一次勒索攻击停诊36小时：三级安全防护要求下，医院的信息系统该怎么建
去年冬天，一家380张床的二级民营医院在周日凌晨被打穿。HIS数据库被加密，门诊挂号、收费、发药全线停摆36小时，周一上午积压了1200多人次门诊。按该院日均营收估算，停诊损失接近28万，后续应急恢复、数据回溯和整改又投进去76万。
院长复盘时说了句实话：罚款我认，停诊我受不了。这句话，基本概括了医疗数据安全这两年的真实处境。
法律已经卡到医院门口，三道关口一道都绕不开
《数据安全法》2021年9月1日施行，《个人信息保护法》同年11月1日施行。两部法律对医院的约束，可以拆成三道关口。
- 分类分级。必须建立数据分类分级目录，明确哪些是重要数据、哪些属于敏感个人信息。病历、检验报告、影像资料全在里面。
- 单独同意与最小必要。挂号时勾选一行"同意隐私政策"不再够用，处理敏感个人信息要单独同意，采集范围必须与诊疗目的直接相关。
- 泄露报告与罚则。发生泄露须及时告知患者并向主管部门报告；情节严重的，可处五千万元以下或上一年度营业额5%以下罚款，并可责令暂停相关业务。
法律条文里没有"医院豁免"这一条。医院是最典型的敏感个人信息处理者，处理量还特别大。据国家卫健委公开数据，一家500床规模的医院，每年新增结构化与非结构化数据在40TB以上。
三级安全防护落到系统上，是几十个具体动作，不是一张证书
很多医院把信息安全合规理解成"检查前突击补材料"。实际上，技术条款落到HIS、LIS、HRP这些系统上，是一串能被验证的具体动作。
- 身份鉴别：口令复杂度与更换周期、管理员双因素认证
- 访问控制：按角色最小授权，医生看不到非本科室患者的全量数据
- 安全审计：日志覆盖每个账号的每次操作，留存不少于6个月，且不可篡改
- 数据完整性与备份：本地加异地，定期做恢复演练，而不是只做备份
- 个人信息保护：统计、科研、对外报送环节做去标识化处理
某省卫生健康委在对辖区内二级以上医疗机构的专项检查中通报，未达标项高度集中，前四位占了绝大多数。
某省医疗机构安全合规检查中的高频未达标项占比
四个高频项里有三个是系统层面的问题，买台防火墙解决不了。
院长该盯的三个数字：180天、30天、1次
检查现场最能暴露管理水平的，往往不是资金投入，而是三个数字。
- 日志留存天数：要求不少于180天。不少医院HIS日志默认只留30天，出了事查不到操作人。
- 账号回收周期：某二级医院自查发现，17个已离职医技人员的账号仍能正常登录，其中3个还是管理员权限。
- 年度恢复演练次数：至少1次。现实是，大多数医院做了备份，却从未真正恢复过一次。
一位从业十余年的医院信息科主任说过："我们能背出每台服务器的型号，却说不清上个月谁导出过患者名单。"
招标文件里，这几行字比价格更该写进去
不少院长选型时先搜"医院管理系统软件排名"，但榜单里几乎不体现数据合规能力。建议在招标文件里明确三件事。
- 数据归属：所有权归医院，厂商不得二次使用，合同终止时须交付完整可读的数据导出文件。
- 审计接口：系统要提供操作日志的完整输出接口，能对接医院的日志平台。
- 部署弹性：支持云端加本地混合部署，满足信创环境兼容要求。
这条对民营医院尤其要紧。民营医院管理系统、民营医院HIS系统多以托管方式交付，一旦合同终止、数据拿不回来，比换系统难十倍。小微机构同样如此，市面上不少诊所管理软件在账号管理、日志留存上几乎是裸奔。视野再放大一点，从HIS、LIS到HRP医院管理系统，患者数据、财务数据、物资数据其实在同一个池子里流动，任何一环松了，医院数据安全整条链路都算失守。
300到500床的二级医院，合规改造大概花多少钱
据某医疗信息化咨询机构2023年的调研，二级医院一次性合规改造投入大致分三档。
| 投入档位 | 金额区间 | 主要动作 |
|---|---|---|
| 基础加固 | 15万-25万 | 双因素认证、日志集中存储、备份策略重建 |
| 数据治理 | 20万-35万 | 分类分级目录、去标识化、权限全面梳理 |
| 系统升级或替换 | 60万-150万 | 老旧HIS/LIS替换、接口改造、信创适配 |
年度运维通常按建设投入的15%到20%计。这笔钱看着不少，但对比一次停诊36小时的28万直接损失，账并不难算。行业里反复验证过的经验是：事后整改的代价，是事前设计的5到8倍。
最省力的做法，是把它做成系统的默认配置
华码软件在这一点上的思路很直接：不把安全合规当成一个额外卖点，而是做成产品的默认能力。
- 智慧医院管理系统（HIS）覆盖门诊、住院、医技、药房、医保结算、DRG/DIP分组、报表中心全流程，权限模型按角色与科室双维度收口
- 全流程智能检验管理系统（LIS）做标本条码全链路追溯，报告审核与危急值预警全程留痕，质控合规率99.9%以上，报告出具提速50%
- 云端加本地混合部署、信创兼容、操作日志完整输出，提供30天免费试用
- 本地化实施团队与7×24小时技术支持，华码软件已服务全国900余家医疗机构
对院长和信息科主任来说，选系统的标准其实可以很简单：检查来的时候，你希望厂商是站在你旁边一起答，还是站在电话那头让你自己解释。
