简介：ISO 27799-2016标准翻译（格式修订）面向医疗健康组织、个人健康信息保管人及隐私安全合规从业者，解决健康信息安全管理中如何基于ISO/IEC 27002:2013扩展落地的问题。内容围绕健康信息的机密性、完整性、可用性展开，并涉及信息治理、公司治理与临床治理的关系、健康信息面临的威胁与脆弱性、适用对象及使用收益等主题，可辅助读者理解标准条款与医疗行业特殊控制要求。资源包共1个PDF文件，约2.29MB，为中文翻译版并做了格式修订，便于检索目录、对照条款和制作内部培训材料。已有1113人学习下载，适合信息安全管理者、医疗信息化人员、合规审计与咨询顾问用来梳理安全管理框架、准备认证审核或编写制度文档时参考。

1. 一份病历为什么比银行卡更值得上锁：ISO 27799 到底管什么

去挂号，你会发现单据上你的名字后面跟着一串编号，而不是完整的身份证号；护士站的屏幕上，也只显示她负责的那几张床。这些看起来理所当然的细节，背后其实有一套成文的规矩，ISO 27799-2016 就是把这套规矩写清楚的那份医疗健康标准。它的全名有点长——《健康信息学 使用 ISO/IEC 27002 进行健康信息安全管理》，说的是一件很朴素的事：医疗健康领域的隐私安全，不能照搬其他行业的做法，得有自己的章法。搞懂它，你才明白医院信息科那些看似繁琐的规定究竟在防什么，也才知道一份病历为什么比一张银行卡更值得上锁。

2. 从通用清单到病房现场：ISO 27799 和 ISO/IEC 27002 是什么关系

2.1 ISO/IEC 27002 是一份通用清单，并非只针对医疗行业

要讲清楚 ISO 27799，得先把它的“母本”搬出来。ISO/IEC 27002 是信息安全领域里流传最广的一份实践指南，业界通常把它理解成一本“安全措施菜单”：它把组织该考虑的安全动作分门别类列出来，2013 年那一版分成 14 个安全域，从信息安全策略、组织的信息安全、人力资源安全、资产管理一路排到合规性，下面挂着 35 个控制类别、114 项控制措施。每一项控制措施都配一段实施指南，告诉你这条大概该怎么落地。

它的特点恰恰也是它的局限——通用。银行要用它，电商要用它，制造业要用它，医院也要用它。为了让所有人都能用，它只能把话说得很中性：资产要清点、权限要分配、介质要管理、事件要上报。至于“资产”在你这行具体指什么，“权限”该分到多细，“介质”是 U 盘还是胶片，它一概不展开。

打个比方，ISO/IEC 27002 像一本全国通用的建筑施工规范，告诉你承重墙不能随便拆、消防通道要留够宽度。但真要盖一座传染病楼，光有这本通用规范是不够的，你还得知道负压病房怎么排风、污染区清洁区怎么分区。

2.2 ISO 27799 只做了三件事：沿用、增加、适配

很多人以为 ISO 27799 是另起炉灶写了一整套新体系，其实不是。它跟 ISO/IEC 27002 的关系非常紧密：章节编号、控制类别、控制目标，一条不落地对齐，然后在每条下面做加减法。从项目正文那份双语对照的目录就能看得很清楚，标准正文里几乎每一条都长成同一个样子：

• Control 控制措施：27002 的原话，规定“要做什么”
• Health-specific control 医疗健康特定控制措施：针对医疗场景额外增加的要求
• Implementation guidance 实施指南：通用的落地做法
• Health-specific implementation guidance 医疗健康特定实施指南：医疗场景专用的落地做法
• Other information 其他信息/Other health-specific information 其他医疗健康特定信息：补充说明和延伸阅读

所以 ISO 27799 干的事情可以概括成三个动作：沿用通用骨架，增加医疗场景特有的要求，适配通用的行话。它没有推翻 ISO/IEC 27002，更像是在那份通用清单上，用医疗行业的语言重写了一遍批注。

这也解释了为什么目录里会出现“No additional guidance for information security management in health. 没有健康信息安全管理的附加指南”这样的句子——某条控制措施在医疗场景下确实没有额外要说的，标准就老老实实写一句“没有”，而不是硬凑内容。这种克制，反而是它可信的地方。

2.3 通用的安全清单，为什么套不进病房

有人会问：ISO/IEC 27002 已经够全了，医院照着做不行吗？行，但会漏。漏的地方不在于措施不够，而在于同样的措施放到医疗场景里，权重和解释完全变了。

第一是资产的性质。一家公司的核心资产可能是代码、客户名单、财务报表，丢了是经济损失。医院的核心资产是一份份病历、一张张影像、一串串检验结果，丢了不只是经济损失——它涉及一个人的病史、家族遗传信息、生育记录、精神科就诊史。这类信息一旦泄露，影响可能持续几十年，甚至波及亲属。项目正文里那句话说得挺重：任何违反机密性的事件，都可能给患者带来社会、经济甚至身体健康层面的负面影响。

第二是时间尺度。普通业务数据的生命周期可能是几个月到几年，而一份病历的保存周期往往以十年计，人去世之后仍可能有留存价值。这意味着访问控制、介质管理、归档销毁这些事，在医疗场景下的复杂度要高一个量级。

第三是用的人杂。医院里能碰到患者信息的角色太多了：正式医生、进修医生、实习生、规培生、护士、技师、收费窗口、病案室、外包维保、第三方影像服务商。职务分离、权限回收、离职交接这些通用条款，在医院里要对着十几类人逐一落地。

第四是失败的后果不一样。一次拒绝服务攻击打在一个电商网站上，损失的是下单量和口碑；打在医院的门急诊系统上，可能直接导致挂号、开单、取药全线停摆，正在抢救的病人调不出既往用药记录。同样是“可用性”，重量完全不同。

所以 ISO 27799 存在的理由很直接：通用清单告诉你该做哪些事，行业标准告诉你这些事在你这行该做到什么程度、按什么优先级排、由谁来拍板。

3. 机密性、完整性、可用性：健康信息的三根柱子怎么立起来

3.1 机密性：一次泄露可能跟一个人一辈子

机密性这三个字听起来抽象，落到医院里全是具体画面：门诊叫号屏上打出的全名、自助打印机吐出来的检验单、影像云胶片分享出去的链接、医生把患者名单导出到个人网盘。这些动作在技术上都不复杂，但每一个都可能把“只有该看的人能看”这条线扯断。

标准里对机密性的要求，本质上是在回答三个问题：谁能看、看到什么程度、看多久。谁能看，对应的是身份识别和访问控制；看到什么程度，对应的是信息分类分级——同样是病历，精神科记录和普通门诊记录的敏感级别显然不该一样；看多久，对应的是权限的时效性，一个医生调岗或离职之后，他手上那些权限不该继续留着。

这里面最容易翻车的地方，是把“方便”当成了默认值。为了方便会诊，给一大批人开通用账号；为了方便查房，把整层楼的病历权限打通；为了方便第三方做影像分析，直接给一个长期有效的访问入口。每一次让步单看都能找到理由，攒起来就是一个巨大的口子。ISO 27799 要求医疗健康组织在通用控制措施之外额外考虑的，正是这些“为了方便而开的口子”该怎么收。

3.2 完整性：错一个血型，比泄露更致命

完整性指的是信息在整个生命周期里保持准确、完整，没有被恶意篡改，也没有被意外破坏。放到医疗场景里，这条柱子的分量可能比机密性还重。

想像一个场景：一位患者的血型记录在系统里被误写成另一种，或者过敏史字段在数据迁移时丢了一段。这种问题不会报警，不会弹窗，系统运行得好好的，直到某一天医生照着这条记录下了医嘱。机密性出问题，伤害的是隐私；完整性出问题，伤害的是身体。

所以标准在完整性上强调的动作，都围绕着“可追溯”三个字：谁在什么时候改了哪一条记录、改之前是什么、改之后是什么、改的理由是什么。数据变更记录、版本留痕、审核机制、备份策略，这些听起来很枯燥的东西，其实是给每一次修改留下的痕迹。真出了事，你得能倒推回去看到底是哪一步出的错。

医疗行业还有一个特殊之处：信息不是一次写成就永远不变的。诊断会修正，用药方案会调整，影像报告会补充。这种“允许修正但不能抹掉”的需求，对系统设计提出了比普通业务系统更高的要求——你需要的是追加式的修改，而不是覆盖式的修改。

3.3 可用性：急诊室断网的那十分钟

可用性是最容易被低估的一根柱子，因为在系统正常运行的时候，它完全没有存在感。但医院的信息系统一旦停摆，后果是立刻的、肉眼可见的。

标准里提到，健康信息系统要能在自然灾害、系统故障和拒绝服务攻击面前保持运行，这句话背后是一整套设计取舍：关键系统要不要做双活，本地要不要留离线应急流程，断网的时候纸质单据怎么开、事后怎么补录，灾难恢复演练多久做一次，恢复目标定在几分钟还是几小时。

提示：可用性指标不是拍脑袋定的。急诊、手术、ICU 这类场景的容忍中断时间，和体检中心、病案统计完全不同，得按业务重要性分层定，再倒推投入。

还有一个容易被忽略的点：可用性不只是“服务器别宕机”，还包括“数据在需要的时候能被找到”。一个系统二十四小时在线，但某份三年前的影像因为归档策略问题调不出来，对这种临床场景来说同样是一次可用性事故。

3.4 可审核性：医疗场景多出来的那一根柱子

项目正文里特意提到，除了机密性、完整性和可用性，健康信息还需要保障“可审核性”。这一条在很多通用安全框架里是隐含的，但在医疗场景必须单独摆到台面上。

原因很简单：医疗行为本身就需要被追溯。一次会诊是谁发起的、谁看过这份病历、谁在什么时候调阅了不属于自己科室的患者信息、某条医嘱是谁下的、谁执行的——这些问题在出了纠纷或者事故之后，全都要有答案。可审核性要求的是把“谁在什么时间做了什么”完整地记下来，并且这份记录本身也要受保护，不能被人事后修改。

这就形成了一个有意思的闭环：为了保障机密性，你要限制访问；为了保障可审核性，你要记录访问。于是访问日志本身成了高敏感资产，它的权限、留存周期、审计方式，都得单独设计。很多组织在这一点上栽跟头，日志开着，但没人看，或者谁都能改，等于没有。

4. 翻开标准正文：一份 ISO 27799 的骨架长什么样

4.1 章节编号为什么从 5 开始

拿到这份译文翻目录，你会发现一个细节：前面几章是范围、规范性引用文件、术语和定义、标准结构，编号 1 到 4；然后正文直接跳到“5 信息安全策略”“6 信息安全的组织”“7 人力资源安全”“8 资产管理”。

这不是漏译，是有意为之。ISO 27799 的正文部分刻意跟 ISO/IEC 27002:2013 的条款编号对齐，27002 的第 5 章是信息安全策略，第 6 章是组织的信息安全，第 7 章是人力资源安全，第 8 章是资产管理。这样对齐的好处非常实在：你拿着 27002 和 27799 两本书并排放，翻到同一个数字就能看到同一条控制措施的“通用版”和“医疗版”，不需要来回查对照表。

对齐编号这个做法看着小事，实际是标准写作里的一种体贴。它让“我这条到底有没有医疗附加要求”这个问题，变成一个查编号的动作，而不是一次全文检索。

4.2 一条控制措施的读法：四段式结构

前面提过每条控制措施都是四段式，这里具体拆开看。下面这个结构是按这份译文的排布抽象出来的骨架示意，不是原文逐字摘录，但层级关系是一致的：

# ISO 27799 中一条控制措施的阅读骨架（示意） control_id: 8.1.1 # 与 ISO/IEC 27002:2013 的条款编号完全一致 control_name: Inventory of assets # 资产清单 control: | # 第一层：通用要求，来自 27002 描述这条控制措施要达成什么目标，语言保持行业中性。 health_specific_control: | # 第二层：医疗场景加码，27002 里没有 针对健康信息给出的额外要求，没有附加要求时此段可能省略。 implementation_guidance: | # 第三层：通用落地做法 说明具体怎么实现，可能涉及流程、职责、记录。 health_specific_implementation_guidance: | # 第四层：医疗落地做法 把上一层的做法翻译成医疗场景的动作，是这个标准真正的价值所在。 other_information: | # 补充说明，可选 延伸阅读、相关条款指引。

这个四段式值得单独说一句，因为它是阅读节奏的关键。很多人读标准读不下去，是因为把四层当一层读，看到“资产清单”就开始想自己科室有几台电脑，结果漏掉了后面专门讲“患者病历算不算资产、影像归档算不算资产”的那段。正确的读法是先扫第一层知道要做什么，再重点读第二层和第四层——这两层才是这份标准区别于通用清单的地方。

参数上还有个小细节：不是每条都有health_specific_control。有的条款医疗场景没有额外要求，标准会直接写“没有健康信息安全管理的附加指南”，这句话本身就是信息，它告诉你这条按通用做法执行就行，不用再找医疗专用解释。

4.3 “没有附加指南”这句话，为什么也是有效信息

读标准的人容易有一种心理：看到“无附加要求”就觉得这段白读了。恰恰相反，在一个逐条对齐的结构里，“这里没加东西”是一个明确的信号。

它意味着两件事。一是这条控制措施在医疗场景下没有超出通用范畴的特殊性，照 27002 做即可，不用过度设计。二是它划出了重点范围——你可以反推出，那些写了大量医疗附加内容的条款，才是这个行业真正棘手的地方。翻一遍目录，看哪些条款下面挂了大段Health-specific，哪些只写了“没有”，重点自然就浮现出来了。

这也是一种阅读策略：时间有限的时候，先读有附加内容的部分。

4.4 双语对照和格式修订，解决了什么实际问题

这份资源是 2016 版标准的中文翻译，标注了“格式修订”。从目录能看出来，它保留了中英文并列的标题体系——Foreword 前言、Scope 范围、Terms and definitions 术语和定义，一直细到Segregation of duties 职务分离这种具体条款名。

这种处理对读标准的人来说很实用。标准文本里有些词是中英对不上的，比如control译成“控制措施”还是“控制”，healthcare organization译成“医疗保健组织”还是“医疗机构”，subject of care译成“护理对象”还是“照护对象”，不同译本可能不一样。中英并列意味着你在跟外部顾问、认证机构或者内部同事沟通时，可以随时把英文原词摆出来对齐理解，不用猜对方说的是不是同一条。

格式修订的另一层意义在于结构。标准原文的层级很深，从章到条到款，加上四段式的固定小标题，如果排版没理顺，读起来会非常乱。把编号层级、双语标题、段落归属整理清楚，本身就是在降低阅读成本。

5. 易混概念逐个拆：ISO 27799 不是你以为的那个标准

5.1 易混点一：把它当成一个可以拿证的认证标准

混淆在哪：很多人第一次听说 ISO 27799，第一反应是“那我们是不是可以去做个 27799 认证”。

为什么容易搞混：ISO 这个前缀天然带着“标准”和“认证”的联想，加上信息安全领域里确实有一个能认证的标准，名字还很像。

怎么区分：能认证的是 ISO/IEC 27001，它规定了信息安全管理体系的要求，可以审核、可以发证。ISO/IEC 27002 是实践指南，告诉你控制措施怎么落地，本身不可认证。ISO 27799 站在 27002 这一侧，它是行业指南，给你解释和补充，也不发证。一家医院如果想去拿证，路径是建 27001 体系，控制措施参照 27002，医疗部分的特殊性参照 27799。

5.2 易混点二：以为 27001、27002、27799 是三选一

混淆在哪：看到三个编号，下意识觉得要挑一个用。

为什么容易搞混：三份文件的名称里都带“信息安全”，看起来像三个平行选项。

怎么区分：它们是一条链上的三个环节。27001 说“你得有一套管理体系，并且持续改进”，是要求；27002 说“这套体系里的控制措施具体有哪些、怎么做”，是菜单；27799 说“菜单放到医疗行业里，哪几道菜要加料、怎么加”，是行业注解。真实的使用方式是叠着用，不是选着用。

5.3 易混点三：把标准和法规当成一回事

混淆在哪：认为符合了 ISO 27799，就等于满足了所有合规要求。

为什么容易搞混：两者都在谈个人健康信息的保护，用词也高度重合——机密性、完整性、可用性、访问控制、审计。

怎么区分：法规是“必须做，不做有后果”，标准是“建议这么做，这么做更稳妥”。法规通常规定底线和罚则，标准提供方法论和最佳实践。一个组织可能完全符合某部法规的字面要求，但安全水平一般；也可能按标准建得挺扎实，仍需要针对具体法规条款做额外适配。把标准当成法规的替代品，是典型的踩坑姿势。

5.4 易混点四：以为健康信息只存在于医院里

混淆在哪：觉得这份标准是给医院信息科看的，跟自己没关系。

为什么容易搞混：名称里带“健康”，直觉上就指向医疗机构。

怎么区分：标准覆盖的是“医疗保健组织和其他个人健康信息保管人”。除了医院、诊所，还包括体检机构、检验中心、影像中心、健康管理平台、可穿戴设备厂商、保险机构的健康险业务、科研机构的队列数据、高校的临床研究项目。只要你在处理能关联到具体个人的健康数据，这套框架就适用。

5.5 易混点五：把可用性理解成“服务器别宕机”

混淆在哪：一谈可用性就想到机房、带宽、备份，觉得那是运维的事。

为什么容易搞混：可用性这个词在 IT 语境里被用得太多，已经固化成技术指标了。

怎么区分：在医疗场景里，可用性首先是业务流程问题。断网时挂号窗口怎么办、纸质处方怎么开、检验结果怎么人工传递、恢复后怎么补录、补录的数据怎么保证不出错——这些是流程设计，不是服务器配置。技术只是支撑，业务连续性才是目的。只盯着设备在线率，忽略离线预案，属于典型的“指标好看，一断就乱”。

6. 什么时候该翻它，什么时候别翻：一份使用边界

手头这份译文，更适合当成一本“查阅型”资料，而不是从头读到尾的书。它的价值集中在第二层和第四层——那些Health-specific开头的段落，是通用标准里找不到的东西。

该翻的场景：你在为一家医疗相关机构梳理信息安全体系，需要知道通用控制措施在医疗场景下要加什么；你在做健康类产品的隐私设计，想搞清楚病历、影像、检验数据在分类分级上有什么特殊要求；你在准备内部审计或者应对第三方的安全评估，需要一个说得清依据的框架；你在写制度文件，需要把“为什么要这么规定”讲明白，而不是只写“按规定执行”。

不必翻的场景：你只是想要一份能照着打勾的清单——这份标准不给打勾表，它给的是解释；你想拿它去做认证——认证路径在别处；你所在的业务根本不碰个人健康信息，那读它属于时间错配；你想找具体的技术配置参数，比如某个加密算法该用多少位密钥——这类内容不在它的射程内，它是管理层面的指南。

还有一个判断标准：如果你读完之后，脑子里冒出的问题是“那我们科室的权限该怎么分”，说明你用对了；如果冒出的问题是“所以到底该买什么设备”，说明你找错书了。

我自己的习惯是，每次碰到一份行业标准，先花十分钟只做一件事：把目录里所有带“行业特定”字样的段落标出来，看看它们在总条款里占多大比例、集中在哪几章。比例高的章节就是这行的痛点所在，先读那里，剩下的按需查。这个动作花不了多少时间，但能避免从头读到尾、读完还是不知道重点在哪的血泪经验。至于那些写“没有附加指南”的条款，我一般直接跳过，等真要用的时候再回来对一遍编号。

从那以后我每次拿到一份标准译文，都强制走一遍“先标附加段落、再对编号、最后才读正文”的流程，几乎没再出现过读完一遍脑子里空荡荡的情况。希望帮到你。

本文还有配套的精品资源，点击获取