当前位置:中华健康网 > 资讯 > 正文

数据安全问题凸显,医疗行业进入全场景数据保护时代

2021-03-23 14:07    来源:中华健康网  本站:www.cn-jk.cn   责编:陈党生

3月10日,欧洲云服务巨头OVH 位于法国斯特拉斯堡的机房发生严重火灾,两座数据中心被毁,很多企业的数据因此无法恢复。

频发的各种数据安全事故,使得数据保护问题一直处在风口浪尖之上。在刚刚结束的全国两会上,数据安全和数据保护的立法,也是代表和委员们关注的热点问题之一。

在很多人看来,互联网和金融等行业是数据安全问题的多发之地,医疗行业并非关注重点。实际上,一项针对全球的调查显示,在所有行业和领域中,医疗行业的数据安全事故数量高居榜首,占比达到27%;而社交媒体领域则在泄露的数据量上排名第一,比例高达56%。

面对日益严峻的数据安全形势,医疗行业的数据保护问题日益凸显,主管部门也在积极出台法律法规,制定相关标准,对此加以规范。

随着重视程度的提升,医疗行业的数据保护也呈现出了很多新特点新趋势,以三甲医院为代表的重点医疗单位,已经意识到灾备对于数据保护的重要性,“无灾备不数据”,并朝着全场景数据保护的目标迈进。

在此过程中,完整的灾备架构设计、合适的解决方案实施、严格的流程规范执行,对医疗行业而言至关重要,是巩固数字化转型成果、保障业务连续性的基础。

保障医疗信息安全,严格灾备标准和规范

医疗行业关系到国计民生,我国的相关行业主管部门近年来在通过法律法规,对医疗行业的数据安全和数据保护制定标准和规范,尤其是对二级以上医院提出了比较高的要求。

早在2016年6月,国务院办公厅就发布了《关于促进和规范健康医疗大数据应用发展的指导意见》,其中明确提出要加强健康医疗数据安全保障,包括加快健康医疗数据安全体系建设,建立数据安全管理责任制度等。

为贯彻落实上述指导意见,国家卫健委于2017年制定了《医院信息化建设应用技术指引》,配合统一权威、互联互通的国家、省、地市、县四级全民健康信息平台建设,推进和规范二级以上医院的信息化建设。这份文件对医院全业务流程的信息化进行了定义,并明确提出了数据备份与恢复的规范。

2018年,国家卫健委进一步制定了《全国医院信息化建设标准与规范》,明确了医院信息化建设的内容和要求。其根据目前医院信息化建设现状,着眼未来5-10年全国医院信息化应用发展要求,针对二级及以上医院的临床业务、医院管理等工作,覆盖医院信息化建设的主要业务和建设要求,从软硬件建设、安全保障、新兴技术应用等方面规范了医院信息化建设的主要内容和要求。

在这一标准规范中,信息安全作为独立一章出现,并且对容灾备份提出了具体的要求,二级、三乙、和三甲医院在基础设施、网络、数据、应用的灾备方面,要分别要满足不同的标准。比如,三甲医院的数据备份要具有存储磁盘阵列和存储备份软件组件,支持使用数据快照、同异步复制技术;三甲医院关键业务信息系统的本地数据和应用恢复 RTO≦15分钟,RPO≦10分钟等。

2018年,国家卫健委还发布了《电子病历系统应用水平分级评价管理办法及评价标准》,从所具备的功能、系统有效应用的范围、技术基础环境、数据质量四个方面,对电子病历系统应用水平进行分级评价,划分为从0到8一共9个等级。按照卫健委的要求,所有三级医院要达到分级评价4级以上,二级医院要达到分级评价3级以上,未来这一标准要求还将进一步提升。

国家医疗健康信息互联互通标准化成熟度测评,则于2012年开始至今连续10年展开。该测评旨在推动医疗卫生服务与管理系统的标准化建设,促进电子健康档案在区域、医疗机构之间的信息交换、整合和共享,实现业务协同,为国家、省级、地市、区县四级平台和医疗机构之间的标准化互联互通提供技术保障。

上述政策法规的实施,都对医疗机构的数据存储和保护提出了较高的要求,安全保护标准也在逐步提升。从各大三甲医院的实践来看,则会根据数据的不同类型,针对热数据、温数据、冷数据采取不同的容灾、备份和归档策略,进行有针对性的保护,保证各项业务的正常进行。

保证业务连续性,核心系统采用双活+备份

去年疫情严重期间,国内某医院因为患者数量暴增,给服务器带来了极大的挑战。

某天,该医院的数据系统突然宕机,技术人员花了很长时间才把一些数据恢复回来,但仍然丢失了部分数据,造成惨重的损失。

相比金融、互联网等领先行业,医疗行业的数字化起步稍晚,但进展很快。

如今,云计算、物联网、大数据、人工智能等新兴ICT技术都在各大三甲医院得到了广泛的应用,5G救援、远程诊疗、移动查房、病历共享等应用场景逐步普及,给医生和患者都带来了极大的便利。

数字化程度的提升,也对医院的信息提出了更高的要求,保证系统稳定可靠运行尤其重要。

近年来,由于网络、存储等故障导致业务中断的事件多有发生,一旦出现问题就意味着业务的全面瘫痪,不仅严重影响医院的业务,甚至会造成社会不稳定事件。

作为医院最核心的IT系统,HIS系统承载着医院从挂号到诊疗的全过程,也是医院热数据的主要载体,需要能够7X 24小时稳定运行,即时响应业务诉求。

目前,很多三甲医院都采用双活解决方案,但传统的双活方案仍难以彻底解决业务连续性问题,需要较长的系统切换和数据恢复时间。

未来,以HIS为代表的三甲医院核心业务系统,将像金融等领先行业一样,采用双活+备份的高标准灾备解决方案,即实现备份、归档与容灾的一体化,从而实现核心业务数据的全容灾,致力于数据零丢失、业务零中断。

加速业务恢复,需要高效备份系统

去年12月,英国一家大型美容医院遭受勒索软件攻击,近1TB病人照片数据被盗。与此同时,该国一家数据分析公司也遭到黑客入侵,被破坏的数据多达30TB。

最新的一项调查表明,2020年勒索软件攻击的数量同比增长了150%以上,勒索软件攻击事件造成的赎金支付总额,则增加了311%,达到3.5亿美元。平均而言,一次勒索软件攻击在受影响的组织中会造成18天的停机时间,造成的损失巨大。

勒索软件的主要攻击对象正是医院的温数据,包括患者个人信息、EMR病历信息、LIS实验室数据等。这些数据是医院的核心资产,一旦泄露或者被破坏,就会产生严重的社会影响,并导致医院业务受损,需要加以重点保护,进行热备份。

对于已经被勒索病毒感染的数据,目前没有好的解决方案,各大医院都在通过安装防火墙、更新软件补丁、加强密码等级等方式来进行事先防范,但无法彻底杜绝问题的发生。因此,医院也要充分发挥异步备份的作用,防止备份数据被同时破坏,同时要提高备份和恢复的效率,以尽可能减轻损害。

医疗行业对备份系统的要求是,在控制成本的基础上,提升备份数据恢复效率。过去的备份数据副本恢复通常要几个小时,甚至几十个小时,无法满足RTO要求。

面对数据量激增的现状、业务快速恢复的需求,医疗行业可以采用集中式备份和一体化备份等方式,解决数据备份效率低、TCO高、数据利用难等问题,实现真正的热备份,使得备份数据具备生产数据一样的处理能力,从而释放备份数据的业务价值。

加强事前防范,提升安全运维能力

某三甲医院半夜11点,突然反馈医生站系统报错,导致诊疗业务中断。

值班人员紧急联系信息科工程师及管理人员到场,检查发现是数据库系统日志突然剧增,导致整个存储盘爆满。经过与软硬件厂家合作一整夜的抢修,才勉强临时恢复系统运行。

随着数据量的增加、数据类型的增多,医院的数据设备越来越多,数据库也越来越大,使得系统巡检任务重、时间间隔长,导致难以及时发现异常问题。

传统的系统运维方式是触发式的,出现问题才启动应对措施去“救火”,进而对故障进行排查。理想的主动运维方式,应该是事前防范,通过事态感知提前发现故障隐患,及时加以消灭。

在这方面,领先的ICT厂商已经在推出相应的解决方案,近年来可视化、机器学习技术的成熟,也为主动安全检测和预警提供了可能。对医院而言,则需要增强专业的数据运维人员,全面提升运维能力,为保持业务连续性奠定基础。

主动的数据保护运维,还体现在针对PACS等医院冷数据的处理方式上。目前,不少医院仍停留在“存了”的阶段,而没有真正做到“存好”,表现在对冷数据进行“冷处理”,缺乏日常管理和维护,导致在需要时难以调用,甚至无法调用。

因此,即使是那些极少使用的冷数据,也应该进行“温处理”,需要定期校验,并利用蓝光存储等新兴介质,来提高数据安全性,既实现合规长期留存,也提高访问便利性。

不管是否上云,都应进行数据灾备保护

在本文开头提到的OVH数据中心机房火灾事故中,不少用户把数据完全放在云上,由于没有本地备份,导致数据彻底灭失,造成的损失难以估量,业务恢复艰难。

在新基建等政策的支持下,企业上云已经成为大势所趋。在国内,医疗行业还在主要使用私有方式部署系统,但公有云的采用率也在快速提升。

不少用户认为数据上云之后就有了充分的保障,但实际情况是,大型云服务商也难以保证系统的绝对安全可靠。近年来,云服务商的数据安全事故并不罕见,一旦数据被毁,对没有进行数据备份的企业就会造成致命的打击。

因此,无论采用什么样的部署方式,医疗单位都不能把所有希望都寄托在云上,都要做好本地灾备或异地灾备。在等级保护的二级标准中,也明确规定云服务用户应该在本地进行业务数据的备份。

结语

随着数字化转型的推进,数据在企业和组织中的价值日益提升。对于医疗行业而言同样如此,数据正在成为医疗单位的核心资产,其重要性无论怎样强调都不过分。要想充分发挥数据的价值,首先要保证数据的安全性,完备可靠的灾备保护解决方案是当下的紧迫需要。

全场景数据的数据保护,能够实现容灾、备份、归档三者的互相配合,做到热数据全容灾、温数据热备份、冷数据温归档,进而为医疗行业带来全生命周期数据保护,在保障业务持续性的基础上,加速医疗行业的数字化转型进程。

欲了解更多医疗行业的最佳实践,以及最新的数据保护技术,可以扫描下方二维码注册参加于3月30日举办的《数据保护产业论坛暨华为OceanProtect数据保护新品发布会》。

内容页广告位二
内容页广告位三