打開(kāi)手機(jī)掃描二維碼
即可在手機(jī)端查看
一、方案目標(biāo)
保護(hù)患者隱私和數(shù)據(jù)安全： 確保電子病歷數(shù)據(jù)在采集、存儲(chǔ)、使用、共享等全生命周期得到有效保護(hù)，防止數(shù)據(jù)泄露、篡改、丟失等風(fēng)險(xiǎn)。
提升數(shù)據(jù)利用效率： 在保證數(shù)據(jù)安全的前提下，促進(jìn)電子病歷數(shù)據(jù)的合理開(kāi)發(fā)利用，為醫(yī)療科研、臨床決策、健康管理等領(lǐng)域提供數(shù)據(jù)支持。
實(shí)現(xiàn)全流程追溯： 建立電子病歷數(shù)據(jù)訪問(wèn)、使用、共享等行為的審計(jì)記錄，實(shí)現(xiàn)數(shù)據(jù)全流程可追溯，便于追蹤問(wèn)題、責(zé)任認(rèn)定和事件調(diào)查。
提升醫(yī)院數(shù)據(jù)安全水平： 通過(guò)建立完善的數(shù)據(jù)安全管理體系和技術(shù)體系，可以有效提升醫(yī)院數(shù)據(jù)安全水平，降低數(shù)據(jù)安全風(fēng)險(xiǎn)。
促進(jìn)數(shù)據(jù)開(kāi)發(fā)利用： 在保證數(shù)據(jù)安全的前提下，可以促進(jìn)電子病歷數(shù)據(jù)的合理開(kāi)發(fā)利用，為醫(yī)療科研、臨床決策、健康管理等領(lǐng)域提供數(shù)據(jù)支持。
提升醫(yī)院管理效率： 通過(guò)數(shù)據(jù)全流程追溯，可以提升醫(yī)院管理效率，例如追蹤數(shù)據(jù)安全事件、責(zé)任認(rèn)定等。
(1)成立數(shù)據(jù)安全領(lǐng)導(dǎo)小組，負(fù)責(zé)制定數(shù)據(jù)安全方針政策、確定數(shù)據(jù)安全目標(biāo)、統(tǒng)籌協(xié)調(diào)數(shù)據(jù)安全工作。
(2)成立數(shù)據(jù)安全管理小組，負(fù)責(zé)建立數(shù)據(jù)安全管理體系、制定數(shù)據(jù)安全管理制度和規(guī)范、開(kāi)展數(shù)據(jù)安全評(píng)估和檢查。
(3)成立數(shù)據(jù)安全運(yùn)營(yíng)小組，負(fù)責(zé)數(shù)據(jù)安全策略落地、數(shù)據(jù)安全事件處置、數(shù)據(jù)安全風(fēng)險(xiǎn)運(yùn)營(yíng)等日常工作。
(1)建立數(shù)據(jù)安全管理制度，明確數(shù)據(jù)安全責(zé)任、數(shù)據(jù)安全流程、數(shù)據(jù)安全考核等。
(2)建立數(shù)據(jù)資產(chǎn)管理制度，規(guī)范數(shù)據(jù)資產(chǎn)梳理、分類分級(jí)、備案、使用、留存、報(bào)廢等流程。
(3)建立數(shù)據(jù)生命周期安全管理制度，規(guī)范數(shù)據(jù)采集、存儲(chǔ)、使用、共享、刪除等環(huán)節(jié)的安全要求。
(4)建立數(shù)據(jù)安全運(yùn)營(yíng)管理制度，規(guī)范數(shù)據(jù)安全評(píng)估、事件處置、風(fēng)險(xiǎn)運(yùn)營(yíng)等日常工作。
(5)建立數(shù)據(jù)安全事件管理制度，規(guī)范數(shù)據(jù)安全事件分類、處置、應(yīng)急響應(yīng)、責(zé)任認(rèn)定等流程。
(6)建立第三方人員安全管理制度，規(guī)范第三方人員登記備案、業(yè)務(wù)流程、權(quán)限管理、保密協(xié)議等。
(7)建立數(shù)據(jù)安全用戶權(quán)限管理制度，規(guī)范用戶訪問(wèn)權(quán)限的分配、變更、回收等流程。
(8)建立數(shù)據(jù)共享開(kāi)放管理制度，規(guī)范數(shù)據(jù)共享開(kāi)放的范圍、條件、流程、安全防護(hù)等。
(1)數(shù)據(jù)分類分級(jí)系統(tǒng)：實(shí)現(xiàn)對(duì)電子病歷數(shù)據(jù)進(jìn)行分類分級(jí)，并形成數(shù)據(jù)分類分級(jí)清單。
(2)數(shù)據(jù)安全審計(jì)系統(tǒng)：實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)訪問(wèn)、業(yè)務(wù)系統(tǒng)訪問(wèn)、API 調(diào)用等行為的審計(jì)，并留存審計(jì)日志。
(3)數(shù)據(jù)脫敏系統(tǒng)：實(shí)現(xiàn)對(duì)敏感數(shù)據(jù)進(jìn)行脫敏處理，降低數(shù)據(jù)泄露風(fēng)險(xiǎn)。
(4)數(shù)據(jù)安全監(jiān)測(cè)系統(tǒng)：實(shí)現(xiàn)對(duì)數(shù)據(jù)安全風(fēng)險(xiǎn)的實(shí)時(shí)監(jiān)測(cè)，并及時(shí)發(fā)出預(yù)警。
(5)數(shù)據(jù)加密系統(tǒng)：實(shí)現(xiàn)對(duì)敏感數(shù)據(jù)進(jìn)行加密存儲(chǔ)，防止數(shù)據(jù)泄露。
(6)數(shù)據(jù)水印系統(tǒng)：保障全流程數(shù)據(jù)流向的“信標(biāo)”，出問(wèn)題以后的追溯。
(7)數(shù)據(jù)安全運(yùn)營(yíng)平臺(tái)：實(shí)現(xiàn)數(shù)據(jù)安全策略管理、事件管理、風(fēng)險(xiǎn)運(yùn)營(yíng)等功能，提升數(shù)據(jù)安全運(yùn)營(yíng)效率。
(1)數(shù)據(jù)采集安全：嚴(yán)格控制數(shù)據(jù)采集范圍，采用數(shù)據(jù)加密、身份認(rèn)證等技術(shù)手段，確保數(shù)據(jù)采集合法合規(guī)。
(2)數(shù)據(jù)傳輸安全：采用數(shù)據(jù)加密、身份認(rèn)證、訪問(wèn)控制等技術(shù)手段，確保數(shù)據(jù)傳輸過(guò)程中數(shù)據(jù)安全。
(3)數(shù)據(jù)存儲(chǔ)安全：對(duì)敏感數(shù)據(jù)進(jìn)行加密存儲(chǔ)，定期進(jìn)行數(shù)據(jù)備份和恢復(fù)演練，確保數(shù)據(jù)存儲(chǔ)安全。
(4)數(shù)據(jù)內(nèi)部使用安全：嚴(yán)格限制數(shù)據(jù)訪問(wèn)權(quán)限，采用數(shù)據(jù)脫敏、訪問(wèn)控制等技術(shù)手段，確保數(shù)據(jù)內(nèi)部使用安全。
(5)數(shù)據(jù)內(nèi)部開(kāi)發(fā)利用安全：對(duì)用于科研、開(kāi)發(fā)測(cè)試等場(chǎng)景的敏感數(shù)據(jù)進(jìn)行脫敏處理，確保數(shù)據(jù)開(kāi)發(fā)利用安全。
(6)數(shù)據(jù)開(kāi)放共享安全：建立數(shù)據(jù)共享開(kāi)放管理制度，規(guī)范數(shù)據(jù)共享開(kāi)放的范圍、條件、流程、安全防護(hù)等，確保數(shù)據(jù)開(kāi)放共享安全。
(7)數(shù)據(jù)第三方委托安全：建立第三方人員安全管理制度，規(guī)范第三方人員的數(shù)據(jù)安全責(zé)任和義務(wù)，確保數(shù)據(jù)第三方委托安全。
(8)互聯(lián)網(wǎng)醫(yī)療安全：對(duì)互聯(lián)網(wǎng)醫(yī)療平臺(tái)的數(shù)據(jù)接口進(jìn)行安全防護(hù)，確?；ヂ?lián)網(wǎng)醫(yī)療數(shù)據(jù)安全。
(9)數(shù)據(jù)上報(bào)安全：對(duì)數(shù)據(jù)上報(bào)過(guò)程進(jìn)行安全防護(hù)，防止數(shù)據(jù)泄露。
(10)數(shù)據(jù)出境安全：對(duì)數(shù)據(jù)出境進(jìn)行審批和監(jiān)測(cè)，確保數(shù)據(jù)出境合規(guī)。
1．案例一：XX 醫(yī)院電子病歷數(shù)據(jù)分類分級(jí)實(shí)踐
需求背景： 隨著《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法》等法律法規(guī)的落地，XX 醫(yī)院需要建立電子病歷數(shù)據(jù)分類分級(jí)體系，確保數(shù)據(jù)安全合規(guī)。
實(shí)施方案：
部署數(shù)據(jù)分類分級(jí)系統(tǒng)，實(shí)現(xiàn)數(shù)據(jù)資產(chǎn)的自動(dòng)識(shí)別和分類分級(jí)。
建立電子病歷數(shù)據(jù)分類分級(jí)指南，明確數(shù)據(jù)分類分級(jí)的原則、方法和流程。
制定醫(yī)院數(shù)據(jù)場(chǎng)景的安全指南，針對(duì)不同場(chǎng)景制定數(shù)據(jù)安全策略。
制定醫(yī)院數(shù)據(jù)安全建設(shè)方案，覆蓋重點(diǎn)數(shù)據(jù)場(chǎng)景和數(shù)據(jù)安全能力建設(shè)。
成果和價(jià)值：
建立了系統(tǒng)化、自動(dòng)化的數(shù)據(jù)安全分類分級(jí)能力。
形成了電子病歷數(shù)據(jù)安全分類分級(jí)指南，為數(shù)據(jù)安全管理提供依據(jù)。
完善了數(shù)據(jù)安全管控機(jī)制和規(guī)范，提升了數(shù)據(jù)開(kāi)發(fā)利用效率。
需求背景： XX 醫(yī)院數(shù)據(jù)庫(kù)種類和數(shù)量較多，運(yùn)維人員權(quán)限管理復(fù)雜，存在數(shù)據(jù)泄露風(fēng)險(xiǎn)。
實(shí)施方案：
部署數(shù)據(jù)庫(kù)運(yùn)維管理系統(tǒng)和數(shù)據(jù)庫(kù)安全網(wǎng)關(guān)，實(shí)現(xiàn)數(shù)據(jù)操作準(zhǔn)入控制、誤操作和違規(guī)操作識(shí)別與處置、數(shù)據(jù)運(yùn)維黑白名單、動(dòng)態(tài)數(shù)據(jù)遮蔽、數(shù)據(jù)運(yùn)維監(jiān)控等功能。
成果和價(jià)值：
有效保護(hù)了數(shù)據(jù)資產(chǎn)，規(guī)范了數(shù)據(jù)行為，規(guī)避了風(fēng)險(xiǎn)。
滿足了數(shù)據(jù)內(nèi)部使用安全要求，保護(hù)了患者隱私。
需求背景： XX 醫(yī)院需要在不同場(chǎng)景下進(jìn)行敏感數(shù)據(jù)的脫敏處理，例如教育科研、臨床研究、開(kāi)發(fā)測(cè)試、數(shù)據(jù)分析挖掘等。
實(shí)施方案：
部署數(shù)據(jù)脫敏（動(dòng)態(tài)脫敏和靜態(tài)脫敏）系統(tǒng)，根據(jù)不同場(chǎng)景選擇合適的脫敏方式，例如掩碼遮蔽、仿真替換等。
成果和價(jià)值：
在保護(hù)患者隱私數(shù)據(jù)的同時(shí)，確保了數(shù)據(jù)可用性和分析結(jié)果的有效性。
為數(shù)據(jù)的安全使用提供了基礎(chǔ)保障，防止了敏感數(shù)據(jù)泄露。
需求背景： XX 醫(yī)院通過(guò)API 接口與第三方平臺(tái)進(jìn)行數(shù)據(jù)交互，存在數(shù)據(jù)泄露風(fēng)險(xiǎn)。
實(shí)施方案：
部署應(yīng)用和API 安全審計(jì)系統(tǒng)，實(shí)現(xiàn)對(duì)API 資產(chǎn)梳理、敏感數(shù)據(jù)識(shí)別、脆弱性檢測(cè)、數(shù)據(jù)行為監(jiān)測(cè)、風(fēng)險(xiǎn)事件追查定責(zé)等功能。
成果和價(jià)值：
實(shí)現(xiàn)了數(shù)據(jù)開(kāi)放共享合規(guī)，完善了數(shù)據(jù)安全管理和防護(hù)機(jī)制。
實(shí)現(xiàn)了隱私敏感數(shù)據(jù)風(fēng)險(xiǎn)監(jiān)測(cè)和事件追溯，有效防范數(shù)據(jù)泄露風(fēng)險(xiǎn)。
需求背景： XX 醫(yī)院需要加強(qiáng)對(duì)數(shù)據(jù)庫(kù)中重要數(shù)據(jù)的保護(hù)，防止數(shù)據(jù)泄露。
實(shí)施方案：
部署數(shù)據(jù)庫(kù)加密系統(tǒng)，對(duì)重要數(shù)據(jù)進(jìn)行透明加密存儲(chǔ)。
增設(shè)數(shù)據(jù)安全管理員（DSA），與DBA 相互獨(dú)立，增強(qiáng)權(quán)限控制。
成果和價(jià)值：
從根本上保證了數(shù)據(jù)安全，即使數(shù)據(jù)被盜也無(wú)法查看明文。
為數(shù)據(jù)庫(kù)增加了額外的訪問(wèn)控制保護(hù)，防止越權(quán)訪問(wèn)。
特別聲明：智慧醫(yī)療網(wǎng)轉(zhuǎn)載其他網(wǎng)站內(nèi)容，出于傳遞更多信息而非盈利之目的，同時(shí)并不代表贊成其觀點(diǎn)或證實(shí)其描述，內(nèi)容僅供參考。版權(quán)歸原作者所有，若有侵權(quán)，請(qǐng)聯(lián)系我們刪除。
凡來(lái)源注明智慧醫(yī)療網(wǎng)的內(nèi)容為智慧醫(yī)療網(wǎng)原創(chuàng)，轉(zhuǎn)載需獲授權(quán)。
智慧醫(yī)療網(wǎng) ? 2022 版權(quán)所有 ICP備案號(hào)：滬ICP備17004559號(hào)-5
