《数据安全治理白皮书6.0》卫生健康行业实践——分类分级、评估、场景化治理的思路和实践

数据分类分级是数据安全基础制度，2023年，国家卫生健康委员会等三部门印发了《卫生健康行业数据分类分级指南（试行）》，主要从规模维度，将数据分为核心、重要、一般三个级别，有利于对数据资源制定风险管控要求和策略。

在实践中，业务环境中敏感信息的颗粒度会到数据项，敏感信息监测和防护的颗粒度也是数据项，数据分类分级需要面向敏感信息使用的最小单位，即数据项，从而满足敏感信息使用和监测防护的需求；另外，在业务环境中经常会有多个数据项组合后使用的情况，多个数据项组合后，它的业务含义会更加丰富，蕴含的信息量也会变大，判断数据项组合后的安全级别更加重要，对于多数据项组合后的级别判定，不能简单按照“单项最高级别”判断，需要结合各个数据项的内容综合考虑。

例如，在医院的科研和教学场景中，我们通常会把患者的可识别信息（病理、诊疗、用药、术后康复等数据项）脱敏处理，即使某一个数据项的安全级别很高，在这些数据项组合后，如果可以确保依然不能识别具体患者，那么该组合则不会被定义为最高安全级别，以便科研教学使用；相反，如果这些数据项与可识别个人信息的数据项进行组合，组合后的安全级别提升了，则相应的管控、防护要求需要同步提升，以免敏感信息泄漏后对患者造成影响。因此，我们通过敏感信息内容和算法处理，对多数据项组合后的级别进行判定，使得敏感信息的管控和监测完全符合实际使用场景的需要。

卫生健康行业中，大量机构涉及收集、处理个人信息，这就需要履行个人信息保护的义务。从数据分类分级的角度，建议在开展数据资源梳理、分类分级时对个人信息、敏感个人信息进行标注，后续开展个人信息安全影响评估、个人信息保护合规审计等工作都要围绕个人信息，个人信息的梳理和分类分级是这些工作的基础。

从“宏观”视角管控核心、重要、一般数据，从“微观”视角对敏感信息进行分级管控，二者相互补充，能够有效落实卫生健康行业对数据进行分类分级和分级管控的要求。

《数据安全治理白皮书6.0》卫生健康行业实践篇给出了卫生健康数据具体的分类分级方法，以及数据脱敏降级处理的方法参考。

数据安全评估需要参考相关的国家、行业标准，在各类型的评估标准中，基本都涵盖数据安全管理、数据安全技术、数据处理活动安全、个人信息保护几个方面。实践中需要评估人员基于被评估单位的业务属性和应用系统逻辑，把标准中的内容落地到实际中加以应用。

在卫生健康行业的数据安全评估工作中，法律和行政法规要求的“红线”是基线，还需要结合行业规范要求，并考虑机构性质和实际用数场景，量体裁衣制定合适的评估方案。

数据安全评估框架

卫生健康行业具有其特殊性，尤其是个人信息，具有很强的社会属性和公共属性,涉及个人、企业、社会公众三类主体。在评估中，既要关注机构是否履行个人信息保护义务，是否有合适的措施保护个人隐私、防止个人信息泄漏、滥用等行为；又不能教条看待个人权利，需要依据机构的属性和社会责任，区分对待个人是否具有个人信息的所有权、支配权、删除权等。

数据安全管理评估中，侧重于机构是否具有完善的数据安全管理体系，包括安全策略、组织机构、管理制度、操作流程和培训计划等，即管理体系“有没有、全不全”的问题；另一方面，还需要关注这些管理要求如何向机构的各个部门、业务线条进行传递，即关注管理体系“是否有效、好不好”的问题，避免机构制定的一系列规章制度和管理要求形同虚设。

数据安全技术评估中，并不要求技术措施面面俱到，也不追求把所有的数据安全技术风险全部消除，而是要能够及时识别、监控和管控风险，把高风险降为低风险，使数据安全保护水平与技术投入成本达到一个平衡点。在实践中，机构是否具有常见的技术措施，数据安全技术工具的配置、使用、更新和维护是重点评估的内容。

《数据安全治理白皮书6.0》卫生健康行业实践篇给出了行业开展数据安全评估的框架、方法和指标参考。

数据安全治理的行业属性十分突出，因为数据是在特定行业业务背景下产生的，反映了该行业领域的业务特点。“场景化业务应用”作为推进数字化变革的重要应用载体，在不同行业由于业务应用模式不同、数据特性和数据价值差异，导致其面临的数据安全威胁和行业监管要求差异化也非常大，同时，由于不同行业组织的信息化发展水平的不同，数据安全治理需求也各有特点，无法使用通用的手段进行治理，需要运用场景化思路，充分考虑行业的业务流程、数据类型、数据流向、数据规模以及可能面临的安全威胁，确定数据安全治理的重点和难点，有的放矢，实施差异化的安全防护措施。

在数据安全管理要求向下传导的过程中，针对数据使用场景，可以设计相应的数据使用流程、审批流程、以及针对该场景的管理规范；通过针对性的技术方案设计，可将该场景中的数据保护、风险监测等要求，通过技术工具实现，数据安全技术的运用将更有针对性；针对用数人员，可以根据使用人的业务角色，授予相应的应用系统权限、管控其接触数据的类型、规模、级别等。

医院数据安全治理框架

卫生健康部门数据安全治理框架

场景化的数据安全治理，能更好地落地数据安全要求，融合数据使用的流程规范、数据安全保护技术措施、人员数据安全意识培养等多方面内容，构建出既高效又安全的数据使用环境。

《数据安全治理白皮书6.0》卫生健康行业实践篇整理了医疗机构、卫生健康部门典型的业务场景，针对性地提出了管控建议和方案。