2022年8月29日，為指導(dǎo)醫(yī)療衛(wèi)生機(jī)構(gòu)加強(qiáng)網(wǎng)絡(luò)安全管理，國(guó)家衛(wèi)生健康委，國(guó)家中醫(yī)藥局，國(guó)家疾控局三部門(mén)聯(lián)合發(fā)布《醫(yī)療衛(wèi)生機(jī)構(gòu)網(wǎng)絡(luò)安全管理辦法》（以下簡(jiǎn)稱“《辦法》”）。
01
醫(yī)療行業(yè)面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
隨著大數(shù)據(jù)、云計(jì)算、物聯(lián)網(wǎng)在醫(yī)療行業(yè)的應(yīng)用不斷深入，增強(qiáng)了就醫(yī)的便捷性，提高了優(yōu)質(zhì)醫(yī)療資源的利用效率。與此同時(shí)，醫(yī)療行業(yè)面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)也逐漸增多。 疫情后健康數(shù)據(jù)安全風(fēng)險(xiǎn)加劇！
2020年4月，世界衛(wèi)生組織發(fā)表聲明稱，疫情期間遭受網(wǎng)絡(luò)攻擊數(shù)量同比增長(zhǎng)5倍。奇安信集團(tuán)發(fā)布網(wǎng)絡(luò)安全系列報(bào)告指出，2020年疫情暴發(fā)后，醫(yī)療衛(wèi)生行業(yè)史上首次超過(guò)政府、金融、國(guó)防、能源、電信等領(lǐng)域，成為全球APT（黑客以竊取核心資料為目的，針對(duì)客戶所發(fā)動(dòng)的網(wǎng)絡(luò)攻擊和侵襲行為）活動(dòng)關(guān)注的首要目標(biāo)。全球23.7%的APT活動(dòng)事件與醫(yī)療衛(wèi)生行業(yè)相關(guān)。中國(guó)首次超過(guò)美國(guó)、韓國(guó)、中東等國(guó)家和地區(qū)，成為全球APT活動(dòng)的首要地區(qū)性目標(biāo)。
在疫情期間，醫(yī)療機(jī)構(gòu)個(gè)人和患者信息泄露事件更是頻發(fā)。2020年1月，某市區(qū)衛(wèi)生管理部門(mén)領(lǐng)導(dǎo)通過(guò)微信轉(zhuǎn)發(fā)新冠病人報(bào)告。2020年11月，某市區(qū)衛(wèi)生管理部門(mén)領(lǐng)導(dǎo)為提醒轄區(qū)內(nèi)某單位做好防疫工作，將“疑似密接調(diào)查情況簡(jiǎn)介”微信轉(zhuǎn)發(fā)，造成該轄區(qū)內(nèi)單位將此信息大規(guī)模群發(fā)。
此外，遠(yuǎn)程網(wǎng)絡(luò)診療方式在疫情后被人們普遍接受，全國(guó)不少醫(yī)院都在申請(qǐng)互聯(lián)網(wǎng)醫(yī)院、智慧醫(yī)院。業(yè)內(nèi)人士指出，由于使用網(wǎng)絡(luò)傳遞診斷數(shù)據(jù)、照片等信息，醫(yī)療健康數(shù)據(jù)的不安全風(fēng)險(xiǎn)可能會(huì)進(jìn)一步加劇。
目前醫(yī)療健康不安全風(fēng)險(xiǎn)主要體現(xiàn)在八個(gè)方面：
一是在線醫(yī)療數(shù)據(jù)：檢驗(yàn)報(bào)告、診斷結(jié)果、既往病史等健康醫(yī)療數(shù)據(jù)存在因漏洞攻擊、病毒感染等，導(dǎo)致的非法訪問(wèn)、竊取篡改和惡意上傳等風(fēng)險(xiǎn)；
二是醫(yī)聯(lián)體訪問(wèn)數(shù)據(jù)：醫(yī)聯(lián)體以及第三方服務(wù)機(jī)構(gòu)人員在對(duì)敏感數(shù)據(jù)進(jìn)行訪問(wèn)瀏覽的過(guò)程中，均可能導(dǎo)致醫(yī)患隱私等重要信息面臨泄露風(fēng)險(xiǎn)；
三是臨床科研數(shù)據(jù)：臨床科研數(shù)據(jù)涉及人口學(xué)資料、檢查信息、檢驗(yàn)信息、藥品醫(yī)囑、診斷信息、病例以及患者報(bào)告，傳輸過(guò)程中一旦發(fā)生泄露，后果非常嚴(yán)重；
四是醫(yī)保數(shù)據(jù)：醫(yī)保數(shù)據(jù)涉及與第三方機(jī)構(gòu)對(duì)接，在系統(tǒng)對(duì)接、數(shù)據(jù)傳輸、數(shù)據(jù)使用、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)銷毀等環(huán)節(jié)面臨安全風(fēng)險(xiǎn)；
五是醫(yī)療設(shè)備維保數(shù)據(jù)：醫(yī)療器械廠商在進(jìn)行遠(yuǎn)程醫(yī)療設(shè)備維護(hù)保養(yǎng)時(shí)，數(shù)據(jù)將面臨非授權(quán)訪問(wèn)、不安全鏈接、隱私數(shù)據(jù)泄露、維護(hù)記錄保存不當(dāng)?shù)劝踩L(fēng)險(xiǎn)；
六是健康大數(shù)據(jù)中心數(shù)據(jù)：分類分級(jí)機(jī)制缺失導(dǎo)致將非法登錄、越權(quán)訪問(wèn)、異常調(diào)閱、冒名查詢、批量竊取、明文泄露等數(shù)據(jù)安全隱患；
七是可穿戴健康設(shè)備數(shù)據(jù)：可穿戴設(shè)備數(shù)據(jù)在采集、存儲(chǔ)、使用階段均存在著不同程度的安全隱患；
八是醫(yī)療健康A(chǔ)PP數(shù)據(jù)：移動(dòng)應(yīng)用涉及眾多在線健康醫(yī)療服務(wù)、存在泄露個(gè)人健康狀況數(shù)據(jù)、支付數(shù)據(jù)、衛(wèi)生資源數(shù)據(jù)以及公共衛(wèi)生信息的隱患。
02
醫(yī)療行業(yè)網(wǎng)絡(luò)安全體系監(jiān)管政策法規(guī)
醫(yī)療行業(yè)網(wǎng)絡(luò)安全是我國(guó)網(wǎng)絡(luò)安全的重要組成部分，受到國(guó)家高度重視。隨著醫(yī)療行業(yè)信息網(wǎng)絡(luò)技術(shù)的深入應(yīng)用和“互聯(lián)網(wǎng)+醫(yī)療健康”的不斷推進(jìn)，黨中央、國(guó)務(wù)院及醫(yī)療監(jiān)管部門(mén)陸續(xù)出臺(tái)了一系列信息化安全建設(shè)與管理的政策法規(guī)，逐步完善醫(yī)療行業(yè)網(wǎng)絡(luò)安全體系。
?2018 年 4 月，國(guó)家衛(wèi)生健康委發(fā)布《關(guān)于印發(fā)全國(guó)醫(yī)院信息化建設(shè)標(biāo)準(zhǔn)與規(guī)范（試行）的通知》。對(duì)二級(jí)及以上醫(yī)院的數(shù)據(jù)中心安全、終端安全、網(wǎng)絡(luò)安全及容災(zāi)備份提出要求。
?2018 年 9 月 13 日，國(guó)家衛(wèi)生健康委發(fā)布《國(guó)家健康醫(yī)療大數(shù)據(jù)標(biāo)準(zhǔn)、安全和服務(wù)管理辦法（試行）》，明確責(zé)任單位應(yīng)當(dāng)落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度要求，對(duì)健康醫(yī)療大數(shù)據(jù)中心、相關(guān)信息系統(tǒng)開(kāi)展定級(jí)、備案、測(cè)評(píng)等工作。
?2018 年 9 月 14 日，國(guó)家衛(wèi)生健康委發(fā)布《關(guān)于印發(fā)互聯(lián)網(wǎng)診療管理辦法（試行）等 3 個(gè)文件的通知》，管理辦法要求醫(yī)療機(jī)構(gòu)開(kāi)展互聯(lián)網(wǎng)診療活動(dòng)，應(yīng)當(dāng)具備滿足互聯(lián)網(wǎng)技術(shù)要求的設(shè)施、信息系統(tǒng)、技術(shù)人員以及信息安全系統(tǒng)，并實(shí)施第三級(jí)信息安全等級(jí)保護(hù)。
?2018 年 12 月 21 日，國(guó)家衛(wèi)生健康委辦公廳發(fā)文《加快推進(jìn)電子健康卡普及及應(yīng)用工作的意見(jiàn)》，對(duì)重點(diǎn)工作任務(wù)進(jìn)行部署，要求著力加強(qiáng)電子健康卡應(yīng)用安全建設(shè)及管理，對(duì)電子健康卡管理服務(wù)系統(tǒng)、識(shí)讀終端設(shè)備、應(yīng)用密碼機(jī)、互聯(lián)網(wǎng)醫(yī)療健康服務(wù)應(yīng)用軟件等依據(jù)國(guó)家行業(yè)標(biāo)準(zhǔn)實(shí)行質(zhì)量及安全檢測(cè)，強(qiáng)化個(gè)人健康信息安全管理，建立相關(guān)安全風(fēng)險(xiǎn)動(dòng)態(tài)評(píng)估管理機(jī)制，同時(shí)要求電子健康卡積極采用國(guó)密算法和國(guó)產(chǎn)自主可控安全技術(shù)，確保居民健康信息的安全。
?2019 年 4 月，國(guó)家衛(wèi)生健康委發(fā)布《關(guān)于印發(fā)全國(guó)基層醫(yī)療衛(wèi)生機(jī)構(gòu)信息化建設(shè)標(biāo)準(zhǔn)與規(guī)范（試行）的通知》，明確了基層醫(yī)療衛(wèi)生機(jī)構(gòu)未來(lái) 5-10 年信息化建設(shè)的基本內(nèi)容和要求。其中信息安全部分包括身份認(rèn)證、桌面終端安全、移動(dòng)終端安全、計(jì)算安全、通信安全、數(shù)據(jù)防泄露、可信組網(wǎng)、數(shù)據(jù)備份與恢復(fù)、應(yīng)用容災(zāi)、安全運(yùn)維等 10 個(gè)方面。
?2019 年 12 月，經(jīng)第十三屆全國(guó)人民代表大會(huì)常務(wù)委員會(huì)第十五次會(huì)議通過(guò)，我國(guó)頒布衛(wèi)生健康領(lǐng)域第一部基礎(chǔ)性、綜合性法律《中華人民共和國(guó)基本醫(yī)療衛(wèi)生與健康促進(jìn)法》，明確國(guó)家采取措施推進(jìn)醫(yī)療衛(wèi)生機(jī)構(gòu)建立健全信息安全制度，保護(hù)公民個(gè)人健康信息安全，對(duì)醫(yī)療信息安全制度、保障措施不健全，導(dǎo)致醫(yī)療信息泄露和非法損害公民個(gè)人健康信息的行為進(jìn)行處罰。
?2020 年 2 月 28 日，國(guó)家醫(yī)療保障局、國(guó)家衛(wèi)生健康委員會(huì)發(fā)布《關(guān)于推進(jìn)新冠肺炎疫情防控期間開(kāi)展“互聯(lián)網(wǎng)+”醫(yī)保服務(wù)的指導(dǎo)意見(jiàn)》，要求不斷提升信息化水平，同步做好互聯(lián)網(wǎng)醫(yī)保服務(wù)有關(guān)數(shù)據(jù)的網(wǎng)絡(luò)安全工作，防止數(shù)據(jù)泄露。
當(dāng)前《醫(yī)療衛(wèi)生機(jī)構(gòu)網(wǎng)絡(luò)安全管理辦法》的發(fā)布，為完善醫(yī)療行業(yè)網(wǎng)絡(luò)安全體系邁出了重要一步。
03
《辦法》要點(diǎn)
《醫(yī)療衛(wèi)生機(jī)構(gòu)網(wǎng)絡(luò)安全管理辦法》共5章三十四條，明確了醫(yī)療衛(wèi)生機(jī)構(gòu)的網(wǎng)絡(luò)安全和數(shù)據(jù)安全管理責(zé)任義務(wù)。
（一）推進(jìn)網(wǎng)絡(luò)安全等級(jí)保護(hù)
《辦法》第二章第五條要求有二級(jí)及以上網(wǎng)絡(luò)的醫(yī)療衛(wèi)生機(jī)構(gòu)應(yīng)建立網(wǎng)絡(luò)安全管理制度體系，加強(qiáng)網(wǎng)絡(luò)安全防護(hù)；第七條鼓勵(lì)三級(jí)醫(yī)院探索態(tài)勢(shì)感知平臺(tái)建設(shè)；第八條要求各醫(yī)療衛(wèi)生機(jī)構(gòu)應(yīng)建立應(yīng)急處置機(jī)制有效處理網(wǎng)絡(luò)中斷、網(wǎng)絡(luò)攻擊、數(shù)據(jù)泄露等安全事件。
（二）加強(qiáng)網(wǎng)絡(luò)安全管控
《辦法》第二章第十三條要求相關(guān)機(jī)構(gòu)應(yīng)用大數(shù)據(jù)、人工智能、區(qū)塊鏈等新技術(shù)開(kāi)展服務(wù)時(shí)，上線前應(yīng)評(píng)估新技術(shù)的安全風(fēng)險(xiǎn)并進(jìn)行安全管控。
（三）加強(qiáng)個(gè)人信息保護(hù)
《辦法》第二章第十四條要求各醫(yī)療衛(wèi)生機(jī)構(gòu)應(yīng)規(guī)范和加強(qiáng)醫(yī)療設(shè)備數(shù)據(jù)、個(gè)人信息保護(hù)和網(wǎng)絡(luò)安全管理。
《辦法》第三章第十八條要求關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者應(yīng)擬定關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)計(jì)劃，建立健全數(shù)據(jù)安全和個(gè)人信息保護(hù)制度。
第二十二條要求各醫(yī)療衛(wèi)生機(jī)構(gòu)應(yīng)加強(qiáng)數(shù)據(jù)收集、存儲(chǔ)、傳輸、處理、使用、交換、銷毀全生命周期安全管理工作，數(shù)據(jù)全生命周期活動(dòng)應(yīng)在境內(nèi)開(kāi)展。
醫(yī)療行業(yè)面對(duì)愈發(fā)嚴(yán)峻的網(wǎng)絡(luò)威脅態(tài)勢(shì)，面對(duì)愈發(fā)嚴(yán)苛的監(jiān)管要求，需要全面提升網(wǎng)絡(luò)安全建設(shè)和管理水平，遏制外部攻擊與內(nèi)部威脅，保護(hù)患者個(gè)人信息無(wú)虞，保護(hù)醫(yī)療基礎(chǔ)設(shè)施安全。
