移动互联网医疗安全风控技术白皮书2021-77页_1mb

移动互联网医疗应用安全风险防控白皮书总结

核心内容

本白皮书主要探讨了移动互联网医疗应用在快速发展过程中所面临的各类安全风险与挑战，并提出了相应的风险防控策略与实践成果。文档内容涵盖了政策驱动、安全风险分析、应对策略及实施成效等方面，为移动互联网医疗应用的安全建设提供了指导。

主要观点

1. 政策推动安全落地
   国家通过“十四五”规划、网络安全法、数据安全法、个人信息保护法等政策法规，推动移动互联网医疗应用在安全可控的前提下发展。这些政策对移动应用的合规性、数据安全、个人信息保护等提出了明确要求。

2. 安全风险日益突出
   移动互联网医疗应用面临的数据泄露、技术滥用、越权访问等安全问题不断加剧。攻击方式从网络层扩展至数据层和业务层，威胁用户隐私和医疗数据安全。

3. 风险防控体系构建
   为应对安全挑战，提出了构建政府监管、行业自律、机构自治的三重安全防线，并完善安全风控标准体系、安全风险防控技术体系等，以实现对移动互联网医疗应用的全生命周期安全防护。

4. 安全意识与技术手段不足
   移动互联网医疗应用在开发、测试、发布、运行等环节存在安全意识薄弱、技术手段不足的问题，导致安全风险难以控制。

5. 行业标准与生态建设
   移动互联网医疗安全风控联盟的成立，为推动安全标准制定、风险防控平台建设、行业生态构建提供了重要支撑。

关键信息

一、政策驱动

• 《十四五规划》：强调数字化服务普惠医疗，提升群众获得感，推动“互联网+医疗健康”发展。
• 网络安全法、数据安全法、个人信息保护法：为移动互联网医疗应用提供了法律框架，明确数据安全、隐私保护等要求。
• “放管服”政策：推动移动互联网应用的备案、监测与合规管理。

二、安全风险与挑战

• 敏感数据泄露：数据碎片化、分散化导致泄露途径多样化，存在程序漏洞、明文传输、未授权访问等风险。
• 技术滥用：如“薅羊毛”、非法收集个人信息、算法歧视、AI杀熟等现象频发，威胁用户权益。
• 越权访问：移动应用频繁出现非法使用权限、未授权访问等行为，造成用户隐私泄露。
• 抗攻击能力薄弱：移动应用易受逆向工程、盗版篡改、恶意代码植入等攻击，影响系统安全。

三、应对策略

1. 加强安全风控顶层设计
   构建“政府监管、行业自律、机构自治”三位一体的安全体系，完善标准规范和监管机制。

2. 构建安全风险防控体系

   • 建立完善的移动互联网医疗应用安全风险管理体系，明确各方职责。
   • 构建统一的移动互联网医疗应用安全防控技术体系，包括采集、检测、分析、评估等环节。

3. 持续优化安全技术标准
   推动安全风险监测指标体系、评价模型等标准的制定，以满足国家和行业监管要求。

4. 构建新技术防范滥用机制
   针对云计算、大数据、人工智能、物联网等新技术在医疗领域的应用，提出防范滥用的措施，确保安全可控发展。

四、应对成效

1. 成立联盟，建立安全数字生态
   由多家机构联合发起的移动互联网医疗安全风控联盟，推动了安全标准、技术平台、风险监测等工作的落地。

2. 初步形成风控管理机制
   建立了“事前检测、事中监测、事后追溯”的闭环管理机制，提升了安全防护能力。

3. 安全风控平台建设
   研发并上线“移动互联网医疗安全风险防控监测平台”，实现对App、微信公众号、小程序等的自动化、在线、实时监测，提高了风险识别与预警能力。

4. 推动行业政策落地

   • 互联网医疗健康服务应用软件接入电子健康卡专项治理工作，规范接入管理。
   • 北京地区医疗机构互联网便民惠民移动应用测评工作，提升应用合规性与安全性。

附录内容概览

附录A：新技术在医疗应用中的关键技术及潜在安全风险

附录B：安全风控探索实践

1. 互联网医院+风控

   • 应用场景：提供全流程诊疗服务，包括诊前、诊中、诊后。
   • 安全风险：身份认证不强、诊疗数据泄露、移动应用控制不足。
   • 解决方案：通过风控模块对移动应用进行安全评估和整改，提升应用安全性和合规性。

2. 电子健康卡+风控

   • 应用场景：作为居民健康唯一标识，用于诊疗过程中的信息追溯。
   • 安全风险：仿冒应用、合规性不足、代码安全风险。
   • 解决方案：风控模块与电子健康卡系统深度集成，实现安全状态同步与风险熔断机制。

3. 惠民健康（多码融合）+风控

   • 应用场景：集成多种健康服务，包括签约、预约、智能导诊等。
   • 安全风险：系统脆弱性、用户身份认证问题。
   • 解决方案：通过风控模块对移动应用进行事中与事后监测，保障服务合规性与安全性。

总结

移动互联网医疗应用在推动医疗服务创新的同时，也面临日益复杂的安全挑战。通过政策引导、标准制定、技术优化和生态建设，行业逐步构建起较为完善的风控体系。联盟的成立和安全风控平台的上线，为行业安全治理提供了有效支撑，同时推动了安全意识与技术手段的提升。未来，仍需进一步完善标准体系、加强监管执行、提升安全防护能力，以保障移动互联网医疗应用的安全、合规与可持续发展。