美国卫生部发布医疗行业网络安全指南：《医疗行业网络安全实践：管控威胁，保护患者》

2018年12月28日，美国卫生部（HHS）发布了《医疗行业网络安全实践：管控威胁，保护患者》。这份四卷本的出版物旨在为从诊所到大型医院集团等各种类型和规模的医疗机构提供自愿的网络安全实践指南。

《医疗行业网络安全实践：管控威胁，保护患者》的发布是为了响应2015年美国《网络安全法》第405（d）条所做出的规定，即制定切实可行的网络安全指南，以成本效益最佳的方式降低医疗行业的网络安全风险。《医疗行业网络安全实践：管控威胁，保护患者》的发布是美国卫生部及有关部门为期两年的努力结果，两年间，汇集了来自行业和政府的150多名网络安全专家和医疗专家，对此进行了广泛深入的讨论和研究，因此，也是为了更好确保医疗行业安全而开展广泛合作的成果。

网络安全是医疗行业内每一个人的责任，也是每个医疗机构或公共卫生服务机构的责任，必须认识到，且应充分利用政府和行业内有关各方之间的合作伙伴关系的价值，齐心协力地解决共同面临的问题。

技术对医疗行业至关重要，有助于提供挽救生命和提高患者医疗质量。然而，这些技术也容易受到各种恶意攻击，从窃取患者数据到使整个医院系统无法运行。近年，美国医疗行业频发的大量网络攻击，凸显出确保这些技术安全的重要性。

医疗行业确实是一个多样化的数字生态系统。卫生主管部门和医疗机构逐渐认识到，医疗机构需要的是针对其需求而量身定制的、可操作的、切实可行的管控现代网络威胁的建议。这正是《医疗行业网络安全实践：管控威胁，保护患者》这套文件所提供的内容；而其中的建议，亦是按机构的大小分层，由临床医生和IT专家共同编写。

《医疗行业网络安全实践：管控威胁，保护患者》这套文件旨在为这一庞大、多样和开放的行业提供网络安全实践指南，最终实现改善系统安全和提升患者安全的目标。该套出版物的主文件探讨了对该行业最相关的当前的五种威胁，并建议采取10种网络安全措施来帮助减少这些威胁。主文件展示了一些真实事件和统计数据，以此说明网络事件对财务和患者医疗的影响；还呼吁行业内的所有相关各方（从高管和医疗从业者到IT安全专业人士）立即采取保护和预防措施。该套文件还包括两卷面向IT和IT安全专业人员的技术卷。技术卷1侧重于小型医疗机构的网络安全实践，而技术卷2侧重于中型和大型医疗机构的实践。最后一卷提供了资源和模板，医疗机构可以利用这些资源和模板来评估其自身的网络安全状况，制定相应的策略和流程。

此外，今天还会随邮件送上2019年2月11至15日在美国奥兰多召开的HIMSS19大会的一份演讲课件，题目是《HIT的标准化，现代化及安全性》。

为了实现HIT的现代化这项优先任务，美国国防卫生局需要转向主要由共享服务提供的更安全、更敏捷、更经济的IT基础设施。本演讲主要展示美国国防卫生局CIO的一个工作重点，即：如何推动整个系统的标准化，以提高HIT运行的效能和经济承受能力，并使整个军队卫生系统具备集中管理能力。实现桌面到数据中心（或称为D2D计划）是优化整个美国军队卫生系统的HIT基础设施服务体系中的一个关键步骤。网络安全是一个巨大的问题，尤其国防部是医疗信息安全和国家安全的重要目标对象。国防部所属的医疗受益人，具有很高的流动性，他们经常会接受来自国防部、退伍军人管理局所属医疗机构或民间医疗机构的诊治，因此，改进医疗的连续性就显得非常重要，而巨大的机遇就在当下。

该演讲课件共有23个slide，其主要内容是：

●描述美国国防卫生局HIT的重要变化和方向；

●讨论DADIO J-6如何确保正确的信息在正确的时间以正确的方式提供给正确的客户；

●描述DADIO J-6如何支持国防部、国防卫生局、退伍军人管理局的医疗机构和医疗行业内其它机构之间的合作伙伴关系，以实现和维持受保护的HIT环境。

演讲人是美国国防卫生局信息运营副总监兼CIO：帕特·弗兰德斯。

★

每日鲜鸡汤★

Only those who will risk going too far can possibly find out how far they can go. 唯有那些敢于冒险远行的人，才可能知道自己到底能走多远。早上好！元宵节快乐！