經歷20多年的發展，中國醫療信息化建設已初具規模，醫院信息系統（HIS）為醫院的正常運營和科學化管理提供保障，然而，醫院信息管理系統在信息安全保密方面依然是醫療信息化建設的短板，嚴重影響或制約了信息化進程。

誰為醫療信息補漏

隨著信息技術的不斷發展，在醫院這種社會公共服務領域，收集和儲存了大量的公民個人信息。但在當前對醫療行業提供的網絡安全技術解決方案中，仍以防火墻（FW）防病毒（AV）為主流選擇，但是這些傳統的安全技術手段只能阻擋部分從外部到內部的攻擊，并且對來自內部的信息竊取完全無能為力，這就導致了“泄密門”事件一次次發生，引發重要數據的丟失、破壞，不僅嚴重影響到醫院網絡的正常運行，還直接威脅到患者的隱私和生命安全。

安全隱患暴露

最近，深圳就發生了一次全市的孕婦信息庫泄露事件，不法分子將孕婦的資料制成了“泄密光盤”，4萬條包括孕婦姓名、出生日期（嬰兒）、戶口性質（流動、暫住、常住）、家庭住址、聯系電話、以及就診醫院及預產期的信息以每條0.3元的價格進行銷售，更令人咂舌的是這些信息每月還“滾動更新”，累計達到了10萬條。

而據記者調查發現，很多乳品廠商也通過固定的渠道從醫院套取孕婦的個人信息來達到賺錢的目的。甚至，某些醫院的個別工作人員已經和一些個人醫療信息的“收購販子”形成了秘密而固定的“銷售渠道”，一般人很難插手。

調查中，乳品企業的一名銷售經理向記者出示了一打兒厚厚的，記錄了產婦及其丈夫個人信息的表格。隨后，記者按照這位銷售經理提供的號碼撥打了某醫院產科護士長的電話，表示要購買個人信息，對方很嚴肅地說：“不行，我們這里的個人信息是嚴格保密的，絕對不可以出售。”而當那位銷售經理親自給那家醫院的產科護士長打電話時，對方卻讓他過去取資料。

事實上，醫院出現信息系統安全的問題已經相當普遍，采訪中國內某醫院的一位IT中心工作人員向記者抱怨道，“信息安全的重要性，恐怕只有IT部門知道，而當今大多數醫院的IT部門，在醫院充其量還只是扮演‘保姆’的角色。”

這位工作人員指出，國內醫院信息化普遍起步晚、投入少，基本的IT軟硬件環境尚且捉襟見肘，更無法顧及信息安全系統建設。像他所在這的這家有著數十年建院史的大型醫院，在IT投資上也可謂“保守”，在近20年的信息化過程中，信息裝備投入十分有限，僅僅在近幾年，才投入幾百萬元對全院的網絡進行升級。

“而更嚴重的是，目前醫院的IT部門普遍處于很低的地位，信息安全在醫院領導觀念中就更為淡漠，這造成了醫院IT投資優先考慮的是業務的需求，而非保障信息安全。這給醫院的信息系統埋下了巨大的安全隱患。”這位工作人員表示。

濫用權限嚴重

如何才能解決當前的醫院信息安全問題呢？首先我們需要了解下目前醫院信息安全的問題所在。

據有著多年醫療行業系統集成經驗的藍天科技的總經理錢朝陽博士介紹，由于醫院內部的濫用過高權限、濫用合法權、非法接入等行為導致目前我國的醫療信息安全主要存在三方面的問題：第一，沒有重視和執行對醫務人員的信息安全知識、法規、標準的宣傳、培訓、考核，沒有規定和實行醫院信息系統安全的相關制度；第二，網絡安全觀念較為老舊，網絡設計存在缺陷，比如過于單方面依賴防火墻；第三，對HIS系統，沒有一定的安全監督、審查、驗收機制。

“目前很多醫院的一把手開始重視信息安全的問題，只有從根本管理制度上解決醫院工作人員對醫療信息的權限混亂，無人監管問題，才能解困醫院的信息安全謎題。”

基于醫療系統的信息安全隱患，錢朝陽提出，目前醫療系統的信息安全建設也要針對性的分三步來走：第一步，加強內部管理，在提高醫務人員保護患者個人信息及醫療信息意識的同時，制定符合本單位實際情況的管理制度；第二步，重點保護核心業務系統；第三步，進行統一的安全管理，全面、高效保障網絡及信息安全。

錢朝陽認為防護核心業務系統是三步中最重要的一步。而如何才能保護核心的業務系統呢？

“我們需要有一個專業的審計系統，這個審計系統不僅要具備基本對話的行為分析和本身的隱蔽性、宜用性兩個基本特征，而且為了更好的保護醫療信息系統的安全。” 網御神州安全管理高級產品經理葉蓬認為，保護核心的業務系統的關鍵是要建立專業的審計系統。

而審計系統必須具備三大功能：一、可自定義及識別風險較高的行為操作，并可對此類操作進行告警，采用電子郵件、SNMP Trap等方式通知網絡安全管理人員；二、對已定義的不合規操作，可通過與網絡設備或安全設備共同協作來關閉通信，以阻止正在進行的操作；三、系統需具備報表系統，可以按組管理，可以對報表生成進行日程規劃，提供打印、導出以及郵件送達等服務，并根據計劃歸檔報告，歸檔之后發送郵件通知。

了解了問題所在，醫院的信息主管應該怎么辦呢？

內控審計解困

一段時間以來，我國政府相關部門對包括醫院信息泄密在內的信息安全事故加大了處罰力度。今年2月28日，全國人大常委會通過了刑法修正案（七）的表決，并且從頒布之日起實施。規定單位如果泄露或非法獲取公民個人信息，將被判處罰金，并追究直接負責的主管人員和其他直接責任人員的刑事責任。這使得愈來愈多的醫院意識到，信息安全建設的重要性。

另一方面，醫院網絡及信息作為改革醫院管理體制、提高服務質量的重要保障，必然對醫院的信息安全管理也提出了很高的要求。4月6日，歷時兩年多時間的，倍受關注的新一輪醫改方案終于出臺。而根據《關于深化醫藥衛生體制改革的意見》和《2009-2011年深化醫藥衛生體制改革實施方案》規定，我國計劃到2011年國家投入8500萬逐步改革公立醫院管理體制和運行、監管機制，提高公立醫療機構服務水平，推進公立醫院補償機制改革，加快形成多元化辦醫格局。

“近些年來我們已經完成了局域網和主服務器、數據存儲中心的升級改造，但仍然存在著許多系統安全的隱患。我們希望，IT供應商們應該考慮到中國醫院的IT裝備和應用水平的實際狀況，提供更為適合醫院實際的安全性方案。”采訪中某醫院的IT主管呼吁道。

“正是為了滿足我國醫療行業對信息安全的要求，我們自主研發了網神SecFox安全管理系統（醫院版），并提出了面向醫療行業的統一安全審計解決方案。系統包含SecFox-NBA（業務審計型）、SecFox-NBA（上網審計型）、SecFox-LAS日志審計、SecFox-EPS終端安全審計等多個功能模塊，完全可以滿足用戶的相關需求。” 網御神州安全管理高級產品經理葉蓬表示，其中SecFox-NBA（業務審計型）模塊，能夠針對客戶業務網絡中的各種數據庫、Windows和Unix主機、WEB應用系統進行全方位的安全審計，保障客戶業務網絡中數據的安全和操作合規。

據介紹，網神SecFox-NBA不僅包括：數據訪問審計、數據變更審計、用戶操作審計、違規訪問行為審計、惡意攻擊審計等5大功能。同時，相對于傳統的審計系統，網神SecFox-NBA還有四個明顯的特點：一是SecFox-NBA采用旁路偵聽的方式進行工作，對業務網絡中的數據包進行應用層協議分析和審計，就像真實世界的攝像機；二是SecFox-NBA對業務操作實時監控、過程回放；三是快速響應和跨設備協同；最后一個是報表報告。

“嚴出嚴入，全面防護。在解決了核心業務系統的保護后，我們首先要解決通過網絡外發信息的信息泄露；其次要解決人員的非法接入、因員工濫用移動存儲導致的信息泄漏問題；最后，我們進行統一的安全管理，全面、高效保障網絡及信息安全。”葉蓬稱，當醫院應用網御神州獨有的基于會話的行為分析（Session-based Behavior Analysis）技術后，醫院的審計員不僅可以對當前網絡中所有訪問者進行基于時間的審查，了解每個訪問者任意一段時間內先后進行了什么操作，而且還能對過程回放。“SecFox-NBA（業務審計型）真正實現了對‘誰、什么時間段內、對什么（數據）、進行了哪些操作、結果如何’的全程審計。”