2. 临床数据资产梳理与分类分级

临床数据安全体系建设的第一步，不是买设备、上加密，而是把“我们到底有哪些临床数据、它们从哪来、流向哪里、有多敏感”这件事说清楚。数据资产梳理与分类分级，就是给全院临床数据建立一张“户口本”和“敏感度地图”。没有这张地图，后续的访问控制、脱敏、审计、加密都无从下手——因为你不知道保护谁、保护到什么程度。

一、临床数据类型：先分清“是什么”

临床数据不是单一对象，而是一组异质数据。按业务语义，通常可分为以下几类：

• 患者身份标识数据：姓名、身份证号、病案号、住院号、联系方式、生物识别信息等，是直接标识符，敏感度最高。
• 临床诊疗数据：主诉、现病史、诊断、医嘱、病程记录、手术记录、护理记录等，既含身份关联又含健康隐私。
• 检查检验数据：检验结果、影像（DICOM）、心电、病理、超声等，含大量客观指标与影像原始数据。
• 用药与治疗数据：处方、用药执行、输液、输血、化疗方案等。
• 费用与结算数据：费用明细、医保结算、支付信息，含财务与身份双重属性。
• 科研与随访数据：去标识化后的队列数据、随访记录、生物样本关联信息。

分类的目的是“同类同策”。例如身份标识类数据必须加密存储、严格授权；而科研去标识数据可在受控环境下用于分析。

二、来源系统：数据从哪些系统产生

临床数据分散在多个业务系统中，梳理时必须逐一登记来源系统及其数据主责部门：

来源系统	主要数据	主责部门
HIS（医院信息系统）	患者主索引、挂号、住院、费用	信息科/门诊部
EMR（电子病历）	病程、医嘱、诊断、手术记录	医务科/病案室
LIS（检验系统）	检验申请、结果、质控	检验科
PACS/RIS（影像）	DICOM影像、报告	放射科
手术麻醉系统	麻醉记录、术中事件	麻醉科
医保结算系统	结算、报销、支付	医保办/财务
科研数据平台	去标识队列、随访	科研处

每个系统要记录：系统名称、数据库类型、数据量级、更新频率、接口方式（HL7/FHIR/视图/文件）、是否含直接标识符。

三、数据流映射：看清数据“怎么走”

数据流映射是梳理中最容易被忽略、却最关键的一步。它回答：数据从产生到使用、共享、归档，经过了哪些节点？常见流向包括：

• HIS → EMR：患者基本信息与就诊信息同步；
• LIS/PACS → EMR：检验影像结果回写病历；
• EMR → 病案系统：出院病案归档；
• 各业务系统 → 集成平台/数据中台：通过ETL或消息队列汇聚；
• 数据中台 → 科研平台：经去标识化后输出；
• 系统 → 备份/灾备：定期全量与增量备份。

映射时要标注每个流转环节的传输方式（是否加密）、落地位置（生产库/中台/文件服务器）、是否跨网络域（内网/外网/专网）。跨域流转是风险高发点，必须重点标记。

四、敏感度分级方法：定“保护到什么程度”

分级不是凭感觉，而是依据两个维度：可识别性（能否直接或间接定位到具体个人）和健康隐私敏感度（泄露后对患者的影响程度）。常用四级模型：

• L4 极高敏感：直接标识符 + 完整诊疗信息，如姓名+身份证号+诊断+病历。泄露可导致歧视、诈骗。要求加密存储、最小授权、全量审计。
• L3 高敏感：诊疗明细但标识符部分脱敏，如病案号+检验结果。要求访问审批、传输加密。
• L2 中敏感：去标识化科研数据、群体统计。要求受控环境、禁止再识别。
• L1 低敏感：完全汇总的统计报表、公开健康宣教数据。常规管理即可。

分级判定可参考一个简单规则：若数据集中同时存在“直接标识符”和“具体诊疗内容”，则至少为L4；若仅有诊疗内容而无直接标识符，为L3；若已去标识且用于科研，为L2；纯汇总为L1。

五、分类分级实战任务

下面给出一个可直接执行的实战任务模板，以“住院患者检验结果数据集”为例。

完成本节任务后，你应当能够输出一份《临床数据资产清单》，至少包含：数据对象名称、来源系统、数据流路径、字段清单、敏感度等级、管控要求六列。这份清单就是后续安全策略配置的直接输入。