为了深入落实国家大数据战略，推动大数据产业交流与合作，展示我国大数据产业最新发展成果，2019年6月4日至5日，由中国信息通信研究院、中国通信标准化协会主办，大数据技术标准推进委员会承办的2019大数据产业峰会在北京国际会议中心隆重开幕。6月5日，大数据安全论坛隆重举行。
现在我们也看到了，大数据产业正在加速推进业态的融合，驱动数据经济发展进入崭新的阶段，在产业融合的过程中，安全的问题也是不容忽视的，下面有请卫生信息安全与新技术应用专业委员会主任委员宁义先生，他的演讲主题是《健康医疗行业的大数据安全思考》，有请宁主任。
卫生信息安全与新技术应用专业委员会主任委员宁义
各位早上好。前面听了苗处的报告很受启发，无论是从高领导的决策思维，还是行业领导的体系规划、布局，以及对策措施都有很多的表述。我这里面其中也涉及到一部分，有相同的部分，但是我们从健康医疗行业的角度做了一些具体的思考，跟大家一块儿分享。
我跟大家讨论三个问题：
一、健康医疗行业的安全形势与挑战
总体上来看，可以有一个结论，信息安全、数据安全不容乐观。第一，大数据安全已经成为医疗现代化建设不可或缺的重要因素，随着医疗健康信息化的发展，大数据越来越蓬勃兴起，它的安全也自然成为不可忽视的重要因素。第二，信息安全、大数据安全取得了一定成效，国家和各地区行业主管部门，推出了一系列的政策、要求、规定，各级医疗卫生机构的信息人员做了大量工作，确实取得了一定的成效。第三，现在面临的新的形势、新的技术、新的发展形势下，健康医疗行业的数据安全更为复杂，比传统业态下要复杂很多倍。
（一）健康医疗的发展趋势，这是背景性的。从1.0时代我们常规所说的传统的医疗健康信息化，现在正在向2.0互联网医疗健康时代过渡和转化发展，将来进一步的发展就是3.0时代，就是智慧健康。现在国际和国内已经有一部分专家学者和少数机构在探索、在摸索智慧健康这条路子。这是行业信息化发展的总体背景趋势。
（二）在这个过程中，随着传统的信息化到广域的互联网，大量的新技术在采用，我们讲“云、大、物、移”，包括区块链、虚拟现实、5G等等，现在非常热的5G通信技术，引发了很多的数据安全的风险，更为直接地关系到广大人民群众、患者的生命安全，在这里是非常重要的因素。我们讲其他行业的数据安全可能是资产、财产的安全，但是医疗健康行业涉及到人的生命安全，这个是更为严重的后果、趋势。
（三）我们的现状客观上来讲新的威胁不断增加，无边界的安全挑战在扩大，有敌意的攻击动态化、碎片化，突破传统的安全防护等等，这是外部。在行业内部来讲，我们的管理规范难落实，适应性比较低，网络边界的终端繁多、难控制，业务系统的访问难限制，特别是像现在互联网医疗，向广大群众、老百姓开放，他可以查询各种各样的医疗资源信息，他可以查询自己的健康档案，查询自己的电子病例等等，必须向百万、千万甚至上亿的群众来开放，这个怎么限制？开放就有限制，不能是无限制的开放。开放与限制之间就是一对矛盾，怎么样处理好这个矛盾？还包括版本难升级，还有就是在医疗卫生行业，信息化部门还是偏弱势的，或者说从传统的观念来讲，它是一个辅助性的行业、辅助性的专业，它不是像医生、护士和药品那样的，主要的业务部门，它对数据安全在协调上就会很难。再有就是人力资源不足，难管理，医疗健康行业信息安全的技术手段比较薄弱，难防护，不像专门搞信息通信、信息安全的部门有很强的力量、很强的手段、很强的对策方略，这在我们医疗卫生行业都是有欠缺的。
（四）普遍的风险主要表现在这么几个方面：
1.数据泄露。敏感数据、处方、医疗科研成果，前几天一个500人专业群讨论DNA泄露到底有什么危害，有人说没关系，人类都是一样的，DNA有什么差异？但是有很多专家提出来这不一样。DNA泄露说得低一点是个人的隐私泄露，再说得高一点是一个民族、是一个国家命脉的数据的泄露，它可以产生很多生物学、种族遗传学的攻击手段和一些特异性的、针对性的缺陷的攻击等等，所以这个方面有很严重的问题。
2.勒索病毒与木马等等。我比较关注医疗卫生行业这方面的问题，其他行业的勒索病毒不知道怎么样，医疗行业从去年开始到今年已经有两轮比较广泛的勒索，前期是勒索比特币，今年直接要钱了，已经有几个医院中招了，还有人说这个比抢银行还厉害，抢银行违反风险高，这个风险不高，很难抓住他，他既然能在网络上勒索你，把数据库给锁死了，把你服务器控制了，让你读不进去，他可以读进去，你读不进去，他就有办法逃脱，这也是很重要的一个方面。传统的环境下勒索的情况很少出现，现在云了，大规模互联网了，这个情况出现就比较多了。
3.监听的WiFi设备、诈骗、仿冒。
4.大家熟知的黄牛，抢号/刷号骗取患者个人的信息。
5.内部信息，窃取敏感数据。包括近些年来，医疗卫生行业也多有发生信息科的人员给药商提供用药信息，所以也产生一些问题。
（五）窃取的医疗数据，我们都知道数据是一个产业，数据是一个利益，是一个资源，窃取的医疗信息可能要牟利，没有利益的事情谁也不会去做，它会产生一系列的后果，包括诈骗、身份盗用。2014年深圳的妇幼儿童保健信息泄露了四万多条，很多怀孕的孕妇、产妇刚生孩子，推销纸尿裤、奶粉、各种营养保健的一下就都来了，大家说怎么回事？大批量的，因为很短时间内集中，说明信息被卖掉了，卖掉以后就利用这个发广告，进行骚扰，产生了很多问题。
（六）从整体上来讲，医院信息泄露漏洞还是比较多的，国内有机构做这方面的测试，来做这方面的评估。我们医院在做二级等保、三级等保的时候也做过很多评估，普遍发现现在医院对外开放的网上漏洞还是比较多。
二、行业的网络安全政策分析与研究
（一）从总体上来讲，从政治上，前面苗处也都说过了，高的领导对这个事情都很重视，行业领导也有很多方略和体系设计，包括国家的《网络安全法》，习总书记都亲自有过指示，对这个事情非常重视。还有国家网络空间安全战略等等这些方面。
（二）除了工信部以外，健康卫生行业的主管部门，卫健委的规划发展与信息化司也对这方面有很多要求。
（三）国家到行业也都有很多关于卫生信息安全、大数据安全的规划要求。
（四）卫健委的规划里面也提出了很多具体的要求。
（五）不细说了。
三、健康医疗行业的大数据安全思考
（一）现在随着行业的发展，健康医疗行业各类新的技术应用越来越广泛、越来越深入，包括手术机器人、远程电子医院，包括人脸识别等等，一系列的应用包括智能化物流，也有一些医院现在在使用。医院是应用部门，它不是最先进的技术研发部门，也在跟社会上其他部门合作。在各个医院，送货机器人应用于物流，比方送手术包、消毒包、注射用品、药品。他是用密码、用交互式的方式来确认你的身份，准许你提货，这里专家的说法也存在安全的问题。医疗卫生行业讲安全，特别是讲认证的时候，通常常规的习惯是我们把它分为强认证和弱认证，比如说在病人第一次到医院的时候。这个时候我们需要一个强认证，比方你是不是医保病人，你的医保证件，医保卡和本人是不是能对应上，需要照片，甚至于需要指纹。包括你的身份证挂号，需要你的照片、需要你的指纹，这就是强认证。但是在过程中间，在医院看病中间有很多环节，包括你要去挂号、你要去看诊、你要去做检查、抽血、做治疗、注射等等，如果每一次都做强认证，负荷量太大，在过程中间采取弱认证的方式，条码就可以、二维码就可以，甚至于是个人密码就可以，这样来做一个区分，这样的话会有一些便捷性，但是安全性可能会降低。
（二）这里面包括生物特征，指纹、人脸、虹膜、指静脉等等这些生物特征，这是属于强认证的范围，但是可能不是所有的都需要强认证，比如说有门禁，如果是重要的部门，非常保密，安全要求非常高的部门可能用虹膜、用指纹加起来，甚至于声音叠加，但是一般的，比如说进一个手术室，进一个机房可能弱认证就过去了。
（三）从信息化的标准来讲，有很多行业标准，包括基础的标准，包括智能医疗健康设备的标准，包括业务与应用标准，还有网络与信息安全标准，这都是我们全方位的健康医疗，在全民健康信息化整体信息化当中，网络与信息安全标准是非常重要的一环。
（四）国家也有相关的标准，有国标，还有一些部门的规定。
（五）根据上述的分析，我们认为医疗大数据安全的对策与措施主要可能从这么几个方面去考虑：
1.大力宣传，形成重视卫生信息安全的大环境。这么说吧，现在在大数据环境下，健康医疗信息安全形势越发严峻了。但是实际上说句实话，在行业内还有大量的人或者说大多数人对信息安全、对数据安全，他们对医疗安全很重视，说医疗安全重要，不能死人，但是对于信息安全、对于大数据安全还没有提到很高的认识程度上来。换句话说，在相当多的人，甚至于是大多数人都没有意识到医疗大数据安全的环境下，这个时候，我们再怎么去做工作也做不到位，也做不好，所以必须形成一个共识，在行业内形成共识：大家都认为医疗大数据的安全是非常重要的，需要做好、需要加强，并且从我做起。这个环境下，我们的大数据安全才能真正做好，所以有很多的宣传工作、教育工作、培训工作需要做。
2.健全规则，建立卫生信息安全法规体系。现在国家有了法，行业有要求，但是无论从规章制度，还是技术标准上来讲，这方面还有所欠缺，或者说在大数据环境下很欠缺，在现在这个环境下，需要明确相关的管理办法与标准制度等等一系列可操作性的内容，这样的话使所有的医疗卫生机构能够具体执行。
3.强化培训，建立卫生信息安全的骨干队伍。前面我们在分析现状的时候已经说过了，卫生行业内，信息安全的人员非常缺乏，不但是普遍的公众意识差，专业队伍水平也差，没有队伍，现在要求三级以上医院每个医院要设立网络安全专职人员，这个都很难找到，为什么？他没有学过这个东西，他不懂这个东西，你把一个医生护士摁在那个位置上，摁十个人都不管用，他不懂，他不知道怎么做，摁那个人放在那个地方，硬塞一个人进去是白搭的，所以需要强化培训，引进和培训，光培训不行，还需要引进，现有的人员只能是小学生学到初中生，离专业人员的素质还是有过程的，需要引进、培训信息安全的专业人才，形成规模化的队伍，这是很重要的，还有出去、请进来等等一系列的方略。还有就是探索外包服务模式，现在我们自己的力量不足，但是社会上、市场上有这种专业化的队伍、有这种力量，很多医疗机构可以采取。我们已经有这样的方式了，有的医疗机构把安全外包，把安全具体的操作管理这些外包，但是管理责任不能外包，还是医院的领导、医院的有关信息科的主管人员，责任还是你的。只不过外包的承包商可以分担一部分责任，但是你不能说我把事外包、把活外包了，责任也外包，出了事跟我没关系，这个是不行的，还是医院领导的责任，而且是一把手的责任。
4.加强管理，落实卫生信息安全配套措施。从行业角度，我们总体行业要有总体的考虑，包括政策法规、管理制度、技术标准、实施推进等等方面要配套，综合治理，从机构的角度，从每一个具体的医疗卫生机构，要怎么样具体去做，遵从技术标准，落实具体措施，综合配套解决安全问题，本单位的问题，还有包括明确责任，现在这方面已经有一些地区在做这个事了，要签订一个网络安全责任书，签不签这个责任书，出了事签责任书也不管用，不出事不签责任书其实也没关系。但是这种形式、这种方法加大了领导对这个问题的认识，单位、机构领导，你要签这个字，你要负这个责，你要承担这个重任，领导的意识程度就不一样了。包括各级人员，这样责权分明。还有就是督导检查验收，机构众多，逐个去检查验收很难，所以要分层。加强管理，落实各种考核，包括专家指导，包括投入，以及技术方案的评审、基础方案的落实等等。时间关系我不细说了，大家在屏幕上、文字上都能看到。
（六）卫生信息安全与新技术应用专业委员会是怎么回事，我们这个专业委员会是在中国卫生信息与健康医疗大数据学会下面的二级专委会，那个学会是国家一级学会，是国家卫健委主管的，金会长原来是卫计委的副主任，金会长对大数据非常重视，跟行业内有很多的交流，包括全国成立四个健康医疗大数据基地、中心等等，我们这里面就包括有医疗健康安全工作组，希望能够跟在座的各个专家、机构以及个人有更多的交流、合作。
谢谢大家。
热门专题
