医疗行业数据安全风险评估工作探讨四

原创

草根老烦
草根老烦

老烦的草根安全观

2026年8月10日 10:00
广东

在小说阅读器读本章

去阅读

5.  数据安全风险评估常见误区

5.1误区一：数据分类分级是风险评估的唯一依据

数据安全风险评估评估的对象是数据和数据处理活动，数据分类分级是法律义务与安全工作基础，是法律赋予数据处理者的法定责任和义务，是整个数据安全工作的基础；但并非风险评估的唯一依据。未做分类分级本身就是高风险项——评估团队只需定级，整改时限由监管部门敲定。但即便缺乏分级，若落实了脱敏等核心措施，其工作价值仍应被认可。评估不能只看“有没有做”，更要看“做得对不对”。从数据安全风险评估角度而言，未开展数据分类分级可视为高风险，但不能因为未分类分级中断风险评估工作；未开展数据分类分级需在风险评估报告中作为优先处置风险计划，依据《数据安全法》《网络数据安全管理条例》《医疗卫生机构数据安全和个人信息保护管理办法（试行）》要求限期完成数据分类分级；

必须要明确的问题是，数据安全风险评估必须明确数据资产，这是整个评估工作的基础，没有评估对象，评估工作将陷入一种虚无的状态。针对评估对象而言，需要具备的是数据资产清单，通过数据资产清单可以为没有落实数据分类分级的医院提供分类分级依据，也可以通过商业化工具进行快速分类分级，确定组织重要/核心数据之后，开展具体的评估工作，也可以数据资产清单中对数据可流通性进行说明。

数据安全风险评估的第二个对象是数据处理活动，在实际评估中，如果未对数据分类分级开展工作，可以通过数据流通途径（参考4.2.2），以数据存储中心作为根节点，以业务调用为触发条件，将整个数据全生命周期串联起来，重点针对患者信息、医疗健康数据的调用作为评估重点，开展风险评估活动。

5.2误区二：医疗系统是孤立的

数据的复杂性是基于业务交互的复杂性，对于一个单一业务而言，数据应该是在本业务系统中进行有序流动；但是对于一个复杂业务而言，数据的流动是在于其关联的所有业务系统进行的流动，原则上这种流动应该是可预见和可控制、可管理的；但现实中，受到多种因素的影响，这种流动可能是无序的或者不可完全控制的行为。医疗信息系统从封闭到开放，使得整个医疗活动逐步开始完全医疗完整的医疗信息平台在运作，比如：HIS和计费双系统形成的关联导致整个诊疗活动完全依赖于其运行。随着数据中心化的问题，各个业务系统开始向数据中台交互数据，使得孱弱的医疗信息化管理更难适配高速发展的数字化进程。

云HIS、影像云、医联体、医共体、社区医疗以及下设医院带来的系统共享，患者基础信息共享等问题逼迫医疗机构必须开放数据流通和共享。

业务交互识别最好的方法是通过绘制业务关系图的方式进行识别。这种关系图的产生是通过评估人员与业务部门、信息科和开发商通过圆桌会议的方式进行，通过业务穿行的方式验证，最终为每业务提供业务交互图和业务流图。图31绘制了一个院内业务交互的简易图，从图中我们可以发现，整个医疗机构的数据是相互贯通的，一个非常简单的业务逻辑：患者挂号→挂号信息写入挂号系统→护士站取号→叫号系统去标识化数据→医生调用HIS系统基础数据→写EMR（电子病历）→开具处方→推送到药品信息到计费→缴费→药房取药系统确认备药→药房叫号系统叫号→患者取药。在整个业务流程中，从挂号开始经历了挂号、HIS、计费、电子病历、处方、药房、叫号等多个系统，每个系统归属部门不同、涉及的数据样本不同、字段不同，记录的显示规则不同等，构成了一个完整的业务闭环轨迹。

图31 业务交互图

医疗系统并非孤立存在，已从早期的单系统孤岛演变为系统间深度交互。评估不能只盯单一系统，必须看整体交互链路，否则风险会被严重低估。

5.3误区三：风险评估等同于等级保护测评

测评是指测评是指通过科学方法对事物或人的特征进行测量和评价，以获得客观的综合结果或判断。“测评”是由“测”和“评”两个动作组成的复合词，意思是先测量再评价，强调依赖客观数据和科学方法进行判断。测评工作通常会作为认证认可的一种依据，比如：通过网络安全等级保护相关测评工作可获得CNAS认可的符合相应保护等级要求。测评依据明确的方法、具体的指标由授权机构完成；我们通常所指的网络安全等级保护测评在GB/T 28448-2019 《网络安全技术 网络安全等级保护测评要求》中对等级测评（testing and evaluation for classified cybersecurity protection）做出定义“测评机构依据国家网络安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密的网络安全等级保护状况进行检测评估的活动。”

国标GB/T 25069-2022《信息安全技术 术语》对评估的定义为评估（assessment）对于某一产品、系统或服务，对照某一标准，采用相应的评估方法，以建立合规性并确定其所做是否得到确保的验证。《数据安全风险评估办法》第二条对网络数据安全风险评估（以下简称风险评估）的定义是“是指对网络数据和网络数据处理活动安全进行的风险识别、风险分析和风险评价等活动。”从定义中明确数据安全风险评估的对象和活动。

从定义而言，两者具有相似之处，我们可以把评估作为测评的一种过程，但不代表其具有测评的认证认可的能力和效果。也可以把测评标准作为评估的参照标的用于评估的风险度量中。但两者的效力和符合性要求具有一定的差异化。风险评估工作的识别风险、分析风险和提供风险处置建议；测评工作是基于特定的符合项要求进行测试和评价，从而定义组织是否符合规范，对不符合规范的要求进行符合性整改，其本质并不是完全基于风险。

风险评估的合规再于风险评估报告而不是风险评估的结果；风险评估不同于测评，测评基于一定的基准定义测评结果；风险评估是根据组织实际面临的风险状态进行分析，给出风险处置的建议，其目的和本质不同；等保测评仅验证基线符合性，并不等同于真实安全。合规只是及格线，不等于风险级别不高。测评仅针对特定符合项进行整改，而风险评估的核心在于识别、分析与处置风险，是基于威胁与脆弱性进行的深度分析，是对业务逻辑的深层解构。

本质区别：等级保护是基于基线的合规性检查，风险评估是对组织特定风险的综合评价。风险评估绝非简单的标准比对。

5.4误区四：风险评估可以低价复制

为什么会产生低价风险评估业务，咎其根源源于市场的挤压和非咨询机构介入风险评估市场，将咨询服务作为产品推销的工具，导致整个咨询市场畸形发展。从实际业务发展情况而言，主要可以从三个方面进行分析：低人力成本、低技术成本和可复制性

l风险评估是否可复制

风险评估工作不同于传统的软性服务，尤其是在医疗行业。不同医院存在不同的组织架构、不同的业务系统、不同的数据交互逻辑以及不同的管理模式，院与院之间的数据安全风险类型可能完全不同，因此风险评估报告和评估手段不可能复制；

同样一个HIS系统，在三甲医院、二甲医院或者甲级医院覆盖的患者数量不一样，关联的业务系统不一样；同样是三甲医院，分院的管理模式不同、依托的技术平台不同其数据安全风险同样不同。基于这些不同，医疗卫生行业的数据安全风险评估工作及报告存在不可复制性的原则。

方法论和实施技术的可复制性不代表报告和结论的可复制性。

l低人力成本

咨询产业是人力要求最高的产业，通常没有3-5年的行业经验不应该从事咨询。数据安全咨询服务需要对服务方业务熟悉的跨行业知识，这使得传统的低成本人员基本无法满足真正的数据安全风险识别能力；风险评估人员必须具备专业IT/安全知识，数据安全的特殊性使得评估团队中需要至少一名熟悉业务的工程师，才能有效实施评估工作。越是不成熟的产业越是需要经验丰富的工程师参与实施，而不是用客户的惨痛的后果作为自己积累经验的垫脚石。

l低技术成本

数据安全风险评估不同于测评，可以基于基线进行比对。数据安全风险评估需要针对数据在业务流转过程中的全生命周期风险进行识别，这不是某个技术产品可以实现的，工具化的设备设施可以在技术验证中起到重要作用，但是在业务逻辑、管理活动以及数据流转中往往束手无策。这就使得模板化工具只是加快了报告的输出效率，增加合规性的应对手段。

评估技术需要建立在超越用户和行业平均水平的高度，只有站的比别人高，才能更有效的发现更多的现存的风险，这就需要自身所具备的技术能力不是基于低价值所能替代的，当用于“恶”的收益大于“善”的收益时，技术人员所能够导向的目标自然会偏向于收益更大的空间。

低价竞标导致甲方预算被锁死，次年涨幅受限，形成行业恶性循环。部分厂商以免费评估为诱饵，后续强制捆绑高价产品——“羊毛出在羊身上”的套路，用免费做敲门砖，实则为了卖产品。

5.5误区五：必须由第三方机构进行评估

《数据安全风险评估办法》第七条规定“网络数据处理者可以自行或者委托第三方评估机构（以下简称评估机构）开展风险评估。”本条明确指出，数据安全风险评估可以由机构自行开展，第二款规定中对自评估工作明确要求“指定专人负责”一般建议而言，从组织管理架构而言，至少应由主管副院长作为总体协调人，根据“谁管业务，谁管数据，谁管数据安全”的原则，由业务部门指定一名专人负责数据安全风险评估工作的管理，由信息科指定专人负责数据安全风险评估的具体执行。

同时，《数据安全风险评估办法》针对什么情况需要第三方评估，给出明确的规定。第十七条中指出，“省级以上网信部门、电信主管部门、公安机关和其他有关部门在风险评估报告核验、监督检查等工作中发现网络数据处理者有以下情形之一的，可以要求其委托通过认证的评估机构开展风险评估”首先有个关键的问题-风险评估报告的客观性，监管部门需要针对客观的风险评估报告中的风险描述才能为监管部门提供有效的判断和决策。本条针对需要第三方评估的条件做出要求：

l网络数据处理活动存在较大安全风险，可能危害国家安全、公共利益的；

l发生网络数据安全事件，导致重要数据或者大规模个人信息泄露、被窃取的；

l有关部门规定的其他情形。

针对是否采用第三方评估《办法》第七条和第十七条分别做出了规定，其中第七条提出“网络数据处理者委托评估机构开展风险评估，应当通过订立合同或者其他具有法律效力的文件等方式明确双方的权利、义务等。”委托第三方机构必须签署合同、保密协议等文件；第八条对第三方数据安全风险评估机构的资质问题给出规定“鼓励相关评估机构通过认证。评估机构的认证按照《中华人民共和国认证认可条例》的有关规定执行。”从现有的规定而言，《办法》并没有对评估机构给出强制资质要求。一是资质获得，明确经国务院认证认可监督管理部门依法批准的具有数据安全服务认证资质的认证机构，可按照《数据安全技术 数据安全评估机构能力要求》（GB/T 45389）等有关国家标准、行业标准对评估机构开展认证。二是工作原则，要求应当遵守法律法规、公正客观地作出风险判断，并对所出具的风险评估报告真实性、有效性、完整性负责。三是报告责任，要求评估机构在风险评估过程中发现网络数据处理活动存在重大数据安全风险的，应当及时通报网络数据处理者，并按照有关规定向省级以上网信部门、有关主管部门报告。四是保密责任，要求评估机构及其工作人员应当对在风险评估过程中获得的数据、商业秘密、保密商务信息等依法予以保密。对于机构在选择评估机构时可参考GB/T 45389-2025《数据安全技术 数据安全评估机构能力要求》中对第三方评估机构和人员的要求。目前明确提供数据安全风险评估资质的是由赛迪、塞西根据工信部《工业和信息化领域数据安全风险评估实施细则（试行）》颁发的《工业和信息化领域数据安全风险评估服务能力认证证书》

图32工业和信息化领域数据安全风险评估服务能力认证证书

目前国内颁发的有关数据安全的主要资质有中国信息安全测评中心颁发的《信息安全服务资质（数据安全类一级）》通用的网络安全类风险评估资质主要有《信息安全服务资质（风险评估类一级、二级）》和中国网络安全审查认证和市场监管大数据中心颁发的《信息安全风险评估服务资质》认证，共分为一级、二级、三级共三个级别，其中一级最高，三级最低。

针对第三方评估机构而言，为了从多角度反映被评估机构的数据安全风险发现，《办法》第十二条要求针对第三方评估机构组织应该在持续选择评估机构时遵循“同一评估机构及其关联机构不得连续3次以上对同一网络数据处理者开展年度风险评估。”的原则。针对本条，在实际评估工作中应防范通过同一法人多家实体，同一实体多个机构名称的方法绕开第十二条的约束。

由于大多数医疗卫生组织受费用、岗位名额、组织关注度等影响，网络和数据安全水平能力及部门建设普遍滞后，导致自评估能力弱，引入第三方评估实属必要。对于大型医院若有专业团队，可依规开展自评估工作。

5.6误区六：风险评估的目的仅是应付合规

当前行业风险评估报告普遍存在“表面合规”现象。多数甲方做评估的核心目的就是应付检查，只要能拿到主管部门认可的合规报告即可。但评估工作的核心目的是“发现问题”，而非仅“应付合规”。若仅为了合规而进行，其价值有限。

管理、业务及流程风险之所以“扎心”，是因为其无法像技术风险那样直接靠砸钱解决。技术漏洞能花钱买设备补，但管理烂、流程乱就是砸钱也救不了的硬伤。“只评不建”现象的根源在于：评估机构将问题全转化为产品推销，致使建设成本严重超标；报告为应付合规，将风险定性为“可接受”。

5.7误区七：如何为数据安全风险评估项目定价

目前数据安全风险评估的定价通常以系统为单元，每系统3-5万不等。这个定价是否恰当？因为软性咨询项目本身没有标准的定价依据，如何给出一个合理的价格区间和计量方法，实际上是破局低价竞争的一个核心问题。有关定价的问题，我们需要理解两个问题：①风险评估的范围如何确定；②如何定义成本？

5.7.1 风险评估范围定义：

目前的数据安全风险评估的评估单位计量借鉴了网络安全等级保护1.0的计量方法-以系统为单元；但在网络安全等级保护2.0中，针对于等保的保护范围已经从系统演化为业务单元，两者之间有什么区别呢？比如：我们以挂号业务为例，传统的挂号业务前期为院内业务，后期，从院内业务扩展为院外业务和互联网业务，也就意味着在整个挂号业务中可能会涉及三个系统，本地挂号业务平台；互联网（APP、小程序、Web）挂号模块以及第三方挂号模块。如果从系统的角度出发，这可能会至少包含三个系统。但是如果从业务角度出发，这只支撑了一个业务。那么在实际评估过程中，有可能评估者仅会针对院内挂号业务和最终挂号业务中涉及到的核心业务数据开展评估，至于院外业务和第三方挂号业务仅会讨论数据API的风险问题，而缺失采集、传输和使用的环节，造成数据风险的遗漏。

《数据安全风险评估办法》中明确了数据安全风险评估的对象：数据和数据处理，那么我们可以基于两个对象来讨论数据评估范围的确定。第一、以数据为中心的数据安全风险评估途径；第二，以数据全生命周期处理活动为中心的数据风险评估途径。

以数据为中心的数据安全风险评估是指先定位组织核心数据平台，比如：数据中台或者核心业务的数据库服务器，比如HIS系统数据库服务器。然后以此为中心，扩展所有需要调取此中心数据的业务关联及调用模式、账号、授权及数据处理手段，反向推导数据全生命周期活动；

以数据全生命周期的处理活动为中心是指从患者信息采集开始，关联采集数据的传输、存储、使用、处理、共享和流通以及废弃全生命周期活动所涉及的流程、组件、设备、设施、功能模块、人员、平台开展评估工作。

综上所述，不管采取哪一种方法，都可能涉及的医疗卫生机构全业务平台而不是某一个单一业务或系统的构成。因此，单纯的基于系统的定义，无法有效反映被评估机构的数据安全现状和风险问题。

5.7.2 风险评估成本计量

中国合格评定国家认可委员会在CNAS-RC04 《认证机构认可收费管理规则》4.1节中描述“CNAS 本着不以赢利为目的的原则向申请认可和获准认可的认证机构收取认可费用。”针对认可评审的费用计量做出规定。“4.2 认可评审的工作量（人日数）按照国际惯例，根据申请认可的机构的规模、申请认可的业务领域和业务范围类型、已颁发认证证书的数量、认证产品/服务类别和产品/服务标准的数量，以保证评审工作质量为原则确定。”首先明确的该费用是建立在非盈利的基础之上，在5.1中，《规则》确定了收费的项目包括：：申请费、评审费和认可年金（即认可年度管理费，含认可标识使用费）。其计量标准为：

表24 CNAS收费标准表

注：1.认可机构在认可过程中发生的交通、住宿等差旅费，按照国际惯例由申请机构承担，具体标准可以参照国家相关差旅费规定执行。

2.认可年度管理费（年金）的年度计算周期为日历年。

工信部工业和信息化领域数据安全风险评估认证服务中参考了CNAS的计费标准，公布了数据安全风险评估认证收费标准，参见下表

表25 工业和信息化领域数据安全风险评估认证收费标准

注：

1. 初次认证、再认证时，均需缴纳申请费、审定与注册费；

2. 现场审核、监督审核涉及的差旅费由被审核方另行承担，差旅费标准依据《中央和国家机关差旅费管理办法》《中央和国家机关工作人员赴地方差旅住宿费标准明细表》执行；

3. 认证证书有效期为3年，有效期内每12个月开展一次监督审核。

从上述收费中我们可以发现，赛迪使用的依旧是非盈利为目的的认证认可机制收费标准。根据《中华人民共和国认证认可条例》规定“第二条本条例所称认证，是指由认证机构证明产品、服务、管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动。本条例所称认可，是指由认可机构对认证机构、检查机构、实验室以及从事评审、审核等认证活动人员的能力和执业资格，予以承认的合格评定活动。”从认证认可体系而言，不适用于《网络数据安全风险评估办法》中对数据安全风险评估工作的定义。表26针工业和信息化领域数据安全风险评估认证审核人日关系表。

表26 工业和信息化领域数据安全风险评估认证审核人日

该表采用了CNAS和ISO在认证审核中的常见计量方法。

那么数据安全风险评估项目如何建立定价准则呢？实际上，我们可以参考早期网络安全风险评估的商业计价模式，将整个计价分为三个阶段：

第一阶段：调研阶段

调研阶段是根据组织的评估范围、评估对象的数量（数据量）、业务复杂性（API数量、业务交互边界、数据流通边界、涉及部门和第三方供应关系等）、规模（涉及组件、业务数量、数据处理设备数量、涉及的云、物联网设备数量）进行综合调研，基于调研设定计费基数和实施周期。

第二阶段：初步造价

根据第一阶段调研生成实施周期和团队人员构成，按人天计量成本，形成初步造价，该造价需要提供实施甘特图作为造价依据。因存在地域差、招投标因素、行业管理机构另行造价要求等诸多因素，本文不对具体的造价做出基于财务计量的描述。一般而言，数据安全风险评估项目基本人天可参考下表所示：

表27 数据安全风险评估人天计量表

注：本计量以通用医疗行业2甲医院作为参考依据，3甲医院和专科医院，以及涉及多院区、医联体、医共体、互联网医院等场景，需要根据实际情况单独计量。

第三阶段：确定最终价格

被评估机构根据自身的投入对评估对象进行裁剪，包括评估对象（涉及业务系统和业务部门）、评估边界（物理边界，如分院、社区医院、医联体的共享数据等；业务边界，如：仅针对特定业务的数据处理开展评估活动；数据边界，如：针对数据流通产生的特定接口单元之外或者之内作为评估的起点或终点）；评估区间（如：仅开展与HIS产生直接业务关系的数据处理活动进行评估，不包含与HIS形成数据共享和流通的环节）等进行裁剪，裁剪完成后形成最终的评估造价依据，由被评估方负责人签字确认后形成最终造价。

经过裁剪的评估范围应作为下一年度的评估对象开展持续的评估工作而不是不再开展评估。裁剪应充分考虑优先级问题，针对承载重要/核心数据的业务不应被裁剪；曾经发生过数据安全事件的业务不应该被裁剪。

https://rz.cstc.org.cn/zyfw1/gyhxxhlysjaqfxpgfwrz.htm

https://www.cc.cesi.cn/news/show-5167.aspx

https://www.cnas.org.cn/cms\_files/filemanager/328304128/attach/202412/976030AB7E38162D28F0B71D1137703F.pdf

以下数据源自：公开文件

https://www.cac.gov.cn/2025-12/07/c\_1766659536739996.htm