基於《醫療保健中的信息技術治理、風險與合規 (第二版) 進行解讀並作此篇，特別感謝王安宇老師的悉心指導。
還有好友繁殖哥和 Steve 的幫助
本文投稿至：https://mp.weixin.qq.com/s/ulk8I5NqN3bU6Gcl3igw2Q
隨著醫療行業的迅猛發展，雲計算、人工智能（AI）、區塊鏈和物聯網（IoT）等新興技術正在推動行業發生深刻變革。這些技術在提升醫療服務質量與效率的同時，也伴隨著數據安全、合規性和風險管理方面的新挑戰。醫療保健機構（HDO）在充分利用這些技術時，必須確保數據的安全性與合規性，這使得建立和優化治理、風險管理與合規性（GRC）框架變得至關重要。
為幫助醫療保健行業深入理解並有效應對這些風險，雲安全聯盟大中華區發布了《醫療保健中的信息技術治理、風險與合規 (第二版)》報告。該報告重點強調了在雲計算環境下設計健全的 GRC 框架的必要性，並深入探討了人工智能等新興技術在 GRC 中的應用，揭示了這些技術帶來的機遇與挑戰。通過對全球和本地法規的詳細解讀，報告為醫療保健機構提供符合合規要求的策略建議，確保組織在保障安全的同時，最大限度地利用技術創新帶來的優勢。
報告指出，醫療保健機構（HDO）使用雲服務的情況正變得越來越普遍化，但向雲端的遷移卻帶來了挑戰。其中一個主要挑戰是在雲中建立治理、風險與合規（GRC），這需要重新定義業務和技術的流程，並依賴第三方提供商。為了確保醫療保健機構能夠從雲計算中獲益，設計並實施一個穩健的雲 GRC 計劃非常重要，該計劃能夠解決這些挑戰，並確保符合行業法規和標準。
新興技術對醫療行業的影響#
區塊鏈、物聯網（IoT）、人工智能和高級分析等新興技術在醫療保健領域的迅速採用，為 GRC 框架帶來了新的挑戰和機遇。這些技術可以幫助簡化流程、增強數據完整性並改善患者狀況的結果，但它們也在合規性和安全管理方面帶來了複雜性。在 GRC 框架內解決這些技術問題，可確保它們符合醫療保健標準和法規，同時增強網絡安全措施。
雲計算使醫療機構能夠高效管理和存儲大量醫療數據，實現跨地域的無縫共享和協作，改善患者體驗。然而，雲計算也引發了新的數據隱私和安全管理挑戰，尤其是在多租戶環境和共享責任模型下，數據安全成為首要任務。
人工智能 AI 為醫療行業帶來了新的活力，從疾病預測到精準醫療，AI 系統能夠處理和分析大量複雜的醫療數據，幫助醫生做出更準確的決策。但 AI 系統的安全性、數據質量和算法倫理問題也引發了廣泛關注，GRC 體系的作用因此更加突出。
IoT 技術通過連接各種醫療設備和傳感器，提升了患者護理質量。然而，IoT 設備的廣泛連接也帶來了新的安全漏洞，這些漏洞可能直接威脅患者安全。
治理#
由於雲計算與本地數據中心相反的獨特特性，醫療保健機構需要重新思考如何實現 IT 治理。醫療保健機構必須實施並維護一個治理生命周期來計劃、定義、實施和監視治理。醫療保健機構必須考慮他們如何管理一個責任共擔模型和多租戶環境。此外，儘管一個醫療保健機構可能有雲優先策略，但至少在最初，他們將處於混合雲環境中。在醫療保健領域中，有效的 IT 治理確保技術投資與組織目標一致，資源高效分配，決策過程透明且負責。這包括為 IT 系統和人員建立策略、程序和標準。
基於雲的架構和業務運營比傳統的本地數據中心架構更加多樣化和複雜，因此依靠用於本地數據中心環境的相同策略和工具將不能確保在雲上取得成功。雲治理是基於風險和標準框架的醫療保健機構的策略和標準的集合。根據信息系統審計和控制協會（ISACA）的說法，雲環境中的治理有助於實現使用雲計算服務所帶來的好處，同時最小化風險，優化投資，並確保對法律監管要求的合規。
通過創建雲治理模型，醫療保健機構可以避免許多雲優先戰略的陷阱。將雲計算引入醫療保健機構會影響角色、職責、流程和度量標準。沒有治理來提供標準和指導方針以應對風險，並有效地採購和運營雲服務，醫療保健機構可能會發現自己面臨一些常見問題：
-
與企業目標不一致
-
頻繁的策略例外評審
-
項目停滯
-
合規或監管的處罰或失敗
-
數據治理與管理
-
預算超支
-
不完全的風險評估
根據面向服務架構（SOA）框架，雲治理生命周期由四個階段組成：
-
計劃（Plan）
-
定義（Define）
-
實施（Implement）
-
監視（Monitor）
風險#
雲風險管理是在雲關係的整個生命周期中識別、評估和控制在現代混合雲環境中的風險的過程。由於採用了不同類型的雲（IaaS、PaaS、SaaS），並且缺乏對 CSP 提供的服務和環境的可見性，責任共擔模型下的風險管理是複雜的，這也是第三方風險管理（TPRM）的一部分。風險評估也可能因雲部署的形式不同而有所不同 —— 私有雲、公有雲或混合雲。
識別風險是風險管理的基礎活動；如果醫療保健機構未能識別風險，它將難以成功管理其風險。醫療保健機構必須確保他們能夠及時識別風險，然後將其傳達給適當的利益相關者。
風險識別中的重要活動包括以下幾點：
-
為風險建立分類。考慮威脅情況的一種常見方式是識別風險 / 威脅的來源。這種方法有助於將具有常見特徵、戰術和趨勢的風險分類。
-
為依賴科技和信息資產的運營活動識別風險來源。評審醫療保健機構在負面運營事件方面的歷史經歷，可以是識別風險來源的良好第一步。醫療保健機構可以從這個列表開始，然後根據其風險管理活動的範圍和獨特的運營環境進行定制。
-
在組織並記錄已識別操作風險信息的風險登記冊或其他跟蹤機制中記錄識別的風險。醫療保健機構的風險管理戰略必須將運營活動和流程按優先級排序，來區分出那些已經被管理的和那些較不重要的，需要較低關注水平的活動和流程。
-
建立一個與您的技術組織熟悉的工作方式相一致的報告機制。
合規#
雲合規性指的是旨在保護和規範存儲在雲平台上的信息的準則、法律和法規。對於醫療保健機構，這指的是涵蓋安全性和隱私性的法規和法律。這包括數據如何存儲、保護和使用。無論是個人身份信息（PII）、個人健康信息（PHI）還是支付卡行業（PCI）數據，都必須得到保護。
雲合規性是確保使用雲服務滿足合規要求的過程。當醫療保健機構使用雲計算時，他們並沒有將合規責任外包給雲服務提供商（CSP）。監管機構和客戶仍然可以追究他們的責任，因為醫療保健機構對遵守法律法規、監管和合同義務負有責任。
醫療保健機構通常依賴第三方供應商和服務提供商提供各種 IT 服務。評估第三方供應商的安全態勢、對其安全實踐進行盡職調查，並建立明確安全責任和合規要求的合同協議至關重要。
實施有效的雲合規政策對於組織確保其雲環境的安全性和符合法規至關重要。醫療保健機構應建立與行業法規和其特定業務需求相一致的明確合規目標。通過進行全面的風險評估，醫療保健機構可以識別潛在的安全風險和合規漏洞。制定明確且有文檔記錄的政策和程序至關重要。這些政策應涵蓋訪問控制、加密、數據處理、事件響應與管理、變更管理、漏洞管理以及數據洩露通知。對雲環境的持續監控有助於及時識別和糾正不合規問題或安全事件。
構建雲與 AI 時代的醫療 GRC#
在雲計算與人工智能（AI）快速發展的今天，醫療保健組織面臨著前所未有的技術挑戰，必須重構其治理、風險管理與合規性（GRC）框架，以適應這一新興技術環境的複雜需求。雲計算帶來了高度複雜的業務運營模式，要求醫療機構對現有的 GRC 框架進行全面的調整與優化。
數據分類與管理
在雲環境中，數據管理更加複雜，因為數據存儲和處理可能分布在多個地域和平台上。醫療機構必須對數據進行分類，明確數據敏感性級別，制定相應的訪問控制和保護措施。確保數據分類準確性和一致性，有助於降低數據洩露風險，符合相關法規要求。
明確的角色與責任分配
醫療保健機構在雲計算中應對治理與合規挑戰的同時，AI 技術的應用進一步加劇了責任劃分的複雜性。隨著 AI 大模型和生成式 AI 技術在醫療領域的廣泛應用，醫療保健機構不僅需要承擔數據保護和隱私合規的責任，還需對 AI 系統的安全性、數據質量和算法的準確性負責。醫療機構必須確保 AI 應用的每個環節，包括數據輸入、處理、分析以及最終決策的輸出，均符合安全和合規要求，避免算法偏差和數據隱私洩露帶來的風險。
與此同時，雲服務提供商承擔的是基礎設施安全和數據存儲合規性等方面的責任，包括保障雲平台的安全性、穩定性，以及在多租戶環境下的合規性管理。兩者之間的責任邊界必須清晰劃分，以確保雲計算和 AI 系統的有效整合和協作。
制定和實施雲治理政策和標準
醫療機構應在雲計算與 AI 環境下建立全新的治理政策，涵蓋雲服務的採購、配置、訪問管理以及變更控制等方面。借助雲安全控制矩陣（CCM）等框架，醫療機構能夠全面評估並管理雲與 AI 融合下的安全風險，確保合規性和數據安全。
持續監控和審計
由於技術與法規要求不斷變化，醫療機構需要定期審查並更新其 GRC 框架，以應對最新的風險與合規需求。通過實施雲安全態勢管理（CSPM）解決方案，醫療機構能夠實時監控雲與 AI 環境中的安全配置，及時修復潛在漏洞，從而提升 GRC 框架的整體有效性。
培訓與意識提升
所有相關人員，包括 IT 團隊、管理層和業務用戶，都需要理解和遵循新的治理政策和安全標準。通過定期培訓和意識提升，確保每個成員熟悉其在 GRC 框架中的角色與責任，並能在日常操作中有效執行相關策略。
構建適應雲與 AI 融合時代的醫療 GRC 框架，要求醫療保健組織從數據管理、責任分配、政策制定、持續監控與人員培訓等多個方面進行系統化管理。通過這種全方位的管理，醫療機構能夠在享受雲與 AI 技術帶來效率和創新的同時，保障數據安全與合規性。
此外，隨著醫療行業邁入 “數字智能時代”，GRC 框架也需要進一步涵蓋 AI 在醫療數據處理與醫療服務中的應用。通過合理應用 AI 技術，醫療保健機構能夠提升醫療服務的精準性和普及性，同時確保患者隱私得到有效保護，保障數據安全。
結語#
治理、風險和合規（GRC）是一套幫助醫療保健機構結構化其治理、風險管理和監管合規方法的流程、實踐、框架和技術。其目標是統一和協調組織的風險管理和監管合規工作。一個精心規劃的 GRC 策略可以幫助醫療保健機構實現多個好處。在採用雲計算時，醫療保健機構必須認真識別其安全需求，評估服務提供商的安全和隱私控制，並理解共享責任和合規責任的傳遞。通過深入理解合規要求和進行全面的風險評估，醫療保健機構可以為安全和合規的雲適應奠定基礎。GRC 可以幫助將績效活動與業務目標對齊，管理企業風險，並滿足合規法規，確保醫療服務環境的安全和保障。