醫(yī)院信息安全的問題及對策探討

江蘇省榮軍醫(yī)院 許欣蕾

隨著現(xiàn)代信息化技術(shù)的飛速發(fā)展，醫(yī)療信息化也在全面推進(jìn)。目前，我國90%以上的中心醫(yī)院都已建設(shè)完成網(wǎng)絡(luò)信息系統(tǒng)，醫(yī)院的發(fā)展已日益離不開可靠穩(wěn)定的信息系統(tǒng)的支持，但在醫(yī)院信息化飛速發(fā)展的當(dāng)代，醫(yī)院信息管理系統(tǒng)的安全問題正逐漸突出。因此，如何加強(qiáng)醫(yī)院信息安全建設(shè)，已經(jīng)成為網(wǎng)絡(luò)管理者甚至醫(yī)院管理者極度關(guān)注的問題。

1.醫(yī)院信息安全面臨的問題

1.1 安全制度落實方面不夠到位

由于當(dāng)前醫(yī)院管理者對信息安全的認(rèn)識正不斷提高，大部分醫(yī)院都建立了自己的信息安全管理制度，但能夠嚴(yán)格落實的并不多。其主要原因如下：一是醫(yī)院工作人員組成復(fù)雜，大部分人員對信息安全缺乏認(rèn)識；二是信息科的行政干預(yù)能力較弱，很大程度上只能運(yùn)用技術(shù)手段對終端用戶進(jìn)行管理，缺乏有效的安全監(jiān)管手段。目前，我院已制定了《信息安全管理辦法》、《計算機(jī)設(shè)備管理制度》、《醫(yī)院局域網(wǎng)信息安全管理制度》等安全管理制度，但對制度的執(zhí)行和監(jiān)督還不夠到位，很多時候只是停留在紙面上，醫(yī)院工作人員普遍缺乏對信息安全的認(rèn)識。

1.2 信息安全技術(shù)支持薄弱

醫(yī)院信息系統(tǒng)涉及方面較廣，包括網(wǎng)絡(luò)、數(shù)據(jù)庫、服務(wù)器、應(yīng)用等方面，其維護(hù)工作比較復(fù)雜，工作量也較大，但與此同時信息技術(shù)人員卻始終處于匱乏狀態(tài)，據(jù)調(diào)查結(jié)果顯示，我國有超過四分之三的醫(yī)院信息技術(shù)人才不足總?cè)藬?shù)的百分之一，全國的醫(yī)院信息技術(shù)人才總數(shù)有大約七萬人，這樣平均下來每個醫(yī)院信息人才數(shù)才只有不足九人。并且在現(xiàn)有的技術(shù)人員中，大部分人只能進(jìn)行常規(guī)維護(hù)工作，對于系統(tǒng)級的建設(shè)及管理工作往往力不能及。另外，由于工作人員忙于日常事務(wù)，而缺乏對新技術(shù)發(fā)展的研究，知識儲備跟不上日新月異的現(xiàn)代信息技術(shù)，加劇了技術(shù)薄弱這個問題。

1.3 信息安全投入不足

當(dāng)前國際上，醫(yī)院信息化建設(shè)方面的投入大約是運(yùn)營經(jīng)費(fèi)的百分之三到十，而在我國，醫(yī)院信息化建設(shè)投入才不到年收入的百分之一，與大型醫(yī)院相比，中小型醫(yī)院的信息化投入就更少了。而醫(yī)院信息系統(tǒng)安全建設(shè)是一個長期的過程，需要在建設(shè)過程中不斷對其完善，在安全設(shè)備引進(jìn)、安全軟件升級更新等方面進(jìn)行長期投入。但目前大部分醫(yī)院由于自身發(fā)展受限，以及缺乏對信息化重要性的認(rèn)識，在信息化投入方面非常有限，這往往會給信息技術(shù)人員的日常維護(hù)工作帶來不便，也會對信息系統(tǒng)的平穩(wěn)運(yùn)行和安全維護(hù)工作帶來一定影響。

2.醫(yī)院信息安全問題的主要對策

2.1 安全管理制度落實方面

首先，要加強(qiáng)醫(yī)院工作人員對信息安全的認(rèn)識，可以通過在院內(nèi)舉辦信息安全知識講座、知識競賽等活動，讓全體員工都能參與進(jìn)來，從而加深對信息安全的了解和認(rèn)識，在各個相關(guān)工作環(huán)節(jié)中能夠注意，減少信息安全末端失控行為的發(fā)生。醫(yī)院目前已成立信息安全領(lǐng)導(dǎo)小組，規(guī)定信息安全工作由院長領(lǐng)導(dǎo)，小組成員包含信息科、辦公室、醫(yī)務(wù)科、護(hù)理部等相關(guān)科室領(lǐng)導(dǎo)。在每個部門還設(shè)置了信息化專員，來負(fù)責(zé)將信息安全重要性下達(dá)每位工作人員。這樣不但讓每個工作人員能夠認(rèn)識到信息安全的重要性，而且通過這種讓他們參與信息相關(guān)工作的方式，可以讓他們時時刻刻保持信息安全的意識。

2.2 加大技術(shù)人才隊伍建設(shè)

信息安全，人才為本，醫(yī)院信息安全體系的建設(shè)需要素質(zhì)優(yōu)良的人才隊伍。因此，首先應(yīng)當(dāng)成立專門的信息管理部門，醫(yī)院領(lǐng)導(dǎo)者必須重視信息化人才的培養(yǎng)，必須加強(qiáng)信息隊伍的建設(shè)，大力引進(jìn)、培養(yǎng)信息安全專業(yè)人才，加強(qiáng)對信息部門的培訓(xùn)，以拓展信息化人員的眼界。常用的信息安全技術(shù)包括防火墻技術(shù)、入侵檢測技術(shù)、計算機(jī)病毒防御技術(shù)、漏洞掃描技術(shù)等內(nèi)容，培訓(xùn)內(nèi)容不僅限于信息專業(yè)知識，還應(yīng)當(dāng)包含醫(yī)院的各項業(yè)務(wù)和流程。信息科人員不應(yīng)單是維修人員，未來更需要扛起“高級顧問”的角色，整合醫(yī)院信息資源，推進(jìn)業(yè)務(wù)流程，努力成為復(fù)合型人才，為醫(yī)院的信息化管理提出方向。

2.3 增加信息安全資金投入

醫(yī)院信息安全建設(shè)絕非一朝一夕，需要長期大量資金的投入。硬件上，可以增加入侵檢測設(shè)備（IDS）對網(wǎng)絡(luò)、系統(tǒng)的運(yùn)行狀況進(jìn)行監(jiān)視，來及時發(fā)現(xiàn)各種攻擊；通過使用堡壘機(jī)來進(jìn)行核心系統(tǒng)運(yùn)維和安全審計管控，以便及時報警及審計定責(zé)。軟件方面，可以使用網(wǎng)管軟件對網(wǎng)絡(luò)設(shè)備進(jìn)行監(jiān)測、配置和故障診斷；通過桌面管理軟件對終端計算機(jī)進(jìn)行資產(chǎn)管理和遠(yuǎn)程控制。人員方面，應(yīng)當(dāng)定期組織科室內(nèi)部或外部的信息安全知識培訓(xùn)，來提高技術(shù)人員的信息知識。

信息安全遵從“木桶”原理，這意味著，信息安全是一個系統(tǒng)工程，每個要素都是同等重要的。只有從信息系統(tǒng)的硬件和軟件的底層做起，從整體上綜合采取措施，才能比較有效地確保信息系統(tǒng)的安全。落實各項安全管理制度，加大技術(shù)人才隊伍建設(shè)，保證信息資金投入，是醫(yī)院信息系統(tǒng)安全運(yùn)行的有力保證，也是保障醫(yī)療業(yè)務(wù)有序開展的基礎(chǔ)。

引文：

①周丁華,呂曉娟,張麟,盧敬泰,王月娟.數(shù)字化醫(yī)院信息安全建設(shè)與管理策略[J].醫(yī)學(xué)信息技術(shù),2015,6.

②盛峰.數(shù)字化時代下醫(yī)院信息安全建設(shè)探討.信息技術(shù)與信息化[J].2017,7.

③皇甫宜娣.淺析醫(yī)院信息化建設(shè)存在的問題與解決策略[J].科技創(chuàng)新.2014,23