医院信息安全管理制度

医院信息安全管理制度医院信息安全管理工作严格遵循《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国基本医疗卫生与健康促进法》《医疗卫生机构网络安全管理办法》《网络安全等级保护条例》《健康医疗数据安全指南》等法律法规及行业标准要求，以“安全第一、预防为主、分级管控、全员参与”为基本原则，以保障医疗业务连续稳定运行、保护患者敏感信息合法权益、维护医疗数据资产安全、防范化解各类网络安全风险为核心目标，构建覆盖物理环境、网络通信、系统应用、数据资产、终端接入、人员行为全维度的纵深防御体系，覆盖信息系统规划、建设、运行、运维、下线的全生命周期，覆盖所有接入医院网络的人员、设备、系统、数据，明确各层级安全责任，落实最小权限、分级授权、全程审计管控要求，坚决遏制数据泄露、网络攻击、系统中断、恶意篡改、违规操作等各类信息安全事件发生，为医疗服务、教学科研、运营管理提供安全可靠的信息化支撑。医院建立三级信息安全责任体系，成立由院长担任主任委员，分管信息化、医疗业务、安全保卫工作的副院长担任副主任委员，信息科、医务科、护理部、门诊部、财务科、人事科、纪检监察室、保卫科、医保科、院感科、教学科研科及各临床医技科室主要负责人为成员的信息安全管理委员会，作为全院信息安全工作的最高决策机构，每季度固定召开一次信息安全工作例会，审议信息安全年度工作规划、经费预算、制度修订、重大风险处置方案，统筹协调跨部门信息安全协同事项，对发生的重大信息安全事件牵头开展调查、追责与整改；遇重大安全风险、突发安全事件可临时召开专题会议，第一时间研究部署处置措施。信息科作为信息安全工作的牵头执行部门，单独设立信息安全管理岗位，配备不少于2名持有注册信息安全专业人员（CISP）、网络安全等级保护测评师等对应资质的专职信息安全管理员，明确岗位分离要求，系统运维岗、安全审计岗、数据管理岗权限互不交叉，系统运维人员负责业务系统、服务器、网络设备、终端设备的日常运行维护，安全审计人员独立负责操作日志留存、异常行为追溯、合规性检查，数据管理人员负责数据备份、数据授权、数据脱敏等工作，各岗位人员不得越权操作、不得替代其他岗位履行职责。各临床医技科室、行政后勤科室设立兼职信息安全员，由科室副职或具备一定信息系统操作能力的骨干人员兼任，负责本科室信息安全日常督促、终端设备管理、安全事件第一时间上报、科室人员安全行为提醒，科室主要负责人为本科室信息安全第一责任人，对本科室信息安全工作负总责。全院所有在岗职工均为自身信息安全行为的直接责任人，对本人系统账号下的所有操作、本人接触到的敏感信息承担直接安全责任。纪检监察室负责对信息安全工作中的履职不力、违规操作、失职渎职、泄露信息等问题开展执纪问责；保卫科负责配合信息科开展机房物理安全防护、可疑人员排查、安全事件现场秩序维护；财务科负责将信息安全建设、运维、应急演练、培训教育、整改加固的专项经费纳入年度预算，保障经费足额、及时拨付，确保信息安全投入不低于年度信息化总投入的15%；人事科负责将信息安全履职情况纳入员工年度绩效考核、职称评定、岗位聘用的考核指标，在员工入职、岗位调整、离职环节同步联动信息科完成账号权限开通、调整、注销流程；医务科、护理部负责将信息安全操作规范纳入医护人员三基培训、医疗质量管理、医师定期考核范畴，督导临床岗位严格落实诊疗过程中的患者信息保护要求；教学科研科负责督导科研教学场景下的医疗数据使用安全，严格审核科研数据申请流程，防范科研环节的数据泄露风险。所有为医院提供信息系统建设、运维、技术支持、设备维保的第三方合作单位，在签署服务合同的同时必须签订具备法律效力的信息安全保密协议，明确服务人员的保密义务、权限范围、安全责任，列明违约追责条款，所有第三方服务人员进场前必须提供身份证明、无犯罪记录证明，接受医院信息安全培训并签署保密承诺书，开展系统操作、维护时必须由医院专职管理员全程旁站监督，严禁未经授权擅自接入医院网络、拷贝数据、更改系统配置，所有第三方人员的操作记录全程留痕，服务结束后立即回收其所有系统访问权限。医院实行全量信息资产动态台账管理，由信息科牵头每季度开展一次全覆盖的资产盘点排查，逐一登记资产名称、资产类型、IP地址、物理位置、责任主体、上线时间、维保期限、安全防护等级，资产范围覆盖所有物理硬件资产（服务器、交换机、路由器、防火墙、存储设备、终端电脑、打印机、移动查房车、护理PDA、自助服务终端、联网医疗设备自带的通信模块、物联网感知设备）、软件资产（HIS系统、EMR电子病历系统、LIS检验系统、PACS影像系统、RIS放射信息系统、互联网医院平台、预约挂号系统、医保结算系统、电子健康档案系统、财务核算系统、人事管理系统、OA办公系统等所有业务类、管理类信息系统，以及操作系统、数据库、中间件、商用正版软件、使用的开源组件）、数据资产（所有在医院信息系统中生成、存储、传输、处理的文字、图像、音频、视频、结构化字段等各类信息），资产台账实行动态更新机制，新设备上线、老旧设备下线、资产位置或责任主体变更时，要在24小时内完成台账信息更新，确保账实相符、无遗漏、无盲区。按照网络安全等级保护要求对信息资产实施分级防护，承载核心诊疗业务、存储大量患者敏感信息的HIS、EMR、电子健康档案、互联网医院平台等系统定为三级等保保护对象，按照三级等保要求落实防护措施，一旦遭到破坏会对医疗秩序、患者合法权益、公共利益造成严重损害；预约挂号、OA办公、后勤管理等非核心业务系统定为二级等保保护对象，按照二级等保要求落实防护措施；测试系统、临时终端、公开信息发布平台等定为一般资产，落实基础防护措施。按照健康医疗数据分级规范对所有数据实施分级管控，将数据划分为核心数据、重要数据、一般数据三个等级，核心数据包括涉及国家生物安全的传染病疫情直报数据、大规模人群基因测序数据、生物识别信息、突发公共卫生事件应急处置相关的涉密数据、医院核心运营管理涉密数据，这类数据原则上禁止对外提供，访问时需经信息安全管理委员会双人审批，存储在物理隔离的专属存储区域；重要数据包括患者的电子病历记录、诊疗信息、检验检查结果、个人身份信息、联系方式、医保结算信息、医院运营财务数据、医疗质量核心指标数据，这类数据的访问严格落实最小必要原则，所有操作全程审计；一般数据包括医院公开发布的出诊信息、健康科普内容、非敏感的公开统计数据，这类数据可按照信息公开流程面向社会发布。核心业务系统采用双活数据中心部署模式，核心数据严格落实“3-2-1”备份策略，即留存3份数据备份、采用2种不同存储介质、1份备份数据存储在异地灾备中心，备份数据留存期限严格符合《医疗机构病历管理规定》要求，门（急）诊电子病历备份留存不少于15年，住院电子病历备份留存不少于30年，每月开展一次备份数据恢复验证演练，确保备份数据完整可用，避免出现备份失效、数据无法恢复的问题。医院中心机房建设严格符合《数据中心设计规范》B级以上标准，选址避开建筑物顶层、地下室、用水设备下层区域，设置独立的防火分区，配备七氟丙烷气体灭火系统、烟感温感双路报警装置、精密空调系统、温湿度实时监测模块、UPS不间断电源，UPS设备满负荷续航时间不低于4小时，配套备用柴油发电机接口及自动切换装置，保障长时间断电场景下核心业务系统连续运行，机房内部温湿度稳定控制在22℃±2℃、相对湿度50%±5%区间，机房内严禁饮食、严禁堆放无关杂物，安排专人每日巡查机房温湿度、供电、消防设备状态，做好巡查记录。机房实行严格的物理出入管控，入口部署人脸识别+门禁卡双重验证装置，仅授权的专职机房运维人员可通过验证进入，所有外部人员进入机房必须提前1个工作日提交申请，注明进入事由、进入时间、陪同人员，经信息科负责人审批后方可进入，进入前需寄存个人手机、移动存储设备、智能穿戴设备及携带的液体、易燃易爆物品，由机房管理员全程陪同进出，出入时间、人员信息、事由详细登记在册；机房内部部署无死角视频监控系统，监控记录留存时间不少于90天，监控区域覆盖所有设备机柜、出入口、操作区，不存在监控盲区。机房内部实行功能分区隔离，划分为核心设备区、网络设备区、安全设备区、运维操作区、备份介质存放区，不同区域之间设置物理隔离护栏，非授权人员不得进入核心设备区；备份介质存放区满足防火、防水、防潮、防磁、防盗要求，所有存储敏感数据的硬盘、磁带、加密存储介质出入库履行严格登记手续，报废存储介质必须经过消磁、物理粉碎流程，由信息科、保卫科、纪检监察室人员共同监督销毁过程，严禁未经处理的报废存储设备、存储介质流入二手市场。分散在各临床科室、门诊区域的终端设备、自助服务终端、移动医疗设备，由所在科室负责物理安全防护，严禁随意挪动设备位置、私自拆解设备、外接非授权设备，自助服务终端配备防拆报警装置，一旦发生非法拆解、暴力破坏情况，自动向保卫科、信息科推送报警信息及实时位置，第一时间安排人员到场处置。医院网络按照“分区防护、横向隔离、纵向认证”的原则进行域划分，分为核心业务区、办公管理区、互联网接入区、医疗物联网区、第三方接入区、DMZ区，不同区域之间通过下一代防火墙配置精细化访问控制策略，默认拒绝跨区域未授权访问，仅开放业务必需的端口与访问权限，严禁互联网接入区直接访问核心业务区的数据库服务器，第三方接入区仅能访问指定的业务系统对接端口，禁止横向穿透访问其他网络区域。互联网出口采用多运营商链路冗余备份，部署抗DDoS攻击设备、Web应用防火墙、入侵检测防御系统、上网行为管理系统、全流量分析系统，对所有进出医院网络的流量进行实时监测，自动识别并阻断SQL注入、跨站脚本攻击、勒索病毒传播、异常大流量数据外发、恶意代码通信等行为。无线网络实施单独VLAN隔离，划分为医护工作无线与患者公共无线两个完全物理隔离的网络，医护工作无线采用WPA3加密协议，接入时必须通过工号+动态验证码+终端MAC地址白名单三重认证，禁止非工作终端接入工作无线网络；患者公共无线网络与医院内部业务网络完全物理断开，用户接入时必须通过手机号实名认证，上网日志留存时间不少于6个月，满足网络安全法日志留存要求。远程接入实行严格白名单管控，原则上禁止直接将内网业务系统端口暴露在公网，因紧急运维、居家办公等特殊需求必须远程接入的，统一采用SSLVPN加密通道接入，接入时落实多因素认证要求，即账号密码+短信验证码+硬件UKey三重验证，接入后仅能访问工作必需的最小范围系统资源，所有远程接入操作全程录屏审计，严禁使用微信、QQ、向日葵、TeamViewer等非合规第三方远程工具直接接入医院内网。所有网络设备关闭不必要的开放端口、闲置服务，修改设备初始默认口令，设置符合复杂度要求的登录口令，口令长度不低于12位，包含大写字母、小写字母、数字、特殊字符四类字符，每90天强制更换一次，设备配置文件定期备份，每次配置变更必须履行审批流程，详细记录变更原因、变更内容、变更时间、操作人员，严禁未经审批随意更改网络路由、访问控制策略，安排专人每天巡检核心网络设备运行状态，监测CPU、内存、端口流量指标，及时发现设备运行异常隐患。所有信息系统建设严格落实网络安全“三同步”要求，即同步规划安全防护体系、同步建设安全防护设施、同步开展安全测评并投入使用，系统上线前必须开展代码审计、漏洞扫描、渗透测试，三级等保系统每年委托具备资质的第三方测评机构开展一次等级测评，二级等保系统每两年开展一次等级测评，测评发现的高、中危风险点必须在规定时限内完成整改，整改通过后方可正式上线运行。系统账号管理严格落实“实名制、一人一账号、最小权限”要求，严禁多人共用同一系统账号，严禁转借账号密码供他人使用，实习生、进修生需使用系统开展临床工作的，必须由带教老师提交临时账号申请，明确使用期限、权限范围，由带教老师对临时账号的所有操作行为承担监管责任，严禁带教老师将个人账号直接交由实习生、进修生使用；员工入职时由人事科同步推送人员信息至信息科，根据员工所在岗位的实际工作需求匹配对应系统权限，杜绝权限过度分配；员工岗位调整时，人事科要在24小时内将岗位变动信息推送至信息科，及时调整其系统访问权限，收回原岗位的非必要权限；员工离职时，人事科在办理离职手续前同步触发账号注销流程，第一时间关停其所有系统访问权限，回收对应的硬件UKey、终端设备。系统管理员、数据库管理员等特权账号实施“双人双锁、临期授权”管控模式，账号密码由信息科负责人、安全管理员分别保管分段密码，日常状态下特权账号处于封存状态，需使用特权账号开展运维操作时，必须提交权限使用申请，注明使用事由、操作时长、操作范围，经信息科负责人审批后由两名管理人员共同输入密码临时开启权限，操作过程全程审计，操作结束后立即更换账号密码。所有服务器、网络设备、数据库的运维操作必须通过专用堡垒机跳转开展，禁止运维人员通过本地终端直接连接核心生产设备，堡垒机对所有运维操作进行全量日志记录、全程屏幕录制，日志和录屏资料留存时间不少于6个月。每季度开展一次全量系统漏洞扫描，对发现的高危漏洞在72小时内完成补丁修复或部署虚拟补丁防护策略，每年委托具备资质的第三方安全机构开展一次全方位渗透测试，对发现的系统逻辑漏洞、权限绕过漏洞、未授权访问漏洞建立台账销号整改；所有终端、服务器统一部署终端检测与响应系统（EDR）、防病毒软件，病毒库实时更新，对接入内网的移动存储设备实行强制病毒查杀，未经查杀的存储设备禁止接入内网终端；部署邮件安全网关，对所有进入医院邮箱系统的邮件进行病毒查杀、钓鱼链接识别、恶意附件拦截，定期开展钓鱼邮件模拟演练，提升员工对钓鱼邮件的识别能力。数据采集环节严格遵循“合法、正当、必要”原则，所有采集患者个人信息、诊疗信息的行为必须符合诊疗服务实际需求，明确告知患者信息采集的用途，严禁超范围采集与诊疗服务无关的患者信息，不得强制要求患者提供社交账号、财产信息等非必要信息作为就诊前提。数据存储环节对存储敏感个人信息的数据库实施透明加密，对患者身份证号、手机号、家庭住址、银行卡号等敏感字段采用国密SM4算法进行脱敏加密存储，严禁明文存储患者敏感信息，数据库开启全量审计功能，对所有数据查询、导出、修改、删除操作记录操作人账号、操作时间、操作IP、涉及数据范围、操作结果，禁止未开启审计功能的数据库上线运行。数据传输环节，所有在公网传输的医疗数据必须采用TLS1.3及以上版本的加密协议传输，严禁明文传输敏感数据，院内不同系统之间的数据接口采用接口鉴权、签名校验、时间戳防重放机制，防止数据在传输过程中被窃听、篡改、伪造。数据使用环节严格控制数据查询、导出权限，临床医护人员因诊疗需要查询患者信息时，仅能查询本人接诊、本人管辖范围内的患者信息，严禁出于诊疗以外的目的查询非管辖患者的就诊信息，严禁利用职务便利查询公众人物、熟人、纠纷对象的非诊疗必需信息；因科研教学、政策研究、统计分析需要批量导出医疗数据的，必须提交正式数据使用申请，明确数据用途、使用期限、涉及字段范围、安全保障措施，经科室负责人、医务科/教学科研科、信息科、分管副院长逐级审批后，由数据管理人员按照最小必要原则对数据进行脱敏处理，隐去可直接识别患者个人身份的信息，按照审批的字段范围提供数据，数据使用人与医院签订数据安全承诺书，严禁将获取的数据用于申请用途以外的场景，严禁私自向第三方提供、售卖数据，使用期限届满后彻底删除所有留存的数据并提交删除佐证材料。严禁任何个人私自拷贝、截取、外传患者诊疗信息，严禁将医疗数据存储在个人电脑、个人网盘、私人移动存储设备中，严禁通过微信、QQ、个人邮箱等非加密即时通信工具传输涉及患者隐私的诊疗数据、工作涉密信息。数据对外提供环节，因疫情防控、医保结算、公共卫生事件处置等法定职责需要向卫生健康行政部门、医保部门、疾控机构提供数据的，严格按照法定程序执行，采用加密专线传输数据，明确数据使用范围，对接收方的数据安全防护能力进行核验；商业机构、非法定履职单位申请获取医院医疗数据的，必须经医院信息安全管理委员会集体审议通过，签订正式的数据共享安全协议，明确双方安全责任，对提供的数据进行最大化脱敏处理，严禁提供可直接识别特定自然人的敏感数据。数据销毁环节，对超过法定留存期限、无继续保存价值的数据，以及报废设备上存储的数据，采用符合国家保密标准的覆写、消磁、物理粉碎方式进行彻底销毁，确保数据无法被恢复，销毁过程由信息科、纪检监察室人员共同监督，详细记录销毁时间、销毁对象、销毁方式、监督人员，留存销毁记录。所有接入医院内网的终端设备必须纳入统一终端安全管理平台，安装终端安全管理客户端、防病毒软件，未安装安全客户端的设备通过网络准入系统自动阻断接入内网；所有工作终端设置开机登录口令，屏幕保护自动锁定时间不超过5分钟，离开工位时必须手动锁定屏幕，严禁在工作终端上安装来源不明的破解软件、与工作无关的软件，严禁开启蓝牙、红外等非必要传输功能；确因工作需要使用移动存储设备传输数据的，统一使用医院配发的硬件加密U盘，加密U盘实行专人专用，设置独立访问口令，严禁在内网终端和互联网终端之间交叉使用移动存储设备。移动查房车、护理PDA等移动医疗终端统一纳入设备管理平台，设置设备开机密码，定期推送系统安全补丁，建立设备丢失快速响应机制，一旦设备丢失，使用人员要第一时间上报信息科，通过管理平台远程锁定设备、擦除设备上存储的所有诊疗数据，防止数据泄露。员工自带设备原则上禁止接入医院内部业务网络，因特殊工作需要接入的，必须提前在信息科登记备案，安装移动终端管理客户端，接受安全策略管控，设备设置强开机密码，工作数据存储在加密隔离区域，设备丢失、报废时要彻底擦除所有与工作相关的数据。门诊区域的自助服务终端定期开展安全检查，物理封闭不必要的USB接口、外接端口，防止被非法接入设备窃取数据，终端屏幕展示、纸质报告单打印的患者信息按规范进行脱敏处理，身份证号、手机号字段保留前后各1位、中间字段以星号替代，操作结束后10秒内自动清除屏幕上的患者信息，防止后续就诊人员看到他人就诊记录。医院制定分层分类的信息安全应急预案体系，覆盖网络大面积中断、核心系统故障、数据泄露、勒索病毒攻击、机房火灾、长时间断电等各类场景，预案明确应急组织架构、处置流程、责任人员、业务恢复时限、跨部门联络机制，针对HIS、EMR等核心诊疗业务系统，明确恢复时间目标（RTO）不超过2小时，恢复点目标（RPO）不超过15分钟，配套手工转单、人工开方、手工计价等业务兜底流程，确保系统中断时门诊、住院诊疗秩序不受严重影响。每半年组织一次专项应急演练，每年至少组织一次覆盖多部门、多场景的实战化信息安全应急演练，模拟勒索病毒感染核心服务器、大规模数据非法窃取、网络光纤中断、机房断电等真实场景，检验应急预案的实用性、人员响应的及时性，演练结束后开展复盘评估，针对发现的流程漏洞、响应滞后、协同不畅等问题及时修订预案。建立7*24小时安全监测值班制度，信息科安排专职安全管理员24小时值守安全运营平台，对网络流量、系统运行状态、安全告警信息进行实时监测，按照事件分级标准开展处置：一般安全事件（如单个终端感染非恶意插件、个别终端出现弱口令、非核心系统单点告警）由值班管理员在1小时内处置完毕，记录处置过程；较大安全事件（如局部科室网络中断、单个非核心业务系统故障、少量数据非授权访问）由信息科负责人牵头组织处置，4小时内恢复业务正常运行，溯源事件发生原因；重大安全事件（如核心业务系统瘫痪超过1小时、大规模患者数据泄露、核心服务器感染勒索病毒、遭受大规模DDoS攻击影响正常医疗秩序）第一时间启动一级应急响应，由信息安全管理委员会主任委员统一指挥调度，各部门协同处置，第一时间采取网络隔离、断网等措施防止风险扩散，同步按照《网络安全事件报告管理办法》要求，在规定时限内向属地卫生健康行政部门、网信部门、公安部门上报事件情况，严禁迟报、瞒报、漏报。事件处置结束后7个工作日内形成完整的事件调查报告，明确事件原因、影响范围、处置过程、损失情况、责任认定、整改措施，对责任人员按照医院规定进行追责，针对暴露的安全短板及时完善防护策略，防止同类事件重复发生。建立分层分类的信息安全培训教育体系，新入职员工在入职培训阶段必须接受不少于4学时的信息安全专项培训，培训内容包括信息安全相关法律法规、医院信息安全管理制度、常见安全风险防范（钓鱼邮件识别、勒索病毒防范、账号口令管理、患者