【IT168信息化】这两周不少人和笔者探讨关于移动医疗过程中的各种安全相关问题。忽然发现，一方面，同样的“安全”二字，在医疗和技术领域，许多人的理解似乎并不相同，另一方面，由于大家对安全的重视和知识信息的不足，一些被渲染安全问题，比较容易造成保守型恐惧，导致创新受阻。笔者虽然谈不上安全专家，不过确实算是读过系统安全验证的博士生，研习过完整的HIPAA课程。所以，结合笔者这些年在系统安全上遇到的各种实践经历，特别想用相对容易理解的言语澄清一些安全领域的概念，供更多同行参考，互相交流。
安全不是单单技术上的事情
提及安全，医疗领域同事担心最多的部分是信息泄露问题。这大概和大众对IT信息系统了解较少有关，因此造成了对未知的恐惧。事实上，安全是一个完整的体系，包括了管理和技术两部分的有机结合。任何一部分的缺失或者漏洞都可能带来安全隐患。2013年美国名人金-卡戴珊身上曾发生病历泄露事件，当时其刚出生女儿的一系列信息，被西奈医疗中心工作人员窥探并泄露给了记者媒体。事后医疗中心解雇了6名相关工作人员，并对事主告知详情和道歉。这就是典型的管理安全范畴，医疗服务机构在前期的病历信息管理不到位导致泄露造成不良影响。
对于移动医疗而言，有效的管理更是尤为重要。公司入职人员都应该签订相关医疗信息保密协议，让法律威慑形成企业行为标准。 其次，医疗安全培训，笔者曾经在公司做过若干次管理和技术相关安全培训，起到了很好的效果。帮助员工引导和加强安全意识也是移动医疗企业必经的环节。最后，相关操作规章制度的建立，也是医疗安全的重要屏障。
杏树林CTO王哲
事实上，在设计安全的四大领域，除了技术安全服务、技术安全机制两个直接相关的技术要求外，管理流程和物理防护两大管理领域也是医疗安全方面的重要组成，必须加以重视。
安全政策参考HIPAA，等待国家指引
和其他信息产业略有不同，医疗领域因为涉及民生安全，所以各国政府都在积极进行规范。目前美国是在这方面走非常先进的国家，HIPAA(Health Insurance Portability and Accountability Act)中文翻译全称健康保险携带及责任法案。这个法案对多种医疗健康产业进行了比较具体的规范，包括交易规则、医疗服务机构的识别、从业人员的识别、医疗信息安全、医疗隐私、健康计划识别、第一伤病报告、病人识别等各个部分。
说完美国的，再说几句中国的现状。到目前为止，我国尚没有一个比较系统性的法律法规来约束新互联网环境下的医疗信息安全。这也是为什么国内有安全意识的公司会以HIPAA为参照标准的原因。已有的规定在互联网方面，主要有《中华人民共和国计算机信息系统安全保护条例》和《电信和互联网用户个人信息保护规定》。两部优异规定部分约束了互联网信息在传输和存储过程中的信息安全性，具有一定的参考意义，但是绝大部分是用户信息内容相关的。在医疗方面，卫生部发布了《互联网医疗保健信息服务管理办法》，但这个主要和互联网企业运营相关，与内容安全关系很少。
今年7月，国务院印发了《关于积极推进“互联网+”行动的指导意见》，内容第一次以优异文件明确支持第三方平台构建医学影像、健康档案、检验报告、电子病历等医疗信息共享服务平台。相信不久的将来，相关法律新规也会产生，给行业从业企业更好的指引。
安全里的传输窃听与系统渗透
“传输窃听”其实就是数据传输过程中的不安全因素，一般指对用户和使用系统之间的连接进行截取，从而实现破坏或者信息收取的商业犯罪行为。由于现代IT系统大多有比较强大的抗攻击侦查和防火墙体系所以这类安全隐患，在服务提供商一侧发生的几率比较小，常见发生在用户端。由于用户疏忽，错误的使用了不安全的上网设备(如有木马的手机或者免费路由器等)，导致正常连接被截取，信息泄露。又因为是在用户端发生，所以波及面积较小，对个人损害比较大。今年央视315晚会，就特别展示了信息诈骗犯罪如何利用免费路由器获取用户信息的例子。因此，在传输方面，企业在增加传输加密安全等级的同时，用户端安全更要引起使用者的重视。下图 1表述了信息诈骗犯罪的模式。
“系统渗透”指的是通过服务器安全漏洞，渗透潜入服务器，盗取信息的商业犯罪行为。这种事件大多出现在服务器端，主要是技术研发在服务设计开发过程的疏忽，造成的系统安全隐患。凯文·米尼克历史上的传奇黑客，17岁那年，他第一次被捕。那年他发现五角大楼的系统安全漏洞，成功实现系统渗透并查看了美国国防部文件。人类智能具有模糊性，这种模糊性带来了变异性创新，也同时带来了设计缺陷。这种缺陷在软件设计中时有发生。避免和较少这类问题造成的影响是技术安全领域的头号难题，也是每个互联网和软件设计公司在努力改进的目标。
安全是用户信息还是内容信息
前几天有几个互联网的朋友和笔者晚上聊天谈及高信息保护的必要性，刚好对应的是当天早上一个公司业务组长找笔者寻味信息保护级别过低的原因。一天早晚的对比非常有意思，所以这里笔者特别想澄清关于用户信息和内容信息两种安全。其实广义上理解互联网信息安全，更多指的是用户信息的保护，比如著名的12306网站用户信息泄露事件，造成了用户信息安全方面非常恶劣的影响，这就是用户信息保护不当。但是还有一类叫做内容信息，指的是用户本身产生的数据信息，比如社交聊天记录、文章订阅、商品购买纪录等。这些信息因为量大，敏感信息含量低，所以在互联网领域常被作为内容信息，安全保护级别往往低于用户信息。比如微信，直到5.0以后才有了聊天记录加密功能，而且加密等级依然相对比用户信息低很多。
但是医疗领域却相反，内容信息切实就是病人信息，其包含的敏感信息远远大过医生本身的用户信息。所以病人健康信息的保护，就显得格外重要。这也是为什么，在移动医疗中，公司的安全策略应该是内容信息保护有限与用户信息保护。
安全是企业和用户共同努力的结果
说到互联网安全，大众多想到的是互联网企业的安全保障是否到位。但事实上，笔者在很多场合都有强调，完全保护人人有责。互联网从本体上是承载数据和数据流动的载体，至于具体要流动什么样的数据，是每个人决定的行为。互联网本身是个非常个性化的虚拟场所，给使用者提供足够多的自由选择空间。因此除了移动医疗企业本身之外，用户使用者在这个领域也起着至关重要的作用。笔者认识一个做整形美容方面工作的朋友，他在患者内容信息的安全方面比较重视，所以无论是病历分享还是OCR识别，都会有意识的遮盖住患者重要信息。这种方式，既满足了他做案例研究方面的工作，又不必担心患者隐私泄露问题产生的影响。
最后提一句，安全是个相对的话题。永远没有绝对的安全和不安全。所谓道高一尺，魔高一丈。行业和企业都在利用自己的了解，努力践行者保护信息安全的使命。(作者：王哲：杏树林CTO，“移动医疗的创新极客”，从2006年进入微软做移动相关产品至今，他执着的深信技术创新，是业务发展的重要源动力。所以，他的见解总会从技术展开，探讨在医疗互联网创业过程中，一个技术极客，在业务、创业、团队管理、核心技术发展等方面的分析与思考，其中的许多，应该不仅适用于医疗互联网领域，也是整个技术领域的重要实践与探索。)
