在线医疗平台安全排查整治方案

在线医疗平台安全排查整治方案一、总则1.1编制目的为深入贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《互联网诊疗监管细则（试行）》《医疗卫生机构网络安全管理办法》等法律法规和监管要求，切实防范化解在线医疗领域网络安全、数据安全和医疗服务安全风险，保障人民群众健康信息权益和医疗服务安全，推动在线医疗行业规范健康发展，制定本方案。1.2工作原则坚持统筹发展和安全，落实总体国家安全观，把在线医疗安全作为保障民生安全的核心内容，平衡创新发展与风险防控的关系。坚持全面覆盖，突出重点，对所有提供在线医疗服务的平台实现排查全覆盖，重点整治用户规模大、服务范围广、涉及敏感数据多的平台，聚焦数据安全、网络攻击防护、业务合规等核心风险。坚持问题导向，立查立改，对排查发现的风险隐患建立台账，明确整改责任和时限，确保隐患动态清零。坚持属地管理，权责统一，落实属地监管责任和平台运营主体责任，形成分级负责、协同联动的工作格局。坚持标本兼治，源头治理，既要集中整治现有风险，也要完善制度机制，提升在线医疗行业本质安全水平。1.3工作目标本次排查整治完成后，实现三类核心目标：风险隐患全面清零，完成在线医疗领域网络、数据、业务、供应链全环节风险排查，重大风险整改完成率达到100%，坚决杜绝重大网络安全事件、重大数据泄露事件和重大医疗安全事件发生。安全合规水平显著提升，平台运营者安全主体责任全面落实，安全管理制度和技术防护体系基本完善，所有在线医疗平台全部达到网络安全等级保护2.0三级及以上防护要求，医疗数据处理活动全流程符合国家法律法规要求。长效管理机制基本建立，形成主体自律、定期排查、监管抽查、应急响应、违法惩戒的闭环管理体系，推动在线医疗行业安全规范可持续发展。二、排查整治范围与对象2.1排查范围本次排查覆盖所有面向公众提供在线医疗服务的各类平台，具体包括：互联网医院依托的官方网站、移动应用APP、微信小程序、支付宝小程序等服务端口；第三方平台运营的在线问诊、远程会诊、线上处方、药品配送、健康管理、医学咨询等在线医疗服务系统；医疗机构与第三方机构合作开展的各类在线医疗服务项目；存储、处理医疗健康数据的云平台、本地数据中心等基础设施。2.2排查对象本次排查整治的对象分为三类：取得互联网医院资质，直接开展在线医疗服务的医疗机构；独立取得相关资质，提供在线医疗服务的第三方互联网科技平台；为在线医疗平台提供技术支持、数据处理服务的信息技术服务商、第三方合作机构。三、排查整治核心内容3.1网络与基础设施安全排查3.1.1网络架构与边界安全排查内容包括：核心业务区域与公共访问区域是否实现逻辑隔离，边界是否部署防火墙、入侵检测/防御系统、Web应用防火墙等安全防护设备；防护设备规则是否定期更新，是否开启异常流量监测和攻击告警功能；网络访问日志是否全量留存，留存时间是否不低于6个月；是否存在未授权访问端口、弱口令、默认账号等公开可利用的安全漏洞；是否定期开展漏洞扫描和渗透测试。3.1.2云服务安全使用第三方云服务存储医疗数据的平台，需排查：云服务商是否具备相应的安全资质，是否通过网络安全等级保护认证；是否签订专门的数据安全协议，明确双方数据安全责任；医疗数据存储是否符合本地化要求，核心数据是否存储在境内合规云平台；是否对云实例、云存储进行定期漏洞排查，是否开启云安全防护服务，是否配置访问控制规则防止非法访问。3.1.3终端接入安全排查：医护人员使用的办公终端、移动接入设备是否统一安装恶意防护软件，是否定期进行病毒查杀；移动设备接入平台是否开启多因素身份认证，是否对接入设备进行安全合规检测；是否建立终端设备管理制度，禁止使用未授权设备接入核心业务系统；离职人员终端权限是否及时回收，是否存在账号遗留风险。3.2医疗数据与个人信息安全排查整治3.2.1数据收集合规性排查排查：数据收集是否遵循合法、正当、必要原则，是否存在超范围收集患者个人信息的行为，如强制收集通讯录、位置信息、设备识别码等与医疗服务无关的信息；是否向用户明确告知数据收集的目的、方式、范围和用途，是否获得用户明确同意，授权是否可随时撤回；隐私政策是否清晰易懂，是否存在模糊免责条款，是否突出提示敏感数据收集规则。3.2.2敏感数据保护排查患者诊疗信息、身份信息、生物特征信息等敏感医疗数据，排查：是否采用加密算法进行存储，传输过程是否开启端到端加密；是否按照要求开展数据分类分级，对核心数据、重要数据是否实施专项保护；是否违规向第三方共享、售卖患者信息，向第三方共享数据是否获得用户单独同意，是否签订数据共享协议明确安全责任；数据出境是否经过安全评估，是否存在未经审批违规向境外提供医疗数据的行为。3.2.3数据全生命周期管理排查排查：是否建立数据备份与恢复机制，是否定期开展备份恢复演练，是否具备应对勒索软件攻击的恢复能力；过期数据、淘汰存储介质中的数据是否按照规范进行安全销毁，是否存在数据残留风险；是否建立数据安全审计机制，对敏感数据的访问、下载、导出操作是否全程留痕，是否能够及时发现异常数据操作行为。3.3业务应用与服务安全排查3.3.1应用系统安全排查排查：在线医疗平台的网站、APP、小程序是否定期开展漏洞扫描，发现的高危漏洞是否及时修复；是否按照要求完成网络安全等级保护测评，等级保护测评发现的问题是否全部整改完成；是否存在未公开的测试接口、后门账号，是否对上线应用进行安全加固；应用商店上架的APP是否合规，是否存在篡改、盗版应用分流的情况。3.3.2身份认证与权限管理排查排查：用户注册、登录是否落实身份实名认证，医生账号是否全部完成执业资质核验；账号权限是否遵循最小权限原则，是否存在越权访问其他用户数据的风险；是否建立账号管理制度，离职医护人员、离职工作人员账号是否及时注销；是否开启会话超时自动退出机制，是否支持多因素认证提升账号安全性，防止账号盗用。3.3.3医疗服务合规性排查排查：平台是否取得合法开展在线医疗服务的资质，是否存在无资质违规开展互联网诊疗的行为；在线问诊是否由具备合法执业资质的医师开展，是否公示医师资质信息，是否存在冒用医师资质开展服务的行为；处方开具是否符合规范，是否建立处方药师审核制度，是否违规开具麻醉、精神等特殊管理药品，是否违规销售处方药；是否存在虚假医疗广告、虚假诊疗宣传等违法违规行为，是否违规将患者信息用于商业营销推广。3.4供应链与第三方合作安全排查3.4.1第三方服务商资质排查排查：所有为在线医疗平台提供服务的第三方技术服务商、数据服务商是否具备相应的安全资质，是否存在违法违规记录；合作协议是否明确约定安全责任，明确数据安全、网络安全的权责划分；是否建立第三方服务商准入审核机制，对服务商的安全能力进行评估审核。3.4.2供应链风险排查排查：第三方接入平台的权限是否进行最小化限制，是否获取超出业务需求的患者数据访问权限；是否定期对第三方服务系统进行安全评估，是否存在第三方系统漏洞传导至平台核心业务的风险；是否建立第三方服务商退出机制，服务商终止合作后是否及时回收所有访问权限，完成数据交接和销毁。3.5安全管理与应急能力排查3.5.1安全管理制度排查排查：是否设立专门的网络安全和数据安全管理机构，是否明确主要负责人作为第一责任人，是否配备专职安全管理人员；是否建立健全网络安全、数据安全、个人信息保护等管理制度，是否明确各岗位安全职责；是否定期对管理人员、技术人员、医护人员开展安全合规培训。3.5.2应急管理能力排查排查：是否制定针对数据泄露、勒索病毒攻击、系统宕机等安全事件的专项应急预案；是否定期开展应急演练，每年应急演练不少于1次，演练后是否对应急预案进行优化完善；是否建立7*24小时应急值守制度，是否明确安全事件上报流程，是否存在瞒报、漏报安全事件的情况。四、实施步骤4.1部署动员阶段自本方案印发之日起15个工作日内，完成部署动员工作。各级卫生健康部门牵头，会同网信、工信、公安、市场监管等部门召开动员部署会议，明确排查整治任务和要求。各在线医疗平台成立内部排查整治工作组，结合自身实际制定具体实施方案，组织内部培训，落实工作责任。4.2自查自改阶段部署动员完成后30个工作日内，各平台完成全面自查自改。各平台对照本方案明确的排查内容，逐项开展自查，建立《风险隐患清单》《整改责任清单》《问题销号清单》三个台账，按照风险等级分类推进整改：重大风险：包括未加密存储敏感医疗数据、存在公开可利用的高危漏洞、违规出境医疗数据等，要求7个工作日内完成整改，整改完成前暂停相关风险服务；较大风险：包括制度不完善、权限配置不合理等，要求15个工作日内完成整改；一般风险：包括安全培训不到位、日志留存不规范等，要求30个工作日内完成整改。自查自改完成后，各平台向属地卫生健康部门提交正式自查整改报告。4.3集中排查整治阶段自查自改结束后20个工作日内，各级监管部门完成集中排查整治。监管部门组成联合检查组，对辖区内在线医疗平台进行抽查，抽查比例不低于30%，对用户规模超过10万、曾发生过安全事件、自查问题较多的平台进行全量检查。对检查发现的问题，下达整改通知书，明确整改时限；对存在违法违规行为的平台，依法依规予以处罚；对拒不整改或者整改不到位的，依法暂停相关服务，直至吊销相关资质。4.4总结巩固阶段集中排查整治结束后10个工作日内，完成总结巩固工作。各级监管部门汇总本辖区排查整治情况，总结经验做法，分析存在的共性问题，完善监管措施，建立健全在线医疗安全长效监管机制。各平台对照监管检查意见，完善内部安全管理制度，优化安全防护体系，持续提升安全能力。五、隐患整改台账示例隐患等级隐患类型隐患描述整改要求责任部门/人完成时限整改状态重大数据安全患者诊疗信息未加密存储7日内完成全量敏感数据加密改造技术部张XX202X.X.X整改中较大系统安全核心平台存在SQL注入高危漏洞3日内完成漏洞修复并复测运维部李XX202X.X.X已完成一般制度建设未建立年度应急演练制度1个月内组织首次演练并固化制度安管部王XX202X.X.X未开始较大合规管理超范围收集用户通讯录信息10日内移除非必要收集权限并更新隐私政策产品部赵XX202X.X.X整改中六、责任分工6.1监管部门责任卫生健康部门牵头统筹本辖区在线医疗平台安全排查整治工作，负责医疗服务合规性的行业监管，组织协调联合检查，汇总报送工作情况。网信部门负责统筹网络安全、数据安全和个人信息保护监管，依法查处违法违规收集使用个人信息的行为。工业和信息化部门负责互联网行业管理，督促在线医疗平台落实网络安全防护责任。公安机关负责依法打击网络攻击、数据泄露、非法买卖医疗信息等违法犯罪活动。市场监督管理部门负责查处虚假医疗广告、违法经营等行为。6.2平台主体责任在线医疗平台运营者是安全排查整治的第一责任人，平台主要负责人是第一责任人，负责组织开展本单位的自查自改，落实各项整改要求，保障安全投入，建立健全内部安全管理制度，持续提升安全防护能力。6.3合作机构责任第三方合作机构、服务商对自身提供的服务和数据安全负责，配合平台运营者开展安全排查，落实整改要求，及时修复自身系统存在的安全隐患，严格遵守数据安全相关约定。七、工作要求7.1全面排查，不留死角所有纳入排查范围的在线医疗平台必须全部开展排查，不得瞒报、漏报风险隐患，不仅要排查核心业务系统，也要排查第三方合作业务、边缘业务和后台管理系统，确保覆盖所有环节和所有风险点。7.2立查立改，确保实效对排查发现的风险隐患，必须建立台账，明确整改责任人和整改时限，整改完成一个销号一个，对重大风险必须立即整改，严禁带着风险运行，严禁虚假整改、纸面整改。7.3严格执法，强化震慑监管部门对排查发现的违法违规行为，必须依法严肃查处，公开曝光典型案例，对问题严重、屡改屡犯的平台，纳入行业信用黑名单，实施联合惩戒，形成有效震慑。7.4规范报送，如实填报各单位要按照要求按时报送自查报告、整改报告，报送内容必须真实准确，不得弄虚作假，不得隐瞒问题，监管部门对报送信息的真实性进行抽查核实。八、长效保障措施8.1建立定期排查机制要求在线医疗平台每季度开展一次内部安全风险排查，每年开展一次全面安全评估和网络安全等级保护测评，监管部门每年组织一次联合抽查，及时发现处置新增风险隐患，实现风险动态清零。8.2提升技术防护能力鼓励在线医疗平台部署零信任访问架构、数据泄露防护系统、异常流量监测系统，对敏感医疗数据实现全流程加密和动态防护，定期开展威胁狩猎和渗透测试，主动发现潜在安全风险，提升主动防护能力。8.3加强人员安全培训在线医疗平台每年至少组织