關(guān)規(guī)定。 《信息安全技術(shù) 個人信息安全規(guī)范》清晰界定了個人健康信息的處理原則，包括遵循最小必要原則、獲取知情同意以及實(shí)施數(shù)據(jù)脫敏處理等。 《信息安全技術(shù) 數(shù)據(jù)出境安全評估指南》明確指出，醫(yī)療數(shù)據(jù)出境必須進(jìn)行安全評估，嚴(yán)禁敏感數(shù)據(jù)在未經(jīng)批準(zhǔn)的情況下進(jìn)行跨境傳輸。 《信息安全技術(shù) 數(shù)據(jù)分類分級指南》為醫(yī)療數(shù)據(jù)分級提供了依據(jù)，將醫(yī)療數(shù)據(jù)劃分為核心數(shù)據(jù)、重要數(shù)據(jù)以及一般數(shù)據(jù)等類別。 《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)分類分級規(guī)則》進(jìn)一步細(xì)化了醫(yī)療數(shù)據(jù)的分級標(biāo)準(zhǔn)，針對不同級別的數(shù)據(jù)明確了相應(yīng)的保護(hù)要求。 04 地方標(biāo)準(zhǔn) 《上海市數(shù)據(jù)條例》著重強(qiáng)調(diào)對醫(yī)療公共數(shù)據(jù)要予以嚴(yán)格保護(hù)。在數(shù)據(jù)共享方面，必須施行匿名化處理；而涉及跨境傳輸時(shí)，則需經(jīng)過審批流程。 《上海市公共數(shù)據(jù)開放實(shí)施細(xì)則》明確規(guī)定，當(dāng)醫(yī)療數(shù)據(jù)進(jìn)行開放時(shí)，務(wù)必進(jìn)行脫敏操作，以此切實(shí)保證個人隱私不被泄露。 《北京市數(shù)據(jù)安全評估指南》要求醫(yī)療機(jī)構(gòu)需定期開展數(shù)據(jù)安全風(fēng)險(xiǎn)評估工作，旨在有效防范數(shù)據(jù)泄露情況的發(fā)生。 《上海市衛(wèi)生健康數(shù)據(jù)分類分級要求》對醫(yī)療數(shù)據(jù)的分級進(jìn)行了細(xì)致劃分，比如設(shè)置了敏感級、隱私級等類別，并明確了相應(yīng)的保護(hù)措施。 《上海市公共數(shù)據(jù)安全分級指南》對醫(yī)療公共數(shù)據(jù)的安全級別作出規(guī)定，舉例而言，將遺傳信息列為最高保護(hù)級別。 《上海市互聯(lián)網(wǎng)醫(yī)院管理辦法》規(guī)定數(shù)據(jù)應(yīng)實(shí)行本地化存儲，診療記錄在傳輸過程中要進(jìn)行加密處理，同時(shí)要做好患者授權(quán)管理工作。 《浙江省醫(yī)共體信息化建設(shè)標(biāo)準(zhǔn)》著重突出醫(yī)共體內(nèi)數(shù)據(jù)共享的安全性，需要實(shí)施權(quán)限管控以及日志審計(jì)措施。 《廣東省緊密型醫(yī)聯(lián)體建設(shè)指南》關(guān)注跨機(jī)構(gòu)數(shù)據(jù)互通時(shí)的安全問題，要求建立統(tǒng)一的身份認(rèn)證體系，并對數(shù)據(jù)進(jìn)行加密處理。 05 國家法律法規(guī) 《網(wǎng)絡(luò)安全法》針對醫(yī)療機(jī)構(gòu)中的網(wǎng)絡(luò)運(yùn)營者，詳盡闡釋了其所應(yīng)履行的技術(shù)層面與管理層面的義務(wù)。 《數(shù)據(jù)安全法》將醫(yī)療數(shù)據(jù)劃定為重要數(shù)據(jù)范疇，強(qiáng)調(diào)需對其開展分類分級保護(hù)工作，并且對醫(yī)療數(shù)據(jù)的跨境傳輸予以限制。 《個人信息保護(hù)法》規(guī)定，在處理患者信息時(shí)，必須獲取患者的單獨(dú)同意，嚴(yán)禁超出必要范圍收集信息，同時(shí)對違規(guī)行為制定了嚴(yán)格的處罰措施。 《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》對醫(yī)療數(shù)據(jù)安全要求進(jìn)行了細(xì)化，涵蓋數(shù)據(jù)加密、訪問控制以及數(shù)據(jù)泄露應(yīng)急處理等方面。 《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》把大型醫(yī)院納入關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)范圍，要求其定期開展安全檢測工作，并組織應(yīng)急演練。 《網(wǎng)絡(luò)安全審查辦法》明確指出，當(dāng)涉及醫(yī)療數(shù)據(jù)出境，或者醫(yī)療機(jī)構(gòu)采購國外IT系統(tǒng)時(shí)，必須進(jìn)行安全審查。 《公共安全視頻圖像信息系統(tǒng)管理?xiàng)l例》規(guī)定，醫(yī)院監(jiān)控?cái)?shù)據(jù)的存儲與調(diào)閱均需經(jīng)過授權(quán)，以此防止數(shù)據(jù)被濫用。 《數(shù)據(jù)出境安全評估辦法》規(guī)定，醫(yī)療數(shù)據(jù)出境必須經(jīng)過政府審批，嚴(yán)格禁止核心醫(yī)療數(shù)據(jù)未經(jīng)許可跨境傳輸。 05 國際標(biāo)準(zhǔn) HL7（Health Level Seven）標(biāo)準(zhǔn)在醫(yī)療數(shù)據(jù)交互領(lǐng)域發(fā)揮著關(guān)鍵作用。依據(jù)該標(biāo)準(zhǔn)，醫(yī)療數(shù)據(jù)交換過程中必須采取加密手段，同時(shí)實(shí)施嚴(yán)格的權(quán)限控制，以確保完全符合諸如 GDPR 這類國際隱私標(biāo)準(zhǔn)的要求。 DICOM（醫(yī)學(xué)影像通信標(biāo)準(zhǔn)）則著重關(guān)注影像數(shù)據(jù)的流轉(zhuǎn)安全。按照規(guī)定，影像數(shù)據(jù)在存儲與傳輸環(huán)節(jié)都必須進(jìn)行加密處理，而且在訪問時(shí)需要通過身份認(rèn)證機(jī)制，以此保障數(shù)據(jù)的安全性與保密性。 ISO/TS 22220:2011 標(biāo)準(zhǔn)將重點(diǎn)放在患者身份標(biāo)識管理方面，通過明確的規(guī)范，致力于確保患者隱私得到妥善保護(hù)。 在 HIMSS EMRAM 評級體系中，對于高級別的電子病歷系統(tǒng)有著嚴(yán)格要求。這類系統(tǒng)不僅要實(shí)現(xiàn)數(shù)據(jù)加密功能，還需具備審計(jì)跟蹤能力，并且能夠達(dá)成災(zāi)備恢復(fù)目標(biāo)，以保障數(shù)據(jù)的完整性與可用性。 JCI 認(rèn)證同樣對醫(yī)院提出了明確要求，醫(yī)院必須全力保護(hù)患者數(shù)據(jù)安全，采取有效措施防止出現(xiàn)未授權(quán)訪問患者數(shù)據(jù)的情況。 砥礪前行，展望未來 為了更好地助力醫(yī)療行業(yè)同仁理解和落實(shí)數(shù)據(jù)與網(wǎng)絡(luò)安全合規(guī)要求，我們圍繞行業(yè)評價(jià)標(biāo)準(zhǔn)和管理規(guī)范、衛(wèi)生行業(yè)專項(xiàng)管理規(guī)范與行政法規(guī)、國家安全標(biāo)準(zhǔn)規(guī)范、地方標(biāo)準(zhǔn)、國家層面發(fā)布的法律法規(guī)、國際標(biāo)準(zhǔn)的39份文件中數(shù)據(jù)與網(wǎng)絡(luò)核心內(nèi)容進(jìn)行了初步提煉。 未來我們也將不斷完善這份合規(guī)指引，為醫(yī)療行業(yè)的數(shù)據(jù)與網(wǎng)絡(luò)安全保駕護(hù)航。因?yàn)橹挥兄伟踩谰€，醫(yī)療行業(yè)的信息化建設(shè)才能行穩(wěn)致遠(yuǎn)，更好地為患者服務(wù)，推動醫(yī)療事業(yè)的蓬勃發(fā)展。讓我們以合規(guī)為筆，以安全為墨，共同描繪醫(yī)療行業(yè)信息化建設(shè)的美好藍(lán)圖。 特別聲明：智慧醫(yī)療網(wǎng)轉(zhuǎn)載其他網(wǎng)站內(nèi)容，出于傳遞更多信息而非盈利之目的，同時(shí)并不代表贊成其觀點(diǎn)或證實(shí)其描述，內(nèi)容僅供參考。版權(quán)歸原作者所有，若有侵權(quán)，請聯(lián)系我們刪除。
智慧醫(yī)療網(wǎng) ? 2022 版權(quán)所有 ICP備案號：滬ICP備17004559號-5
