北京安贞医院：牵住安全“牛鼻子”，推动医院移动应用业务发展

来源：HIT专家网 作者：郭幽燕

移动应用因其便利性，在医院管理和科室业务中有很好的推广前景。但它必须解决安全、特别是数据安全问题。本文结合笔者所在医院实践，介绍一种安全虚拟手机方案，以解决医院移动应用中的数据安全问题。

一、安全问题是医院推广移动应用的重要障碍

目前，医院内外网一般都部署了无线网络，方便PDA和智能手机、PAD等移动终端设备接入。但移动应用本身也潜藏安全隐患，比如，用于内网业务的移动终端，如果通过修改网络参数接入到外网甚至互联网，那么该移动终端就可能被网络黑客当作数据摆渡设备，将医院内网的敏感数据泄露到外部环境；同样，访问过外网的移动终端也可能将恶意代码带到医院内网，增加医院内网的安全风险。

一种解决方案是在移动终端上安装安全代理软件，对终端APP进行安全管控。比如根据网络连接场景限制某些APP的运行等，这种安全保护思路类似于在PC终端上安装终端管控软件。但其一方面允许终端参与数据存储和处理，另一方面又允许终端与外部环境开展数据交互，并需要保护数据不泄露，在实践中存在成本高、管理难度大、安全效果不佳等问题。

二、安全虚拟手机方案

为充分发挥移动应用在医院业务中的便捷优势，同时保障医院数据安全，首都医科大学附属北京安贞医院（以下简称：北京安贞医院）与厂商协作，探索出一条基于安全虚拟手机方案之路。这一方案的核心思想是，确保用户移动终端与医院业务的安全性无关，从而在方案设计、建设和维护中，极大弱化对移动终端的安全要求，甚至无需考虑移动终端安全问题。

在此方案中，虚拟手机均部署和运行在医院内网，用户通过移动终端（手机或PAD）上的安全虚拟手机APP，进入医院内网的虚拟手机，从而访问医院内网中的移动应用。在整个业务访问和处理过程中，用户手中持有的移动终端并未参与访问和处理医院移动应用，所有的移动应用实际运行在虚拟手机上，占用的是虚拟手机处理器和存储资源；移动终端只作为内网虚拟手机的显示器和输入设备，除了显示像素信息外，没有任何数据被传送到移动终端上。为满足医院某些移动业务实时采集数据的功能要求，比如二维码识别，安全虚拟手机方案还支持移动终端摄像头的直通，即将移动终端的摄像头映射到虚拟手机中，允许虚拟手机直接调用。

安全虚拟手机方案在内网虚拟手机和用户手持的移动终端设备之间部署了数据安全网关，实现对医院内外网之间的数据流动的安全控制。

数据安全网关不同于医院内外网之间的前置机。前置机只对医院内外网间的数据交换进行控制，但不允许跨医院内外网的直接应用操作。而数据安全网关支持跨医院内外网的直接应用操作，以支持医院发展更加灵活的新型业务模式，比如第三方合作、远程运维等。同时，数据安全网关不允许医院内网数据向院外流动，从而在确保医院业务正常开展的同时，保护医院内网数据安全。数据安全网关和前置机在医院网络安全中应用目标不同，彼此间可以相互补充。

如此一来，虚拟手机方案使得用户移动终端与医院数据安全无关。从医院数据安全角度，无需对移动终端设备进行安全管控，即无需在用户的移动终端安装和部署终端安全控制软件，甚至可以不要求这些移动终端必须由医院提供。

图1是北京安贞医院的虚拟手机方案网络结构示意图。医院集中安全平台部署在医院的数据中心机房，平台主要由虚拟手机服务器和数据安全网关组成，其中虚拟手机服务器提供虚拟手机服务，数据安全网关主要提供平台安全管理和数据安全保护功能。

图2是安贞医院实际应用流程示意。用户从手机终端（或PAD）中的集中安全平台APP（图2左）登录医院集中安全平台后，进入虚拟手机，在虚拟手机界面点击医院移动应用APP（如图2中的血透APP和智能病历辅助系统APP），即可进入相应的移动应用（参见图2右）。

安全虚拟手机方案不要求修改医院移动APP现有程序，用户进入虚拟手机后的操作方式与现有APP操作方式完全相同，操作体验上也基本无差别。

三、安全虚拟手机方案的其他好处

由于有了数据安全保障，安全虚拟手机还给医院带来其他好处。

首先，减少了医院的安全管理工作量。由于移动终端与医院数据安全无关，医院无需对这些移动终端设备进行安全管理和维护，甚至无需采购移动终端设备，降低了医院硬件采购成本。用户完全可以使用自带的PAD和手机访问医院移动应用。

其次，使用更为便捷。用户不仅可以在院内，也可在院外通过Wi-Fi、4G或5G等网络实时访问医院内部应用，处理医院内部业务，对紧急事件进行快速响应。

第三，兼容Android和鸿蒙操作系统，支持通用移动终端设备，保证医院业务应用的广泛兼容性和适用范围，以防医院业务应用被特定移动终端产品类型和型号所限制和锁死。

第四，减少对医院内网Wi-Fi的部署范围和数量需求，从而降低医院网络建设和维护成本。

四、主要实践经验

与其他解决方案一样，安全虚拟手机方案也有其最适用的场景和特定要求。在安全虚拟手机方案的提出、部署和应用的过程中，北京安贞医院总结出以下实践经验：

1.一定要坚持“应用第一，安全为应用服务”的宗旨。安全虚拟手机方案的数据安全功能必须与医院业务应用的实际场景需求结合，促进医院业务新能力、新模式的发展。比如，安全虚拟手机方案中的数据安全网关是为了支持远程操作，方便医院开展第三方合作业务，以及在紧急情况下的业务快速响应和处理；而移动终端摄像头映射是为了满足实时数据采集的业务要求。

2.在院内用户较为密集的区域，要适当增加Wi-Fi接入点，以减少网络延迟，同时缓解无线网络带宽资源竞争状况，保证良好的用户体验。

3.可以在Wi-Fi接入点和数据安全网关处，根据需要对接入的移动终端实施终端设备准入控制，减少非法接入对资源的占用和潜在安全威胁。

4.出于供应链安全要求，安全虚拟手机方案目前只支持Android和鸿蒙的手机或PAD。

【作者简介】

郭幽燕，研究员，CHIMA委员，PHITA理事，PHISTA网络与数据安全专委会副主任委员，北京网络信息安全创新产业联盟委员会专家，首医硕导。电子邮件：1277692955@qq.com；地址：首都医科大学附属北京安贞医院，信息中心，100029，北京市朝阳区安贞路2号。

【责任编辑：晓青】