為什么防“統(tǒng)方”這么難？
日期：2015/10/28
“統(tǒng)方”是醫(yī)院對醫(yī)生用藥信息量的統(tǒng)計，“非法統(tǒng)方”是指通過不正當?shù)耐緩椒欠ǐ@得醫(yī)院處方或高價值耗材用量的統(tǒng)計信息，從而實現(xiàn)其商業(yè)目的。
來源/中國數(shù)字醫(yī)療網(wǎng) 玉落千秋
雖三令五申，但非法統(tǒng)方屢禁不止。
2014年11月，廣東省再掀醫(yī)藥反腐風暴，5家醫(yī)院被通報批評
2013年01月，廣東高州市人民醫(yī)院統(tǒng)方回扣焦點訪談連續(xù)曝光
2013年11月，杭州某醫(yī)院院長及副院長因統(tǒng)方事件被拉下馬
2012年12月，河南省統(tǒng)方事件利益鏈中相關人等被檢察院查處
2012年06月，湖南常德統(tǒng)方事件中相關責任人月入2萬被當時檢察院查處
2012年05月，浙江溫州中醫(yī)院因統(tǒng)方事件引起“回扣門”
2011年06月，浙江溫州附一、附二醫(yī)院“回扣門”
2010年11月，浙江杭州中醫(yī)院，第四人民醫(yī)院出現(xiàn)統(tǒng)方 “回扣門”
……
“統(tǒng)方”是醫(yī)院對醫(yī)生用藥信息量的統(tǒng)計，“非法統(tǒng)方”是指通過不正當?shù)耐緩椒欠ǐ@得醫(yī)院處方或高價值耗材用量的統(tǒng)計信息，從而實現(xiàn)其商業(yè)目的。非法統(tǒng)方是藥品耗材回扣腐敗產(chǎn)業(yè)鏈中的重要一環(huán)，非法統(tǒng)方單一旦在網(wǎng)上曝光，將給醫(yī)院聲譽帶來極大的傷害，使行風、政風“三好一滿意”嚴重受挫。使得本來就很緊張的醫(yī)患關系火上澆油，內(nèi)部管理事件演變成群體性事件，涉及到的相關主管部門及領導苦不堪言。
醫(yī)院防統(tǒng)方面臨的困境：
在醫(yī)生的實際收入中，“統(tǒng)方”回扣是一個重要來源。統(tǒng)方回扣對醫(yī)生群體的誘惑之大，外界常難以想象，其額度可達藥品零售額的10%至30%。低年資醫(yī)生染指這部分利益可能較少，但中高年資醫(yī)生則往往可以利用統(tǒng)方回扣獲取遠超其合法收入的灰色利益，這早已是醫(yī)療界公開的秘密，但卻很少被關注和公開報道。
1、醫(yī)院工作者非法“統(tǒng)方”
醫(yī)院工作者，如醫(yī)生、護士、藥劑科的工作人員都有機會接觸到統(tǒng)方數(shù)據(jù)。想通過非法統(tǒng)方獲利的醫(yī)生，必然要收集自己的用藥信息量，提供給醫(yī)藥代表才能拿到回扣;一些醫(yī)院的藥劑科本身就兼具正?！敖y(tǒng)方”的職責，在一定的時間藥劑科科長需要對醫(yī)生、藥品和劑量信息進行統(tǒng)計，以防止醫(yī)生用藥比例過高導致醫(yī)生停診，這個過程中“統(tǒng)方”信息就有泄露的風險;負責領藥的護士也能掌握每日用藥的數(shù)據(jù)，如果別有用心，也是非法統(tǒng)方的來源之一。
2、內(nèi)部信息資源管理人員非法“統(tǒng)方”
隨著信息化水平提升，醫(yī)院信息中心人員也迅速增加，他們負責醫(yī)院信息化建設，以及日常IT網(wǎng)絡設備、數(shù)據(jù)庫等程序的維護工作，這些管理人員掌握著SYS、SYSTEM等超級用戶，這些用戶具備了訪問所有IT網(wǎng)絡設備、服務器、應用數(shù)據(jù)庫的權限，從而使毫無業(yè)務需要的信息中心工作人員能夠訪問所有處方數(shù)據(jù)，具備“統(tǒng)方”的最佳途徑。
另外，數(shù)據(jù)庫管理員(簡稱：DBA人員)也可以直接查詢數(shù)據(jù)庫中的用戶密碼表，使用具備統(tǒng)方權限的應用用戶登錄到HIS系統(tǒng)直接進行非法“統(tǒng)方”。由于這個群體對于信息系統(tǒng)的操作熟悉程度，以及目前對于超級用戶的技術審計比較薄弱，這是目前比較主要的非法統(tǒng)方途徑。
3、開發(fā)人員、維護人員非法“統(tǒng)方”
醫(yī)療信息系統(tǒng)的開發(fā)和維護人員掌握著系統(tǒng)訪問數(shù)據(jù)庫的用戶名和口令，這些人員經(jīng)常需要在醫(yī)院內(nèi)部進行日常工作，完全可以使用該數(shù)據(jù)庫用戶直接登錄數(shù)據(jù)庫，構(gòu)造統(tǒng)方SQL進行非法“統(tǒng)方”。
4、黑客入侵醫(yī)療系統(tǒng)非法“統(tǒng)方”
在高額利益的驅(qū)使下，當前黑客竊取“統(tǒng)方”數(shù)據(jù)的問題已不容忽視。總結(jié)黑客的手段無外乎三種：一是利用HIS等醫(yī)療系統(tǒng)的Web漏洞入侵數(shù)據(jù)庫;二是利用數(shù)據(jù)庫漏洞直接入侵數(shù)據(jù)庫;三是入侵數(shù)據(jù)庫服務器主機直接竊取數(shù)據(jù)庫文件、備份文件等。
國家對防統(tǒng)方高度重視，政策要求日益嚴格
·衛(wèi)生部/廳的要求
1、衛(wèi)生部于2006年頒發(fā)了《衛(wèi)生部、國家中醫(yī)藥管理局關于開展治理醫(yī)藥購銷領域商業(yè)賄賂專項工作的實施意見》、《刑法修正案》，明確醫(yī)務人員收受回扣屬于商業(yè)賄賂。
2、2007年衛(wèi)生部發(fā)布《衛(wèi)生部辦公廳關于加強醫(yī)院信息系統(tǒng)藥品、高值耗材統(tǒng)計功能管理的通知》，要求完善醫(yī)院信息數(shù)據(jù)庫查詢的監(jiān)測系統(tǒng)，加強對利用計算機網(wǎng)絡查詢藥品、高值耗材的數(shù)據(jù)監(jiān)測。
3、2010年6月21日頒發(fā)的《衛(wèi)生部關于進一步深化治理醫(yī)藥購銷領域商業(yè)賄賂工作的通知》中明確指出，“要對醫(yī)院各個部門通過計算機網(wǎng)絡查詢醫(yī)院信息的權限實行分級管理，對醫(yī)院信息系統(tǒng)中有關藥品、高值耗材使用等信息實行專人負責、加密管理，嚴格統(tǒng)方權限和審批程序，未經(jīng)批準不得統(tǒng)方，嚴禁為商業(yè)目的統(tǒng)方?！?/span>
4、2012年9月18日衛(wèi)生部再次發(fā)布《關于加強公立醫(yī)療機構(gòu)廉潔風險防控的指導意見》;明確加強信息系統(tǒng)監(jiān)管，防止非法統(tǒng)方。
5、中醫(yī)藥管理局發(fā)布了聯(lián)合制定的《加強醫(yī)療衛(wèi)生行風建設“九不準”》第六條”不準為商業(yè)目的統(tǒng)方”
6、衛(wèi)計委聯(lián)合國家中醫(yī)藥管理局在2014年底發(fā)出了《關于加強醫(yī)療衛(wèi)生機構(gòu)統(tǒng)方管理的規(guī)定》，并于2015年1月1日開始實施。文件明確“嚴禁為不正當商業(yè)目的統(tǒng)方”，對違反規(guī)定為不當商業(yè)目的統(tǒng)方的，要給予處分，甚至追究刑事責任.
·信息安全等級保護要求
《信息安全等級保護管理辦法》要求組織對信息系統(tǒng)分等級實行安全保護，其中明確要求計算機信息系統(tǒng)創(chuàng)建和維護受保護客體的訪問審計跟蹤記錄。
防統(tǒng)方本身就是一個信息安全防范問題，政府機關、醫(yī)院的信息系統(tǒng)屬于三級，屬于公安機關強制性信息安全防護要求等級。
目前醫(yī)療行業(yè)還沒有很好的防統(tǒng)方措施來防范統(tǒng)方，而是通過傳統(tǒng)的手段，通過數(shù)據(jù)庫自身審計產(chǎn)生的日志來分析，但是核心數(shù)據(jù)庫自身的審計功能對數(shù)據(jù)庫性能影響較大，審計權限和操作權限也沒有分離，對這種數(shù)據(jù)庫自身審計產(chǎn)生的日志，分析工作繁瑣、人力投入大、審計信息易被篡改或泄漏等。信息安全維護工作分散到不同醫(yī)院和部門的不同人員，部分開發(fā)、維護工作外包給合作的第三方公司及人員，日常運維過程中普遍存在維護人員較多、缺乏嚴格的資源授權管理審核、操作不透明、缺乏有效的技術手段來監(jiān)管，代維人員操作、操作無審計等諸多問題。
信息來源：醫(yī)藥代表
|
