近日，中關村網絡安全與信息化產業聯盟數據安全治理專業委員會編著的《數據安全治理白皮書　５．０》正式發布，其中，《數據安全治理白皮書５．０——醫療數據安全治理實踐（醫院實踐篇）》分析了當前醫療數據安全現狀及痛點，梳理了治理思路。

０１

經過多年的信息化建設，醫療行業積累了大量的高敏感患者信息，如身份證號、家庭住址、家庭關系、醫?？ㄌ?、銀行卡號等個人信息，以及檢查、檢驗、病癥、處方等診療信息。這些數據風險巨大，關系著公民的個人隱私，也關系著社會運行的安全、穩定。與此同時，這些數據也蘊含著巨大商業價值，例如通過對海量病患信息的利用分析實現新的治療方案、新的藥物研究、人工智能診療等新的醫學實踐，從而改善治療的手段、醫藥的有效性、治療的效率等。醫療數據受到醫藥、保健、保險、廣告等商業機構高度關注。

互聯網醫院、醫聯體建設、?？坡撁私ㄔO、聯合診療、醫療健康信息互聯互通、臨床醫學研究、可穿戴健康監測、公共衛生監測等工作都與醫療數據的共享交換密不可分，醫療數據的共享、流動使用是必然趨勢，同時，醫療行業的數據泄露風險必然加大，數據安全管理與防護工作將面臨更大的挑戰。

０２

過去的十多年，醫院在網絡安全建設上進行了大量投入，取得了一定成果，但數據安全建設基礎仍然比較薄弱，尚處于起步階段。

國家對醫療健康行業數據安全的監管也日趨嚴格，政策日趨完善，但尚有模糊地帶，例如智慧互聯與個人信息保護法之間就存在一些沖突，譬如醫院患者個人信息賦予第三方使用的監管問題，有待進一步規定?！稊祿踩ā泛汀毒W絡數據安全管理條例》中都明確，要建立數據分類分級制度，但目前醫院數據的分類分級仍缺乏可落地的策略與方法。

《白皮書》建議國家衛健委就一些行業默認執行的規則進行顯性的行業規定下發，以減少醫院數據安全工作者在執行落地中的法規困惑，歸納為以下幾點：

１、明確醫院在診療過程中收集的個人信息和診療信息可以用于醫院的診療過程中，不需要與患者另行簽署個人信息處理同意書。

２、明確醫院在診療過程中收集的個人信息和診療信息，出于醫療檔案留存需要，可以長久保存（如?。常啊∧辏挥米裱颊邉h除權。

３、明確醫院在診療過程中收集的個人信息和診療信息，在采用去標識化手段后，可以進行網上聯合診療。

４、明確醫院在診療過程中收集的個人信息和診療信息，在醫聯體中，不需要與患者另行簽署同意書。

５、明確醫院收集的診療信息在去除標識化后，可以用于醫學研究中，不需要與個人另行簽署同意書。

６、明確醫院收集的個人信息和診療必要信息在進行醫保申請時，可以傳遞給醫保機構，不需要與個人另行簽署同意書。

７、明確醫院收集的個人信息和診療必要信息在上報給衛健委備案時，不需要與個人另行簽署同意書。

８、面向商業保險查詢個人電子病歷信息時，需要出示紙質或電子的個人同意書。

９、其余的未涉及的，遵循《個人信息保護法》中的一般要求。

０３

在此基礎上，《白皮書》提出醫院數據安全治理的整體思路，并繪制了醫院數據安全治理框架。

思路有二：

１．　以患者隱私數據安全管理和保護為目標，以電子病歷數據分類分級保護為核心，面向醫院數據應用場景，構建醫院數據安全基礎能力；

２．　以平衡數據安全與開發利用、提升醫院數據應用效率為目標，完善醫院數據安全和檢查評估體系。

醫院數據安全治理框架整體示意如下圖所示，將以醫院電子病歷數據分級為基礎，建立患者數據生命周期安全防護體系，并通過完善數據安全組織建設、明確醫院數據各場景的數據安全需求、完善管理和技術體系建設，全面保障醫院數據安全。

醫院數據安全治理框架

患者數據生命周期和數據場景安全防護要求是數據生命周期安全框架的核心，針對不同級別的數據，明確其在數據生命周期各個環節的安全防護要求，是醫院開展數據安全防護工作的基本依據。結合患者數據使用場景及電子病歷數據的特點，建立覆蓋醫院數據生命周期和數據使用全場景安全防護機制，是保障醫院數據安全的必經之路。此外，組織保障、管理體系也是醫院數據安全框架必不可少的組成部分。

結合前面的整體思路和安全框架，針對醫院目前普遍存在的數據安全建設痛點問題，《白皮書》提出，醫院醫療數據分類分級、醫院數據場景安全指南、醫院數據安全檢查評估、可落地的醫院數據安全綜合方案等四個方面，是醫院數據安全治理的重點方向。（內容來源：中關村網絡安全與信息化產業聯盟數據安全治理專業委會編著《數據安全治理白皮書?。担啊罚?/p>

醫療行業數據安全建設涉及的范圍廣，難度大，建設基礎較弱。除醫院的患者診療數據外，還包括疾控數據、居民健康檔案數據、互聯網醫療平臺數據、醫藥平臺數據、衛健委統計上報數據、人類遺傳數據等等，醫療行業數據安全建設和治理迫在眉睫，挑戰巨大，受到行業各方關注，同時也需要各方共同努力，探討治理思路。

注：文章來源于網絡，如有侵權，請聯系刪除