浙江:構建醫療衛生領域信息安全綜合防護體系

醫療衛生事業是國民健康的基本保障。目前我國正在步 入老齡化社會，看病難、醫療救助條件差等一系列問題迫切需要改善。全球各地都在改變醫療服務的提供方式，而在這一改變的進程中，信息技術扮演了越來越重要的角色，利用信息技術提高醫療救治水平、醫院服務能力及管理水平已成趨勢。我國的醫療衛生行業信息化正加快推進，并成為醫療衛生事業改革的主要發展方向。2009年3月，國家“新醫改”正式出臺，醫改政策中明確提出：“建立實用共享的醫藥衛生信息系統，大力推進醫藥衛生信息化建設。”醫療衛生信息化也成為“十二五”期間醫療衛生事業發展的重點任務，而網絡化、區域化、協同化的信息化發展趨勢對醫療衛生信息安全帶來了新的考驗，以確保信息系統穩定和加強信息數據保護為重點的醫療衛生信息安全體系建設成為醫療衛生改革成敗的關鍵要素之一。

浙江省醫療衛生信息化發展概況

“十一五”期間，浙江醫療衛生信息化取得了巨大成就，在醫院信息化、醫保信息化、農村醫療信息化等方面均走在全國前列。

(一)“數字化醫院”逐步深化

按照衛生部《醫院信息系統基本功能規范》要求，浙江縣級以上醫院全部實現了信息化管理，比全國平均水平高35個百分點，其中：門急診掛號、住院收費、藥房管理信息系統應用率達到100%，財務、設備、病人查詢信息系統應用率達到90％以上，臨床檢驗、手術麻醉、醫學影像信息系統應用率達到38％以上。浙一醫院、浙江人民醫院等醫院正在建設數字化醫院，建立了互聯網網站，開展了網上掛號、預約就診、信息咨詢、健康教育和遠程服務。全省醫院信息管理系統正從以財務管理為主，以醫院工作為中心的第一建設階段邁向了以臨床業務為主、以病人為中心的第二建設階段。

(二)區域性醫療衛生協同開始起步

區域內的醫院、社區衛生服務站、農村衛生服務站等機構的協同是醫療衛生信息化的重要趨勢。2009年6月，“居民電子健康檔案系統”軟件通過國家級評審，并已在浙江部分示范區投入使用（杭州市醫療衛生協同平臺結構圖如下圖所示）。已有6家省級醫院組成的省級醫療專家團隊，與省內76個市縣級醫院及150余家社區衛生服務中心實現全面緊密合作；針對社區和農村的“遠程健康服務”開始在常山、江山市等地試點。建立了覆蓋全省的“醫聯遠程醫學教育平臺”，已經開展了350余次基于臨床案例的遠程教學講課，實現2017名全科醫師學員報名并參加網上學習，共開展16萬小時課程。

(三)“新農合”廣泛惠農

全省基本統一了新型農村合作醫療信息系統，100％的縣(市、區)已實行新農合醫療信息化管理。有74個縣（市、區）做到了縣級醫院出院實時結報，有27個縣（市、區）在鄉鎮衛生院（社區衛生服務中心）就診也可刷卡當場報銷，有8個縣（市、區）在社區衛生服務站就診也可刷卡當場報銷，大大方便農民結報，提高了工作效率，保障了資金安全。

目前，全省新農合醫療虛擬專網和省級新農合數據交換平臺正在建設中，計劃實現全省新農合異地就診實時結報、資金監管、費用查詢和信息匯總，實現構建新農合業務管理的數字化、信息化、科學化，提高新農合工作效率和服務水平。

(四)數字醫療產業規模不斷擴大

2010年，浙江省數字醫療產值逾5億。隨著醫療衛生行業信息化建設的不斷推進，以及個人健康服務需求的興起，浙江信息服務型企業正在逐步成長起來，一批系統集成企業以滿足醫療衛生體制改革為出發點，構建居民電子健康檔案，為居民提供健康服務。在產品方面，建立了較為完整的產品體系和市場營銷網絡，擁有數百個具有自主知識產權的軟件產品，如醫院信息化應用軟件和公共衛生信息化應用軟件，臨床信息系統、移動門診輸液系統、移動臨床助理MCA、電子病歷集成視圖、綜合數據瀏覽等；在技術方面，擁有了一批行業領先的核心技術，主要包括醫療衛生行業的應用開發平臺技術、行業應用分析技術、醫療數據融合技術、醫療衛生信息集成技術、醫療設備與IT設備終端整合技術等。浙江的信息服務型企業在全國樹立起浙江企業的品牌形象，如杭州創業以13.8%的市場份額位居首位，成為目前中國規模最大、用戶數量最多、最具競爭力的醫療衛生行業信息化建設全面解決方案提供商和服務商。中國軟件行業協會《2008-2009醫療衛生應用軟件主力廠商競爭力分析報告》中將其評價為“目前國內醫療衛生行業應用軟件領域的龍頭企業”。

浙江省醫療衛生信息安全隱患分析

(一)醫療信息安全標準缺失，服務外包存有安全隱患

醫療衛生信息安全標準是醫療信息系統數據安全性的重要保障。目前，省內只有部分政府衛生管理部門的信息系統實施了信息安全等級保護制度，醫院、衛生站等公共醫療衛生機構沒有實施，大多數醫療機構對信息安全缺乏意識和防范能力。在數據接口方面也缺乏規范，特別在區域性醫療衛生協同發展的趨勢下，數據接口關系到數據傳輸過程中的安全性，存在被黑客入侵、網絡攻擊等安全隱患，將嚴重影響醫院的正常運行和病人的正常就醫。在服務外包方面，醫療機構委托專業服務機構進行內部信息系統開發，開發過程中，往往忽視對信息安全的管控，沒有對開發人員和訪問范圍進行有效約束，為日后不法分子通過系統本身的原始漏洞竊取數據埋下了隱患。

(二)醫療機構網絡結構不合理，內部信息系統不夠穩定

規范的網絡結構是信息安全的基本保障。對于多數醫院來說，網絡一般都被物理或邏輯上隔離劃分成內部網和外部網，但內外網劃分不清、交叉混用等現象屢見不鮮，醫院的核心信息資源可能通過互聯網外泄。另一方面，局域網內的網絡拓撲合理性直接關系到整個網絡的穩定性。如杭州某三甲醫院因為核心交換機使用不當，且將部分終端直接接在核心交換機上，造成HIS系統癱瘓三小時，導致就醫患者長時間排隊，醫院秩序混亂，臨床檢查和治療遭受巨大影響。

(三)網絡化協同致使信息外泄，醫療信息數據保護不夠

信息數據是醫療衛生機構的核心機密，在經濟利益驅使下，一些不法分子為了獲取“統方”等重要信息進行有目標的竊取，信息數據安全性必須予以足夠的重視。目前，醫院大多通過用智能網絡來共享重要的醫療信息，對于醫院而言，網絡化協同可以使不同的醫療機構共享重要的醫療信息資源，減少重復投入；對于醫護人員而言，網絡化協同意味著他們能夠以方便、有效的方式，存取患者的電子信息，包括化驗結果、處方信息、醫囑和健康狀態等。但是，網絡化協同帶來醫療便利的同時，也存有一定的安全隱患，如果缺少有效的安全保護措施和審計機制，就會存在賬號濫用、業務數據被非法讀取的風險。如我省就發生多起“統方”外泄的事件，某“統方”醫藥代表花費40萬買下三家醫院的“統方”資料，定期到醫院的藥房統計或計算機管理部門收取“統方”；海寧一名醫院職工利用職務之便將藥品銷售統方泄漏給醫藥代表，從而為自己謀取私利。這些“統方”外泄事件對醫院信息數據的安全保護敲響了警鐘。

(四)電子病歷即將推廣應用，患者隱私安全問題突出

推行電子病歷是“十二五”期間醫療衛生信息化的重要方向和主要任務。電子病歷將記錄一個人從生到死的所有醫療記錄，屬于個人的隱私信息，也屬于醫院醫療級的保密信息。而電子病歷的數據集中存儲、頻繁交換以及與其他公共服務集成使用等特點，使電子病歷的信息安全防范問題顯得尤為重要。目前，我省部分地區開始推行電子病歷，雖然采用了密碼處理，但綜合防御措施還很不到位。杭州等地電子病歷還處于初級應用階段，聯網機構和應用范圍還很有限，信息安全問題還未充分暴露，但隨著電子病歷的公共服務功能逐漸豐富，數據交換的機構增多，信息安全隱患將逐步升級，患者信息在傳輸和存儲過程中的安全問題將成為醫療衛生信息安全的又一大難題。

加強醫療衛生信息安全的對策

(一)建立標準體系，強化行業監管。以國際行業標準為參考，研究制定醫療衛生信息化建設規范，對信息安全建設和管理提出具體要求。學習上海等地區經驗，推行醫療衛生信息安全等級保護制度，有關部門應加強監管力度，對涉及民生的公共領域信息安全加大檢查力度，按照“誰建設，誰負責”的原則，對信息安全不符合要求的單位進行通報批評，從體制機制上建立信息安全的重要防線。

(二)加大安全投入，完善安全制度。各醫療衛生機構應加大安全投入，增加信息安全占信息化總投入的比重，積極采用安全審計、漏洞掃描、IDS等工具提高安全防御水平；同時，加大安全“軟實力”的投入力度，配備專職的信息安全管理和技術人員，制定信息安全應急預案；進一步完善內部安全管理制度，包括系統操作制度、數據庫訪問制度、外部設備使用制度等。

(三)加強宣傳教育，明確安全責任。加強醫療衛生機構職員的宣傳教育工作，在信息化培訓過程中結合信息安全培訓，開展形象生動的信息安全宣傳，增強職工信息安全意識。明確信息安全責任，樹立“信息安全人人有責”的意識，對信息泄露等嚴重信息安全事件要嚴肅追究當事人、部門負責人及分管領導的責任。

(四)規范外包管理，確保數據安全。規范醫療衛生信息系統服務外包管理，特別是在實施HIS等重要信息系統過程中，應對外包企業嚴格審核，在簽訂外包合同時要增加有關信息安全的條款，對外包服務人員要進行規范管理，限制操作范圍；在驗收階段，要對系統實施信息安全檢查，避免系統漏洞及設置后門等情況的發生，從源頭上保證系統的安全性。

(五)發展與安全并舉，提升數字醫療水平。以《海峽兩岸醫藥衛生合作協議》為契機，緊緊抓住歷史機遇，發展數字醫療產業。在理念上，要明確以病人為中心，提高為病人服務能力，并將專業的醫療服務落實到每一處細節；在產品上，廣泛推行電子病歷，同時加強電子簽名、病人隱私保護等信息安全保障工作；在管理機制上，建立完善的醫療管理體制機制，加大醫院信息化投入，嚴格實施醫院信息系統管理規范化，通過數字醫療實現醫療服務現代化，醫院管理精細化和人性化，真正體現造福于民。

（作者單位：浙江樹人大學、浙江省工業經濟研究所）