医院信息安全管理制度(系列)

医院信息安全管理制度(系列)医院信息安全管理实行“谁主管谁负责、谁运行谁负责、谁使用谁负责”的三级责任体系，覆盖信息系统全生命周期、数据全流转环节、终端全应用场景，坚决防范网络攻击、数据泄露、系统宕机等各类安全事件，保障医疗服务连续性、患者信息保密性、诊疗数据完整性。第一级责任主体为医院信息安全领导小组，由院长、党委书记担任双组长，各分管副院长及信息科、医务科、护理部、门诊部、财务科、设备科、保卫科、人事科、宣传科、纪检监察室主要负责人为成员，主要承担信息安全顶层设计职责，每季度固定召开1次信息安全专题会议，审议年度信息安全预算投入、重大安全策略调整，每半年研判一次全院信息安全风险态势，发生重大安全事件时统一指挥应急处置，严格落实网络安全等级保护2.0三级建设要求，确保HIS、EMR、LIS、PACS、互联网医院、医保结算等核心业务系统安全合规，年度信息安全投入占全院信息化总投入比例不低于15%。第二级责任主体为信息科下设的专职信息安全管理团队，团队人员配备比例不低于全院信息化从业人员总数的20%，所有人员需持有CISP、CISSP、等保测评师等国家级信息安全资质证书后方可上岗，主要承担日常安全运维、漏洞排查处置、安全策略配置、安全事件溯源、全员安全培训、等保测评与密评落地、对接公安网安及卫健部门监管要求等具体职责，实行7*24小时值班值守制度，确保安全告警第一时间响应处置。第三级责任主体为各临床、医技、行政后勤科室设置的兼职信息安全员，由科室副主任或高年资主治医师以上人员担任，每个科室至少配备1名，主要承担科室内部信息安全日常督促、隐患上报、配合处置等职责，及时纠正科室人员账号转借、私接存储设备、随意传播患者信息等违规行为，第一时间上报科室内部发生的终端异常、数据泄露等安全事件。三级责任体系配套建立刚性责任追究机制，发生信息安全事件时按照“事件原因不查清不放过、责任人员不处理不放过、整改措施不落实不放过、相关人员不受教育不放过”的原则倒查全链条责任，对未造成严重后果的一般违规行为给予通报批评、绩效扣罚处理，对因管理失职导致重大数据泄露、系统长时间宕机影响医疗秩序的责任人给予岗位调整、党纪政务处分，对存在倒卖患者信息、恶意破坏信息系统等违法行为的人员，第一时间移送司法机关依法追究刑事责任。所有信息系统建设严格落实全流程安全管控，从立项、建设、上线、运行、迭代到下线的每个环节设置刚性安全准入门槛，未通过安全审核的环节一律不得进入下一流程。立项阶段，所有新建信息化项目不管是外购商业化系统还是自主开发业务模块，必须在立项报告中明确对应等级保护、密码应用、数据分级保护的具体安全需求，同步将安全建设费用纳入项目预算，未开展安全需求论证的项目一律不予提交院长办公会审议，不予安排项目预算。建设阶段，外购系统的合作厂商必须具备国家认可的信息安全服务资质，签订合同前同步签订安全保密协议，明确厂商对产品安全漏洞、后门风险的主体责任，严禁厂商在产品中预置隐蔽账号、恶意代码模块，所有交付的系统代码必须由具备资质的第三方机构开展安全审计，代码审计高危问题清零、中危问题整改率达到100%后方可进入测试环节；自主开发系统严格落实开发、测试、运维岗位三分离要求，开发人员一律不得直接访问生产环境，测试环境搭建使用完全脱敏的仿真数据，严禁直接复制真实诊疗数据、患者信息用于功能测试，代码编写过程中严格落实输入校验、权限控制、防注入等安全开发规范，每完成一个功能模块同步开展代码安全审核，从源头减少系统安全漏洞。上线阶段必须依次通过三项刚性检测：一是由具备资质的第三方测评机构开展等级保护预测评，确认系统安全防护能力符合三级等保要求；二是由医院专职安全团队开展漏洞扫描与渗透测试，确认系统存在的高危漏洞全部修复、中危漏洞修复率不低于95%，不存在可被利用获取核心数据、控制系统权限的高危风险；三是开展峰值压力测试，模拟门诊早高峰挂号缴费、医生集中开方、检查报告集中查询等最高并发场景，确保系统可承载日常峰值1.5倍的访问压力不卡顿、不崩溃，三项检测全部通过后方可安排正式上线。系统正式运行阶段，依托部署在核心网络节点的态势感知平台对所有服务器、网络设备、终端的访问流量开展7*24小时实时监测，对非工作时间批量导出患者数据、境外IP访问核心业务区、高频次尝试登录账号、异常外联等风险行为10秒内触发分级告警，专职安全员15分钟内完成告警核实与处置；每月开展一次全系统漏洞扫描，每季度组织一次内外部结合的渗透测试，每半年开展一次红蓝对抗攻防演练，对发现的安全漏洞建立闭环整改台账，明确整改责任人、整改时限，高危漏洞24小时内完成修复，中危漏洞72小时内完成修复，低危漏洞7个工作日内完成修复，整改完成后逐一复测确认漏洞闭环。系统迭代升级前，所有升级包必须先在测试环境完成功能验证与安全检测，确认无兼容性问题、无安全风险后，选择凌晨0点至4点的业务低峰期开展升级操作，升级前对核心业务数据完成全量备份，升级过程中安排技术人员全程值守，升级后逐一验证核心业务功能可用性，一旦出现异常第一时间启动回滚机制，避免影响正常诊疗秩序。系统下线阶段，制定详细的数据迁移与介质销毁方案，需要迁移至新系统的历史数据逐字段开展完整性校验，确保迁移后的数据可查询、可追溯；不再保留的存储介质严格按照涉密载体销毁要求，经过消磁、物理粉碎等不可恢复的方式处理，严禁未经安全处理就将存储设备报废、转售；下线系统第一时间切断所有网络连接，系统访问日志至少留存6个月备查，严禁私自删除系统运行与访问记录。医院所有数据严格按照敏感程度实施分级分类保护，对照国家卫生健康委数据分级规范划分为四个等级，一级为公开数据，包括门诊出诊信息、公开招聘公告、健康科普内容等可面向社会公开发布的信息；二级为内部管理数据，包括内部考勤信息、非涉密行政文件、一般运营统计数据等仅限医院内部对应岗位人员访问的信息；三级为敏感数据，包括患者普通就诊记录、诊疗方案、医疗费用明细等涉及患者就诊权益的信息；四级为核心敏感数据，包括患者身份证号、手机号、家庭住址、传染病史、精神疾病诊疗记录、基因检测信息、未成年人与孕产妇就诊信息、医院核心决策涉密内容、核心系统特权账号密码等需要最高等级防护的信息。数据采集环节严格遵循最小必要原则，仅采集开展诊疗服务、医保结算、公共卫生上报必需的信息，严禁超出诊疗需求过度采集患者职业、收入、婚姻状况等非必要信息，采集患者信息时明确告知信息使用范围与保护规则，取得患者知情同意，所有数据采集入口部署恶意代码过滤、输入校验防护，防范SQL注入、恶意脚本上传等攻击行为。数据存储环节，三级以上敏感数据全部采用经国家密码管理局认证的国密SM4算法进行透明加密存储，核心业务存储采用RAID冗余架构，本地数据中心实现数据实时备份，距离医院50公里以上的异地灾备中心实现每日增量备份、每周全量备份，备份数据保存期限严格符合《医疗机构病历管理规定》要求，门急诊病历数据留存时间不少于15年，住院病历数据留存时间不少于30年，每季度开展一次备份数据恢复测试，确保备份数据可用、可恢复，避免出现备份失效导致数据丢失的问题。数据使用环节严格落实权限最小化原则，结合岗位职责建立动态权限矩阵，临床医师仅可访问本人接诊、管床患者的诊疗信息，护理人员仅可访问本人负责护理单元患者的诊疗执行信息，财务人员仅可访问职责范围内的费用结算数据，不得跨范围查询患者诊疗记录，行政管理人员根据工作需要仅开通对应模块的数据访问权限，不得申请与岗位职责无关的数据访问权限；所有权限申请通过OA系统走正式审批流程，由科室负责人确认申请必要性、信息科安全岗审核权限范围、分管院领导审批后方可开通，临时权限设置最长不超过7天的有效期，到期系统自动收回权限；所有数据访问操作全程留痕，日志内容涵盖访问人账号、访问时间、访问IP地址、访问数据范围、具体操作类型（查看、导出、修改、删除），操作日志采用不可篡改的方式存储，留存时间不少于6个月，严禁任何人员删除、篡改访问日志。严格执行数据访问禁止性规定，严禁任何人员未经审批批量导出患者敏感数据，确因临床科研、公共卫生统计、政策研究需要导出数据的，必须提交正式申请，明确导出数据的范围、使用用途、存储方式、保存期限，经医务科、信息科、医学伦理委员会联合审批通过后，由信息科对导出数据进行脱敏处理，去除姓名、身份证号、手机号等可直接识别个人身份的信息后方可交付，数据使用方要签订保密承诺，严禁将导出的数据私自拷贝、传输给无关人员，严禁超范围使用数据；严禁通过微信、QQ、个人邮箱、私人云盘等公共互联网渠道传输患者敏感信息，工作需要跨科室传输数据的，必须使用医院统一部署的加密工作传输平台，传输过程全程加密；严禁在公开发表的论文、科普文章、宣传素材中出现可识别患者身份的信息，确需引用临床案例的必须取得患者书面知情同意，对所有身份识别信息做去标识化处理；除患者本人持有效身份证件查询、接诊医护因诊疗需要查询、公安司法机关持正式协查文书按流程查询外，严禁任何人员利用职务便利为亲友、熟人违规查询他人就诊记录，违规查询行为一经查实按照泄露患者信息严肃处理。数据对外共享与提供环节，向卫健、医保、疾控等监管部门报送数据的，必须通过专用数据专线采用加密方式传输，严禁通过公网邮箱、公共即时通讯工具报送敏感数据；与第三方科研、技术服务机构合作需要提供数据的，必须签订正式数据安全保密协议，明确数据使用范围、安全防护责任、违约赔偿条款，第三方机构不得超出约定范围使用数据，不得私自留存、转卖获取的医疗数据，所有提供的数据必须经过脱敏处理，涉及核心敏感数据对外提供的，必须提交院长办公会审议通过后报属地卫生健康主管部门备案，传输过程全程加密、全程留痕。数据销毁环节，对达到保存期限、不再需要留存的数据，由信息科、医务科、档案管理部门联合审核确认，报分管院领导审批后采用多次数据覆写、存储介质消磁粉碎等不可恢复的方式进行销毁，销毁过程安排双人全程监督，详细记录销毁数据的范围、时间、方式、监督人员，严禁任何人员私自删除、篡改、销毁诊疗数据。核心机房建设严格符合GB50174B级机房标准，选址在医院建筑二层以上区域，避开低洼易漏水、强电磁辐射、人员密集通行的位置，机房内部分为主机房、供电保障区、监控操作区三个独立区域，出入口部署指纹加人脸识别的双因素门禁系统，仅授权的机房运维人员可刷脸进入，所有进入机房的人员必须详细登记进出时间、进入事由、陪同人员，非运维人员进入机房必须经信息科主任审批，由专职运维人员全程陪同，严禁私自触碰机柜内的服务器、网络设备。机房内部署7*24小时视频监控系统，摄像头覆盖所有出入口、机柜区域，监控录像留存时间不少于90天，无监控盲区；配套部署环境监测系统，实时监测机房内温度、湿度、烟感、水浸状态，将温度稳定控制在22±2℃、湿度控制在50%±5%，一旦出现温度超标、烟雾报警、水浸告警等异常情况，系统自动向运维人员发送手机、短信多渠道告警，确保运维人员10分钟内到场处置。机房供电采用双路市电接入、UPS不间断电源、备用柴油发电机的三级保障模式，UPS电池满载续航时间不低于4小时，柴油发电机储备满足8小时以上满负荷运行的燃油量，定期开展供电切换演练，确保市电中断时核心业务系统持续运行不中断；机房消防采用七氟丙烷气体灭火系统，严禁在主机房区域部署水喷淋灭火装置，配套配备足够数量的手持式气体灭火器，每季度检查消防设备压力值与有效性，避免火灾风险。机柜全部实行上锁管理，服务器、交换机等设备固定安装在机柜内，所有线缆张贴清晰标签标识，严禁私拉乱接电源线、网线，设备带出机房必须履行登记审批手续，严禁私自将机房内的存储设备、服务器带出机房。各楼层弱电间由信息科统一管理，加装门锁，钥匙由专职运维人员保管，严禁无关人员进入弱电间，定期巡查弱电间内的网络设备、线缆状态，防止被私自接入非法设备、破坏网络链路。网络架构严格按照分区防护原则部署，将全院网络划分为核心业务区、行政办公区、医疗设备区、互联网出口区、DMZ服务区五个独立逻辑区域，区域之间部署下一代防火墙设置精细化访问控制策略，核心业务区仅开放业务必需的访问端口，禁止互联网地址直接访问核心业务区资源。互联网出口处串联部署入侵防御系统、防病毒网关、抗DDoS流量清洗设备，实时阻断网络攻击、病毒木马传播、钓鱼网站访问等风险流量，所有员工的互联网访问行为全程留痕，日志留存时间符合《网络安全法》要求，严禁访问涉诈、涉黄、涉赌及存在恶意代码的高风险网站。无线网络实行物理分网管理，内部工作无线网络与患者公共无线网络完全物理隔离，工作无线网采用802.1X认证机制，仅经过统一注册的工作终端可接入，严禁私人设备接入工作无线网络；患者公共互联网单独组网，与内部业务网络无任何链路连通，患者接入时实行实名认证，上网日志留存不少于6个月，符合公共无线上网安全管理要求。远程访问内部资源必须通过医院统一部署的SSLVPN接入，采用账号密码加USBkey/手机验证码的双因素认证机制，严禁任何人私自搭建向日葵、TeamViewer、拨号VPN等非法远程接入通道，确因厂商运维需要开通远程访问权限的，必须严格履行审批流程，明确访问有效时间、允许访问的资源范围，访问过程全程录屏，运维结束后立即断开连接、收回权限。所有联网医疗设备纳入统一安全管理体系，设备科采购CT、核磁、监护仪、输液泵等联网医疗设备时，将网络安全能力作为核心采购指标，严禁采购存在已知高危漏洞、不支持安全补丁升级的设备；设备接入内部网络前由信息科开展安全检测，划分独立的医疗设备网段，设置严格的访问控制策略，仅允许设备与对应的业务系统通信，严禁医疗设备直接访问互联网；设备上线后第一时间修改默认账号密码，定期开展设备漏洞扫描，协调厂商及时修复安全漏洞，防止医疗设备被非法控制影响诊疗安全。所有办公终端、医生工作站、护士工作站、自助服务设备、移动查房车、移动护理PDA全部纳入统一终端安全管理平台，严禁任何未注册的私人设备接入内部业务网络。所有终端统一安装杀毒软件、终端安全管理客户端，开启实时病毒防护、非法外联阻断、操作行为审计功能，严禁任何人私自卸载安全客户端、关闭安全防护策略；终端USB端口默认实行封禁管理，确因工作需要使用移动存储介质的，必须使用医院统一配发的硬件加密U盘，加密U盘实行专人专用，设置独立访问密码，一旦丢失第一时间上报信息科远程锁死、擦除盘内数据，严禁私人U盘、移动硬盘接入内部业务终端；终端登录执行强密码策略，密码长度不低于8位，包含数字、大小写字母、特殊字符三类以上组合，每90天强制更换一次，严禁使用工号、生日、连续数字等弱密码，终端设置自动锁屏机制，闲置5分钟后自动锁定屏幕，需输入密码解锁后方可继续使用；终端软件实行白名单管理，仅允许安装工作必需的授权软件，严禁私自安装来源不明的破解软件、游戏软件、非授权办公软件，软件安装由信息科通过终端管理平台统一推送，对私自安装非授权软件的终端自动执行断网处理，通知所在科室整改。针对勒索病毒等高发网络风险，所有服务器、终端默认关闭445、139、3389等高危端口，及时推送安装系统安全补丁，核心业务备份数据与生产网络实行物理隔离，避免备份数据被加密破坏，一旦发现终端感染勒索病毒，第一时间断开网络连接防止病毒横向扩散，立即启动应急响应流程，严禁私自插拔设备、尝试解密导致风险扩散。所有信息系统账号严格实行实名制管理，落实一人一号要求，严禁多人共用一个工作账号，严禁转借、出租个人账号供他人使用。人事科建立人员变动信息同步机制，员工岗位调整时，在岗位变动手续办结后24小时内将变动信息推送至信息科，由信息科及时调整对应账号的访问权限，确保权限与新岗位职责匹配；员工办理离职手续时，信息科在离职证明开具前注销其所有信息系统账号，收回全部系统访问权限，避免出现离职人员仍可访问内部系统的风险。系统管理员、数据库管理员、安全管理员三类特权账号严格实行三权分立机制，系统管理员仅负责系统运行配置，不得访问业务数据、修改安全审计策略；数据库管理员仅负责数据库运行维护，不得配置系统账号、篡改审计日志；安全管理员仅负责安全策略配置、日志审计，不得直接操作业务系统、修改业务数据。三类特权账号的密码由不同人员分别保管，密码长度不低于12位，包含数字、大小写字母、特殊字符四类组合，每30天强制更换一次，特权账号的所有操作全程录屏留痕，涉及核心配置修改、数据调整的操作必须执行双人复核机制，严禁一人独立完成核心特权操作，严禁使用特权账号开展日常办公。核心系统中的高风险操作，包括修改患者诊疗记录、调整医疗费用数据、批量查询患者信息、变更系统配置等，全部采用双因素认证机制，除账号密码验证外，必须通过USBkey或人脸识别验证后方可执行操作，相关操作记录永久留存，确保操作行为可追溯、可审计。建立账号季度巡检机制，信息科每季度对所有信息系统的账号、权限配置开展一次全面梳理，清理长期未登录的僵尸账号、超出岗位职责的冗余权限，对超过30天未登录的账号临时停用，发现共用账号、越权配置问题立即整改，整改结果纳入科室季度绩效考核。医院官方网站、公众号、视频号等对外发布平台由宣传科统一管理，部署Web应用防火墙防范网页篡改、SQL注入等攻击，发布内容实行双人审核机制，由撰稿人提交内容、科室负责人审核真实性、宣传科审核合规性、信息科检测安全风险后方可发布，严禁在对外发布内容中包含内部敏感信息、恶意链接。医院统一工作邮箱系统部署反垃圾邮件、反钓鱼邮件网关，对所有接收邮件进行病毒扫描、恶意链接检测，自动拦截携带宏病毒附件、伪装成上级部门通知的钓鱼邮件，定期开展全员钓鱼邮件模拟测试，引导员工识别钓鱼邮件风险，员工收到可疑邮件不得点击链接、下载附件，第一时间上报信息科处置，严禁使用工作邮箱注册与工作无关的商业平台账号。信息系统、医疗设备、运维服务等供应链合作方选择时，将安全能力作为核心评标指标，优先选择近三年未发生重大网络安全事件、具备完善信息安全管理体系的合作厂商，所有合作合同中必须明确安全责任条款，约定因厂商产品漏洞、人员违规导致的信息安全事件，由厂商承担全部法律责任与经济赔偿责任。建立厂商人员准入机制，所有厂商派驻医院开展开发、运维、设备调试的工作人员，必须提前1个工作日提交准入申请，明确工作内容、访问范围、工作时长，由对接业务科室签字确认、信息科审批后，分配最小范围的临时访问权限，临时权限与工作时长严格匹配，工作期间由医院对接人员全程陪同，严禁厂商人员私自接入内部网络、私自拷贝数据、私自操作核心业务系统，工作结束后第一时间收回临时访问权限。厂商交付的软硬件产品上线前必须开展全面安全检测，检测内容包括是否预置后门、是否存在隐蔽数据传输模块、是否存在已知高危漏洞，检测不通过的产品一律不得上线使用；后续软件升级包必须经过安全审计后方可部署到生产环境，硬件设备到货后逐一检查是否存在未声明的存储、通信模块，防止数据被私自外传。保洁、保安、护工等后勤服务人员同样纳入信息安全管理范围，由后勤管理部门、保卫科开展常态化信息安全提醒，严禁此类人员私自操作医生工作站、护士工作站，严禁随意翻看、拍摄纸质或电子病历资料，发现违规拍摄、传播患者信息的行为立即制止，情节严重的移交公安机关处理。建立分层分类的信息安全应急预案体系，制定全院信息安全总体应急预案，配套制定网络攻击处置、数据泄露处置、核心系统宕机处置、勒索病毒感染处置、机房故障处置等专项应急预案，明确事件分级标准：一级事件为HIS、EMR等核心业务系统宕机超过30分钟、批量泄露1000条以上患者核心敏感数据、全院范围感染勒索病毒影响正常诊疗秩序的事件，发生一级事件时信息科要在10分钟内上报信息安全领导小组，立即启动应急响应，同步通知门诊、住院、收费等业务窗口启动手工诊疗、手工结算备用方案，保障患者就诊秩序，4小时内上报属地卫生健康主管部门与公安网安部门，严禁迟报、瞒报、漏报；二级事件为单个业务系统宕机超过1小时、泄露100-1000条患者敏感数据、单个科室范围内发生病毒感染影响局部诊疗秩序的事件，由信息科牵头组织技术力量在2小时内恢复业务，事件处置完成后24小时内上报领导小组；三级事件为单个终端故障、泄露100条以下患者一般信息、发现未被利用的高危漏洞的事件，由专职安全员及时处置，做好处置记录。每半