一、ISO 27799:2016 8.3.2 标准原文
条款原文：当介质不再需要时，应通过正式程序安全处置。对医疗机构来说，这不仅涉及报废的电脑硬盘、备份磁带和光盘，也包括医疗设备中的本地存储、维修更换下来的控制板、含缓存的工作站 SSD、移动介质以及任何退出使用前仍可能保留患者信息的存储单元。
理解重点：本条管的是介质生命周期的尾部阶段，重点不是“东西不用了”，而是“不用了以后数据还能不能被恢复出来”。
二、条款深度解读
2.1 介质退出不等于信息退出，真正要处置的是残留数据
很多组织在处理报废设备时，关注点放在设备是否移交、登记或回收，却忽略了里面的数据是否已经不可恢复。对医疗机构来说，这种忽略非常危险。患者病历、影像缓存、检验结果、日志、报表和导出文件都可能残留在硬盘、光盘、磁带、U 盘或医疗设备内置存储中。只要这些内容在设备退出后仍可被恢复，本条就没有真正落实。
因此，8.3.2 的重点不是物资处理，而是信息残留处理。医院必须明确：哪些介质在退出时应擦除，哪些需要物理销毁，哪些在返修前必须先清空，哪些因技术限制不能彻底清除而应直接报废销毁。这些判断都应建立在介质中可能残留何种健康信息的现实基础上，而不是泛泛说一句“按规定报废”。
2.2 医疗行业里，最容易被忽视的不是电脑硬盘，而是设备内置存储和维修替换件
| 介质类型 | 典型对象 | 容易忽视的原因 | 处置重点 |
|---|---|---|---|
| 常规计算机介质 | 办公电脑硬盘、工作站 SSD、服务器磁盘 | 大家知道它会存数据，但常只做形式化删除 | 按级别擦除或物理销毁，保留证明 |
| 备份介质 | 磁带、光盘、备份盘、离线副本 | 长期存放、责任人变化后遗忘 | 到期清点、专人处置、销毁留痕 |
| 医疗设备内置存储 | 影像设备缓存、检验设备存储、监护工作站本地盘 | 设备被当作“器械”而非“数据载体” | 报废、返修、置换前先确认残留数据清除 |
| 维修和更换件 | 控制板、存储模块、替换下来的硬盘 | 维修流程中容易直接交给厂商带走 | 清除、封存或按合同要求现场销毁 |
这也是为什么医疗机构不能简单照搬普通办公设备报废流程。很多看似只是“设备零件”的部件，实际可能保留着最近检查记录、患者标识、系统日志或配置文件。一旦被当作普通废件流出，患者信息同样会随之流出。
2.3 安全处置不等于删除文件，必须按介质类型和数据风险选择方法
删除文件、格式化分区、重装系统，在很多情况下都不等于安全处置。不同介质、不同数据风险和不同后续去向，对处置强度要求不同。例如准备院内再利用的办公终端，可能需要规范擦除和复核；准备外部报废或移交第三方处理的介质，则可能更适合直接物理销毁；返修设备若无法确保维修方不接触残留数据，就应先拆除并处理存储单元，或采用可证明不会暴露数据的维修方式。
医院在这一点上最容易犯的错误，是把所有介质都交给同一套后勤流程处理。高质量做法应先判断其中残留什么信息，再决定采取擦除、去磁、粉碎、拆除封存还是现场监督销毁。处理强度来自风险，而不是来自资产类别本身。
2.4 本条还要求形成处置证据，否则组织很难自证
很多报废和再利用场景并不是实时可见的。等到几年后发生调查、投诉或供应商争议时，组织往往只能靠记录证明当时确实完成了安全处置。因此，8.3.2 不能只做动作不留痕。至少应有介质识别、处置方式、执行人、见证人、日期和结果确认。对外包销毁或第三方报废场景，还应保留交接和销毁证明。
没有这些证据，机构即使主观上做过处理，也很难在事后说明数据为何应被认为不可恢复。这对健康信息保护尤其不利，因为患者信息一旦落到组织边界之外，后续很难再补救。
三、实施要点
- 为报废、返修、再利用、置换和备份到期等不同退出场景制定差异化处置规则。
- 将办公介质、备份介质、设备内置存储和维修替换件全部纳入处置范围。
- 根据信息类别、介质类型和去向选择擦除、物理销毁、拆除封存或现场监督销毁等方式。
- 在设备返修和厂商带件离场前，先确认存储单元是否已处理，不能默认交给对方自行解决。
- 保留介质识别、处置方式、执行人、见证人和结果的完整证据。
- 定期抽查历史报废和再利用记录，验证流程是否真的覆盖了带存储能力的设备与部件。
四、典型场景
案例一：报废工作站仅做格式化，硬盘随后流入外部回收
某医院一批旧工作站在报废前只进行了简单格式化，随后交给外部回收。虽然设备已从资产台账中注销，但组织并不能证明其中保存过的导出文件、缓存和本地文档已不可恢复。这个案例说明，物资报废和信息处置是两件不同的事，前者完成并不意味着后者完成。
案例二：影像设备返修时直接整机外送，未检查内部缓存
另一家机构在设备故障返修时，直接把整机交由厂商带走，以为“维修后会还回来”。后续复盘才意识到，设备内部缓存和日志中可能保留患者检查信息，而院方在外送前并未确认是否已清除。这类问题说明，返修和更换件场景恰恰是 8.3.2 最需要重点控制的环节。
五、成文信息与审核证据
- 不同介质类型和退出场景的安全处置制度。
- 报废、返修、再利用、备份到期等场景的介质处置记录。
- 擦除、销毁、拆除封存和第三方销毁的执行及见证证据。
- 设备内置存储和替换件处置要求与合同约定。
- 历史介质处置抽查、问题整改和流程优化记录。
- 能证明组织对带存储能力医疗设备有专项关注的清单和说明。
审核 8.3.2 时，检查人员通常会追问一台报废电脑、一块替换硬盘或一台返修设备在离开前做了什么处置。若组织只能证明“设备报废了”，却不能证明“数据不可恢复了”，这条就很难算真正落地。
六、常见误区
| 误区 | 问题表现 | 正确做法 |
|---|---|---|
| 格式化等于安全清除 | 介质看似空了，实际仍可恢复 | 按介质类型和风险选择适当清除或销毁方式 |
| 只管电脑，不管医疗设备存储 | 返修和报废设备内部缓存完全失控 | 把带存储能力设备和部件纳入同等管理 |
| 交给第三方就算结束 | 缺少过程证明和结果证据 | 保留交接、监督和销毁证明 |
| 资产注销就代表处置完毕 | 物资退出与数据退出脱节 | 把信息残留处理作为独立关闭条件 |
七、结论
8.3.2 的核心，是让医院在介质生命周期结束时，真正把其中残留的信息也一起结束掉。对医疗机构来说，报废、返修、置换和再利用都是高风险时点，因为此时设备看似已经“不再重要”，而数据却可能仍然完整存在。
只有当组织能根据介质类型和风险选择正确处置方式，并且留下充分证据，才算真正完成了安全处置。否则，资产退出只完成了一半，信息仍可能在最薄弱的阶段流出控制边界。
尤其在医疗设备和存储部件越来越复杂的现实下，组织若不能证明“这块介质里的数据已不可恢复”，就不应轻易认定处置已经完成。能否证明这一点，正是本条和普通报废管理最本质的区别。
对医院而言，这种证明能力本身就是安全能力的一部分。因为患者信息一旦在退出阶段流出，组织往往已经失去补救机会，能做的只剩解释当初为何认定处置完成。
也正因为如此，介质处置不应被放进普通后勤流程里淡化处理，而应被视为信息生命周期中的正式关闭动作。只有关闭动作成立，退出才算真正完成。
没有关闭证明，就不应视为真正退出。
从患者信息保护角度看，本条是资产生命周期最后一关。前面所有控制做得再好，若最后一步处置失手，风险仍可能在退出环节集中释放。