医院密码应用改造先改哪几处：从电子病历到数据链路
医院做密码应用改造，难的地方往往不在技术，而在排序。一家三级医院跑着几十个系统，HIS、电子病历、LIS、PACS、互联网医院建设年代各不相同，业务又要求 7×24 小时不断，改造窗口是零碎的。钱要花在刀刃上，就得先弄清楚哪几处不改就一定过不了。
一、先把行业依据钉死
《密码法》第二十七条是密评的法律源头；《商用密码应用安全性评估管理办法》第六条把"三同步一评估"写成硬要求——同步规划、同步建设、同步运行密码保障系统，并定期开展密评。
医疗行业另有一层直接依据。《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29 号，2022 年 8 月 8 日印发）第二条明确重点保障关键信息基础设施、等保第三级及以上网络以及重要数据和个人信息安全；第十五条要求在网络建设过程中同步规划、同步建设、同步运行密码保护措施，使用符合相关要求的密码产品和服务；第三十条要求保障密码保障系统建设经费投入。数据侧还有 GB/T 39725—2020《信息安全技术 健康医疗数据安全指南》，2021 年 7 月 1 日实施，给出健康医疗数据的分类体系与分级安全措施要点。
二、第一优先：电子病历的签名与时间戳
这一处几乎是所有医院的第一批，因为它同时踩中行业规范和密评指标。《电子病历应用管理规范（试行）》（2017 年 4 月 1 日施行）第十条写明可靠的电子签名与手写签名或盖章具有同等法律效力；第十一条要求电子病历系统应当采用权威可靠时间源；第十四条要求保存历次操作印痕、标记操作时间和操作人员信息，并保证可查询、可追溯。
对照 GB/T 39786—2021 附录 A 第三级，这一段落在应用和数据层的"不可否认性"和"重要数据存储完整性"上。改造动作有三个：
- 签名服务落地：病历书写、审阅、修改、归档各环节调用签名验签服务器或协同签名系统，签名值与病历数据一起存储，不能只签一份索引。
- 时间源独立：接时间戳服务器取权威时间源，不要用应用服务器本地时间代替。
- 身份标识升级：把账号口令这层换成基于密码技术的身份鉴别。
常见漏项是：只做了登录环节的身份认证，正文内容没有签名；归档后修改没有留痕；时间戳只在数据库里记了个字段，没有可信的时间戳令牌。
三、第二优先：患者隐私数据的传输与存储
医院手里的数据密度高——诊疗记录、检验检查结果、医学影像、身份标识、结算信息，还有人脸采集数据。上述管理办法第二十二条把要求写得很具体：数据收集环节采取数据脱敏、数据加密、链路加密等防控措施；在数据分类分级基础上明确不同安全级别数据的加密传输要求，加强接口安全控制；存储环节采取备份、加密等措施。
对应到密评指标，是网络和通信层的"通信过程中重要数据的机密性（应）"，以及应用和数据层的"重要数据传输机密性（应）""重要数据存储机密性（应）"。改造顺序建议是：
- 先做数据分类分级，圈定哪些字段属于重要数据，避免全库加密带来的性能与改造成本失控；
- 再补链路——跨院区专线、互联网医院入口、医联体与区域平台接口，逐段核实抓包是否还能看到明文；
- 最后补存储——影像文件、导出文件、备份介质、日志归档这几处最容易漏。
算法上应当选用 SM2、SM3、SM4、SM9、ZUC 等国家标准算法。自行拼接的杂凑或对称实现，现场通常要求提供合规性与安全性证明，拿不出来很难被认定为有效。
四、第三优先：身份鉴别与运维通道
四个技术层面里，身份鉴别在第三级大多为"应"：网络和通信层、设备和计算层、应用和数据层都有这一项，设备和计算层还有"远程管理通道安全（应）"。医院的特殊性在于接入方多——多院区运维、医疗设备厂商远程维保、第三方检验机构对接，管理办法第十一条、第十六条对这些场景都提出了评估论证与安全管理要求。
这一层的路径相对清晰：运维通道用国密 SSL VPN 网关或 IPSec VPN 网关替换明文通道，统一身份认证平台对接密码机完成身份鉴别，第三方接入统一收敛到网关之后并留存审计记录。
五、第四优先：密钥管理与管理体系
管理要求在第三级全部为"应"。密钥管理是重灾区：密钥应当在密码产品内部完成生成、存储、分发、使用、更新、销毁的全生命周期，明文落在配置文件或者数据库里的做法属于高风险情形。管理办法第十二条还要求运营者安排密钥管理员、密码安全审计员、密码操作员配合评估——这三个岗位要落到具体的人，写上岗位职责。
六、排序方法：四步走
- 摸底（约 2—4 周）：梳理网络与系统资产、数据分类分级结果，明确评估范围。
- 方案编制与方案评估：形成商用密码应用方案，按办法第七条先做方案评估，方案未通过的不得作为建设依据。
- 分批改造：第一批签名与时间戳、传输与存储加密；第二批身份鉴别与运维通道；第三批密钥管理与制度文件。
- 系统评估与备案：运行前开展系统评估，通过后投入运行，此后每年至少一次；报告形成后 30 日内向所在地省级密码管理部门备案。
整体周期通常在数周到数月之间，取决于纳入范围的系统数量、改造起点和可停机窗口，具体以属地要求和项目实际情况为准。
七、几个高频坑
只采购密码产品但不改应用，数据仍走明文；把等级保护里的加密要求等同于密评要求，两套指标口径并不一致；改造完成即止，忽略了每年至少一次的复评。
密码应用改造不是一次性工程。若需要梳理优先级，可以先做一次差距分析，把"必改项"和"可后补项"分清，再排资金与工期。更多评估要点可参考密评机构与资质说明、等级保护测评流程、相关标准清单与密评专栏文章。