醫(yī)療行業(yè)積累了海量高敏患者診療信息，患者隱私敏感信息天然具備被保護屬性。隨著醫(yī)院業(yè)務(wù)向智慧互聯(lián)的轉(zhuǎn)型發(fā)展，所有涉及敏感數(shù)據(jù)處理的機構(gòu)皆需要承擔數(shù)據(jù)保護的職責與義務(wù)，導致醫(yī)療數(shù)據(jù)保護的實際邊界變得日益模糊，加劇了醫(yī)療數(shù)據(jù)安全的風險暴露面?；颊呙舾袛?shù)據(jù)泄露事件頻發(fā)，行業(yè)監(jiān)管政策要求日趨嚴格，但醫(yī)療行業(yè)的安全建設(shè)多以網(wǎng)絡(luò)安全建設(shè)為主，數(shù)據(jù)安全建設(shè)則仍處于起步階段，尤其是在醫(yī)療數(shù)據(jù)流轉(zhuǎn)與使用環(huán)節(jié)，存在諸多風險。
醫(yī)療數(shù)據(jù)使用場景與數(shù)據(jù)安全風險
01 醫(yī)療數(shù)據(jù)內(nèi)部使用場景 醫(yī)院通過醫(yī)療數(shù)據(jù)集成平臺集中存儲和處理大量敏感的患者診療信息，數(shù)據(jù)內(nèi)部使用場景包括：醫(yī)生在診療過程中對數(shù)據(jù)進行訪問、查詢，醫(yī)院面向患者的病情告知服務(wù)，患者使用自助終端設(shè)備、數(shù)據(jù)運維人員對醫(yī)療數(shù)據(jù)進行維護、管理、導出等場景。在這些過程中存在敏感數(shù)據(jù)前端明文展示、特權(quán)賬號訪問全量敏感數(shù)據(jù)、敏感數(shù)據(jù)調(diào)用無審計、非診療過程非必要數(shù)據(jù)泄露等數(shù)據(jù)使用高危風險點。 02 醫(yī)療數(shù)據(jù)開發(fā)利用場景 醫(yī)療大數(shù)據(jù)中心匯集了醫(yī)院業(yè)務(wù)系統(tǒng)各類實驗室檢驗、診斷、醫(yī)囑用藥、護理記錄、費用等海量醫(yī)療數(shù)據(jù)，對數(shù)據(jù)進行開發(fā)利用以支持診斷服務(wù)和臨床研究，在病歷分析、數(shù)據(jù)匯聚和加工、數(shù)據(jù)統(tǒng)計、臨床科研等過程中，由于敏感數(shù)據(jù)大量匯聚集中，容易存在敏感數(shù)據(jù)過度暴露、非法訪問、違規(guī)查詢、批量竊取、惡意篡改、數(shù)據(jù)販賣等風險。 03 醫(yī)療數(shù)據(jù)共享開放場景 在臨床科研研究、公共衛(wèi)生監(jiān)測、遠程醫(yī)療、患者護理協(xié)調(diào)、醫(yī)療審計與合規(guī)檢查、醫(yī)保報銷結(jié)算、醫(yī)療保險處理等醫(yī)療數(shù)據(jù)開發(fā)共享場景中，醫(yī)療敏感數(shù)據(jù)被在指定渠道進行數(shù)據(jù)公開。由于缺乏敏感數(shù)據(jù)脫敏和匿名化方案、人員安全訪問管控、訪問行為日志留痕、敏感數(shù)據(jù)使用監(jiān)控分析等安全管控手段，易造成高價值敏感數(shù)據(jù)在共享、使用、二次開發(fā)的過程中被惡意違規(guī)竊取、泄露。 04 醫(yī)療數(shù)據(jù)第三方委托場景 醫(yī)院因業(yè)務(wù)或服務(wù)的需要，與第三方機構(gòu)合作頻繁，涉及數(shù)據(jù)委托與處理的多個環(huán)節(jié)。如數(shù)據(jù)委托處理環(huán)節(jié)，若第三方廠商缺乏對應(yīng)數(shù)據(jù)保護手段，易造成數(shù)據(jù)泄露風險。如開發(fā)測試過程，將生產(chǎn)環(huán)境的數(shù)據(jù)遷移至開發(fā)測試環(huán)境時，若缺乏數(shù)據(jù)脫敏和訪問管控措施，數(shù)據(jù)的安全性難以保障。如數(shù)據(jù)庫運維保障外包過程，若對外包運維人員缺乏有效的訪問控制和授權(quán)管理，將極大地增加敏感信息暴露的風險。
以“敏感數(shù)據(jù)”為中心 構(gòu)建數(shù)據(jù)安全技術(shù)體系
針對醫(yī)療數(shù)據(jù)使用場景中存在的諸多風險，如何在保障醫(yī)療數(shù)據(jù)的合理利用和流通的同時，有效保護個人的隱私權(quán)益和數(shù)據(jù)安全？原點安全建議，醫(yī)療行業(yè)應(yīng)以數(shù)據(jù)使用過程中的患者敏感數(shù)據(jù)為中心構(gòu)建數(shù)據(jù)保護技術(shù)體系，建設(shè)從醫(yī)療敏感數(shù)據(jù)發(fā)現(xiàn)、識別、保護、監(jiān)督到治理的一體化協(xié)同技術(shù)保護措施，形成可持續(xù)的數(shù)據(jù)安全運營能力。 以保護醫(yī)療敏感數(shù)據(jù)為核心，幫助醫(yī)療機構(gòu)在數(shù)據(jù)安全分類分級的基礎(chǔ)上建立起自身的敏感數(shù)據(jù)資產(chǎn)目錄，完整掌握不同生態(tài)系統(tǒng)下的醫(yī)療敏感數(shù)據(jù)資產(chǎn)動態(tài)，滿足監(jiān)管合規(guī)需求。基于實時全面的敏感數(shù)據(jù)目錄，可根據(jù)數(shù)據(jù)內(nèi)部使用、數(shù)據(jù)開發(fā)利用、數(shù)據(jù)開放共享、第三方委托處理等不同場景的安全需求，依據(jù)“業(yè)務(wù)必需、最小權(quán)限、職責分離”的原則，建立敏感數(shù)據(jù)訪問控制、權(quán)限管理、動態(tài)脫敏、安全審計等全鏈路的安全監(jiān)測管控機制，有效避免醫(yī)療敏感數(shù)據(jù)的違規(guī)訪問、篡改與泄露風險。
“一體化” 建設(shè)醫(yī)療數(shù)據(jù)安全平臺
隨著醫(yī)療行業(yè)對于數(shù)據(jù)安全重要性認知的改變，以及監(jiān)管政策文件和標準的逐步細化，醫(yī)療行業(yè)數(shù)據(jù)安全保障不再局限于單點防護產(chǎn)品的組合方案。原點安全基于云原生技術(shù)棧構(gòu)建的一體化數(shù)據(jù)安全平臺，針對醫(yī)療行業(yè)當前資源有限但數(shù)據(jù)安全建設(shè)需求復(fù)雜的情況，通過構(gòu)建堅實可靠的數(shù)據(jù)安全保障體系，在實現(xiàn)數(shù)據(jù)有效使用與安全流轉(zhuǎn)的前提下，助力醫(yī)療行業(yè)更高效地使用數(shù)據(jù)為臨床和患者服務(wù)。 數(shù)據(jù)訪問安全層 原點安全在訪問數(shù)據(jù)的工具、應(yīng)用和數(shù)據(jù)源中間構(gòu)建了一層“數(shù)據(jù)訪問安全層”，以敏感數(shù)據(jù)保護為核心，將跨多種數(shù)據(jù)類型、存儲系統(tǒng)和生態(tài)系統(tǒng)的數(shù)據(jù)保護所需的安全能力整合為一個一體化的數(shù)據(jù)安全平臺 uDSP (unified Data Security Platform)，把保護數(shù)據(jù)所需的安全能力都匯集在這一層去實現(xiàn)，為用戶提供跨數(shù)據(jù)類型、存儲孤島和生態(tài)系統(tǒng)的數(shù)據(jù)安全服務(wù)，從而實現(xiàn)更簡單、一致的數(shù)據(jù)安全。 uDSP 十大核心安全能力 一體化覆蓋企業(yè)多源數(shù)據(jù)和多種數(shù)據(jù)安全場景，實現(xiàn)從敏感數(shù)據(jù)發(fā)現(xiàn)識別、自動分類分級、數(shù)據(jù)權(quán)限管控、數(shù)據(jù)動態(tài)脫敏、全鏈路數(shù)據(jù)安全審計、數(shù)據(jù)安全風險監(jiān)測和數(shù)據(jù)安全運營等能力的一體化集成；以統(tǒng)一視圖的敏感數(shù)據(jù)目錄為核心，通過一體化數(shù)據(jù)安全策略實現(xiàn)數(shù)據(jù)安全能力的動態(tài)編排；以一體化數(shù)據(jù)訪問日志為基礎(chǔ)，通過持續(xù)的數(shù)據(jù)安全風險監(jiān)測與運營，實現(xiàn)統(tǒng)一的數(shù)據(jù)安全管理；低成本、高效率滿足企業(yè)的敏感數(shù)據(jù)保護需求。
Copyright ? 2022 上?？评讜狗?wù)有限公司 旗下「智慧醫(yī)療網(wǎng)」版權(quán)所有 ICP備案號：滬ICP備17004559號-5
