黄昊：和乙方聊聊数据安全

我关注数据安全，是因为这事太重要，得反复念叨。

有时候就算你反复念叨，也还是会出纰漏。

今天我想和乙方聊聊数据安全，这篇文章的读者定位是乙方的朋友，是那种致力于把事情做好的乙方，而不是招摇撞骗的“PPT高手”。

为啥定位是乙方呢，因为相较于甲方（医院）来说，乙方更不在意数据安全。但甲方数据安全的承担人，很多时候往往是乙方的人和系统，但无论是网络安全等保制度还是关键设施保护制度，都是针对甲方的要求，甲方的责任。

站在乙方角度，你会说，我又不是网络安全或者数据安全的服务公司，就是给你们提供IT服务的，你家的安全也要算我头上，过分了。

可是你这么想呢，你新房装的防盗门，质量不过关，很容易就被小偷给撬了，家里财产损失殆尽，这搁谁都要和防盗门厂家去说道说道吧。

同样道理，因为乙方提供的软件系统、信息服务导致了数据安全事件发生，当然乙方需要承担责任了，所以这么一比喻，就知道不过分吧，接下来咱们慢慢聊聊数据安全。

说到数据安全，现在都强调的数据全生命周期管理，强调在数据采集、传输、存储、分析、应用、销毁的各个环节的安全。确保数据在完整性、一致性、机密性上的协调一致。那么我就从这各个环节以及乙方的各个角色所面临的境况说起。

近日，国家医疗保障局发布《关于加强网络安全和数据保护工作的指导意见》，明确强调了在医疗保障信息化建设中加强数据安全保护，有效实施数据全生命周期安全管理，建立全面的安全审批制度，落实数据分级分类以及重要数据保护目录，完善数据安全评估机制，夯实医疗保障信息化发展的安全底线。

看吧，上级要求也是同样的味道。

多数医疗机构的信息系统都是采购自乙方，系统如何运行，数据怎样产生，其实在购买前，都由乙方的软件开发人员设定好了。如果我们在数据录入时，没有进行合理的约束。那第一个关口就会出问题。因此，开发人员的数据安全意识就决定了软件系统的安全水准。

我在面试过十多名软件开发人员后，最大的感触就是，无论技术水平怎样，他们在数据安全层面的认知基本上是小白水平。大家甚至对《网络安全法》、《数据安全法》、《个人信息保护法》一无所知。在医疗信息化这个细分领域，数据背后是一个个鲜活的生命，作为开发人员应该怀有敬畏之心，了解和学习法律知识对我们做开发工作是有益的。

对于架构师而言，在设计一个系统时，应该将数据安全作为一个重要组成部分纳入整体设计。体系架构上是否有安全考虑，说明一个产品从骨架上、结构上是否融入了安全思维。借助一句安全行业的术语，只有架构设计时加入了数据安全的考量，系统才具有“内生安全”。如同生命在孕育过程中所不断发育完善的免疫系统一样，内生的安全考量可以将很多的安全问题杜绝掉。因此我们在做应用开发时，需要内生考虑安全上如何设置。而不是完全依赖安全产品。

这一点在当前云服务模式下，尤其显得重要。曾经就有一家提供云服务的科技公司，某一天突然发现整个系统都不能用了，已经发展起来的几千家客户的数据也灰飞烟灭了。这种灭顶之灾的打击不仅对乙方，对甲方都是毁灭性的。

现在都说软件即服务，云服务甚至都不用购买软件了，只需要购买服务。这时候最有价值的资产就是数据了，要是数据丢了，那还是说明你提供的服务不完善，客户也会向你追讨损失。

十三届全国人大常委会第三十次会议8月20日表决通过《中华人民共和国个人信息保护法》，自2021年11月1日起施行。

其中明确：

（1）通过自动化决策方式向个人进行信息推送、商业营销，应提供不针对其个人特征的选项或提供便捷的拒绝方式；

（2）处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息，应取得个人的单独同意；

（3）对违法处理个人信息的应用程序，责令暂停或者终止提供服务。

这些法律要求，都需要在系统架构设计上给予实现，而且对于14岁以下儿童的数据收集还需要征得监护人同意。

大数据工程师，人工智能工程师，这一类岗位在做模型设计和数据分析时，需要用到大量数据，大家应该秉承“留下一片风景，带走每片垃圾”的生活常识，使用数据前做好脱敏、加密处理。网络世界从来不是法外之地，当然也从来不是风平浪静的港湾，我们应有必要的安全意识。对于公有云模式的服务应该这样，对于私有云服务类也不能掉以轻心，有统计表明，内网安全威胁事件的发生概率更大。避免网络被入侵，造成数据泄露。

不管您是青铜、白银还是黄金段位的运维工程师，作为运维工程师一定要知敬畏，守底线，明法理，懂规矩。

运维人员因为接触的总是系统，是数据，有时候会导致态度冰冷生硬，只见机器不见人，只见问题不见业务的态度和做法，会极大伤害客户，损害公司利益。同时运维人员又是处于公司鄙视链最低端，经常不受待见，所以，删库跑路的事情也就时常发生了。但是，请切记，删库一时爽，坐牢得几年，千万不要头脑发热。有能力、有实力你大可跳槽，触犯刑法的事情那千万做不得。

运维安全、安全运维除了制订必要的制度，使用合适的技术措施外，人员运维管理是数据安全重要因素。再完备的制度，再先进的安全设备如果没有人去认真执行，那就是漏洞百出，千疮百孔，出事是早晚的。

说起来运维工程师并不需要多么高深的数据安全技术，比如弱口令、违规使用移动介质、违规外联、不加管控的远程运维等等这些看似方便自己的行为，都是数据安全的大忌。

社会工程学就是依据你的习惯、社会属性等信息去攻破系统的，反过来说，要想数据安全，肯定就得反其道行之，大家必然有种种规矩要去遵守，不会那么舒服，带来的好处就是小心驶得万年船。

老板这个职业，其实蛮辛苦，尤其是搞HIT的老板，很多都是有梦想的人，也在某个领域做出了一份成就，当老板更多的是一种境界，一种情怀，还是让我非常敬佩的。

曾经在展会上看到某HIT企业老板，白发苍苍还在编程；也遇到过某个吃小面的老板，为自己的新想法实现而得意洋洋；更多是需要扛下所有的压力，所有的责任，无论是你自己造成的，还是工程师捅的窟窿；运气再差点，遇到删库走人的主，才叫你欲哭无泪。

作为一名老板，不仅是说想着给手下的工程师找饭碗，靠工程师挣钱，更要约束好你手下的工程师。如果你都不重视数据安全，那手下就更不可能有这种意识，也不会去思考如何更安全。毕竟这会增加他们更多工作量。

有的老板，可能还动着歪心思。现在不是大数据时代吗？拥有数据就拥有了金山银山。以前挺得意的，我们手头有很多医院的数据，那就是手握金矿。可是你敢私下拿出来变现吗？没准你手下变现了，追溯到你这里，你还负有不可推卸的责任。

法律上怎么说的，这里表述下：

《数据安全法》规定开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。

违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。

思想意识上是否有安全思维（合规使用数据，这里不仅有国家的法律法规，还有行业规范，具体到某一单位的规章制度）决定了组织架构上是否有安全管控能力，这既有代码安全、也有质量要求：通过ISO2007的认证，说明你是有体系的思考安全工作；取得CMMI认证，说明你公司在代码管理是规范的；再不济怎么也得有个ISO9000的质量认证吧。不然你从事医疗信息化，那真是乱劈柴了，功能再说的天花乱坠我也不敢用。

当然最后再嘱咐咱甲方信息科一句，加强对乙方的管理和约束才能将数据安全落到实处，这靠的可不仅仅是管理能力，更有咱甲方自己的技术辨别力。