電子病歷安全 普遍缺乏稽核改善機制

發展健康資訊科技(Health IT)是衛生署醫療政策的主軸，而電子病歷則是其中重要一環。衛生署自2002年起積極推動電子病歷，當中曾遇到電子簽章技術使用不易問題，後經修法調整及提撥經費補助後，已順利解決，根據衛生署電子病歷推動專區網頁顯示，目前，宣告實施電子病歷計有256家醫院，通過電子病歷檢查的醫院共187家，電子病歷跨院互通查驗合格總計133家醫院。

從電子病歷發展階段來看，當醫院內部開始流通電子病歷後，下一步就是朝跨院交換的方向去發展。《資安人》64期「電子病歷簡單上路  安全不能輕忽」一文中，曾經提到發展電子病歷跨院交換的問題，最主要就是電子病歷格式不統一、各家醫院自成一格，很難達到跨院交換的目的，只有同一個醫療體系內的醫院，如：署立醫院、台北市立聯合醫院…等，因為使用的資訊系統大致相同，比較沒有格式不一的問題。

電子病歷普及  正朝跨院交換發展

因此，衛生署於2009年修訂108項電子病歷單張規範書，2011年增加到118項，讓不同醫療院所可以透過HL7 CDA-R2(Clinic Document Architecture)標準格式進行電子病歷交換，交換媒介則是全國醫學影像交換中心，同時選定出院病歷摘要、血液檢查、門診用藥記錄、及醫學影像檢查四種單張，提供完整範例碼的參考文件，並公告為電子病歷補助計畫的四個標準。

衛生署資訊中心主任許明暉指出，全國醫學影像交換中心已於2010年建置完成，但目前只有100多家醫院通過電子病歷跨院互通查驗，因此仍處於測試階段，計劃2014年全國500家醫院及2萬多家診所都導入電子病歷後，才會正式上線，以免造成民眾使用不便，在某些醫院可以調閱電子病歷，在某些醫院又不行。

按照衛生署的規劃，2014年之後，民眾到醫院接受治療時，只需持健保卡、簽署同意書，醫師就能調閱病患過往在其他醫院的病歷及檢查資料。至於外界質疑的資安問題，許明暉表示，針對病歷資料交換規劃的資安機制有以下5點：(1)封閉網路：必須在健保VPN封閉式網路下才能使用；(2) 雙卡認證：必須同時持有病患健保IC卡與醫事人員卡；(3) 要有病患簽署的紙本同意書；(4) 留存Log以供查驗：任何查看、更改病歷的行為都會被記錄並永久保存。至於影像交換中心基本上只有索引資料庫、不保留任何病歷資料，自然沒有洩露病患隱私的疑慮。

舉例來說，病患W在乙醫院照射X光片，X光片除了存放在乙醫院的伺服器裡，還會在醫學影像交換中心建立索引，日後若W至甲醫院就診，門診醫師希望調閱W之前在乙醫院照射的X光片，只要在病患健保IC卡、醫事人員卡、病患同意書三者齊備的狀況下，就可以透過健保VPN網路，將X光片傳輸到甲醫院中。至於影像資料傳輸到其他醫院後的安全性，則屬於病患與醫院間的協議，甲醫院如果要保存資料就必須妥善管理，不然就要刪除資料，這在紙本病歷時代就已存在，並不是因為電子病歷交換才產生的問題。

上述談的是醫院間病歷資料交換的狀況，至於診所間的資料互通又是另一種形式。許明暉表示，診所業務較醫院單純，通常只有門診記錄，影像或檢驗檢查項目非常少，再加上資源不若大醫院豐富，為免增加資安風險，初步規劃將診所的使用身份定位成讀者、而非製造者，也就是只能查閱病歷資料，但不提供資料與其他醫院交換。

安全是電子病歷跨院交換的基本前提

雖然建立了交換機制，但不同醫療院所在交換病歷資料時，如何相信對方所產製出電子病歷內容的真實性？此時必須要有一個公正機制確保電子病歷安全，這也是電子病歷檢查的目的。

電子病歷檢查根據《醫療機構電子病歷製作及管理辦法》而來，共有9大項、26個檢查項目、62個檢查基準，台灣醫院協會主任郭燕婷表示，每一個檢查項目都是依照PDCA循環來設計。舉例來說，電子病歷製作及管理辦法第3條第1款規定，醫院應訂有操作人員與系統建置、維護、稽核、管制之標準作業程序，並有執行記錄可供查核，檢查項目則會有檢驗醫院是否訂有相關規範（即P）？是否依據規範確實執行、並留下記錄（即D）？是否訂有稽核機制並持續檢討改善（即C與A）？

郭燕婷表示，根據這二年執行電子病歷檢查經驗來看，醫院最常出現的問題是：規劃訂得不夠完善、執行過程雖然有表單卻沒有留下記錄、稽核或檢討改善機制沒有落實，其中又以稽核或檢討改善機制最缺乏，尤其是地區醫院更為嚴重，主因在於地區醫院人力有限，負責電子病歷相關作業的員工可能只有1~2名，不得已只好身兼多職，可能自己做自己稽核，形成球員兼裁判的矛盾情況，又或者因為工作繁重導致稽核深度不足。

若進一步從檢查項目來看，根據去(2010)年檢查結果，未通過比重最高的檢查項目分別是第3條的第2款、第4款及第5款（表1）。

l第3條第2款：要求醫院對電子病歷系統使用權限應設有管控機制。主要做適法性檢查，尚未細到該如何分配權限才恰當，但部份醫院在權限管控上沒有清楚定義，什麼樣職務的人可以擁有哪些使用權限。

l第3條第4款：要求醫院擬定系統故障時的緊急應變措施。醫院系統當電子病歷系統停擺時，相關人員該如何繼續作業，醫師要如何看病？IT的補救措施是什麼？護理人員該怎麼作業？部份醫院因為規範不夠完整，導致未能通過檢查。

l第3條第5款：主要檢查各醫院的資安狀況，郭燕婷強調，電子病歷檢查不是軍備競賽，檢查重點不在於買了多少資安設備，而是管控機制好不好，因此會從行政作業管理規則來檢視。舉例來說，系統免不了遇到故障或發生問題，為了快速修復回到正常作業，有些醫院允許MIS可以透過網路遠端維護與管理系統，而這個權限應該在有需要使用時再開放就好，但有些醫院卻沒有控管直接開放權限，MIS無論何時都能遠端連進系統，有些則要求MIS必須提出申請才享有權限，兩相比較，後者的資安防護強度顯然比前者好。由於地區醫院人力有限，資訊人員常常身兼數職，資安工作必須仰賴外部廠商協助，使得這部份的表現比較不足。

       表1、2010年醫療機構電子病歷檢查結果統計表

                                                    資料來源：台灣醫院協會，《資安人》整理，2010/11。