《数据安全法》来了！如何让医疗数据安全“固若金汤”？
当前，全社会数字化转型持续推进，未来各行各业产生的海量数据将成为数字化时代的核心资源，在此趋势下，对数据安全的各项监管措施也势在必行。9月1日，我国首部针对数据安全的专项法案 —《中华人民共和国数据安全法》正式开始执行，对行业数据安全管理、个人数据隐私保护等各个方面提出了明确的要求和规定，成为了我国数据安全治理体系的重要基石。值得一提的是，医疗健康领域的数据安全保障尤其具有紧迫性和严峻性，因为此类数据关系到千千万万患者的隐私和健康安全。各级卫生医疗机构、医疗健康行业的从业者，都需要依照数据安全法的要求，坚决、自觉遵守法律规定，并采取各类措施维护医疗数据安全。那么，医疗机构、医疗信息化系统供应商以及医疗从业人员可以采取或遵从哪些措施和机制，助力加强医疗数据的安全性？如何让医疗数据安全做到“固若金汤”？
管理机制与人员规范：筑起数据安全“第一道防线”
具体而言，医疗机构应当在以下层面提出明确的管理要求：
- 遵循“按需知密”原则，只让最有需要的人访问数据，减少有权访问数据的人数；
- 确保有相应的管控措施落地，来限制数据访问，避免意外数据泄露；
- 在披露患者个人身份信息或机密信息时，必须仅限于需要的目的；
- 机密信息的接收人需要悉知信息保密的重要性；
- 如果需要向外传输信息，那么需要提供向外传输信息的理由，并且妥善存档；
- 如果有数据泄露方面的顾虑，要立刻与上级领导或有关部门进行讨论和评估等等。
如果工作人员误将患者信息输入错误，TPP的临床系统SystmOne中的标错留存功能在更正错误的同时留存原始记录，确保工作人员的操作有迹可循。除此之外，SystmOne中的全方位操作记录保留，谁在什么时间进行了什么操作，例如拷贝资料、发送消息等等，都可以100%记录在系统中，随时可查，助力医疗机构防止信息外泄。
软件、网络及系统：技术层面的“魔高一尺，道高一丈”
在有效防范医疗机构内部管理风险的基础上，技术途径也是保障医疗数据安全的至关重要的因素。近年来，随着国内医疗系统信息化转型的有效推进，医疗数据的采集、保存和使用均实现了数字化，这在大大提升效率的同时，往往也为网络攻击、软件漏洞攻击等黑客行为提供了“可乘之机”。
在技术层面，TPP从软件安全、网络和系统安全等层面采取完善的设计，并在系统实施、维护的过程中积极防范安全风险。
在软件安全方面，应在各项目开始前认真评估安全并高度重视数据安全，同时汲取多方建议，依据权威的安全策略和模式，进行安全架构设计的决策。
在确保网络和系统安全方面，应将重点放在如何防止网络安全漏洞，而不是等出现问题时再以“亡羊补牢”的方式修复问题。在这方面，需要定期针对软件、网络和系统进行渗透测试，来及时发现系统中的安全风险。
作为全球领先的智慧医疗专家，TPP智凰科技一直以来都将保障临床数据安全视为首要任务，并在标准认证、产品及系统设计、安全技术更新与升级、网络攻防等方面采取“多管齐下”的措施，助力各类医疗机构和患者为医疗数据筑起安全高墙。
-
TPP不仅符合ISO 27001、ISO 20000、ISO 22301、网络基础设施增强认证、NHS标准DCB0129等一系列标准，还提供了高于标准要求的NHS数据安全和保护措施。在产品的设计上，系统中任何与病历相关的操作都会有相应记录，可以查看到操作的时间、操作人等信息，确保系统可以追根溯源；而针对客户端APP爱阅历，则设有限时登出的独特设计，防止用户信息的意外泄露。
- TPP高度重视信息安全技术的持续更新与完善。技术团队持续检测可能出现的新威胁，确保不会因任何潜在问题影响数据安全；工作人员定期进行渗透测试，确保应用程序和基础架构安全。在硬件上，TPP还拥有完善的防灾备份服务器，保障极端情况下数据不丢失。
创新和隐私之辩：如何让“鱼和熊掌”兼得？
对于医疗数据而言，一方面需要坚定不移地保障数据安全，尤其是患者的隐私等信息；另一方面，也需要以适当的方式，充分挖掘医疗数据中的智慧，从而让全社会共享医学研究和创新的果实。这形成了另一个值得关注的议题：如何让医疗数据既能够被适当用于医学研究，又能够确保不暴露患者隐私，做到两全其美？
在这方面，在研究人员接触数据之前，重中之重就是要确保医疗数据脱敏。数据脱敏广泛应用在保护患者隐私等方面，是保护患者隐私的一个非常重要的流程。在使用或共享患者的数据之前，需隐去患者的姓名、地址以及出生日期，但仅仅有数据脱敏这一项措施仍是远远不够的。
- 在TPP，研究人员都非常谨慎地处理脱敏数据，利用所有技术手段来避免和监测数据滥用情况。出于安全原因考量，全部研究人员都需要通过安全VPN以及基于时间的双因素认证来访问数据研究环境。我们也会完整记录数据集查询记录，记录查询数据的用户。同时，我们也严格限制用户的访问权限，并且禁止一切数据导出。这样的处理方法保证持续的数据安全情况监控，不会对研究人员的研究工作造成中断或影响，还可以保证数据的高度安全。
- 基于这一原则，TPP在2020年与牛津大学、伦敦热带与卫生医学院共同建立了OpenSafely数据库，编写了创新的三级分层系统，不仅隐去了患者的个人隐私，也筛选出了用于科学研究的有效而关键的信息。平台使用了2400万患者的匿名健康数据，所有数据分析都在TPP的数据中心进行，全程没有对电子病历进行任何数据转移和复制，从根本上杜绝了由于数据的复制和转移带来的不安全隐患。
