PKI技术在医疗行业电子病历系统中的应用

2016-09-21长春吉大正元信息技术股份有限公司葛愿维

信息安全与通信保密 2016年7期

关键词：数字证书电子签名数字签名

文/长春吉大正元信息技术股份有限公司葛愿维

文/长春吉大正元信息技术股份有限公司葛愿维

基于PKI安全体系的应用系统设计方案

1.概述

电子病历系统指将纸质病历以电子化的方式来记录患者的就诊信息，以提高医院的工作效率和医疗质量，实现无纸化的目标。《中华人民共和国电子签名法》和《卫生系统电子认证服务管理办法（试行）》及相关标准规范要求，为电子病历系统的安全建设和发展提供了依据，并为实现电子病历系统的“可信身份、可信数据、可信行为、可信时间”的目标，保证电子病历的真实可信和合法有效性提供了法律和政策基础。

2.需求分析

目前，电子病历系统缺乏一种有效、安全的手段来规范约束患者和医院双方对病历的操作，缺乏完善的机制来解决医患纠纷问题，具体存在如下安全需求：

·医生真实身份识别：传统的电子病历系统普遍采用用户名+口令的弱认证方式，但这种方式存在很多弊端，比如密码设置简单、医生冒名顶替等情况，同时这种弱认证方式破解很简单，很容易导致内部重要医疗数据的外泄、甚至医院信息系统遭受破坏性攻击。

·对信息录入或修改的不可抵赖问题：对电子病历的创建、修改等操作涉及到医院和患者各方的利益，因此保障关键操作和数据的责任性、完整性、不可抵赖性是电子病历系统根本要解决的问题。

·数据传输安全问题：电子病历系统终端与服务器间的信息传输安全往往被忽视，造成数据被窃取并篡改，无法保证电子病历信息的正确性。

·数据存储安全：电子病历信息多数是以明文的方式保存在后台数据库服务器中，造成存储在数据库中的信息安全无法得到保证。

·时间取证问题：目前的医院电子病历系统的时间记录往往是取终端计算机系统时间，不是国家授时时间，在取证时间的准确性上面无法满足要求。

·无纸化发展问题：目前病历还是使用纸质打印的方式签字存储，成本较大，书写工作占据医务人员大部分时间。

3.方案设计

基于PKI安全体系的应用系统设计方案，主要以PKI基础设施为基础，以数字证书为媒介，通过身份认证网关、签名服务器、时间戳服务器和电子签章系统为桥梁将PKI安全体系与业务系统进行有效结合，为电子病历系统提供统一的全方位的安全服务。

·数字证书认证：通过PKI系统电子病历，医护人员进行数字认证。PKI系统为医护人员提供数字证书的申请、审核，并为其制作成数字证书后发放到医护人员手中，实现以数字证书为医护人员在电子病历系统中的唯一身份标识，并以数字证书作为访问电子病历系统的身份认证手段，取代传统的用户名+口令等安全级别较低的身份认证模式。

·信息安全保护：对医护人员参与电子病历系统的关键操作和关键数据进行签名和加密，来保障信息的保密性、完整性、可靠性；对以上关键数据或关键操作进行数字签名加时间戳操作，实现电子数据严格审计，确保医疗数据和医疗责任的事后可追朔。

·可视化电子签名：传统纸质病历中，医院主要采用主治医生签名和医院加盖印章方式来确保纸质文件的有效性。随着电子签名法的实施，数字签名和手写签名效力达到等同地位。但数字签名是一串字符，不能像现实世界的手写签名一样直接展现给患者，因此，需要通过相关技术手段实现数字签名的可视化，而电子签章正是数字签名的图形化展示。

·法律法规支持：电子认证相关环节严格按照行业规定，数字认证技术严格遵照《电子签名法》和《卫生系统电子认证服务体系系列规范》等相关法律法规的要求，为电子病历提供权威的法律保障。