在数字化浪潮中，医疗行业正经历一场深刻的变革。医院们像是一群勇敢的探险者，纷纷加入健康信息交换（HIE）网络，试图通过共享患者数据来提升医疗效率、降低成本并改善患者体验。然而，这种跨界的数据共享也像是一场“智力博弈”，带来了数据泄露风险的增加。那么，问题来了：参与HIE是否真的会让医院的数据变得更加不安全？这篇文章试图从理论和实证的角度，解开这个看似矛盾的谜团。
01 理论与假设
文章的第一步是从理论出发，试图建立一个清晰的框架来解释HIE对医院数据安全的影响。作者提出了一个有趣的视角：数据共享并不是单纯的“风险制造机”，它更像是一场复杂的博弈，其中既有威胁，也有机遇。
一方面，参与HIE可能增加医院的数据泄露风险。HIE的跨组织特性使得医院的数据流动范围扩大，攻击目标变得更加显眼。想象一下，医院就像是一座原本只有一扇门的城堡，加入HIE后却突然多开了几扇窗，而这些窗可能成为黑客觊觎的目标。此外，HIE的数字化转型要求医院调整现有流程，这种变化可能会导致员工操作失误或系统漏洞，进一步增加风险。
但另一方面，HIE并非只会带来麻烦。它还伴随着治理机制的引入，这些机制就像是一个“数字安全联盟”，通过制定严格的安全标准、责任分配和风险评估实践，增强医院的数据保护能力。
为了更清晰地描述这种矛盾的动态，作者设计了一个简洁而优雅的模型。这个模型的核心逻辑是：医院加入HIE后，其数据泄露风险的变化取决于两大因素——HIE治理的效力以及医院自身的安全投资成本。
在模型中，作者假设了两种场景：一种是医院未加入HIE时的“孤立状态”，另一种是医院加入HIE后的“合作状态”。通过数学推导，作者得出一个关键结论：如果HIE的治理机制足够强大（例如通过法律和技术手段强化数据保护），医院的数据泄露风险将显著降低；反之，如果治理机制薄弱，医院可能面临更高的安全威胁。
更有趣的是，作者进一步分析了医院的“安全投资成本”如何影响这种动态。如果医院的安全投资成本较低（例如拥有复杂的临床IT系统），它们更有可能通过HIE治理机制获得显著的安全提升；但如果是那些IT基础薄弱的医院，HIE的收益可能会大打折扣。
基于理论和模型，文章提出了几个核心假设，试图从不同角度验证HIE对医院数据安全的影响：
1. 假设1：加入HIE后，医院会增加其IT安全投资。这是因为HIE的治理机制对成员医院提出了更高的安全要求，同时也有助于医院认识到数据保护的重要性。
2. 假设2：加入HIE可能降低医院的数据泄露风险，但这种效应取决于HIE治理的效力。如果治理机制足够强大，数据泄露风险将显著下降；但如果治理机制失效，风险可能不降反升。
3. 假设3：医院的IT复杂性会调节HIE的治理效果。具体来说，拥有复杂IT系统的医院更有可能从HIE中受益，因为它们更容易吸收和利用治理机制提供的安全支持。
4. 假设4：HIE安全法律的实施会进一步放大HIE的积极作用。这些法律通过明确责任、制定标准和强化合规性，使HIE的治理机制更具执行力。
02 研究方法与结果
为了验证上述理论假设，文章采用了多种严谨且互补的实证研究方法。研究者们首先构建了一个涵盖超过3000家美国医院的六年度（2010-2015年）面板数据集，全面覆盖医院的组织特征、IT实践、数据泄露事件以及区域政策等多维度信息。这些数据来源于多个权威机构，包括美国卫生与公众服务部（HHS）的数据泄露门户网站、HIMSS Analytics数据库、Dartmouth Health Atlas以及美国劳工统计局等。州级HIE参与率的变化图如下。
基于这些数据，研究者们设计了以下三种核心方法：
1. 双重差分法（Difference-in-Differences, DID）
研究者们采用DID方法，利用医院逐步加入HIE的时间差异，评估加入HIE对数据泄露风险的因果影响。通过线性概率模型（LPM）和双向固定效应回归，研究者们控制了医院个体特征和时间趋势的潜在干扰，从而更准确地捕捉HIE的净效应。为了验证DID模型的平行趋势假设，作者还采用了Bacon分解方法，确认了模型的合理性。
2. 倾向得分匹配法（Propensity Score Matching, PSM）
由于医院是否加入HIE可能存在自选择偏差，研究者们通过PSM方法，基于医院的特征变量（如规模、IT应用水平等），匹配出与HIE参与医院在特征上相似的非参与医院作为对照组。这种方法有效减少了选择偏差，使得研究结果更接近于随机实验的效果。
3. 工具变量法（Instrumental Variables, IV）
为进一步解决内生性问题，研究者们引入了两个区域层面的工具变量：一是医院所在区域的HIE参与率；二是区域内健康系统的数量。这些工具变量既与医院加入HIE的可能性相关，又与数据泄露风险无直接关联，从而帮助研究者们更精准地识别HIE的因果效应。
研究结果清晰地表明，参与HIE对医院的数据安全具有显著的正面影响。以下是几项关键发现：
（1）HIE显著降低数据泄露风险
研究发现，加入HIE后，医院的数据泄露风险显著降低了35.37%。这一结果反驳了外界对HIE可能增加安全风险的担忧，表明HIE的治理机制在提升医院数据保护能力方面发挥了重要作用。
（2）HIE促使医院增加IT安全投资
文章还发现，医院在加入HIE后，其IT安全应用的采用数量显著增加。这表明HIE的治理要求和风险意识提升，促使医院主动加强了数据保护措施。
（3）临床IT系统复杂性与HIE的协同效应
研究进一步揭示，医院的临床IT系统复杂性对HIE的效果有显著的调节作用。拥有复杂IT系统的医院在加入HIE后，数据泄露风险的降幅更大。这可能是因为这些医院更容易利用HIE的治理框架，实现安全投资的规模效应。
（4）HIE安全法律的强化作用
当州政府出台了专门的HIE安全法律后，HIE对数据泄露风险的降低作用进一步增强。这表明政策干预在提升HIE治理效果方面具有重要意义。
（5）方法间的稳健性验证
通过DID、PSM和IV三种方法的交叉验证，研究结果在不同模型下均保持一致，证明了结论的稳健性。
结语：数据共享的未来
这篇文章的研究结果为医疗行业乃至其他领域的数据共享实践提供了重要启示：尽管数据共享可能带来风险，但通过有效的治理机制和政策支持，这些风险是可以被显著降低的。HIE的“安全红利”表明，数据共享与数据保护并非天然对立，而是可以通过合作与创新实现双赢。对于政策制定者和管理者来说，这篇文章的发现无疑为推动数字化转型注入了信心，同时也提醒他们关注治理机制的完善和弱势参与者的支持需求。
参考文献：Zhang, L., Wattal, S., & Pang, M.-S. (2024). Does Sharing Make My Data More Insecure? An Empirical Study on Health Information Exchange and Data Breaches. MIS Quarterly, 48(3), 873–898. https://doi.org/10.25300/MISQ/2023/17479
文章链接：https://misq.umn.edu/misq/article-abstract/48/3/873/2291/Does-Sharing-Make-My-Data-More-Insecure-An?redirectedFrom=fulltext
作者信息：
Leting Zhang
Position: Assitant Professor, Management Information Systems at Lerner College of Business & Economics, University of Delaware
Site:https://letingz.github.io/
E-mail: letingz@udel.edu
Research Interest: Information Technology Risks; Health Information Technology; Labor Market; Digital Innovation
Sunil Wattal
Position: Associate Dean, Research and Doctoral Programs at the Fox School of Business, Temple University, Philadelphia, USA
Site:https://www.fox.temple.edu/directory/sunil-wattal-swattal
E-mail: sunil.wattal@temple.edu
Research Interest: Peer to peer sharing economy; Online crowdfunding; Ride sharing; Online consumer behavior; Fake news; Privacy; Security
Min-Seok Pang
Position: Professor, Information Systems and Analytics at Wisconsin School of Business, University of Wisconsin-Madison.
Site: https://business.wisc.edu/directory/profile/min-seok-pang/
E-mail: mpang9@wisc.edu
Research Interest: Digital Economy; Information Systems; Public Policy; Strategy
