前言：
隨著一系列法律法規的出臺，我國對數據安全的重視程度達到了前所未有的高度，特別是對于醫療保障系統而言，數據安全不僅是法律的要求，更是保護公民隱私、維護社會穩定的重要舉措。本文將詳細介紹啟明星辰在醫保局系統數據安全治理方面的成功實踐，為行業提供一套切實可行的解決方案。
近年來，國家對數據安全的重視程度不斷提升，《網絡安全法》《數據安全法》《關鍵信息基礎設施安全保護條例》《個人信息保護法》先后相繼出臺，醫療保障系統全面落實數據安全治理和建設勢在必行。同時，國家醫療保障局、醫保網信辦陸續發布《關于加強網絡安全和數據保護工作的指導意見》（醫保發[2021]23號）等多項關于推進網絡安全和數據安全建設的指導意見和規范，明確強調了在醫療保障信息化建設中加強數據安全保護工作，實施數據全生命周期安全管理，落實數據分級分類以及重要數據保護目錄，完善數據安全評估機制，夯實醫療保障信息化發展的安全底線。作為國內數據安全標桿企業，啟明星辰憑借其在醫療行業豐富的實踐經驗和卓越的技術實力，為行業提供了全方位、高效的數據安全解決方案，有效保護了醫療信息數據的安全性和完整性，為智慧醫療建設提供堅實后盾和有力支持。
根據醫保發[2021]23號、[2022]7/8/9號等關鍵政策導向及《網絡安全法》、《數據安全法》等法律法規的嚴格規定，緊密貼合醫保局平臺建設及長期運營維護的實際需求，啟明星辰秉持體系化、系統化的理念，致力于構建一套全面而高效的數據安全治理體系。該體系旨在達成以下數據安全能力目標：一、依據《醫療保障數據分類分級管理規范》開展敏感數據分類分級工作。將醫保數據分類分為4層，分級分為3個級別，并建立數據資產分級分類管理制度及相應的數據保護措施。二、建設數據安全治理管理能力。 以DSMM3為支撐，基于場景化的數據業務防護思路，建設數據訪問控制、脫敏、水印、審計、溯源、風險分析、態勢感知等綜合治理能力。三、建設數據流轉監控能力。對敏感數據訪問、網絡文件傳輸等行為進行實時審計，對數據流轉狀態進行監控。建設數據數據溯源能力，為數據泄露場景建設提供支撐，為數據溯源提供支撐，防止數據泄露。四、建設數據安全的全生命周期管理能力。梳理各個生命周期的業務場景，根據各業務場景開展數據安全保護工作，如數據脫敏、數據權限控制、數據審計、數據共享、數據溯源的管控等。五、建立數據安全治理的集中管理能力。對數據資產進行集中監控、對數據安全策略進行集中管控，建立數據流轉監控、數據安全風險分析能力和態勢感知能力。對重要數據進行重點操作和審批的保護。六、建立數據安全日常運營能力。開展數據安全運營能力能力建設，以DSMM3為支撐，開展日常安全策略、安全制梳理、安全標準合規對標梳理工作，安全事件、安全風險的分析、預警和處置工作，實現日常數據安全工作的常態化、標準化。
啟明星辰醫保局系統數據安全解決方案
目前省級醫保局的業務系統大概為16個左右，已建系統按五大類劃分，分別為經辦管理類、公共服務類、監督管理類、應用支撐類、決策分析類。圍繞醫保局的核心業務應用系統，在待遇保障、醫藥服務管理、醫藥價格和招標采購、基金監管、公共服務等方面提供基礎的數據支撐服務。
啟明星辰緊密圍繞醫保局核心業務系統的數據，構建了一套以數據分類分級為基礎，數據保護和數據風險態勢感知為目標的數據安全治理體系。該體系積極響應防范化解醫療保障系統數據安全風險的需求，同時促進數據的合理、安全開發利用，顯著提升了數據安全保障能力，確保醫保系統數據的保密性、完整性與可用性，為醫保事業的穩健發展保駕護航。
以數據生命周期和業務場景化思路，對業務進行梳理，針對各種業務場景風險，部署相應的防護能力。對數據安全能力進行集中化、標準化、規范化、常態化管理，通過安全建設，提升數據安全運營能力、數據安全管控能力和數據安全監控能力。
采集場景：醫保局同政務大數據局共享交換平臺數據采集、醫稅系統同稅務系統的數據采集、省醫保局同國家醫保局之間數據采集、數據中臺同核心業務系統之間數據采集。業務風險：采集接口缺乏有效管控，存在異常的連接、惡意連接風險。能力防護：采用API接口監測、數據庫審計監測相關行為，發現接口異常。存儲場景：數據中臺、各業務系統、交換系統存在數據。能力防護：采用數據發現，發現敏感數據，并對數據分級分類，分為4個大類、3個級別。 ? 醫保數據分類
一層分類劃分為醫?；A信息、醫保服務信息和醫保管理信息三個主題。
二層分類參考醫保數據特點，綜合考慮數據分類管理的需求，根據一層分類下的數據特征進行如下劃分：
a)醫?；A信息分為醫保險種、個人信息、單位信息、地域區劃4個類別；
b)醫保服務信息分為公共服務、醫保服務、招采服務3個類別；
c)醫保管理信息分為專家評審、信用評價、內控管理、醫?；鸨O管、基金運行及審計、支付方式管 理、系統門戶管理、醫療服務項目價格管理8個類別。
三、四層分類，基于上層分類的數據進行細分。
? 醫保數據分級
醫療保障數據級別從高到低劃分為核心級、重要級、一般級3個級別。
用戶賬號密碼信息、數字證書（私鑰）信息為重要數據。同時符合以下條件的診療服務類、個人信息類、醫保結算類、兩定機構結算信息類、參保信息類、征繳信息類數據為重要數據：
a)主要服務人群覆蓋全國，且月實時結算量超6千萬人次；
b)主要服務人群覆蓋全省，且月實時結算量超3千萬人次。
同時符合以下條件的診療服務類、個人信息類、醫保結算類、兩定機構結算信息類、參保信息類、征繳信息類數據為核心數據：
a)主要服務人群覆蓋全國，且月實時結算量超3億人次；
b)主要服務人群覆蓋全省，且月實時結算量超1.5億人次。
共享場景：數據共享給大數據局、數據通過兩定系統共享給醫療機構、數據共享給國家局、數據共享給銀行等系統。能力防護：采集API監測對共享接口進行監測；采用全流量探針對影子數據的流轉進行監測；采用數據數據庫審計對接口命令進行管理。使用場景：業務開發使用需要測試數據、業務人員訪問業務系統、運維人員對數據進行運維、VPN用戶遠程訪問業務系統或運維。場景風險：業務人員惡意查詢、導出數據，運維人員缺乏權限，惡意訪問、查詢、導出數據；業務開發測試人員利用測試的機會導出真實的數據。能力防護：針對使用場景，包括運維、業務訪問、開發測試場景，分別采用靜態脫敏、核心信息管控、應用網關進行管控。
采用啟明星辰數據安全治理平臺作為數據安全保障的調度系統，向上承接各類制度規范的拆分和解讀，使之成為具體可落地、可執行的安全策略；向下基于統一的、全局的安全策略驅動和調度數據脫敏、API接口審計、全流量探針、防泄漏等能力組件執行各種安全策略。采用啟明星辰數據安全態勢感知平臺作為數據安全管理的指揮系統，從異常行為、流量和數據訪問異常等多維度進行畫像分析，實現對醫療保障系統數據安全風險和面臨的外部數據安全威脅進行持續監測、分析研判，使得制度、規范、流程、風險評估、安全能力、安全策略形成閉環，從而為醫保局系統數據安全構建起一套綜合的立體防護體系。數據安全是醫療行業發展不可或缺的支撐要素。啟明星辰通過全方位的數據安全管理，實力護航醫療衛生機構業務系統的安全穩定運行，保障智慧醫療數據安全，助力行業健康、穩定和可持續發展。
京公網安備11010802024551號