ISO 27799医疗健康信息安全标准：从通用控制到病房落地

简介ISO 27799-2016标准翻译格式修订面向医疗健康组织、个人健康信息保管人及隐私安全合规从业者解决健康信息安全管理中如何基于ISO/IEC 27002:2013扩展落地的问题。内容围绕健康信息的机密性、完整性、可用性展开并涉及信息治理、公司治理与临床治理的关系、健康信息面临的威胁与脆弱性、适用对象及使用收益等主题可辅助读者理解标准条款与医疗行业特殊控制要求。资源包共1个PDF文件约2.29MB为中文翻译版并做了格式修订便于检索目录、对照条款和制作内部培训材料。已有1113人学习下载适合信息安全管理者、医疗信息化人员、合规审计与咨询顾问用来梳理安全管理框架、准备认证审核或编写制度文档时参考。1. 一份病历为什么比银行卡更值得上锁ISO 27799 到底管什么去挂号你会发现单据上你的名字后面跟着一串编号而不是完整的身份证号护士站的屏幕上也只显示她负责的那几张床。这些看起来理所当然的细节背后其实有一套成文的规矩ISO 27799-2016 就是把这套规矩写清楚的那份医疗健康标准。它的全名有点长——《健康信息学 使用 ISO/IEC 27002 进行健康信息安全管理》说的是一件很朴素的事医疗健康领域的隐私安全不能照搬其他行业的做法得有自己的章法。搞懂它你才明白医院信息科那些看似繁琐的规定究竟在防什么也才知道一份病历为什么比一张银行卡更值得上锁。2. 从通用清单到病房现场ISO 27799 和 ISO/IEC 27002 是什么关系2.1 ISO/IEC 27002 是一份通用清单并非只针对医疗行业要讲清楚 ISO 27799得先把它的“母本”搬出来。ISO/IEC 27002 是信息安全领域里流传最广的一份实践指南业界通常把它理解成一本“安全措施菜单”它把组织该考虑的安全动作分门别类列出来2013 年那一版分成 14 个安全域从信息安全策略、组织的信息安全、人力资源安全、资产管理一路排到合规性下面挂着 35 个控制类别、114 项控制措施。每一项控制措施都配一段实施指南告诉你这条大概该怎么落地。它的特点恰恰也是它的局限——通用。银行要用它电商要用它制造业要用它医院也要用它。为了让所有人都能用它只能把话说得很中性资产要清点、权限要分配、介质要管理、事件要上报。至于“资产”在你这行具体指什么“权限”该分到多细“介质”是 U 盘还是胶片它一概不展开。打个比方ISO/IEC 27002 像一本全国通用的建筑施工规范告诉你承重墙不能随便拆、消防通道要留够宽度。但真要盖一座传染病楼光有这本通用规范是不够的你还得知道负压病房怎么排风、污染区清洁区怎么分区。2.2 ISO 27799 只做了三件事沿用、增加、适配很多人以为 ISO 27799 是另起炉灶写了一整套新体系其实不是。它跟 ISO/IEC 27002 的关系非常紧密章节编号、控制类别、控制目标一条不落地对齐然后在每条下面做加减法。从项目正文那份双语对照的目录就能看得很清楚标准正文里几乎每一条都长成同一个样子Control 控制措施27002 的原话规定“要做什么”Health-specific control 医疗健康特定控制措施针对医疗场景额外增加的要求Implementation guidance 实施指南通用的落地做法Health-specific implementation guidance 医疗健康特定实施指南医疗场景专用的落地做法Other information 其他信息/Other health-specific information 其他医疗健康特定信息补充说明和延伸阅读所以 ISO 27799 干的事情可以概括成三个动作沿用通用骨架增加医疗场景特有的要求适配通用的行话。它没有推翻 ISO/IEC 27002更像是在那份通用清单上用医疗行业的语言重写了一遍批注。这也解释了为什么目录里会出现“No additional guidance for information security management in health. 没有健康信息安全管理的附加指南”这样的句子——某条控制措施在医疗场景下确实没有额外要说的标准就老老实实写一句“没有”而不是硬凑内容。这种克制反而是它可信的地方。2.3 通用的安全清单为什么套不进病房有人会问ISO/IEC 27002 已经够全了医院照着做不行吗行但会漏。漏的地方不在于措施不够而在于同样的措施放到医疗场景里权重和解释完全变了。第一是资产的性质。一家公司的核心资产可能是代码、客户名单、财务报表丢了是经济损失。医院的核心资产是一份份病历、一张张影像、一串串检验结果丢了不只是经济损失——它涉及一个人的病史、家族遗传信息、生育记录、精神科就诊史。这类信息一旦泄露影响可能持续几十年甚至波及亲属。项目正文里那句话说得挺重任何违反机密性的事件都可能给患者带来社会、经济甚至身体健康层面的负面影响。第二是时间尺度。普通业务数据的生命周期可能是几个月到几年而一份病历的保存周期往往以十年计人去世之后仍可能有留存价值。这意味着访问控制、介质管理、归档销毁这些事在医疗场景下的复杂度要高一个量级。第三是用的人杂。医院里能碰到患者信息的角色太多了正式医生、进修医生、实习生、规培生、护士、技师、收费窗口、病案室、外包维保、第三方影像服务商。职务分离、权限回收、离职交接这些通用条款在医院里要对着十几类人逐一落地。第四是失败的后果不一样。一次拒绝服务攻击打在一个电商网站上损失的是下单量和口碑打在医院的门急诊系统上可能直接导致挂号、开单、取药全线停摆正在抢救的病人调不出既往用药记录。同样是“可用性”重量完全不同。所以 ISO 27799 存在的理由很直接通用清单告诉你该做哪些事行业标准告诉你这些事在你这行该做到什么程度、按什么优先级排、由谁来拍板。3. 机密性、完整性、可用性健康信息的三根柱子怎么立起来3.1 机密性一次泄露可能跟一个人一辈子机密性这三个字听起来抽象落到医院里全是具体画面门诊叫号屏上打出的全名、自助打印机吐出来的检验单、影像云胶片分享出去的链接、医生把患者名单导出到个人网盘。这些动作在技术上都不复杂但每一个都可能把“只有该看的人能看”这条线扯断。标准里对机密性的要求本质上是在回答三个问题谁能看、看到什么程度、看多久。谁能看对应的是身份识别和访问控制看到什么程度对应的是信息分类分级——同样是病历精神科记录和普通门诊记录的敏感级别显然不该一样看多久对应的是权限的时效性一个医生调岗或离职之后他手上那些权限不该继续留着。这里面最容易翻车的地方是把“方便”当成了默认值。为了方便会诊给一大批人开通用账号为了方便查房把整层楼的病历权限打通为了方便第三方做影像分析直接给一个长期有效的访问入口。每一次让步单看都能找到理由攒起来就是一个巨大的口子。ISO 27799 要求医疗健康组织在通用控制措施之外额外考虑的正是这些“为了方便而开的口子”该怎么收。3.2 完整性错一个血型比泄露更致命完整性指的是信息在整个生命周期里保持准确、完整没有被恶意篡改也没有被意外破坏。放到医疗场景里这条柱子的分量可能比机密性还重。想像一个场景一位患者的血型记录在系统里被误写成另一种或者过敏史字段在数据迁移时丢了一段。这种问题不会报警不会弹窗系统运行得好好的直到某一天医生照着这条记录下了医嘱。机密性出问题伤害的是隐私完整性出问题伤害的是身体。所以标准在完整性上强调的动作都围绕着“可追溯”三个字谁在什么时候改了哪一条记录、改之前是什么、改之后是什么、改的理由是什么。数据变更记录、版本留痕、审核机制、备份策略这些听起来很枯燥的东西其实是给每一次修改留下的痕迹。真出了事你得能倒推回去看到底是哪一步出的错。医疗行业还有一个特殊之处信息不是一次写成就永远不变的。诊断会修正用药方案会调整影像报告会补充。这种“允许修正但不能抹掉”的需求对系统设计提出了比普通业务系统更高的要求——你需要的是追加式的修改而不是覆盖式的修改。3.3 可用性急诊室断网的那十分钟可用性是最容易被低估的一根柱子因为在系统正常运行的时候它完全没有存在感。但医院的信息系统一旦停摆后果是立刻的、肉眼可见的。标准里提到健康信息系统要能在自然灾害、系统故障和拒绝服务攻击面前保持运行这句话背后是一整套设计取舍关键系统要不要做双活本地要不要留离线应急流程断网的时候纸质单据怎么开、事后怎么补录灾难恢复演练多久做一次恢复目标定在几分钟还是几小时。提示可用性指标不是拍脑袋定的。急诊、手术、ICU 这类场景的容忍中断时间和体检中心、病案统计完全不同得按业务重要性分层定再倒推投入。还有一个容易被忽略的点可用性不只是“服务器别宕机”还包括“数据在需要的时候能被找到”。一个系统二十四小时在线但某份三年前的影像因为归档策略问题调不出来对这种临床场景来说同样是一次可用性事故。3.4 可审核性医疗场景多出来的那一根柱子项目正文里特意提到除了机密性、完整性和可用性健康信息还需要保障“可审核性”。这一条在很多通用安全框架里是隐含的但在医疗场景必须单独摆到台面上。原因很简单医疗行为本身就需要被追溯。一次会诊是谁发起的、谁看过这份病历、谁在什么时候调阅了不属于自己科室的患者信息、某条医嘱是谁下的、谁执行的——这些问题在出了纠纷或者事故之后全都要有答案。可审核性要求的是把“谁在什么时间做了什么”完整地记下来并且这份记录本身也要受保护不能被人事后修改。这就形成了一个有意思的闭环为了保障机密性你要限制访问为了保障可审核性你要记录访问。于是访问日志本身成了高敏感资产它的权限、留存周期、审计方式都得单独设计。很多组织在这一点上栽跟头日志开着但没人看或者谁都能改等于没有。4. 翻开标准正文一份 ISO 27799 的骨架长什么样4.1 章节编号为什么从 5 开始拿到这份译文翻目录你会发现一个细节前面几章是范围、规范性引用文件、术语和定义、标准结构编号 1 到 4然后正文直接跳到“5 信息安全策略”“6 信息安全的组织”“7 人力资源安全”“8 资产管理”。这不是漏译是有意为之。ISO 27799 的正文部分刻意跟 ISO/IEC 27002:2013 的条款编号对齐27002 的第 5 章是信息安全策略第 6 章是组织的信息安全第 7 章是人力资源安全第 8 章是资产管理。这样对齐的好处非常实在你拿着 27002 和 27799 两本书并排放翻到同一个数字就能看到同一条控制措施的“通用版”和“医疗版”不需要来回查对照表。对齐编号这个做法看着小事实际是标准写作里的一种体贴。它让“我这条到底有没有医疗附加要求”这个问题变成一个查编号的动作而不是一次全文检索。4.2 一条控制措施的读法四段式结构前面提过每条控制措施都是四段式这里具体拆开看。下面这个结构是按这份译文的排布抽象出来的骨架示意不是原文逐字摘录但层级关系是一致的# ISO 27799 中一条控制措施的阅读骨架示意 control_id: 8.1.1 # 与 ISO/IEC 27002:2013 的条款编号完全一致 control_name: Inventory of assets # 资产清单 control: | # 第一层通用要求来自 27002 描述这条控制措施要达成什么目标语言保持行业中性。 health_specific_control: | # 第二层医疗场景加码27002 里没有 针对健康信息给出的额外要求没有附加要求时此段可能省略。 implementation_guidance: | # 第三层通用落地做法 说明具体怎么实现可能涉及流程、职责、记录。 health_specific_implementation_guidance: | # 第四层医疗落地做法 把上一层的做法翻译成医疗场景的动作是这个标准真正的价值所在。 other_information: | # 补充说明可选 延伸阅读、相关条款指引。这个四段式值得单独说一句因为它是阅读节奏的关键。很多人读标准读不下去是因为把四层当一层读看到“资产清单”就开始想自己科室有几台电脑结果漏掉了后面专门讲“患者病历算不算资产、影像归档算不算资产”的那段。正确的读法是先扫第一层知道要做什么再重点读第二层和第四层——这两层才是这份标准区别于通用清单的地方。参数上还有个小细节不是每条都有health_specific_control。有的条款医疗场景没有额外要求标准会直接写“没有健康信息安全管理的附加指南”这句话本身就是信息它告诉你这条按通用做法执行就行不用再找医疗专用解释。4.3 “没有附加指南”这句话为什么也是有效信息读标准的人容易有一种心理看到“无附加要求”就觉得这段白读了。恰恰相反在一个逐条对齐的结构里“这里没加东西”是一个明确的信号。它意味着两件事。一是这条控制措施在医疗场景下没有超出通用范畴的特殊性照 27002 做即可不用过度设计。二是它划出了重点范围——你可以反推出那些写了大量医疗附加内容的条款才是这个行业真正棘手的地方。翻一遍目录看哪些条款下面挂了大段Health-specific哪些只写了“没有”重点自然就浮现出来了。这也是一种阅读策略时间有限的时候先读有附加内容的部分。4.4 双语对照和格式修订解决了什么实际问题这份资源是 2016 版标准的中文翻译标注了“格式修订”。从目录能看出来它保留了中英文并列的标题体系——Foreword 前言、Scope 范围、Terms and definitions 术语和定义一直细到Segregation of duties 职务分离这种具体条款名。这种处理对读标准的人来说很实用。标准文本里有些词是中英对不上的比如control译成“控制措施”还是“控制”healthcare organization译成“医疗保健组织”还是“医疗机构”subject of care译成“护理对象”还是“照护对象”不同译本可能不一样。中英并列意味着你在跟外部顾问、认证机构或者内部同事沟通时可以随时把英文原词摆出来对齐理解不用猜对方说的是不是同一条。格式修订的另一层意义在于结构。标准原文的层级很深从章到条到款加上四段式的固定小标题如果排版没理顺读起来会非常乱。把编号层级、双语标题、段落归属整理清楚本身就是在降低阅读成本。5. 易混概念逐个拆ISO 27799 不是你以为的那个标准5.1 易混点一把它当成一个可以拿证的认证标准混淆在哪很多人第一次听说 ISO 27799第一反应是“那我们是不是可以去做个 27799 认证”。为什么容易搞混ISO 这个前缀天然带着“标准”和“认证”的联想加上信息安全领域里确实有一个能认证的标准名字还很像。怎么区分能认证的是 ISO/IEC 27001它规定了信息安全管理体系的要求可以审核、可以发证。ISO/IEC 27002 是实践指南告诉你控制措施怎么落地本身不可认证。ISO 27799 站在 27002 这一侧它是行业指南给你解释和补充也不发证。一家医院如果想去拿证路径是建 27001 体系控制措施参照 27002医疗部分的特殊性参照 27799。5.2 易混点二以为 27001、27002、27799 是三选一混淆在哪看到三个编号下意识觉得要挑一个用。为什么容易搞混三份文件的名称里都带“信息安全”看起来像三个平行选项。怎么区分它们是一条链上的三个环节。27001 说“你得有一套管理体系并且持续改进”是要求27002 说“这套体系里的控制措施具体有哪些、怎么做”是菜单27799 说“菜单放到医疗行业里哪几道菜要加料、怎么加”是行业注解。真实的使用方式是叠着用不是选着用。标准性质能不能认证主要回答的问题ISO/IEC 27001体系要求可以组织该建立什么样的安全管理体系ISO/IEC 27002实践指南不可以具体有哪些控制措施、怎么实施ISO 27799行业指南不可以医疗场景下这些措施要怎么调整5.3 易混点三把标准和法规当成一回事混淆在哪认为符合了 ISO 27799就等于满足了所有合规要求。为什么容易搞混两者都在谈个人健康信息的保护用词也高度重合——机密性、完整性、可用性、访问控制、审计。怎么区分法规是“必须做不做有后果”标准是“建议这么做这么做更稳妥”。法规通常规定底线和罚则标准提供方法论和最佳实践。一个组织可能完全符合某部法规的字面要求但安全水平一般也可能按标准建得挺扎实仍需要针对具体法规条款做额外适配。把标准当成法规的替代品是典型的踩坑姿势。5.4 易混点四以为健康信息只存在于医院里混淆在哪觉得这份标准是给医院信息科看的跟自己没关系。为什么容易搞混名称里带“健康”直觉上就指向医疗机构。怎么区分标准覆盖的是“医疗保健组织和其他个人健康信息保管人”。除了医院、诊所还包括体检机构、检验中心、影像中心、健康管理平台、可穿戴设备厂商、保险机构的健康险业务、科研机构的队列数据、高校的临床研究项目。只要你在处理能关联到具体个人的健康数据这套框架就适用。5.5 易混点五把可用性理解成“服务器别宕机”混淆在哪一谈可用性就想到机房、带宽、备份觉得那是运维的事。为什么容易搞混可用性这个词在 IT 语境里被用得太多已经固化成技术指标了。怎么区分在医疗场景里可用性首先是业务流程问题。断网时挂号窗口怎么办、纸质处方怎么开、检验结果怎么人工传递、恢复后怎么补录、补录的数据怎么保证不出错——这些是流程设计不是服务器配置。技术只是支撑业务连续性才是目的。只盯着设备在线率忽略离线预案属于典型的“指标好看一断就乱”。6. 什么时候该翻它什么时候别翻一份使用边界手头这份译文更适合当成一本“查阅型”资料而不是从头读到尾的书。它的价值集中在第二层和第四层——那些Health-specific开头的段落是通用标准里找不到的东西。该翻的场景你在为一家医疗相关机构梳理信息安全体系需要知道通用控制措施在医疗场景下要加什么你在做健康类产品的隐私设计想搞清楚病历、影像、检验数据在分类分级上有什么特殊要求你在准备内部审计或者应对第三方的安全评估需要一个说得清依据的框架你在写制度文件需要把“为什么要这么规定”讲明白而不是只写“按规定执行”。不必翻的场景你只是想要一份能照着打勾的清单——这份标准不给打勾表它给的是解释你想拿它去做认证——认证路径在别处你所在的业务根本不碰个人健康信息那读它属于时间错配你想找具体的技术配置参数比如某个加密算法该用多少位密钥——这类内容不在它的射程内它是管理层面的指南。还有一个判断标准如果你读完之后脑子里冒出的问题是“那我们科室的权限该怎么分”说明你用对了如果冒出的问题是“所以到底该买什么设备”说明你找错书了。我自己的习惯是每次碰到一份行业标准先花十分钟只做一件事把目录里所有带“行业特定”字样的段落标出来看看它们在总条款里占多大比例、集中在哪几章。比例高的章节就是这行的痛点所在先读那里剩下的按需查。这个动作花不了多少时间但能避免从头读到尾、读完还是不知道重点在哪的血泪经验。至于那些写“没有附加指南”的条款我一般直接跳过等真要用的时候再回来对一遍编号。从那以后我每次拿到一份标准译文都强制走一遍“先标附加段落、再对编号、最后才读正文”的流程几乎没再出现过读完一遍脑子里空荡荡的情况。希望帮到你。本文还有配套的精品资源点击获取