王才有：医院信息化暗藏风险与杀机

2012年8月16日，中国医院论坛在北京国家会议中心举行。作为分论坛之一，数字化医院建设发展论坛，吸引了来自全国各地数百位医院信息主管参加。与会专家就医院信息安全等级保护、电子病历应用分级与评价、医院信息化的挑战、闭环医嘱管理等发表各自见解；与会HIT赞助商高层则分享了手术麻醉信息系统应用、数字化医院整体解决方案的基本思路。

王才有：医院信息化暗藏风险与杀机

摄影：HIT专家网

来源：HIT专家网        记者：朱小兵

前几年，北京某三甲医院门诊信息系统一度因运行特别缓慢而引发医护人员高度不满，经查是由于软件人员把门诊主索引删除所致，结果导致相关信息中心主管被撤职。其实那位信息中心主管也并不知情，感觉比窦娥还冤。由此可见，医院信息安全在很大程度上归因于监管制度及体系是否得力。

“信息化带来便利的同时，也暗藏风险和杀机。”2011年发生的甬温线特大事故，至今发人深省。卫生部统计信息中心王才有副主任在8月16日举办的中国医院论坛数字化医院建设分论坛上发表开坛演讲，并首先援引此事故，暗喻当前医院所面临的信息安全形势，应引起各方高度警觉和戒备。

王才有副主任说：“医院信息化建设的目标之一是要实现信息的共享。但这是必须以信息安全作为前提的。如果健康档案上传到网上之后，谁都能看到，那必然没有人愿意上传自己的健康档案。数字化医院建设，是为提高业务和管理效率，降低医院的运营成本。但是如果我们的信息系统不够安全，就不可能推动这一目标的实现。”

他列举了一系列关于医院信息安全形势不容乐观的鲜活事例。

美国阿拉斯加卫生部门违反HIPAA法案的要求，被处以170万美元罚款。原因是一位卫生部门的雇员放在汽车上的移动硬盘被盗。硬盘内装有大量患者的健康记录，数据也没有采取加密措施。事后分析原因是，该雇员没有经过HIPAA法案的培训。

在国内也有一系列信息科统方案，让信息化队伍遭受损失，同时也对医院形象带来负面影响。2012年10月，浙江省某医院计算机中心一位前科员开始了他的服刑生涯。因为收受了近10万元的好处费，向医药代表提供了“统方”数据。这个不到30岁的小伙子不得不面对6年半有期徒刑。

事实上，屡次医院宕机事故，不仅影响到医院业务的稳定运行，给医务人员和患者带来不便，更对医院的信誉造成不同程度的伤害。

等保分级分类保护原则

王才有副主任认为，医院需要一套合适的控制措施、安全策略。例如：业务连续性安全策略。医院所能容忍的宕机恢复时间越短，那么花的钱就要越多。医院所允许的安全程度，是由院长而非信息中心决定。信息中心当然是希望开着坦克上路，但安全的预算，并不由信息中心定。

卫生系统在公安、工信部门的督促指导下，近年来对于信息安全的意识与日俱增。卫生部也加强了信息安全的政策指引和规范制定、贯彻落实等工作。信息安全等级保护工作日益引起各地卫生行政主管部门的重视，并纷纷按照卫生部的统一要求，成立了专门的技术专家组。

美国医院最关注的信息安全问题

“从美国的调查可以看出，他们更关注安全的制度设计和规范管理。”王才有副主任介绍，目前医院信息系统将自身定位在信息安全等级保护的2级到3级，不同的级别对安全控制点的要求不同。“要达到的等级越高，医院相应的投入也越大。”他建议，在目前的条件下，各医院可以把医院的某部分定义为核心业务信息系统，然后加以定级、整改、测评。

最后，王才有副主任说，医院信息安全，需要建立很好的制度并严格执行。医院信息系统出现安全事故，往往是疏于审批和监管。同时，信息安全体系的建设，也一定是持续改进的过程。“实际上我们需要的是建立和运行一套好的安全制度。加强医院信息安全建设，并不是单纯依靠购买信息安全产品所能解决。”