上海愛數(shù)軟件有限公司 醫(yī)衛(wèi)行業(yè)顧問 姜疆
摘要 醫(yī)院數(shù)據(jù)安全應(yīng)急處理預(yù)案每個(gè)醫(yī)院均有不同，很多醫(yī)院都積累了很多經(jīng)驗(yàn)，但是隨著新的容災(zāi)備份方案及技術(shù)的引入，就需要打破原來的舊的流程體系，亟需建立新的標(biāo)準(zhǔn)和流程。本文系統(tǒng)并綱領(lǐng)性地提出建立預(yù)案需要把握的原則，結(jié)合醫(yī)院的實(shí)地情況，結(jié)合相關(guān)的原則來制定適合自己的數(shù)據(jù)安全應(yīng)急處理預(yù)案。文中特別提到并引用了很多米切爾.K.林德爾等的應(yīng)急管理理論知識，通過這些知識系統(tǒng)地梳理我們遇到的實(shí)際問題，幫助醫(yī)院建立有效的應(yīng)急處理預(yù)案
關(guān)鍵詞: 應(yīng)急處理、數(shù)據(jù)安全、備份容災(zāi)、存儲、
引言： 醫(yī)療的本質(zhì)是“Care People”，一切有利于醫(yī)療安全和提升醫(yī)療質(zhì)量的措施都能被醫(yī)院廣泛應(yīng)用，病人需要高質(zhì)量的醫(yī)療及護(hù)理。醫(yī)院既需要一套技術(shù)手段或者設(shè)備來幫助我們提升醫(yī)療安全和提升醫(yī)療質(zhì)量，更需要一套方法和流程來讓新技術(shù)手段能夠發(fā)揮應(yīng)有的作用。隨著臨床信息系統(tǒng)的建設(shè)，醫(yī)院的軟件系統(tǒng)日趨復(fù)雜，原來網(wǎng)絡(luò)和系統(tǒng)架構(gòu)都已經(jīng)不能滿足當(dāng)前大型醫(yī)院的需求。網(wǎng)絡(luò)改造，服務(wù)器升級換代，磁盤陣列擴(kuò)容，增加異地容災(zāi)機(jī)房等等都納入了很多醫(yī)院信息科的工作日程。大量資金投入可以讓我們迅速獲得一套產(chǎn)品，但是
當(dāng)前各個(gè)數(shù)據(jù)安全廠商技術(shù)上各有千秋，針對醫(yī)院信息系統(tǒng)如何構(gòu)建適合自己的應(yīng)急管理預(yù)案相關(guān)知識還比較匱乏。不管已經(jīng)購買還是將來準(zhǔn)備購買容災(zāi)備份設(shè)備的醫(yī)院都應(yīng)該考慮如何建立一套適合自己的應(yīng)急處理預(yù)案。怎么去分析，怎么去實(shí)踐，我們應(yīng)該有相應(yīng)的指導(dǎo)原則。
第一個(gè)原則：首先要建立應(yīng)急組織機(jī)構(gòu)并劃分職責(zé)
在《三級綜合醫(yī)院評審標(biāo)準(zhǔn)實(shí)施細(xì)則》特別提到了“應(yīng)急管理”。首先第一步就是要建立醫(yī)院的建立健全醫(yī)院應(yīng)急管理組織和應(yīng)急指揮系統(tǒng)，負(fù)責(zé)醫(yī)院應(yīng)急管理工作。院長是醫(yī)院應(yīng)急管理的第一責(zé)任人。
很多醫(yī)院沒有把數(shù)據(jù)容災(zāi)作為一把手的工程，但是隨著醫(yī)院規(guī)模越來越大，在數(shù)據(jù)安全遭到危機(jī)的時(shí)候，院長需要直接面對社會輿論的監(jiān)督，在CIS系統(tǒng)深入應(yīng)用的今天，醫(yī)療數(shù)據(jù)安全涉及生命安全，任何一個(gè)隱患就會造成難以估量的災(zāi)難。我們參照J(rèn)CI（國際醫(yī)院評審）的建議，可以將應(yīng)急組織機(jī)構(gòu)分為四個(gè)小組：領(lǐng)導(dǎo)小組、檢查小組、技術(shù)小組、應(yīng)急小組。
領(lǐng)導(dǎo)小組全面領(lǐng)導(dǎo)并監(jiān)督醫(yī)院應(yīng)急方案的制定及準(zhǔn)備，提供行政支持。領(lǐng)導(dǎo)制定、審核、落實(shí)應(yīng)急方案，發(fā)布啟動災(zāi)難性應(yīng)急方案的命令，督促應(yīng)急小組按計(jì)劃應(yīng)急。領(lǐng)導(dǎo)小組總指揮：院長；副總指揮：信息科主任。如何發(fā)布災(zāi)難性應(yīng)急方案的命令，這個(gè)要看災(zāi)難的邊界，如果災(zāi)難到了信息科不能獨(dú)立決策的時(shí)候，那么發(fā)布災(zāi)難應(yīng)急方案命令的就是院長。
檢查小組負(fù)責(zé)檢查各部門應(yīng)急準(zhǔn)備工作，檢查應(yīng)急啟動后的落實(shí)情況和評估效果，并督促制定應(yīng)急方案。 組長：醫(yī)院主管領(lǐng)導(dǎo)（一般是分管副院長）；成員：醫(yī)院行政領(lǐng)導(dǎo)（醫(yī)務(wù)科或者是相關(guān)行政監(jiān)督及目標(biāo)管理科室）
技術(shù)小組在發(fā)生問題時(shí)協(xié)調(diào)軟件開發(fā)商譽(yù)設(shè)備供應(yīng)商。對于災(zāi)難性的問題，技術(shù)小組及時(shí)向領(lǐng)導(dǎo)小組匯報(bào)并建議是否啟動相應(yīng)的應(yīng)急計(jì)劃。對于區(qū)域或部門級的故障，技術(shù)小組及時(shí)給予指導(dǎo)，并建議啟動應(yīng)急計(jì)劃。組長：計(jì)算機(jī)中心主任；成員：計(jì)算機(jī)中心成員。
應(yīng)急小組負(fù)責(zé)應(yīng)急計(jì)劃的實(shí)施，及時(shí)向領(lǐng)導(dǎo)小組匯報(bào)并與技術(shù)小組溝通。對于某部門內(nèi)出現(xiàn)的故障，有部門負(fù)責(zé)人啟動應(yīng)急計(jì)劃，事后備案。應(yīng)急小組組長：分管信息化副院長；副組長：計(jì)算機(jī)中心主任；成員：計(jì)算機(jī)中心成員。
需要注意的是醫(yī)院機(jī)構(gòu)人員眾多，工作千頭萬緒，針對應(yīng)急管理這塊權(quán)責(zé)必須成文并落實(shí)下來，不能缺乏成文的規(guī)范。由于致災(zāi)因子（類似電源故障、病毒、網(wǎng)絡(luò)故障）并不是規(guī)律性的出來，災(zāi)難的形態(tài)也是千差萬別，規(guī)劃組織架構(gòu)和流程并不能靠口頭規(guī)范。按照美國的突發(fā)事件指揮系統(tǒng)（Incident Command System,ICS）提供的原則我們還可以做一些組織機(jī)構(gòu)的補(bǔ)充，正因?yàn)檎Q生ISC是因?yàn)楦鱾�(gè)機(jī)構(gòu)出現(xiàn)的規(guī)劃協(xié)調(diào)不利，資源配置不協(xié)調(diào)，事發(fā)現(xiàn)場機(jī)構(gòu)間溝通不暢。所以ISC提到了幾個(gè)原則對于醫(yī)院來說也有借鑒意義， 其中“可管理的控制幅度”原則需要我們注意，在組織架構(gòu)中需要限制直接監(jiān)管的人數(shù)。比如技術(shù)小組，我們不能讓其規(guī)模太大，如果一個(gè)信息科有20個(gè)人，那么直接屬于應(yīng)急管理機(jī)構(gòu)的成員應(yīng)該最好不要超過5個(gè)人，這些人應(yīng)該是信息科的骨干，有相對較高的技術(shù)水平。
盡管到目前我還沒有聽說國內(nèi)醫(yī)院有建立應(yīng)急運(yùn)行中心，當(dāng)然這方面國外對此更有經(jīng)驗(yàn)，突發(fā)事件的處理就是一群人在一個(gè)資源有保障的地方辦公，根據(jù)確定每個(gè)辦公人員的需求，可以規(guī)劃一個(gè)信息流的鄰接矩陣來制定合理的布局。對于醫(yī)院來說應(yīng)急管理不僅僅是數(shù)據(jù)安全，還有突發(fā)醫(yī)療事故、大規(guī)模自然災(zāi)害（類似地震）、這些應(yīng)急管理需要整合的話，應(yīng)急運(yùn)行中心就是非常必要的。
第二個(gè)原則：分別建立信息管理部門內(nèi)和臨床部門的應(yīng)急計(jì)劃
信息管理部門的應(yīng)急方案如果簡單實(shí)踐，就是列舉各個(gè)設(shè)備或者系統(tǒng)可能出現(xiàn)情況，再寫出處置方法。比如服務(wù)器列舉這幾類信息：設(shè)備型號、應(yīng)急準(zhǔn)備、應(yīng)急計(jì)劃。設(shè)備型號就是比如類似HP580配置清單；應(yīng)急準(zhǔn)備就是平時(shí)的備份容災(zāi)手段（雙機(jī)，RAC，實(shí)時(shí)復(fù)制等）；應(yīng)急計(jì)劃就是大致內(nèi)容：當(dāng)…發(fā)生時(shí)啟動…方式如何如何操作等等。特別需要注意的是，信息中心有沒有能力去全面的分析并且合理地制定出處置動作。自動化容災(zāi)設(shè)備也不能解決所有問題，信息中心在這個(gè)問題上不要期待有一個(gè)萬能的技術(shù)手段解決所有問題。公司給予醫(yī)院的往往是一個(gè)解決方案包，如何應(yīng)用好有時(shí)候也需要人為分析。
當(dāng)我們按照上述方法列舉所有問題和方法的時(shí)候，我們會發(fā)現(xiàn)都是那么雜亂無章，并且比較粗淺。我們推薦用一個(gè)更加專業(yè)的詞匯“致災(zāi)因子”（Hazard）來列舉我們遇到的問題。比如地震、火災(zāi)、水災(zāi)、電源故障、服務(wù)器磁盤損壞，這些都是致災(zāi)因子。我們不得不承認(rèn)地震給我們帶來的深刻慘痛回憶，但是往往我們更擔(dān)憂的是由于信息科范圍內(nèi)的問題導(dǎo)致局部的隱患和災(zāi)難。所以，所有這些致災(zāi)因子需要全面分析和評估。
致災(zāi)因子的脆弱性分析是我們建立應(yīng)急管理戰(zhàn)略的依據(jù)。按照等保的分級我們可以大致估計(jì)風(fēng)險(xiǎn)的程度。我們需要準(zhǔn)備一個(gè)表格來列舉并歸類這些致災(zāi)因子。首先第一步就是識別，第二步就要估計(jì)可能性，第三步是預(yù)計(jì)后果。致災(zāi)因子的識別如果是大的框架范圍其實(shí)大家都能分析，難在細(xì)節(jié)上面，只有經(jīng)過職業(yè)訓(xùn)練的信息安全顧問和醫(yī)院長年累月具有豐富經(jīng)驗(yàn)的技術(shù)骨干通力配合才能識別的比較理想。
“我是否需要采取防護(hù)措施”是致災(zāi)因子評估需要回答的問題。對于一個(gè)鄉(xiāng)鎮(zhèn)醫(yī)院來說，采用雙機(jī)單陣列的架構(gòu)，估計(jì)對其已經(jīng)足夠。他們在“磁盤陣列單點(diǎn)故障”的致災(zāi)因子中，他們可以不需要做出防護(hù)動機(jī)，他們通過評估缺乏緊迫性。但是三級醫(yī)院的看法就不一樣，所以風(fēng)險(xiǎn)評估和醫(yī)院規(guī)模及財(cái)產(chǎn)損失是密切相關(guān)的。
我們對于致災(zāi)因子有時(shí)候需要關(guān)注它的發(fā)生速度、強(qiáng)度、范圍、時(shí)段、可能性。這些有助于我們建立應(yīng)急計(jì)劃。其實(shí)我們對于這個(gè)方面已經(jīng)有感覺，我們只需要再次整理描述他們即可。對致災(zāi)因子來說，有一些公認(rèn)的脆弱性數(shù)據(jù)，比如對于磁帶恢復(fù)的失敗率，如果是自然性災(zāi)害，評估自己所處的地區(qū)和季節(jié)在歷年雷電的受災(zāi)情況。歷次服務(wù)器系統(tǒng)崩潰的原因，這些歷史事件都應(yīng)該有記錄，這些都是有力的依據(jù)。
當(dāng)我們列舉一個(gè)致災(zāi)因子表格的時(shí)候，我們需要考慮致災(zāi)因子的信息分享問題。院長、信息中心主任、臨床科室操作人員對于同一個(gè)信息理解是有偏差的，所以如何溝通是一個(gè)非常重要的事情，首先要考慮（1）人們必須接收信息。如果在夜間大多數(shù)人都在睡覺，很多人都很難獲取信息，如果應(yīng)急響應(yīng)必須要人為干預(yù)，那么致災(zāi)因子信息狀態(tài)該如何有效傳遞。說到這里，我們?nèi)狈σ粋�(gè)有效的信息整合平臺，當(dāng)然我們期望手機(jī)上能夠看到所有設(shè)備的當(dāng)前健康狀態(tài)最好，這也是廠商的努力方向（2）人們必須注意現(xiàn)有的信息。大家都很忙，什么信息應(yīng)該傳播，讓正確的信息給正確的人（3）人們必須理解信息。信息科在協(xié)助臨床科室的時(shí)候應(yīng)該少說專業(yè)術(shù)語，專業(yè)術(shù)語會讓大家難以理解。
當(dāng)我們列舉好這些致災(zāi)因子，那么接下來對于致災(zāi)因子的管理戰(zhàn)略就包括減緩、準(zhǔn)備、響應(yīng)、恢復(fù)這四個(gè)步驟進(jìn)行。
致災(zāi)因子減緩（hazard mitigation）針對災(zāi)害的根源，減少災(zāi)難發(fā)生的可能性或限制其影響。減緩的關(guān)鍵是實(shí)現(xiàn)預(yù)防，當(dāng)病毒來了我們用強(qiáng)力的殺毒軟件去殺還是通過預(yù)防（上網(wǎng)行為控制及IT資產(chǎn)權(quán)限管理）的方式？用什么方法控制到什么程度是我們需要思考的問題，醫(yī)院對于數(shù)據(jù)安全的投入有限，同樣我們需要做出決策的依據(jù)主要是它們的成本和收益。
災(zāi)害準(zhǔn)備（disaster preparedness）這塊內(nèi)容就是發(fā)生情況應(yīng)對的手段和步驟。災(zāi)害準(zhǔn)備計(jì)劃要包括:（1）誰參與 ？（2）何種應(yīng)急響應(yīng)與“災(zāi)后恢復(fù)”計(jì)劃是可行的？比如操作系統(tǒng)發(fā)生崩潰，必須要恢復(fù)的話，如果采用網(wǎng)絡(luò)恢復(fù)，那么首先保證網(wǎng)絡(luò)是可用的。如果網(wǎng)絡(luò)不可用，那么這種恢復(fù)計(jì)劃就不具有可行性。（3）響應(yīng)和恢復(fù)組織如何發(fā)揮作用？他們需要什么資源？例如，LIS系統(tǒng)發(fā)生故障時(shí)，如果啟動單機(jī)程序，原來的網(wǎng)絡(luò)打印機(jī)無法調(diào)用，或者根本就沒法采用網(wǎng)絡(luò)打印（無紙化），此時(shí)報(bào)告要傳遞，是否需要協(xié)調(diào)打印機(jī)資源。對于雙向通信的設(shè)備，條碼系統(tǒng)已經(jīng)不能使用，是不是啟動人工編號方式，需要準(zhǔn)備一套編號的操作流程，當(dāng)然還有筆。對于信息中心來說似乎我們可以得到很好的訓(xùn)練來讓自己成為災(zāi)難處理的高手，但是臨床科室在缺乏培訓(xùn)的情況下也會讓信息中心手忙腳亂。所以（4）應(yīng)該確定維護(hù)、培訓(xùn)、訓(xùn)練、演習(xí)的方法和日程表。對臨床科室也要培訓(xùn)。即使所有的災(zāi)難都在信息中心一次性搞定，那么至少也要培訓(xùn)一下前端操作人員重新登陸程序，否則數(shù)據(jù)庫中斷無法連接仍然會讓他們無法工作。
應(yīng)急響應(yīng)（emergency response）開始于事件發(fā)生時(shí)。應(yīng)急響應(yīng)需要限制最初的影響帶來的損失。最大限度減輕二次影響帶來的損失。所謂二次影響就是類似電源故障導(dǎo)致服務(wù)器集群軟件故障，“由災(zāi)害引發(fā)的災(zāi)害”。例如生產(chǎn)機(jī)房的UPS受到了雷電影響，如果我們知道生產(chǎn)機(jī)房的UPS不夠先進(jìn)難以抵制雷電帶來的沖擊，如果災(zāi)備機(jī)房的UPS有浪涌保護(hù)能夠抵御雷電引起的浪涌，那么這時(shí)候我們應(yīng)該切換業(yè)務(wù)系統(tǒng)到災(zāi)備機(jī)房。即使災(zāi)備機(jī)房沒有絲毫損壞，那么雷電假如果造成了群集邏輯性錯(cuò)誤，那么切換到災(zāi)備機(jī)房錯(cuò)誤也可能依舊。如何減輕二次災(zāi)害也是需要考慮的問題。
信息中心和醫(yī)院的資源比較有限的，我們基于如下原則進(jìn)行應(yīng)急響應(yīng)：
1、重點(diǎn)部門原則。重點(diǎn)部門、關(guān)鍵業(yè)務(wù)必須重點(diǎn)保護(hù)。制定應(yīng)急方案是，應(yīng)合理安全人力資源、設(shè)備資源等。
2、重點(diǎn)設(shè)備原則。對一些涉及面較大的設(shè)備必須得到重點(diǎn)保護(hù)，應(yīng)該使用冗余備份。
3、風(fēng)險(xiǎn)優(yōu)先原則。跟進(jìn)風(fēng)險(xiǎn)評估情況，對有可能造成損失的系統(tǒng)，優(yōu)先制定應(yīng)急方案，并在發(fā)生問題時(shí)優(yōu)先啟動，優(yōu)先恢復(fù)
4、完整性原則。應(yīng)急預(yù)案是一個(gè)系統(tǒng)工程，它包含預(yù)防范性、應(yīng)急處理措施、觸發(fā)條件、啟動、恢復(fù)措施等。必須考慮成本及可能遇到的風(fēng)險(xiǎn)（醫(yī)院信譽(yù)，社會影響）
5、有效性原則。必須保證措施切實(shí)有效。
6、可操作性原則。應(yīng)急措施要簡單、可操作。
對于醫(yī)院數(shù)據(jù)容災(zāi)有了應(yīng)急計(jì)劃，那么如何演習(xí)也是一個(gè)課題，我們通過堆積木式的演習(xí)推進(jìn)來評估自己該做什么演習(xí)。到底是基于討論層面還是基于行動的演習(xí)。基于桌面的演習(xí)，比如沙盤推演在沒有什么風(fēng)險(xiǎn)的情況下可以對應(yīng)急計(jì)劃的組織架構(gòu)、合理性、前后順序步驟這些能夠得到初步的評估。
災(zāi)后恢復(fù)（disaster recovery）將業(yè)務(wù)運(yùn)行回復(fù)到原狀。信息系統(tǒng)的災(zāi)后恢復(fù)往往比常規(guī)災(zāi)害的災(zāi)后恢復(fù)還顯得復(fù)雜，如何保證災(zāi)后恢復(fù)之后數(shù)據(jù)一致性，還有切換到生產(chǎn)系統(tǒng)所用的效率都是值得考慮的。我們往往在災(zāi)難后面花費(fèi)補(bǔ)救的金錢往往超過了給致災(zāi)因子減緩的投入。就像汶川地震之前，對于地震的預(yù)防投入微乎其微，如果對于地震帶上的居民多進(jìn)行一些培訓(xùn)和宣傳教育，那么至少死亡人數(shù)可以減少很多。同樣對于信息系統(tǒng)安全建設(shè)也需要專家和醫(yī)院領(lǐng)導(dǎo)進(jìn)行風(fēng)險(xiǎn)溝通，醫(yī)院領(lǐng)導(dǎo)需要制裁那些增加致災(zāi)因子脆弱性的行為，激勵(lì)能使那些減輕致災(zāi)因子脆弱性的行為活動獎(jiǎng)賞。在數(shù)據(jù)安全和應(yīng)急管理領(lǐng)域，需要鼓勵(lì)大量技術(shù)人員為醫(yī)院去努力建立一個(gè)流程，如果不想流于形式，那就要建立激勵(lì)機(jī)制。在電子病歷使用的初期，有很多操作性的問題或規(guī)范性的問題會使醫(yī)院在醫(yī)療事故發(fā)生時(shí)讓自己處于被動的局面，而之前大家都在體系中對問題漠不關(guān)心，如何調(diào)動人員的積極性是一個(gè)普遍問題。
第三個(gè)原則：通過培訓(xùn)和績效評估建立可持續(xù)體系
對于培訓(xùn)有三個(gè)層次：
（1）領(lǐng)導(dǎo)層要進(jìn)行應(yīng)知應(yīng)會的培訓(xùn) （2）對IT中心相關(guān)管理人員的技能培訓(xùn)（核心培訓(xùn)）（3）對操作層面的防范意識的教育和使用培訓(xùn)，如權(quán)限意識、規(guī)范操作、安全檢查、操作使用等。
目前信息產(chǎn)業(yè)迅猛發(fā)展，技術(shù)手段日新月異，沒有百分之百的安全管理系統(tǒng)，只有不斷提升管理及技術(shù)手段，與時(shí)俱進(jìn)才能保障信息安全。在應(yīng)急管理體系中人員的績效評估是一個(gè)比較困難的課題，因?yàn)榇蟛糠轴t(yī)院人員績效管理都沒有上升到一定層次，在應(yīng)急管理層面的績效評估更是無人問津。但是針對組織的評估有一些一般原則可以作為我們工作的指導(dǎo)方向。要求培訓(xùn)者運(yùn)用計(jì)算機(jī)工具對于致災(zāi)因子進(jìn)行脆弱性評估；評估致災(zāi)因子教育計(jì)劃；評估致災(zāi)因子減緩計(jì)劃。當(dāng)然這些體系都是西方應(yīng)急管理理論體系里面提到的，要做中國尚需時(shí)間消化，對于非常重視信息化的醫(yī)院來說，這種理論對于管理的追求是永無止境的，正好國外的理論亟待我們?nèi)ハ谩?br />
由于對于許多管理者來說領(lǐng)導(dǎo)力并非與生俱來，因此領(lǐng)導(dǎo)力的培訓(xùn)必不可少。醫(yī)院的數(shù)據(jù)安全是需要領(lǐng)導(dǎo)用長期戰(zhàn)略性思維考慮的問題。對于領(lǐng)導(dǎo)的培訓(xùn)，有效的方法之一就是切實(shí)的生動的事件。
綜上所述三個(gè)原則，是讓醫(yī)院在數(shù)據(jù)安全建設(shè)中對災(zāi)難性事件做出做好最充分準(zhǔn)備的基本原則，更加強(qiáng)調(diào)了的人、流程的結(jié)合。這些理論讓我們將容易忽視的部分重視起來，積極去實(shí)踐，建立適合自己醫(yī)院的流程和數(shù)據(jù)安全應(yīng)急預(yù)案體系。
參考文獻(xiàn)
梁銘會、金甌 等。國際醫(yī)院評審（JCI）實(shí)戰(zhàn)必讀——信息化解讀JCI評審捷徑，浙江大學(xué)出版社
三級綜合醫(yī)院評審標(biāo)準(zhǔn)實(shí)施細(xì)則（2011 年版）
夏保成 張小兵 王慧彥。突發(fā)事件應(yīng)急演習(xí)與演習(xí)設(shè)計(jì)，當(dāng)代中國出版社
米切爾.k.林德爾等。應(yīng)急管理概論，中國人民大學(xué)出版社
霍華德.昆魯思等。災(zāi)難的啟示——建立有效的應(yīng)急反應(yīng)戰(zhàn)略，中國人民大學(xué)出版社
|
