2005-2008年海宁市某医院门诊信息科信息管理人员张某，根据医生服药数据库中的药物及医疗器械的购置材料、医生药量等信息材料，向药品经销商沈某、方某等售卖“统方”信息，不法盈利14万余元。

2008-2010年1月，杭州市某医院门诊计算机网管理中心办公室主任金某与员工林某，向药物供应商王某等售卖“统方”信息，不法盈利13万余元。

当今，不法“统方”做为药业采购回扣暗链的重要一环，遭受我国、社会发展和新闻媒体的普遍关心。数据库因储存着很多的服药和医疗器械购置信息，历年来是开展不法“统方”的关键方式和总体目标。近些年，例如医药代表与医院门诊信息单位工作人员串通、不法“统方”的案子高发，如何防范从而造成的 *** 信息安全风险性，已变成医疗器械行业信息化基本建设的重点工作之一。

不法“统方”情景剖析

1、医疗行业使用人不法“统方”

HIS等医疗行业，集中化了处方数据分析业务流程、处方查看（医务科），及预约挂号、病史、诊治信息管理 *** 等关键业务流程控制模块，后台管理涉及到医生、药物、使用量、价格、应收款额度等立即或间接性可“统方”信息，假如未对该类作用和数据信息开展严控，将为不法“统方”出示机会：

（1）利用处方数据分析业务流程作用，在HIS中立即“统方”

一些医院门诊的医务科自身就兼顾一切正常“统方”的岗位职责，在一定時间医务科小编必须对医生、药物和使用量信息开展统计分析，以避免医生服药占比过高造成 医生停诊。但现阶段HIS对系统该管理权限的操纵并不严苛，促使一切工作人员、一切時间、一切设备均很有可能乱用“统方”作用。

（2）利用处方查看业务流程作用，在HIS中间接性“统方”

医务科开展处方查看、处方复印实际操作，自身就必须具有查询处方中药物、医生名字、药物总数等重要信息的管理权限。合理合法业务流程实际操作是根据处方序号开展精准查看，仅能回到特殊处方的信息；但假如软件系统的开发设计操纵关不紧，被人为因素伪造查看句子或嵌入按时间段、按医生及药品名称开展批量查询的表格，则可以快速地获得大批量处方信息，并在这个基础上间接性进行“统方”。

2、开发者、维护保养工作人员不法“统方”

诊疗信息系统软件的开发设计和维护保养工作人员把握着系统软件浏览数据库的登录名和动态口令，她们常常必须去医院內部进行日常工作中，彻底能够借此机会立即登陆数据库，结构统方SQL开展不法“统方”；一样，信息科工作人员把握着SYS、SYSTEM等忠实用户，具有浏览全部数据信息的管理权限。因而，没什么业务流程必须的DBA工作人员也可以浏览全部处方数据信息，具有“统方”的更好方式；除此之外，DBA工作人员也可立即查看数据库中的客户密码表，应用具有统方管理权限的运用账号登录到HIS系统软件立即开展不法“统方”。

3、黑客攻击医疗行业不法“统方”

在权益的迫使下， *** 黑客盗取“统方”数据信息的个人行为越来越十分广泛，方式不外乎三种：利用HIS等医疗行业的Web系统漏洞侵入数据库；利用数据库系统漏洞立即侵入数据库；侵入数据库服务器立即盗取数据库文档、备份数据等。

防“统方”难题

现阶段，医疗器械行业并未产生健全的防“统方”解决 *** ，而传统式的 *** 信息安全商品在防“统方”全过程中，又经常碰到下列2个技术要求：

1、没法安全防护

数据库內部实际操作未知，没法根据传统式的安全工器具(如： *** 防火墙、IPS等)来阻拦內部客户的故意实际操作、乱用資源和泄漏医院门诊商业秘密信息等个人行为。

2、财务审计难题

关键数据库曝露在外界HIS系统软件浏览和內部运维管理工作人员的日常实际操作自然环境中。外界故意进攻和运维管理侧的滥用权力实际操作都是会造成 统方信息泄漏，而传统式财务审计商品没法合理追朔软件系统帐户。

真实保证防“统方”

比较普遍的解决方式多是利用数据库本身财务审计造成的日志开展统方剖析，但这类 *** 对数据库的特性危害很大，且剖析工作中繁杂、資源资金投入大，财务审计信息也非常容易被伪造或泄漏。怎样真实保证防“统方”？

传统式的防“统方”商品没法保证对不法“统方”个人行为的阻拦，此外因为统方途径的多元性，传统式的防“统方”商品没法监管独特的不法“统方”情景，例如“奸细”和 *** 黑客串通， *** 黑客根据“合理合法真实身份”进到数据库，拷走处方数据信息后再开展“统方”。因而，避免不法“统方”个人行为的产生，务必寻找新的解决 *** ：

更先，针对必须开展合理合法“统方”工作中的药店管理者/药师的统方个人行为开展隐秘数据遮掩，如遮掩医生序号/名字，使其没法查询或寻找拿药的实际医生；

次之，在运维管理侧对医生名字/序号、药物总数等字段名开展抗过敏，对别的一切不用开展“统方”的护理、运维管理、开发设计测试工程师的“统方”个人行为开展“阻拦 报警”；

最终，针对黑客攻击到数据库执行的“统方”个人行为，对其侵入个人行为开展“阻拦 报警”，并对药物序号、总数等开展数据加密，即便 *** 黑客根据逐层阻拦抵达数据库內部，或跟“奸细”串通以“合理合法真实身份”连接数据库，也没法开展“统方”实际操作，更没法根据对处方数据信息“拖库”的 *** 开展“统方”。

安华金和 *** 信息安全经营服务平台的 *** 信息安全整治解决 ***

安华金和金融业数据标准化等级分类解决 ***

100 数据库系统漏洞再创佳绩，数据信息将栖身哪里？

营运商领域 *** 信息安全合规评定项目实施方案

技术专业的数据库数据加密商品应具有的作用