【 关键词 】 内蒙古电力公司信息系统；信息安全；风险评估；探索与思考
The Exploration and Inspiration of Risk Assessment on Information Systems
in Inner Mongolia Power （Group） Co.， Ltd.
Ao Wei 1 Zhuang Su-shuai 2
（1.Information Communication Branch of the Inner Mongolia Power （Group）Co.， Ltd Inner MongoliaHohhot 010020；
2.Beijing Certificate Authority Co.， Ltd Beijing 100080）
【 Abstract 】 Based on the conduct of information security risk assessment in Inner Mongolia Power （Group） Co. Ltd.， we analyzed the general methods of risk assessment on power information systems. Besides， we studied the techniques and overall process of risk assessment on power information systems in Inner Mongolia Power （Group） Co. Ltd.， whose exploration provides valuable inspiration to information security in electric power industry.
【 Keywords 】 information systems of Inner Mongolia Power （Group） Co.， Ltd.； information security； risk assessment； exploration and inspiration
1 引言
目前，电力行业信息安全的研究只停留于网络安全防御框架与防御技术的应用层面，缺少安全评估方法与模型研究。文献[1]-[3]只初步分析了信息安全防护体系的构架与策略，文献[4]、[5]研究了由防火墙、VPN、PKI和防病毒等多种技术构建的层次式信息安全防护体系。这些成果都局限于单纯的信息安全保障技术的改进与应用。少数文献对电力信息安全评估模型进行了讨论，但对于安全风险评估模型的研究都不够深入。文献[6]、文献[7]只定性指出了安全风险分析需要考虑的内容；文献[8]讨论了一种基于模糊数学的电力信息安全评估模型，这种模型本质上依赖于专家的经验，带有主观性；文献[9]只提出了一种电力信息系统安全设计的建模语言和定量化评估方法，但是并未对安全风险的评估模型进行具体分析。
本文介绍了内蒙古电力信息系统风险评估的相关工作，并探讨了内蒙古电力信息系统风险评估工作在推动行业信息安全保护方面带给我们的启示。
2 内蒙古电力信息安全风险评估工作
随着电网规模的日益扩大，内蒙古电力信息系统日益复杂，电网运行对信息系统的依赖性不断增加，对电力系统信息安全的要求也越来越高。因此，在电力行业开展信息安全风险评估工作，研究电力信息安全问题，显得尤为必要。
根据国家关于信息安全的相关标准与政策，并根据实际业务情况，内蒙古电力公司委托北京数字认证股份有限公司（BJCA）对信息系统进行了有效的信息安全风险评估工作。评估的内容主要包括系统面临的安全威胁与系统脆弱性两个方面，以解决电力信息系统面临的的安全风险。
3 电力系统信息安全风险评估的解决方案
通过对内蒙古电力信息系统的风险评估工作，我们可以总结出电力信息系统风险评估的解决方案。
4 电力信息系统风险评估的流程
电力信息系统风险评估的一般流程。
（1） 前期准备阶段。本阶段为风险评估实施之前的必需准备工作，包括对风险评估进行规划、确定评估团队组成、明确风险评估范围、准备调查资料等。
（2） 现场调查阶段：实施人员对评估信息系统进行详细调查，收集数据信息，包括信息系统资产组成、系统资产脆弱点、组织管理脆弱点、威胁因素等。
（3） 风险分析阶段：根据现场调查阶段获得的相关数据，选择适当的分析方法对目标信息系统的风险状况进行综合分析。
（4） 策略制定阶段：根据风险分析结果，结合目标信息系统的安全需求制定相应的安全策略，包括安全管理策略、安全运行策略和安全体系规划。
5 数据采集
在风险评估实践中经常使用的数据采集方式主要有三类。
（1） 调查表格。根据一定的采集目的而专门设计的表格，根据调查内容、调查对象、调查方式、工作计划的安排而设计。常用的调查表有资产调查表、安全威胁调查表、安全需求调查表、安全策略调查表等。
（2） 技术分析工具。常用的是一些系统脆弱性分析工具。通过技术分析工具可以直接了解信息系统目前存在的安全隐患的脆弱性，并确认已有安全技术措施是否发挥作用。
（3） 信息系统资料。风险评估还需要通过查阅、分析、整理信息系统相关资料来收集相关资料。如：系统规划资料、建设资料、运行记录、事故处理记录、升级记录、管理制度等。
a） 分析方法
风险评估的关键在于根据所收集的资料，采取一定的分析方法，得出信息系统安全风险的结论，因此，分析方法的正确选择是风险评估的核心。
结合内蒙电力信息系统风险评估工作的实践，我们认为电力行业信息安全风险分析的方法可以分为三类。
定量分析方法是指运用数量指标来对风险进行评估，在风险评估与成本效益分析期间收集的各个组成部分计算客观风险值，典型的定量分析方法有因子分析法、聚类分析法、时序模型、回归模型、等风险图法等。
定性分析方法主要依据评估者的知识、经验、历史教训、政策走向及特殊案例等非量化资料对系统风险状况做出判断的过程。在实践中，可以通过调查表和合作讨论会的形式进行风险分析，分析活动会涉及来自信息系统运行和使用相关的各个部门的人员。
综合分析方法中的安全风险管理的定性方法和定量方法都具有各自的优点与缺点。在某些情况下会要求采用定量方法，而在其他情况下定性的评估方法更能满足组织需求。
表1概括介绍了定量和定性方法的优点与缺点。
b） 质量保证
鉴于风险评估项目具有一定的复杂性和主观性，只有进行完善的质量控制和严格的流程管理，才能保证风险评估项目的最终质量。风险评估项目的质量保障主要体现在实施流程的透明性以及对整体项目的可控性，质量保障活动需要在评估项目实施中提供足够的可见性，确保项目实施按照规定的标准流程进行。在内蒙古电力风险评估的实践中，设立质量监督员（或聘请独立的项目监理担任）是一个有效的方法。质量监督员依照相应各阶段的实施标准，通过记录审核、流程监理、组织评审、异常报告等方式对项目的进度、质量进行控制。
6 内蒙古电力信息安全风险评估的启示
为了更好地开展风险评估工作，可以采取以下安全措施及管理办法。
6.1 建立定期风险评估制度
信息安全风险管理是发达国家信息安全保障工作的通行做法。按照风险管理制度，适时开展风险评估工作，或建立风险评估的长效机制，将风险评估工作与信息系统的生命周期和安全建设联系起来，让风险评估成为信息安全保障工作运行机制的基石。
6.2 编制电力信息系统风险评估实施细则
由于所有的信息安全风险评估标准给出的都是指导性文件，并没有给出具体实施过程、风险要素识别方法、风险分析方法、风险计算方法、风险定级方法等，因此建议在国标《信息安全风险评估指南》的框架下，编制适合电力公司业务特色的实施细则，根据选用的或自定义的风险计算方法，，制各种模板，以在电力信息系统实现评估过程和方法的统一。
6.3 加强风险评估基础设施建设，统一选配风险评估工具
风险评估工具是保障风险评估结果可信度的重要因素。应根据选用的评估标准和评估方法，选择配套的专业风险评估工具，向分支机构配发或推荐。如漏洞扫描、渗透测试等评估辅助工具，及向评估人员提供帮助的资产分类库、威胁参考库、脆弱性参考库、可能性定义库、算法库等评估辅助专家系统。
6.4 统一组织实施核心业务系统的评估
由于评估过程本身的风险性，对于重要的实时性强、社会影响大的核心业务系统的评估，由电力公司统一制定评估方案、组织实施、指导加固整改工作。
6.5 以自评估为主，自评估和检查评估相结合
自评估和检查评估各有优缺点，要发挥各自优势，配合实施，使评估的过程、方法和风险控制措施更科学合理。自评估时，通过对实施过程、风险要素识别、风险分析、风险计算方法、评估结果、风险控制措施等重要环节的科学性、合理性进行分析，得出风险判断。
6.6 风险评估与信息系统等级保护应结合起来
信息系统等级保护若与风险评估结合起来，则可相互促进，相互依托。等级保护的级别是依据系统的重要程度和安全三性来定义，而风险评估中的风险等级则是综合考虑了信息的重要性、安全三性、现有安全控制措施的有效性及运行现状后的综合结果。通过风险评估为信息系统确定安全等级提供依据。确定安全等级后，根据风险评估的结果作为实施等级保护、安全等级建设的出发点和参考，检验网络与信息系统的防护水平是否符合等级保护的要求。
参考文献
[1] 魏晓菁， 柳英楠， 来风刚. 国家电力信息网信息安全防护体系框架与策略. 计算机安全，2004，6.
[2] 魏晓菁，柳英楠，来风刚. 国家电力信息网信息安全防护体系框架与策略研究. 电力信息化，2004，2（1）.
[3] 沈亮. 构建电力信息网安全防护框架. 电力信息化，2004，2（7）.
[4] 梁运华，李明，谈顺涛. 电力企业信息网网络安全层次式防护体系探究. 电力信息化，2003，2（1）.
[5] 周亮，刘开培，李俊娥. 一种安全的电力系统计算机网络构建方案. 电网技术，2004，28（23）.
[6] 陈其，陈铁，姚林等. 电力系统信息安全风险评估策略研究. 计算机安全，2007，6.
[7] 阮文峰. 电力企业网络系统的安全风险分析和评估. 计算机安全，2003（4）.
[8] 丛林，李志民，潘明惠等. 基于模糊综合评判法的电力系统信息安全评估. 电力系统自动化，2004，28（12）.
[9] 胡炎，谢小荣，辛耀中. 电力信息系统建模和定量安全评估. 电力系统自动化，2005，29（10）.
作者简介：
【关键词】油气长输管道；环境风险评估；风险评估指标；风险识别
截止2016年，我国已铺设油气长输管道达12万公里，因管道内传输的物质为易燃易爆危险品，一旦管道泄漏，有毒有害物质扩散至环境，将对周边大气、水体、土壤造成污染，引起生态破坏，尤其是穿越水源保护区、人口聚集区等环境敏感区域时，一旦发生突发性环境事件，将会造成更大的社会影响和严重后果。为此，近年来在有关部门的统一部署下，各管道运营单位相继开展了环境风险评估工作，力求降低环境突发事件的发生，减少环境损害和不良社会影响。油气管道环境风险评估是管道风险管理的重要组成部分，其目的是通过对环境风险的调查和分析，识别可能导致管道事故的重要因素，对管道各管段（或各条管道）进行风险排序，确定管段维护的优先次序，从而使得管道风险管理更加科学化。油气长输管道是典型的线性工程，其环境风险形式和风险特征随管道沿程变化而不同，因此，评估指标选取的准确、全面和代表性是界定管道环境风险评估工作可信性和科学性的重要依据。现就油气管道环境风险评估表征指标的选取和识别进行论述，力求准确评估管道的环境风险,查明各薄弱环节，分清轻重缓急，施以最佳方法和途径减少环境风险,消除事故隐患，避免事故的发生，将风险控制在容许的范围之内。
1评估指标体系划分
油气长输管道环境风险评估方法可借鉴环保部颁布的《企业突发环境事件风险评估指南（试行）》[1]及《建设项目环境风险评价导则》[2]中的评估方式，将整条管道按属性划分为若干区段，分段进行评估，评估的指标和分级标准应结合管道项目的实际情况，按照“源头—过程—受体”评估要素给出，采用危险性分析和环境风险分析的方法进行[3-4]。其中，环境风险评估表征指标可按照输送物料风险属性、管道失效可能性、周边环境敏感性和企业环境应急处置能力四个类别进行分类选取，每个指标类别按识别的深度可下设二级、三级和四级指标，各类指标自成体系，并逐级对指标选项进行比选和识别，最终按照一级指标的统计结果进行矩阵分析，评估风险等级。油气长输管道环境风险评估指标体系，如下图。管道输送物料风险性指标是管道环境风险评估的最基本指标，该指标主要界定物料的环境危害性质，即泄漏的有毒有害物质对周边环境的影响途径、影响范围和影响程度。其他评估指标均建立在该指标的基础之上，比如，在该指标中物料识别为无毒无害情况下，则其他指标均可加以简化而识别。管道失效可能性指标主要分析管道运行过程中失效的各种情景。管道失效后物料的泄漏或引发的火灾和爆炸，是引起环境事件的前因，因此，鉴别管道失效的各种可能情景是评估管道环境风险的主要环节。管道失效可能性指标可按腐蚀影响、运行与操作影响、第三方影响三个引发因素设置二级指标，分别细化识别。周边环境敏感性指标是判定环境受体敏感性的重要依据，也是环境风险应急处置救援工作中重点关注的内容。该指标主要通过背景资料的收集和现场勘查，识别出管道沿线各环境敏感目标的分布以及保护的内容、级别和范围，从而判断管道失效后的影响后果和程度。环境敏感性指标可根据人群聚集区、水源地、自然保护区域三个方面设置二级指标进行对比识别。应急处置能力指标主要关注管道失效后救援力量到达现场的时间、应急物资和设备的储备情况、应急资源的调配协作能力等。可选取的二级指标有：应急力量达到时间、应急物资的种类和数量、应急队伍建设以及应急资源的协调协作能力等。
2管道输送介质危害性风险指标
油气长输管道输送的物料有原油、成品油、天然气、石油气、煤制气以及其他工业气体，因输送动力要求，均为承压输送，一旦发生泄漏，管道内的介质将泄漏或喷射到环境中，泄漏物料的风险性质决定了对外界环境影响的途径和程度，如成品油管道泄漏后，油品中的苯系物、多环芳烃、重金属等有毒有害物质随油品扩散至土壤和水体，造成土壤和水质污染，轻质烃类挥发至大气，造成大气污染并产生安全隐患。因此，根据介质物料的环境风险特征，危害性指标可细分为毒性、挥发性和易燃易爆性三个二级指标，其中毒性指标可按剧毒、中等毒性、低毒或无毒进行识别，挥发性指标可按易挥发、挥发和不挥发进行识别；易燃性指标可识别为易燃易爆、可燃和不可燃。当管道中输送的物料为天然气等无毒的介质时，单纯的管道泄漏引起的环境大气、水体、土壤的损害较小，环境风险较低。但天然气管道泄漏极易引起火灾和爆炸，次生的有毒有害气体会污染周边大气，消防废水会对周边水体的水质产生影响，火灾和爆炸可引起周边存放的物质发生衍生灾害，尤其是管道周边近距离内存放危险化学品或易燃易爆危险品时，将引起衍生的环境风险和安全隐患。因此，天然气管道运输的风险隐患主要来自安全风险，环境风险评估中可重点关注管道事故引发的衍生、次生环境风险。
3长输管道失效可能性指标
引起长输管道失效的情景因素较多，也是管道运行安全管理的重点，管道失效可能性指标按照引发的因素可分为腐蚀影响、设计及运行管理影响和第三方影响三类二级指标。腐蚀影响指标可分为内腐蚀和外腐蚀两个三级指标，内腐蚀指标又可分为物料的腐蚀性和管道预处理两个四级指标。物料的腐蚀性指标可根据物料的含水率、含硫率、含碳率、含氧率等监测结果和介质物料是否进行过脱水处理、缓蚀剂加注等情况进行判定；预处理指标可根据管道是否进行过内涂层防护、是否进行定期清管等措施进行判定。外腐蚀指标可依据影响因素细分为土壤的腐蚀性、外保护层性能、杂散电流影响及排流、阴极保护运行情况以及管道的使用年限等五个四级指标。例如外保护层性能指标可依据保护层的状况、类型进行判断，保护层完整的管段优于破损的管段、3层PE型防护层的防护能力优于环氧煤沥青防护层的防护能力。杂散电流影响及排流指标识别时，有直流电流干扰的管段所受影响一般大于交流电流干扰管段，另外，排流的效果是否达到设计要求也是进行对比识别的重要依据。设计及运行管理影响指标可按阀室设置合理性、浅埋管段分布及防护、限制性空间分布、水击防护、运行压力、监控能力、巡线频次、内检测周期、管道标志等设置三级指标进行识别。其中阀室设置指标主要关注阀室设置是否符合管道工程设计规范要求，主要河流两侧是否设置截阀等；监控能力指标主要对比管线监控系统的先进性，与其他监控系统相比，SCADA系统（SupervisoryControlAndDataAcquisition，数据采集与监视控制系统）配有远程监控、切断等功能，可实现对管道失效的实时预警和第一时间处置，属于较先进的控制系统。对于浅埋管段分布及防护指标，主要识别管道埋深，一般情况管道埋深均在1.2m左右，北方地区还需要考虑冻土层的深度，山区因地质岩性限制，埋深较浅。对于不同区域的浅埋管段需要根据管道周边的实际情况，结合后期防护的具体措施进行判别，采取措施后达到防护要求的应在识别时予以体现。内检测周期指标主要识别运行的管道是否进行过磁泄漏检测，以及检测周期是否依检测结果的分析按计划进行。第三方影响指标中，三级指标可按照地区人动强度影响、管道占压影响、深根植物影响、行船影响、公众教育情况和自然灾害影响等进行选取。其中，地区人动强度影响指标主要识别管道通过区域的人员活动以及施工等对管道运行造成的风险，如城市建成区、近郊区、工业区或待开发的地区，可根据建设施工的可能性及施工强度、频次等进行识别；自然灾害影响指标可以根据管道穿越地区是否处于地震带、断裂带、滑坡、泥石流及洪水易发区等进行识别，同时还要考虑管道穿越形式以及铺设石笼修建护坡等工程防护的减灾效果，综合进行评估；深根植物影响指标主要关注管道两侧5m保护区内植物的种类，比如是否存在乔木、灌木、芦苇、竹子等深根植物，并结合管道防护层的类型进行综合识别。管道运行风险识别的选项指标可借鉴管道安全评估的资料，重点关注可能引起环境风险的管道安全事故隐患评价指标。
4环境敏感性指标
长输管道沿程环境敏感性识别是管道项目环境风险评估的重点内容，环境风险敏感性可选取人群聚集区、水源地、自然保护区域三个二级指标进行识别，其中人群聚集区指标可依据《输气管道工程设计规范》[5]中对地区等级的判定进行识别，同时要考虑文物保护单位，具有特殊历史、文化、科学、民族意义的保护地等区域。水源地指标可细分为集中式饮用水水源保护区和分散式饮用水水源保护区两个三级指标，每个三级指标还可细分为地表水水源保护区和地下水水源保护区两个四级指标，根据管道穿越水源保护区的位置、保护级别、与取水口的距离等情况进行识别。同时还要考虑管道穿越的形式，比如管道以定向钻形式穿越河流型地表水水源保护区时，引发的环境风险较河底穿越方式要低得多，此外，管道穿越河口附近的水源保护区时还要考虑感潮河段的潮汐影响。自然保护区域指标可根据《建设项目环境影响评价分类管理目录》[6]中关于管道项目环境敏感区划定的分类进行三级指标的选取，可选取的指标主要包括：自然保护区、风景名胜区、世界文化和自然遗产地、基本农田保护区、地质公园、重要湿地、天然林等，识别过程中需注意环境敏感区的保护级别以及管道穿越对保护区内部不同分区的影响。
5应急处置能力指标
该指标主要识别环境事件发生后，控制事件环境影响扩大和短时间内消除影响的能力，可设置的二级指标有：应急救援力量的可达性、应急物资储备、应急队伍配备以及应急资源的协调协作。其中救援力量的可达性主要考虑事件发生后救援力量的到达时间。油气长输管道的线路较长，许多管道穿越区域人烟稀少、地形复杂、车辆难以进入，因此，救援力量到达的时间直接影响着环境污染的范围和污染程度。应急物资储备指标可下设物资种类和物质数量两个三级指标，应急物资的种类是否齐全、数量是否充足决定了救援的效果，比如，涉水的管段，应急救援物资需配有围油栏、吸油机、草帘、活性炭、砂袋、橡皮艇、冲锋舟等减少或控制水污染的物资储备；储备物资的数量应根据管道穿越河流下游的宽度、最大流量、流速、水体的保护级别等情况进行判别。救援力量的协调协作指标也是影响事件后果的重要因素。许多大型救援机械和特种救援工具和区域调度等均需要进行社会或兄弟单位的应急协调，因此，管道应急预案中救援力量的协调协作内容是否充分、可行，也是应急处置能力的主要评估指标。
6结束语
油气长输管道环境风险评估指标需在掌握管道的基础数据和环境背景资料基础上，结合沿程实地勘察进行筛选和判定，通过对上述四个指标体系的细化和分析，可系统地评估管道沿线可能发生的环境风险的类型、可能性、易发地点、后果程度以及控制能力，识别管道各区段环境风险水平，从而实现分级管理，消除隐患，最大程度减少环境事件的发生和影响，为管道环境风险管控和治理提供技术支撑。
参考文献
[1]环境保护部.企业突发环境事件风险评估指南（试行）（环办[2014]34号）[Z].2014
[2]国家环境保护总局.HJ/T169-2004建设项目环境风险评价导则[S].2004
[3]W.KentMuhlbauer著.管道风险管理手册（第二版）（英）[M].杨嘉瑜,等译.北京:中国石化出版社,2005
[4]国家质量监督检验检疫总局.GB/T27512-2011埋地钢质管道风险评估方法[S].北京:中国标准出版社,2011
[5]住房和城乡建设部.GB50251-2015输气管道工程设计规范[S].北京:中国计划出版社,2015
【关键词】 风险评估技术；精神科；安全管理
随着社会的进步和发展，人们的法治观念及自我保护意识在日益增强，医院面临的风险亦越来越大，尤其是精神疾病患者在精神症状的支配下随时可能导致自杀自伤、伤人毁物、出走等意外事件的发生。因此更要求精神科护士具有高度的责任心和风险意识，做好精神科护理安全管理。我科认真组织学习了护理风险评估技术，并较好地在临床工作中应用，切实提高了护理人员的安全预见性，保障了各项安全防范措施的有效落实，降低了精神科护理风险，现具体报告如下。
1 资料与方法
1.1 一般资料 收集2012年11月至2013年10月期间在河南省精神病医院早期干预一科、早期干预二科住院的首发精神障碍患者共520例，诊断均符合CCMD-3精神病诊断标准[1]。根据住院时间先后将2012年11月2013年4月的住院患者设为对照组，2013年5月至2013年10月的住院患者设为观察组。对照组共260例，其中男性133例，女性127例，年龄25-53岁，平均（35.98±11.34）岁。诊断分别为：精神分裂症187例，躁狂症35例，抑郁症29例，其它诊断9例。观察组共260例，其中男性128例，女性132例，年龄23-50岁，平均（34.72±12.16）岁。诊断分别为：精神分裂症189例，躁狂症30例，抑郁症31例，其它诊断10例。2组患者在性别、年龄、病种等方面进行比较，差异均无统计学意义（P>0.05）。
1.2 方法
1.2.1 对照组采用传统的护理模式，按精神科护理常规进行护理 研究组在常规护理的基础上应用护理风险评估技术，对患者进行细致的精神检查及病情观察后，再与主管医生进行充分的沟通，之后按照精神科风险程度评分表的内容进行评估，确定风险等级，再根据风险等级制定个体护理计划，实施针对性的防范措施，见表1。
1.2.2 评估标准 自杀风险评估共10项，1-7项每项分值为1分，8、9、10项分值分别为8、9、10分，风险程度：1-4分为轻度，5-7分为中度，8分及以上为重度。攻击行为风险评估共9项，1-5项每项分值为1分，6、7、8、9项分值分别为6、7、8、9分，风险程度：1-4分为轻度，5-7分为中度，8分及以上为重度。出走风险评估共4项，1项分值为2分，2项分值为4分，3项分值为6分，4项分值为8分，风险程度：2分及以下为轻度，4-6分为中度，6分及以上为重度。
1.2.3 实行三级护理评估 一级评估：患者入院后由责任护士或当班护士建立风险程度评估表进行评估，以后由责任护士每周评估1次；二级评估：在一级评估中存在有中、高风险的患者由责任护士进行动态的每日评估；三级评估：护士长24小时内对新入院患者及重点患者进行再次评估，每周带领责任护士进行总评估1次，并指导护理计划及防范措施的制定，检查措施的落实情况。
1.3 观察指标 比较2组患者住院期间自杀自伤、伤人毁物、出走等风险事件的发生率；比较应用风险评估技术前后护理人员受伤害事件的发生率。
1.4 统计学方法 本研究数据采用SPSS13.0软件进行统计学分析，计数资料采用χ2检验，以P
2 结 果
2组患者在住院期间的风险事件发生率比较见表2；应用风险评估技术前后护理人员受伤害率比较，见表3。
3 讨 论
3.1 应用护理风险评估技术有利于降低精神科风险事件发生率 精神障碍患者大脑活动异常，思维行为异常，自理能力下降，特别是在受幻觉、妄想的支配下，往往会出现危害自身和伤及他人的行为[2]，故精神科护理风险事件的发生具有偶然性和突发性，护理安全存在着极大的挑战。本研究结果显示，研究组风险事件发生率明显低于对照组（见表2），提示应用护理风险评估技术，从患者入院到出院实施连续的三级评估方法，横向全面地评估了风险程度，纵向评估了住院期间各个阶段的风险，在危险未发生前采取积极有效的防范措施，将危险控制在萌芽状态，从而降低风险的发生率[3]。
3.2 应用护理风险评估技术有利于降低精神科护士受伤害率 在精神科病房与患者接触最直接、最紧密的是护理人员，要24小时不间断的照顾患者，被患者攻击的危险性最高。虽然精神疾病患者的风险行为具有突发和难以预料的特点，但发生前大多有先兆表现，其中有严重幻觉、妄想和不服从管理的患者发生风险行为的可能性最大，因此，开展预见性护理极为关键。预见性护理是在全面了解并评估患者的病情基础上，制定有效的、防患于未然的护理，其根本在于积极认识预防以及处理并发症的发生，采取预防为主的原则，有计划有秩序有目的地给患者提供护理服务[4]。我们通过应用护理风险评估技术对新入院患者实行预见性护理，提前启动防范措施，使护士受伤害率明显下降（见表3）。同时，还有利于将护理工作由被动转为主动，调动了护士的积极性，提升了护理人员的自身价值[5]。
3.3 应用护理风险评估技术有利于保障精神科护理安全 风险评估技术对精神科护理有着重要的临床指导作用，通过对精神障碍患者实施风险评估，可以先预测出风险，指引临床护理的方向，使护理人员在临床护理中便于抓住护理的重点，这样既能使护理工作不再盲目又能提高护理安全质量[6]。同时，掌握护理风险评估技术能强化护理人员的风险意识，提高专业内涵，使其在临床工作中能有效控制风险，提高护理安全管理质量。
综上所述，安全管理是精神科临床护理工作中的重要环节，实施护理风险评估降低了风险事件的发生率和护士受伤害率，有效地保障了护理安全。因此精神科风险评估是是切实可行的精神科护理安全管理方法，具有在临床推广的价值。
参考文献
[1] 中华医学会精神科分会.中国精神障碍分类与诊断标准[M].第3版.济南：山东科学技术出版社，2001：87-89.
[2] 郝伟.精神病学[M].第6版.北京人民卫生出版社，2008.6.
[3] 邓秋雁，梁艳，谢仲英，等.住院精神病人暴力危险分级及干预的研究[J].现代医院，2008.1，8（1）：8-10.
[4] 牟秀华.预见性护理程序在骨科创伤患者护理中的应用[J].中国实用护理杂志，2012，28（14）：16-18.
1.等级保护
1)主要内容
等级保护是指导我国信息安全保障体系总体建设的基础管理原则，是围绕信息安全保障全过程的一项基础性管理制度，其核心内容是对信息安全分等级、按标准进行建设、管理和监督。
2)优点
等级保护适用于宏观层面，是一种大范围“基线安全”，适用于行业主管部门对信息安全的总体把握与监控。
3)缺点
具体到某个组织的信息安全保护而言，等级保护的粒度划分较粗，在满足组织对信息安全的精细控制要求方面还存在不足。因此，在满足监管部门的等级保护要求之后，组织还可进一步把等级细化到各种层次的安全域，直至对一个个的信息资产进行有效管理。
2.信息安全管理体系(ISMS)
1)主要内容
类似于质量之于ISO9000，ISMS是组织为提高信息安全管理水平，按照ISO27001的要求，在整体或特定范围内监理的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。
2)优点
ISMS涉及了信息安全的11个领域，133个控制措施，基本涵盖了信息安全的方方面面，适用于各种类型的组织用来建立一个总体的安全控制框架;ISMS更注重于把“安全管理”当作一种制度来建设，通过建立统一的方针、策略，以及规范化安全规则，使ISMS实施主体能有效地识别风险，持续不断地采取管控措施，以把风险降低到组织可接受的程度。
3)缺点
它只是描述了建立ISMS的思想、框架，但对如何建立ISMS并没有一个详细明确的定义，也没有描述ISMS的最终形态;没有确定建立信息安全体系的具体方法与技术。因此，ISMS对实施者来说留下来很大的可操作空间，不同的组织和不同实施着对ISMS标准的把握可能差别很大，ISMS总体水平也会有高下之分。
3.风险评估
1)主要内容
风险评估是获知组织当前风险水平的一种手段，在金融、电子商务等许多领域都是有风险及风险评估需求的存在。当风险评估应用于IT安全领域时，就是对信息安全的风险评估。
2)优点
风险评估从早起简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用ISO17799、OCTAVE、NIST SP800、NIST P800-26、NIST SP800-30、AS/NZS4360、SSE-CMM等方法，充分体现以资产为出发点、以威胁为触发、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。
国内这几年对信息安全风险评估的研究进展较快，具体的评估方法也在不断改进。原国信办2004年组织完成了《信息安全风险评估指南》及《信息安全风险管理指南》标准草案的制定，并在其中规定了信息安全风险评估的工作流程、评估内容、评估方法和风险判断准测，对规范我国信息安全风险评估的做法具有很好的指导意义。
3)缺点
《信息安全风险评估指南》所确定的风险评估方法还只是一个通用的方法论，具体到一个特定的单位，要对其中的风险进行准确地识别与量化仍热是一件困难的事情，在很大程度上要取决于评估者的经验。
电子文件风险评估是电子文件安全管理的重要前提和基础，也是档案信息化建设的重要课题。基于风险评估的电子文件安全管理体系能够对电子文件信息安全状况进行“把脉”，提出针对性的“诊疗”手段，而不是传统管理被动的“头痛医头脚痛医脚”。
一、电子文件风险评估的意义
（一）风险评估是电子文件安全管理的前提和基础。由于自身的特点，电子文件的风险始终客观存在。档案工作者的努力目标就是利用一切先进的技术和方法，把风险降到最低，把损失控制在最小的范围内。运用风险管理的理念和方法，对电子文件进行风险评估，能够对电子文件进行科学、全面的分析，查找可能威胁电子文件的风险，在风险发生之前作出判断，采取措施，及时应对。因此，风险评估对档案工作具有重大意义，是传统档案管理方法的有益补充。
（二）风险评估是进一步完善电子文件安全管理的关键环节。它能够利用科学的量化标准，对风险发生的概率及其可能造成的损失进行预测和分析，并在此基础上对存在风险的环节进行改进和完善。电子文件安全管理实行风险评估能够使管理者全面、清晰地把握电子文件存在的危险和不足，有利于进一步改进管理方法，理清管理思路，完善管理制度，全面提升电子文件管理水平。
（三）风险评估是实施电子文件安全等级保护的必然要求。要对各类电子文件实施安全等级保护，就要在电子文件安全管理中开展风险评估，对电子文件安全管理体系中存在的风险进行安全预测，科学定级，分级管理。
（四）风险评估是实现电子文件管理国际化的重要途径。随着信息安全工作的发展，风险管理在电子文件管理中的作用越来越得到人们的认可，信息安全风险评估也从单一的技术手段发展成为一种科学的管理体系，科学统一的技术规范和评定依据逐渐成为风险评估的必需。由于信息安全事关国家利益，大部分发达国家都制订了电子文件风险评估标准，并将之作为行业的技术性法规。电子文件管理广泛开展风险评估，有利于推广信息技术安全保护标准化，有利于促进国际间技术交流合作，是实现电子文件管理国际化的重要途径。
二、电子文件风险评估工作的困境
（一）风险认识存在偏差。电子文件已经成为档案产生、保存和管理的主要形式，由于其自身特点，各种各样的危险始终紧随着电子文件，但许多人对电子文件风险的认识却存在不同偏差。有的风险意识薄弱，认为传统纸质档案对保存环境要求条件高，需要预防微生物、虫害、啮齿动物等的损害，还要时刻注意光照、温度、湿度、灰尘等因素，而电子文件只需要一台计算机就能解决所有问题，而且保存简单、利用方便，一劳永逸。也有的认为电子文件作为信息技术的产物，必然面临不可读、失真、黑客等威胁，且一旦造成损失，往往是荡然无存又无法挽救，其风险无可避免。也有的认为现代信息技术十分先进，只要建立科学的管理体系，采纳先进的管理技术，绝对能够避免电子文件的风险。正是因为存在对风险认识的各种偏差，导致管理者和利用者没有科学、正确地认识电子文件的风险，或者麻痹大意，或者失去信心，或者陷入一味追求绝对安全的误区。正是因为存在各种对风险认识的偏差，目前我国电子文件风险管理水平较低，尤其缺乏必要的风险评估活动。
（二）安全风险评估工作滞后。一是没有一支专业的风险评估队伍。电子文件风险评估是一项专业化非常强的工作，我国有一些风险意识较强的已经尝试开展风险管理，但仍然没有一支专业的风险评估队伍。二是评估标准亟待完善。根据国家信息安全等级保护“自主定级，自主保护”的原则，应该根据自身情况制订科学的定级标准，严格执行，确保电子文件安全管理。但我国大部分目前尚未制订信息安全保护等级标准，没有真正执行电子文件等级保护的规定。三是风险管理缺乏系统性。电子文件风险管理是一个系统工作，包括风险管理规划、风险评估、风险应对和风险监控等四个基本环节。风险评估是整个风险管理的基础性工作，但评估的结果必须与风险管理的其他环节紧密结合，特别是要具体指导风险应对和风险监控活动。由于电子文件风险管理刚刚起步，还没有建立系统的风险管理机制，无法真正实现风险评估“有理可依，有据可循”。
（三）电子文件管理停留在传统安全保护阶段。电子文件是档案管理的特殊对象，一些档案工作者没有认识到电子文件既是“档案”又是“电子信息”的特点，管理停留在传统安全保护阶段，没有采取先进的风险管理方法，给电子文件管理遗留下不少安全隐患。一是管理过程缺乏全程性，认为保护是电子文件归档后的任务，没有意识到电子文件形成和利用中存在的风险。二是安全管理停留在静态、被动阶段，没有根据电子文件的发展和单位管理体系内部情况的变化实施动态的风险评估和风险应对。三是大多数没有积极引入远程技术、异地备份、云计算等先进的技术加强电子文件安全管理。
（四）信息资产安全形势严峻。信息资产的安全保护和开发利用是提高办学效益、提升影响力的重要途径。电子文件已经逐步取代纸质文件成为主要的档案载体，储存着数量庞大的数据资产、软件资产、师生信息、科研资料等。由于电子文件的特点，信息资产存在着高风险性，往往一被泄漏就失去资产包含的价值。许多资产管理者和档案工作者低估信息资产的价值，忽视电子文件信息保护，导致信息资产安全面临着严峻的形势。
三、基于风险评估的电子文件安全管理体系
（一）以风险管理规划完善安全管理体系。风险管理规划能够对电子文件管理工作进行统筹规划，有利于今后电子文件管理的持续、有序、顺利开展。应根据电子文件管理的需要，制订电子文件风险规划，将电子文件安全管理的实施目标、构建原则、构建方法、工作内容建成一个基本框架，进而确立和完善电子文件安全管理体系。
（二）以风险评估标准规范安全管理策略。电子文件安全管理策略就是针对电子文件安全管理的全局性、基础性、系统性问题所制定的政策和措施，是对电子文件安全管理的总体思路和指导方针。电子文件安全管理策略是否科学、合理、适宜，关系着电子文件管理目标和任务能否顺利实现。风险评估标准是电子文件风险评估的工具，直接决定了安全评估的结果，为风险管理的具体工作提供了操作性指导，因此也影响着电子文件安全管理策略的制定。电子文件风险评估标准的制定既要建立在国际组织和国家政府颁布的信息安全管理标准的基础上，又要结合电子文件信息安全的具体情况，兼顾定性分析和定量分析的方法，从而达到对电子文件安全管理策略的战略指导和操作规范。
（三）以风险评估结果引导安全管理工作。电子文件风险评估之所以能够发挥作用，最主要是评估的结果对整个风险管理工作的指导意义。风险评估能够初步识别出电子文件安全管理工作中的存在风险及造成因素，并根据风险因素的危害程度确定风险等级，提出应对措施，引导今后的管理工作。
（四）以风险应对策略提升安全管理水平。电子文件风险评估的根本目的是预测文件管理的危险因素并采取有效的应对策略，最大限度地减少各种风险因素造成的损失。为了保证电子文件信息的保密性、完整性、真实性和可用性，电子文件风险应对策略必须对信息资产管理、文件管理和业务管理进行统筹规划，根据风险因素选择采用风险预防、风险规避、风险转移、风险减轻或风险接受等五种基本策略应对风险。一个优秀的电子文件安全管理体系能够根据电子文件管理的需要采取风险应对措施，并在此基础上改进文件管理的方法，通过风险应对在实际上不断提高文件管理体系的科学水平。
4月20日，中国银联系统瘫痪达6个小时，34万家商户POS机无法消费，6万台ATM机无法跨行取款。
尽管4天后中国银联发表声明称：此次跨行交易故障绝非“黑客攻击”，而是“系统故障”小概率事件，是由于某些设备的隐性缺陷诱发了跨行交易系统主机的缺陷，导致主机发生故障。
但是，这一小概率事件又一次将银行新业务的安全问题摆到了公众面前，如果不能有效避免，会极大地削弱公众应用新兴消费方式的热情，造成无法衡量的间接经济损失―公众对银行的信任度受损：有问题的信息产品能否抵挡日益严重的网络犯罪？
据国外调查机构数据显示，金融历来是黑客关注的焦点，在有预谋的网络犯罪中，90%以上集中在银行、证券和保险领域。日前，公安部人士在有关工作会议上透露，2005年我国用户仅银行卡被骗金额就将近1亿元，其中利用网络病毒窃取、“网络钓鱼”骗取、手机短信欺诈等已经成为银行卡诈骗的主要手段。
如同在真实的社会中一样，欺骗、病毒、入侵、盗窃甚至抢劫，在网络环境中始终存在，且愈演愈烈。2006年年初公安部出台了《信息安全等级保护办法（试行）》（以下简称《等级保护》），构建等级化保护体系，同样也成为了金融行业迫在眉睫的任务。
公安部选择了一些银行作为等级保护的试点单位，意图通过严重依赖信息化展开业务的银行试点，总结经验在全国范围内推广。时间已过半年，现状究竟怎样？本刊希望以“等级保护”为采访线索，将金融领域信息安全这一敏感话题理性呈现，为有关政策决策时提供客观依据。
进退维谷
记者在采访中发现，无论是否参与等级保护试点工作，各银行的CIO或者CSO都认为《等级保护》要落实起来难度相当大，因此绝大多数商业银行还处在观望状态，担心的问题有三点。
首先，政策是否具有延伸性？是否具有可操作性？某重要商业银行一位不愿意透露姓名的信息化主管认为，等级保护搞了十几年，一直感觉是雷声大，雨点小。譬如早在1994年，国务院就了147号令，规定计算机信息系统必须实行等级保护，但是没有相关的管理办法和等级划分标准出台，导致政策一到操作层面就执行不下去。等1998、1999年到公安部会同信息产业部、保密局、中办机要局、军队和地方的专家，正式制定了计算机信息系统等级划分标准后，整个的安全形势又发生了很大的变化，这个标准又过时了。
“我们能理解一个政策出来，需要一个逐步完善的过程。”某银行的科技部负责人认为，但是在国家层面，这个时间过长就会导致政策的实效性比较差；而相关政策配套的管理办法和管理条例的缺失或含糊，则会使政策很难操作甚至根本不可能操作。
其次，政策的管理部门太多，行政效率很低，从而导致落实政策和法规时，出现问题不知道找谁。牵头实施《等级保护》的相关部门很多，国信办、公安部、信息产业部、保密局、人民银行、银监会都在参与，但具体工作究竟该由谁指导落实，却非常模糊。
“坦率地讲，《等级保护》试点在我们银行没有太多进展。”该银行科技部负责人说，“很多事情，政府管理的部门一多，就会变得复杂理不清头绪。上面没说清楚，下面就更搞不清楚。”
据一家地方性银行的信息化主管介绍，他们是当地公安部门确定的第一批落实《等级保护》的试点单位之一，但几个月过去了，银行都还没有弄清楚该工作到底是公安部门的网监处牵头，还是由内保局来主管，因为二者都在做等级保护的相关工作。“最后的结果是，公安部门需要我们提供什么材料，我们就提供什么材料。”这位信息化主管说，“从而失去了试点工作的意义。”
再者，虽然我国银行业的网络安全意识和网络安全应用水平居于各行业之首，但“等级保护”却是一个新课题。一方面，相对来说，中国金融业基于互联网的入侵近几年才涌现，大家对风险的评估能力和安全的防护手段还处在逐步改进之中；另一方面，随着前几年银行业数据大集中的逐步完成，银行的业务系统不单单是一个软件系统，还涉及到覆盖全国的网络系统。
“我们缺乏经验，也无从下手。”某政策性银行一位主管信息安全的CSO说，“公安部出台了一些细节，指导性不强；而人民银行也没有具体的相关条例。”据了解，按照公安部门的要求：在落实《等级保护》时，系统的定级要银行自己来上报，再由公安部门来检查。
对于银行来说，评估自己的系统应该上报为几级是件相当头疼的事情。如果系统的安全级别报高了，安全措施就会要求高，从而增加银行的安全成本，影响到安全效益；如果系统的安全级别报低了，万一出了问题，谁也负担不了这个责任。
该安全主管表示，等级保护是一定要做的，但对于像我们银行这样信息化人手远远不够的单位来说，只能是借鉴试点的兄弟单位的经验来做，眼下所能做的是把相关政策、法规消化理解透彻。“这不是一两年就能做好的工作，只能是走走停停，边走边看。”
“卡”在哪儿？
虽然大多数专家认为，政府强调实施等级安全保护制度是非常英明之举，但是，当政策法规要落到行业实践时，却为何结合得如此松散呢？瓶颈究竟在哪儿？
中国信息产业商会信息安全产业分会常务副理事长、著名信息安全专家屈延文教授认为，在一定程度上讲，缺乏一个强有力的信息资产安全监管机构和一套切实可行的信息安全监管机制，是国家信息安全宏观政策无法在金融业中全面落实的重要原因。
他认为，现在出台的《等级保护》只是一个红头文件。事实上，对于信息安全，不同部门理解的角度是不同的，公安部门讲的是安全责任；银监会讲的是安全秩序; 商业银行讲的是安全效益。因此，银监会、保监会、证监会、信监会、工商会共用一个文件，一个框架虽然可行但不实际，一旦跟行业的具体问题相结合，必然存在鸿沟。
“我认为银行方面信息化的安全最终还是由银监会来管来抓比较合适，因为银行的信息安全属于操作风险，而操作风险就是属于银监会管的。我们不可能脱离银行业务来孤立地谈银行系统的安全。”
在他看来，现阶段在银行业进行《等级保护》试点工作已出现两难。
一难是，公安部并不懂得银行业务，如果强行推的话，必然会出现沟通障碍，只能就系统安全来谈安全，和业务剥离，使得商业银行因无法评估安全效益而缺乏贯彻落实《等级保护》的动力。
二难是，如果由银行业自行推，就缺乏一个强有力的监督管理机构。银监会和人民银行分开时间不长，分工不是很明确，还存在交叉。譬如银行风险、货币风险归人民银行管，操作风险归银监会管。“而这些又彼此交叉，职责的磨合需要一段时间。”
据记者了解，目前人民银行管理安全的部门隶属于人民银行科技司，对各商业银行的安全推广工作只能起到一个召集者的角色和行业信息化的指导性作用，心有余而力不足；而银监会没有对信息资产安全实施监管的机构，根本就拿不出具体的实施方案来，银监会的信息中心目前还无法替代信息资产监管的职能，它所承担的工作仍局限于银监会内部的一些信息化项目建设，如办公自动化、网络基础设施建设等等。
一些银行的信息化主管同意屈延文的部分看法，认为人民银行和银监会在信息安全监管方面可以做得更得力一些;但是，认为仅仅靠银行业内部，很难解决信息资产安全监管的机制问题。
某试点银行的信息化主管认为，文件写得怎样并不是等级保护最重要的事，关键问题是有没有操作性缺陷。从已经迈开的试点工作来看，实施等级保护的第一步――风险评估就是制约《等级保护》落实的最大短板。
首先，风险评估是一个非常复杂的问题，尤其是金融业的信息系统自身所依赖的技术复杂，涉及层面广泛，评估更是难上加难。譬如在2000年10月，银行监管巴塞尔委员会关于电子银行发展中风险管理和监管问题的报告中，仅电子银行相关的主要风险，就列出战略风险、名誉风险、操作风险（包括安全和法律风险）以及信用、市场和流动性风险众多条。
其次，请谁进行风险评估也是一个令人头疼的问题。按照国家政策的相关规定，我国重要的信息系统进行风险评估，主要是自己评估或委托第三方进行评估。
接受采访的一些银行信息化主管认为，如果进行自评估，绝大多数银行并不具备这个实力，在系统业务繁忙的情况下，银行不可能投入大量的人力和物力去进行风险评估；即使是有评估能力的银行，也认为“内部评审权威性差，自己内部人自己评自己，说不过去”，不敢贸然行事。
如果委托第三方评估，究竟该如何判定第三方的资质又成为一个新问题。因为以前根据人民银行的要求，会委托有实力的第三方定期做信息风险评估，但并无资质这一说。“我们不敢也没有能力承担起风险的责任。”某重要商业银行地方分行的信息化主管说。
因此对金融业来说，在相关配套监管措施缺位的情况下，请第三方进行风险评估本身就蕴涵了新的风险。如果不知道系统的弱点，就不可能很好地保护系统；如果知道了系统的弱点，一旦被泄露，将会带来更大的不堪设想的风险，尤其是在安全漏洞大量存在和安全事故层出不穷的状态下。
如何前行？
尽管《等级保护》在金融行业遭遇落地难题，但被采访的几位专家和银行信息化主管都认为《等级保护》从最高层次对信息系统进行了安全角度的划分，是构建我国信息安全保障体系的核心重要环节。
金融行业将如何突破落实《等级保护》中的重重关卡，摆脱胶着状态，顺利前行呢？一位不愿意透露姓名的信息化主管认为，首先是在于上级的重视，银行信息化建设的历史充分表明，“一把手工程”才会成功。
“公安部门再怎么强调，下边的CSO再怎么努力，抵不上行长亲自发话过问。”这位信息化主管说， “2000年人民银行召开信息化安全会议，行长一发话，各个商业银行的安全处就齐唰唰地建成了。”他认为，如果银行领导也认同公安部门的看法，在实施《等级保护》时，落实责任制，层层都要有人管，从总行到各分行都有责任，很多问题就可以迎刃而解。
“一把手”工程确实能带来信息化建设的成功，可目前有几家企业的信息化建设是“一把手”工程？从当前一些银行实施软件的不成功就可以看出一二来。所以说，“一把手”工程关键还是在于落实，从组织结构上把它明确下来。“如果这个问题得不到彻底解决，一切都是白搭。”业内一资深信息化专家表示，“银行等级保护工作的实施只是一个具体问题，类似这样实施难的信息化问题还有很多。”
除了需要上级领导的高度重视，抓紧制定行业内的相关配套做事，来解决监督管理方面的问题，也是金融业当前亟需要跟进的重要环节。因为没有专门的监管机构来从事信息化的监督管理，很多事情落不到实处。
一位银行信息化主管认为，在银行内部有安全管理机关却无监督机关，这使得安全工作是弥补而非预防，许多工作处在可做可不做的状态，譬如落实《等级保护》，因为并没有谁对违反《等级保护》规定情况下的处罚标准进行界定。他赞同屈延文的看法，呼吁银监会直接成立科技监管司或信息资源监管司，来督促银行信息化安全工作的全面实施。
“目前由于监管机构的缺失，评估工作走过场和所谓的腐败问题也非常严重。” 某著名安全专家在接受记者采访时表示，就算评估工作是真实的，通过评估之后，由有关部门发放证书，证明其符合要求与标准。评估之后，被评估的工作是否还能保持评估时的标准要求，必须对被评估企业进行监管，否则，评估之后，各项工作出现倒退，评估的意义便失去了。
对于专家的说法，记者有一些同感。2004年记者有幸参加了银行重大系统的专家组验收会，对整个验收的过程有一些了解和感觉，虽说谈不上腐败，但是那种走过场和流于形式的现象还是挺有感触的。
该专家认为，评估工作正确的做法是把评估的重点放在信息资产的价值评估上，给出信息资产和风险资产价值化的评分与定价的标准。评估工作除实行价值评估外，还要实行效益或有效性的再评估。
现在的信息安全已经逐渐变成一个独立的学科，一些信息化主管认为，信息安全需要有专业人员提供服务，包括风险分析、咨询服务等。在国家尚未对安全服务进行规划化管理时，金融业可以先行一步，对提供安全服务的企业进行行业资质管理，依靠政策和市场相调控的原则，来弥补银行安全人才缺乏的短板。
就算评估工作是真实的，且在通过评估之后，由有关部门发放证书，证明其符合要求与标准。但评估之后，要使被评估的工作还能保持评估时的标准要求，就必须对被评估企业进行监管。
链接：何为等级保护？
信息安全等级保护，是指对国家秘密信息及公民、法人和其他组织的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。我国信息安全等级保护分五级:
第一级为自主保护级，适用于一般的信息系统，其受到破坏后，会对公民、法人和其他组织的合法权益产生损害，但不损害国家安全、社会秩序和公共利益。
第二级为指导保护级，适用于一般的信息系统，其受到破坏后，会对社会秩序和公共利益造成轻微损害，但不损害国家安全。
第三为监督保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成损害。
每个大的单元根据国家规范和相关标准分别包含不同的内容；设计制造评估单元主要依据《特种设备安全监察条例》、《电梯制造与安装安全规范》（GB7588-2003）、《电梯技术条件》（GB/T10058-2009）、《电梯试验方法》（GB/T10059-2009）等国家规范，参考世界发达国家现行的标准，对企业的资质、技术水平、管理能力等进行理论分析；安装调试评估单元主要依据《电梯安装验收规范》（GB/T10060-2011）、《电梯工程施工质量验收规范》（GB50310-2002）等国家规范，进行风险分析；使用管理与维护保养评估单元依据《电梯监督检验和定期检验规则—曳引与强制驱动电梯》（TSGT7001-2009）、《电梯使用管理与维护保养规则》（TSGT5001-2009）、《电梯、自动扶梯和自动人行道维修规范》（GB/T18775-2009）、《提高在用电梯安全性的规范》（GB24804-2009）等国家规范，分别进行曳引能力评估、制动能力评估、限速器一安全钳可靠性评估、电梯控制系统评估、轿层门与层站评估、主要零部件与安全装置评估、能耗评估、运行性能评估等；其目的就是对电梯运行系统中存在的危险因素进行辨识和分析。寻找与事故发生有关的原因、条件和规律，由此可辨识出电梯各个环节中导致事故发生的有关危险源；当条件发生变化时应重新进行评估。
风险响应策略
风险响应是对预测可能发生的风险采取的策略，常用的对策包括风险规避、减轻、自留、转移、投保等，要有完善的风险管理计划。计划一般要包括以下几个方面（1）管理目标（2）管理范围（3）管理方法及依据（4）风险等级（5）管理职责及权限（6）风险跟踪（7）资源预算。针对电梯行业来讲，掌握好国家的政策和行业动态，运用新技术、新标准，本着节能、环保、安全、降低电梯成本，在研发设计时期，要搞好市场调研，满足不同的消费群体的需求；在运输过程中，对不可控制的意外风险，采取向保险公司投保进行风险转移；在安装维护阶段，要求施工人员要经过专业知识培训并考核合格，持证上岗；上岗前要进行三级安全教育，进入现场要遵守公司的安全规章制度，对使用的电动工具要定期安全检查，做好现场的安全防护，公司不定期进行自检和专检，督促落实好各项制度。
风险控制措施
根据对危险源的识别，评估危险源造成的风险，确定风险等级，制定出不同风险水平的控制措施计划表。一般风险等级划分为五个等级，可忽略风险、可容许风险、中度风险、重大风险、不容许风险。
针对不同危险源采取相应降低风险的措施，将技术管理和程序控制有机结合起来，尽可能利用技术进步来改善安全控制措施；制定可行、有效、成本效益最佳的应急方案；提高各类设施的可靠性，增加安全系数，减少故障，设置安全监控系统，改善作业环境；加强员工培训，克服不良习惯，严格按章办事，帮助其保持良好的生理和心理状态。电梯安装过程中存在高处坠落、摔伤、触电、物体打击等风险，制定出相应的防范措施，进行安全交底和技术交底，按规定搭设脚手架并加装防护网，预留的洞口和厅门口按要求进行封堵并张贴安全警示标志。电梯每天在不停的运转，由于设备部件不断磨损，电气元件老化等原因，电梯不可避免的出现一些故障，有可能发生如停梯、关人、冲顶、蹲底等风险；因此在维修保养过程中，要严格按照国家规范，每半月进行一次清洁、、调整、检查，确保电梯各项性能满足使用要求。
结语
【关键词】住院病人;护理风险;评估预警系统;建立;应用
doi:10.3969/j.issn.1006-1959.2010.05.283文章编号:1006-1959(2010)-05-1285-01
护理风险是指医院内病人在治疗、护理过程中有可能发生的一切不安全事件,对现有和潜在的护理风险的识别、评估、评价和处理,有组织、系统地消除或减少护理风险事件的发生及风险对病人和医院的危害及经济损失,以最低成本实现最大安全保障的科学管理方法为护理风险管理[1]。当前我国部分医院建立了信息化系统,使某些管理职能实现了智能化。为了提高护理安全管理效率,我院借助HIS系统平台,建立了"住院病人护理风险评估系统",于2008年开始实施,运行两年来,取得了不错的效果,现介绍如下:
1.住院病人护理风险评估系统的研发
1.1 系统的内容与设置。住院病人的护理风险评估系统可对在院的所有住院人群进行自动筛选,对存在跌倒、走失、自杀、管道滑脱、压疮等高度风险的人群能自动识别,可以使科内护士和护理管理者迅速地掌握病人的评分情况,提醒护士重视病人的相关情况,及时采取相应的预防措施,确保病人的安全。
1.2 筛选住院病人的风险预警指标并赋值。根据我院近3年的护理不良事件统计资料,深入分析产生护理风险的原因,采用特尔菲法[2]筛选出风险预警指标并为指标赋以权重分值。如:年龄、神志、疾病诊断、视力、皮肤状况、药物使用情况、活动情况等,分别予以分级赋值(见表1)。
1.3 编写风险预警自动评估软件程序。编程人员采用Delphi6.0数据库管理系统作为开发工具,采用结构化和面向对象相结合的方法,即在系统规划、系统分析、系统设计这三个阶段使用结构化的方法,在系统程序编制与调试阶段使用面向对象的方法,系统主体采用C/S的架构体系,后台数据库使用SQL SERVER 2005[3]。软件程序编写人员根据上述风险预警指标及其分级赋值,通过自动运算生成每个住院病人的护理风险的预警评估值,再根据医院实际结合专家咨询,将这些评估值分成四个等级予以显示,即无风险(绿色)、低度风险(蓝色)、中度风险(黄色)、高度风险(红色)[4]。
2.院内护理风险预警的基本步骤
2.1 住院病人风险预警信息采集录入。管床护士通过科室的护士工作站将病人信息客观地输人到风险预警信息管理系统中,新入院病人必须在24小时内进行第一次风险预警信息采集录入,三天之内进行第二次风险预警信息的采集录入,如该病人临时出现特殊的病情变化须及时进行预警信息的修改录入。
2.2 护理风险预警评估。该风险预警信息管理系统中含有风险预警指标的数据处理模型和指标的预警界限值,通过自动的电脑程序运算即生成全院所有的住院病人护理风险预警评估数值,该评估结果被具体划分成四个等级,即无风险(绿色)、低度风险(蓝色)、中度风险(黄色)、高度风险(红色),分别按照不同的风险等级分区域分颜色显示。
3.护理风险的干预和处理
护理部安排专人负责风险预警信息系统的管理工作和监测指标的监控工作,在风险预警信息管理系统的电脑终端上根据该信息系统反馈的病人风险等级信息和具体的数据指标,及时分析和查找风险原因,针对不同的风险等级采取不同的干预和处理措施,降低住院病人的护理风险。低度以下风险时,护理部质量督导员应电话与护士长联系,询问情况,并提醒护士长引起重视,并予以动态评估、追踪观察;中度风险时护理部质量督导员即要到病人所在科室了解核实情况,指导科室采取相应干预措施,同时做好记录并追踪观察;高度风险时护理部主任到现场督查、指导,指出护理重点,化解风险,做好书面干预处理记录。同时,护理部质量督导员对高度风险的病人予以密切关注,每日查看,并将结果及时反馈给护理部主任。
4.讨论
利用信息管理系统实现医疗风险的监测和评估,可以提高预警预报和快速反应能力,不但能够节省很大的人力物力,而且可以提高精确度[5]。我院通过建立住院病人护理风险预警信息管理系统,针对不同医疗风险等级进行实时干预,使护理部能在第一时间内获知在院病人信息,及时发现住院病人护理服务过程中潜在或已有的风险,做到心中有数,即"先知道、先告知、先预防",具有高效、方便、快捷的特点,体现了时效性、真实性,减少了护理不良事件的发生,保证了护理安全,提高了管理效率。运行一年多以来,深受护理人员的好评。当然,对于预警指标及其权重的赋值存在一定的局限性或片面性,其科学性还需我们在以后的实践中不断探索。
参考文献
[1] 陈稚林.临床护理风险因素分析及防范对策[J].全科护理,2009,7(7):1765-1766.
[2] 许苹,秦婷,连斌,等.试论医疗风险预警体系构建[J].现代预防医学,2007,34(2):392-393.
[3] 唐雄.医院体检管理信息系统的开发及应用[J].中国医学装备,2008,5(8):16-18.
购物车(0)
