揭秘醫療“統方”灰色產業鏈 黑客入侵醫院信息系統作案

　　一起醫療信息泄露案牽出“統方”灰色產業鏈

　　何為統方?

　　所謂“統方”，是指醫院對醫生臨床用藥信息的統計。“統方”屬于醫院保密信息，國家明令禁止醫療機構向醫藥代表等企業人員透露“統方”信息。但醫生開處方時最喜歡用什么藥?哪種藥用量最大?對醫藥銷售有很大影響。為了摸清市場行情，掌握對手的醫藥銷售情況，一些醫藥銷售代表絞盡腦汁收買“統方”。

　　近日，多名醫藥銷售代表通過黑客購買“統方”的系列案發，讓一條“統方”灰色產業鏈從地下浮上水面。廣州日報記者從為多名醫藥銷售代表代理案件的律師鄧世運處獲悉，此系列案的涉案人員絕大部分是購買了統方的醫藥代表，至少超過50人，入侵醫院信息系統的黑客已經被捕，多個案件進入審查起訴程序。　　

　　涉案人員

　　“上家”陳某

　　據稱有途徑獲得廣東一知名醫院計算機信息系統內的“統方”數據

　　醫藥銷售代表羅某某

　　明知渠道可能非法，仍以單價250元，總計共148610元向陳某購買藥品用藥量處方數據

　　另一名醫藥銷售代表梁某某

　　以單價280元，總計共96954元從羅某某處購買藥品用藥量處方數據

　　經過：花近15萬元購買統方 再加價出售

　　近日，廣州市越秀區人民檢察院依法以掩飾、隱瞞犯罪所得罪批準逮捕犯罪嫌疑人羅某某。據悉，犯罪嫌疑人羅某某是某醫藥公司的醫藥銷售代表。為了提高業績，他想弄清楚自己代理的藥品和競品在各大醫院的銷售數據，以便制訂更有針對性的銷售策略。但廣州各大醫院的藥品銷售數據只有醫院自己掌握，屬于保密信息，羅某某想盡辦法也弄不到。

　　2015年初，他經介紹得知犯罪嫌疑人陳某(另案處理)有途徑獲得廣東省內某一知名醫院計算機信息系統內的藥品用藥量的處方數據，盡管明知對方可能是通過非法手段弄到的“統方”，他還是購買了。陳某“定價”每種藥品數據人民幣250元。羅某某通過微信、支付寶支付費用，多次向陳某購買大量的藥品用藥量的處方數據，共計人民幣148610元。付款后，陳某把數據以電子郵件的形式發給他。

　　留部分數據自己工作使用后，羅某某將其余購買回來的該醫院藥品用藥量的處方數據，以每種藥品數據280元的價格，通過電子郵箱發送數據，銀行卡轉賬、微信、支付寶收取費用的方式，多次向另一名醫藥銷售代表梁某某出售大量藥品用藥量的處方數據，共計人民幣96954元。

　　無獨有偶，一宗案情十分類似的醫藥銷售代表通過網絡購買“統方”案近日已宣判。宋某某花了37950元，向張某購買廣東某著名醫院處方藥開藥信息，沒有轉售他人。經法院審判認定，宋某某構成隱瞞犯罪所得罪，被判處有期徒刑7個月。

　　疑問：醫院無“內鬼” 黑客如何獲取內部信息？

　　在過去，非法“統方”多是醫院內部人士作案;這個系列案的特殊之處在于，多個被泄露“統方”的醫院并無“內鬼”，而是被黑客攻擊。

　　“普通黑客要入侵醫院信息系統并非易事。”一位在廣州一家民營醫院工作的資深信息安全技術人員向廣州日報記者介紹，其醫院信息系統使用的是獨立服務器，只有內部網絡可以訪問。對于從外部攻擊的黑客，醫院每年都會付出數十萬元的費用購買防護系統、確保信息安全;對于“內鬼”，則通過對權限的分散分配以及全流程監督監控防止數據外泄。“在員工超過兩千人的醫院中，能接觸到全部數據的不過5人。”此外，由于“統方”是要保密的數據，系統中不會有包含全部“統方”數據的統計表，這意味著，能拿到“統方”的人要既要有管理權限也要懂技術。

　　記者在中國裁判文書網搜索關鍵字“統方”發現的案例，驗證了以上信息。對于此類利用職務之便的違法行為，往往涉及商業賄賂，多以受賄罪認定。

　　那么，這次黑客是怎么從外部攻擊成功呢?記者從律師鄧世運處獲悉，盡管多個被泄露“統方”的醫院無內部人員配合，但由于市內多家醫院使用了同一個信息系統，其中一家醫院的信息科工作人員發現了系統漏洞后，入侵了其他醫院的信息系統竊取“統方”。此外，還有黑客是替醫院維護系統的外聘技術人員，他們利用維護系統之機，用自編的程序偷偷下載。目前，黑客已因涉嫌非法獲取計算機信息系統數據罪被捕。

　　政策：

　　禁止醫藥代表銷售藥品

　　禁向企業人員透露統方

　　中國裁判文書網信息顯示，自2009年起，與統方有關的刑事案件共128起，涉及全國15個省市自治區。其中，僅2014年就審理相關案件43起，2016年有44起。

　　據了解，收集“統方”數據一度成了行業潛規則。一位醫藥媒體從業者向記者介紹，醫藥銷售代表收集每個醫生的處方信息，不僅是為了了解競爭對手和市場，更主要的目的是了解哪些醫院科室臨床歷史上用了和他們的產品比較類似的藥品或者器械，然后對號入座，精準營銷。

　　“以前行業對‘統方’外泄的監管比較弱，現在公立醫院改革政策每年都在加碼，對‘統方’外泄控制得比較嚴了;而且現在醫生越來越難接觸，‘統方’購買成本不斷提高。”該人士分析。

　　2017年，針對醫藥代表行業規范的文件先后出臺。2月9日，國務院辦公廳印發了《關于進一步改革完善藥品生產流通使用政策的若干意見》，明確提出醫藥代表只能從事學術推廣、技術咨詢等活動，不得承擔藥品銷售任務，失信的記入個人信用記錄。

　　5月11日，國家食藥監總局發布的《關于鼓勵藥品醫療器械創新實施藥品醫療器械全生命周期管理的相關政策(征求意見稿)》，明確了醫藥代表的“三個禁止”：禁止醫藥代表承擔藥品銷售任務，禁止醫藥代表私下與醫生接觸，禁止醫療機構任何人向醫藥代表、藥品生產經營等企業人員提供醫生個人開具的藥品處方數量。（文/廣州日報全媒體記者方晴）