新时期，伴随医院数字化病案信息的快速增长，病案信息安全的重要性不断凸显。要确保病案信息安全，必须保证信息的安全和信息系统的安全。信息安全体现在信息的保密性、完整性、真实性、未授权拷贝等方面；信息系统安全指数据、硬件、软件、人、物理环境及其基础设施等都受到保护，不因偶然或者恶意的原因而遭到更改、泄露、破坏，系统可以连续可靠地正常运行，并能够连续提供业务信息服务。构建数字化病案信息安全保障体系是一项系统而复杂的工程，需要加强基础设施安全体系、应用安全体系和运维安全体系这三大体系建设。
1夯实基础设施安全体系建设
基础设施安全体系建设，即病案信息化系统环境建设，包括开发并完善用于病案信息建立、存储、传递、利用的软硬件设备和网络交换设备。基础设施安全体系构建是信息安全保障体系的重中之重，是安全保障体系的核心。建立基础设施安全体系时，要做好网络边界防护、系统主机防护、入侵检测与审计工作，并建立完整的防病毒体系，辅之以远程访问接入及终端准入控制，构造出切合实际、行之有效、相对先进、稳定可靠的网络安全系统平台；要保护计算机网络设备、设施免遭水灾、火灾、地震等事故破坏以及人为操作失误和各种计算机犯罪行为导致的破坏，并定期对存放设备的场地进行安全检查；在共享医疗档案信息时，要建立医疗档案信息共享监控平台，确保数字病案图像采用加密格式存储，在第三方合法公司的软件中使用，以防非法盗用；病案数字化制作与应用所使用的服务器管理必须置于整个医院系统的安全审计工作范围中，还要为服务器、各工作站安装防病毒软件。为便于回溯追踪，系统必须把用户在系统内操作形成的所有日志自动记录下来；要重视移动存储中数据交换和共享的安全问题，对接入终端的移动存储设备进行认证、数据加密和共享受控管理，确保只有通过认证的移动存储设备才能够被授权的用户使用，还要对移动存储设备接入进行审计并记录，一旦发现有非法使用的情况要第一时间处理，以避免数据泄漏；病案服务器数据库参数注册表、人员登录信息数据库、病案主信息数据库都需加密存储，并实行内外网物理隔离措施。
2重视应用安全体系建设
应用安全体系以密码服务为核心、身份认证为基础。医务人员访问病案时，可以按规定权限使用数字化病案，对无权访问的病案需提交电子申请，经审批通过后在可授权时段内访问或利用，并且只可以访问所属科室的病案，如需访问其他科室的病案则需要申请；医保、商业保险公司以及公检法等用户可按该体系临时授予的权限访问病案，如果需要访问所有用户以及默认无权限访问的病案，则要办理电子申请审批手续，在得到批准后方可访问。病案访问权限分为阅读、打印和导出三类，每一级权限向下兼容，权限具体分用户组权限、科室权限、有效期限制、医学分类限制、IP地址限制、显示字段限制和特殊病案锁定等。若系统在一定时限内检测到所在页面没有操作行为发生时，即视为工作人员已经离开，便会自动开启锁定，再次操作时须验证密码，以避免工作人员离开后他人恶意操作的情况发生。系统可提供人员身份认证、数据加密等功能，用于网络接入及应用服务等过程。其中，加强认证措施可弥补访问控制方面的诸多缺陷，数据加密可为整个系统提供纵深防御。该体系具有禁止打印、复制病案图像以及截屏等功能，并能通过阅读水印和完备的日志记录防范有人使用数码相机偷拍病案图像，一旦发现偷拍行为即可通过加密的水印进行追查。该体系通过特定软件获取数字化病案图片，防止非法获取病案图像，还可通过架设多台Web服务器来实现负载均衡。
3加强运维安全体系建设
运维安全体系建设，指对整个系统平台进行安全运维支持、对安全设备进行集中的事件管理、对职工进行身份管理、对整套医院系统提供全方面的威胁监控管理。建立运维安全体系，可以保障系统安全、可靠运行并提供有效的安全管理。系统采用双主机、双存储模式，当主存储出现故障的时候，备份存储依然可以正常使用。
作者：丁丽萍 何淑萍
