社區(qū)衛(wèi)生服務(wù)中心的信息安全管理

摘要：隨著現(xiàn)代信息技術(shù)不斷創(chuàng)新，信息產(chǎn)業(yè)持續(xù)發(fā)展，特別是發(fā)布《衛(wèi)生信息化發(fā)展規(guī)劃（2011～2015年）》之后，明確了衛(wèi)生信息化是深化醫(yī)藥衛(wèi)生體制改革的重要內(nèi)容。而作為整個衛(wèi)生信息化體系的“網(wǎng)底”的社區(qū)衛(wèi)生服務(wù)中心的信息安全管理工作就顯得尤為重要。本文從社區(qū)衛(wèi)生服務(wù)中心信息安全背景、什么是信息安全管理、社區(qū)衛(wèi)生服務(wù)中心信息安全管理的作用和信息安全管理控制措施，以及對中心信息安全的展望，五個方面來闡述社區(qū)衛(wèi)生服務(wù)中心的信息安全管理。

關(guān)鍵詞：社區(qū)衛(wèi)生；信息安全；控制措施；安全管理

1 社區(qū)衛(wèi)生服務(wù)中心信息安全背景

20世紀(jì)90年代以來，信息技術(shù)不斷創(chuàng)新，信息產(chǎn)業(yè)持續(xù)發(fā)展，信息網(wǎng)絡(luò)廣泛普及，特別是原衛(wèi)生部發(fā)布《衛(wèi)生信息化發(fā)展規(guī)劃（2011～2015年）》之后，明確了衛(wèi)生信息化是深化醫(yī)藥衛(wèi)生體制改革的重要內(nèi)容。那么作為整個衛(wèi)生信息化體系的“網(wǎng)底”的社區(qū)衛(wèi)生服務(wù)中心，其重要性不言而喻。隨著衛(wèi)生信息化的建設(shè)不斷擴(kuò)展和深入，依托于區(qū)域衛(wèi)生信息中心的各類應(yīng)用系統(tǒng)不斷上線推廣應(yīng)用。網(wǎng)絡(luò)與數(shù)據(jù)安全已逐步成為各項衛(wèi)生信息工作開展的重要基礎(chǔ)依托。因此社區(qū)衛(wèi)生服務(wù)中心作為區(qū)域衛(wèi)生信息中心的重要結(jié)點(diǎn)。信息安全管理就顯得尤為重要。

2 什么是信息安全管理

“三分技術(shù)，七分管理”是信息安全保障工作中經(jīng)常提到的。可見，信息安全管理是信息安全保障的至關(guān)重要的組成部分。信息安全管理（Information Security Management）指組織中為了完成信息安全目標(biāo)，遵循安全策略，按照規(guī)定的程序，運(yùn)用恰當(dāng)?shù)姆椒?，而進(jìn)行的規(guī)劃、組織、指導(dǎo)、協(xié)調(diào)和控制等活動。作為組織完成的管理體系中的一個重要環(huán)節(jié)，它構(gòu)成了信息安全具有能動性的部分，是指導(dǎo)和控制組織相互協(xié)調(diào)完成關(guān)于信息安全風(fēng)險的活動，其對象就是包括人員在內(nèi)的各類信息相關(guān)資產(chǎn)。在社區(qū)衛(wèi)生服務(wù)中心由于信息系統(tǒng)應(yīng)用較為廣泛，基本包含了醫(yī)療、護(hù)理、醫(yī)技、行政等所有科室及其人員。

長期以來，社區(qū)衛(wèi)生服務(wù)中心在信息安全建設(shè)方面，存在重技術(shù)輕管理、重產(chǎn)品功能輕安全管理、缺乏整體性信息安全體系考慮等各方面的問題。區(qū)域衛(wèi)生信息中心采用集中管理的信息安全技術(shù)及產(chǎn)品的應(yīng)用，一定程度上可以來解決社區(qū)衛(wèi)生服務(wù)中心在網(wǎng)絡(luò)傳輸時的信息安全問題。但是僅僅靠這些產(chǎn)品和技術(shù)還不夠，即使采購和使用了足夠先進(jìn)、足夠多的信息安全產(chǎn)品，仍然無法避免一些信息安全事件的發(fā)生。近年來，由于管理不善、操作失誤等原因?qū)е碌男l(wèi)生信息及病患基本信息泄露的安全事件數(shù)量不斷攀升，更加劇了社區(qū)衛(wèi)生服務(wù)中心需要信息安全管理的迫切性。

3 社區(qū)衛(wèi)生服務(wù)中心信息安全管理作用

社區(qū)衛(wèi)生服務(wù)中心信息安全管理的作用體現(xiàn)任以下幾個方面。

3.1信息安全管理是社區(qū)衛(wèi)生服務(wù)中心組織整體管理的重要的、固有的組織部分，是組織實現(xiàn)中心業(yè)務(wù)目標(biāo)的重要保障。在信息時代的今天，信息安全威脅已經(jīng)成為社區(qū)衛(wèi)生服務(wù)中心等醫(yī)療機(jī)構(gòu)業(yè)務(wù)正常運(yùn)營和持續(xù)發(fā)展的最大威脅。如在社區(qū)衛(wèi)生服務(wù)中心發(fā)生的費(fèi)用結(jié)算85%以上通過醫(yī)保信息系統(tǒng)來進(jìn)行，所有的醫(yī)生工作站都依托中心服務(wù)器來提供數(shù)據(jù)進(jìn)行操作，醫(yī)技部門也通過信息系統(tǒng)獲取病人信息和傳送結(jié)果。一旦信息系統(tǒng)發(fā)生故障對于社區(qū)衛(wèi)生服務(wù)中心來說是災(zāi)難性的。因此中心需要信息安全管理，有其必然性。

3.2信息安全管理是信息安全技術(shù)的融合劑，是各項技術(shù)措施能夠發(fā)揮作用的重要保障。安全技術(shù)是信息安全控制的重要手段，許多信息系統(tǒng)的安全性保障都要依靠技術(shù)手段來實現(xiàn)，但光有安全技術(shù)還不行，要讓安全技術(shù)發(fā)揮應(yīng)有的作用，必然要有適當(dāng)?shù)墓芾沓绦虻闹С郑駝t，安全技術(shù)職能趨于僵化和失敗。如果說安全技術(shù)是信息安全的構(gòu)筑材料，那么信息安全管理就是融合劑和催化劑，良好的管理可以變廢為寶，使現(xiàn)有的各項技術(shù)相互配合發(fā)揮應(yīng)有的作用，而糟糕的管理會使技術(shù)措施變得毫無用處。實現(xiàn)信息安全，技術(shù)和產(chǎn)品是基礎(chǔ)，管理才是關(guān)鍵。在信息安全保障工作中必須管理與技術(shù)并重，進(jìn)行綜合防范，才能有效保障安全，這也是實現(xiàn)信息安全目標(biāo)的必由之路

3.3信息安全管理是預(yù)防、阻止或減少信息安全事件發(fā)生的重要保障。早期人們對于信息安全的認(rèn)識主要側(cè)重在技術(shù)措施的開發(fā)和利用上，這種技術(shù)主導(dǎo)論的思路能夠解決信息安全的一部分問題，但卻解決不了根本，據(jù)權(quán)威機(jī)構(gòu)統(tǒng)計表明，信息安全問題大約70%以上是由管理方面原因造成的，大多數(shù)信息安全事件的發(fā)生，與其說是技術(shù)上的原因，不如說是管理不善造成的。因此解決信息安全問題、防止發(fā)生信息安全事件不應(yīng)僅從技術(shù)方面著手，同時更應(yīng)加強(qiáng)信息安全的管理工作。

信息安全涉及的范疇非常廣，信息安全不是產(chǎn)品的簡單堆積，也不是一次性的靜態(tài)過程，它是人員、技術(shù)、操作三者緊密結(jié)合的系統(tǒng)工程，是不斷演進(jìn)、循環(huán)發(fā)展的動態(tài)過程。因此，要求社區(qū)衛(wèi)生服務(wù)中心的相關(guān)人員正確理解信息安全、理解信息安全管理的關(guān)鍵作用，以更好地開展信息安全管理工作。強(qiáng)調(diào)信息安全管理的作用，并不是要削弱信息安全技術(shù)的作用；開展信息安全管理工作，要處理好管理和技術(shù)的關(guān)系，要堅持管理與技術(shù)并重的原則，這也是信息安全保障工作的主要原則之一。

4 社區(qū)衛(wèi)生服務(wù)中心信息安全管理控制措施

在我國對于信息安全等同采用IS0 27002：2005，命名為《信息技術(shù)安全技術(shù)信息安全管理實用規(guī)則》（GB/T 22081-2008）。信息安全是通過實施一組合適的控制措施而達(dá)到的，包括策略、過程、規(guī)程、組織結(jié)構(gòu)以及軟件和硬件功能。可見對于社區(qū)衛(wèi)生服務(wù)中心的信息安全來說，安全控制措施是必要且十分重要的。其中比較重要的如下：

4.1安全方針 社區(qū)衛(wèi)生服務(wù)中心的信息安全方針控制目標(biāo)，是指中心的信息安全方針能夠依據(jù)業(yè)務(wù)的要求和相關(guān)法律法規(guī)提供管理指導(dǎo)并支持信息安全。社區(qū)衛(wèi)生服務(wù)中心信息安全方針文件的內(nèi)容應(yīng)包含中心管理者的管理承諾、組織管理信息安全的方法、中心信息安全整體目標(biāo)和范圍的定義、中心管理者意圖的聲明、控制目標(biāo)和控制措施的框架、重要安全策略、原則、標(biāo)準(zhǔn)和符合性要求說明、中心信息安全管理的一般和特定職責(zé)的定義、支持方針的文件的引用等。

4.2信息安全組織 信息安全組織一般分為內(nèi)部組織和外部組織。社區(qū)衛(wèi)生服務(wù)中心內(nèi)部組織的信息安全控制目標(biāo)是指在中心內(nèi)管理信息安全。組織的安全建立在每一位人員不同責(zé)任分工的劃分，不同的責(zé)任會有不同的工作指導(dǎo)原則。其中應(yīng)當(dāng)包括信息安全的管理承諾、信息安全協(xié)調(diào)、信息安全職責(zé)的分配、信息處理的授權(quán)、保密協(xié)議、信息安全的獨(dú)立評審等。社區(qū)衛(wèi)生服務(wù)中心外部組織的信息安全控制目標(biāo)是保持中心被外部各方訪問、處理、管理或與外部進(jìn)行通信的信息和信息處理的安全。主要包括中心與系統(tǒng)外單位信息通信相關(guān)風(fēng)險的識別、處理相關(guān)的安全問題和處理第三方協(xié)議中的安全問題等。

4.3人力資源安全 人員在中心的信息安全管理中是一個最重要的因素，有資料表明，70%的安全問題是來自人員管理的疏漏，為了對人員有一個有效的管理，需要從任用之前、任用中、任用的終止或變更三項控制目標(biāo)進(jìn)行管理。

4.3.1任用之前控制是指社區(qū)衛(wèi)生服務(wù)中心任用人員之前為了確保人力資源的安全，需考慮到角色是否適合相應(yīng)崗位，以降低設(shè)施被竊、信息泄露和誤用的風(fēng)險，這一目標(biāo)的實現(xiàn)需通過角色和職責(zé)、審查、任用條款和條件三項控制措施的落實來保障。

4.3.2任用中社區(qū)衛(wèi)生服務(wù)中心的信息安全控制目標(biāo)就是確保所有的員工、承包方人員和第三方人員知悉信息安全威脅和利害關(guān)系、他們的職責(zé)和義務(wù)、并準(zhǔn)備好在其正常工作過程中支持組織的安全方針，以減少人為過失的風(fēng)險。

4.3.3社區(qū)衛(wèi)生服務(wù)中心發(fā)生任用的終止或變更時，應(yīng)確保信息的安全不外泄，確保員工、承包方人員和第三方人員以一個規(guī)范的方式退出或改變其任用關(guān)系?？梢酝ㄟ^終止職責(zé)、資產(chǎn)的歸還、撤銷訪問權(quán)限等控制措施來實現(xiàn)。

4.4物理和環(huán)境安全 社區(qū)衛(wèi)生服務(wù)中心的物理和環(huán)境安全可以從安全區(qū)域和設(shè)備安全來入手管理。定義安全區(qū)域是為了防止對中心場所和信息的未授權(quán)物理訪問、損壞和干擾。可以通過設(shè)置物理安全邊界、物理入口控制、辦公室房間和設(shè)施的安全保護(hù)、外部和環(huán)境的安全防護(hù)、在安全區(qū)域工作、公共訪問和交接區(qū)安全。設(shè)備安全是指防止由于資產(chǎn)丟失、損壞、失竊而危及社區(qū)衛(wèi)生服務(wù)中心的資產(chǎn)安全以及信息安全。中心可通過設(shè)備安置和保護(hù)、支持性設(shè)施、布纜安全、設(shè)備維護(hù)、場所外的設(shè)備安全、設(shè)備的安全處置和再利用，資產(chǎn)的移動等措施來進(jìn)行保障。

4.5通信和操作管理 社區(qū)衛(wèi)生服務(wù)中心的通信和操作管理一般可從操作規(guī)程和職責(zé)、第三方服務(wù)交付管理、系統(tǒng)規(guī)劃和驗收、防范惡意和移動代碼、備份、網(wǎng)絡(luò)安全管理、介質(zhì)處置、信息的交換、電子商務(wù)服務(wù)、監(jiān)視等方面入手。

4.6訪問控制 對于社區(qū)衛(wèi)生服務(wù)中心來說，訪問控制可從訪問控制的業(yè)務(wù)要求、用戶訪問管理、用戶職責(zé)、網(wǎng)絡(luò)訪問控制、操作系統(tǒng)訪問控制、應(yīng)用和信息訪問控制、移動計算和遠(yuǎn)程工作等控制目標(biāo)來入手。

4.7信息安全事件管理 社區(qū)衛(wèi)生服務(wù)中心的信息安全事件管理可以從報告信息安全事態(tài)和弱點(diǎn)、信息安全事件和改進(jìn)的管理兩個控制目標(biāo)入手進(jìn)行管理。

4.7.1報告信息安全事態(tài)和弱點(diǎn)這項控制目標(biāo)旨在確保中心與信息系統(tǒng)有關(guān)的信息安全事態(tài)和弱點(diǎn)能夠以某種方式傳達(dá)，以便及時采取糾正措施。該目標(biāo)下有報告信息安全事態(tài)和報告安全弱點(diǎn)這兩項控制措施來保障這一目標(biāo)的實現(xiàn)。①報告信息安全事態(tài)控制措施，是指信息安全事態(tài)應(yīng)該盡可能快地通過適當(dāng)?shù)墓芾砬肋M(jìn)行報告。實施過程中應(yīng)建立正式的信息安全事態(tài)報告程序，以及在收到信息安全事態(tài)報告后采取措施的事件響應(yīng)和上報程序。②報告安全弱點(diǎn)控制措施，是指中心應(yīng)要求信息系統(tǒng)和服務(wù)的所有職員、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統(tǒng)或服務(wù)的安全弱點(diǎn)。報告機(jī)制應(yīng)盡可能容易、易理解和方便可用。應(yīng)告知他們在任何情況下，都不應(yīng)試圖去證明被懷疑的弱點(diǎn)。

4.7.2信息安全事件和改進(jìn)的管理。社區(qū)衛(wèi)生服務(wù)中心信息安全事件和改進(jìn)的管理這一控制目標(biāo)旨在確保采用一致和有效的方法對信息安全事件進(jìn)行管理。中心可以用職責(zé)和程序的控制措施、對信息安全事件的總結(jié)、證據(jù)的收集三項控制措施來保障這一目標(biāo)的實現(xiàn)。①職責(zé)和程序的控制措施。它是指中心應(yīng)當(dāng)建立管理職責(zé)和程序，以確保能對信息安全事件做出快速、有效和有序的響應(yīng)。該項措施實施時除了對中心的信息安全事態(tài)和弱點(diǎn)進(jìn)行報告外，還應(yīng)利用對系統(tǒng)、報警和脆弱性的監(jiān)視來檢測中心信息安全事件。遵循嚴(yán)格的信息安全事件管理程序的前提是中心需建立規(guī)程以處理不同類型的信息安全事件，如惡意代碼、拒絕服務(wù)、信息系統(tǒng)故障和服務(wù)丟失、違反保密性和完整性、信息系統(tǒng)誤用等。中心除了考慮正常的應(yīng)急計劃還要考慮事件原因的分析和確定、遏制事件影響擴(kuò)大的策略、向合適的機(jī)構(gòu)報告所采取的措施等。②中心對信息安全事件的總結(jié)控制措施，是指社區(qū)衛(wèi)生服務(wù)中心應(yīng)有一套機(jī)制量化和監(jiān)視信息安全事件的類型、數(shù)量和代價。從信息安全事件評價中獲取的信息應(yīng)用來識別再發(fā)生的事件或高影響的事件。③證據(jù)的收集。證據(jù)的收集對于社區(qū)衛(wèi)生服務(wù)中心來說，是指當(dāng)中心的一個信息安全事件涉及到訴訟（民事的或刑事的），需要進(jìn)一步對個人或組織進(jìn)行起訴時，應(yīng)收集、保留和呈遞證據(jù)，以使證據(jù)符合相關(guān)訴訟管轄權(quán)。過程有：為應(yīng)對懲罰措施而收集和提交證據(jù)，應(yīng)制定和遵循內(nèi)部程序，為了獲得被容許的證據(jù)，中心應(yīng)確保其信息系統(tǒng)符合任何公布的標(biāo)準(zhǔn)或?qū)嵱靡?guī)則來產(chǎn)生被容許的證據(jù)：任何法律取證工作應(yīng)僅在證據(jù)材料的拷貝上進(jìn)行。

4.8業(yè)務(wù)連續(xù)性管理 對于社區(qū)衛(wèi)生服務(wù)中心來說業(yè)務(wù)連續(xù)性管理是指防止中心業(yè)務(wù)中斷，保證中心重要業(yè)務(wù)流程不受重大故障與災(zāi)難的影響。業(yè)務(wù)連續(xù)性管理過程中包含信息安全，該控制措施是指應(yīng)為貫穿于組織的業(yè)務(wù)連續(xù)性開發(fā)和保持一個管理過程。解決中心的業(yè)務(wù)連續(xù)性所需的信息安全要求，保護(hù)關(guān)鍵業(yè)務(wù)過程免受信息系統(tǒng)重大失誤或災(zāi)難的影響，并確保他們的及時恢復(fù)。應(yīng)包含中心的信息安全、業(yè)務(wù)連續(xù)性和風(fēng)險評估、制定和實施包含信息安全的連續(xù)性計劃、業(yè)務(wù)連續(xù)性計劃框架、測試、維護(hù)和再評估業(yè)務(wù)連續(xù)性計劃等內(nèi)容。

5 社區(qū)衛(wèi)生服務(wù)機(jī)構(gòu)信息安全的展望

對于社區(qū)衛(wèi)生服務(wù)中心來說信息安全保障不僅僅是一門技術(shù)學(xué)科，信息安全保障應(yīng)綜合技術(shù)、管理和人。在中心的管理上，信息安全保障應(yīng)考慮建立綜合的信息化的組織管理體系，明晰相應(yīng)的崗位職責(zé)、規(guī)章制度并嚴(yán)格執(zhí)行等等。在人員上，應(yīng)加強(qiáng)所有使用信息系統(tǒng)人員的安全意識和技能，以及中心從事信息系統(tǒng)專業(yè)人員的專業(yè)技能和能力。社區(qū)衛(wèi)生服務(wù)中心的信息安全保障亦不是一種項目性的暫時行為，而是融入信息系統(tǒng)生命周期的全過程的保障。信息安全保障不是一種打補(bǔ)丁，頭疼醫(yī)頭、腳疼醫(yī)腳的臨時行為，而是一種系統(tǒng)化、體系化的保障過程。信息安全保障的目的不僅僅是保障信息系統(tǒng)本身，信息安全保障的根本目的是通過保障信息系統(tǒng)進(jìn)而保障運(yùn)行于信息系統(tǒng)之上的中心業(yè)務(wù)系統(tǒng)。信息安全保障應(yīng)以業(yè)務(wù)為主導(dǎo)、以社區(qū)衛(wèi)生服務(wù)中心的使命、社會職責(zé)和社會服務(wù)性為出發(fā)點(diǎn)和落腳點(diǎn)。社區(qū)衛(wèi)生服務(wù)中心的信息安全保障不僅僅是孤立的自身的問題，信息安全保障是一個社會化的、需要各方參與的工作。信息安全保障不僅僅是孤立的自身的問題，信息系統(tǒng)需要電信、電力等基礎(chǔ)設(shè)施的支持、信息系統(tǒng)需要承擔(dān)保密、公共安全、國家安全等社會職責(zé)，信息安全保障工作是一個社會化的、需要各方參與的綜合的工作。社區(qū)衛(wèi)生服務(wù)中心的信息安全保障是主觀和客觀的結(jié)合。沒有絕對的安全，信息安全保障并不提供絕對的安全，信息安全保障是討論風(fēng)險和策略，討論適度安全。因此，它是一個需要持之以恒和不斷完善與發(fā)展的工作。

參考文獻(xiàn)：

[1]郭琳琳，游茂.社區(qū)衛(wèi)生服務(wù)機(jī)構(gòu)信息安全策略思考[J].中國衛(wèi)生信息管理雜志，2014，11（3）.

[2]萬美.大數(shù)據(jù)時代的公共衛(wèi)生信息安全[J].醫(yī)學(xué)信息學(xué)，2014，35（12）.

[3]馮登國，趙險峰.信息安全技術(shù)概論[M].北京：電子工業(yè)出版社， 2009.

[4]馮前進(jìn).信息安全保障實務(wù)[M].北京：中國政法大學(xué)出版社，2014.

編輯/成森