真實世界數(shù)據(jù)研究的信息安全挑戰(zhàn)

李雪迎

北京大學第一醫(yī)院醫(yī)學統(tǒng)計室

王熙誠

倫敦大學學院管理學院

沙若琪＊

建信金融科技有限責任公司

尚美霞

北京大學第一醫(yī)院醫(yī)學統(tǒng)計室

姚晨＊

北京大學第一醫(yī)院醫(yī)學統(tǒng)計室北京大學臨床研究所海南省真實世界數(shù)據(jù)研究院

在醫(yī)學科學發(fā)展的歷史進程中，臨床研究是推動學科發(fā)展的重要方式。在長期的研究實踐中，臨床研究方法學不斷完善，為臨床循證奠定了基礎。與此同時，臨床研究數(shù)據(jù)作為臨床研究的基石，其質量與可及性成為制約臨床研究發(fā)展的瓶頸。一方面，只有高質量的研究數(shù)據(jù)方具備形成高質量臨床證據(jù)的基礎。通過長期的研究實踐，在臨床研究領域逐漸形成了ALCOA+CCEA數(shù)據(jù)質量標準[包含可歸因性（attributable）、易讀性（legible）、同時性（contemporaneous）、原始性（original）、準確性（accurate）、完 整 性（complete）、 一 致 性（consistent）、持久（enduring）、可用性（available）]，已經被多個監(jiān)管機構制定的指導原則和行業(yè)規(guī)范所采用[1-4]，也成為了臨床研究工作中普遍遵循的質量原則。另一方面，雖然臨床醫(yī)療過程不斷產生大量醫(yī)療信息，但由于傳統(tǒng)信息保存媒介與方式的制約，這些數(shù)據(jù)很難直接為臨床研究所利用。

隨著信息技術的發(fā)展，信息獲取、傳遞與儲存方式都發(fā)生了巨大的變化，使更高效、全面的數(shù)據(jù)利用成為可能。

在真實世界數(shù)據(jù)獲取方面，擁有了更多的獲取途徑：日常診療記錄數(shù)據(jù)庫、健康檔案信息、醫(yī)療保險數(shù)據(jù)庫，以及與生命健康相關的行為學、生理學數(shù)據(jù)也可以通過多種途徑的可穿戴設備、檢測設備獲取，因而數(shù)據(jù)規(guī)模已經今非昔比。但是與此同時，大規(guī)模多來源數(shù)據(jù)也給數(shù)據(jù)的存儲和管理提出了更高的要求。通過數(shù)據(jù)治理[5-8]完善了數(shù)據(jù)庫系統(tǒng)，實現(xiàn)了源流清晰、結構嚴謹、安全有效的大規(guī)模數(shù)據(jù)管理，進而為數(shù)據(jù)的充分利用提供了可能性。在可及性提升的同時，由于臨床過程的直接記錄有機會被應用于研究過程，也使研究數(shù)據(jù)溯源更為簡潔。因此，信息技術的發(fā)展不僅使數(shù)據(jù)規(guī)模顯著擴大，更加使得有機會以更間接的方式保留數(shù)據(jù)痕跡，實現(xiàn)數(shù)據(jù)質量的提升。這無疑對于臨床研究的開展和臨床過程未知領域的探索是有益的。

真實世界數(shù)據(jù)研究[9-11]正是在信息技術的推動下，通過獲取并利用來自真實臨床過程的醫(yī)療數(shù)據(jù)、健康記錄開展的臨床研究，從而服務于臨床循證的研究方式[12]。在方法學工作的配合下，讓研究者得以充分的利用臨床信息開展研究服務臨床醫(yī)療。

隨著研究數(shù)據(jù)獲取的便利性增加，數(shù)據(jù)信息的可利用性大幅度提升，研究效率也有了明顯的提高，但與此同時，信息安全也正面臨著前所未有的挑戰(zhàn)。在確保數(shù)據(jù)安全的前提下，實現(xiàn)臨床信息的充分合理利用是臨床研究者將長期面臨的問題與考驗。

1 信息安全與數(shù)據(jù)安全面臨挑戰(zhàn)

數(shù)據(jù)安全是指通過采取必要措施，確保數(shù)據(jù)處于有效保護和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力[13]。信息安全是指保護、維持信息的保密性、完整性和可用性，也可包括真實性、可核查性、抗抵賴性、可靠性等性質[14]。二者之間既有區(qū)別又有聯(lián)系。數(shù)據(jù)安全重于數(shù)據(jù)信息本身，而信息安全則更強調數(shù)據(jù)信息獲取、存儲與應用的物理過程。但二者的核心目標相同：確保數(shù)據(jù)信息在獲取、保存中的安全，防止丟失、篡改、泄露和不恰當?shù)膽谩?/p>

在臨床研究過程中，患者信息一直是獲得臨床研究結論的媒介，患者信息安全一直是各方關注的問題。如何妥善地管理臨床數(shù)據(jù)，防止數(shù)據(jù)丟失、被篡改甚或被竊取一直是臨床研究數(shù)據(jù)管理工作的重要內容。隨著數(shù)據(jù)獲取、保存方式的進步，信息安全、數(shù)據(jù)安全所涉及的領域與任務也在不斷地更新。

1.1 海量數(shù)據(jù)給臨床真實世界數(shù)據(jù)應用帶來前所未有的安全性挑戰(zhàn)

在真實世界研究的場景下，數(shù)據(jù)獲取的便利性在推動數(shù)據(jù)應用的同時所帶來的安全性挑戰(zhàn)主要來自以下2 個方面。

第一，對于隱私信息保護的重要性日益突出。數(shù)據(jù)獲取的便利性在支撐研究應用的同時，也使隱私信息的獲取變得更具可能性，且數(shù)據(jù)規(guī)模更大，其中的安全隱患自然毋庸多言。在真實世界研究的場景下，對于隱私信息的安全保護的重要程度，是以往經典研究過程都無法比擬的。

第二，由于數(shù)據(jù)規(guī)模擴大所帶來的安全性新問題。就單一數(shù)據(jù)而言，其提供的信息往往是零散而有限的，即使信息涉及了某個個體的核心隱私信息，其安全性風險也會明確地針對相應的個體。而當信息具有足夠的規(guī)模時，其安全風險并不簡單的等于單個數(shù)據(jù)風險之和。當數(shù)據(jù)構成集合性“數(shù)據(jù)池”[15]，特別是具備反映群體特征的能力時，其安全性信息所針對的對象則從單一個體擴展為相應群體。因此，群體的安全性權益需要給予重視，相應數(shù)據(jù)的安全屬性需要給予重新的審視和深入的考慮。對于與健康相關的人口學、生理學、疾病特征、遺傳特征等信息，由于關乎群體生命安全，這一點顯得尤為重要。當研究可能涉及的信息已經能夠反映特定區(qū)域內人群的健康特征、醫(yī)療服務特征時，數(shù)據(jù)所反映的群體對象的權益應當被應用過程所考慮和尊重。在這種情況下，對于單一個體，或許并不十分關鍵的安全信息很可能因為群體意義需要重新審視其安全性意義，并給予更高的重視。特別是當數(shù)據(jù)所反映的信息關乎國家、人種水平的健康相關信息時，其安全性特征與安全性考慮顯然都需要給予高度的重視。

1.2 信息安全及數(shù)據(jù)安全法規(guī)的建立與完善

如何規(guī)范數(shù)據(jù)應用，保障數(shù)據(jù)安全？實際上這是伴隨著數(shù)據(jù)科學和信息技術的發(fā)展，充分考慮數(shù)據(jù)安全工作的需要，不斷前進、不斷完善的過程。

早在1994 年國務院就頒布了《計算機信息系統(tǒng)安全保護條例》[16]，該條例成為計算機信息系統(tǒng)安全保護的法律基礎。1999年發(fā)布的GB 17859—1999《計算機信息系統(tǒng)安全保護等級劃分準則》[17]以及2007 年頒布的《信息安全等級保護管理辦法》[18],都為信息安全等級保護工作指明了方向。

隨著信息技術的飛速發(fā)展，信息安全工作的重要性日益凸顯，在多部相關的法律法規(guī)中，都包含了有關個人隱私、數(shù)據(jù)安全工作的要求。其中，2016 年頒布的《網(wǎng)絡安全法》[19]、2020 年頒布的《民法典》[20]和《信息安全技術 個人信息安全規(guī)范》[21]、2021年頒布的《個人信息保護法》[22]都對隱私信息及其保護做出了明確的規(guī)范。2021 年頒布的《數(shù)據(jù)安全法》[13]從法律的高度對數(shù)據(jù)安全給予了準確的定義也提出了數(shù)據(jù)安全工作的相關要求。

2021 年7 月，《深圳經濟特區(qū)數(shù)據(jù)條例》[23]發(fā)布，對個人數(shù)據(jù)、個人隱私數(shù)據(jù)、公共數(shù)據(jù)作出了明確定義，并對個人隱私數(shù)據(jù)以及公共數(shù)據(jù)的獲取、存儲與共享給予了規(guī)范。

在各應用領域中，針對信息安全、數(shù)據(jù)安全的規(guī)范性工作也在蓬勃開展中[24]。在健康醫(yī)療領域中，2018 年頒布的《國家健康醫(yī)療大數(shù)據(jù)標準、安全和服務管理辦法（試行）》[25]和《信息安全技術 健康醫(yī)療信息安全指南》征求意見稿[26]都是對醫(yī)療信息安全工作的指導性文件。2019 年頒布的《人類遺傳資源管理條例》[27]則對于健康醫(yī)學領域中有關生物信息安全的相關要求給予了明確。

針對臨床研究領域，有關研究數(shù)據(jù)安全的工作與要求體現(xiàn)在多個指導原則性文件當中。包括《藥物臨床試驗質量管理規(guī)范》[28]、《醫(yī)療器械臨床試驗質量管理規(guī)范》[29]、《臨床試驗數(shù)據(jù)管理工作技術指南》[30]等。隨著真實世界研究的興起，越來越多的臨床研究過程借助真實世界研究的方法開展探索，驗證臨床目的。多部針對真實世界研究及真實世界數(shù)據(jù)的指導原則頒布：《真實世界證據(jù)支持藥物研發(fā)與審評的指導原則（試行）》[31]、《真實世界數(shù)據(jù)用于醫(yī)療器械臨床評價技術指導原則（試行）》[32]、《用于產生真實世界證據(jù)的真實世界數(shù)據(jù)指導原則（試行）》[33]為真實世界研究與真實世界數(shù)據(jù)應用提供了指導性意見。通過以上文件，不僅從方法學角度對于真實世界數(shù)據(jù)的研究與應用提出了指導性意見，同時也針對數(shù)據(jù)來源特征、規(guī)模特征和質量特征，對于在真實世界研究場景下的數(shù)據(jù)質量和數(shù)據(jù)安全性考慮提出了相應的要求。

真實世界數(shù)據(jù)因其來自真實臨床過程的特點，使其擁有了更充分的代表性。在循證實踐中，以其良好的外部真實性，得到了越來越廣泛的應用和青睞。

2 臨床真實世界數(shù)據(jù)可利用性與安全性的艱難平衡

真實世界數(shù)據(jù)因其來自真實臨床過程的特點，使其擁有了更充分的代表性。在循證實踐中，以其良好的外部真實性，得到了越來越廣泛的應用[34-35]和青睞。針對真實世界數(shù)據(jù)的特征、質量以及安全性屬性開展的一系列研究，最終目的在于充分利用數(shù)據(jù)揭示醫(yī)學規(guī)律、服務臨床醫(yī)療。在數(shù)據(jù)利用過程中，由于健康信息的私密性以及規(guī)模數(shù)據(jù)的信息能力在真實世界數(shù)據(jù)應用中，確保數(shù)據(jù)安全成為合理應用的前提。信息技術為我們提供了利用真實世界數(shù)據(jù)的可能性，那么確保信息安全、數(shù)據(jù)安全則是每一個臨床研究參與者都需要認真思考和履行的重要準則。

從充分利用的角度看，不加限制的應用是最充分的，但這樣做的安全性風險是不可接受的。以電子病歷為例，在完善的權限管理基礎上，當研究者依據(jù)研究目的提出獲取病例診療信息的申請時，依據(jù)信息安全的要求對應用需求進行審查和判斷一定是必要的步驟。從安全的角度看，以絕對安全為出發(fā)點，對所有數(shù)據(jù)實施完全的保護，拒絕所有應用申請，不允許任何病例數(shù)據(jù)被應用于研究，則最大限度地實現(xiàn)了安全。但這也失去了應用這些數(shù)據(jù)的可能，違背了研究真實世界數(shù)據(jù)和證據(jù)的初衷。

《信息保護法》總則第一條明確了該法是“為了保護個人信息權益，規(guī)范個人信息處理活動，促進個人信息合理利用”，同時也指出“收集個人信息，應當限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息”[22]。因此，在保障數(shù)據(jù)安全的前提下充分合理應用是一個頗具挑戰(zhàn)的平衡點。需要以相關的法律法規(guī)和指導性文件為指引，結合各實際數(shù)據(jù)來源及應用場景的具體特征和要求，區(qū)分不同類型和規(guī)模數(shù)據(jù)的安全性要求，制定數(shù)據(jù)應用的分級管理方法，并配合完備的信息安全技術實現(xiàn)數(shù)據(jù)安全前提下的充分合理應用[36-37]。長期的探索和實踐，并伴隨臨床研究和醫(yī)療數(shù)據(jù)、信息技術的發(fā)展，是不斷前進的長期課題。

3 完善信息安全策略促進數(shù)據(jù)的合理充分利用

信息安全是信息技術應用中的重要組成部分。在真實世界數(shù)據(jù)研究的多個應用環(huán)節(jié)，信息安全都必須給予足夠重視，無論在數(shù)據(jù)管理過程[33]還是數(shù)據(jù)治理過程中[38-39]，數(shù)據(jù)安全都是工作的核心內容之一[40-41]。

從技術角度看，信息安全工作包括物理安全、數(shù)據(jù)安全和應用安全3 個方面[36]。

3.1 物理安全

物理安全是數(shù)據(jù)信息處置的物理性過程。需要考慮存儲設備及其運行過程可能的安全性需要。包括存儲設施的物理性損壞、遠程攻擊、病毒防御、電磁環(huán)境失穩(wěn)等可能的影響。物理安全的工作要點主要包括：容災備份與數(shù)據(jù)恢復措施、互聯(lián)網(wǎng)攻擊防范措施、木馬病毒防范措施、數(shù)據(jù)加密、數(shù)據(jù)源鑒別、讀寫權限控制等。以上工作要求通過技術人員的努力實現(xiàn)。對于臨床研究者，以上任務需要了解而非安全工作的重點。在工作安排中，應充分考慮物理安全需求，對設備的選擇、網(wǎng)絡安全設施與技術的應用和讀寫權限管理策略。

3.2 數(shù)據(jù)安全

數(shù)據(jù)安全是針對數(shù)據(jù)信息本身的安全性措施。因此，審慎考慮個人數(shù)據(jù)信息的隱私特征和關鍵性以及“數(shù)據(jù)池”所提供的信息所針對的主體特征和權益及其信息保護要求是工作的重點。通常針對不同屬性的數(shù)據(jù)構建數(shù)據(jù)安全等級制度，對不同重要程度的數(shù)據(jù)制定相應的安全措施，給予分級管理。

首先，明確數(shù)據(jù)權益是數(shù)據(jù)安全工作的第一個要點?！渡钲诮洕貐^(qū)數(shù)據(jù)條例》[23]中指出：“自然人對個人數(shù)據(jù)享有法律、行政法規(guī)及本條例規(guī)定的人格權益”“自然人、法人和非法人組織對其合法處理數(shù)據(jù)形成的數(shù)據(jù)產品和服務享有法律、行政法規(guī)及本條例規(guī)定的財產權益。但是，不得危害國家安全和公共利益，不得損害他人的合法權益”，并明確了數(shù)據(jù)應用的知情同意與撤回知情同意原則[22]。明確的數(shù)據(jù)權益與知情同意原則為數(shù)據(jù)安全提供了重要前提，也是數(shù)據(jù)安全工作的重要內容。人格權益明確了數(shù)據(jù)的所有權，醫(yī)療源數(shù)據(jù)的所有權歸屬于數(shù)據(jù)來源者；而當醫(yī)療源數(shù)據(jù)被用于真實世界數(shù)據(jù)研究之中，通過合理的處置，將成為適用于臨床研究的真實世界數(shù)據(jù)組成部分。在合理的隱私信息保護前提下，所形成的研究數(shù)據(jù)集合則成為了具有應用價值的數(shù)據(jù)產品，也就擁有了相應的財產權。人格權益和財產權益的區(qū)分使得數(shù)據(jù)在充分尊重所有權的前提下實現(xiàn)了可利用性。與此同時，用益權[42]的提出則為應用環(huán)節(jié)的權力歸屬和獲益做出了重要的探索。

其次，數(shù)據(jù)安全等級劃分是在獲得數(shù)據(jù)安全保護前提下實現(xiàn)充分利用的重要環(huán)節(jié)。只有形成既充分滿足安全性要求又能滿足研究需要的數(shù)據(jù)安全等級制度才能為數(shù)據(jù)應用提供保障。因此，在法律法規(guī)的原則指引下，針對研究領域的具體數(shù)據(jù)類型、規(guī)模、屬性形成有針對性的、有可操作性的、足夠詳細的等級劃分體系，并針對不同安全等級的數(shù)據(jù)依據(jù)其重要性和實際意義形成相對應的安全性策略是真正落實數(shù)據(jù)安全工作的核心任務。很顯然這是一個逐步完善并需要不斷適應研究數(shù)據(jù)特征變化的長期任務。

此外，數(shù)據(jù)安全工作還需遵循全生命周期保護原則，并通過數(shù)據(jù)脫敏等技術手段盡可能在保護隱私信息安全的前提下，促進數(shù)據(jù)利用。所包括的工作要點有：數(shù)據(jù)脫敏、數(shù)據(jù)水印技術、數(shù)據(jù)加密傳輸技術等。

就臨床研究而言，數(shù)據(jù)的可溯源性和個人信息的隱私保護須并重方可實現(xiàn)數(shù)據(jù)的可利用性與研究數(shù)據(jù)質量的基本要求。因此，數(shù)據(jù)匿名化、數(shù)據(jù)脫敏是重要的技術手段。通過匿名化可以有效地保護個人隱私信息[22]，避免出現(xiàn)個人信息泄露的風險，同時也保留了作為研究數(shù)據(jù)對于群體特征的表征能力，滿足臨床研究的數(shù)據(jù)需求實現(xiàn)可利用性。但匿名化、脫敏過程也給數(shù)據(jù)的溯源帶來了一定的困難。在臨床研究中，醫(yī)療機構作為臨床醫(yī)療和臨床研究的實施主體，在信息化建設完備的基礎上具備完成數(shù)據(jù)存儲任務并實施數(shù)據(jù)脫敏和脫敏數(shù)據(jù)移交的能力。同時，醫(yī)療機構作為醫(yī)療服務的提供者，保護患者隱私同樣責無旁貸。國家衛(wèi)生健康委 于2020 年12 月31 日 頒 布的《醫(yī)療衛(wèi)生機構開展研究者發(fā)起的臨床研究管理辦法（征求意見稿）》[43]中明確指出：“機構應當建立臨床研究源數(shù)據(jù)的管理體系，實現(xiàn)集中統(tǒng)一存儲，保障臨床研究數(shù)據(jù)在收集、記錄、修改、處理和保存過程中的真實性、完整性、規(guī)范性、保密性，確保數(shù)據(jù)可查詢、可溯源?！币虼耍劳嗅t(yī)院臨床研究源數(shù)據(jù)管理體系實現(xiàn)研究數(shù)據(jù)的存儲和利用是重要的真實世界研究數(shù)據(jù)安全解決途徑[44-46]。從患者醫(yī)療信息安全角度看，數(shù)據(jù)被完整保存在醫(yī)療服務機構避免了隱私信息外泄的可能。同時，依托先進的信息技術實現(xiàn)數(shù)據(jù)脫敏，保障數(shù)據(jù)應用是可以實現(xiàn)的。更重要的是，臨床研究數(shù)據(jù)的可溯源性是數(shù)據(jù)質量的重要原則和標準。依托醫(yī)療機構的數(shù)據(jù)存儲和脫敏處理最大程度契合了臨床研究數(shù)據(jù)真實性核查的工作要求，為源數(shù)據(jù)檢查、充分體現(xiàn)研究數(shù)據(jù)的內部真實性提供了最為便捷的工作路徑。

3.3 應用安全

應用安全是數(shù)據(jù)應用過程中所需要采取的安全性措施。通過對數(shù)據(jù)應用者使用權限的控制，在滿足應用需要的情況下，減小數(shù)據(jù)安全風險，實現(xiàn)合理安全應用。 其中，所涉及的工作策略主要包括：基于使用者角色特征建立訪問權限管理體系；針對不同安全等級和數(shù)據(jù)類別制定訪問權限管理要求；從研究目的和要素出發(fā)，建立最小化業(yè)務需求的訪問規(guī)則；在保障應用需要的情況下，盡最大可能降低安全性風險；通過個人電腦加密措施等降低應用過程的數(shù)據(jù)風險。

4 小結

綜上所述，在信息技術充分發(fā)展的今天，信息安全是所有應用領域都必須高度重視的問題。在真實世界研究場景下，數(shù)據(jù)的充分利用是以充分保障信息安全為前提的。首先，需要在明確數(shù)據(jù)所有權的前提下，以充分的知情同意為應用前提。其次，在法律法規(guī)不斷完善的同時，需要構建針對特定應用范疇及數(shù)據(jù)特點的安全性等級分類與保護策略。最后，從物理安全、數(shù)據(jù)安全、應用安全各角度構建完整的信息安全保護體系，促進充分的數(shù)據(jù)利用。