7、医疗信息隐私与安全：身份与访问管理全攻略

医疗信息隐私与安全：身份与访问管理全攻略

1. 筹备工作与计划制定

在着手保障电子病历（EMR）系统安全的实际工作之前，充分的准备和完善的计划至关重要。前期你需要做大量的背景调研、数据收集工作，让一切准备就绪。制定计划能让你明确从起始点到目标点的路径，清楚可利用的资源、组织的风险承受能力、已完成的基础工作以及预期的成果。若对这些问题没有清晰的答案，工作可能会陷入停滞，最多只能取得微小的进展。

通常，大多数组织在隐私和安全政策方面并非从零开始。可能你询问某个流程或政策时，得到的是模糊不确定的答复，但实际上，办公室经理、安全官员、首席信息官（CIO）或人力资源官员可能已经制定了相关政策，这些政策文件可能存放在文件柜、网络文件共享区或内部服务器中，只是可能已过时。你的任务是收集这些文件，确定其最后更新时间和当前的负责人，避免重复他人的工作，浪费时间和资源。

与项目管理办公室（PMO）合作是个不错的选择。将安全项目纳入PMO的管理范畴，你可以借助其方法和资源，项目也能获得更多关注并融入企业项目计划。同时，项目会得到一位项目赞助人（通常是首席信息安全官CISO或CIO）的支持，在领导的推动下，原本可能因官僚作风而受阻的工作能够顺利进行。不过，无论PMO的实力如何，高层领导对安全举措的支持都是保障EMR系统安全的关键，没有这种支持，安全项目会遇到重重阻碍。

制定计划时，要实事求是地确定目标，找到完成任务所需的资源，并设定合理的截止日期。可以使用甘特图工具（如Microsoft Project），也可以用电子表格或简单文档来规划项目，但要确保不忽视任务和期限。关键在于从风险登记册中识别所有行动项，确定安全项目的范围，并制定应对这些问题的计划。EMR系统安全的关键方面包括身份