医疗行业信息安全等级保护的安全监管技术

史敬华

[摘要] 信息系统存在的安全问题是影响医疗信息系统发挥其效益的隐患，是影响医疗行业完成其治病救人使命的严重隐患。因此，各国普遍把医疗信息系统的安全保护列为关键信息基础设施保护（CIIP）。原卫生部2011年85号文件要求：重要卫生信息系统安全保护等级原则上不低于第三级。本文介绍了我国信息安全等级保护基本概念和等级划分，以及我国医疗行业信息安全等级保护的安全监管技术现状。在此基础上，分析了我国医疗行业信息安全等级保护在安全监管技术上未来需要进行优化调整的方向，为适应未来信息化发展，提出了进一步做好信息安全等级保护安全监管工作的建议。

[关键词] 医疗;信息安全;等级保护;监管

[中图分类号] R39          [文献标识码] A          [文章编号] 1673-7210（2019）02（b）-0177-04

[Abstract] Whether the medical information system is safe or not is a hidden trouble which affects the efficiency and benefit of the system， and it is serious hidden danger which affects the medical profession to complete its mission of curing and saving people. Therefore， countries arounds the world generally regard the security protection of medical information system as the critical information infrastructure protection （CIIP）. Document No.85 of the origina Ministry of Health of China in 2011 requires that the level of security protection of important health information systems is not lower than the third in principle. The paper introduces the basic concept and classification of classified protection of information system security in our country， and the present situation of security supervision technology in medical profession in our country. On this basis， the paper analyzes the future direction of optimization and adjustment in terms of security supervision technology in Chinese medical industry. In order to adapt to the information development， this paper also puts forward some suggestions to further do well in security supervision.

[Key words] Medical care; Information security; Classified protection; Supervision

信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。信息安全的三要素为：保密性（Confidentiality），信息不能被未授權的个人，实体利用或知悉;完整性（Integrity），保护信息的准确和完整;可用性（Availability），保障信息的正常访问和使用。除了这三个基本属性外，信息的真实性、不可否认性、可问责性、可控性也是信息安全不可缺少的属性。

1 信息安全等级保护

信息安全等级保护是根据我国国情，在现有的人、财、资源环境下，为保障信息系统安全，实行的一项基本制度和方法。不同重要程度的信息系统，开展等级不同的安全保障措施和不同的技术监管，是我国多年信息安全工作的经验总结[1]。在卫生行业涉及个人隐私、影响患者救治的重要信息系统建设过程中，落实信息安全等级保护相关制度，重点保障基础信息网络和关系患者隐私[2]的重要信息系统安全，有利于社会稳定，有利于大卫生在健康理念下的卫生行业数字化转型发展。

1.1 信息安全等级保护级别划分

依据GB17859-1999[2]，“根据信息系统在国家安全、经济建设、社会生活中的重要程度，以及信息系统遭到破坏后对国家安全、社会秩序、公共利益，以及公民、法人和其他组织的合法权益的危害程度等因素”，将信息系统安全等级由低到高分为自主保护、指导保护、监督保护、强制保护、专控保护五个级别。同时规定了计算机信息系统安全保护能力的五个级别。第一级：用户自主保护级;第二级：系统审计保护级;第三级：安全标记保护级;第四级：结构化保护级第五级：访问验证保护级。针对每个级别，详细列出了等级划分准则[3]，其本质是要明确重点、确保重点、标准管理。

1.2 信息安全等级保护的技术保障

信息安全进行等级保护是要对信息以及信息系统分等级进行安全保护;对系统中使用的信息安全产品进行分等级管理;对系统中发生的安全事件分等级响应和处置。通过对信息系统定级、备案、安全建设整改、测评规范的步骤，来满足安全等级保护标准中五个层面的技术要求，即物理安全、网络安全、主机安全、应用安全和数据安全。医疗行业中，卫生机构信息系统遭到破坏后的影响程度，基本只损害到地区部分公民的就医权利，不造成对社会秩序和公共利益的损害，因此，卫生行业的信息系统一般仅做三级等级保护[4]。信息安全等级保护技术保障要求如下：

1.2.1 物理安全保障  物理环境安全是要保护网络中计算机网络通信有一个良好的电磁兼容工作环境，并防止非法用户进入计算机控制中心和各种偷窥、破坏活动的发生。

1.2.2 网络安全保障  网络结构安全是网络安全的基础，对于卫生行业网络[5]，选择网络设备的带宽时要考虑每日业务高峰时的数据流量;要考虑业务系统服务的重要次序;分配带宽的优先级、划分网段或VLAN。同时进行网络设备的加固、布置网络审计、终端安全管理系统等保障网络边界安全。

1.2.3 主机安全保障  为保障各种应用能在主机上运行，经常采用身份鉴别、访问权限控制、终端安全管理、主机审计系统、入侵检测系统、漏洞扫描系统、终端安全系统、网络防病毒系统保障主机安全。

1.2.4 应用安全保障  信息系统应用安全是等级保护技术保障的重点部位。应用系统业务层面同样要求部署身份鉴别、访问控制、应用审计、入侵防范来保障应用安全，还应考虑边界安全、软件容错、资源控制、抗抵赖、客体安全重用等措施。

1.2.5 数据安全保障  保障数据安全是信息安全等级保护的核心目标，即要实现数据的机密性、完整性和可用性。为防止数据泄露、篡改与破坏，通常在数据传输、处理及存储环节加固安全防护[6]。

2 我国医疗行业信息安全现状

与发达国家相比，我国卫生行业的信息安全管理领域的工作推进还处于起步阶段。如信息系统在部署和应用上不规范、网络规划不合理、信息安全应急体系不健全、信息安全人才“产能”与实际需求相差太大，造成了信息泄漏不断、移动互联网恶意程序增加、网络攻击数量增加、攻击方式升级、信息泄露损失更加严重[7]。这不仅严重影响到卫生业务系统的正常运行，还直接威胁到患者隐私，甚至患者的生命安全。

2.1 医疗信息中的隐私内容及个人隐私泄露风险

医疗服务的对象是人，其维护的不仅是人的生命与健康，还应有对患者隐私及隐私权的尊重。公共卫生中血液系统信息、疾病控制信息、精神卫生管理系统中的信息;个人在体检、诊断、治疗中形成的电子病历、电子处方、电子健康档案等涉及到的机体特征、健康状况、遗传基因、病史病历等个人信息，都是个人的秘密信息，是个人隐私权的核心部位。另外，疾病疫情信息、卫生监管数据、智能手机与远程医疗技术[8]的普及，使得越来越多的医疗行为、个人信息和支付方式[9]参与到网络之中，这些信息一旦被他人窃取、伪造或篡改，将产生敏感信息泄露、医疗决策失误等严重后果。

在涉及到个人隐私的重要信息系统建设时，建立身份认证、授权管理、责任认定为基础的安全保障机制[10]就显得尤为重要，只有患者隐私在为医务人员提供科学、合理就诊的基础信息时，又能保证患者隐私不被非法泄露和侵犯，才能体现我国医疗为民服务、尊重患者隐私的宗旨，才能推进我国数字化医疗的顺利实施。

2.2 医疗行业服务对信息系统的依赖

随着医疗服务对信息化的依赖，信息系统所维系的不仅仅的医疗服务业务的支撑和辅助，而是整个卫生服务行业的命脉[11]。WEB2.0和互联网+的深入落实，使得整个医疗行业的业务被紧绑在信息系统之上，个人健康档案、卫生疾病控制、血液管控、卫生监管、新药研制、疾病预防、临床诊疗繁杂的医疗数据中蕴含着丰富的医学知识，医疗信息化的应用场景越发丰富多彩，势必会导致没有信息安全就没有医疗服务的业务安全[12]。

2.3 医疗卫生信息安全等级保护级别

依据《中华人民共和国网络安全法》《关于信息安全等级保护工作的实施意见》和原卫生部2011年85号文件要求，卫生行业作为涉及国计民生的重要组成部分，其信息系統安全事关社会稳定、国民人口健康、国家疾病控制。因此，在医疗卫生行业的信息系统中，要求核心医疗信息系统、公共卫生信息系统成为医疗卫生行业等级保护建设中核心的系统[13]，重要卫生信息系统安全保护等级原则上不低于第三级;而协同办公系统及外围业务系统一般定级为二级保护系统。

3 卫生信息安全等级保护安全监管技术与不足

3.1 卫生信息安全等级保护安全监管技术

基于医疗卫生行业核心信息系统必须进行三级安全保护的要求[14]，卫生信息安全等级保护中，现今主要采用以下17种安全监管技术：

3.1.1 网络设备防护及边界访问控制  对网络管理员进行唯一身份鉴别、限制登录地址、登录口令合规、登录失败处理、启用SSH加密防止窃听[15]、采用两种或两种以上组合的鉴别技术对网络设备进行一系列的加固防护。

3.1.2 网络安全审计  利用网络审计系统，甄别出网络中存在的威胁，分析出网络中发生的网络异常、网络攻击和病毒等内外部安全事件，实现入侵检测、信息还原，生成详细审计报表的功能。

3.1.3 通信完整保密  采用校验码、消息鉴别码、密码校验函数、散列函数、数字签名[16]等技术，以保障信息传输和存储的完整性;通过部署VPN[17]系统保证远程数据传输的数据机密性，从而保障通信保密性。

3.1.4 网络可信接入  在网络边界处布置终端安全管理系统对非法外联及非法接入进行监控与阻断，实现网络可信接入从而保障网络边界完整。