医疗数据安全市场才刚开场，钱还没花到数据上
国庆假期留守家中，完整研读了中国医院协会信息专业委员会（CHIMA）首份数据安全调研报告《2026 医院数据安全调查报告》。报告基于 720 家医院问卷调研，共 40 页内容。
最初只是想验证医疗行业的预判，梳理完核心发现后明显感受到：医疗数据安全市场的实质性启动，会晚于多数人的预判，赛道尚有大量市场空白。
在此前的数据安全市场讨论中，金融、运营商、互联网企业一直是核心主角，医院如同后排的学生 —— 风险价值很高，但长期关注度不足。如今局面已经改变，医疗机构迎来合规 “大考”，配套的资金投入需求也集中释放。
我将报告提炼出 10 条核心判断整理成表，建议保存。后续做预算规划、撰写项目方案，远比行业口头宣讲的市场数据更落地。
医疗数据安全市场才刚开场
1/6 钱花在了防进门，没花在防带出
理由一：加密、脱敏、DLP，全是空白
先看一组数。
医院目前用得最多的数据安全措施：数据库防火墙／网关 76.25%，数据备份 74.72%，带勒索病毒查杀能力的杀毒或终端软件 74.58%，数据库审计 64.58%，数据访问控制 55.69%，防统方 48.47%。
往下是断崖：数据加密 25.69%，数据脱敏 19.58%，数据防泄露 16.67%，零信任 5.00%。
把这组数翻译成人话——医院的安全预算，几乎全花在了「防进门」上，很少有人管「门里的人带走了什么」。
防火墙、杀毒、备份重要吗？重要。但它们真正解决的是「系统别瘫、业务别停」。数据安全要回答的是另一个问题：病历有没有被整批导出去，影像有没有被越权调阅，账号有没有在凌晨三点拉走一个科室的数据。
这些问题，防火墙答不上来。
报告自己的结论也很直白：基础防护措施已经比较普及，但针对核心数据的分类分级、分级加密、动态脱敏、全生命周期监测这些专业化手段，还没有形成体系。
这就是第一个理由：不是医院不愿意为数据花钱，是钱还没花到数据上。
理由二：值钱的数据，目前基本靠「家规」管着
医院最值钱的数据不是挂号流水，是电子病历、影像、病理、基因，还有妇幼和儿童的档案。
这类数据有个共同点：一旦泄露，后果不可逆。检验报告可以重开，孩子的身份信息泄露了收不回来。
报告问了医院怎么应对数据接口的问题。排在前面的都是管理动作：合并数据接口 50.83%，明确责任边界 47.36%，封装私有接口 39.17%。真正上技术手段的——对接口做安全监测——只有 34.17%。还有一个选项叫「暂时无应对方案」，20.14%。
数据库这边也一样。主动防御措施里，「定期做安全检查分析」占 76.25%，看着挺高。但同一张表里，「规避恶意访问的阈值管控、数据库加密、数据库脱敏」这一项，只有 20.69%。
一个是「我天天看」，一个是「我装上了拦得住」。差着将近四倍。
我跟你说实话，这中间的空档，就是接下来几年最实在的一块预算。
2/6 想花钱的意愿，已经写进明年计划
理由三：一半以上医院明年就要买东西
前面说的是缺口。缺口本身不值钱，有支付意愿的缺口才值钱。
报告问了一个很直接的问题：未来一年打算做哪方面的数据安全工作。
答案是：开展数据安全培训 77.64%，采购数据安全产品 53.75%，参与数据安全评估评测 51.67%，增加数据安全资金投入 49.17%，制定数据安全战略 42.50%，成立或调整数据安全组织架构 34.72%。
最后一行是「暂无计划」——9.58%。
这个 9.58% 是我在这份报告里看到的最乐观的数字。十个医院里有九个，明年总要动点什么。
注意第三条：51.67% 要参与数据安全评估评测。评估评测不是一次性消费，它是个入口——评完发现问题，后面跟着整改、跟着采购、跟着复评。
评估本身不产生多少收入，但评估是收入的入口。
顺带说一句，报告里医院自己排的「开展数据安全建设的主要动力」，第一位是防范风险事件发生（83.75%），第二位是合规需求（77.08%）。不是「领导要求」，不是「别人买了我也得买」——是先怕出事，再怕被查。
这个动力排序，比任何市场规模预测都可靠。
3/6 人不够，所以服务比产品好卖
理由四：接近一半的医院，专管人员就一个
报告统计了医院信息安全专管人员的数量。
一个人：41.11%。两个人：19.31%。三个人：9.31%。五个以上：10.42%。没有：11.53%。
也就是说，超过一半的医院，安全这条线上的人不超过两个。
组织架构更能说明问题：90.14% 的医院认为有必要建立专门负责数据安全的组织架构，实际只有 17.08% 有独立的数据安全团队，45.28% 让网络安全团队兼顾，37.64% 干脆没有团队负责。
90% 的需求和 17% 的现状之间，隔着 73 个百分点。这 73 个点，就是市场。
而在问「数据安全工作中最大的困难是什么」时，排第一的答案不是钱，是缺乏数据安全专业能力，75.14%。第二位才是缺资金，72.22%，第三是缺标准与指导，61.25%。
一个没有人、没有标准、但有钱的行业，它最需要的一定是服务。
理由五：医院想要的，恰好是人和方法
接着上面的题往下问：你们希望在数据安全领域得到什么服务。
答案排序：全面的数据安全咨询服务 73.89%，数据安全意识培训服务 68.33%，数据资产盘点与分类分级服务 64.03%，数据安全监管政策解读培训 63.06%，日常运维管理服务 62.92%，敏感数据在云端或第三方分析的加密服务 50.00%，云环境数据安全监控服务 36.67%。
看前五位，有两件事值得说。
第一，五项里四项是服务，只有一项勉强算产品。
第二，这个排序和厂商习惯的卖法是错位的。厂商最擅长卖盒子，医院最缺的是有人告诉他从哪一步开始。
这中间有一道缝，谁先补上，谁就先拿到单子。
4/6 政策已经把采购理由写好了
理由六：五部门那份办法，把「可选」改成了「必选」
2026 年 2 月 14 日，国家卫健委、公安部、国家网信办、国家中医药局、国家疾控局五部门联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（国卫规划发〔2026〕6 号），自印发之日起施行，共七章四十条。
这份文件的价值不在于它有多严，在于它把每一条要求都翻译成了可以采购的东西。我挑几条给你看。
数据分核心、重要、一般三级。存储处理重要数据，要落实网络安全等级保护第三级及以上要求；涉及关键信息基础设施的核心数据，要落实关基保护要求。
重要数据的处理活动日志留存不少于一年，涉及委托处理的不少于三年，核心数据安全事件日志留存不少于三年。审计和日志类产品，需求是被写死的。
要求综合运用加密、脱敏、去标识化、数字水印、校验、审计等技术手段，商用密码应用从「可选」变成「必选」。密码类产品的口子，是被行政规定撬开的。
处理重要数据的机构，每年开展一次风险评估；委托处理个人信息前要做影响评估、签委托协议和保密协议，禁止项目转包分包。评估类服务从「要不要做」变成「什么时候做」。
还有一条更硬：不得通过微信、网盘、社交软件传输核心数据、重要数据和敏感数据。这一条如果认真执行，医院内部的文件流转方式得整个重做一遍。
五个部门一起签字，意味着卫健、公安、网信三条线都能来查你。
理由七：被查出来的后果，已经足够贵
政策只写了要求，真正让预算批下来的，是后果。
公安部令第 176 号，《公安机关网络空间安全监督检查办法》，2026 年 8 月 6 日公布，今年 10 月 1 日——也就是今天——开始施行，共 23 条。检查对象明确写了网络运营者、数据处理者、个人信息处理者；检查方式包括线上巡查和线下核查；对采取漏洞探测、渗透性测试等方式开展远程检测的，由地市级以上公安机关组织实施。
翻译一下：以后来查你的，不一定是翻台账，可能是直接探洞。
评审这条线上更直接。《三级医院评审标准（2020 版）》把「发生大规模医疗数据泄露或其他重大网络安全事件，造成严重后果」写成了前置要求——评审周期内出这种事，延期一年评审，延期期间原等次取消，按「未定等」管理。
对一家三甲来说，这一条的代价比任何一份安全预算都高。
再看个案子。2026 年 8 月被作为典型案例披露的济南市长清区某卫生院：工作人员碍于人情，在 2020 到 2021 年间违规向他人拷贝儿童及家长的个人信息，累计 38 万余条，信息被多次倒卖形成黑色产业链。检察院以侵犯公民个人信息罪提起刑事附带民事公益诉讼，法院判处四名被告人有期徒刑三年、缓刑三年，各处罚金一万元，并支付损害赔偿金、公开赔礼道歉。
刑期不重。但请注意两个细节：一是基层卫生院，二是「碍于人情」。
这个行业里最贵的一课，从来不是技术课，是「帮个忙」这三个字。
5/6 新场景正在长出新预算
理由八：分类分级是所有项目的入口
报告问了医院「最紧迫需要开展的工作」，排第一的答案是：开展数据分类分级工作、识别敏感数据，27.78%。第二名是购买并实施数据安全产品，19.72%；第三名是规划数据安全治理工作、制定实施路线图，17.08%。
同一份报告里，「最希望得到的服务」一栏，数据资产盘点与分类分级服务排第三，64.03%。
为什么这一项这么靠前？因为它不是一个项目，它是一串项目的第一环。
数据没分完级，你不知道哪些数据是重要的；不知道哪些是重要的，就不知道加密该加在哪儿、脱敏该脱到哪一层、审计该盯哪些表、日志该留多久。后面所有预算，都得先等这一步。
分类分级的价值不在于那张清单本身，在于它决定了后面每一个项目的边界。
理由九：互联网医院和科研，把数据拉出了院墙
医疗数据安全市场尚处于起步阶段，大量预算尚未真正落地到数据本体防护。数据静态存储在机房内时，安全管控难度相对可控；真正的风险，产生于数据跨场景流转、向外输出的过程之中。
互联网医院场景的隐私保护调研数据，清晰呈现出防护能力的分层差距：病毒检测与防护占 67.22%、入侵防护检测 64.86%、身份认证 62.08%、数据库审计 49.17%、WEB 安全防护 46.67%，这类都属于网络层面的基础防护手段；而直指数据本身安全的能力建设明显滞后，全程访问控制仅 32.22%，数据加密 28.61%，数据脱敏 23.06%，两类措施的普及率相差 20 至 40 个百分点。
医学科研场景下，数据销毁短板尤为突出。医院普遍采用的手段仍是权限管控与纸面约束：设置访问权限 60.97%、签署保密协议 50.97%、搭建数据审批流程 39.44%、数据脱敏 33.61%、数据匿名化 25.69%。但作为闭环安全关键一环的数据及时销毁，占比仅 12.92%，另有 15.83% 医院表示未开展相关措施。科研数据具备强时效性，项目结题后留存的冗余数据，会长期形成安全暴露风险；近三成医疗机构尚未建立有效的科研数据销毁机制，数据生命周期管理存在明显断档。
第三方合作场景同样暴露出生命周期末端管控的漏洞：84.86% 的机构会签订保密协议，纸面约束覆盖率很高，但技术落地严重不足。仅有 26.11% 能做到对外交付数据时，按照最小必要原则完成脱敏，22.36% 坦言缺少有效管理手段。
签订保密协议只是书面承诺，脱敏、销毁才是落地的技术动作。行业内普遍现状就是保密协议堆积成册，数据交付不做裁剪、到期不做销毁，大量冗余医疗数据持续留存，长期埋下泄露隐患。
6/6 AI是第二条曲线，供给还没跟上
理由十：AI 的需求，已经跑到供给前面
报告的第二部分是针对 AI 的专项调查，176 家医院。
64.77% 的医院认为 AI 对提升主动防御能力有积极作用，其中 26.70% 认为「能显著提升」。39.21% 明确或正在规划增加 AI＋数据安全产品的投入（已有明确预算的 7.39%，正在规划的 31.82%），另有 30.68% 说「视政策与合规要求而定」。已经在用具备 AI 能力的安全模块的有 20.45%，另有 39.77% 在计划中——加起来六成。
认为 AI 价值最高的场景，前三名是：数据库审计与异常行为监测 67.61%，医疗数据资产梳理与识别 65.34%，网络安全分析与研判 64.77%。排在后面的是医疗数据泄露监测 57.39%。
看出规律了吗。医院想让 AI 干的事，全是「人干不动、干不快、干不完」的活——盯日志、点资产、看流量。
而他们买 AI 产品时最在意什么？识别准确率与误报率，44.89%，排第一。第二是厂商的技术支持与更新能力，34.09%。第三才是成本效益比，27.84%。
误报率排第一是有道理的。一个天天报警、九成是误报的系统，用两个月就会被关掉。
那他们遇到的困难是什么？排第一的还是人：缺乏专业人才进行运维与调优，52.84%。第二是「尚未使用，无相关经验」，41.48%。第三是成本过高，40.34%。
政策端也在推。2025 年 11 月，国家卫健委联合国家发展改革委、工业和信息化部、国家中医药局、国家疾控局印发《关于促进和规范「人工智能＋医疗卫生」应用发展的实施意见》（国卫办规划发〔2025〕30 号），明确 8 个方向 24 项重点应用，并把「强化数据安全和个人隐私保护」单列成一部分。
需求有、意愿有、政策有，唯独人和好用的产品还没有。
这三个缺口叠在一起，就是第十个理由：AI 在这里不是加价项，是换赛道。
医疗数据安全的竞争，早已不再只停留在 “守住机房大门”。医院的安全建设重心，正在从抵御外部入侵，转向管住院内数据向外流动。加密、脱敏、分类分级的建设浪潮已经到来，但很多机构依然忽略了安全闭环的终点 —— 数据销毁。科研项目结题、第三方合作终止后，未妥善处置的病历、影像、个人信息持续暴露，随时可能触发合规风险。随着监管落地与 AI 技术赋能，覆盖全生命周期，包含数据安全销毁能力的一体化医疗数据安全方案，会成为医疗机构的刚需，这片市场才刚刚拉开序幕。
原文来自老任讲数安
留言