医院病历保存多久(病历保存30年是哪年规定的)( 四 )


《安全指南》基于不同角色之间的数据流 , 划分了六类数据流应用场景 , 并根据不同场景以及每个角色在医保数据应用过程中涉及的不同安全环节和义务 , 了解相应安全措施的要点(如下图所示) 。需要理解的是 , 在主、从之间数据流通的应用场景中 , 双方必须满足数据传输、存储和应用的相关要求 。此外 , 《安全指南》区分了采集和采集的内涵 , 将从外部获取数据的过程定义为“采集” , 将主机内部数据应用过程中的数据采集定义为“采集” 。值得注意的是 , 不同的是 , 《民法典》的《网络安全法》只规定了“收集”的概念 , 而没有适用“收集”的概念 。

医院病历保存多久(病历保存30年是哪年规定的)

文章插图
(3)开放式安全措施要点
开放方法的要点是针对医保数据的开放情况 , 知道所有的开放情况都适合:1)遵守“最少必要原则”;2)确保符合合法性、正当性和必要性的要求;3)根据应用目标尽可能多地识别;4)了解数据开发和应用目标、安全义务和用户应采取的安全措施等 。涉及退出的按规定评估 , 涉及重大数据的按规定评估审批 。此外 , 根据上述五种不同的数据开放情况 , 应满足相应的安全措施要点 。
第五 , 实现安全目的的方法
(1)安全管理要求
出于安全的目的 , 卫生医疗机构对数据进行分类分级 , 在采取针对性的安全措施后 , 需要对措施实施后的后果进行审查并持续改进 。在安全管理方面 , 《安全指南》了解与组织、过程和应急处理相关的管理要求 。
组织上 , 要建立完善的组织保障体系 。组织架构至少包括健康医疗数据安全委员会和健康医疗数据安全办公室 , 其中委员会应是健康医疗数据安全的最高指导机构 , 全面负责相关工作并讨论重大决议 , 办公室负责健康医疗数据安全的日常实施 。在过程中 , 《安全指南》划分了策划、实施、评审、改进等阶段 , 了解了每个阶段的重要工作 , 涵盖了事件发生前、发生中、发生后健康医疗数据安全的全过程 , 实现了全过程的数据安全管理 。应急处理包括建立应急预案、建立专门的应急保障团队和专家团队、制定灾难恢复规划、数据安全事件报告和综合评估等 。 , 确保及时有序应对数据安全事件 。
(2)安全技能要求
《安全指南》根据医保数据安全技能要求 , 在了解一般安全技能的基础上 , 结合医保数据的特殊性 , 进一步规范了解标工作 。一般安全技能方面 , 建议对承载医保数据、云平台等的信息系统和网络进行安全防护 。 , 针对数据生命周期的各种移动实施安全措施 , 建立安全的数据管理基础设施 , 实施身份识别、访问和掌握、安全审计、入侵防御、媒体应用管理、备份和恢复、剩余信息覆盖等安全措施 。关于去识别 , 《安全指南》认为 , 最好删除能够唯一识别个人身份或在披露后会对个人产生重大影响的信息 。对于个人属性数据中可以与个人间接相关的信息 , 建议进行归纳和转化 。数据集中具有相同属性值的人数最少应超过5人 。主人要在内部设置患者编码索引 , 在去识别中应用的参数配置仅限于内部专人管理 , 防止用户参与去识别相关工作 。
六是典型场景的数据安全
《安全指南》列举了8种典型场景下的关键数据安全方法 , 分为医生访问、患者查询、临床讨论、二次应用、健康感知、移动应用、商业保险对接、医疗器械 。这八个场景是医保数据实际应用或披露过程中常见的场景 , 对医保数据安全覆盖的实践具有指导意义 。与《健康医疗数据安全指南(征求意见稿)》(2019年4月4日)相比 , 《安全指南》删除了互联、远程医疗场景 , 增加了医生接入的场景 , 将设备保护修改为医疗设备场景 , 属于医疗设备场景的一部分 。
以商业保险对接安全场景为例 。商业保险主体在定点医疗机构购买医疗时 , 商业保险公司可以通过建立与医疗机构连接的医疗信息系统 , 及时控制主体的医疗情况和相关费用 , 从而按规则进行理赔 。该场景涉及的数据有个人属性数据、健康状况数据、医疗申请数据、医疗支付数据、健康资源数据 。医疗机构与商业保险公司对接时 , 可分医疗信息系统对接前、对接中、对接后三个阶段采取相应的安全措施(如下表所示) 。可见 , 数据分类和分级贯穿于所有安全场景 , 分散管理、访问权限和限制、不同的加密传输方式等方法是数据分级和数据开放态势划分的体现 。结合上述场景安全措施要点 , 在商业保险对接安全场景中 , 对于医疗机构向商业保险公司传输的五类相关数据 , 医疗机构是主人 , 商业保险公司是用户 , 以下关键安全措施也是主人与用户之间数据流转应用场景安全措施要点的细化 。此外 , 还在具体措施上落实安全管理要求和技能要求 , 在确保数据保密性、完整性和可用性、数据应用和披露合法合规的基础上 , 满足商业保险理赔业务发展需求 。


推荐阅读