脱敏指导
为满足合规要求、防止隐私数据泄露、维护国家信息安全，依据《数据安全法》、《个人信息保护法》等法规，特制定生物医学大数据研究院科研平台（后称平台）数据脱敏指导。
总体要求
数据脱敏是数据安全和防护的重要组成部分，所有上传至平台的数据，必须完成脱敏，从源头保证数据安全。- 数据脱敏是通过技术手段对敏感数据进行不可逆变形，在保证科研和业务需求的前提下，消除数据与真实个体/实体的关联性，达到匿名化的目的。
- 敏感数据定义和发现是脱敏工作的难点和重点，平台指定的类型参考了国家法律规定，项目组应针对自身情况，酌情增改。
- 本指导应用范围限于数据在中心平台使用时。
- 在数据分配、使用、存储、销毁等生命周期中，仍需要遵循中心、医院、学校、国家其它规定和法律。
步骤
数据所有者应完成数据密级定义，制定并执行脱敏方案后上传至平台。
识别敏感数据
- 盘点数据资产，确定待评估数据集。
- 判断数据集是否存在敏感标识符（参考附录和法律法规）。
- 识别直接敏感标识符，在数据集中标识敏感标识符的位置、格式和敏感程度。
- 识别非直接敏感标识符，判断数据可能的风险，确定敏感程度是否超过项目组阈值，从而确定是否纳入脱敏范围。
脱敏方法选择
方法选择应遵从如下脱敏原则，确保有效性和安全性：
- 有效性：确保脱敏后敏感信息无法被直接还原。
- 安全性原则：增强流程管控，防止脱敏规则和中间数据泄密。
- 最小化原则：仅对必要的敏感信息进行脱敏处理。
- 不可逆原则：确保脱敏后的数据无法还原为原始敏感信息。
- 真实性原则：脱敏后的数据需保留原始数据的格式、类型、统计特征等。
- 一致性原则：脱敏后的数据应保持原始数据的主外键关系和业务逻辑一致性。
- 稳定性原则：非随机脱敏时，重复操作结果应一致，确保不同批次数据关联性。
实施
- 执行脱敏操作。
- 记录脱敏操作人员、操作过程、还原文档等记录。
上传平台
根据平台使用流程和规定 ，上传至平台内网。
参考标准
1.参考法律法规：
。。。
2.参考标准：
《信息安全技术—健康医疗数据安全指南》（GB/T 39725-2020）
《信息安全技术 个人信息安全规范》（GB/T 35273-2020）
《信息安全技术 大数据安全管理指南》（GB/T 37973-2019）
《专科疾病标准数据集建设规范》（T/BISSC 01—2022）
《广东省健康医疗数据脱敏技术规范》（T/GZBC 36—2020）
。。。
附录
参考敏感标识符
| 分类 | 说明 | |
|---|---|---|
| 直接标识符 | ||
| 身份信息 | 可唯一定位到个人的信息：姓名、身份证号、工作证、居住证、社保卡、就诊卡、面部图像等 | |
| 通讯信息 | 电话、邮箱、账号、精准住址等 | |
| 生物标志 | 基因、指纹、声纹、掌纹、耳廓、虹膜、面部特征等 | |
| 医院敏感信息 | 药物、费用等可涉及“统方”等医疗资金和支付数据； | |
| 准标识符（非直接） | ||
| 组合标识符 | - 如年龄、性别、民族、国籍、职业、家庭成员等组合后可唯一定位到个人的信息 | |
| 不可控风险的标识符 | - 如涉及特殊组织、特殊人群、政府、国家的可统计字段； - 可引发舆情，导致稳控事件的特殊信息如防疫、重大事故伤亡数据等； - 传染、出生死亡等公卫数据。 |
|
| 医疗/医院标识符 | - 病历号/住院号：虽非直接身份信息，但结合医院内部系统可关联到个人。 - 手术并发症发生率；院内感染率；医生绩效排名等医疗质量数据。 |
|
| 多模态数据中的风险标识 | - 视频问诊中的背景环境信息（如家庭住址暴露） - 语音交互中的方言特征（可能关联地域身份） - dicom等元数据中记录的姓名、身份等个人标志的数据 |
|
| 。。。 |
参考脱敏方式
| 分类 | 说明 | |
|---|---|---|
| 常规方法 | ||
| 泛化/桶化 | 将精确值替换为更宽泛的范围或类别，降低数据粒度。示例：年龄“25岁” → “20-30岁”。 | |
| 扰动 | 向数据中添加随机噪声，保留统计特性但隐藏真实值。示例：工资“10000元” → “10000 ± 随机数（如9800或10200）” | |
| 重排 | 打乱数据记录的顺序，破坏原始关联性。示例：用户ID与购买记录的随机匹配。字符重排如ABC重排为CBA等。 | |
| 置换 | 对数据字段内的值进行规则化替换（如映射表）。示例：性别“男/女” → “A/B”。 | |
| 屏蔽 | 隐藏部分数据，仅显示部分字符。示例：手机号“13812345678” → “138****5678”。 | |
| 替代/标记化 | 以替换规则表等替换。示例：姓名“张三” → “李四”（从预设姓名库随机选取） | |
| 截断 | 直接删除部分敏感数据。示例：身份证号“110101199003077654” → “110101********”。 | |
| 控制插入 | 向数据中插入伪造记录，混淆真实数据。示例：在医疗数据中添加虚假患者记录。 | |
| 删除 | 彻底移除敏感字段或记录。示例：数据库中的“信用卡号”列整列删除。 | |
| 加密算法 | ||
| 同态加密 | 许在加密数据上直接计算（如加减乘除），运算结果解密后与明文计算一致。示例：Paillier、RSA等部分同态算法；Gentry、TFHE、CKKS等全同态算法； | |
| 对称加密 | 加密和解密使用相同密钥，速度快，适合大数据量。示例：AES、DES、3DES、ChaCha20。 | |
| 非对称加密 | 用公钥加密、私钥解密，解决密钥分发问题。示例：RSA、ECC、ElGamal | |
| 差分隐私 | 通过随机噪声注入，使敏感统计结果脱敏。示例：已知某地区XX学校学生量表测量统计结果，可知XX地区学生的XX属性。 | |
|
举例
案例一：教育行业数据，除匿名化之外，尚虚考虑统计层面的风险，学校运营质控数据多为敏感，如学生心理不良率等
案例二：特殊人群如监狱、军队的多模态数据，含面部图像，处理面部图像操作时需注意在封闭空间进行。
案例三：流行病学公卫数据，在疫情流行期间的入院患者诊断数据。
案例四：PACS系统dicom文件传输时，保存了tag中的患者个人信息
案例五：HIS数据包含各类个人信息
。。。