等保2.0在醫(yī)療行業(yè)信息化建設(shè)中的機(jī)遇與挑戰(zhàn)
2017年國務(wù)院發(fā)布的《關(guān)于深化醫(yī)藥衛(wèi)生體制改革的意見》開啟了新醫(yī)療體制改革。新醫(yī)改提出了“四梁八柱”，其中信息化是醫(yī)改的重要任務(wù)，也是醫(yī)改成功逐步推進(jìn)的重要保障。隨著醫(yī)療體制改革繼續(xù)深入推進(jìn)，醫(yī)療信息化已經(jīng)成為醫(yī)療體制改革的重點(diǎn)發(fā)展方向。
醫(yī)療衛(wèi)生事業(yè)是構(gòu)建社會(huì)主義和諧社會(huì)的重要基礎(chǔ)，也是保證人民日常生活的重要環(huán)節(jié)。醫(yī)療衛(wèi)生行業(yè)的健康發(fā)展，直接關(guān)系到民生問題。隨著醫(yī)院信息化建設(shè)的逐步深入，網(wǎng)上業(yè)務(wù)由單一到多元化，各類應(yīng)用系統(tǒng)數(shù)十個(gè)，信息系統(tǒng)承受的壓力日益增長，醫(yī)院信息系統(tǒng)已經(jīng)成為醫(yī)院正常運(yùn)行不可或缺的支撐環(huán)境和工作平臺(tái)。核心業(yè)務(wù)是醫(yī)院信息化建設(shè)的基礎(chǔ)，是醫(yī)院信息系統(tǒng)運(yùn)行的平臺(tái)，對(duì)醫(yī)院運(yùn)行效率和管理水平都有重要作用，因此創(chuàng)造良好信息系統(tǒng)安全運(yùn)營環(huán)境是醫(yī)院信息安全的最終目標(biāo)。
1、醫(yī)院信息安全建設(shè)面臨大轉(zhuǎn)型
醫(yī)院擁有大量患者數(shù)據(jù)，在黑灰產(chǎn)中越來越受到“青睞”，這也推動(dòng)黑客越來越多地“盯上”醫(yī)院。一般來說，醫(yī)院信息化安全建設(shè)面臨諸多問題。
中國醫(yī)院協(xié)會(huì)信息專業(yè)委員會(huì)（CHIMA）在今年3月發(fā)布了《2019年醫(yī)院信息安全調(diào)查報(bào)告》，其中對(duì)醫(yī)院實(shí)施等級(jí)保護(hù)情況做了專門章節(jié)介紹。據(jù)了解，在389家樣本醫(yī)院中，50.13％的醫(yī)院通過了等保測(cè)評(píng)。其中，三級(jí)醫(yī)院實(shí)施等保工作情況明顯好于三級(jí)以下醫(yī)院，經(jīng)濟(jì)發(fā)達(dá)地區(qū)實(shí)施等保工作的比例高于中等發(fā)達(dá)地區(qū)和經(jīng)濟(jì)欠發(fā)達(dá)地區(qū)。
本次調(diào)查顯示，在近三年醫(yī)院信息化建設(shè)重點(diǎn)內(nèi)容的調(diào)查排名前三位的是：重點(diǎn)建設(shè)患者服務(wù)系統(tǒng)（掛號(hào)APP、自助機(jī)等）的醫(yī)院為 226 家，占比 58.10%；重點(diǎn)建設(shè)醫(yī)院管理系統(tǒng)（HRP、BI、財(cái)務(wù)系統(tǒng)等）的醫(yī)院為 212 家，占比 54.50%；重點(diǎn)建設(shè)HIS以外的業(yè)務(wù)系統(tǒng)（EMR、LIS、PACS、超聲等）的醫(yī)院為 203 家，占比52.19%。
醫(yī)院網(wǎng)絡(luò)安全建設(shè)落后主要有兩方面原因：一方面，醫(yī)院信息化建設(shè)本身投入相對(duì)不足，資金更多投入在應(yīng)用和硬件上，安全方面投入很少；另一方面，醫(yī)院信息部門缺乏安全建設(shè)經(jīng)驗(yàn)，安全專業(yè)能力不足。
絕大部分醫(yī)院都缺乏專業(yè)的網(wǎng)絡(luò)安全人才，在網(wǎng)絡(luò)安全運(yùn)營方向做的都很少，還是以防御建設(shè)為主。醫(yī)院網(wǎng)絡(luò)安全建設(shè)痛點(diǎn)要從兩個(gè)方面看：一是外部。醫(yī)療行業(yè)越來越開放，醫(yī)療業(yè)務(wù)擁抱互聯(lián)網(wǎng)，雖然方便了老百姓就醫(yī)，但也引入了大量的互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)。二是內(nèi)部。醫(yī)院網(wǎng)絡(luò)規(guī)模雖不大，但相對(duì)比較復(fù)雜。各個(gè)業(yè)務(wù)系統(tǒng)之間的關(guān)聯(lián)非常緊密，數(shù)據(jù)共享很頻繁，非常容易造成安全風(fēng)險(xiǎn)在內(nèi)部蔓延。
2、醫(yī)院信息化如何迎考等保2.0？
醫(yī)療行業(yè)等保2.0建設(shè)工作應(yīng)“以病人中心，以診療活動(dòng)為主線，以人性化服務(wù)”為主導(dǎo)，以智能化和信息化技術(shù)為支撐的診療自動(dòng)化、建筑設(shè)備管理智能化、管理信息集成化，最終打造最為先進(jìn)的“診療手段完備、管理科學(xué)、信息一體化、高效節(jié)能的智慧醫(yī)療”為藍(lán)圖的智慧醫(yī)療框架體系。
網(wǎng)絡(luò)信息安全是個(gè)系統(tǒng)工程，三分技術(shù)、七分管理，醫(yī)療機(jī)構(gòu)需從技術(shù)和管理多角度構(gòu)建網(wǎng)絡(luò)安全體系。由于很多安全威脅來自于醫(yī)院內(nèi)部的管理漏洞，建設(shè)全方位的網(wǎng)絡(luò)信息安全管理體系并落實(shí)到位，是醫(yī)療機(jī)構(gòu)信息部門在2019年的重要工作。其信息化建設(shè)應(yīng)參考等保2.0標(biāo)準(zhǔn)，并結(jié)合醫(yī)院實(shí)際情況，選擇性地采取更多安全措施。
另一方面，對(duì)于之前已經(jīng)通過等保3級(jí)的醫(yī)療機(jī)構(gòu)，再去認(rèn)證等級(jí)保護(hù)2.0下的相關(guān)測(cè)評(píng)要求參考時(shí)，可以參考已通過等保1.0標(biāo)準(zhǔn)下等保3級(jí)的系統(tǒng)沿用之前的定級(jí)，在2.0時(shí)代不需要再重新定級(jí)和備案。但仍需按照新標(biāo)準(zhǔn)進(jìn)行安全加固、補(bǔ)齊不足，在每年復(fù)評(píng)審查時(shí)需要滿足新標(biāo)準(zhǔn)的評(píng)分要求。
此外，等保2.0中技術(shù)控制項(xiàng)與等保1.0中有不少區(qū)別。比如在“安全擴(kuò)展要求”中，針對(duì)云計(jì)算平臺(tái)、物聯(lián)網(wǎng)平臺(tái)、移動(dòng)互聯(lián)網(wǎng)均有額外的控制項(xiàng)要求。在國家出臺(tái)網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0標(biāo)準(zhǔn)的背景下，醫(yī)院上云更加需要一種審慎的態(tài)度。等保2.0提出了更高要求，比如等級(jí)保護(hù)對(duì)象從原來關(guān)注傳統(tǒng)系統(tǒng)擴(kuò)展到云平臺(tái)和大數(shù)據(jù)平臺(tái)的安全。因此，云平臺(tái)的基礎(chǔ)架構(gòu)要符合等級(jí)保護(hù)2.0標(biāo)準(zhǔn)的要求。尤其在選擇云端安全產(chǎn)品時(shí)，一定要提前考慮等保2.0標(biāo)準(zhǔn)的要求，這也是上云必須要解決的問題。
在加強(qiáng)醫(yī)院網(wǎng)絡(luò)和信息安全建設(shè)方面，建議把可能造成醫(yī)院業(yè)務(wù)系統(tǒng)停運(yùn)的每個(gè)環(huán)節(jié)都要考慮到位。比如，數(shù)據(jù)庫等核心應(yīng)用更要加強(qiáng)安全建設(shè)。醫(yī)院在開展網(wǎng)絡(luò)安全建設(shè)時(shí)可以遵循兩個(gè)原則：一是醫(yī)院的信息系統(tǒng)不會(huì)因?yàn)橛布收隙＿\(yùn)；二是一定要對(duì)核心數(shù)據(jù)進(jìn)行有效的防泄密、數(shù)據(jù)脫敏等技術(shù)手段。
靈狐科技結(jié)合行業(yè)現(xiàn)狀和新標(biāo)準(zhǔn)要求，對(duì)醫(yī)療機(jī)構(gòu)開展網(wǎng)絡(luò)安全等級(jí)保護(hù)工作提出以下五點(diǎn)建議。
1、合理開展新業(yè)務(wù)系統(tǒng)及平臺(tái)的定級(jí)備案工作，如醫(yī)療大數(shù)據(jù)平臺(tái)、互聯(lián)網(wǎng)醫(yī)療平臺(tái)等。院內(nèi)如HIS、EMR等還未開展定級(jí)備案工作的傳統(tǒng)核心業(yè)務(wù)系統(tǒng)，也需要加快等保建設(shè)步伐。
2、在等保建設(shè)中嘗試采用新技術(shù)新手段加強(qiáng)醫(yī)院的安全技術(shù)防護(hù)和態(tài)勢(shì)感知建設(shè)，以防范特種木馬或新型網(wǎng)絡(luò)攻擊。
3、加強(qiáng)日常安全運(yùn)維，引入可視化、統(tǒng)一運(yùn)維等創(chuàng)新技術(shù)，讓安全管理和運(yùn)維更簡(jiǎn)單并且更加有效。
4、加強(qiáng)主動(dòng)防御能力，并通過全方位、多視角的風(fēng)險(xiǎn)分析，完善醫(yī)院網(wǎng)絡(luò)安全建設(shè)短板。從而降低安全風(fēng)險(xiǎn)，提高信息系統(tǒng)健壯性。
5、適當(dāng)選擇安全廠商提供的安全服務(wù)，彌補(bǔ)醫(yī)院專業(yè)安全技術(shù)人員不足。最大程度減少因網(wǎng)絡(luò)安全事件所帶來的醫(yī)院運(yùn)營中斷以及管理成本增加的風(fēng)險(xiǎn)。
醫(yī)療衛(wèi)生事業(yè)是構(gòu)建社會(huì)主義和諧社會(huì)的重要基礎(chǔ)，也是保證人民日常生活的重要環(huán)節(jié)。醫(yī)療衛(wèi)生行業(yè)的健康發(fā)展，直接關(guān)系到民生問題。隨著醫(yī)院信息化建設(shè)的逐步深入，網(wǎng)上業(yè)務(wù)由單一到多元化，各類應(yīng)用系統(tǒng)數(shù)十個(gè)，信息系統(tǒng)承受的壓力日益增長，醫(yī)院信息系統(tǒng)已經(jīng)成為醫(yī)院正常運(yùn)行不可或缺的支撐環(huán)境和工作平臺(tái)。核心業(yè)務(wù)是醫(yī)院信息化建設(shè)的基礎(chǔ)，是醫(yī)院信息系統(tǒng)運(yùn)行的平臺(tái)，對(duì)醫(yī)院運(yùn)行效率和管理水平都有重要作用，因此創(chuàng)造良好信息系統(tǒng)安全運(yùn)營環(huán)境是醫(yī)院信息安全的最終目標(biāo)。
1、醫(yī)院信息安全建設(shè)面臨大轉(zhuǎn)型
醫(yī)院擁有大量患者數(shù)據(jù)，在黑灰產(chǎn)中越來越受到“青睞”，這也推動(dòng)黑客越來越多地“盯上”醫(yī)院。一般來說，醫(yī)院信息化安全建設(shè)面臨諸多問題。
中國醫(yī)院協(xié)會(huì)信息專業(yè)委員會(huì)（CHIMA）在今年3月發(fā)布了《2019年醫(yī)院信息安全調(diào)查報(bào)告》，其中對(duì)醫(yī)院實(shí)施等級(jí)保護(hù)情況做了專門章節(jié)介紹。據(jù)了解，在389家樣本醫(yī)院中，50.13％的醫(yī)院通過了等保測(cè)評(píng)。其中，三級(jí)醫(yī)院實(shí)施等保工作情況明顯好于三級(jí)以下醫(yī)院，經(jīng)濟(jì)發(fā)達(dá)地區(qū)實(shí)施等保工作的比例高于中等發(fā)達(dá)地區(qū)和經(jīng)濟(jì)欠發(fā)達(dá)地區(qū)。
本次調(diào)查顯示，在近三年醫(yī)院信息化建設(shè)重點(diǎn)內(nèi)容的調(diào)查排名前三位的是：重點(diǎn)建設(shè)患者服務(wù)系統(tǒng)（掛號(hào)APP、自助機(jī)等）的醫(yī)院為 226 家，占比 58.10%；重點(diǎn)建設(shè)醫(yī)院管理系統(tǒng)（HRP、BI、財(cái)務(wù)系統(tǒng)等）的醫(yī)院為 212 家，占比 54.50%；重點(diǎn)建設(shè)HIS以外的業(yè)務(wù)系統(tǒng)（EMR、LIS、PACS、超聲等）的醫(yī)院為 203 家，占比52.19%。
醫(yī)院網(wǎng)絡(luò)安全建設(shè)落后主要有兩方面原因：一方面，醫(yī)院信息化建設(shè)本身投入相對(duì)不足，資金更多投入在應(yīng)用和硬件上，安全方面投入很少；另一方面，醫(yī)院信息部門缺乏安全建設(shè)經(jīng)驗(yàn)，安全專業(yè)能力不足。
絕大部分醫(yī)院都缺乏專業(yè)的網(wǎng)絡(luò)安全人才，在網(wǎng)絡(luò)安全運(yùn)營方向做的都很少，還是以防御建設(shè)為主。醫(yī)院網(wǎng)絡(luò)安全建設(shè)痛點(diǎn)要從兩個(gè)方面看：一是外部。醫(yī)療行業(yè)越來越開放，醫(yī)療業(yè)務(wù)擁抱互聯(lián)網(wǎng)，雖然方便了老百姓就醫(yī)，但也引入了大量的互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)。二是內(nèi)部。醫(yī)院網(wǎng)絡(luò)規(guī)模雖不大，但相對(duì)比較復(fù)雜。各個(gè)業(yè)務(wù)系統(tǒng)之間的關(guān)聯(lián)非常緊密，數(shù)據(jù)共享很頻繁，非常容易造成安全風(fēng)險(xiǎn)在內(nèi)部蔓延。
2、醫(yī)院信息化如何迎考等保2.0？
醫(yī)療行業(yè)等保2.0建設(shè)工作應(yīng)“以病人中心，以診療活動(dòng)為主線，以人性化服務(wù)”為主導(dǎo)，以智能化和信息化技術(shù)為支撐的診療自動(dòng)化、建筑設(shè)備管理智能化、管理信息集成化，最終打造最為先進(jìn)的“診療手段完備、管理科學(xué)、信息一體化、高效節(jié)能的智慧醫(yī)療”為藍(lán)圖的智慧醫(yī)療框架體系。
網(wǎng)絡(luò)信息安全是個(gè)系統(tǒng)工程，三分技術(shù)、七分管理，醫(yī)療機(jī)構(gòu)需從技術(shù)和管理多角度構(gòu)建網(wǎng)絡(luò)安全體系。由于很多安全威脅來自于醫(yī)院內(nèi)部的管理漏洞，建設(shè)全方位的網(wǎng)絡(luò)信息安全管理體系并落實(shí)到位，是醫(yī)療機(jī)構(gòu)信息部門在2019年的重要工作。其信息化建設(shè)應(yīng)參考等保2.0標(biāo)準(zhǔn)，并結(jié)合醫(yī)院實(shí)際情況，選擇性地采取更多安全措施。
另一方面，對(duì)于之前已經(jīng)通過等保3級(jí)的醫(yī)療機(jī)構(gòu)，再去認(rèn)證等級(jí)保護(hù)2.0下的相關(guān)測(cè)評(píng)要求參考時(shí)，可以參考已通過等保1.0標(biāo)準(zhǔn)下等保3級(jí)的系統(tǒng)沿用之前的定級(jí)，在2.0時(shí)代不需要再重新定級(jí)和備案。但仍需按照新標(biāo)準(zhǔn)進(jìn)行安全加固、補(bǔ)齊不足，在每年復(fù)評(píng)審查時(shí)需要滿足新標(biāo)準(zhǔn)的評(píng)分要求。
此外，等保2.0中技術(shù)控制項(xiàng)與等保1.0中有不少區(qū)別。比如在“安全擴(kuò)展要求”中，針對(duì)云計(jì)算平臺(tái)、物聯(lián)網(wǎng)平臺(tái)、移動(dòng)互聯(lián)網(wǎng)均有額外的控制項(xiàng)要求。在國家出臺(tái)網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0標(biāo)準(zhǔn)的背景下，醫(yī)院上云更加需要一種審慎的態(tài)度。等保2.0提出了更高要求，比如等級(jí)保護(hù)對(duì)象從原來關(guān)注傳統(tǒng)系統(tǒng)擴(kuò)展到云平臺(tái)和大數(shù)據(jù)平臺(tái)的安全。因此，云平臺(tái)的基礎(chǔ)架構(gòu)要符合等級(jí)保護(hù)2.0標(biāo)準(zhǔn)的要求。尤其在選擇云端安全產(chǎn)品時(shí)，一定要提前考慮等保2.0標(biāo)準(zhǔn)的要求，這也是上云必須要解決的問題。
在加強(qiáng)醫(yī)院網(wǎng)絡(luò)和信息安全建設(shè)方面，建議把可能造成醫(yī)院業(yè)務(wù)系統(tǒng)停運(yùn)的每個(gè)環(huán)節(jié)都要考慮到位。比如，數(shù)據(jù)庫等核心應(yīng)用更要加強(qiáng)安全建設(shè)。醫(yī)院在開展網(wǎng)絡(luò)安全建設(shè)時(shí)可以遵循兩個(gè)原則：一是醫(yī)院的信息系統(tǒng)不會(huì)因?yàn)橛布收隙＿\(yùn)；二是一定要對(duì)核心數(shù)據(jù)進(jìn)行有效的防泄密、數(shù)據(jù)脫敏等技術(shù)手段。
靈狐科技結(jié)合行業(yè)現(xiàn)狀和新標(biāo)準(zhǔn)要求，對(duì)醫(yī)療機(jī)構(gòu)開展網(wǎng)絡(luò)安全等級(jí)保護(hù)工作提出以下五點(diǎn)建議。
1、合理開展新業(yè)務(wù)系統(tǒng)及平臺(tái)的定級(jí)備案工作，如醫(yī)療大數(shù)據(jù)平臺(tái)、互聯(lián)網(wǎng)醫(yī)療平臺(tái)等。院內(nèi)如HIS、EMR等還未開展定級(jí)備案工作的傳統(tǒng)核心業(yè)務(wù)系統(tǒng)，也需要加快等保建設(shè)步伐。
2、在等保建設(shè)中嘗試采用新技術(shù)新手段加強(qiáng)醫(yī)院的安全技術(shù)防護(hù)和態(tài)勢(shì)感知建設(shè)，以防范特種木馬或新型網(wǎng)絡(luò)攻擊。
3、加強(qiáng)日常安全運(yùn)維，引入可視化、統(tǒng)一運(yùn)維等創(chuàng)新技術(shù)，讓安全管理和運(yùn)維更簡(jiǎn)單并且更加有效。
4、加強(qiáng)主動(dòng)防御能力，并通過全方位、多視角的風(fēng)險(xiǎn)分析，完善醫(yī)院網(wǎng)絡(luò)安全建設(shè)短板。從而降低安全風(fēng)險(xiǎn)，提高信息系統(tǒng)健壯性。
5、適當(dāng)選擇安全廠商提供的安全服務(wù)，彌補(bǔ)醫(yī)院專業(yè)安全技術(shù)人員不足。最大程度減少因網(wǎng)絡(luò)安全事件所帶來的醫(yī)院運(yùn)營中斷以及管理成本增加的風(fēng)險(xiǎn)。
相關(guān)鏈接：
