医疗保健中的信息技术治理、风险与合规(第二版)

©2024云安全联盟大中华区——保留所有权利。你可以在你的电脑上下载、储存、展示、查看及打印，或者访问云安全联盟大中华区官网(https://www.c-csa.cn)。须遵守以下:(a)本文只可作个人、信息获取、非商业用途;(b)本文内容不得篡改;(c)本文不得转发;(d)该商标、版权或其他声明不得删除。在遵循中华人民共和国著作权法相关条款情况下合理使用本文内容，使用时请注明引用于云安全联盟大中华区。 致谢 《医疗保健中的信息技术治理、风险与合规（第二版）》由CSA工作组专家编写，CSA大中华区秘书处组织数据安全工作组专家进行翻译并审校。 中文版翻译专家组 组长： 王安宇 翻译组： 王彪、张明敏、易利杰、卜宋博 审校组： 王安宇、罗智杰、高健凯 研究协调员： 卜宋博、闭俊林 感谢以下单位的支持与贡献： 北京天融信网络安全技术有限公司 杭州安恒信息技术股份有限公司 （以上排名不分先后） 英文版本编写专家 主要作者： Dr.JimAngle 贡献者： YutaoMaAkhilMittalMichaelRoza 审校组： AnupGhatageTolgayKizilelma,PhDNamalKulathungaYuvarajMadheswaranVaibhavMalikKennethMorasMeghanaParwateAkshayShettyRoseSongerUdithWickramasuriya CSA全球工作人员 AlexKaluzaClaireLehnert 在此感谢以上专家及单位。如译文有不妥当之处，敬请读者联系CSAGCR秘书处给予雅正！联系邮箱research@c-csa.cn；国际云安全联盟CSA公众号。 目录 致谢...........................................................................................................................................................1摘要...........................................................................................................................................................51.引言......................................................................................................................................................61.1新兴技术对GRC的影响.............................................................................................................72.治理......................................................................................................................................................72.1计划.................................................................................................................................................82.2定义...............................................................................................................................................112.3实施...............................................................................................................................................122.4监视...............................................................................................................................................122.5讨论...............................................................................................................................................132.6威胁...............................................................................................................................................133.风险....................................................................................................................................................143.1评估风险.......................................................................................................................................153.2降低风险.......................................................................................................................................164.合规性................................................................................................................................................174.1GRC中伦理考量的整合................................................................................................................194.2云合规框架...................................................................................................................................194.3全球云框架...................................................................................................................................194.4地方监管框架...............................................................................................................................205.结论....................................................................................................................................................21参考文献.................................................................................................................................................21 序言 随着医疗保健行业进入数字化转型的深水区，信息技术的快速普及不仅为医疗服务的提升带来了巨大的机遇，同时也带来了前所未有的挑战。在这一过程中，信息技术治理、风险管理与合规（GRC）成为医疗保健机构不可忽视的关键领域。云计算、人工智能（AI）、物联网（IoT）以及区块链等技术的崛起，进一步加剧了这些挑战，要求医疗保健组织在采纳新技术的同时，确保患者数据安全、信息隐私保护、以及遵循复杂的行业法规。 《医疗保健信息技术治理、风险与合规（第二版）》从全球视角出发，全面剖析了云计算环境下的GRC框架如何帮助医疗保健机构应对当下的安全和合规挑战。报告深入探讨了GRC如何在确保合规的同时帮助机构最大化地降低技术风险，提升运营效率，简化流程，并且为组织的长期安全性和可持续性奠定基础。 报告指出，随着生成式人工智能等新兴技术的应用，医疗保健行业面临的安全威胁愈加复杂。AI技术的双刃剑效应，不仅可以提升医疗诊断的精准度和效率，也可能因数据隐私、算法偏见等问题带来法律和伦理上的挑战。针对这些问题，报告建议医疗保健机构将AI的治理纳入GRC框架中，以确保技术发展符合道德标准和法规要求。 展望未来，全球医疗保健行业在技术进步的驱动下，将持续面临复杂的供应链风险、严格的监管要求以及新型攻击手段的不断涌现。为此，报告呼吁医疗保健机构采用前瞻性思维，构建具备自动化能力的GRC框架，并在零信任架构、云原生安全工具等方面加大投入，以确保组织在瞬息万变的技术环境中保持强大的适应能力和弹性。 李雨航YaleLiCSA大中华区主席兼研究院长 摘要 医疗保健服务提供组织（HDO）使用云服务的情况正变得越来越普遍化，但向云端的迁移却带来了挑战。其中一个主要挑战是在云中建立治理、风险与合规（GRC），这需要重新定义业务和技术的流程，并依赖第三方提供商。为了确保HDO能够从云计算中获益，设计并实施一个稳健的云GRC计划非常重要，该计划能够解决这些挑战，并确保符合行业法规和标准。 1.引言 HDO意识到通过治理、风险与合规（GRC）计划能全面了解风险和合规的价值，该计划使HDO能够从业务角度解决技术风险，通过自顶向下的方法使业务和技术保持一致性。这种自顶向下的方法确保在符合行业法规和标准的同时也能识别和解决风险。 云GRC是组织收集重要风险数据、验证合规性并报告结果的有效手段。云管理是云GRC中的一个重要关注领域，它在很多组织中以孤岛的方式实施。（从而）未能将收集的结果整合到GRC计划中，可能导致重复性工作，并且不能充分利用GRC。正确实施的GRC计划可以消除重复性工作，提供数据存储库，并促进自动化。本文将讨论一个良好的云GRC计划的要素以及建立该计划所需的条件。 人工智能（AI）的重