網(wǎng)御星云全力保障醫(yī)療行業(yè)數(shù)據(jù)安全_十大數(shù)據(jù)安全運營公司

加強數(shù)字中國建設(shè)是黨中央、國務(wù)院深刻把握世界科技革命和數(shù)字時代的發(fā)展趨勢，面對世界百年未有之大變局，從全局和戰(zhàn)略高度作出的重大決策部署。2035年我國數(shù)字經(jīng)濟將邁向繁榮成熟期，形成統(tǒng)一公平、競爭有序、成熟完備的數(shù)字經(jīng)濟現(xiàn)代市場體系，數(shù)字經(jīng)濟發(fā)展基礎(chǔ)、產(chǎn)業(yè)體系發(fā)展水平將位居世界前列。數(shù)據(jù)作為數(shù)字經(jīng)濟的關(guān)鍵要素，數(shù)字經(jīng)濟安全體系亟待進一步增強。在國家頂層戰(zhàn)略引導下，我國近年來相繼出臺了《數(shù)據(jù)安全法》、《個人信息保護法》等重磅法律政策，數(shù)據(jù)安全備受關(guān)注，各醫(yī)療機構(gòu)正逐步根據(jù)相關(guān)政策和指導對數(shù)據(jù)安全進行建設(shè)。

隨著數(shù)字醫(yī)療體系不斷發(fā)展，智慧型數(shù)字化醫(yī)院逐步發(fā)展成為醫(yī)療服務(wù)體系的重要組成部分。醫(yī)療數(shù)據(jù)作為數(shù)字醫(yī)療體系的核心資產(chǎn)，涉及大量醫(yī)院經(jīng)營數(shù)據(jù)及患者醫(yī)療等私密信息，產(chǎn)生極高價值的同時也成為不法分子網(wǎng)絡(luò)攻擊的首選目標，主要特點有：

一是，相比外部黑客攻擊，發(fā)生在內(nèi)部的數(shù)據(jù)泄露更加令人防不勝防。美國電信巨頭Verizon發(fā)布的年度數(shù)據(jù)泄露報告中顯示，醫(yī)療行業(yè)是所有行業(yè)中唯一一個內(nèi)部威脅大于外部威脅的行業(yè)，內(nèi)部威脅占比60%以上。

二是，醫(yī)療行業(yè)信息系統(tǒng)數(shù)量多，數(shù)據(jù)流動性大、流通環(huán)境復雜。如醫(yī)療機構(gòu)的醫(yī)生需要錄入、調(diào)閱病人數(shù)據(jù);病患信息需要在院內(nèi)流轉(zhuǎn)、互通;臨床研究數(shù)據(jù)需要存儲、使用;公共衛(wèi)生數(shù)據(jù)需要上傳、共享……但由于醫(yī)療機構(gòu)自身數(shù)據(jù)安全運維體系脆弱，缺乏數(shù)據(jù)安全專項運維人才，導致醫(yī)療機構(gòu)數(shù)據(jù)安全體系不健全，高價敏感信息變得唾手可得。

三是，醫(yī)療機構(gòu)過去往往選擇將部分業(yè)務(wù)托管給外部單位，以達成減負目的。但隨著數(shù)據(jù)安全法、個人信息保護法等相關(guān)法律法規(guī)的落地實施，對管理者來說，職責邊界也隨業(yè)務(wù)擴張而外延，引入的安全風險逐步增多，安全保障工作難以維持，例如因第三方丟失數(shù)據(jù)引發(fā)的安全事件時有發(fā)生。

如何保護醫(yī)療數(shù)據(jù)安全？

網(wǎng)御星云結(jié)合多年項目實踐的探索與積累，為醫(yī)療行業(yè)數(shù)據(jù)安全規(guī)劃提供參考建議：

一、安全頂層設(shè)計，完善醫(yī)療數(shù)據(jù)資產(chǎn)統(tǒng)籌治理

通過對醫(yī)療數(shù)據(jù)情況進行梳理、分析數(shù)據(jù)應用場景、規(guī)劃數(shù)據(jù)安全體系架構(gòu)，針對數(shù)據(jù)的合規(guī)性、數(shù)據(jù)安全責任、基于數(shù)據(jù)全生命周期的管控策略數(shù)據(jù)安全防護等進行統(tǒng)籌分析和設(shè)計，形成覆蓋全面的數(shù)據(jù)安全整體規(guī)劃方案。

二、滿足合規(guī)要求，加強數(shù)據(jù)安全基礎(chǔ)能力建設(shè)

對標網(wǎng)絡(luò)安全等級保護2.0、數(shù)據(jù)安全成熟度模型(DSMM)、《全國公共衛(wèi)生信息化建設(shè)標準與規(guī)范》等相關(guān)國家和行業(yè)標準，構(gòu)建覆蓋醫(yī)療數(shù)據(jù)全生命周期的數(shù)據(jù)安全防護體系。

三、聚集安全能力，構(gòu)建數(shù)據(jù)安全協(xié)同監(jiān)管體系

建設(shè)數(shù)據(jù)安全協(xié)同管控機制，對相關(guān)數(shù)據(jù)資產(chǎn)進行集中管理、對數(shù)據(jù)安全風險進行分析和管控，將分散的數(shù)據(jù)靜態(tài)脫敏系統(tǒng)、數(shù)據(jù)動態(tài)脫敏系統(tǒng)、頁面水印、數(shù)據(jù)庫審計、數(shù)據(jù)庫訪問網(wǎng)關(guān)和數(shù)據(jù)防泄露等安全能力組件進行統(tǒng)一調(diào)度，為數(shù)據(jù)安全運營提供支撐，通過可視化分析和展示能力，實現(xiàn)數(shù)據(jù)安全“掛圖作戰(zhàn)”。

四、規(guī)范人員行為，優(yōu)化數(shù)據(jù)安全訪問機制建設(shè)

基于零信任模型，以身份為中心，從運維管理和業(yè)務(wù)訪問兩個層面，管控人員數(shù)據(jù)行為。

運維層面：將各個業(yè)務(wù)系統(tǒng)運維訪問通道進行網(wǎng)絡(luò)收口，建設(shè)統(tǒng)一的運維登錄入口，收縮網(wǎng)絡(luò)攻擊暴露面，提供統(tǒng)一數(shù)據(jù)訪問策略統(tǒng)計、分析、稽核和展示，包括對所有上層應用的訪問進行細粒度授權(quán)，防止越權(quán)訪問等現(xiàn)象發(fā)生，結(jié)合各類的審計手段，及時發(fā)現(xiàn)和預警異常行為，確保數(shù)據(jù)運維過程安全。

業(yè)務(wù)層面：以保護業(yè)務(wù)/數(shù)據(jù)為目標，通過相關(guān)技術(shù)，構(gòu)建客戶邊緣安全接入、業(yè)務(wù)應用安全訪問、訪問持續(xù)認證及動態(tài)鑒權(quán)的安全棧能力，實現(xiàn)業(yè)務(wù)應用訪問的“安全、可信、合規(guī)”。

五、保障數(shù)據(jù)過程，提升數(shù)據(jù)安全流通監(jiān)管建設(shè)

建設(shè)數(shù)據(jù)流通安全監(jiān)管系統(tǒng)，對數(shù)據(jù)流通的全過程進行管控，解決數(shù)據(jù)在多方利用、開發(fā)、共享、交換等過程中的責任不透明、數(shù)據(jù)行為不透明、數(shù)據(jù)意圖不透明等問題，保障醫(yī)療數(shù)據(jù)的安全接入、數(shù)據(jù)的有序分發(fā)、數(shù)據(jù)的通信傳輸路由以及數(shù)據(jù)的合規(guī)脫敏處理，實現(xiàn)數(shù)據(jù)使用合規(guī)合法使用。

六、保障安全運行，完善數(shù)據(jù)安全總體運營能力

建立數(shù)據(jù)安全管理機制，以風險評估為檢查手段，發(fā)現(xiàn)業(yè)務(wù)建設(shè)過程中存在的安全風險，明確數(shù)據(jù)安全技術(shù)體系的部署位置;以梳理服務(wù)為輔助手段，梳理數(shù)據(jù)安全資源權(quán)限、數(shù)據(jù)資產(chǎn)摸底，將梳理結(jié)果在數(shù)據(jù)安全技術(shù)體系上進行安全策略的管控;以安全監(jiān)測分析服務(wù)為支撐，及時進行安全事件處置閉環(huán)，并優(yōu)化安全事件處置流程和數(shù)據(jù)安全事件場景及規(guī)則;最后以數(shù)據(jù)安全賦能服務(wù)進行知識轉(zhuǎn)移，從組織結(jié)構(gòu)、職責權(quán)限、制度流程的運轉(zhuǎn)、技術(shù)工具的使用、安全意識的提升等方面全面提升數(shù)據(jù)安全能力。

網(wǎng)御星云醫(yī)療行業(yè)數(shù)據(jù)安全規(guī)劃，為新形勢下醫(yī)療數(shù)據(jù)安全問題提供了全方位解決方案參考，助力醫(yī)療機構(gòu)數(shù)據(jù)安全防護水平不斷提升，讓醫(yī)療機構(gòu)的數(shù)字化轉(zhuǎn)型之路變得更安全!