2019大数据产业峰会|清华大学软件学院教师金涛：健康医疗数据安全指南标准研制与实践

解决的核心问题是这两个问题，因为我们侧重合规层面，第一个，什么事情能做，什么事情不能做。第二个，我们要打消公众和政府对数据开发利用的安全的担忧问题，所以明确地告诉大家应该采取哪些安全措施，能够把安全风险控制住。后面的我非常快速地过一下。把分类做好之后我就可以分门别类地提各种各样的措施和要求了。

首先是数据的分类，数据分了这样六类，详细内容不展开了，大家有兴趣可以看标准的文本。数据也做了相关的分级，分级主要是根据重要程度和风险级别做的，最大的因为就是会影响到访问这些数据的范围。角色也做了这样一些分类，有个人的主体、有控制者（标准主要规范对象，医院、机构掌握的数据）、处理者（厂商，往往医院信息化能力不够，需要依靠厂商做处理），还有一些人不帮助医院做事，就是实现自己的目标，他就是使用者。开放的形式相关有这样的类别，这是大家比较常见的。我们比较推崇的，包括国际也比较推崇的是最后一种方式，我给你一个受限的环境，你只能在受限的环境里面看数据、分析数据，但是这些数据你是拿不走的，结果通过审批之后可以带走，这样有一个什么好处？它至少是可以符合《网络安全法》的“例外”，在一个的限的环境下，靠人脑是无法把更多的数据关联起来，这样可以做一些相关的开发利用。

后面做了分类，管理上应该建什么样的组织，有什么样的决策，应该建立怎么样的应急处置，这个大家都非常熟悉了，是信息安全管理体系这一套。技术方面通用的，前面讲到了信息和网络的，云计算的都有相关的标准去探讨，去标识化，这是医疗领域比较重要的话题，刚才讲到了，就是为了达到《网络安全法》提到的那条“例外”的合法通道。具体我不详细展开了。

三、标准的内容

标准呈现这样一个内容，涵盖了前面讲的目标、分类，从使用披露的要求、安全措施的要点，包括管理技术的指南，还有八个典型场景的安全的要点，也是为了增加标准的适用性，我们也给出了很多的附录，包括个人健康医疗数据的范围，包括数据管理办法的事例，包括申请审批的事例，包括处理使用协议的模板，还包括去标识化的事例等等，给出了一些附录可以参考。另外，参考文献当中罗列了能够发现的国内关于健康医疗数据安全所有相关的51个法律文件，也可以做很好的参考。

相关的验证工作，这个标准从2016年开始编制，32个参考了编制工作，这个标准内容也是大家成果实践的经验，我们学校内部启动了一个相关的项目，在医院验证这个标准的适用性的问题，另外也是结合今年将要开展的数据安全管理体系认证的工作，在尝试探索在健康医疗领域怎么做健康医疗领域的数据安全认证的工作，认证方面的需求刚才宁主任在前面讲过了，这是在长庚医院打造的数据安全管理体系的架构，相关安全措施的风险的评估、审计防线的采纳等等，这样一个整体的体系。

这是我们想打造的数据分析平台的架构，在医院里面，在不同的网站上布置不同的系统和软件，从而实现你只能登录到这个系统上处理相关的数据，但是这个数据是拿不走的。另外，也是为了结合伦理委员会的审批，目前我们也在医院，在伦理委员会下面成立了一个数据安全管理的小组，专门评估不同数据开发利用的去标识化方案的合理性，给相关的开发利用工作给出一个技术方面指导的尝试。

四、小结

目前做的这项工作呈现的结果是一个标准的形式，它的基本原则就是基于协商一致的原则，能够对政策和法规提供一个指针和补充，甚至在相关的政策和法规没出来之前能够提供一个先行的规范引领的作用。最终极的目标就是希望能够在确保数据安全的前提下，能够在这些方面获得广泛的协商一致，从而推动健康医疗数据的开发利用。

我的报告就到这里，谢谢大家。

（编辑：应用网_阳江站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!