4. 临床数据安全风险评估方法

临床数据安全风险评估的目标，不是给系统贴一个“安全”或“不安全”的标签，而是回答三个可操作的问题：哪些临床数据资产值得保护、它们可能通过什么路径被破坏、现有控制措施能把风险压到什么水平。围绕这三个问题，本节按资产识别、威胁建模、脆弱性分析、风险计算、临床场景案例五步展开，并给出可直接套用的评估表结构。

一、资产识别：从临床业务反推数据资产

资产识别不能只列服务器和数据库，而应从临床业务流反推。建议按“业务域—系统—数据实体—存储位置—责任人”五级展开。以某三甲医院为例，可识别出以下典型资产：

敏感级别建议按“泄露影响、篡改影响、可用性影响”三维打分，取最高值定级。例如检验结果被篡改可能直接导致误诊，篡改影响为高，故整体定为高敏感。

二、威胁建模：用STRIDE梳理临床威胁路径

威胁建模推荐使用STRIDE方法，将威胁分为假冒、篡改、抵赖、信息泄露、拒绝服务、权限提升六类。对临床系统而言，最需要关注的是信息泄露与篡改。建模时按“威胁主体—攻击路径—目标资产—潜在后果”四要素描述。例如：

• 外部攻击者通过弱口令登录医生工作站，读取门诊病历，导致大规模隐私泄露；
• 内部人员越权访问科研随访数据，导出后用于商业用途；
• 勒索软件加密PACS影像存储，导致影像不可用，影响手术排期。

威胁建模的产出应是一张威胁清单，每条威胁标注可能性（高/中/低）与影响程度，为后续风险计算提供输入。

三、脆弱性分析：把威胁落到具体控制缺口

脆弱性分析要回答“威胁为什么能成功”。常见脆弱性包括：未启用双因素认证、数据库未加密、日志未集中审计、接口未做鉴权、备份未验证可恢复性等。建议按技术脆弱性和管理脆弱性两类分别梳理，并与资产、威胁建立映射关系。

四、风险计算：把定性判断转为可比较数值

推荐使用“资产价值×威胁可能性×脆弱性严重度”的乘积模型，每项按1～3分赋值，风险值范围1～27。分级标准可设为：1～8为低风险，9～18为中风险，19～27为高风险。以门诊电子病历为例：资产价值3分（高敏感），威胁可能性2分（中），脆弱性严重度3分（弱口令且无审计），风险值=3×2×3=18，属于中风险偏上，应限期整改。若同时存在数据库未加密，脆弱性严重度仍为3，但可通过增加双因素认证将威胁可能性降至1，风险值降为9，进入中风险下限。

五、临床场景风险评估案例

以“科研随访数据导出”场景为例。资产为科研平台中的随访数据（价值3分）；威胁为内部人员越权导出（可能性2分）；脆弱性为导出接口未做二次鉴权且无导出审计（严重度3分），风险值=18，中风险。整改措施：导出前增加审批流与二次身份验证，导出行为写入不可篡改日志，并将导出文件自动加水印。整改后威胁可能性降为1，风险值=9，进入可接受区间。

再以“PACS影像存储勒索攻击”为例。资产为影像归档（价值2分）；威胁为勒索软件加密（可能性2分）；脆弱性为备份未验证可恢复性（严重度3分），风险值=12，中风险。整改措施：建立离线备份并每季度做恢复演练，将备份可恢复性纳入运维考核。整改后脆弱性严重度降为1，风险值=4，低风险。

评估完成后，应输出一份风险处置跟踪表，至少包含：资产编号、威胁描述、脆弱性、风险值、风险等级、整改措施、责任人、完成时限、复评结果。该表是后续安全建设投入排序的直接依据，也是等保测评与数据安全合规检查的重要证据。