以“国家安全”之名 南方周末质疑阿里

　　21世纪第二个10年过半，海量的数字化信息正在我国的行政管理、生产经营、商务活动等众多领域不断产生、积累、变化并相互干涉，一系列的大数据应用需求与产业链也正在加速形成。公共服务“大数据进化”的实践中，公共服务的提供主体——政府——离不开互联网龙头企业在规模化设计和工程实施领域的丰富经验，前不久，阿里巴巴牵头改进12306铁路售票系统就是一例。

　　近年来，BAT（百度、阿里、腾讯）三巨头或多或少都承接了一些“国家项目”，大数据/云计算领域起点较早的阿里巴巴尤其突出。马云曾多次在公开场合表示，要不是三番四次找他，他一般是不愿意接收此类项目，就算接了也绝不求报酬，这些活儿，都算“摊派”。“义务劳动”多了也惹麻烦，企业涉足社会公共领域的大数据管理，公的、私的、社会的、企业的……边界在哪里？规范在哪里？可不是几句话说得清的。有学者就曾建议，在大数据领域应尽快建设国家主导的研究中心，致力于攻关并推广相关大数据应用，构建面向各行业的专业服务系统，这或许是将来的重要发展方向。

　　眼下，“药品电子监管网”数据信息的归属和安全问题已经引来了医药界的质疑。前不久闭幕的2015年全国两会上，多名医药界代表将矛头指向了运营、维护该系统的阿里健康，药品信息被涉足药品销售的另一家企业掌控，激发了他们的担忧。今天出版的《南方周末》以《国家数据飘在“云”上 阿里健康危及国家安全？》为题，专文介绍了其中的来龙去脉。

　　以下为该报道全文：

　　2015年春节前，一个营销人员拜访广东众生药业股份有限公司总经理陈永红，希望利用数据为这家上市药企设计一个市场解决方案。

　　“这是我们公司的数据啊？”看到方案，陈永红觉得不可思议，因为方案所用的数据，包括各类药品的批次、流向和数量都来自众生，但陈永红却从未看过。

　　陈永红称数据来自掌握全国药品监管信息的阿里健康，这让他担心企业的信息安全。实际上，中国大多数药企负责人并不系统掌握自己生产的药究竟流向何方。按照国家食品药品监督管理总局（以下简称国家食药总局）的监管要求，这些数据都被储存在一个叫做“药品电子监管网”的数据库，高高挂在“阿里云”上。

　　2015年“两会”期间，全国人大代表、湖南老百姓大药房连锁有限公司董事长谢子龙公开向国家食药总局建议，药品电子监管信息涉及国家安全，“应立即停止药品电子监管码系统由企业运营”，矛头直指进军医药行业的阿里健康。

　　实际上，在这场医药行业的大数据游戏中，真正让连锁药店和药企这些“运动员”不安和恐慌的是，有一天要跟阿里健康这样的“裁判员”同场竞技。

　　除了非处方药及保健品、日化用品，2014年，几大电商陆续发力网售处方药

　　对此，国家食药总局在接受南方周末记者采访时强调：药品电子监管码搜集、产生、存储的所有数据、文档、信息和记录，都归该局所有，“任何一方都不能用于商业服务”。

　　裁判下场 球员抗议

　　“作为裁判员，不应下场踢球。”谢子龙反复强调这一点。

　　药品电子监管相当于药品的“电子身份证”，监管部门希望借此实现药品生产、流通、消费的全程监控。

　　从2006年开始，“药品电子监管网”的数据平台由中信21世纪公司运营。2014年1月，阿里巴巴耗资10亿元人民币，控股中信21世纪公司（该公司股票后改名阿里健康）

　　让医药企业警惕的是，此后不久，阿里健康就推出了相关的互联网产品。

　　2014年7月，阿里在手机淘宝和支付宝钱包中推出“药品安全计划”；同年11月，“阿里健康”App上线，其中也包括“药品安全识别功能”。

　　在这些平台上，用户只要扫描药盒上的监管码，就能快速查询到药品用法、禁忌、生产批次及药品流向。

　　药品生产企业不知道自己的药卖给了谁，但数据平台的运营者阿里健康，却能在短时间内推出移动互联网产品。

　　“现在的态势表明，即使不直接盈利，阿里健康也会利用数据演化出一个盈利模式。”陈永红说。

　　谢子龙为此连夜写成《关于将药品电子监管系统交由国家食药总局统一管理，确保信息安全的建议》带上2015年“两会”。

　　如题所示，谢子龙建议国家食药总局收回药品电子监管码系统管理权限，停止强制企业向电子监管平台上传数据，并公开招标寻求“廉价”的管理模式。

　　“我反映的是行业意见，不是我个人的意见。”在2015年3月4日召开的医药界“两会”代表座谈会上，谢子龙对南方周末记者说。

　　与西装革履的药企代表委员不同，谢子龙走平民路线：他穿深紫色帽衫、粉红色衬衣，将发言严格控制在5分钟，不多也不少。同时，他也不忘强调行业内大佬们对自己的支持：“两会上好几个人过来对我说：‘哎呀，你这个意见很好，本来我们都要提的。’”

　　为了在药盒上加印电子监管码，企业必须在生产线上加装传送带和读码处理器，还得安装价值不菲的软件，聘请专门员工管理。

　　“我很看好阿里健康，现在又很支持谢子龙。”河北新兴药房连锁有限公司董事长郭生荣说。新兴是石家庄第一家使用电子监管码的连锁药店，同时跟阿里健康有其它合作关系。

　　药店发难 药企“闹累了”

　　“因为政府行政命令，企业花钱做电子监管码。但所有信息又交给另一个同行竞争企业。这应不应该经过提供数据的企业许可？”对于医药企业的质疑，《E药经理人》出品人郭云沛这样总结。

　　事实上，此次发难的大多是流通领域的药店，产业链上游的药企大佬们却已“放弃抵抗”。

　　“这个就不要再提了。”四川科伦实业集团董事长刘革新对南方周末记者说，“在8个月前，它曾经是一个很重要的问题，但现在已经解决。”

　　“解决”似乎意味着“妥协”。

　　阿里还在吸纳医疗合作伙伴组建网络问诊平台，并为药品零售商家搭建供货网络

　　研究药品政策的国家行政学院副教授胡颖廉告诉南方周末记者，早在2007年左右，药业大佬们就有不同看法。

　　2006年，原国家药监局就已开始建立特殊药品的电子监管码。此后，赋码范围不断扩大，从麻醉药品、精神药品到基本药物，直到现在所要求的全环节覆盖。

　　推进基础药品电子监管码时，原国家药监局曾给出时间表：2011年4月1日起，对未入网及未使用药品电子监管码统一标识的品种，一律不得参与基本药物招标采购。

　　用行政命令要求企业上交所有药品信息的合法性，是当时药企大佬们不满的焦点。

　　“我国药品管理法、《麻醉药品管理办法》，对于麻醉和精神类药物，需进行实时监管，但对其他药品，行政许可法的原则是，政府不能人为用监管加强企业的责任。”胡颖廉说。对于拒绝上交基础药品电子监管码的企业，政府并没有充分处罚依据。

　　在美国，建立产品质量追溯体系属于企业行为，政府并不参与。南开大学法学院教授宋华琳专注药品管理制度研究，在他看来，政府监管必须考虑成本收益，电子监管码政策由政府规定，就是用行政力量给企业设定义务。

　　众生药业从2003年起，就已建立了药品溯源系统。陈永红记得，众生当年的系统，赋码方式和“药品电子监管网”的一模一样：“不过，2006年全国的系统一出来，什么都废了。”

　　闹归闹，业内也认同依托电子监管码建立的追溯体系“有一定意义”。

　　“电子监管码从源头就统一标识，可以知道药从哪一个药店卖出去，或者医院开给了谁。”科伦药业董事长刘革新说。

　　国家食药总局在回应南方周末记者采访时认为，监管部门、生产经营企业、医疗机构在加入药品电子监管网时，要经过严格身份验证，“这种闭环运行，保障了公众用药安全”。

　　不过，电子监管码对假药继续走“野路子”影响不大。“追溯系统中只有主动扫码入库的药，假药一直都在系统之外。”宋华琳说。

　　义务承担“全部费用”？

　　阿里巴巴入主中信21世纪后，将原本储存在“甲骨文”公司数据库中的药品监管网数据，转移到“阿里云”。

　　北京邮电大学信息安全中心副主任辛阳推测，现在国家食药总局掌握的信息“可能都没有他们全”。

　　在被阿里收购之前，中信21世纪在业界几乎没有存在感，在资本市场上更不引人注目。1972年在港上市时股价一度低迷，《纽约时报》中文网甚至用“死气沉沉”形容这一阶段。

　　中信21世纪看似业绩不佳，却一直承担着药品电子监管系统开发建设和运营的全部费用。过去，中信21世纪的回应是“为国家做贡献”。

　　在建议中，谢子龙提及中信21世纪是香港上市公司，他认为将全国所有药企的数据交给境外企业有失偏颇。

　　公开资料显示，中信21世纪隶属中信集团。不过，真正让中信21世纪走入公众视野的，还是阿里的入股。随着阿里加入战团，使互联网对传统药业的威胁，变得近在眼前。

　　“阿里巴巴的天猫医药馆处方药做得很好，95095的药品批发也做得不错，我们有合作，也是竞争对手。”郭生荣说。

　　原来的裁判下场踢球，让球员怎么混？

　　收购中信21世纪，马云花了10亿人民币；将药品电子监管码上的数据转移到“阿里云”，又支付了3720万元的“分手费”。

　　“在商业逻辑中，企业要投资，一定要有回报，如果仅仅是帮忙上传这么大的数据，只是放在那里，什么都不做，哪个企业都不会这么干。”谢子龙说。

　　对于种种质疑和猜测，阿里健康相关负责人未予以置评。

　　让国家数据飘在“云”上

　　若药品电子监管网顺利铺开，“阿里云”中储存的，将是中国各类药品从生产、流通、经营和消费等所有节点的全部信息。

　　这个庞大的数据库是医药企业梦寐以求的。但在谢子龙看来，若管理不善，这些大数据非常危险。在建议里，他的主要论点就是“信息安全”。

　　谢子龙认为，运用大数据的研究方法，分析药品电子监管码所蕴含的信息，能够绘制出国内的疾病发生的时间、地域、周期，进而掌握国人的健康情况；甚至还能通过药品流转，绘制出中国各种战略资源节点图。

　　这种说法，得到了多数药业大佬的支持。“现在大家对数据越来越敏感了。”陈永红说。

　　不过，中国疾病预防控制中心原副主任杨功焕认为，这个说法“有点夸大”。

　　杨功焕曾利用国外数据，预测我国疾病谱未来20年转变，也曾在中国疾控中心专门负责全国疾病监测系统。在她看来，健康数据中更重要的是患者数据、医生诊断数据，然后才是相应的药物数据。 “现在中国的信息化能不能走到那一步，还不确定。”杨功焕说，一种药品可以治疗很多种疾病，药品和疾病的一一对应关系本就存疑。“单凭这个数据，得到战略节点是不可能的。”

　　科伦药业董事长刘革新也认为这个数据并不核心，其本质和全民健康报告并无区别：“在产业界，重大疾病的用药、占比是要求统计的，而药厂的产量和消耗也有行业数据可以参考。”

　　杨功焕认为，药品相关数据最多只属于公共数据，没有达到涉及国家安全类数据的范畴。

　　国家食药总局在采访回应中称，2014年该局曾要求中信21世纪委托公安部信息安全等级保护评估中心，针对药品电子监管网的数据，做三个月的全面测评，测评结果是“基本符合”国家信息安全等级保护的三级要求。

　　按照2007年公安部、国家保密局等印发的《信息安全等级保护管理办法》，三级意味着信息系统受到破坏，会对社会秩序和公众利益造成严重损害，或者对国家安全造成损害。

　　北京邮电大学信息安全中心副主任辛阳告诉南方周末记者，国家信息安全等级一共有五级，理论上，药品电子监管码的级别，由国家食药监总局和公安部共同商议设定。

　　不过，无论如何，让信息飘在“云上”，已经成为国家信息战略的一部分。

　　药品电子监管网，是全国首例部署在“云端”的部委级应用系统，其意义被称为“证明部委级的应用系统，在云上也是安全的”。

　　但这里的“安全”，仅针对来自外来的危险。金盾信息安全等级保护评估中心销售部经理李平告诉南方周末记者，平台公司本身是否能接触到数据，取决于具体的管理模式。

　　“到底是明文数据，还是甲方加密后安全存储的数据，会有很大区别。”李平说。但他也认为，无论怎样，第三方权限过大都有风险。

　　无论外界如何猜测，阿里健康对此仍保持沉默，国家食药总局也没有透露2006年与中信21世纪签订合作协议的细节。

　　截至2014年6月，中国药品电子监管网中，已有超过800亿条的药品生产、流通数据，目前都存储在阿里云计算平台。