2026年医院网络安全工作计划

2026年医院网络安全工作计划一、总体工作目标以《网络安全法》《数据安全法》《个人信息保护法》《医疗卫生机构网络安全管理办法》及等保2.0相关标准为依据，围绕智慧医院建设全场景安全需求，2026年核心工作目标为：核心业务系统（HIS、EMR、LIS、PACS、医保结算、互联网诊疗）等保三级测评通过率100%，二级信息系统备案测评覆盖率100%；核心业务系统全年可用性不低于99.99%，非核心系统可用性不低于99.9%；高危漏洞24小时内修复率100%，中危漏洞72小时内修复率100%，低危漏洞月度修复率不低于95%；勒索病毒、数据泄露等重大网络安全事件0发生，一般网络安全事件处置完成率100%；应急响应平均时长压缩至30分钟以内，重大事件1小时内完成监管部门上报；全员网络安全培训覆盖率100%，钓鱼邮件演练点击量控制在5%以下；数据分类分级完成率100%，核心医疗数据全生命周期加密防护覆盖率100%。二、重点工作任务（一）安全架构升级与基础设施加固1.等保合规深化建设严格落实等级保护2.0要求，3月底前完成所有核心系统等保三级复评准备，6月底前完成全部三级系统测评、11月底前完成所有二级系统备案测评，确保测评得分均不低于90分，无高风险项遗留。完成与属地卫健部门网络安全监测平台对接，安全日志、告警信息上报准确率100%，每季度配合监管部门完成安全抽检，问题整改率100%。同步启动等保3.0标准预适配工作，梳理现有系统与新标准的差距，形成升级改造清单，为2027年标准落地做好准备。2.零信任架构全面落地6月底前完成零信任身份治理体系建设，覆盖所有内部员工、第三方运维人员、患者端用户，实现“永不信任、始终验证”的访问机制。内部医护人员访问核心业务系统需采用“Ukey+人脸+动态口令”多因子认证，权限匹配岗位需求，实现最小权限配置，岗位变动后24小时内完成权限调整。第三方运维人员访问内网需提交申请，经信息科、分管领导双审批后发放临时账号，权限仅限所需操作的系统，账号有效期最长不超过7天，操作全程录屏留存，审计日志留存180天以上。患者端访问互联网医院、个人健康档案系统需采用“手机号核验+人脸实名认证”，防止个人健康信息被冒用。9月底前完成零信任权限动态调整模块上线，基于用户操作行为、终端环境、访问时间等维度动态评估风险，高风险操作自动拦截并触发告警。3.基础设施全维度加固边界防护层面，3月底前完成所有核心区域下一代防火墙、入侵检测/防御系统（IDS/IPS）升级，威胁情报库每周更新1次，实现南北向、东西向流量全面监测，异常访问拦截率不低于99%。服务器层面，每月开展1次核心服务器、数据库漏洞扫描，高危漏洞24小时内完成修复，无法立即修复的需采取临时防护措施并上报分管领导。终端层面，所有内网终端EDR（终端检测与响应系统）部署率100%，默认关闭USB存储接口，因工作需要开启的需经科室负责人、信息科双审批，操作日志留存90天以上。云平台层面，已上云的互联网医院、预约挂号系统需配置云WAF、云防火墙、数据库审计系统，云服务商安全资质每年审核1次，服务协议中明确数据安全责任，云平台操作日志留存180天以上。（二）医疗数据全生命周期安全管理1.数据分类分级落地严格按照《医疗卫生机构数据分类分级指南》要求，3月底前完成所有数据资产梳理，将数据划分为公开、内部、敏感、核心四个等级，其中核心数据包括住院病历、门诊电子病历、医保结算信息、患者生物识别信息、医院财务核心数据；敏感数据包括患者联系方式、就诊记录、检验检查结果；内部数据包括医院内部管理文件、人事薪酬数据；公开数据包括医院对外宣传信息、便民服务信息。所有数据资产全部打上分类分级标签，建立动态数据资产台账，每季度更新1次，确保数据资产底数清、责任明。2.全流程数据防护采集环节：患者数据采集需明确告知用途、存储期限、共享范围，取得患者书面或电子授权，不得采集与服务无关的个人信息。存储环节：核心、敏感数据全部采用国密SM4算法加密存储，密钥采用SM2算法加密保管，实现密钥管理、系统运维、审计人员三权分立，密钥更换周期不超过6个月。传输环节：内部跨系统数据传输采用VPN加密，对外数据传输采用TLS1.3及以上协议加密，禁止明文传输医疗敏感数据。使用环节：核心数据导出需经科室负责人、信息科、分管领导三方审批，导出前自动完成脱敏处理，姓名、身份证号、手机号、住址等个人识别信息脱敏率100%，脱敏后的数据无法逆向还原。共享环节：与医保部门、第三方检测机构、互联网诊疗合作平台、药品配送机构等第三方共享数据前，需审核对方数据安全资质，签订数据安全保密协议，明确数据使用范围、安全责任，共享数据全部脱敏，每季度对共享数据的使用情况进行审计。销毁环节：存储过核心、敏感数据的存储介质报废时需进行物理粉碎，销毁过程全程录像，录像留存3年以上，销毁记录永久留存。3.数据泄露监测与溯源6月底前完成数据防泄漏系统（DLP）部署，覆盖终端、网络、云端三个维度，对异常数据导出、大流量外发、未脱敏数据传输等行为实时告警，告警响应率100%。每月开展1次数据泄露风险专项排查，重点排查员工个人终端存储敏感数据、第三方违规获取数据、接口未授权访问等风险，问题整改率100%。每季度开展1次数据安全专项审计，对数据访问、导出、共享操作全流程回溯，发现违规操作追责率100%。（三）新场景网络安全专项防护1.互联网医院安全每半年开展1次互联网医院系统（含APP、小程序、公众号）渗透测试，高危漏洞修复率100%，上线新功能前必须完成安全测试，未经安全测试的功能不得上线。对外接口全部采用签名认证、参数校验、流量限制机制，防止爬虫、暴力破解、SQL注入等攻击，接口调用日志留存180天以上。电子处方流转全程加密，处方开具、审核、配药、配送全流程可追溯，防止处方被篡改、冒用。严格控制患者端应用权限索取，不得索要与服务无关的通讯录、定位、相册等权限，权限申请需明确告知用途，患者可随时关闭授权。2.医疗物联网安全3月底前完成所有物联网设备（含监护仪、输液泵、检验检测设备、智慧门禁、视频监控、冷链监测设备）台账梳理，明确设备型号、固件版本、接入网络、责任科室，设备接入内网需经信息科审批，完成IP-MAC绑定，关闭不必要的端口、服务。每季度开展1次物联网设备漏洞扫描，发现的高危漏洞72小时内完成固件升级或临时防护，无法升级的老旧设备采取网络隔离措施，防止被攻击者作为跳板侵入核心业务区域。3.AI医疗应用安全AI辅助诊断、AI影像分析、AI病历质控等系统训练所用的医疗数据必须全部脱敏，不得包含任何可识别患者身份的信息，训练数据使用需经伦理委员会审批。建立AI模型输出结果人工复核机制，防止模型被投毒、篡改导致误诊漏诊，模型训练、更新、部署全流程留痕，日志留存1年以上。AI医疗系统部署在独立安全区域，与核心业务系统之间设置访问控制策略，仅开放必要的数据交互接口，防止模型被窃取、数据被泄露。（四）应急响应与攻防演练体系建设1.应急预案修订与演练1月底前完成《网络安全应急预案》修订，覆盖勒索病毒攻击、数据泄露、核心系统宕机、DDoS攻击、账号泄露等12类常见安全事件，明确各部门处置职责、处置流程、上报要求。每季度开展1次专项应急演练，每年开展1次跨科室、跨部门的大规模实战演练，联合属地网信、公安、卫健部门开展联动演练不少于1次，每次演练后完成复盘报告，问题整改率100%，演练相关资料留存3年以上。2.724小时安全运营中心（SOC）建设6月底前完成SOC平台升级，实现网络流量、系统日志、终端告警、云安全数据统一汇聚分析，告警准确率提升至90%以上。配备3班专职运维人员，实现724小时实时监测，一般安全事件30分钟内响应、4小时内处置完成，重大安全事件10分钟内启动响应流程、1小时内上报属地卫健、公安、网信部门，上报信息准确率100%。核心业务系统数据实行“本地实时备份+异地每日备份+离线冷备份”三级备份策略，本地备份频率不低于每小时1次，异地备份数据与生产环境物理隔离，离线备份数据每季度抽检1次，恢复成功率100%。3.攻防演练与漏洞奖励机制每年邀请具备等保测评资质、网络安全服务二级以上资质的第三方机构开展2次渗透测试、1次红蓝对抗演练，挖掘到的所有漏洞建立台账，跟踪整改直至闭环。建立内部漏洞上报奖励机制，员工上报的高危漏洞经确认后奖励5000元/个，中危漏洞奖励2000元/个，低危漏洞奖励500元/个，年度漏洞奖励预算不低于10万元，鼓励全员参与安全防护。（五）人员安全管理与培训体系1.内部人员管理1月底前完成所有员工网络安全责任书签订，明确各岗位安全责任，新员工入职需完成网络安全培训、考试合格后方可开通系统账号，员工离职后24小时内注销所有系统账号、回收所有办公设备、存储介质。关键岗位人员（系统管理员、数据库管理员、安全运维人员）每年开展1次背景审查，审查率100%，禁止有网络违法犯罪记录人员从事关键岗位工作。2.第三方人员管理所有外包服务、厂商运维、施工人员进入内网操作前需提交申请，签订安全保密协议，明确安全责任，因第三方人员操作导致安全事件的，由第三方承担全部损失赔偿责任。第三方人员操作全程安排内部人员陪同，操作日志、录屏留存180天以上，临时账号使用后立即注销。每季度对第三方合作单位的安全资质、安全管理情况进行1次抽查，发现不符合安全要求的立即终止合作。3.全员安全培训每季度开展1次全员网络安全培训，内容涵盖钓鱼邮件识别、勒索病毒防护、数据安全规范、个人信息保护等，培训后开展闭卷考试，合格率需达到100%，不合格人员需补考直至合格。每年开展2次钓鱼邮件演练，员工点击钓鱼链接、下载附件的比例控制在5%以下，对点击人员进行专项警示教育。关键岗位人员每年开展不少于40学时的专项技能培训，内容包括等保合规、应急响应、漏洞修复、数据安全，至少2人取得CISP资质、1人取得CISAW应急响应资质。（六）管理体系与考核机制建设1.管理制度完善3月底前修订完成《医院网络安全管理办法》《数据分类分级管理规范》《账号权限管理办法》《应急响应处置流程》《第三方人员安全管理规范》《物联网设备安全管理办法》等12项核心管理制度，每年根据新出台的法律法规、新的业务场景更新1次，实现安全管理全流程有制度可依。2.四级责任体系落地建立“一把手负总责、分管领导具体负责、各科室负责人为本科室第一责任人、信息科安全团队牵头落实”的四级责任体系，每个科室设立1名网络安全联络员，负责本科室安全隐患上报、安全宣传、人员培训组织，每月召开1次网络安全工作例会，通报安全隐患、部署工作任务。3.考核与追责机制将网络安全工作纳入各科室年度绩效考核，占比不低于5%，对全年未发生安全事件、安全工作落实到位的科室给予年度绩效加分，对未落实安全要求、存在安全隐患拒不整改的科室扣除年度绩效。对因个人违规操作导致安全事件的，视情节轻重给予绩效扣除、通报批评、调离岗位处理，构成违法的移交司法机关处理。年度安全奖励预算不低于20万元，用于奖励安全工作突出的科室和个人。（七）资源保障1.经费保障2026年网络安全预算不低于350万元，占信息化建设总经费比例不低于15%，其中40%用于安全基础设施升级、30%用于安全运维与第三方服务、10%用于培训与演练、20%用于奖励与应急储备，经费优先保障核心系统安全、数据安全、应急响应需求。2.人员保障2026年专职网络安全人员配置不低于5名，不足人员通过社会招聘、内部转岗补充，与具备国家网络安全服务二级以上资质的机构签订常年运维服务合同，提供724小时技术支持，响应时长不超过15分钟。三、季度工作进度安排（一）第一季度（1-3月）：完成2025年安全工作复盘，修订2026年工作计划与各项管理制度，完成第一次全员安全培训，完成核心系统漏洞扫描与高危漏洞修复，完成物联网设备台账梳理，启动等保三级测评准备工作，完成应急预案修订。（二）第二季度（4-6月）：完成零信任架构第一阶段部署，完成数据分类分级梳理与标签打标，完成DLP系统部署，开展第一次渗透测试，开展勒索病毒专项应急演练，完成上半年安全工作检查，启动等保三级测评工作。（三）第三季度（7-9月）：完成互联网医院、物联网设备安全专项排查，开展红蓝对抗演练，完成第二次全员安全培训与钓鱼邮件演练，完成等保三级测评并取得合格报告，完成SOC平台升级，实现724小时值守。（四）第四季度（10-12月）：完成年度安全绩效考核，开展跨部门联合应急演练，完成所有中低危漏洞整改，梳理全年安全工作情况，制定2027年工作计划，迎接卫健、公安部门年度安全检查。四、重大风险预判与应对措施1.勒索病毒攻击风险：