医院信息安全管理规范试题及答案

医院信息安全管理规范试题及答案一、单项选择题（每题2分，共20分）1.根据《个人信息保护法》，医院处理患者个人信息时，以下哪项不符合“最小必要”原则？A.仅收集与诊疗直接相关的姓名、年龄、诊断结果B.为优化服务，额外收集患者社交平台账号信息C.存储期限设定为“诊疗结束后5年”（符合行业惯例）D.仅授权主治医师查看本科室患者的电子病历2.医院信息系统访问控制中，“三权分立”原则指的是？A.系统管理员、安全管理员、审计管理员权限分离B.院长、信息科长、临床科室主任权限分离C.开发人员、测试人员、运维人员权限分离D.门诊、住院、检验系统管理员权限分离3.关于医院数据备份，以下哪项要求不符合规范？A.核心业务系统（如HIS、电子病历）每日全量备份+实时增量备份B.备份介质离线存储于独立物理场所C.备份数据仅保留3个月，超过期限自动覆盖D.每月进行一次备份恢复测试并记录结果4.医院终端设备（如医生工作站、护士站电脑）应优先采用的安全技术是？A.弱口令策略（长度6位以下）B.操作系统默认配置（未关闭不必要端口）C.端点准入控制（未授权设备无法接入内网）D.禁用杀毒软件（避免影响诊疗软件运行）5.某医院发生患者信息泄露事件，发现泄露源为外包运维人员非法访问，根据《网络安全法》，医院应承担的责任不包括？A.对运维公司追究违约责任B.向省级网信部门报告事件详情C.对受影响患者进行告知并采取补救措施D.立即暂停所有外包服务合作6.医院电子病历系统的加密要求中，以下哪项正确？A.传输过程采用SSL/TLS1.0加密B.存储时对患者姓名、身份证号等敏感字段进行哈希处理C.访问时仅验证用户名，无需二次身份认证D.归档后电子病历无需加密（因已完成诊疗）7.医院信息安全日志应至少保留多长时间？A.30天B.6个月C.1年D.3年8.关于移动存储设备管理，以下符合规范的是？A.允许医生使用私人U盘拷贝患者影像资料B.所有移动存储设备需注册备案，粘贴唯一标识C.护士站电脑USB接口默认开启，无管控措施D.外包人员可使用自带设备接入医院内网拷贝数据9.医院信息安全应急预案的“黄金响应时间”通常指？A.事件发生后1小时内启动应急流程B.事件发生后24小时内完成系统恢复C.事件发生后48小时内向监管部门报告D.事件发生后72小时内完成根源分析10.医院信息安全培训的重点对象不包括？A.新入职护士（需操作护理系统）B.后勤保障人员（不接触信息系统）C.外包运维工程师（负责系统维护）D.科室主任（需审批权限变更）二、判断题（每题2分，共20分）1.医院信息系统用户权限应根据岗位职责动态调整，无需定期审核。（）2.移动护理终端（PDA）接入医院内网时，需绑定设备MAC地址并启用VPN。（）3.为提升效率，医生可共享账号登录电子病历系统。（）4.数据脱敏技术可将患者身份证号“44010619900101XXXX”处理为“4401XXXX”，属于有效脱敏。（）5.第三方合作机构（如检验试剂供应商）访问医院检验系统前，只需口头约定安全责任。（）6.医院无线局域网（WLAN）应与内网物理隔离，仅允许授权设备接入。（）7.电子病历修改需保留原记录，修改人、时间、原因需完整记录。（）8.为避免影响诊疗，医院终端设备可关闭自动更新，手动安装补丁。（）9.灾备演练应至少每半年开展一次，覆盖核心系统（如HIS、LIS）。（）10.信息安全培训只需针对IT部门人员，临床科室无需参与。（）三、简答题（每题10分，共30分）1.简述等级保护2.0中“医院信息系统”作为第三级信息系统的安全要求（至少列出5项）。2.说明“最小权限原则”在医院信息系统权限管理中的具体实施步骤。3.对比“数据备份”与“容灾”的区别，并列举医院核心系统（如电子病历）的容灾要求。四、案例分析题（30分）某三级医院发现，近1个月内有200条患者住院费用明细被非授权访问，涉及科室包括骨科、心内科。经初步排查，访问日志显示操作账号为“药剂科张XX”，但张XX声称未进行相关操作。进一步检查发现，张XX的账号密码为弱口令（“123456”），且其电脑曾在夜间无人值守时未锁屏。问题：（1）分析该事件可能的原因（至少4点）；（2）列出医院应采取的应急措施（至少5项）；（3）提出后续整改建议（至少5条）。医院信息安全管理规范试题答案一、单项选择题1.B（解析：“最小必要”原则要求仅收集与服务目的直接相关的信息，社交平台账号非诊疗必需）2.A（解析：三权分立指系统管理员、安全管理员、审计管理员权限分离，避免权力集中）3.C（解析：核心系统备份应长期保留，通常不少于1年，部分需符合病历保存年限要求）4.C（解析：端点准入控制可防止未授权设备接入，是终端安全基础措施）5.D（解析：暂停所有外包服务属于过度处理，应根据事件影响范围采取针对性措施）6.B（解析：哈希处理是敏感信息存储加密的常见方式；SSL/TLS1.0已过时，需1.2以上；需二次认证；归档病历仍需加密）7.D（解析：《网络安全法》要求日志保留不少于6个月，医疗行业通常要求3年）8.B（解析：移动存储设备需备案管理；私人设备、未管控接口、外包自带设备均不符合规范）9.A（解析：黄金响应时间指事件发生后1小时内启动应急流程，避免损失扩大）10.B（解析：后勤人员虽不直接接触系统，但可能接触终端设备，需基础安全培训）二、判断题1.×（需定期审核权限，避免离职/调岗后权限未回收）2.√（PDA接入需绑定设备并加密，防止非法接入）3.×（账号需专人专用，共享账号无法追溯责任）4.√（身份证号部分隐藏符合脱敏要求，保留部分信息不影响使用）5.×（需签订书面安全协议，明确责任与操作范围）6.√（无线局域网需与内网隔离，防止外部攻击）7.√（电子病历修改需留痕，符合《电子病历应用管理规范》）8.×（应开启自动更新或定期手动安装补丁，避免系统漏洞被利用）9.√（灾备演练每半年一次是医疗行业常见要求，确保恢复能力）10.×（临床科室人员是系统主要使用者，需参与安全培训）三、简答题1.等级保护2.0第三级信息系统安全要求（至少5项）：（1）物理安全：机房需设置门禁、监控、温湿度监控，实行分区管理；（2）网络安全：部署入侵检测/防御系统（IDS/IPS），划分安全域并设置访问控制策略；（3）主机安全：服务器需启用访问控制列表（ACL），重要文件进行完整性校验；（4）应用安全：电子病历系统需支持双因素认证（如账号+动态验证码），关键操作（如删除病历）需审批；（5）数据安全：患者敏感信息（如身份证号、联系方式）需加密存储，数据导出需审批并记录；（6）管理安全：制定《信息安全管理制度》，每年开展至少2次安全培训，每半年进行一次安全自查。2.最小权限原则实施步骤：（1）角色定义：根据岗位职责（如住院医生、护士、收费员）划分系统角色，明确每个角色的操作权限（如住院医生可查看本科室患者病历，但不可修改收费信息）；（2）权限分配：新员工入职时，根据其岗位分配对应角色权限，避免“默认全权限”；（3）动态调整：员工调岗或离职时，及时回收原岗位权限，新增岗位权限需经科室主任审批；（4）定期审核：每季度由信息科联合审计部门，对所有用户权限进行核查，清理冗余权限；（5）日志监控：对越权操作（如护士尝试修改诊断结果）进行实时告警，记录操作轨迹。3.数据备份与容灾的区别及电子病历容灾要求：（1）区别：数据备份是将数据复制到存储介质（如硬盘、磁带），用于数据丢失后的恢复；容灾是通过技术手段（如双活数据中心、异地灾备）确保系统在发生灾难（如火灾、地震）时仍能持续运行，强调“业务连续性”。（2）电子病历容灾要求：①采用“两地三中心”架构（生产中心、同城灾备中心、异地灾备中心）；②生产中心与同城灾备中心数据实时同步（RPO≤5分钟），异地灾备中心每日增量备份；③灾备系统需与生产系统保持版本一致，每季度进行一次切换演练（RTO≤2小时）；④灾备中心需满足与生产中心相同的物理安全标准（如防火、防盗、防雷击）；⑤制定《电子病历容灾切换预案》，明确切换流程、责任人及沟通机制。四、案例分析题（1）事件可能原因：①账号密码安全隐患：张XX使用弱口令（“123456”），易被暴力破解；②终端设备管理缺失：电脑未锁屏，他人可直接使用张XX账号登录系统；③权限管理漏洞：药剂科账号可能被错误赋予访问住院费用明细的权限（超出岗位职责）；④日志监控不足：非授权访问未触发实时告警，导致事件持续1个月未被发现；⑤安全意识薄弱：张XX未意识到弱口令和未锁屏的风险，缺乏基本安全培训。（2）应急措施：①立即锁定“张XX”账号，修改密码并启用双因素认证；②断开张XX电脑网络连接，进行病毒/木马检测（防止设备被远程控制）；③提取完整访问日志（包括IP地址、操作时间、具体数据），分析泄露范围及潜在影响；④通知受影响患者（通过电话、短信），告知信息泄露情况并建议关注个人信息安全（如监控银行卡交易）；⑤启动信息安全事件报告流程，24小时内向卫生健康主管部门、网信部门提交书面报告。（3）整改建议：①强化账号安全：强制要求密码长度≥8位（包含字母、数字、符号），每90天强制修改；②加强终端管控：所有终端设备启用自动锁屏（空闲10分钟自动锁定），关闭不必要的USB接口；③优化权限管理：重新梳理各岗位权限，药剂科账号仅保留药品管理相关权