【独家】降低云计算风险的6大秘笈

Stanton Jones

由于速度的需要，医生将会使用云

【HC3i独家翻译】很多医护人员对使用云感到紧张，但是他们的这种情绪可能很快会发生变化。信息服务集团(ISG)新兴技术分析员Stanton Jones表示，企业一旦使用云，他们的发展速度就会越来越快。Jones之前曾担任过首席信息官。“人们并不是对云本身感到恐惧，”他表示，“他们真正的顾虑是，数据在哪里存放?谁访问了数据?能不能找回数据?”

Jones表示，医护人员可能迟早要克服这种恐惧心理。“人们使用云的原因不再是为了降低成本，而是为了提高速度。”

David McCament

“一般来说，人们由于安全问题常常不愿采用云，”信息服务集团医疗顶点总监David McCament表示，“医疗行业对信息技术和信息技术部门诚惶诚恐，原因是(医护人员)并不熟悉信息技术。”

多年来，金融服务行业“比较安全地”移动了云中的数据。McCament表示：“但是医疗行业却动作缓慢，因为医疗行业的信息更为隐私。”在准确及时分享医疗信息问题上，医护人员面临着更大的挑战。他表示：“数据攸关人们的生死。”

医疗行业使用云的状况会慢慢发生改变，好比蚂蚁搬家一样。从一些医疗信息技术网站最近开展的一项调查发现，48%的受访者正计划将云计算纳入自己的医疗信息技术工作计划，33%的人已经采取了行动。然而，ID Experts总裁及创始人Rick Kam指出，19%的人对此的回答是否定的，他们最害怕的其中一个原因是云的安全问题。

很多大型医疗系统和付款人已经解决了这个问题。一些机构已经花费了数十亿美元。然而，他表示，对于小型医疗机构而言，很难让他们对医疗信息技术进行巨额投资。

“患者体验是一个真正的趋势，能够对医疗市场产生影响，”McCament表示，“指出病人的预后情况将变得更为重要。患者体验是造成(云)使用的决定因素。越来越多的医护人员会接受云来改善病人的体验。”

　　降低云计算风险的六大秘笈“云计算给那些需要保护‘受保护的健康信息(protected health information，PHI)’的医疗机构、医生和实体带来了巨大的风险，”Kam表示，“根据联邦医疗信息电子化系统和健康保险流通与责任法案的规定，医疗实体必须对云中“受保护的信息”的安全性负责，而医疗实体本身几乎无法控制数据的移动、处理和保存，甚至根本无法控制。”

　　Kam概括了可以降低云计算风险的六大秘笈。

　　1、让业务伙伴签订协议。Kam指出，协定涵盖的实体应该认真阅读云提供商的服务水平协议(SLA)条款，充分了解自己的责任和风险，并为“承担”风险做好准备。“证实云管理者、存储产品供应商和应用程序开发员中谁对数据泄露问题负责。”

　　2、限制用户访问。Kam指出，协议覆盖的较大的实体可以通过私有云来消除风险。“他们可以仅通过限制机构及业务伙伴等分支机构的访问就能消除风险，”他说，“协议覆盖的小实体只能听从云提供商提供的摆布了。”

　　3、研究应用程序。Kam指出，当提到安全性的问题时，云水平应用程序会带来问题。不仅如此，联邦法律要求应该把对“受保护的健康信息”的访问控制、限制到最少的数据段。“这就意味着访问仅限于授权用户或已验证用户，信息技术人员可以登录并检查所有的访问情况，”他说，“然而，这是应用程序本身的一个功能，并不是所有的程序设计能够满足这种安全需要。”除此之外，他指出，另外一个问题是应用程序的互操作性问题，各个程序间无法安全顺利地实现数据移动，容易造成数据泄漏。“为两个应用程序的互操作性制定标准协议非常重要，”Kam表示，“这个问题取决于供应商，但是并没有得到高度重视。”

　　4、确定第三方的合法性。Kam指出，协议覆盖的小实体在云提供商保护“受保护的健康信息”问题上没有发言权。反过来，对于诊所和其它协议覆盖的小实体来说，为医疗协会和机构等创造平等竞争场(level the playing field)的方法是对云提供商进行认证，达到医疗信息电子化系统和健康保险流通与责任法案的要求。他指出，联邦政府目前已经推出了一个类似的计划，名叫FedRAMP，即联邦风险授权管理。

　　5、将个人验证信息和受保护的健康信息存档。Kam指出，档案提供了完整的个人验证信息(PII)和受保护的健康信息，这些信息都是机构所保存的纸质或电子信息。“档案将帮助确定机构收集、使用、保存和处理个人验证信息的方式，”他说，“个人验证信息档案揭示了数据泄露的风险，机构可以对个人验证信息数据进行战略保护，根据真实信息制定租价的响应计划。”他补充道，个人验证信息和受保护的健康信息存档以及隐私和安全风险评估能够帮助确定遵从性、减少数据泄露的不良后果。

　　6、制定事故响应规划(incident response plan，IRP)。事故响应规划是一种高效的、高性价比的方法，制定数据泄露事故指南可以帮助机构达到医疗信息电子化系统和健康保险流通与责任法案的要求。“事故响应规划为响应小组提供了隐私事故的责任和行动指南，为监管机构提供了确定通知规定的具体说明，”Kam说。