¼¼Êõ°×ƤÊé 移动互联网医疗安全风控 白皮书 （2020年） 中国软件评测中心·软件与信息系统测评工程技术中心 2020年9月 序 言 国家高度重视“互联网 +医疗健康”工作，近年来出台了一系 列政策推动其发展。移动互联网医疗的出现，提升了患者就诊方 便性和就医及时性。移动互联网医疗通过移动终端或互联网提供医疗健康服务，由于移动终端应用安全保障机制和系统纵深防御 不足，导致其面临新的安全风险挑战。 本白皮书通过分析移动互联网医疗安全风险现状及成因，结 合实际应用，提出建立针对移动互联网医疗应用的安全风险监控 技术模型和管理机制。倡议成立安全风控联盟，形成政府监管、行业自律、机构自治的三重安全防线。 本白皮书由中国软件评测中心医疗测评实验室撰写 ，参与人 员包括孟晓、赵亮、徐鹏、黄晓培、 张春芳、李真、杨令宜 、李 佳奇，在此特别感谢中心品牌宣传推广部刘喜喜、闫晓丽的编辑及排版支持。限于研究时间有限，领域方兴未艾，报告内容难免存在纰漏，不足之处恳请各方同仁批评指正！ 中国软件评测中心 2020年9月1日 版权声明 本白皮书版权属于中国软件评测中心， 并受法律保护， 转载、 摘编或利用其他方式使用本白皮书文字或观点的， 应注明 “来源： 中国软件评测中心” ，违反上述说明的，本单位将追究其相关法律 责任。 指导组：黄子河 安 晖 刘龙庚 陈渌萍 黄江平 编写组：孟 晓 赵 亮 徐 鹏 黄晓培 张春芳 李 真 杨令宜 李佳奇 目 录 前 言 ........................................................................................................ - 1 - 一、 移动互联网医疗四类安全风险日渐严峻 .................................... - 2 - （一） 系统安全风险日益增加 ..................................................... - 2 - （二） 应用渠道安全风险不可忽视 ............................................. - 4 - （三） 违法违规收集使用个人信息问题日益凸显 .................... - 5 - （四） 数据泄露事件频发，影响程度加剧 ................................. - 5 - 二、 移动互联网医疗安全风险成因分析 ............................................ - 7 - （一） 移动互联网医疗系统安全纵深防御体系不健全 ............ - 7 - （二） 移动客户端应用渠道安全监测力度不够 ........................ - 9 - （三） “认证 -授权 -审计 ”安全机制薄弱 ................................ .......... - 10 - （四） 医疗健康数据生命周期安全保护机制和措施不足 ....... - 11 - （五） 行业层面缺乏风险监控管理手段 ................................... - 12 - 三、 移动互联网医疗安全风险应对思路 .......................................... - 13 - （一） 打造政府监管、行业自律、机构自治的三重安全防线 . - 13 - （二） 构建技术模型和管理机制相结合的安全风险监控管理体系 - 14 - 四、 风险监控技术模型 ...................................................................... - 16 - （一） 移动互联网应用安全风控平台技术框架 ...................... - 16 - （二） 移动互联网医疗应用风控平台监测内容 ...................... - 18 - 五、 风险监控管理机制 ...................................................................... - 20 - （一） 建立事前备案、事中监测、事后追溯的闭环管理流程 . - 20 - （二） 建立移动互联网医疗应用安全风险评价及处置机制 .. - 21 - （三） 建立移动互联网医疗应用安全风险事件通报机制 ...... - 23 - 六、 思考和建议 .................................................................................. - 24 -