背景信息
在醫療行業，有一個專業名詞，叫做“統方”。顧名思義，其含義是醫院對醫生用藥信息量的統計。
在醫藥灰色產業鏈中，為商業目的的“統方”，其主要指醫院中個人或部門為醫藥營銷人員提供醫生或部門一定時期內臨床用藥量的統計信息，供其作為發放藥品回扣等不良違法行為的重要參考依據。“統方”就天然成為建立醫藥回扣黑鏈的重要樞紐環節，已經成為國家和媒體關注的重要社會焦點問題。我國衛生部反復強調，對于違反規定，未經批準擅自“統方”或者為商業目的“統方”的，不僅要對當事人從嚴處理，還要嚴肅追究醫院有關領導和科室負責人的責任。
2010年6月21日頒布的《衛生部關于進一步深化治理醫藥購銷領域商業賄賂工作的通知》中明確指出，“要對醫院各個部門通過計算機網絡查詢醫院信息的權限實行分級管理，對醫院信息系統中有關藥品、高值耗材使用等信息實行專人負責、嚴加管理，嚴格統方權限和審批程序，未經批準不得統方，嚴禁為商業目的統方。”
《中華人民共和國執業醫師法》第37條規定：“泄露患者隱私，造成嚴重后果的要承擔一定的刑事責任”。
《醫療機構信息系統安全等級保護基本要求》規定“網絡設備、操作系統、數據庫系統和應用系統的鑒別信息、敏感的系統管理數據和敏感的用戶數據（如患者的基本信息、診療相關信息等）應采用加密或其他保密措施實現存儲保密性”。
醫院“統方”系統主要漏洞
- 系統本身存在漏洞風險。醫院的HIS等醫療系統，集中了處方統計分析業務、處方查詢（藥劑科），以及掛號、病歷、診療信息管理等核心業務模塊，后臺涉及到醫生、藥品、劑量、單價、應收金額等直接或間接能夠“統方”的信息。這些功能本身提供詳盡的統方表格，同時該應用系統有部分高權限用戶擁有統方權限相關功能提供的統方。如果HIS系統有漏洞，或者內部管理不慎都有可能造成信息泄露。
- 內部信息資源管理人員非法“統方”。醫院信息中心人員負責醫院信息化建設，以及日常IT網絡設備、數據庫等程序的維護工作，這些管理人員掌握著SYS、SYSTEM等超級用戶。這些用戶具備了訪問所有IT網絡設備、服務器、應用數據庫的權限，從而使毫無業務需要的信息中心工作人員能夠訪問所有處方數據，具備“統方”的最佳途徑。
- 開發人員、維護人員非法“統方”。醫療信息系統的開發和維護人員掌握著系統訪問數據庫的用戶名和口令，這些人員經常需要在醫院內部進行日常工作，完全可以使用該數據庫用戶直接登錄數據庫，構造統方SQL進行非法“統方”。
- 黑客入侵醫療系統非法“統方”。
