網(wǎng)御星云全力保障醫(yī)療行業(yè)數(shù)據(jù)安全_十大數(shù)據(jù)安全運營公司

加強數(shù)字中國建設是黨中央、國務院深刻把握世界科技革命和數(shù)字時代的發(fā)展趨勢，面對世界百年未有之大變局，從全局和戰(zhàn)略高度作出的重大決策部署。2035年我國數(shù)字經(jīng)濟將邁向繁榮成熟期，形成統(tǒng)一公平、競爭有序、成熟完備的數(shù)字經(jīng)濟現(xiàn)代市場體系，數(shù)字經(jīng)濟發(fā)展基礎、產(chǎn)業(yè)體系發(fā)展水平將位居世界前列。數(shù)據(jù)作為數(shù)字經(jīng)濟的關鍵要素，數(shù)字經(jīng)濟安全體系亟待進一步增強。在國家頂層戰(zhàn)略引導下，我國近年來相繼出臺了《數(shù)據(jù)安全法》、《個人信息保護法》等重磅法律政策，數(shù)據(jù)安全備受關注，各醫(yī)療機構正逐步根據(jù)相關政策和指導對數(shù)據(jù)安全進行建設。

隨著數(shù)字醫(yī)療體系不斷發(fā)展，智慧型數(shù)字化醫(yī)院逐步發(fā)展成為醫(yī)療服務體系的重要組成部分。醫(yī)療數(shù)據(jù)作為數(shù)字醫(yī)療體系的核心資產(chǎn)，涉及大量醫(yī)院經(jīng)營數(shù)據(jù)及患者醫(yī)療等私密信息，產(chǎn)生極高價值的同時也成為不法分子網(wǎng)絡攻擊的首選目標，主要特點有：

一是，相比外部黑客攻擊，發(fā)生在內(nèi)部的數(shù)據(jù)泄露更加令人防不勝防。美國電信巨頭Verizon發(fā)布的年度數(shù)據(jù)泄露報告中顯示，醫(yī)療行業(yè)是所有行業(yè)中唯一一個內(nèi)部威脅大于外部威脅的行業(yè)，內(nèi)部威脅占比60%以上。

二是，醫(yī)療行業(yè)信息系統(tǒng)數(shù)量多，數(shù)據(jù)流動性大、流通環(huán)境復雜。如醫(yī)療機構的醫(yī)生需要錄入、調(diào)閱病人數(shù)據(jù);病患信息需要在院內(nèi)流轉、互通;臨床研究數(shù)據(jù)需要存儲、使用;公共衛(wèi)生數(shù)據(jù)需要上傳、共享……但由于醫(yī)療機構自身數(shù)據(jù)安全運維體系脆弱，缺乏數(shù)據(jù)安全專項運維人才，導致醫(yī)療機構數(shù)據(jù)安全體系不健全，高價敏感信息變得唾手可得。

三是，醫(yī)療機構過去往往選擇將部分業(yè)務托管給外部單位，以達成減負目的。但隨著數(shù)據(jù)安全法、個人信息保護法等相關法律法規(guī)的落地實施，對管理者來說，職責邊界也隨業(yè)務擴張而外延，引入的安全風險逐步增多，安全保障工作難以維持，例如因第三方丟失數(shù)據(jù)引發(fā)的安全事件時有發(fā)生。

如何保護醫(yī)療數(shù)據(jù)安全？

網(wǎng)御星云結合多年項目實踐的探索與積累，為醫(yī)療行業(yè)數(shù)據(jù)安全規(guī)劃提供參考建議：

一、安全頂層設計，完善醫(yī)療數(shù)據(jù)資產(chǎn)統(tǒng)籌治理

通過對醫(yī)療數(shù)據(jù)情況進行梳理、分析數(shù)據(jù)應用場景、規(guī)劃數(shù)據(jù)安全體系架構，針對數(shù)據(jù)的合規(guī)性、數(shù)據(jù)安全責任、基于數(shù)據(jù)全生命周期的管控策略數(shù)據(jù)安全防護等進行統(tǒng)籌分析和設計，形成覆蓋全面的數(shù)據(jù)安全整體規(guī)劃方案。

二、滿足合規(guī)要求，加強數(shù)據(jù)安全基礎能力建設

對標網(wǎng)絡安全等級保護2.0、數(shù)據(jù)安全成熟度模型(DSMM)、《全國公共衛(wèi)生信息化建設標準與規(guī)范》等相關國家和行業(yè)標準，構建覆蓋醫(yī)療數(shù)據(jù)全生命周期的數(shù)據(jù)安全防護體系。

三、聚集安全能力，構建數(shù)據(jù)安全協(xié)同監(jiān)管體系

建設數(shù)據(jù)安全協(xié)同管控機制，對相關數(shù)據(jù)資產(chǎn)進行集中管理、對數(shù)據(jù)安全風險進行分析和管控，將分散的數(shù)據(jù)靜態(tài)脫敏系統(tǒng)、數(shù)據(jù)動態(tài)脫敏系統(tǒng)、頁面水印、數(shù)據(jù)庫審計、數(shù)據(jù)庫訪問網(wǎng)關和數(shù)據(jù)防泄露等安全能力組件進行統(tǒng)一調(diào)度，為數(shù)據(jù)安全運營提供支撐，通過可視化分析和展示能力，實現(xiàn)數(shù)據(jù)安全“掛圖作戰(zhàn)”。

四、規(guī)范人員行為，優(yōu)化數(shù)據(jù)安全訪問機制建設

基于零信任模型，以身份為中心，從運維管理和業(yè)務訪問兩個層面，管控人員數(shù)據(jù)行為。

運維層面：將各個業(yè)務系統(tǒng)運維訪問通道進行網(wǎng)絡收口，建設統(tǒng)一的運維登錄入口，收縮網(wǎng)絡攻擊暴露面，提供統(tǒng)一數(shù)據(jù)訪問策略統(tǒng)計、分析、稽核和展示，包括對所有上層應用的訪問進行細粒度授權，防止越權訪問等現(xiàn)象發(fā)生，結合各類的審計手段，及時發(fā)現(xiàn)和預警異常行為，確保數(shù)據(jù)運維過程安全。

業(yè)務層面：以保護業(yè)務/數(shù)據(jù)為目標，通過相關技術，構建客戶邊緣安全接入、業(yè)務應用安全訪問、訪問持續(xù)認證及動態(tài)鑒權的安全棧能力，實現(xiàn)業(yè)務應用訪問的“安全、可信、合規(guī)”。

五、保障數(shù)據(jù)過程，提升數(shù)據(jù)安全流通監(jiān)管建設

建設數(shù)據(jù)流通安全監(jiān)管系統(tǒng)，對數(shù)據(jù)流通的全過程進行管控，解決數(shù)據(jù)在多方利用、開發(fā)、共享、交換等過程中的責任不透明、數(shù)據(jù)行為不透明、數(shù)據(jù)意圖不透明等問題，保障醫(yī)療數(shù)據(jù)的安全接入、數(shù)據(jù)的有序分發(fā)、數(shù)據(jù)的通信傳輸路由以及數(shù)據(jù)的合規(guī)脫敏處理，實現(xiàn)數(shù)據(jù)使用合規(guī)合法使用。

六、保障安全運行，完善數(shù)據(jù)安全總體運營能力

建立數(shù)據(jù)安全管理機制，以風險評估為檢查手段，發(fā)現(xiàn)業(yè)務建設過程中存在的安全風險，明確數(shù)據(jù)安全技術體系的部署位置;以梳理服務為輔助手段，梳理數(shù)據(jù)安全資源權限、數(shù)據(jù)資產(chǎn)摸底，將梳理結果在數(shù)據(jù)安全技術體系上進行安全策略的管控;以安全監(jiān)測分析服務為支撐，及時進行安全事件處置閉環(huán)，并優(yōu)化安全事件處置流程和數(shù)據(jù)安全事件場景及規(guī)則;最后以數(shù)據(jù)安全賦能服務進行知識轉移，從組織結構、職責權限、制度流程的運轉、技術工具的使用、安全意識的提升等方面全面提升數(shù)據(jù)安全能力。

網(wǎng)御星云醫(yī)療行業(yè)數(shù)據(jù)安全規(guī)劃，為新形勢下醫(yī)療數(shù)據(jù)安全問題提供了全方位解決方案參考，助力醫(yī)療機構數(shù)據(jù)安全防護水平不斷提升，讓醫(yī)療機構的數(shù)字化轉型之路變得更安全!