医院网络安全会议纪要

医院网络安全会议纪要

一、会议基本信息

1.1会议时间

2023年10月20日14:00-16:30

1.2会议地点

医院行政三楼第一会议室

1.3参会人员

主持人：院长张某某

出席人员：信息科科长李某某、医务部主任王某某、护理部主任陈某某、后勤保障部赵某某、财务科刘某某、各临床科室主任及网络安全联络员共28人

列席人员：网络安全服务供应商技术负责人周某某

1.4主持人

张某某

1.5记录人

信息科科员郑某某

1.6会议主题

医院网络安全工作部署与风险防控专题会议

1.7会议背景

近期国内多家医疗机构发生网络安全事件，导致患者数据泄露、业务系统瘫痪，引发社会广泛关注。为贯彻落实《网络安全法》《数据安全法》及国家卫生健康委《医疗卫生机构网络安全管理办法》要求，结合医院信息化建设加速推进（如电子病历系统升级、智慧医院平台上线）带来的网络安全风险，会议旨在分析当前医院网络安全形势，明确责任分工，部署下一阶段重点工作，确保医院网络与数据安全稳定运行。

二、会议议程与主要内容

2.1议程概述

本次会议严格按照既定议程有序推进，共分为五个核心议题：一是通报近期国内医疗机构网络安全事件及行业监管要求；二是总结本院当前网络安全现状与存在问题；三是审议《医院网络安全风险防控专项行动方案（2023-2024）》；四是明确各部门网络安全职责分工与考核机制；五是部署下一阶段重点工作任务。各议题间逻辑衔接紧密，讨论聚焦问题导向，确保会议高效务实。

2.2各议题讨论内容

2.2.1近期网络安全事件通报与监管要求解读

信息科科长李某某首先通报了2023年第三季度国内医疗机构网络安全事件典型案例，包括某三甲医院因勒索病毒攻击导致电子病历系统瘫痪48小时，某妇幼保健院患者数据泄露引发集体诉讼等事件。他指出，此类事件主要暴露出医疗机构在终端安全管理、数据备份机制、应急响应流程等方面的共性漏洞。随后，李某某结合《医疗卫生机构网络安全管理办法》最新实施细则，重点解读了“数据分类分级管理”“关键信息基础设施防护”“第三方服务机构安全审计”等监管要求，强调医院需在年底前完成数据分类定级工作，建立全生命周期安全管理体系。

2.2.2本院网络安全现状与问题剖析

信息科技术组负责人周某某通过PPT演示，从网络架构、终端设备、数据管理、应急能力四个维度汇报了本院网络安全现状。网络架构方面，核心业务系统与办公网络存在逻辑隔离不彻底问题，部分老旧设备未及时更新防火墙策略；终端设备方面，全院共1200台终端中，23%存在弱口令风险，17%未安装终端安全管理软件；数据管理方面，患者敏感数据存储未采用加密措施，跨部门数据共享缺乏权限控制；应急能力方面，现有应急预案未覆盖勒索病毒、数据泄露等新型威胁，演练频次不足。

针对上述问题，医务部主任王某某提出临床科室反馈的痛点：门诊医生工作站频繁遭遇钓鱼邮件攻击，2023年以来已发生3起医护人员误点链接导致终端感染事件；护理部主任陈某某补充道，移动护理设备（如PDA）在病区使用时，因网络切换导致数据传输中断的情况时有发生，影响护理工作效率。后勤保障部赵某某则指出，机房UPS电源存在单点故障隐患，需尽快实施双路改造。

2.2.3《医院网络安全风险防控专项行动方案》审议

信息科提交的《方案》围绕“技术防护、制度完善、人员培训、应急演练”四大主线，制定了23项具体措施，包括：部署新一代防火墙与入侵防御系统，对核心业务系统实施零信任架构改造；建立“谁主管谁负责、谁运营谁负责、谁使用谁负责”的三级责任体系；开展全员网络安全意识培训，每季度组织一次钓鱼邮件模拟演练；投入300万元用于数据备份中心建设，实现“两地三中心”容灾备份。

讨论中，财务科刘某某提出预算调整建议，认为数据备份中心建设可分阶段实施，优先保障电子病历与HIS系统；网络安全供应商技术负责人周某某补充建议，在终端管理方面引入AI行为分析技术，可提前识别异常操作。经举手表决，会议原则通过《方案》，要求信息科根据意见修改完善后，提交院长办公会审批。

2.2.4部门职责分工与考核机制明确

会议明确，网络安全工作实行“一把手负责制”，院长为第一责任人，分管副院长为直接责任人。信息科统筹协调全院网络安全工作，负责技术防护、系统运维、应急响应；医务部、护理部牵头落实临床科室终端安全管理，制定设备使用规范；后勤保障部负责机房物理安全、网络线路维护；财务部保障网络安全经费预算执行；各临床科室主任为本科室网络安全第一责任人，指定专人担任联络员，每日检查终端安全状态。

考核机制方面，将网络安全纳入科室年度绩效考核，实行“一票否决”：发生一般安全事件的，扣减科室当月绩效5%；发生重大安全事件的，取消科室年度评优资格，追究科室主任管理责任。同时，设立“网络安全专项奖励基金”，对主动发现重大安全隐患、有效处置安全事件的个人给予表彰奖励。

2.2.5下一阶段重点工作部署

张某某院长总结时强调，下一阶段需重点推进三项工作：一是立即启动网络安全风险排查专项行动，由信息科牵头，联合医务、护理、后勤等部门，用两周时间完成全院网络设备、终端系统、数据存储的全面摸底；二是加快《方案》落地实施，11月底前完成核心系统安全加固，12月底前完成全员首轮培训；三是建立“周报告、月通报”制度，信息科每周向院领导班子汇报网络安全态势，每月在全院范围内通报问题整改情况。

2.3关键发言要点

2.3.1院长张某某发言

“网络安全是医院发展的生命线，关系到患者隐私保护和医疗秩序稳定。当前，医院信息化程度越高，安全风险越大，必须摒弃‘重建设、轻防护’的观念。各部门要切实扛起责任，把网络安全纳入日常管理，做到‘同步规划、同步建设、同步使用’。对工作不力、导致安全事件的，要严肃追责问责。”

2.3.2信息科科长李某某发言

“本次会议暴露出的问题，本质上是‘思想认识不到位、制度执行不严格、技术防护有短板’。下一步，我们将以《方案》为抓手，重点解决三个问题：一是打通数据孤岛，建立统一的身份认证与权限管理平台；二是强化技术防护，引入态势感知系统，实现对安全威胁的实时监测与预警；三是提升人员能力，通过‘线上+线下’培训，让每位员工都成为网络安全的‘第一道防线’。”

2.3.3临床科室主任代表发言

内科主任孙某某表示：“作为临床科室，我们将严格落实终端安全管理规定，禁止使用未经授权的U盘，定期更新杀毒软件。同时，希望信息科加强对临床人员的培训，用通俗易懂的方式讲解钓鱼邮件识别方法，避免因操作失误导致安全事件。”

三、会议决议与行动计划

3.1决议事项

3.1.1技术防护升级决议

会议决定立即启动全院网络安全技术防护体系升级工程。信息科需在三个月内完成核心业务系统防火墙策略优化，部署新一代入侵防御系统，实现对恶意流量和异常访问行为的实时拦截。针对终端安全薄弱环节，要求在两个月内完成全院1200台终端的统一管理平台部署，强制启用强密码策略与多因素认证，淘汰未达安全标准的设备。数据安全方面，明确要求在年底前完成患者敏感数据存储加密改造，建立跨部门数据共享的动态权限控制机制。

3.1.2管理制度完善决议

会议审议通过《医院网络安全管理办法实施细则》，明确建立三级责任体系：院级成立网络安全领导小组，由院长担任组长；部门级设立网络安全专员，直接向信息科汇报；科室级指定联络员负责日常巡查。制度新增"安全事件零容忍"条款，规定任何部门不得瞒报、迟报网络安全事件。同时要求修订《数据分类分级管理规范》，将患者信息分为公开、内部、敏感、核心四级，对应实施差异化防护措施。

3.1.3人员能力建设决议

会议通过"全员网络安全素养提升计划"，要求信息科牵头开发分层次培训课程：管理层侧重战略意识与责任认知，临床人员聚焦钓鱼邮件识别与安全操作规范，IT技术人员深化攻防技能。计划每季度组织一次钓鱼邮件模拟演练，演练结果纳入科室绩效考核。特别要求护理部在移动护理设备使用规范中增加网络安全条款，明确网络切换时的数据校验流程。

3.2行动计划分解

3.2.1信息科任务清单

信息科作为技术执行主体，需在11月30日前完成以下工作：

（1）完成核心交换区防火墙策略重置，关闭非必要端口

（2）部署终端准入控制系统，实现未认证设备隔离

（3）建立日志审计平台，保留全网操作日志不少于180天

（4）制定《网络安全应急预案V3.0》，新增勒索病毒处置流程

12月重点推进数据备份中心建设，完成两地三中心架构设计，优先保障电子病历系统与HIS系统数据。

3.2.2临床科室执行要点

各临床科室需在11月15日前完成：

（1）清理科室内部非授权终端设备

（2）张贴《终端安全操作指南》于医生工作站显眼位置

（3）指定专人每日检查移动设备安全状态

护理部需在12月前修订《移动护理工作规范》，新增网络切换时的数据校验步骤，要求护士在PDA切换网络后必须执行"三查"操作：查连接状态、查数据同步、查完整性校验。

3.2.3后勤保障改造项目

后勤保障部负责物理环境安全升级，具体包括：

（1）11月完成机房UPS双路改造，消除单点故障隐患

（2）12月部署机房环境监控系统，实时监测温湿度与电力参数

（3）建立机房出入电子登记制度，实施"双人双锁"管理

同时要求在11月前完成全院网络线路标识规范化，确保所有线路可追溯至具体设备。

3.3责任分工矩阵

3.3.1院级统筹责任

院长办公室负责协调跨部门协作，每月召开网络安全专题会。分管副院长每周审阅《网络安全周报》，对重大隐患实施挂牌督办。院党委会将网络安全纳入年度述职内容，实行"一票否决"考核。

3.3.2部门主体责任

信息科承担技术防护主体责任，需建立7×24小时应急响应机制。医务部负责临床安全制度落地，每季度开展科室安全检查。护理部重点监督移动设备使用规范执行情况。后勤保障部确保物理环境达标，每月提交机房运维报告。财务部保障专项资金及时到位，建立网络安全经费单独核算机制。

3.3.3个人岗位责任

所有员工签订《网络安全责任书》，明确"谁使用谁负责"原则。临床科室主任承担本科室安全第一责任，需每月组织安全自查。联络员负责日常隐患排查，发现异常立即上报。IT运维人员实行"双人复核"制度，重大操作需经信息科长审批。

3.4时间节点管控

3.4.1第一阶段（11月）

11月1日-11月15日：完成全院网络安全风险排查，形成《隐患清单》

11月16日-11月30日：实施核心系统安全加固，完成终端管理平台部署

3.4.2第二阶段（12月）

12月1日-12月15日：开展全员首轮培训，完成应急预案修订

12月16日-12月31日：启动数据备份中心建设，实现核心系统异地备份

3.4.3第三阶段（2024年1月）

1月组织首次钓鱼邮件模拟演练，根据结果调整培训重点

1月底前完成《网络安全管理办法实施细则》全院宣贯

3.5保障措施

3.5.1资源保障

会议批准2023年网络安全专项预算500万元，其中200万元用于技术设备采购，150万元用于培训演练，150万元作为应急储备金。要求财务部建立绿色审批通道，确保紧急采购需求48小时内完成。

3.5.2监督机制

建立"三级监督"体系：信息科每日进行安全扫描，院级每季度组织交叉检查，第三方机构每年开展一次渗透测试。监督结果与科室绩效挂钩，连续三次排名末位的部门需提交整改报告。

3.5.3持续改进

要求信息科每季度发布《网络安全态势分析报告》，动态调整防护策略。建立安全事件复盘机制，每次事件后72小时内完成根因分析，形成《改进措施清单》并跟踪落实。

四、问题分析与整改措施

4.1网络架构风险

4.1.1逻辑隔离缺陷

核心业务系统与办公网络间仅采用传统VLAN划分，缺乏深度检测机制。近期审计发现，门诊工作站曾通过非授权路径访问HIS数据库日志，存在数据泄露隐患。技术组建议部署下一代防火墙，实现应用层流量识别与阻断。

4.1.2设备老化问题

机房内仍有12台网络设备服役超过8年，其中3台核心交换机型号已停产，备件采购困难。后勤保障部评估显示，这些设备在高峰时段存在丢包率超标情况，需在2024年Q1前完成替换。

4.2终端管理漏洞

4.2.1弱口令普遍

全院终端弱口令占比达23%，其中临床科室问题尤为突出。抽查发现，部分医生工作站仍使用"123456"等初始密码，且密码长期未更新。信息科计划强制启用密码复杂度策略，并同步部署密码管理工具。

4.2.2非授权设备接入

移动护理设备未纳入统一管理，病区存在多台未注册的平板电脑接入内网。护理部反映，部分护士为方便工作私自使用个人手机传输患者数据，已导致2起疑似信息泄露事件。

4.3数据安全短板

4.3.1敏感数据明文存储

电子病历系统中，患者身份证号、联系方式等敏感字段未加密存储。技术组模拟攻击测试显示，仅通过数据库日志分析即可提取完整患者信息。数据备份中心建设需同步实施数据脱敏。

4.3.2权限控制失效

跨科室数据共享存在权限过度开放问题。例如，药剂科可查询全院患者用药记录，超出其业务必要范围。医务部牵头制定的《数据访问权限清单》需在11月前完成修订。

4.4应急响应不足

4.4.1预案缺失

现有应急预案未覆盖勒索病毒攻击场景。2023年9月某科室遭遇勒索软件攻击时，因缺乏处置指南，导致业务中断超过24小时。信息科已启动应急预案V3.0编制，新增勒索病毒专章。

4.4.2演练频次不足

近两年仅开展过1次网络安全演练，且未涉及临床业务中断场景。院长办公室要求，2024年每季度必须组织包含真实业务系统的桌面推演。

4.5人员意识薄弱

4.5.1钓鱼邮件识别能力不足

2023年发生的3起终端感染事件均因医护人员点击钓鱼链接所致。培训调查显示，仅35%的员工能准确识别仿冒OA系统的钓鱼邮件。

4.5.2移动设备操作不规范

移动护理设备在电梯、走廊等信号弱区域频繁切换网络时，未执行数据校验流程。护理部统计显示，此类操作导致3%的护理记录出现时序错乱。

4.6物理环境隐患

4.6.1机房单点故障

UPS电源采用单机配置，2023年夏季曾因雷击导致断电，备用电池仅支撑30分钟。后勤保障部已启动双路供电改造项目，计划2024年3月前完成。

4.6.2出入管理松散

机房出入登记存在代签现象，2023年审计发现7次非授权人员进入记录。需部署人脸识别门禁，并实施"双人双锁"管理。

4.7第三方服务风险

4.7.1供应商权限过大

第三方运维人员仍保留核心系统最高权限，且未定期审计操作日志。信息科要求在11月前完成权限回收，仅保留最小必要权限。

4.7.2服务协议缺失

与5家软件供应商的合同中均未明确安全责任条款。法务部需在12月前补充网络安全违约责任条款，并要求供应商每年提供安全评估报告。

4.8整改实施路径

4.8.1技术层面整改

（1）11月底前完成防火墙策略优化，关闭非必要端口

（2）12月部署终端准入控制系统，实现设备实名认证

（3）2024年1月启动数据加密改造，优先覆盖电子病历系统

4.8.2管理层面完善

（1）修订《网络安全管理办法》，新增第三方服务安全管理章节

（2）建立"安全事件上报绿色通道"，明确24小时响应时限

（3）制定《数据分类分级操作手册》，指导临床科室规范操作

4.8.3人员能力提升

（1）开展"安全操作之星"评选，奖励主动发现隐患的员工

（2）在岗前培训中增加网络安全必修课程

（3）制作《网络安全口袋手册》，发放至每位员工

4.9整改责任分工

4.9.1信息科职责

负责技术方案实施、系统改造、漏洞修复，每周向领导小组提交进度报告。

4.9.2临床科室配合

指定专人配合终端设备改造，组织科室安全自查，每月报送《终端安全台账》。

4.9.3监督保障措施

院纪检监察室将网络安全纳入重点督查范围，对整改不力部门启动问责程序。

4.10整改效果评估

4.10.1技术指标验收

（1）终端弱口令率降至0%

（2）数据泄露风险事件发生率下降90%

（3）系统平均无故障运行时间（MTBF）提升至99.99%

4.10.2管理成效检验

（1）全员安全培训覆盖率100%

（2）应急预案演练参与率100%

（3）第三方服务安全评估完成率100%

五、监督与考核机制

5.1日常监督体系

5.1.1技术监测机制

信息科建立7×24小时安全监测中心，部署态势感知平台实时监控全网流量。系统设置三级预警阈值：一级预警（如异常登录尝试）自动发送短信至信息科值班人员；二级预警（如批量数据导出）触发电话核实；三级预警（如核心系统异常）启动应急响应流程。监测日志保存不少于180天，每周生成《安全态势简报》报院领导。

5.1.2人工巡查制度

各科室指定网络安全联络员每日执行三项检查：终端设备安全状态（如杀毒软件更新情况）、移动设备使用规范（如是否接入非授权网络）、物理环境安全（如机房门禁状态）。巡查结果记录于《科室安全日志》，每月5日前报送信息科。院级每季度组织跨部门交叉检查，重点抽查临床科室终端管理情况。

5.1.3第三方审计

每年委托具备CMMI认证的第三方机构开展一次全面安全评估，覆盖网络架构、数据管理、应急响应等12个维度。审计报告需包含风险等级评定（红/黄/蓝三级）及整改建议，院党委会据此制定下年度安全投入计划。

5.2考核指标体系

5.2.1科室考核指标

（1）技术防护达标率（权重40%）：包括防火墙策略符合度、终端准入控制覆盖率、数据加密完成率

（2）制度执行合格率（权重30%）：安全事件上报及时性、培训参与率、制度宣贯覆盖率

（3）人员行为规范率（权重30%）：钓鱼邮件识别正确率、移动设备操作合规性、密码策略执行率

考核结果分为优秀（≥90分）、合格（70-89分）、不合格（<70分）三档，连续两次不合格科室需提交整改报告。

5.2.2个人考核指标

（1）临床人员：安全操作规范遵守情况（如是否使用非授权U盘）、钓鱼邮件识别测试成绩

（2）IT人员：漏洞修复及时率（高危漏洞24小时内响应）、应急处置时长

（3）管理人员：安全责任落实情况（如是否定期组织科室自查）

考核结果与绩效奖金直接挂钩，优秀者额外发放安全专项奖励。

5.3责任追究机制

5.3.1事件分级追责

根据《医院网络安全事件分级标准》：

-一般事件（如单台终端感染）：扣减科室当月绩效5%，通报批评

-重大事件（如系统瘫痪4小时以上）：取消科室年度评优资格，科室主任书面检讨

-特大事件（如患者数据泄露）：启动问责程序，涉及人员待岗处理，情节严重者移交司法

5.3.2隐瞒行为处理

对未按规定上报安全事件的部门，除按事件等级追责外，额外加重一级处罚。如重大事件隐瞒者，直接按特大事件标准处理。

5.3.3主动免责情形

符合以下条件者可减轻或免于追责：

（1）主动发现重大安全隐患并采取有效措施

（2）在应急处置中表现突出，最大限度减少损失

（3）因不可抗力导致（如自然灾害）

5.4持续改进机制

5.4.1问题闭环管理

信息科建立《安全隐患整改台账》，实行"发现-评估-整改-验收"闭环管理。整改期限根据风险等级确定：红色隐患（如核心系统漏洞）72小时内完成；黄色隐患（如权限配置错误）15日内完成；蓝色隐患（如操作不规范）30日内完成。验收不合格的重新启动整改流程。

5.4.2经验共享机制

每季度召开"安全案例分享会"，由信息科通报典型事件处置过程，临床科室分享安全操作经验。优秀案例汇编成《安全工作手册》发放全院。

5.4.3能力提升计划

针对考核中暴露的共性问题，制定专项提升方案。如针对"钓鱼邮件识别率低"问题，开发模拟演练系统，每月推送不同类型钓鱼邮件样本进行测试。

5.5保障措施

5.5.1组织保障

成立由院长任组长的网络安全监督委员会，成员包括分管副院长、纪检书记、信息科等负责人。委员会每季度召开专题会，审议重大安全事项及考核结果。

5.5.2资源保障

每年按医院信息化建设经费的10%列支网络安全专项预算，其中20%用于监督考核体系建设，包括监测平台升级、第三方审计费用、奖励基金等。

5.5.3文化保障

开展"网络安全月"活动，通过知识竞赛、安全标语征集、微视频创作等形式，营造"人人有责"的安全文化氛围。将网络安全表现纳入年度评优评先重要依据。

六、会议总结与后续工作安排

6.1会议成果总结

6.1.1核心共识达成

会议形成三点核心共识：一是网络安全需纳入医院战略发展顶层设计，与医疗质量、患者安全同等重要；二是建立“技术防护+制度约束+人员意识”三位一体防控体系，缺一不可；三是明确网络安全是全院共同责任，需打破部门壁垒形成协同机制。

6.1.2问题清单确认

6.1.3资源投入承诺

院领导班子批准2023-2024年网络安全总预算1200万元，其中技术升级占比60%，人员培训占比25%，应急储备占比15%。财务部建立独立核算科目，确保专款专用。

6.2技术部署推进计划

6.2.1核心系统加固

信息科牵头成立专项工作组，分三阶段实施：

（1）11月完成HIS、EMR系统漏洞扫描与修复，重点修复高危漏洞

（2）12月部署零信任架构，实现基于角色的动态访问控制

（3）2024年Q1上线数据防泄漏系统（DLP），监控敏感数据传输行为

6.2.2终端管理优化

（1）11月15日前完成全院终端准入控制部署，未注册设备自动隔离

（2）12月推行“终端安全白名单”，仅允许安装授权软件

（3）2024年1月启用密码管理器，强制要求每90天更换复杂密码

6.2.3应急能力提升

（1）11月修订应急预案，新增勒索病毒、数据泄露专项处置流程

（2）12月组建应急响应小组，实行7×24小时轮班值守

（3）2024年每季度开展实战演练，模拟真实业务中断场景

6.3管理机制完善路径

6.3.1制度体系构建

（1）11月发布《医院网络安全管理办法实施细则》，明确三级责任清单

（2）12月制定《数据分类分级操作指南》，指导临床科室规范操作

（3）2024年Q1建立第三方服务安全评估标准，纳入供应商准入条件

6.3.2责任链条强化

（1）院长与分管副院长、分管副院长与部门主任、部门主任与科室员工逐级签订责任书

（2）实行“安全