医院信息系统安全考试题及答案

医院信息系统安全考试题及答案一、单项选择题（本大题共15小题，每小题2分，共30分。每小题只有一个正确选项）1.按照我国网络安全等级保护2.0标准要求，三级医院核心业务信息系统（如HIS、电子病历系统）应当达到的安全保护等级为A.第一级B.第二级C.第三级D.第四级2.根据《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》，下列医院信息系统存储的数据中，属于敏感个人信息核心范畴，需要最高等级防护的是A.患者姓名B.患者家庭住址C.艾滋病抗病毒治疗记录D.患者联系电话3.医院信息系统账号权限管理中，下列哪一做法体现了最小权限原则的要求A.为挂号员开放电子病历修改权限，方便偶尔协助调阅B.为检验科医生开放收费系统改价权限，方便患者退单C.为临床医生仅开放本人管床患者的病历查阅、修改权限D.为方便信息科运维，给信息科所有工作人员开放系统超级权限4.医院信息科值班人员发现LIS系统有一台工作站疑似感染勒索病毒，部分检验数据已经被加密，此时应当采取的第一步处置措施是A.立即按照攻击者要求支付赎金解密数据B.立即断开该感染工作站的网络连接C.直接格式化该工作站硬盘，重新安装系统D.立即联系LIS厂商工程师远程协助恢复5.在医院信息系统容灾备份体系中，RTO（恢复时间目标）指的是A.灾难发生后，备份数据能够恢复到的最远时间点B.灾难发生后，信息系统恢复到正常可运行状态所能接受的最长时间C.灾难发生后，恢复数据需要花费的平均时间D.灾难发生后，能够恢复的数据占全部数据的比例6.下列选项中，不属于医院信息系统常见外部攻击入口的是A.发送给医护人员的带木马钓鱼邮件B.医疗设备厂商自带的未做安全检测的运维笔记本C.封闭物理隔离核心机房内的核心业务服务器D.医护人员接入工作电脑的个人U盘7.根据《个人信息保护法》及医疗卫生机构网络安全监管要求，医疗机构发生超过1000名患者个人信息泄露的安全事件后，最迟应当在多长时间内向属地卫生健康行政部门和网信部门上报A.24小时B.72小时C.48小时D.7天8.医院门诊部署的自助挂号缴费终端，下列操作符合信息安全规范要求的是A.开放自助机USB接口方便患者插入U盘传输检查报告B.定期更新自助机操作系统补丁和终端杀毒病毒库C.为方便运维，设置公共默认账号自动登录系统D.为减少开关机损耗，自助机24小时不关机长期运行9.下列身份认证方式中，属于多因素认证的是A.仅输入账号密码登录系统B.刷工作工牌加输入动态验证码登录系统C.仅通过指纹识别登录系统D.仅通过人脸识别登录系统10.医院门户网站提供预约挂号服务，下列做法不能有效防范SQL注入攻击的是A.对所有用户提交的输入内容进行特殊字符过滤B.网站前端部署Web应用防火墙（WAF）拦截攻击C.直接将用户输入内容拼接为SQL语句执行D.采用预编译SQL语句处理用户查询请求11.关于临床使用的移动护理PDA安全管理，下列做法错误的是A.PDA丢失后第一时间在系统中注销对应账号B.为方便上网查资料，PDA连接医护人员个人热点C.PDA仅安装工作必需的应用程序，不安装无关软件D.定期对PDA进行恶意代码扫描和安全检查12.根据网络安全等级保护管理要求，三级信息系统应当至少多久开展一次全面的等级保护测评A.每半年B.每年C.每两年D.每三年13.下列医院信息系统存储的数据中，属于需要最高等级防护的核心业务数据是A.医院行政后勤人员排班表B.官网公开的专家出诊信息C.住院患者电子病历数据D.医院教学科研通用课件14.医护人员使用医院工作电脑，下列做法符合安全规范的是A.为方便记忆，将系统账号密码写在办公桌便签上B.下班离开工位不锁屏，方便同事帮忙处理紧急医嘱C.离开工位时主动锁定计算机屏幕D.将个人工作账号借给规培实习医生使用15.下列安全事件中，不属于内部人员引发的信息安全事件是A.临床护士误操作删除了所在病区的体温记录数据B.信息科离职人员违规导出数万份患者数据售卖C.黑客通过钓鱼邮件获取医护账号密码入侵内网窃取数据D.规培医生私自拷贝患者病历用于毕业课题研究二、多项选择题（本大题共10小题，每小题3分，共30分。多选、少选、错选均不得分）1.完整的医院信息系统安全体系涵盖下列哪些核心维度A.物理机房安全B.网络边界安全C.数据与个人信息安全D.应用系统安全E.人员安全管理2.根据《医疗卫生机构网络安全管理办法》及等保2.0要求，下列医院信息系统中，应当按照三级等保要求开展防护和测评的有A.医院信息管理系统（HIS）B.电子病历系统C.远程医疗信息系统D.医院内部办公自动化系统（OA）E.医院对外门户网站3.为防范勒索软件攻击，医院日常安全管理应当做好下列哪些工作A.定期对核心业务数据做全量备份，备份数据采用物理离线隔离存储B.完全禁止任何外接设备接入医院内网C.及时更新所有服务器、终端的安全补丁，修复已知漏洞D.定期开展全员安全培训，提升医护人员钓鱼攻击防范意识E.为所有终端、服务器部署恶意代码防护软件并定期更新病毒库4.下列关于患者个人信息保护的做法中，符合法律法规要求的有A.不得未经患者同意，向第三方商业机构提供患者诊疗信息用于广告营销B.因临床科研教学需要使用患者病历数据，应当对数据做去标识化处理C.接诊医生遇到疑难病例，可以将患者完整病历发到朋友圈求助同行D.保险机构因理赔需要调取患者病历，可以直接提供完整数据不需要患者授权E.公安司法机关持合法调查手续调取患者病历，应当按流程配合并做好登记留存5.医院信息系统账号权限管理应当遵循下列哪些基本原则A.最小权限原则B.权限分离原则C.按需授权原则D.一人一号原则E.超级权限多人共享原则6.当前我国医院信息系统普遍存在的安全风险包括下列哪些选项A.部分老旧信息系统停止厂商维护，存在大量未修复的高危漏洞B.大量医疗物联网设备（CT、DR、核磁共振等）自带老旧操作系统，存在高危漏洞且无法补丁更新C.内网物理隔离不连接互联网，不存在任何安全风险D.医护人员安全意识薄弱，容易点击钓鱼链接、使用弱口令E.部分中小医院信息科运维人员不足，安全防护投入不够，无法及时处置安全隐患7.医院信息系统容灾备份按照容灾部署位置划分，可以分为下列哪两类A.本地容灾B.异地容灾C.数据容灾D.应用容灾E.云容灾8.当医院核心信息系统发生大面积中断，无法正常提供服务时，下列应急处置做法正确的有A.第一时间启动网络安全应急预案，通知各科室启用手工诊疗预案，优先保障急诊、手术、重症等核心医疗业务运行B.第一时间排查故障来源，切断感染源或故障区域，防止影响范围进一步扩大C.为避免影响医院声誉，先自行处置，不需要上报监管部门D.故障处置完成后，开展全流程溯源分析，修补安全漏洞，完善应急预案E.及时向属地卫生健康行政部门、网信部门上报事件情况，配合监管调查9.关于医院第三方运维服务的安全管理，下列做法符合安全规范的有A.所有第三方人员现场运维，必须有本院工作人员全程陪同监督B.第三方远程运维必须提前经过审批，通过专用加密VPN通道开展运维操作C.为方便第三方开展运维工作，给第三方账号开放内网全域访问权限D.第三方运维工作结束后，立即收回第三方的临时账号和访问权限E.与所有第三方服务提供商签订安全保密协议，明确双方数据安全责任10.等保2.0标准相比等保1.0，新增了下列哪些安全领域的要求，更贴合当前医疗信息化发展的需求A.安全管理中心要求B.云计算安全扩展要求C.大数据安全扩展要求D.物联网安全扩展要求E.应用安全防护要求三、判断题（本大题共10小题，每小题1分，共10分。正确打√，错误打×）1.医院内网物理隔离不连接互联网，因此不会发生信息安全事件。2.医院信息安全只需要做好技术防护，不需要开展全员安全培训，就能保障系统安全。3.根据《医疗卫生机构网络安全管理办法》要求，三级医院核心信息系统应当至少每月开展一次全量数据备份，每半年开展一次备份恢复演练。4.医护人员因工作需要，可以将工作电脑内的患者诊疗数据拷贝到个人笔记本电脑带回家处理。5.多因素身份认证可以有效降低账号密码泄露后发生非授权登录的风险。6.勒索软件攻击只会加密受害者数据，不会窃取泄露数据，因此支付赎金就可以解决问题。7.医院部署的自助终端、移动护理PDA、医疗物联网设备都属于医院信息系统的组成部分，应当纳入统一安全管理。8.为了方便信息科远程运维，可以将核心数据库直接开放公网访问权限。9.患者依法享有查阅、复制本人诊疗数据的权利，医院信息系统应当按照法律法规要求提供对应服务，这符合个人信息保护的要求。10.医院信息安全是信息科一个部门的责任，和临床医护、行政后勤人员无关。四、简答题（本大题共3小题，每小题6分，共18分）1.简述医院信息系统权限管理中最小权限原则的内涵，以及在医院实际管理中的应用要求。2.医院发现核心业务系统感染勒索病毒后，正确的应急处置流程是什么？3.简述医疗机构在患者个人信息保护方面应当落实的核心管理措施。五、案例分析题（本大题共1小题，共12分）某地级市三甲医院，为了方便CT设备厂商远程维护设备，信息科给厂商开放了内网访问权限，厂商工程师现场调试设备时，直接将自带的个人笔记本电脑接入内网，未做任何安全检测。该笔记本因工程师日常浏览网页已经感染了最新变种的勒索病毒，接入内网后病毒快速通过SMB漏洞横向传播，不到3小时就加密了HIS系统、电子病历系统、LIS系统的核心服务器，导致全院门诊挂号、收费、医嘱开具、检验检查全流程中断，无法正常提供服务。同时攻击者留下勒索信，声称已经窃取了全院12万份患者的电子病历数据，要求医院支付500万比特币赎金，否则就将所有数据公开到暗网。请结合案例回答下列问题：（1）请分析本次事件发生的主要原因有哪些？（4分）（2）如果你是该医院信息科负责人，你会按照什么流程开展应急处置？（4分）（3）本次事件暴露了医院第三方运维管理的哪些漏洞，应当如何整改？（4分）参考答案与解析一、单项选择题1.答案：C解析：我国等保2.0标准将网络安全分为五级，其中第一级为一般保护，适用于小型内部系统；第二级为基本保护，适用于一般业务系统；第三级为重点保护，适用于一旦被破坏会对社会公共利益、国家安全造成损害的核心业务系统，医院HIS、电子病历等核心系统直接关系医疗服务秩序和公众利益，按照要求应当定级为第三级，第四级为特别重点保护，适用于涉及国家安全的核心系统，因此本题选C。2.答案：C解析：根据《个人信息保护法》，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，其中医疗健康信息属于敏感个人信息，而艾滋病等传染病诊疗信息涉及患者隐私，属于敏感个人信息中需要最高等级防护的范畴，姓名、住址、联系电话属于一般个人信息，因此本题选C。3.答案：C解析：最小权限原则指的是只给用户完成工作必需的最低权限，避免权限过大引发安全风险。四个选项中，仅给临床医生开放本人管床患者的操作权限，符合最小权限的要求，其余选项都给工作人员开放了超出工作需求的权限，因此本题选C。4.答案：B解析：勒索病毒传播速度快，能够通过网络横向扩散到其他服务器和终端，因此发现疑似感染后第一步应当立即断开感染设备的网络连接，隔离攻击源，防止病毒扩散，支付赎金无法保证数据恢复，直接格式化会破坏现场不利于溯源，联系厂商不是第一步需要做的，因此本题选B。5.答案：B解析：RTO（RecoveryTimeObjective）是恢复时间目标，指的是灾难发生后信息系统恢复到可正常运行状态的最长可接受时间；RPO（RecoveryPointObjective）是恢复点目标，指灾难发生后能够恢复到的最远时间点，因此本题选B。6.答案：C解析：封闭物理隔离核心机房内的核心服务器，不对外暴露，也不允许未授权设备接入，因此不属于常见攻击入口，钓鱼邮件、外部运维设备、个人U盘都是攻击者常用的入侵入口，因此本题选C。7.答案：B解析：根据《个人信息保护法》及《网络安全事件报告管理办法（试行）》，发生个人信息安全事件后，个人信息处理者应当在72小时内上报监管部门，因此本题选B。8.答案：B解析：开放USB接口会让恶意设备接入，带来病毒入侵风险；公共默认账号容易被非授权登录；24小时不关机运行存在安全隐患，也不是必须要求；定期更新补丁和病毒库是正确的安全做法，能够及时修复已知漏洞，防范恶意入侵，因此本题选B。9.答案：B解析：多因素认证要求两个及以上不同维度的认证因素，通常分为“你知道的”（密码、验证码）、“你拥有的”（工牌、U盾）、“你是谁的”（指纹、人脸），刷工牌（你拥有的）加输入验证码（你知道的）属于两个不同维度的认证，是多因素认证，其余选项都只有一个因素，因此本题选B。10.答案：C解析：直接将用户输入拼接成SQL语句，会让攻击者插入恶意SQL代码，引发SQL注入攻击，其余做法都可以有效防范SQL注入，因此本题选C。11.答案：B解析：移动护理PDA本身可以访问医院内网的患者数据，连接个人热点会让PDA暴露在公共网络中，容易被攻击者窃取数据，违反安全规范，其余做法都是正确的，因此本题选B。12.答案：B解析：根据等保管理要求，二级信息系统每两年测评一次，三级信息系统每年测评一次，四级信息系统每半年测评一次，因此本题选B。13.答案：C解析：住院患者电子病历是核心业务数据，涉及患者隐私和医疗业务正常开展，需要最高等级防护，其余选项都属于非核心公开或内部通用数据，防护等级较低，因此本题选C。14.答案：C解析：离开工位锁定屏幕，可以防止非授权人员使用工作电脑，访问患者数据，符合安全规范，其余选项都容易引发账号泄露、非授权访问，因此本题选C。15.答案：C解析：黑客通过钓鱼邮件入侵属于外部人员发起的攻击，不属于内部人员引发的安全事件，其余选项都是内部人员的误操作或违规行为引发的，因此本题选C。二、多项选择题1.答案：ABCDE解析：医院信息系统安全是全生命周期的全维度防护体系，从物理机房的环境安全，到网络边界、应用系统、数据安全，再到人员安全管理，都是安全体系的核心组成部分，因此本题全选。2.答案：ABC解析：HIS、电子病历、远程医疗系统都是直接提供核心医疗服务的业务系统，按照要求应当定级为三级等保，内部OA和对外门户网站一般定级为二级等保，因此本题选ABC。3.答案：ACDE解析：防范勒索病毒不需要完全禁止所有外接设备接入，只需要落实外接设备准入登记、病毒查杀制度即可，完全禁止会影响正常工作开展，其余选项都是正确的防范措施，因此本题选ACDE。4.答案：ABE解析：将患者病历发到朋友圈会泄露患者隐私，违反规定；提供患者病历给保险机构需要患者本人同意，因此CD错误，ABE做法符合法律法规要求，因此本题选ABE。5.答案：ABCD解析：超级权限需要严格管理，不得多人共享，必须专人专用，因此E错误，ABCD都是账号权限管理的基本原则，因此本题选ABCD。6.答案：ABDE解析：物理隔离内网不代表不存在安全风险，内部人员违规、移动设备带入病毒、攻击者渗透进内网后横向传播都可能引发安全事件，因此C错误，ABDE都是当前医院信息系统普遍存在的安全风险，因此本题选ABDE。7.答案：AB解析：按照容灾部署位置划分，分为本地容灾和异地容灾；按照容灾等级划分，分为数据容灾和应用容灾，云容灾是按照存储方式划分的类型，因此本题选AB。8.答案：ABDE解析：发生大面积系统中断，必须按照要求及时上报监管部门，不得隐瞒，因此C错误，ABDE都是正确的应急处置做法，因此本题选ABDE。9.答案：ABDE解析：第三方运维仅需要开放完成运维工作必需的权限，不能开放全域访问权限，违反最小权限原则，因此C错误，ABDE都是正确的第三方安全管理做法，因此本题选ABDE。10.答案：ABCD解析：应用安全防护要求在等保1.0中已经存在，等保2.0新增了安全管理中心的要求，以及针对云计算、大数据、物联网的扩展要求，更贴合当前医疗信息化云化、物联网化的发展趋势，因此本题选ABCD。三、判断题1.答案：×解析：物理隔离内网无法完全避免安全风险，内部人员违规操作、移动存储设备带入病毒、攻击者突破边界渗透进入内网都可能引发安全事件，因此本题错误。2.答案：×解析：据国内网络安全机构统计，超过80%的医疗行业信息安全事件都和内部人员安全意识不足有关，技术防护必须结合人员安全培训，才能构建完整的安全防护体系，因此本题错误。3.答案：√解析：《医疗卫生机构网络安全管理办法》明确要求，医疗卫生机构应当定期开展核心数据备份和恢复演练，三级医院核心系统每月全量备份、每半年演练符合规范要求，因此本题正确。4.答案：×解析：个人电脑安全防护能力弱，容易被入侵造成数据泄露，将患者数据拷贝到个人设备属于违规行为，因此本题错误。5.答案：√解析：多因素认证需要两个不同维度的认证信息，就算密码泄露，攻击者也无法通过第二个认证环节，因此可以有效降低非授权登录风险，因此本题正确。6.答案：×解析：当前主流勒索病毒大多采用双重勒索模式，攻击者先窃取数据再加密数据，支付赎金后仍然会公开数据，无法保证问题解决，因此本题错误。7.答案：√解析：自助终端、PDA、医疗物联网设备都是医院信息系统的组成部分，也是当前攻击者重点利用的薄弱入口，必须纳入统一安全管理，因此本题正确。8.答案：×解析：核心数据库直接开放公网访问，会被攻击者直接扫描利用，引发入侵和数据泄露，远程运维必须通过加密VPN、多因素认证才能开展，因此本题错误。9.答案：√解析：《个人信息保护法》明确规定，自然人对本人的个人信息享有知情权、查阅权、复制权，因此医院按照要求提供服务符合法律规定，因此本题正确。10.答案：×解析：医院信息安全是全员责任，临床医护是终端和数据的直接使用者，是安全防护的第一道防线，因此本题错误。四、简答题1.参考答案：（1）内涵：最小权限原则是医院信息系统权限管理的核心原则，指的是在给用户分配系统权限时，仅授予用户完成本职工作所必需的最低权限，超出工作范围的权限一律不开放，从权限层面降低非授权访问、数据泄露的风险。（2分）（2）应用要求：第一，岗位匹配，不同岗位对应不同权限，比如挂号员仅开放挂号收费权限，不开放病历修改权限；第二，细粒度授权，临床医生仅开放本人管床患者的操作权限，无法访问其他病区患者的数据；第三，定期权限审计，每季度或者半年对所有用户的权限进行梳理，回收岗位调整后不再需要的权限；第四，超级权限严格管控，超级权限仅授予少数必需的运维人员，平时不使用超级权限操作，仅在运维时临时调用，操作完成后立即注销。（4分）2.参考答案：正确应急处置流程如下：（1）第一步，隔离攻击源：立即断开被感染服务器、终端的网络连接，对攻击区域进行网络隔离，阻止勒索病毒进一步横向扩散，避免攻击范围扩大。（1分）（2）第二步，启动应急预案：通知各临床科室启用手工诊疗应急预案，优先保障急诊、手术、重症监护等核心医疗业务正常开展，向患者做好解释工作，维护诊疗秩序。（1分）（3）第三步，上报事件：第一时间向属地卫生健康行政部门、网信部门、公安部门上报事件，配合监管调查，必要时申请专业网络安全应急机构提供技术支援。（1分）（4）第四步，排查溯源：对感染源和攻击路径进行排查，明确攻击入口和感染范围，清理所有残留的恶意代码，排除安全隐患。（1分）（5）第五步，数据恢复：使用离线隔离的备份数据逐步恢复核心系统，优先恢复急诊、住院等核心业务，再恢复其他非核心业务，不要轻易支付赎金，避免财产损失和后续勒索。（1分）（6）第六步，复盘整改：事件处置完成后，总结事件原因，修补安全漏洞，完善安全防护措施和应急预案，提升防护能力。（1分）3.参考答案：医疗机构应当落实的核心措施有：（1）制度建设：建立完善患者个人信息保护管理制度，明确各岗位的信息安全责任，建立信息泄露应急处置预案。（1分）（2）全生命周期防护：从患者数据的收集、存储、使用、传输、销毁全流程落实防护措施，收集数据遵循最小必要原则，不收集超出诊疗需要的个人信息。（1分）（3）权限管控：严格落实账号权限管理，限制可以访问患者敏感数据的岗位和人员，定期开展权限审计。（1分）（4）技术防护：对敏感个人信息进行加密存储和加密传输，部署数据防泄露系统，监测违规导出数据的行为。（1分）（5）人员培训：定期开展医护人员个人信息保护培训，提升隐私保护意识，对违规泄露患者信息的行为明确追责机制。（1分）（6）合规管理：向第三方提供患者数据必须经过患者同意，签订保密协议，定期对第三方的合规性进行审计。（1分）五、案例分析题参考答案：（1）本次事件发生的主要原因：①第三方设备接入管理不规范，未对厂商