醫(yī)院信息安全的問(wèn)題及對(duì)策探討

江蘇省榮軍醫(yī)院 許欣蕾

隨著現(xiàn)代信息化技術(shù)的飛速發(fā)展，醫(yī)療信息化也在全面推進(jìn)。目前，我國(guó)90%以上的中心醫(yī)院都已建設(shè)完成網(wǎng)絡(luò)信息系統(tǒng)，醫(yī)院的發(fā)展已日益離不開(kāi)可靠穩(wěn)定的信息系統(tǒng)的支持，但在醫(yī)院信息化飛速發(fā)展的當(dāng)代，醫(yī)院信息管理系統(tǒng)的安全問(wèn)題正逐漸突出。因此，如何加強(qiáng)醫(yī)院信息安全建設(shè)，已經(jīng)成為網(wǎng)絡(luò)管理者甚至醫(yī)院管理者極度關(guān)注的問(wèn)題。

1.醫(yī)院信息安全面臨的問(wèn)題

1.1 安全制度落實(shí)方面不夠到位

由于當(dāng)前醫(yī)院管理者對(duì)信息安全的認(rèn)識(shí)正不斷提高，大部分醫(yī)院都建立了自己的信息安全管理制度，但能夠嚴(yán)格落實(shí)的并不多。其主要原因如下：一是醫(yī)院工作人員組成復(fù)雜，大部分人員對(duì)信息安全缺乏認(rèn)識(shí)；二是信息科的行政干預(yù)能力較弱，很大程度上只能運(yùn)用技術(shù)手段對(duì)終端用戶進(jìn)行管理，缺乏有效的安全監(jiān)管手段。目前，我院已制定了《信息安全管理辦法》、《計(jì)算機(jī)設(shè)備管理制度》、《醫(yī)院局域網(wǎng)信息安全管理制度》等安全管理制度，但對(duì)制度的執(zhí)行和監(jiān)督還不夠到位，很多時(shí)候只是停留在紙面上，醫(yī)院工作人員普遍缺乏對(duì)信息安全的認(rèn)識(shí)。

1.2 信息安全技術(shù)支持薄弱

醫(yī)院信息系統(tǒng)涉及方面較廣，包括網(wǎng)絡(luò)、數(shù)據(jù)庫(kù)、服務(wù)器、應(yīng)用等方面，其維護(hù)工作比較復(fù)雜，工作量也較大，但與此同時(shí)信息技術(shù)人員卻始終處于匱乏狀態(tài)，據(jù)調(diào)查結(jié)果顯示，我國(guó)有超過(guò)四分之三的醫(yī)院信息技術(shù)人才不足總?cè)藬?shù)的百分之一，全國(guó)的醫(yī)院信息技術(shù)人才總數(shù)有大約七萬(wàn)人，這樣平均下來(lái)每個(gè)醫(yī)院信息人才數(shù)才只有不足九人。并且在現(xiàn)有的技術(shù)人員中，大部分人只能進(jìn)行常規(guī)維護(hù)工作，對(duì)于系統(tǒng)級(jí)的建設(shè)及管理工作往往力不能及。另外，由于工作人員忙于日常事務(wù)，而缺乏對(duì)新技術(shù)發(fā)展的研究，知識(shí)儲(chǔ)備跟不上日新月異的現(xiàn)代信息技術(shù)，加劇了技術(shù)薄弱這個(gè)問(wèn)題。

1.3 信息安全投入不足

當(dāng)前國(guó)際上，醫(yī)院信息化建設(shè)方面的投入大約是運(yùn)營(yíng)經(jīng)費(fèi)的百分之三到十，而在我國(guó)，醫(yī)院信息化建設(shè)投入才不到年收入的百分之一，與大型醫(yī)院相比，中小型醫(yī)院的信息化投入就更少了。而醫(yī)院信息系統(tǒng)安全建設(shè)是一個(gè)長(zhǎng)期的過(guò)程，需要在建設(shè)過(guò)程中不斷對(duì)其完善，在安全設(shè)備引進(jìn)、安全軟件升級(jí)更新等方面進(jìn)行長(zhǎng)期投入。但目前大部分醫(yī)院由于自身發(fā)展受限，以及缺乏對(duì)信息化重要性的認(rèn)識(shí)，在信息化投入方面非常有限，這往往會(huì)給信息技術(shù)人員的日常維護(hù)工作帶來(lái)不便，也會(huì)對(duì)信息系統(tǒng)的平穩(wěn)運(yùn)行和安全維護(hù)工作帶來(lái)一定影響。

2.醫(yī)院信息安全問(wèn)題的主要對(duì)策

2.1 安全管理制度落實(shí)方面

首先，要加強(qiáng)醫(yī)院工作人員對(duì)信息安全的認(rèn)識(shí)，可以通過(guò)在院內(nèi)舉辦信息安全知識(shí)講座、知識(shí)競(jìng)賽等活動(dòng)，讓全體員工都能參與進(jìn)來(lái)，從而加深對(duì)信息安全的了解和認(rèn)識(shí)，在各個(gè)相關(guān)工作環(huán)節(jié)中能夠注意，減少信息安全末端失控行為的發(fā)生。醫(yī)院目前已成立信息安全領(lǐng)導(dǎo)小組，規(guī)定信息安全工作由院長(zhǎng)領(lǐng)導(dǎo)，小組成員包含信息科、辦公室、醫(yī)務(wù)科、護(hù)理部等相關(guān)科室領(lǐng)導(dǎo)。在每個(gè)部門(mén)還設(shè)置了信息化專(zhuān)員，來(lái)負(fù)責(zé)將信息安全重要性下達(dá)每位工作人員。這樣不但讓每個(gè)工作人員能夠認(rèn)識(shí)到信息安全的重要性，而且通過(guò)這種讓他們參與信息相關(guān)工作的方式，可以讓他們時(shí)時(shí)刻刻保持信息安全的意識(shí)。

2.2 加大技術(shù)人才隊(duì)伍建設(shè)

信息安全，人才為本，醫(yī)院信息安全體系的建設(shè)需要素質(zhì)優(yōu)良的人才隊(duì)伍。因此，首先應(yīng)當(dāng)成立專(zhuān)門(mén)的信息管理部門(mén)，醫(yī)院領(lǐng)導(dǎo)者必須重視信息化人才的培養(yǎng)，必須加強(qiáng)信息隊(duì)伍的建設(shè)，大力引進(jìn)、培養(yǎng)信息安全專(zhuān)業(yè)人才，加強(qiáng)對(duì)信息部門(mén)的培訓(xùn)，以拓展信息化人員的眼界。常用的信息安全技術(shù)包括防火墻技術(shù)、入侵檢測(cè)技術(shù)、計(jì)算機(jī)病毒防御技術(shù)、漏洞掃描技術(shù)等內(nèi)容，培訓(xùn)內(nèi)容不僅限于信息專(zhuān)業(yè)知識(shí)，還應(yīng)當(dāng)包含醫(yī)院的各項(xiàng)業(yè)務(wù)和流程。信息科人員不應(yīng)單是維修人員，未來(lái)更需要扛起“高級(jí)顧問(wèn)”的角色，整合醫(yī)院信息資源，推進(jìn)業(yè)務(wù)流程，努力成為復(fù)合型人才，為醫(yī)院的信息化管理提出方向。

2.3 增加信息安全資金投入

醫(yī)院信息安全建設(shè)絕非一朝一夕，需要長(zhǎng)期大量資金的投入。硬件上，可以增加入侵檢測(cè)設(shè)備（IDS）對(duì)網(wǎng)絡(luò)、系統(tǒng)的運(yùn)行狀況進(jìn)行監(jiān)視，來(lái)及時(shí)發(fā)現(xiàn)各種攻擊；通過(guò)使用堡壘機(jī)來(lái)進(jìn)行核心系統(tǒng)運(yùn)維和安全審計(jì)管控，以便及時(shí)報(bào)警及審計(jì)定責(zé)。軟件方面，可以使用網(wǎng)管軟件對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行監(jiān)測(cè)、配置和故障診斷；通過(guò)桌面管理軟件對(duì)終端計(jì)算機(jī)進(jìn)行資產(chǎn)管理和遠(yuǎn)程控制。人員方面，應(yīng)當(dāng)定期組織科室內(nèi)部或外部的信息安全知識(shí)培訓(xùn)，來(lái)提高技術(shù)人員的信息知識(shí)。

信息安全遵從“木桶”原理，這意味著，信息安全是一個(gè)系統(tǒng)工程，每個(gè)要素都是同等重要的。只有從信息系統(tǒng)的硬件和軟件的底層做起，從整體上綜合采取措施，才能比較有效地確保信息系統(tǒng)的安全。落實(shí)各項(xiàng)安全管理制度，加大技術(shù)人才隊(duì)伍建設(shè)，保證信息資金投入，是醫(yī)院信息系統(tǒng)安全運(yùn)行的有力保證，也是保障醫(yī)療業(yè)務(wù)有序開(kāi)展的基礎(chǔ)。

引文：

①周丁華,呂曉娟,張麟,盧敬泰,王月娟.數(shù)字化醫(yī)院信息安全建設(shè)與管理策略[J].醫(yī)學(xué)信息技術(shù),2015,6.

②盛峰.數(shù)字化時(shí)代下醫(yī)院信息安全建設(shè)探討.信息技術(shù)與信息化[J].2017,7.

③皇甫宜娣.淺析醫(yī)院信息化建設(shè)存在的問(wèn)題與解決策略[J].科技創(chuàng)新.2014,23