锦州医疗机构做数据安全，病历权限要分级

锦州一家做医疗信息系统的企业上周来问，病历数据加密了就安全了吗？我的答案是：加密只是一层，权限才是关键。所有人都能看所有病历，加不加密都一样。谁该看什么，先分清楚，安全才有基础。锦州主城区跨小凌河两岸，古塔区和凌河区隔河相望。锦州医科大学附属第一医院，是辽西地区规模较大的三甲医院。

权限要按岗位分

不同岗位需要的病历范围完全不同。医生只看自己接诊的，护士看当班的，收费只看费用部分。范围划清楚，泄露的风险就下来了。真排的时候，我们会先把岗位和权限列成一张表。锦州这边不少机构是一个账号大家用，这种最危险。分清楚，出了事也查得到源头。

权限还要能临时开个口子。会诊、代班这类情况需要临时看到别人的病历。这块我们一般做成到期自动收回。太和区有一家机构原来靠借账号解决，风险很大。授权记录也要留，谁批的、给谁、多久，都写清楚。留了记录，就不用再借号了。

操作要留痕

谁在什么时候看了哪份病历，要能查。查看、修改、导出这 3 类动作都该留下记录。实际做的时候，我们会把这些动作分开记。义县有一家机构就是靠记录，查清过一次信息外传的疑问。这些记录建议保留 1 年以上，方便回溯。留痕平时用不上，用上就是关键证据。

导出要严格控制

导出是最容易出问题的动作。能一次性导出全院病历的账号，不该存在。我们一般这么办，会限制导出的条数和范围。超过一定数量需要审批，一般设 2 级。锦州这边医疗机构规模不一，导出需求却都有。把口子收窄，风险就小。

常见问题

病历数据要加密吗

要。存储和传输都要加密，但加密只是基础，权限管理同样重要。

能查谁看过病历吗

可以。查看、修改、导出都有独立记录，能按时间或按人检索。

系统需要过等保吗

看机构性质和数据规模，公立机构一般有要求，社会办医按当地规定执行。

锦州的医疗机构做数据安全，先把权限分清楚，再把留痕做起来。该看的看得到，不该看的看不到。你把现在有多少个岗位、病历怎么管说个大概。这些事信服无限锦州常年在做，你先把现状说清楚，方案就好定。