医疗机构信息系统信息安全探讨.docVIP

医疗机构信息系统信息安全探讨 　　摘要：本文介绍了信息系统安全管理原则和国内医疗信息安全体系，就影响医疗机构信息系统安全的因素进行了较全面的分析，并提出了相应的安全策略，同时对医疗信息隐私保护措施提出了建议。 　　关键词：信息安全；医院信息系统；安全措施 　　随着信息与网络技术的不断发展，我们进入了一个信息爆炸的时代，人们可以轻松便捷的通过网络技术来进行各种活动。伴随而来的信息安全问题也越发严重，也受到越来越多行业的关注，在网络技术发展普及的同时，信息技术业在医学领域得到广泛的应用，同?右搅苹?构信息系统的信息安全性在当今也同样得到极大的重视。 　　1 信息系统安全管理的原则 　　信息系统安全的核心目标是为关键资产提供可用性、完整性和机密性[1]，所有安全控制、机制和防护措施的实现都是为了提供这些原则中的一个或多个。基于安全需求原则，医疗机构应根据其信息系统担负的使命，积累的信息资产的重要性，可能受到的威胁及面临的风险分析安全需求，按照信息系统等级保护要求确定相应的信息系统安全保护等级，遵从相应等级的规范要求，从全局上恰当地平衡安全投入与效果，做到技术和管理并重。 　　2 国内医疗信息安全体系 　　在医疗活动中，医疗机构为了诊断及科研等其他需要，经常使用医疗信息系统采集、发布大量的医疗相关数据，其中包含着患者的基本信息和敏感信息。如何有效的避免隐私信息的泄露也是越来越多医疗机构普遍遇到的问题。与此同时，卫生行政主管部门认识到了医疗机构信息系统安全的重要性，也逐年发布医疗信息保障管理办法。2004年9月发布的《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）进一步强调了开展信息安全等级保护工作的重要意义，规定了实施信息安全等级保护制度的原则、内容、职责分工、基本要求和实施计划，部署了实施信息安全等级保护工作的操作办法。2011年，信息安全等级保护已列入《三级综合医院评审标准》中信息化规范建设的重要考核依据与指标。2011年卫生部发布《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》，要求卫生行业“全面开展信息安全等级保护工作”。 　　3 医院信息安全治理与风险管理 　　医院系统信息安全风险管理的传统措施是以边界、安全域为主的思路和模式，采用被动的、防御型的技术手段，属于应对型的安全建设模式[2]。近些年来，随着安全技术的快速发展，医院信息安全规划与建设思路也在发生转变，其防护重点逐渐转向医院信息系统数据内容、应用、用户身份和行为等全方位的安全防护；安全治理观念也逐渐转变为主动防御的合规管理工作，同时加强医院信息安全监控综合分析。通过信息系统安全指标作为衡量依据，衡量安全建设绩效推进医院信息系统安全治理，从而以工具化、自动化的安全手段，应对不断扩张的IT资产管理，有效落实安全管理要求。 　　医院信息安全责任部门正确运用控制措施能降低医院信息系统安全面临的风险，控制主要分为三种类型：管理控制、技术控制和物理控制[3]。管理控制因为通常是面向管理的，所以经常被称为“软控制”，如安全文档、风险管理、人员安全和培训都属于管理控制；技术控制也称为逻辑控制由软件或硬件组成，如防火墙、入侵检测系统、加密、身份识别和认证机制；物理控制用来保护设备、人员和资源，保安、锁、围墙等都属于物理控制。在实际建设和规划中，医院信息安全责任部门应正确以分层的方法综合使用多个安全控制类型，为医院信息平台提供安全深度防御。由于入侵者在获得访问关键资产前将不得不穿越多个不同的保护机制，因此多层防御能够将渗透成功率和威胁降低到最小，从而保障医疗机构信息系统安全。 　　4 医院系统的安全风险分析及对策 　　4.1访问控制安全 安全的根本所在是通过控制如何访问信息资源来防范资源泄露或未经授权的修改。访问控制是一种安全手段，控制用户和系统如何与其他系统和资源进行通信和交互。访问控制能够保护系统和资源免受未经授权的访问，并且在身份验证过程成功结束之后确定授权访问的等级。信息访问控制的实现手段在本质上都处于技术性、物理性或行政管理性层面。同时需要注意，任何接口处是最应该实施安全控制的一个地方，需要层层纵深防御来实施访问控制。访问控制是防范医疗机构信息系统和资源被未授权访问的第一道防线，系统使用用户的访问权限主要基于其身份、许可等级和/或组成员资格。访问控制给予组织机构控制、限制、监控以及保护资源可用性、完整性和机密性的能力[4]。 　　4.2计算机及操作系统安全 计算机是系统内提供某类安全并实施系统安全策略的所有硬件、软件和固件的组合，然而其并不仅限于操作系统，操作系统的主要风险包括系统漏洞和文件病毒等。医疗机构的信息安全责任部门需对帐户、访问、用户权限等进行管理与控制，做好定期监视、审计和时间日志记录和分析。可以采用通过修