电子病历安全解决方案

电子病历安全解决方案第1页/共34页构建安全可信的网上医疗卫生服务

——电子签名助推医院信息化第2页/共34页目录一、公司简介二、医疗卫生信息系统电子认证服务需求三、医院信息系统电子认证服务系统建设内容四、案例介绍第3页/共34页公司资质及荣誉首批获得《电子认证服务许可证》、《电子认证服务使用密码许可证》

具有计算机系统集成三级资质和涉密系统集成乙级资质国家信息安全服务（安全工程类一级）和北京市信息安全服务能力一级资质商用密码销售单位和军队网络采购信息发布资格认证中国医药卫生信息金牌服务单位获得软件著作权21项国家专利7项成立于2001年，是北京市国有资产经营公司控股的国有企业首批获得电子认证服务许可资质的专业电子认证服务提供商从成立起一直保持高于同行业水平的高速增长，员工400多人，成为国内最大的CA认证服务提供商第4页/共34页BJCA－参与卫生系统信息安全领域建设2009年3月12日，中标卫生部“卫生系统电子认证服务体系建设项目”制定卫生系统电子认证服务规划建设卫生系统电子认证服务监管平台完成配套管理办法、服务、技术规范起草

管理办法：《卫生系统电子认证服务管理办法（试行）》服务规范：《卫生系统电子认证服务规范（试行）》技术规范：《卫生系统数字证书应用集成规范（试行）》、《卫生系统数字证书格式规范（试行）》、《卫生系统数字证书介质技术规范（试行）》、《卫生系统数字证书服务管理平台接入规范（试行）》卫生部部机关及直属单位，电子认证服务唯一指定供应商已面向卫生部统计中心、监督中心、疾控中心、国际交流与合作中心等提供产品和服务参与卫生部《基于电子病历的医院信息平台建设技术解决方案》编写第5页/共34页卫生部卫生部网站加固国家卫生综合管理平台安全建设卫生部国际交流与合作中心高耗值医疗器材集中采购安全认证援外医疗队管理系统安全认证卫生部卫生监督中心卫生监督信息直报安全认证卫生部疾控中心疾控信息直报安全认证内部协调办公电子认证服务卫生部统计信息中心统计信息直报安全认证卫生部人才交流中心考务管理电子认证服务医院北大人民医院、北京天坛医院、中日友好医院、北京同仁医院、北医三院、北京阜外医院（以上均是卫生部96家试点、三甲）社区卫生北京市社区卫生安全保障体系建设东城区社区卫生安全保障体系建设公共卫生CDC、12320、体检中心…药品招投标北京药品集中采购平台安全建设北京社区卫生药品采购平台安全建设新农合北京市新型农村合作医疗安全建设卫生部北京市BJCA-卫生行业成功案例第6页/共34页区域卫生平台深圳市卫生综合信息平台成都温江区域卫生平台新农合甘肃省新农合省级平台社区卫生苏州市吴江区同里社区卫生院……全国范围医院哈医大一附院（试点、三甲）、中国医大一附院（试点、三甲）、山西医大二院（试点、三甲）、九江妇幼医院（试点、三甲）内蒙包钢医院（三甲）、内蒙古准格尔旗中心医院（三甲）、广东妇幼医院（三甲）、河南科大一附院（三甲）、郑州人民医院（三甲）新疆伊犁州友谊医院（试点）、南京市鼓楼医院、南京市第一医院（试点）等11家医院天津宁河医院、广西百色右江民族医学院附属医院、广西罗城仫佬族自治县人民医院、新疆昌吉州人民医院……BJCA-卫生行业成功案例第7页/共34页目录一、公司简介二、医疗卫生信息系统电子认证服务需求三、医院信息系统电子认证服务系统建设内容四、案例介绍第8页/共34页安全可信是以电子病历为核心的医院信息系统的需求《电子病历基本规范（试行）》中，从多个方面对电子病历、电子病历管理、电子病历系统的安全可信提出了要求

第八条：电子病历系统应当为操作人员提供专有的身份标识和识别手段，并设置有相应权限；操作人员对本人身份标识的使用负责。

第九条：医务人员采用身份标识登录电子病历系统完成各项记录等操作并予确认后，系统应当显示医务人员电子签名。

第十三条：电子病历系统应当满足国家信息安全等级保护制度与标准。严禁篡改、伪造、隐匿、抢夺、窃取和毁坏电子病历新医改中提出“为保障深化医药卫生体制改革，加快卫生信息系统建设，重点建设以居民电子健康档案为核心的区域卫生信息平台和以电子病历为基础的医院信息平台”第9页/共34页可信的数字身份安全可信的电子病历系统电子病历系统的安全需求1、身份真实2、数据完整3、行为规范4、责任明确5、隐私保护以《电子签名法》为依据，以电子认证和电子签名为手段，形成完善的技术保障体系，营造安全可信的电子病历应用环境可信的数据电文可信的网络行为第10页/共34页卫生部相关政策规范要求业界认为，以数字证书技术建立起来的电子认证服务体系已成为解决安全可信问题的基础。电子认证服务通过颁发和管理数字证书，为信息系统的身份认证、授权管理、责任认定、信息保护提供支撑，从而满足电子病历信息系统的安全需求

2010年1月4日，卫生部下发《关于印发《卫生系统电子认证服务管理办法（试行）》的通知》（卫办发〔2009〕125号）

已建成但尚未采用数字证书的重要卫生信息系统，应当尽快采用数字证书，实现身份认证、授权管理和责任认定；

已经采用数字证书的重要卫生信息系统应当尽快按照本办法的有关要求进行系统改造，纳入卫生系统电子认证服务体系。第11页/共34页卫生部相关政策规范要求《电子病历应用分级标准（征求意见稿）》电子认证与签名临床应用的电子病历系统（住院医师站、门诊医师站、护士站）有统一的登录与身份认证2基本重点电子病历相关系统（门诊、病房、检查与检验系统）有统一的登录与身份认证3基本医疗相关的所有系统能实现统一的身份认证4

重点电子病历相关记录（门诊、病房、检查、检验科室产生的医疗记录）的最终医疗档案至少有一类可实现可靠电子签名功能5基本（1）所有医疗记录处理系统产生的最终医疗档案具有可靠电子签名（2）重点电子病历相关记录（门诊、病房、检查、检验科产生的医疗记录）的最终医疗档案至少有一类可实现具有法律效力的第三方可信时间戳6基本（1）全部电子病历系统在数据产生过程可实现可靠电子签名，如每个医嘱、每段病程记录、每个阶段的检查报告等

（2）医疗记录使用具有法律效力的第三方可信时间戳7基本第12页/共34页法律基础：《电子签名法》“可靠的电子签名与手写签名或者盖章具有同等的法律效力”——《中华人民共和国电子签名法》第十四条确立数据电文和电子签名的法律效力规范电子签名规则明确了可靠电子签名的要求确定了可信第三方——电子认证机构的责任、条件和基本服务第13页/共34页可靠电子签名具有法律效力的可靠电子签名实现方法可归纳为：合法可信第三方签发证书可靠的PKI技术符合规定的签名设备工信部根据《电子签名法》的行政许可授权，颁布了《电子认证服务管理办法》北京数字证书认证中心等30家CA中心已获得电子认证服务资质，可依法开展电子认证服务第14页/共34页BJCA-第一批通过卫生部复审、测试的CA机构第15页/共34页国家对于电子认证的最新要求国家密码管理局与2011年1月30日针对全国各省、自治区、直辖市密码管理局下发了《关于做好公钥密码算法升级工作的通知》国密局字[2011]50号的文件文件中明确通知：自2011年7月1日起，投入运行并使用公钥密码的信息系统，应使用SM2椭圆曲线密码算法。已投入运行并使用的应尽快完成升级工作。BJCA已经于2011年4月完成了相关的升级工作并获得国家密码管理的评测证书。第16页/共34页目录一、公司简介二、医疗卫生信息系统电子认证服务需求三、医院信息系统电子认证服务系统建设内容四、案例介绍第17页/共34页电子病历安全方案电子病历安全解决方案可信时间服务

加盖基于权威时间的时间戳，时间准确、公正、可信电子签名服务各业务环节进行电子签名/签章，数据完整可信，责任可追溯身份认证服务基于数字证书的登录认证，可信身份鉴别数字证书服务

为医护人员发放数字证书，可信身份凭证第18页/共34页产品基本构成数字签名验证服务器DSVS：专用的电子签名设备，用于身份认证、

数字签名等功能1.时间戳服务系统：配合标准时间源设备，用于加盖时间戳、

时间同步等功能2.数字证书：用于标识用户身份，支持多种存储介质如 USBkey、射频卡，满足医院多样化需求4.电子签章系统：提供电子印章制作与生命周期管理功能，

实现电子签名的可靠可视化展示3.数字证书受理点：用于数字证书的发放与管理，提供证书全

生命周期服务5.第19页/共34页方案内容一：数字证书服务1、制订适合院方管理机制的证书发放模式BJCA集中服务与医院自主管理相结合2、选择兼顾应用便利与实施成本的证书介质与形态3、证书应急机制储备数个备用Key，在遇到应急情况时，可短时间内通过受理点完成证书的补办工作第20页/共34页数字证书服务证书发放服务内容第21页/共34页数字证书发放模式给予医院部署数字证书受理点，方便医院自主管理和发放数字证书第22页/共34页证书介质与形态选择适用于普通PC机的USBkey(U-Key)适用于配备USB接口的电子病历客户端证书应用，采用USBkey作为存储介质，是目前使用最广泛的证书介质。适用于移动诊疗设备的SDKey适用于医护人员移动诊疗设备，如医生和护士使用手持PDA进行移动查房护理时使用。数字证书将可存储在移动设备中的SDKey作为证书存储介质。USBKeySDKey第23页/共34页方案内容二：可信身份认证数字证书作为统一的身份认证凭证在电子病历系统中，客户端和服务器端分别集成，实现基于证书的身份认证登录作为关键业务，数字签名/验证服务器应双机热备医院内网数字签名/验证服务器证书应用客户端中间件第24页/共34页方案内容三：可靠电子签名/签章在电子病历系统客户端中集成证书应用中间件，实现业务流程中医护人员的证书签名在电子病历系统服务器端集成服务器中间件，采用【数字签名/验证服务器】实现数字签名/验证功能医院内网数字签名/验证服务器证书应用客户端中间件1、电子签名应用第25页/共34页2、电子签章应用集成在需要电子签名可视化的业务流程中提供签章读取接口，开发商负责签章图片的具体展现提供电子签章的可靠管理、验证服务，确保安全第26页/共34页方案内容四：可信时间戳服务接入时间源，统一系统时间接入时间戳服务器，在业务流程需要盖时间戳的时候进行时间戳签名处理医院内网时间戳服务器时间源第27页/共34页目录一、公司简介二、医疗卫生信息系统电子认证服务需求三、医院信息系统电子认证服务系统建设内容四、案例介绍第28页/共34页电子病历系统数字签名实施效果-河科大一附院项目目标结合《电子签名法》与《电子病历基本规范》的要求，采用相关技术与手段，建立医疗管理系统电子认证体系，营造安全、和谐、高效的电子病历等的医疗管理环境。技术背景开发商：重庆中联信息开发环境：VB完成情况完成数字证书服务体系的建设，完成证书的制作和发放。完成电子病历、电子处方、医生工作站、护士工作站、检验系统数字签名的集成。第29页/共34页电子病历系统数字签名实施效果-河科大一附院建设效果-处方发药电子签名医生填写处方单；填写完成处方签名，点击保存时进行数字签名。第30页/共34页电子病历系统数字签名实施效果-河科大一附院建设效果-医生站：医