醫(yī)院信息系統(tǒng)安全問(wèn)題及對(duì)策研究

高晨光 （牡丹江醫(yī)學(xué)院，黑龍江 牡丹江 157011）

0 引 言

隨著現(xiàn)代信息技術(shù)的快速發(fā)展，醫(yī)院信息系統(tǒng)也得到了快速發(fā)展，醫(yī)院的各項(xiàng)業(yè)務(wù)對(duì)醫(yī)院信息系統(tǒng)的依賴性越來(lái)越強(qiáng)，涵蓋了醫(yī)院各主要部門的各項(xiàng)主要業(yè)務(wù)，極大地提高了醫(yī)院診療工作的效率，但同時(shí)，醫(yī)院信息系統(tǒng)也存在著很多不安全因素，一旦其安全性受到影響或破壞，必將對(duì)醫(yī)院的工作造成較大的影響甚至可能危及到患者的生命。因此，對(duì)醫(yī)院信息系統(tǒng)的安全性進(jìn)行研究，并制定出相應(yīng)的應(yīng)對(duì)措施是很有必要的。

1 醫(yī)院信息系統(tǒng)的現(xiàn)狀

1.1 單一的信息系統(tǒng)

近十幾年我國(guó)醫(yī)院才建立和應(yīng)用醫(yī)療信息系統(tǒng)，軟件無(wú)固定的模式，仍處于摸索階段，同時(shí)我國(guó)地域廣大，還沒(méi)有相對(duì)統(tǒng)一的管理模式，沒(méi)有一種完全適合所有醫(yī)院的信息系統(tǒng)軟件。所以，造成醫(yī)院信息系統(tǒng)開發(fā)公司眾多，大多數(shù)醫(yī)院的信息系統(tǒng)是按照手工業(yè)務(wù)流程而開發(fā)的，比較重視業(yè)務(wù)收費(fèi)這種單一的信息系統(tǒng)，距真正的醫(yī)院信息系統(tǒng)還有相當(dāng)一段距離，這是一種較為局限的網(wǎng)絡(luò)，也不能提供大量的共享信息，不能方便病人的診療。

1.2 單一的局域網(wǎng)絡(luò)

在一部分醫(yī)院沒(méi)有將全部業(yè)務(wù)科室進(jìn)行聯(lián)網(wǎng)，數(shù)據(jù)信息不能共享，只是手工工作方式的計(jì)算機(jī)化，不能發(fā)揮網(wǎng)絡(luò)管理的功能。而醫(yī)院信息系統(tǒng)的應(yīng)用，不應(yīng)僅滿足于對(duì)手工業(yè)務(wù)管理的模仿，而是要對(duì)醫(yī)院信息系統(tǒng)的運(yùn)行過(guò)程和管理方式進(jìn)行較深入的分析，及時(shí)發(fā)現(xiàn)現(xiàn)問(wèn)題，找出弊端，使醫(yī)院的管理手段和方法有所改進(jìn)，從而去改變和影響醫(yī)院的運(yùn)行過(guò)程。

1.3 安全事故頻發(fā)

病毒的流行、網(wǎng)絡(luò)的攻擊、數(shù)據(jù)信息的泄漏等諸多問(wèn)題，已經(jīng)比較嚴(yán)重地影響到醫(yī)院正常業(yè)務(wù)的運(yùn)行。作為醫(yī)院信息系統(tǒng)運(yùn)行的各個(gè)客戶端要與服務(wù)器進(jìn)行相應(yīng)的信息交換，這就成為黑客和病毒制造者的攻擊目標(biāo)。雖然相關(guān)的殺病毒軟件可以阻擋一部分，但不能阻擋所有病毒和木馬的入侵。隨著信息技術(shù)的發(fā)展，無(wú)線網(wǎng)絡(luò)技術(shù)、移動(dòng)辦公用戶的發(fā)展，網(wǎng)絡(luò)的接入情況越來(lái)越復(fù)雜，對(duì)醫(yī)院信息系統(tǒng)的攻擊也會(huì)大量存在，安全事故頻發(fā)。

2 醫(yī)院信息系統(tǒng)常見的信息安全問(wèn)題

2.1 硬件方面的安全問(wèn)題

醫(yī)院信息系統(tǒng)需要的硬件設(shè)備主要有機(jī)房、服務(wù)器、各個(gè)工作站計(jì)算機(jī)以及各種連接設(shè)備。存在攻擊、干涉信息系統(tǒng)的正常運(yùn)行，對(duì)計(jì)算機(jī)、存儲(chǔ)設(shè)備、電源等實(shí)施物理破壞的問(wèn)題。

2.2 軟件方面的安全問(wèn)題

通過(guò)互聯(lián)網(wǎng)上的軟件工具，攔截信息系統(tǒng)的數(shù)據(jù)或者以不正當(dāng)?shù)姆绞皆斐删W(wǎng)絡(luò)堵塞；或者對(duì)系統(tǒng)的越權(quán)訪問(wèn)，用偽裝的身份或利用操作系統(tǒng)的漏洞進(jìn)入信息系統(tǒng)等。在電子郵件中置入木馬或病毒，對(duì)信息系統(tǒng)用戶進(jìn)行破壞，或?yàn)橐院蟮钠茐闹圃鞕C(jī)會(huì)，獲得醫(yī)院資源等。

當(dāng)前的殺毒軟件可查殺大部分的病毒和木馬，在一般的網(wǎng)頁(yè)訪問(wèn)中不會(huì)出現(xiàn)太多問(wèn)題，但是在醫(yī)院信息系統(tǒng)使用中，由于終端用戶較多，而使用信息系統(tǒng)的醫(yī)院工作人員水平參差不齊，系統(tǒng)漏洞沒(méi)能及時(shí)補(bǔ)上，殺毒軟件沒(méi)能及時(shí)更新，為病毒和木馬的進(jìn)入提供了機(jī)會(huì)，最終會(huì)影響到整個(gè)信息系統(tǒng)的使用[1]。

2.3 制度方面的安全問(wèn)題

隨著技術(shù)的發(fā)展和信息系統(tǒng)的應(yīng)用，單純從技術(shù)方面解決系統(tǒng)安全問(wèn)題已變得不夠了。事實(shí)上，除技術(shù)外，管理也是很重要的一個(gè)方面。由于醫(yī)院信息系統(tǒng)應(yīng)用時(shí)間較短，領(lǐng)導(dǎo)對(duì)系統(tǒng)安全問(wèn)題了解不夠，沒(méi)有建立有針對(duì)性的信息安全措施，不能及時(shí)發(fā)現(xiàn)安全風(fēng)險(xiǎn)和漏洞，沒(méi)有根據(jù)醫(yī)院實(shí)際制定出符合醫(yī)院實(shí)際的安全管理策略。雖然有的醫(yī)院也制定了一些制度，但是制度往往不夠健全，其信息系統(tǒng)安全管理的規(guī)章制度很不完備，即使有了安全管理的規(guī)章制度，往往也是流于形式，沒(méi)有真正執(zhí)行，成了擺設(shè)[2]。

2.4 其它方面的威脅

在人員操作過(guò)程中，不可避免地造成因擊鍵錯(cuò)誤、數(shù)字錯(cuò)誤、缺乏校驗(yàn)等，對(duì)信息系統(tǒng)產(chǎn)生影響；或因斷電、地震、風(fēng)災(zāi)、火災(zāi)、水災(zāi)等造成信息資源的損失，也對(duì)信息系統(tǒng)的安全產(chǎn)生較大影響。

3 醫(yī)院信息系統(tǒng)安全對(duì)策

3.1 硬件安全的措施

醫(yī)院信息中心的機(jī)房是醫(yī)院信息系統(tǒng)的存放地點(diǎn)，因此，必須要對(duì)機(jī)房的供電、避雷、抗靜電、抗干擾等做好安全保障工作，保證醫(yī)院信息系統(tǒng)的正常安全運(yùn)行。信息系統(tǒng)服務(wù)器是整個(gè)系統(tǒng)的核心，一旦服務(wù)器發(fā)生故障，將會(huì)導(dǎo)致整個(gè)系統(tǒng)癱瘓，無(wú)法運(yùn)行。各部門工作人員使用的終端設(shè)備主要是負(fù)責(zé)當(dāng)時(shí)發(fā)生的業(yè)務(wù)數(shù)據(jù)的輸入，要嚴(yán)格按照規(guī)定使用各種移動(dòng)存儲(chǔ)設(shè)備，對(duì)各種操作活動(dòng)要進(jìn)行有效監(jiān)控，同時(shí)也要對(duì)各種網(wǎng)絡(luò)連接設(shè)備的安全進(jìn)行管理。定期進(jìn)行硬件的檢修及維護(hù)工作，做好機(jī)器設(shè)備的日常維護(hù)保養(yǎng)和檢修；對(duì)相關(guān)使用人員進(jìn)行硬件使用培訓(xùn)，將故障率降低到最低水平。

3.2 軟件安全方面的措施

（1） 更新系統(tǒng)軟件

操作系統(tǒng)是保證醫(yī)院信息系統(tǒng)安全運(yùn)行的重要保證，因此對(duì)于系統(tǒng)軟件要及時(shí)更新，堵塞軟件漏洞，使系統(tǒng)更安全，防止病毒和木馬隨著漏洞入侵信息系統(tǒng)。

（2）殺病毒軟件和防火墻技術(shù)

網(wǎng)絡(luò)的普及，病毒的種類和數(shù)量都在逐漸增多，影響信息系統(tǒng)運(yùn)行的病毒泛濫，為了避免因?yàn)椴《径斐傻南到y(tǒng)癱瘓，必須制定嚴(yán)格的病毒防護(hù)制度，減少、關(guān)閉病毒來(lái)源，定期對(duì)系統(tǒng)程序進(jìn)行查殺，利用防火墻對(duì)系統(tǒng)進(jìn)行實(shí)時(shí)監(jiān)控，并及時(shí)更新查殺病毒軟件[3]。

（3） 數(shù)據(jù)備份技術(shù)

數(shù)據(jù)備份技術(shù)是將信息系統(tǒng)本身或者其中的部分或全部數(shù)據(jù)在某一時(shí)間的狀態(tài)以特定的格式保存下來(lái)，以備數(shù)據(jù)源出現(xiàn)錯(cuò)誤、被誤刪除、惡意加密等各種原因造成數(shù)據(jù)丟失時(shí)，可快速準(zhǔn)確的將數(shù)據(jù)備份進(jìn)行恢復(fù)。

也可在遭遇自然災(zāi)害以及重大事故造成系統(tǒng)無(wú)法運(yùn)行時(shí)，利用系統(tǒng)備份和恢復(fù)技術(shù)幫助醫(yī)院在極短的時(shí)間內(nèi)將系統(tǒng)快速恢復(fù)，盡量減少業(yè)務(wù)停頓時(shí)間?；诖疟P的數(shù)據(jù)備份技術(shù)不但可以對(duì)數(shù)據(jù)源的不同時(shí)間和狀態(tài)進(jìn)行備份，也能完全保證備份數(shù)據(jù)與數(shù)據(jù)源的一致性。物理保護(hù)主要確保存儲(chǔ)備份的介質(zhì)在儲(chǔ)存與運(yùn)輸時(shí)的完整性與可靠性。但要注意保護(hù)備份數(shù)據(jù)不會(huì)被解密，不會(huì)被非法的、非授權(quán)的訪問(wèn)讀取。

（4） 劃分 VLAN

VLAN即虛擬局域網(wǎng)，其功能是將物理的LAN劃分成不同的虛擬子網(wǎng)。通過(guò)劃分VLAN，可以避免廣播風(fēng)暴產(chǎn)生和互相非法訪問(wèn)的次數(shù)，提高網(wǎng)絡(luò)交換的效率，保證網(wǎng)絡(luò)的穩(wěn)定性，也為信息系統(tǒng)的穩(wěn)定運(yùn)行提供保障。

3.3 制定信息系統(tǒng)安全制度

對(duì)于信息系統(tǒng)的安全問(wèn)題，世界組織和國(guó)家有關(guān)部門已經(jīng)出臺(tái)了一系列政策。首先必須建立內(nèi)部控制制度的組織機(jī)構(gòu)，明確確定工作責(zé)任，責(zé)成專人負(fù)責(zé)。工作人員應(yīng)該遵循檢查規(guī)則定期檢查，并定期提交安全檢查報(bào)告。其次，醫(yī)院必須根據(jù)自己業(yè)務(wù)的特點(diǎn)，建立一系列有關(guān)的工作程序和規(guī)章制度。包括信息使用制度、信息發(fā)布制度、信息保密制度、獎(jiǎng)懲制度，以及對(duì)于信息技術(shù)人員的管理、使用、評(píng)價(jià)、培訓(xùn)的制度。對(duì)于內(nèi)部工作人員應(yīng)當(dāng)建立在接觸醫(yī)院信息系統(tǒng)、特別是重要的控制系統(tǒng)時(shí)應(yīng)當(dāng)遵守的規(guī)章制度。再次，制定系統(tǒng)安全應(yīng)急預(yù)案，對(duì)突發(fā)事件進(jìn)行及時(shí)處理，提高對(duì)突發(fā)事件的應(yīng)急處理能力，將系統(tǒng)的中斷時(shí)間、故障損失和社會(huì)影響降低到最低程度[4]。

3.4 其他措施

對(duì)于人為失誤，要對(duì)相關(guān)人員加強(qiáng)責(zé)任心教育和業(yè)務(wù)技術(shù)培訓(xùn)；對(duì)于重要信息要經(jīng)過(guò)校驗(yàn)后才能傳送；對(duì)于自然災(zāi)害的發(fā)生要有預(yù)案和防范措施，防止不必要的損失發(fā)生影響醫(yī)院信息系統(tǒng)的運(yùn)行。

4 結(jié)束語(yǔ)

醫(yī)院信息系統(tǒng)安全問(wèn)題是一個(gè)系統(tǒng)工程，需要各部門相關(guān)人員共同努力才能完成。醫(yī)院信息系統(tǒng)在整個(gè)醫(yī)院管理體系中具有十分重要的地位，其穩(wěn)定性和安全性將直接影響到醫(yī)院的管理水平和質(zhì)量。因此，必須從技術(shù)上和制度上制定嚴(yán)格的保障措施，以保證醫(yī)院信息系統(tǒng)安全正常運(yùn)行，杜絕信息的泄漏，提高醫(yī)院的信息化水平和信息管理的水平，真正起到提高醫(yī)院的醫(yī)療水平和為患者服好務(wù)的作用。

[1]方力，秦樂(lè)陽(yáng).強(qiáng)化醫(yī)院信息系統(tǒng)安全的對(duì)策[J].電腦編程技巧與維護(hù)，2011(16)：128-129.

[2]范春雨.醫(yī)院信息系統(tǒng)安全及對(duì)策[J].科技創(chuàng)新導(dǎo)報(bào)，2010(12)：215-216.

[3]韓煜，李楠.提高醫(yī)院信息系統(tǒng)安全性的策略[J].醫(yī)學(xué)信息學(xué)雜志，2010(3)：21-22.

[4]陳曉鋮，李少華，陳凱立，等.醫(yī)院信息化終端安全管理[J].醫(yī)學(xué)信息 （上旬刊），2008(12)：2007-2011.