从美国医治保险携带和责任法案（HIPAA）

na8313

从美国医治保险携带和责任法案（HIPAA）
移植 e-health HIS的发展[/COLOR] 医疗行业是一个不断变革的行业,疗程、药物、设备和人员都在不断地发生变化，所有这些革命都让人类更好地战胜疾病、治愈创伤、活得更长久更健康。

与此同时医疗行业也在不断地发生变革，法律、医疗、保险、携带和责任法案，使不断增加的专用网络和互联网所带来的变革促使旧的管理模型必须利用依靠信息技术对自身进行彻底改革。

网络技术的发展让医院提供了更加强大的服务，更加便利的信息访问、更高等级的，可用性的，从而提高了依赖质量。尽管很多行业都已经轻松地采用了互联网技术，但是医疗行业来说，由于其业务所固有的复杂性，她还不能做到这一点，医疗行业就是一个很典型的例子。

需要处理大量多学科、多数据库组合、复杂文件格式、网络多层拓扑的医疗行业。目前面临着一个严峻的挑战，如何移植到大多数行业利用网络技术实现革命，而且由于医疗机构需要处理很多非常敏感的数据。例如患者的个人健康信息，必须非常注意在向电子信息基础设施转型的过程中可能出现的隐私和安全问题。

最近几年来很多因素促使医疗行业朝着利用计算机网络和制定电子健康e-health战略来提高经营效率的方向迈进。例如医疗服务正在进行大规模的整合，从而导致了集成化电子高速公路E-thruway传输系统的出现，集成化传输系统又组合多个医院诊所，家庭护理机构，和其他场所之间共享临床信息，和其他信息的大型地区性服务。供应商能否为医生提供通过互联网，远程进行治疗，在隔离地点评估患者病情的能力。

通常被称为远程医疗telemedicine，正在成为决定医疗机构能否优化效率和吸引人才并挽留顶尖医生的重要因素。曾经《财富杂志》在2001年3月19日发表了一篇由Nancy Giges撰写的题为为医疗行业建设一个虚拟基础设施的文章。文章指出医院实验室、制药厂、医疗设备公司、保险公司、可管理护理服务供应商之间的Web连接，可以减少文书工作电话呼叫和冗余的数据条目。这种数字化的信息流正在加快所有事务的处理速度，从索赔对合格性检查化验到法医结果报告。

随着医疗行业逐渐开始，使用基于电子介质的患者记录和利用计算机网络传输医疗信息越来越多的人开始关注这些信息的安全性。随着网络技术在医疗行业的迅速发展，对于采取安全措施保护患者数据私密性的需求，变得非常迫切但是很多医疗机构都不愿意在他们的网络基础设施中采用适当的安全技术。据美国布什总统的信息安全顾问小组在2003年对医疗机构进行安全状况评估时所做的观察，医疗行业拥有所有行业中最高的互联网漏洞比例，发现医疗Web服务器在70.53%的时间里都存在漏洞。而其它行业的平均比例总合是28.47%。指出医疗机构普遍担心安全问题会阻碍HIS发展。

尽管医疗行业仍然对网络安全问题忧心忡忡，我国人大今年已经认识到保护患者隐私权的重要性，并开始制定医疗隐私和安全方面的法律。虽然政府的干预可能会给某些医疗机构带来一些管理问题，并导致它们需要支出一些计划外的开支，但是这些最近颁布和有待审议的法律，最终应当会促使医疗行业评估和优化其网络的效率。进而改善病人关系、解决医患纠纷、最终体现以病人为中心的服务。

医疗和立法：
美国在1996年8月21日克林顿总统正式签署命令将1996年医疗保险携带和责任法案（HIPAA），颁布为法律即US Public Law 104-191HIPAA。为管理医疗信息的电子交换与保护，电子健康信息的保密性和安全性，制定了一套标准它适用于医疗行业中几乎所有需要传输电子格式。含有可识别内容的可能会威胁到患者隐私权的健康信息的领域HIPAA，提出的建议旨在帮助美国国会和美国健康和人类服务部（DHHS），制定和颁布关于个人患者健康信息的保护和传输的规定，例如责任法案HIPAA要求在106届国会闭幕之前通过规定个人隐私法律适用于医疗行业的法令，国会宣布一旦最终标准，被采用小型健康计划可以有36个月的准备时间来符合法律要求。而其他医疗机构必须在24个月之内达到法律要求HIPAA还表示不符合法律规定的一般性惩罚的金额，将在一百美元到两万五千美元之间。具体取决于违反规定的情况的数量，而以不正当的方式披露个人患者的可识别健康信息的罚金将在五万美元到二十五万美元之间。

克林顿政府审议了HIPAA，但是在他的任期届满之前没有颁布任何具体的医疗隐私和安全法律。布什政府上台后在审议HIPAA并根据HIPAA中的建议颁布了一些医疗机构必须遵守的特殊规定，2001年4月12日布什总统同意颁布患者隐私法案，其中的一个重要规定是要求医疗服务供应商和保险公司，在未经患者同意的情况下不得披露患者的医疗信息。医疗行业必须在2003年4月12日之前达到新的患者隐私法案的要求,但是布什政府还将继续考虑修改法案中的一些引起广泛批评的部分。医疗机构必须遵守包括患者隐私法案在内的各项规定，采取合适的步骤达到国会今后根据HIPAA的建议制定的其他隐私和安全法规的要求。

HIPAA提出了安全标准：
由于意识到现有的任何一项标准都不能涵盖安全的所有组成部分，管理步骤，物理保障技术安全，服务等制定HIPAA的立法，或者提出了一项新的安全标准。以定义这些安全需求，HIPAA规定最终的医疗安全标准应当体现下列三个概念性的指导方针。

标准应当是可扩展-----各种规模的医疗机构应当都能够达到标准的要求；

标准应当是全面-----所需要的安全解决方案应当成为一个统一的系统而不是一系列零碎的不能彼此互通的产品；

标准应当是独立于技术-----它不应当推荐或者支持特定的安全技术，因为技术总是在不断地发展，通过不确定特殊的系统架构和技术，医疗机构可以利用先进的技术并能够灵活地选择适合其特定环境的最佳解决方案；

HIPAA建议了很多应当纳入最终医疗安全标准的规定，以保护电子健康信息的完整性保密性和可用性，为了便于阐述HIPAA所建议的要求被分为四个门类，HIS的安全制定征询也有了立法基础。

1、管理步骤用于管理安全措施的选择和执行，以保护数据和与数据保护有关的人员管理的记录，完整的正式步骤管理步骤，应当包括诸如正式端口联接占用，安全事件步骤和安全培训等内容。

2、物理保障用于防止物理计算机系统，建筑物和设备遭受火灾自然灾害，人为侵害，物理保障还包括利用门锁钥匙和管理措施控制对计算机系统和设施的访问。

3、技术安全服务包括保护控制和监控数据访问的流程，例如访问控制和数据身份认证。

4、技术安全机制包括防止未经授权的用户访问，在某个通信网络上传输的数据的流程，如加密事件报告完整性控制和检查跟踪。

HIPAA采用了一种一般性的方式：
HIPAA针对将来的安全标准提出了一些一般性的规定建议，但是并没有强制规定医疗机构在医疗网络中采用特定的安全技术。

HIPAA还建议医疗机构评估它们所拥有的健康信息可能面临的安全风险，确定哪些特定的技术能够以最佳的方式满足它们特有的安全和整体业务需求。这种方式获得了由HIPAA的制定者充当顾问的多份研究报告中的一份支持国家研究委员会。在1997年发表的一份题为《备案保护电子健康信息》的报告指出不可能规定所有医疗机构的具体做法，每个医疗机构都必须分析它自己的系统漏洞风险和资源。以确定最佳的安全措施，但是委员会认为可以用一种非常概括的方式做一系列规定，从而让所有医疗机构能够以一种或者另外一种方式采用这些标准实践。

医疗网络解决方案：
各种规模的医疗机构满足政府根据HIPAA，提出的建议而颁布的法规的要求，集成化语音视频和数据体系结构合作伙伴计划，可以支持基于标准的架构共同承诺市场领先的产品技术和服务的互操作性，安全解决方案可以满足HIPAA所概括的所有四个领域的规定。这些解决方案所包含的组件覆盖了隐私保护和网络安全,改进的所有方面。包括策略和步骤业务流程，身份识别，周边安全安全联接，监控以及策略和网络管理，怎样设计安全基础设施以保护网络所有构成部分的蓝图，让医疗机构可以创建可扩展可管理可靠的基础设施，这些基础设施应当能够满足或者即将可以满足将来颁布的最严格的安全规定。

管理步骤：
专门研究HIPAA适应问题，为评估和改进某个医疗机构的策略步骤和业务流程提供全面的服务，医疗机构的隐私文化对HIPAA适应能力的影响与技术保障措施，对评估某个医疗机构的隐私策略和步骤，帮助它们安全地处理敏感的患者信息，评估医疗机构目前部署的可能对隐私保护产生影响的技术，和他们对这些技术的控制方法。利用这些评估可以帮助医疗机构制定策略流程进行培训和培养意识从而改善它的安全状况。

物理保障措施：
提供安全评估以分析，对医疗机构目前采用的物理控制方法的有效性在物理安全评估，评估的方面包括对硬拷贝和数字医疗信息的物理保护对敏感设备和系统的访问，以及备份和恢复机制。

技术安全服务：
如前所述HIPAA规定所提议的标准，要求每个需要保存或者传输电子格式的医疗信息，拥有的电子格式，个人医疗信息的潜在风险和漏洞，并制定部署和使用适当的安全措施。经验极为丰富的网络安全工程师（NSE）进行的安全状况评估，包括从某个外界黑客的外部角度，从某个怀有报复心理的员工或者承包商的内部角度，对大规模的分布式网络进行全面的安全分析，安全顾问会整理和分析安全脆弱性，信息为客户提供电信级的建议，提高他们的HIS网络的安全，帮助HIS发挥电子办公或者电子健康系统的调用全部潜力。

提供很多其他的安全建议，以帮助医疗机构评估和缓解他们的个人健康数据，面临的潜在风险和漏洞。这些服务包括外包的安全设备监控和管理，服务用于衡量特定技术漏洞的业务风险和业务影响，风险评估服务以及系统、软件的应用和配置，评估以便在主机或者代码的层次上确定遭受入侵或者攻击的可能性。

技术安全机制：
提供了一套全面的技术安全解决方案，利用安全网络提供保护和监控医疗机构的网络数据和数据传输所需要的安全设备，满足医院在安全身份认证、周边安全入侵、检测加密以及网络监控和管理方案和机制。

医院网络管理人员不需要每次在网络中添加一个新的服务时都重新设计他们的整个安全架构，可以利用模块化的模板在需要的时候保障每项新服务，安全并将其与整个安全架构相集成这种做法更加简便而且成本更低。

第一个准确地建议哪些安全解决方案，应当放置在网络的哪些部分以及为什么应当部署这些方案的蓝图。每个模块都可以为电子健康系统提供最大的性能，同时让医院保持安全性和完整性，采用一个基于安全基础设施，为其网络所有构成部分提供最大限度的保护，并确保他们能够符合政府的安全规定的要求。

访问控制服务器：
访问控制服务器可以检验用户的身份，根据事先存储的用户档案决定用户可以访问哪些区域，或者安全访问控制服务器。高性能高度可扩展集中式的用户访问控制框架从一个基于Web的图形化界面针对所有的用户认证授权和记帐AAA提供集中的命令。控制并将这些控制分发到网络中的数百或者数千个接入点，利用专业网络管理人员可以控制和管理用户对所有路由器、交换机、VPN防火墙、拨号宽带数字用户线路ADSL、有线电缆、IP语音、VoIP和无线解决方案的访问权限提供AAA的专业安全解决方案。

防火墙：
防火墙可以为跨越网络，周边的流量，提供屏障。根据事先定义的安全策略只允许经过授权的流量通过防火墙，可以在网络和外部世界之间建立起保护层，还可以记录入侵企图，并将它们报告给网络管理员。在不影响网络性能的情况下提供很高的安全性，并可以伸缩规模以满足各种规模的医院需求，整个端到端安全解决方案的重要组成部分，针对用途定制的周边安全设备，非常便于安装和管理，而且使用了一种经过加固的，关注保护设备及其所在的网络的安全性的操作系统。这种集成化的硬件和软件包可以提供状态防火墙保护和IP安全IPSecVPN功能。让医院可以严格地保护其内部网络。防止其受到外部入侵防火墙，支持新的设备管理器，基于浏览器的图形化用户界面GUI用于设置配置和监控PIX防火墙。

入侵检测：
网络安全在很多方面都类似于物理安全，即没有一种技术可以满足所有的需求，因而一种层次化的保护方式提供最佳的效果。医院应当部署补充性的安全技术，以抵御单一机制无法消除的风险和漏洞。一个基于网络的入侵检测系统IDS可以提供全天候的网络监控功能，可以监控和分析网络中的分组数据流，搜索未经授权的活动，例如黑客发动的攻击在系统受到威胁之前针对安全漏洞采取措施。在检测到未经授权的活动之后向一个管理控制台发出警报，其中包含了该活动的所有细节信息。通常它还会命令其他系统，例如路由器中断的会话，满足任何一个医疗机构的需求。

网络扫描：
网络扫描仪可以对网络系统进行详细的分析，以编制资产目录检测后能描绘构成安全威胁的漏洞，这种技术让网络管理人员可以在入侵者利用安全缺陷之前发现并纠正这些缺陷。安全扫描，扫描网络编制某个指定的地址范围内的所有联网系统，操作系统和活跃服务的列表，可以将这些信息与某个范围广泛的网络漏洞数据库进行比较判断。哪个系统存在安全缺陷，在以非入侵方式确认了这些漏洞的存在。安全扫描仪可以将这些信息以多种格式包括表格图标文本报告和详细的建议提交给网络管理人员，以便采取纠正措施。安全扫描让用户可以衡量其网络的安全性、管理风险、消除其中的安全漏洞。

加密和虚拟专用网：
医院必须防止保密的患者信息在传输过程中遭到窃听或者篡改，通过部署虚拟专用医院VPN在一个公共网络上通常是互联网建立起专用的安全通信。将他们的网络扩展到远程办公室移动院长、远程办公人员和合作伙伴。加密技术可以利用先进的数学算法来散列邮件及其附件从而确保在医院VPN中传输的邮件不会被合法接收方以外的任何人拦截或者读取，VPN硬件和软件设备都支持先进的加密技术可以为它们所传输的数据提供最大限度的保护。

通过位于PC或者笔记本电脑上的VPN软件客户端硬件，VPN路由器防火墙和硬件客户端连接技术提供了解决方案。

利用针对VPN进行了优化，可以建设最佳的两点间VPN将分支机构，家庭与医保连的VPN，针对VPN进行了优化的路由器，可以通过可选的硬件加密加速提供可扩展性的软件具有安全和服务质量QoS功能。为建立安全可扩展、可靠的两点间VPN部署提供有力的支持。

安全策略管理：
一种策略管理系统可以帮助用户在整个网络中方便地统一部署网络策略。这些策略可以支持不同的网络服务，尤其需要指出的是其中的安全基础设施可能包括多种技术和产品。（如防火墙VPN网关和IDS设备）

网络安全人员可以为他们的网络制定相应的策略，可以自动地将这些策略转换为相关网络设备的正确配置文件，再安全地将这些配置分发到网络设备。

实现HIPAA的安全性：
可以说HIPAA对医疗行业的影响将超过最近颁布的任何其他法律。它会给很多医疗机构带来严重的组织和财务问题，大规模地部署新技术或者彻底改造整个网络基础设施，以符合适应政府法令的做法。妥善保护的安全的网络可以帮助医院避免网络攻击和隐私漏洞，这些问题可能会导致非常费时和昂贵的纠纷。对数据完整性、可用性、保密性的威胁通常需要将网络中断几个小时才能修复并且可能会导致病人提起代价昂贵的民事诉讼。从而严重地降低医务人员的工作效率和病员的满意度。无论法律如何规定医疗机构，要想获得成功就必须避免隐私和安全漏洞。

呼吁：e-health HIS打造医院高效竞争机制，不败的医疗实体！