医疗机构信息系统安全管理操作规范

医疗机构信息系统安全管理操作规范一、引言医疗信息化的深度发展使电子病历、医院信息系统（HIS）、实验室信息管理系统（LIS）等成为医疗机构运营的核心支撑。医疗数据包含患者隐私、诊疗记录等敏感信息，其安全管理直接关系医患权益、医疗秩序乃至公共卫生安全。本规范结合《网络安全法》《数据安全法》《个人信息保护法》及医疗卫生行业要求，为医疗机构信息系统安全管理提供实操指引，防范数据泄露、系统瘫痪等风险。二、系统访问管理规范（一）用户权限管理1.权限分配原则遵循“最小必要”原则，根据岗位职能（如医生、护士、行政人员、运维人员）分配操作权限。例如，临床医生仅开放电子病历查阅、医嘱下达等必要权限，财务人员仅可访问收费、医保结算模块，严禁跨岗越权。2.权限生命周期管理新员工入职：经业务科室与信息部门联合审核后，通过“申请-审批-配置-确认”流程开通账号；岗位调整/离职：24小时内完成权限变更或账号注销，避免“幽灵账号”；定期审计：每季度核查账号权限与岗位的匹配度，清理冗余、过期权限。（二）身份认证管理1.强身份认证要求涉及患者隐私、医疗核心数据的操作（如病历修改、处方开具），采用“用户名+密码+动态口令（或生物特征）”多因素认证；普通业务操作至少采用“密码+验证码（或IP绑定）”双因素认证。2.密码安全规范密码需满足“长度≥8位、含大小写字母+数字+特殊字符”的复杂度要求，每90天强制更新；禁止复用个人社交平台、邮箱密码，定期通过弱密码检测工具筛查并督促整改。三、数据安全管理规范（一）数据存储安全1.数据分类分级将医疗数据分为“核心数据”（如电子病历、基因检测数据）、“敏感数据”（如患者身份信息、诊疗记录）、“一般数据”（如医院公告）。核心数据采用国密算法（SM4/SM9）加密存储，敏感数据脱敏后用于测试、科研（如隐藏姓名、身份证号，保留年龄、性别等聚合字段）。2.存储介质管理服务器存储：核心业务数据存储在本地服务器，采用RAID5/6冗余阵列；禁止在个人终端存储核心数据，确需离线处理的，需申请加密U盘并登记台账。云存储：采用公有云时，需与服务商签订《数据安全责任协议》，明确数据主权、密钥管理（优先“客户自主管理密钥”）、跨境传输限制等条款。（二）数据传输安全1.传输通道加密2.移动终端管控医护人员使用移动设备访问医疗系统时，需安装企业级移动管理（EMM）软件，限制Root/越狱、禁止非授权APP安装，数据传输全程加密，且仅允许在医院内网或合规公共Wi-Fi环境下访问。四、网络与设备安全管理规范（一）网络安全防护1.网络边界隔离2.网络行为审计（二）设备安全管理1.服务器与终端维护服务器：每日监控资源使用率，每周漏洞扫描（Nessus等工具），每季度安装官方补丁（测试环境验证后部署）；终端设备：办公电脑、医疗设备需安装正版杀毒软件，每月更新病毒库，禁止连接未知存储介质，确需使用的需经杀毒检测。2.机房物理安全环境管控：机房温度22±2℃、湿度40%-60%，配备精密空调、UPS（续航≥30分钟）；门禁与监控：采用生物识别+刷卡双门禁，7×24小时视频监控（录像保存≥90天），禁止无关人员进入。五、安全事件应急处置规范（一）应急响应流程1.事件分级一级（重大）：核心系统瘫痪（如HIS无法挂号/缴费）、大规模数据泄露（≥1000条患者信息）；二级（较大）：单科室系统故障、少量数据篡改；三级（一般）：终端病毒感染、小规模网络攻击。2.处置步骤发现：隔离受影响设备/网络（如断开感染终端）；报告：1小时内向信息安全领导小组（分管院长、信息科主任、临床代表组成）报告，重大事件同步上报卫生主管部门；处置：启动应急预案（恢复备份、封堵端口、清除病毒），保留攻击日志、故障截图；复盘：72小时内召开复盘会，分析原因（如漏洞未修复、权限疏漏），整改并验证。（二）数据备份与恢复1.备份策略核心数据：本地“每日全量+增量”备份、异地“每周全量”备份（同城灾备中心，距主机房≥50公里）；业务系统配置：每月备份配置文件、权限策略。2.恢复演练每半年开展恢复演练，模拟服务器故障、勒索病毒攻击，验证备份可用性（RTO≤4小时、RPO≤1小时）。六、人员安全管理与培训（一）安全意识培训1.培训内容法律法规：解读《网络安全法》《数据安全法》医疗合规要求，明确数据泄露法律责任；安全技能：演示钓鱼邮件识别（警惕“医保更新”“系统升级”类邮件）、密码设置、终端杀毒操作；案例分析：剖析医疗数据泄露事件（如某医院员工账号被盗致数万病历泄露），强化风险认知。2.培训频率新员工入职培训，在职员工每半年复训，考试（80分合格）通过后方可操作系统。（二）人员行为规范1.禁止性操作严禁共享账号密码，或通过公共工具传输账号信息；严禁在网吧、公共图书馆等非安全环境登录系统；严禁私自卸载安全软件、关闭防火墙。2.奖惩机制奖励：对发现漏洞、阻止泄露的员工给予绩效奖励；惩戒：违规导致事件的员工，视情节警告、调岗或解除合同，触犯法律的移交司法机关。七、合规与审计管理（一）合规性遵循1.法规对标定期（每年）梳理《网络安全法》《个人信息保护法》等法规，将合规条款转化为内部制度（如《医疗数据分类标准》《权限管理办法》），确保制度与法规同步。2.第三方评估每两年邀请医疗资质第三方开展合规评估，重点检查数据加密、权限管理、应急处置，评估报告向卫生主管部门备案。（二）内部审计与监督1.日常审计2.专项审计每年开展“信息系统安全专项审计”，涵盖全流程，形成报告并汇报，对问题实行“整改销号制”。八、附则1.本规范自发布之日起实施，