2025年医疗信息安全医疗数据保护与隐私保密模拟考试卷及答案及解析

2025年医疗信息安全医疗数据保护与隐私保密模拟考试卷及答案及解析一、单项选择题（每题2分，共20分）1.根据2024年修订的《医疗数据安全管理条例》，医疗机构对患者诊疗数据进行脱敏处理后用于科研合作时，以下哪项操作不符合规定？A.与合作方签订数据使用协议，明确脱敏标准及责任边界B.保留患者姓名首字母及就诊年份作为关联标识C.要求合作方承诺不通过任何技术手段恢复原始身份信息D.在数据输出前通过哈希算法对唯一标识字段进行不可逆转换答案：B解析：《医疗数据安全管理条例》第17条规定，脱敏处理需达到“无法通过已公开信息或常规技术手段关联到特定自然人”的标准。保留姓名首字母及就诊年份可能通过医院年度就诊量等公开信息反向推断患者身份，属于未完全脱敏，违反规定。2.某三甲医院信息科发现HIS系统日志显示，护士张某在非工作时间多次访问与其职责无关的肿瘤患者电子病历。根据《个人信息保护法》及医疗行业规范，医院应首先采取的措施是？A.立即暂停张某账号权限并启动内部调查B.向省级卫生健康主管部门报告违规行为C.对张某进行口头警告并记录在绩效考核D.要求张某签署《数据安全承诺书》答案：A解析：《个人信息保护法》第56条要求，发现个人信息处理活动存在安全隐患时，应立即采取暂停处理措施防止损害扩大。医疗行业规范（如《医疗机构信息安全管理指南》）明确，发现越权访问行为需首先阻断违规操作，再开展调查，避免数据进一步泄露。3.以下哪类医疗数据不属于《医疗数据分类分级指南（2025版）》中定义的“高敏感数据”？A.艾滋病患者的确诊检测报告B.12岁儿童的精神科就诊记录C.某医生的执业资格证书扫描件D.器官移植受者的免疫抑制剂用药方案答案：C解析：《医疗数据分类分级指南（2025版）》规定，高敏感数据指一旦泄露可能直接危害自然人生命健康、人格尊严或引发重大社会影响的数据，包括患者隐私信息（如传染病史、精神诊疗记录、特殊治疗方案）。医生执业资格证书属于机构内部人员资质信息，虽需保护但不属于患者相关高敏感数据。4.某医院采用区块链技术存储患者电子健康档案，以下哪项是其核心安全优势？A.实现数据实时备份至第三方云平台B.通过分布式记账防止数据被篡改C.简化患者授权访问的操作流程D.降低数据存储的硬件成本答案：B解析：区块链的核心特性是分布式账本与共识机制，通过哈希值链接区块数据，任何单一节点的修改无法改变全局记录，从而保障数据完整性，这是其在医疗数据存储中最主要的安全优势。5.患者李某通过医院APP申请复制本人电子病历，医院拒绝提供的合法理由是？A.李某未提供身份证原件仅提供复印件B.病历包含对其他患者的诊疗参考信息C.李某申请复制的是30年前的纸质病历扫描件D.病历中涉及对医务人员的投诉内容答案：B解析：《医疗纠纷预防和处理条例》第16条规定，患者有权复制全部客观病历，但病历中若包含其他患者隐私信息（如“患者A的检验结果提示患者B需调整用药”），医院需对涉及第三方的信息进行遮挡或删除后再提供，否则可拒绝完整复制。二、多项选择题（每题3分，共15分，少选、错选均不得分）1.医疗机构在开展AI辅助诊断系统开发时，使用患者影像数据需满足的合规要求包括？A.获得患者单独同意（书面或电子形式）B.对数据进行去标识化处理（删除姓名、身份证号等直接标识）C.与AI开发企业签订数据安全协议，明确数据用途限制D.在数据使用完毕后按规范进行销毁或匿名化处理答案：A、C、D解析：根据《生成式AI服务管理暂行办法》及医疗数据应用规范，使用患者个人信息训练AI需获得单独同意（B选项“去标识化”不免除同意义务，因去标识化数据仍可能通过其他信息关联到个人）；需与合作方约定数据用途（如仅限模型训练，不得用于其他目的）；数据使用后需按《数据安全法》要求销毁或进一步匿名化（匿名化数据无需再受个人信息保护约束）。2.以下属于医疗数据泄露事件“应急处置措施”的有？A.立即关闭受影响系统并隔离相关数据库B.评估泄露数据的类型、数量及可能影响的患者范围C.在48小时内向省级卫生健康部门和网信部门报告D.通过医院官方渠道向受影响患者发送风险提示答案：A、B、D解析：《数据安全法》第51条规定，发生数据泄露后，应立即采取阻断措施（A）、开展影响评估（B）、通知可能受影响的个人（D）；向监管部门报告的时限为“知悉泄露后24小时内”（C选项“48小时”错误）。3.医疗机构建立医疗数据访问控制体系时，应遵循的原则包括？A.最小权限原则（仅授予完成工作所需的最低权限）B.职责分离原则（如数据录入与审核由不同人员负责）C.动态调整原则（根据人员岗位变动及时更新权限）D.匿名访问原则（所有访问均使用匿名账号）答案：A、B、C解析：访问控制的核心是“最小权限”“职责分离”和“动态管理”（如员工离职后立即撤销权限）；匿名访问可能导致责任无法追溯，不符合《个人信息保护法》中“可追溯”的要求，因此D错误。4.以下哪些技术可用于保障移动终端（如医生个人手机）存储的医疗数据安全？A.基于硬件的TEE（可信执行环境）加密存储B.设备丢失后远程锁定及数据擦除C.生物识别（指纹/人脸）+动态密码双重认证D.使用第三方云盘同步医疗数据以降低本地存储风险答案：A、B、C解析：第三方云盘（尤其是非合规的公共云）可能存在数据泄露风险，医疗数据需存储于符合《医疗数据存储安全规范》的专用平台，因此D错误；TEE加密、远程擦除、多因素认证均为移动终端数据安全的标准技术手段。5.某医院拟将部分检验数据共享至区域医疗健康平台，需完成的合规步骤包括？A.对共享数据进行分类分级，明确敏感级别B.评估平台运营方的数据安全能力（如通过ISO27001认证）C.告知患者数据共享的目的、范围及接收方信息D.在共享前对高敏感数据进行脱敏或加密处理答案：A、B、C、D解析：区域数据共享需遵循“分类分级”（A）、“接收方安全评估”（B）、“患者告知”（C）及“安全技术处理”（D）等全流程合规要求，缺一不可。三、判断题（每题2分，共10分，正确填“√”，错误填“×”）1.医疗机构将患者就诊记录匿名化处理后（无法通过任何技术手段复原），可无需患者同意直接用于公共卫生统计分析。（）答案：√解析：《个人信息保护法》第28条规定，匿名化处理后的数据不属于个人信息，无需取得同意即可用于统计或研究。2.实习医生经带教老师口头授权后，可访问其负责患者的电子病历。（）答案：×解析：《医疗机构信息安全管理指南》要求，访问权限需通过信息系统进行账号授权（如分配子账号并记录日志），口头授权无法满足“可追溯”要求，存在合规风险。3.医院信息系统的日志应至少保存3年，以满足监管审计和事件追溯需求。（）答案：×解析：《医疗数据安全管理条例》第23条规定，医疗数据操作日志保存期限不得少于5年，涉及高敏感数据的日志需保存10年。4.患者通过医院公众号查询检验报告时，系统要求输入手机号验证码属于“最小必要”原则的应用。（）答案：√解析：通过手机号验证码验证用户身份，仅收集必要的验证信息（手机号），符合“最小必要”原则；若要求额外提供银行卡号则违反该原则。5.医疗机构采购第三方数据脱敏工具时，只需验证工具的技术有效性，无需审查供应商的数据安全资质。（）答案：×解析：《数据安全法》第33条规定，采购数据处理服务时需对服务提供者的安全能力进行审查（如是否具备相关认证、历史安全事件记录等），技术有效性与资质审查需同时进行。四、案例分析题（共55分）案例背景：2025年3月，某市第一人民医院发生一起医疗数据泄露事件。经调查，事件起因是：1.医院信息科工程师王某为方便调试系统，将HIS系统超级管理员账号密码写在便利贴上，贴于电脑显示器旁；2.保洁人员张某打扫时发现便利贴，拍照发送至家庭微信群；3.张某的外甥李某（无业人员）通过该密码登录HIS系统，下载了2000条患者姓名、身份证号、诊断结果及联系方式；4.李某将数据以每条2元的价格出售给保健品推销团伙，导致患者频繁收到骚扰电话。问题1：分析该事件中医院存在的信息安全管理漏洞（15分）。答案要点：（1）超级管理员账号管理漏洞：未执行“账号与密码分离存储”“动态密码”等安全措施，密码以明文形式暴露（违反《医疗信息系统安全规范》第9条）；（2）物理访问控制缺失：敏感操作区域（信息科）未限制无关人员（保洁）进入，或未对关键设备（电脑）采取物理防护（如锁具、监控）；（3）员工安全培训不足：工程师王某缺乏基本的密码安全意识（如“禁止明文存储高权限密码”），医院未定期开展数据安全培训（违反《医疗数据安全管理条例》第20条）；（4）日志审计失效：李某登录超级管理员账号及下载数据的行为未被及时监控或预警（医院应部署实时入侵检测系统，对异常登录（如非工作时间、非授权IP）触发警报）。问题2：列出医院应采取的应急处置步骤（20分）。答案要点：（1）立即响应：关闭超级管理员账号权限，修改所有关联密码；隔离HIS系统，暂停数据访问（防止进一步泄露）；（2）影响评估：统计泄露数据的具体内容（如身份证号、诊断结果等）、涉及患者数量及可能造成的损害（如隐私泄露、诈骗风险）；（3）患者通知：通过短信、电话等方式告知受影响患者数据泄露情况，提示防范诈骗，并提供隐私保护建议（如修改账户密码、关注征信信息）；（4）监管在24小时内向市级卫生健康主管部门、网信部门报告事件详情（包括原因、影响、已采取措施）；（5）内部追责：对工程师王某进行纪律处分（如降职、扣除绩效），对信息科负责人进行管理责任追究；（6）系统整改：更换超级管理员账号管理方式（如使用双因素认证、动态令牌），加强物理区域访问控制（如安装门禁、监控），升级日志审计系统（实现异常操作实时报警）。问题3：根据《个人信息保护法》《数据安全法》及相关法规，分析李某和医院的法律责任（20分）。答案要点：（1）李某的责任：-违反《刑法》第253条“侵犯公民个人信息罪”：非法获取、出售患者个人信息（数量达2000条，属“情节严重”），可处3年以下有期徒刑或拘役，并处或单处罚金；-违反《个人信息保护法》第66条：未经同意非法处理个人信息，需承担民事赔偿责任（患者可要求赔偿精神损失及因骚扰产生的实际损失）。（2）医院的责任：-违反《数据