医疗行业数据安全政策汇编 业务数据安全专家内容简介 医疗数据中的患者信息高度个人化且敏感，具有很高的商业价值。数据的价值 在于应用，数据在应用过程中往往伴随着诸多风险。然而我国医疗机构的网络 安全建设仍处在初级阶段，不少医疗机构的数据安全意识和保护措施还很薄弱， 导致很多医疗数据正在“裸奔”。 医疗行业由于其特殊属性，数据安全与个人信息保护的合规性要求要比其他行 业更高。随着国家全民健康信息平台基本建成、网络安全与个人信息保护等领 域的法制体系初步建立，医疗行业的数据安全与合规管理逐步成为各医疗机构 亟需处理的关键问题。 本文将医疗行业数据安全方面的政策法规进行总结汇编，希望对此领域感兴趣 的同学能够起到一定借鉴作用。目录 标准或规范性文件 发布组织 发布时间 页码 关于加强网络安全和数据保护工作的指导意见 国家医疗保障局 2021-04-06 01 GB/T 39725-2020 信息安全技术 健康医疗数据安全指南中华人民共和国国家质 量监督检验检疫总局2020-12-14 03 互联网医疗健康信息安全管理规范国家卫生健康委统计信 息中心2021-06-03 06 医疗卫生机构网络安全管理办法国家卫生健康委、国家 中医药局、国家疾控局2022-08-08 10 T/GDWJ 0132022 广东省健康医疗数据安全分 类分级管理技术规范广东省卫生经济学会 2022-07-15 13 药品监管网络安全与信息化建设“十四五”规划国家药品监督管理局 2022-04 16 全国基层医疗卫生机构信息化建设标准与规范国家卫生健康委 国家中医药管理局2019-04 17 国家健康医疗大数据标准、安全和服务管理办法国家卫生健康委员会 2018-07-12 23 关于促进“互联网+医疗健康”发展的意见 国务院办公厅 2018-04-25 24 《指导意见》涵盖了“总体要求、加强网络安全管理、加强数据安全保护、保障措施”四大部分。《关于加强网络安全和数据保护工作的指导意见》 总体要求 主要目标：到 2022 年，基本建成基础强、技术优、制度全、责任明、管理严的医疗保障网络安全和 数据安全保护工作体制机制。到“十四五”期末，医疗保障系统网络安全和数据安全保护制度体系更 加健全，智慧医保和安全医保建设达到新水平。 具体要求： 其一：数据安全管理有效实施。数据安全审批制度全面建立，分级分类管理及重要数据保护目录全面 落实，数据实现全生命周期安全管理，数据安全评估机制日益完善。 其二：数据共享使用安全有序。数据共享使用流程明晰、机制健全，医疗保障数字化、智能化水平显 著提升。 加强网络安全管理 《指导意见》关于加强网络安全管理六大要求，其中有两个关键要求 如下： 一是落实网络安全主体责任。建立健全网络安全责任制，各级医保部门是本级网络安全的责任主 体，各级医保部门主要负责人是第一责任人。 二是加强关键信息基础设施安全保护。全面推进网络安全等级保护工作，根据行业规范合理定级 备案，在系统规划、设计阶段同步确定安全保护等级，按照国家和行业标准进行等级测评。 加强数据安全管理 《指导意见》关于加强数据安全保护提出了七大要求，如下： 一是实施数据全生命周期安全管理。依法依规对数据的产生、传输、存储、使用、共享、销毁等 实行全生命周期安全管理，提高数据安全防护能力和个人隐私保护力度……采用适当的系统架构、技 术手段对数据传输和数据存储进行安全加固，确保数据安全和高效可用等。 二是实施分级分类管理。根据本单位本系统数据安全保护的实际需要，结合医疗保障数据特点， 制定统一的分级分类管理制度，按照数据分级分类保护标准、规则，对数据划分安全等级，实行分级 分类管理。地方医保部门要落实分级分类规则标准，参照《国家医疗保障局数据安全管理办法》制定 本地的数据安全管理办法。 01 三是加强重要数据和敏感字段保护。制定重要数据保护目录，对列入目录的数据进行重点保护， 涉及国家秘密、工作秘密的数据应严格保密，不予共享及公开。建立敏感数据字段库，包含但不限于 个人隐私数据、参保单位隐私数据、协议机构隐私数据、药品诊疗目录项目隐私数据等。 保障措施 四是强化数据安全审批管理。严格执行数据处理和使用审批流程，按照“知所必须，最小授权” 原则划分数据访问权限，实施脱敏、日志记录等控制措施，防范数据丢失、泄露、未授权访问等安全 风险。 五是落实数据安全权限。明确各级权限，分离信息系统运维权限和经办业务角色， 对不同角色设 置不同权限。 六是推动数据安全共享和使用。在保障数据安全的前提下，稳妥推动数据资源开发利用，发挥数 据生产要素作用，保障数据依法依规有序共享。 七是建立健全数据安全风险评估机制。定期评估安全系统软硬件运行状况、制度执行情况、数据 复制情况、告警或故障设备的数据保护状况、权限的审批收回情况、密码强度、外包服务中的数据保 护管理情况、研发测试环境数据保护情况， 对发现的问题及时整改。 为了贯彻落实指导意见的内容，国家医保局专门制定了保障措施，一 共是五条，其中有两个关键要求如下： 一是加强人才队伍建设。加大网络安全和数据保护人才培养投入，加强从业人员技能培训，形成 培养、选拔、吸引和使用网络安全和数据保护人才的良性机制。建立各级医保部门网络和数据安全专 家库。 二是加强资金投入。各级医保部门应加强统筹规划，做好网络安全和数据保护体系顶层设计，制 定工作计划。按照总体进度安排和工作目标，将网络安全和数据保护建设、运行维护经费纳入信息化 建设项目投入，加强资金保障和使用监管，确保网络安全和数据保护工作的资金投入。 02 《安全指南》的适用对象为“健康医疗数据控制者”及其他角色，所谓“健康医疗数据控制者” 是指“能够决定健康医疗数据处理目的、方式及范围等的组织或个人”，比如提供健康医疗服务的组 织、医保机构、政府机构、健康医疗科学研究机构、个体诊所等。 《安全指南》共分为11个章节，除了定义和介绍部分，主体内容包括分类体系、使用披露原则、 安全措施要点、安全管理指南、安全技术指南和典型场景数据安全等内容。其内容的几大特色之处在 于：《GB/T 39725-2020 信息安全技术 健康医疗数据安全指南》 分类体系 《安全指南》将“健康医疗数据”分为六个类别，并对各个类别中具体 包含的内容进行了明确列举： 分级体系 《安全指南》根据数据的重要程度和可能造成损害和影响的级别对上述 “健康医疗数据”分为五个级别，针对不同级别，控制者可使用和披露的范 围及采取的安全措施有所不同： 03安全管理要求 为实现安全目标，健康医疗机构进行数据分类分级，采取有针对性的安全 措施后，需对实施措施后的效果进行检查，并持续改进。在安全管理方面， 《安全指南》明确了组织、过程和应急处置相关的管理要求。 04通用安全技术：宜对承载健康医疗数据的信息系统和网络实施以及云平台等进行安全保护，针对数据 生命周期的各项活动实施安全措施，建立安全的数据管理基础设施，实施身份鉴别、访问控制、安全 审计、入侵防范、介质使用管理、备份恢复、剩余信息保护等安全措施等等。 去标识化：《安全指南》明确宜去除个人属性数据中可唯一识别到个人的信息或披露后会给个人造成 重大影响的信息，对于个人属性数据中可间接关联到个人的信息宜进行泛化、转换等处理，数据集中 所有属性值相同的人数最低宜在5人以上，控制者内部建立患者代码索引，去标识化中使用的参数配 置仅限于内部专人管理，禁止使用者参与去标识化相关工作等。安全技术指南 针对健康医疗数据的安全技术要求，《安全指南》在明确通用安全技术的 基础上，结合健康医疗数据的特殊性进一步规范了去标识化工作。在组织上：宜建立完善的组织保障体系，组织架构中至少包括健康医疗数据安全委员会和健康医疗数 据安全工作办公室，其中委员会应是健康医疗数据安全的最高领导机构，全面负责相关工作并讨论决 定重大事项，办公室则负责健康医疗数据安全日常执行工作。 在过程上：《安全指南》划分规划、实施、检查、改进阶段，并明确各阶段的主要工作，将健康医疗 数据安全工作覆盖事前、事中、事后全过程，实现全流程的数据安全管理。 在应急处置上：包含建立应急预案，制定专门应急支撑队伍、专家队伍，制定灾难恢复计划，数据安 全事件报告，以及综合评估等工作，保证在遇到数据安全事件时能够及时有序地应对。 05