医疗行业数据安全风险评估工作探讨五

原创

草根老烦
草根老烦

老烦的草根安全观

2026年8月12日 10:00
广东

在小说阅读器读本章

去阅读

6.  医疗行业数据安全风险评估的要点与核心

6.1要点

6.1.1 理解医患信息全生命周期交互的跨部门和跨院区的业务逻辑

医疗行业从本质而言对信息化的需求并不一定是刚性的，尤其是在中医诊疗过程中。医疗信息化早期对医疗卫生机构更多的作用是辅助管理和辅助诊疗。随着数字技术的突飞猛进的发展，数字化设备设施逐步在替代一些常规医疗手段运用在整个医疗活动之中，但是医护双方并没有对数字化带来的危机和风险形成明确认知，这使得很大程度上，医疗卫生机构对数字化设备依旧停留在可用和信任的基本前提之下，这就使得整个医疗卫生行业的数字化建设缺乏系统化的思维。堆积木式的建设导致整个医疗卫生机构的数字化流转是无序的或者是未知的，这为整个医疗卫生行业数据安全风险急剧扩大。在实际评估中医疗卫生机构内部、院间、院外针对医患数据（个人信息）与健康数据的流转风险及合规性要求被广泛忽视。从业务角度而言，医疗卫生机构仅关注能用和怎么用，并不会对有什么影响和后果形成过多的关注，网络和数据安全意识以及数据安全在国家安全中的重要性认知成为数据安全评估工作中最大的瓶颈。

复杂医疗业务交互可以从院内和院外、院间三个维度建立分析，其基本原则是：是否存在医患数据共享和流通,常见的医疗交互环境包括：

l 院内：各科室、各系统授权过程中的交互，如：以电子病历（EMR）为中心的所有系统的调取和推送

l 院外：医联体、医共体、第三方医疗机构、医保、税务、医疗监管机构以及医疗合作机构之间的横向与纵向数据共享与流通，比如：检验检测数据上传疾控部门

l 院间：总院与分院以及签约社区医疗机构的数据共享与流通

6.1.2 理解医生和患者的相对关系

患者基础信息需要得到保护，患者健康信息也需要保护。那么医护人员的个人信息是否需要保护？在实际数据安全管理场景下，很多机构都面临着一个问题：我们要保护用户个人信息，那么我们自己员工的个人信息是否需要纳入保护之中？毋庸置疑的问题是，医护个人信息同样需要保护。《个人信息保护法》在第二条中明确的保护对象是“自然人”，第三条进一步指出“在中华人民共和国境内处理自然人个人信息的活动”。这也就意味着，数据安全评估者需要对医护人员的个人信息保护风险做出同样的识别与评价。

6.1.2.1 医护人员对患者信息的合规使用问题

医患关系的授权问题，医护人员针对患者的医疗健康信息和个人基础信息的处理应符合具体诊疗活动中的对应关系，比如：A科室的医护人员访问在A科室诊疗的患者信息可能是合规的，但是B科室的医护人员访问A科室的患者信息应作为风险场景进行评价。这个过程包含四种情况：

1.授权问题：由于HIS授权不严谨，导致各科室医生在没有患者诊疗卡或者其他工单授权的情况下可以查看不属于本人患者的信息；

2.越权问题：医护人员在使用HIS时，开发商或者信息科在配置权限时以最大授权配置；

3.软件功能问题：软件中未对跨科室患者信息访问做出约束；

4.管理问题：B科室医生借用A科室医生账号登录产生的查询动作

上述问题充分暴露了在实际医疗卫生机构中产生的数据泄露、滥用以及其他可能数据安全风险和合规性问题。在实际评估过程中，评估人员是否理解上述行为带来的安全风险并采用抽样的模式开展评估工作？

6.1.2.2 患者信息的特殊性

患者信息包括患者基础身份信息和医疗健康信息。作为医疗行业还应该针将特殊身份患者信息纳入敏感个人信息中，比如：省部级领导、特种职业人员、军人以及未来是否需要单独处置关键信息基础设施组织核心人员患者的基础身份信息及医疗健康信息；

医疗健康特有的病种信息，比如：HIV、性疾病、国家法律不予披露的其他病史和正在发生的传染病信息；

6.1.3   不要将信息科当作万金油

在实际数据安全风险评估中，有一个很关键的环节，谁为医护人员授权访问各类医疗信息系统？授权的依据是什么？授权审核谁来做？权限变更的申请提交由谁来发起？医疗设备在部署之前是否会让信息科人员介入通信连接和验证测试？上述种种问题一直以来是医疗卫生机构的网络和数据安全工作的盲点，在实际评估过程中，不仅要充分理解和了解信息科的实际工作，还必须对上述所提的各种流程和授权问题进行梳理，才能有效的识别医疗卫生机构真正的风险源，然后根据风险源制定相应的客观处置措施。

在整个医疗卫生行业的业务数据全生命周期处理活动中，我们不能期望信息科了解所有的活动和过程；更不能期望信息科不仅要掌握医疗数字化建设和技术能力，还要去掌握医疗业务和医疗技术设备（PACS）的相关技术，这对大型三甲医院可能是可以实现的，但是对于中小型医疗卫生机构或者非三甲医院而言，实际上很难实现，这就需要评估人员必须要去相应科室建立访谈和调研。

不是所有业务都要通过信息科，比如：医务为主体的为医疗保险机构共享患者健康数据业务中，信息科仅作为数据的提供方而不是业务的发起方和参与方。这使得信息科在基于业务属性提供数据而言，数据的合规性问题应由医务部门具体承担责任，这时候评估主体就应该是医务部门而非信息科为主体。

6.1.4基因数据

评估人员是否能够理解基因数据的重要性？前文针对基因数据做出了国家定义的阐述，对于评估人员而言，如果无法具备医疗卫生行业的基础知识，很难将基因数据的重要性建立在评估认知中。需要评估人员识别在整个医疗业务中有多少医疗活动可能会涉及采集、传输、存储、使用、加工合成、流通共享以及销毁基因数据的行为；有多少设备和设施会涉及上述环节的基因数据处理；使用哪些技术应用在基因数据处置等相关问题。对于基因数据国家科技部根据《人类遗传资源管理条例实施细则》列出了基因信息监管分类要求，参见表28.

表28 人类基因信息监管分类表

科技部《人类遗传资源管理条例实施细则》

6.2      核心

6.2.1 数据全生命周期的流转梳理

医院数据安全的核心难点在于厘清数据全生命周期的流转环节、涉及设备及相关技术。复杂医疗交互可划分为三个维度：

1.院内交互：HIS、EMR、LIS、PACS等系统间的数据调用关系

2.院外交互：线上挂号、互联网医院、可穿戴设备数据回传等

3.院间交互：医联体数据共享、远程诊疗、跨院区数据同步等

其中，院外与院间交互最难识别，是当前最易管控失灵的盲区。社区医疗数量庞大导致数据共享链路复杂，需明确其与总院或分院的数据归属关系。

6.2.2电子数据与物理介质数据的安全盲区

“网络数据”并没有将非电子数据纳入管理范围，医疗卫生机构通常会产生大量的纸质病历、报告、处方等文件，分别在护士站、检验科、自助终端打印机以及问诊台等地方，还包括患者可能无意中丢弃的病历本、检查单、检查报告等文件。因此针对线下场景的安全与隐私风险是否需要纳入评估范围属于一个存在争议的话题。单纯的考虑电子数据安全问题如果忽视纸质报告等物理管控，风险评估仍将存在重大缺陷。

数据采集边界也已大幅扩张。数字化医疗使采集动作泛化，必须纳入OT侧的端点问题——传统IT视角已无法兜住OT设备（如穿戴式诊疗设备、移动查房终端）带来的新风险。各科室会不会绕过信息科，将第三方开发的系统直接部署在云端，信息科仅提供接口，“只管接口不管源头”的模式极易导致数据链路失控。

6.2.3数据流通中的合规困境

医院营收高度依赖数据流通，但在缺乏良好数据模型时，极易引发合规性风险。这直接点破了医院在“求生存”与“守合规”之间的核心矛盾。以保险公司向医院索要患者信息为例，医院在业务合规与数据提供范围上常面临“给多给少都违规”的实操困境。

国家数据局提出的“数据不动模型动”理念——通过数据模型运算输出脱敏结果，用“模型流通”替代“数据流动”的模式，既满足业务诉求，又从源头规避隐私泄露风险。未来数据安全将不再局限于纯技术职业，而是演变为基于业务的合规能力。

6.2.4接口安全与第三方风险

数据接口是当前数据安全的最大难题。医院内部接口繁杂，连从业多年的信息科人员都难以全面掌握，接口成了安全盲区。以医院刷医保为例，因新增税务认定环节导致API接口激增，业务逻辑复杂化直接推高了接口管理难度。

颠覆性认知：基于暗网数据分析，仅约不到二成数据泄露源于外部攻击，近半数祸起内部及合作方。这直接颠覆了“重防外贼轻防内鬼”的传统安全认知。第三方合作方的合规底线，已成为数据安全的隐形防线。

6.2.5数据加密与脱敏的实操困境

数据管控的最佳位置在数据库服务器及数据流出环节，但这两个节点极易影响业务负载，导致无人敢轻易部署——安全与业务性能在此形成了难以调和的零和博弈。信创背景下国产数据库的大规模部署，对安全产品的兼容性提出了严峻挑战，一旦处理不当极易导致业务瘫痪。

在数据无法加密的场景下，脱敏是兜底手段。但医疗影像数据存在无需专业辨识的敏感信息（如带标签的影像及孕妇B超图），组合处理此类数据是难点。影像云是医疗行业数据安全的高危环节，评估时切勿忽视其风险。

6.3 难点

6.3.1 缺乏医疗行业基础知识

评估人员是否具备医疗行业基础知识，比如：什么是“统方”，“统方”数据来自哪里？“统方”的业务实现手段？“统方”是否合规等问题，需要具备一定的医疗行业基础知识才能有效进行评价。

随着数据要素的推动，医疗卫生数据的商业化成为一种必然，如何理解医疗卫生数据在哪些场景下可以生成商业价值，并具备流通的能力、条件以及已经开始流通的数据是否存在合规风险等问题也在考验风险评估工程师是否能够为评估机构提供一种有效的识别。

数据是基于业务的流动建立其价值属性，而数据面临的风险必然和业务密切相关，熟悉行业业务能够使数据安全风险评估工作事半功倍。

6.2.2医疗影像数据如何评估

在3.2.1.1中我们对医疗影像数据的常见数据格式做出了介绍，由于影像数据本身是非结构化数据或者数据集，这使得在实际评估中需要充分考虑调用影像数据的系统、组件是如何实现具体调用关系。很多影像图片中包含了患者基础信息或设备信息；而图片或视频本身具有可分析性，使得图片或视频一旦关联患者基础信息之后就变成了敏感信息。在这个过程中，需要对影像数据的全生命周期建立识别和分析。

目前大量医疗卫生机构或区域都在建设医疗影像云，通过云平台解决影像数据的存储和处理，但是开放的云平台加大了医疗影像数据的暴露风险。甚至可能会导致关联的医疗影像设备本身受到水平攻击。

国内采用了大量的国外医疗影像设备，从供应链安全角度分析，这些设备是否具有独立的通信模块，能够将影像数据实时或分时投递到厂商所拥有的云平台（不管是善意的还是恶意的），这可能就会涉及到敏感个人数据出境的风险问题。同样，厂商或供应商在远程维护医疗影像设备时会不会产生对数据的读取和操作行为等问题，成为医疗影像数据评估的难点。