2. 医疗数据资产分类与加密需求分析
医疗数据加密工程的第一步不是选算法，而是把"要保护什么、保护到什么程度、在什么场景下保护"说清楚。同一家医院里，一份门诊电子病历、一套 800 层胸部 CT 影像、一份全外显子组测序结果、一条智能手环上传的心率记录，它们的敏感程度、体量、使用方式和生命周期完全不同。如果对所有数据套用同一套加密策略，要么保护不足（基因数据被当作普通文本处理），要么代价过高（对 PB 级影像全部做应用层字段加密，导致 PACS 调阅延迟不可接受）。因此，本节的核心任务是建立一套可落地的分类框架，并把分类结果直接映射为加密保护等级。
一、按数据形态识别资产
医疗数据首先按"形态"区分，因为形态决定了加密的粒度、性能和存储位置。常见形态可归纳为四类：
- 结构化记录类：电子病历（EMR）、医嘱、检验结果、处方、结算记录。以数据库行/字段为单位，体量中等，查询频繁，适合字段级或列级加密。
- 影像与波形类：DICOM 影像（CT/MR/DR）、心电、超声、病理切片。单文件大（几十 MB 到数 GB），以对象存储或 PACS 归档为主，适合文件级/对象级加密，配合存储层透明加密。
- 基因组学类：FASTQ、BAM/CRAM、VCF。体量极大（单个全基因组原始数据可达 100 GB 量级），计算密集，且具有"不可撤销"特性——基因信息泄露后无法像密码一样重置，属于最高敏感级。
- 可穿戴与物联网类：心率、血氧、睡眠、血糖、步数等时序流数据。特点是高频、小包、持续上传，设备侧算力有限，适合轻量级流加密与传输层保护。
形态识别之后，还要标注每类数据的标识符字段。例如 EMR 中的姓名、身份证号、手机号、住院号属于直接标识符；影像中的患者姓名（DICOM 的 PatientName 标签）、检查日期属于准标识符；基因数据中的样本编号若可与病历关联，则同样构成标识符。加密需求分析必须明确：哪些字段加密后仍需支持等值查询（如住院号），哪些只需存储加密、检索时解密。
二、按敏感级划分保护等级
敏感级是加密强度的直接依据。可参考四级划分：
| 等级 | 典型数据 | 泄露影响 | 加密要求 |
|---|---|---|---|
| L1 公开 | 科室介绍、科普内容 | 无 | 完整性校验即可 |
| L2 内部 | 脱敏统计报表、设备台账 | 轻微 | 传输加密（TLS） |
| L3 敏感 | EMR、检验、影像、可穿戴原始数据 | 个人隐私受损 | 传输 + 存储加密，密钥分级管理 |
| L4 极敏感 | 基因数据、精神疾病/传染病史、HIV 状态 | 歧视、不可逆泄露 | 传输 + 存储 + 应用层字段加密，独立密钥域，强审计 |
需要强调的是，敏感级不是静态标签。同一条数据在不同使用场景下敏感度会变化：一份脱敏后的影像用于科研训练属于 L2，但若重新关联到患者则回到 L3/L4。因此分类结果应记录"原始敏感级"和"脱敏后敏感级"两个值。
三、按使用场景与生命周期确定加密边界
加密不是一次性动作，而是贯穿数据生命周期。典型阶段包括：采集/录入、传输、存储、使用（查询/计算/展示）、共享（院内调阅、区域平台、科研协作）、归档、销毁。每个阶段的加密边界不同：
- 采集：可穿戴设备侧需在本地完成加密再上传，避免明文经过公网；
- 传输：统一走 TLS 1.2+，院内跨网段可叠加 IPSec；
- 存储：数据库字段加密 + 磁盘/对象存储加密双层；
- 使用：查询时在内存中解密，禁止落盘明文；
- 共享：对外提供时优先"可用不可见"，如令牌化或格式保留加密；
- 归档与销毁：归档数据保持加密，销毁时同步销毁密钥，实现密码学擦除。
四、分类到加密策略的映射
把形态、敏感级、场景三者交叉，就能得到具体的加密策略。下面这张图展示了从数据形态识别到保护等级落地的映射关系，以及各形态对应的加密粒度与密钥域。
五、一个可执行的分类示例
以某三甲医院为例，假设要处理以下四类数据，可按如下方式填写分类与加密需求表（示例参数为合理假设，用于说明方法）：
| 数据对象 | 形态 | 敏感级 | 关键标识符 | 加密粒度 | 密钥域 |
|---|---|---|---|---|---|
| 门诊 EMR 主表 | 结构化 | L3 | 姓名、身份证、住院号 | 字段级 | EMR-DB-KEK |
| 胸部 CT 序列 | 影像 | L3 | PatientName、检查日期 | 对象级 | PACS-OBJ-KEK |
| 全外显子 VCF | 基因组 | L4 | 样本编号 | 文件级 | GENOME-KEK |
| 手环心率流 | IoT 时序 | L3 | 设备 ID、用户 ID | 流加密 | IOT-DEV-KEK |
填写时有两个判断要点。第一，标识符是否可关联：如果样本编号在科研库中无法与病历关联，则基因数据的敏感级可降为 L3；一旦建立映射表，就必须回到 L4 并单独保护映射表。第二，查询需求决定加密算法：住院号需要等值查询，若用随机 IV 的 AES-CBC 加密，则无法直接检索，需改用格式保留加密（FPE）或确定性加密，并接受其安全性折衷；而姓名、地址等不需要检索的字段，可用随机 IV 加密获得更高安全性。
六、分类结果的落地检查
完成分类后，建议用以下问题做一次自检：每类数据是否都有明确的敏感级和密钥域？标识符字段是否单独列出并确定加密算法？跨场景流转时敏感级是否重新评估？密钥域之间是否隔离，避免一个密钥泄露导致全域失守？归档数据是否保留加密并规划了密钥销毁路径？只有这些问题都有明确答案，分类结果才真正具备工程可执行性，后续的密钥管理、访问控制和审计设计才有稳固的输入。