医共体信息安全保障制度​

医共体信息安全保障制度第一章总则第一条为加强医共体信息安全管理，保障医疗服务、公共卫生、数据交互等业务的稳定运行，保护患者隐私、医疗数据及机构信息资产安全，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗保障基金使用监督管理条例》等法律法规，结合本医共体现状，制定本制度。第二条本制度适用于医共体成员单位（包括核心医院、乡镇卫生院、社区卫生服务中心、村卫生室等）及所有涉及医共体信息系统操作、维护、管理的人员，涵盖信息系统规划、建设、运行、维护、废弃等全生命周期。第三条信息安全保障工作遵循“预防为主、综合治理、责任明确、全员参与、动态调整”的原则，确保医共体信息系统保密性、完整性、可用性，防范信息泄露、系统瘫痪、数据篡改等安全事件。第四条医共体信息安全保障目标：建立健全信息安全管理体系，落实安全防护措施，提升应急处置能力，保障医疗业务连续开展，满足法律法规及行业规范要求，维护医共体及患者合法权益。第二章组织机构与职责第五条成立医共体信息安全领导小组（以下简称“领导小组”），由医共体负责人担任组长，核心医院分管副院长、各成员单位负责人、信息科、医务科、质控科、后勤保障科等部门负责人为成员。领导小组下设办公室，设在核心医院信息科，负责日常协调工作。第六条领导小组主要职责：（一）审定信息安全保障制度、发展规划及年度工作计划；（二）统筹协调信息安全资源配置，审批重大安全项目及经费；（三）组织开展信息安全风险评估，审议风险处置方案；（四）指挥协调重大信息安全事件应急处置工作；（五）定期召开信息安全工作会议，通报安全状况，部署工作任务。第七条核心医院信息科职责：（一）具体落实领导小组决策，制定信息安全管理制度、操作规程及技术规范；（二）负责医共体信息系统（包括硬件、软件、网络、数据等）的安全建设、运行维护及技术防护；（三）组织信息安全培训、宣传教育及应急演练；（四）监测信息系统安全状态，处置一般安全事件，上报重大安全事件；（五）定期开展信息安全检查、风险评估及合规性审计。第八条成员单位职责：（一）执行医共体信息安全管理制度及相关要求；（二）指定专人负责本单位信息安全管理工作，落实安全防护措施；（三）组织本单位人员参加信息安全培训，提高安全意识；（四）及时上报本单位发生的信息安全事件，配合处置工作；（五）协助开展信息安全检查及风险评估。第九条各业务科室职责：（一）严格遵守信息系统操作规范，规范使用医疗数据；（二）加强本科室人员信息安全教育，防范操作失误导致的安全风险；（三）发现信息系统异常或安全隐患，及时向信息科及本单位负责人报告；（四）配合信息安全检查、风险评估及事件调查工作。第十条从业人员职责：（一）学习并遵守信息安全管理制度及操作规程；（二）妥善保管个人账户及密码，不得转借他人或泄露；（三）规范操作信息系统，不进行未经授权的操作；（四）发现信息安全隐患或事件，立即报告科室负责人或信息科；（五）保护患者隐私，不得非法泄露、传播医疗数据。第三章信息系统安全管理第十一条信息系统建设安全管理（一）信息系统建设应符合国家及行业安全标准，在规划阶段同步制定安全方案，明确安全目标及防护措施；（二）采购信息系统软硬件产品时，应选择具有合法资质、安全性能达标的产品，优先采用国产自主可控技术；（三）系统开发过程中应进行安全测试，包括代码审计、渗透测试等，消除安全漏洞；（四）系统上线前需通过信息安全验收，验收不合格不得投入使用；（五）新建系统应与现有系统实现安全对接，避免引入新的安全风险。第十二条网络安全管理（一）医共体网络分为内部业务网、互联网、医疗专用网等，实行分区隔离管理，通过防火墙、网闸等设备实现区域间访问控制；（二）网络设备（路由器、交换机、防火墙等）应设置强密码，定期更换，启用日志审计功能，记录设备操作及访问情况；（三）内部业务网与互联网之间应采取严格的隔离措施，禁止未经授权的跨网数据传输；（四）接入网络的设备（计算机、服务器、移动设备等）需进行登记备案，未经批准不得接入；（五）定期对网络拓扑结构、设备配置进行检查，及时发现并修复网络漏洞，优化网络安全策略。第十三条服务器安全管理（一）服务器应根据功能进行分类部署（如数据库服务器、应用服务器、Web服务器等），实行最小权限原则配置；（二）服务器操作系统应安装安全补丁，关闭不必要的服务及端口，启用安全审计日志；（三）数据库服务器应采取加密存储、访问控制、备份恢复等措施，定期进行数据完整性校验；（四）服务器应安装防病毒软件、入侵检测系统（IDS）等安全软件，实时监测恶意行为；（五）定期对服务器进行安全扫描及漏洞修复，每年至少进行一次渗透测试。第十四条终端设备安全管理（一）所有接入医共体网络的终端设备（计算机、笔记本、移动设备等）需由信息科统一登记、编号、配置安全软件；（二）终端操作系统应开启自动更新功能，及时安装安全补丁，设置登录密码及屏保密码；（三）终端设备禁止安装未经授权的软件，禁止连接来历不明的存储设备，禁止私自更改网络配置；（四）移动设备（如平板电脑、智能手机）用于医疗业务时，需安装移动设备管理（MDM）软件，实现远程管控、数据加密、擦除等功能；（五）报废终端设备前，需由信息科进行数据清除处理，确保信息不被泄露。第十五条应用软件安全管理（一）医疗管理软件、电子病历系统、实验室信息系统（LIS）、影像归档和通信系统（PACS）等应用软件应符合《信息安全技术健康医疗数据安全指南》等标准；（二）应用软件开发商应提供安全维护服务，及时修复软件漏洞，定期推送安全更新；（三）禁止使用盗版软件或未经授权的应用软件，信息科定期开展软件合规性检查；（四）应用软件应实现操作日志记录功能，包括用户登录、数据查询、修改、删除等操作，日志保存期限不少于6个月；（五）定期对应用软件进行安全评估，重点检查权限管理、数据加密、审计跟踪等功能。第四章数据安全与隐私保护第十六条数据分类分级管理（一）根据数据敏感性及重要程度，将医共体数据分为核心数据（如患者身份信息、诊疗记录、基因信息等）、重要数据（如医疗质量数据、药品采购数据等）和一般数据（如公开宣传信息等）；（二）针对不同级别数据制定差异化安全策略，核心数据实行最高级别的保护措施，包括加密存储、严格访问控制、全程审计等。第十七条数据采集与存储安全（一）数据采集应遵循合法、必要原则，仅收集与医疗服务相关的信息，明确数据来源及用途；（二）患者数据采集前应征得患者同意，告知数据使用范围及保护措施；（三）核心数据及重要数据应采用加密技术存储，包括传输加密和存储加密，加密算法符合国家相关标准；（四）数据存储介质（如硬盘、U盘等）应妥善保管，定期检查存储设备状态，防止数据丢失或损坏。第十八条数据访问与使用安全（一）建立基于角色的访问控制（RBAC）机制，根据岗位需求为用户分配最小权限，实现“按需授权、权限分离”；（二）访问核心数据需进行多因素认证（如密码+动态口令），并记录访问日志，包括访问时间、人员、操作内容等；（三）严禁未经授权查阅、复制、下载患者数据，因工作需要使用数据时，需经科室负责人审批；（四）数据使用过程中应采取去标识化处理，在不影响数据分析的前提下，去除可识别患者身份的信息；（五）禁止将医疗数据用于与医疗服务无关的目的，不得向第三方泄露数据，确需共享的，需签订数据安全协议，明确双方责任。第十九条数据传输与共享安全（一）数据在医共体内部传输时，应采用加密传输方式（如SSL/TLS协议），确保传输过程中不被窃取或篡改；（二）与外部机构（如医保部门、上级卫生健康部门）进行数据共享时，应通过专用通道传输，严格验证对方身份及权限；（三）数据共享前需进行安全评估，明确共享范围、用途及安全措施，经领导小组审批后实施；（四）建立数据共享审计机制，记录数据共享的时间、内容、接收方等信息，定期核查共享数据的使用情况。第二十条数据备份与恢复（一）制定数据备份策略，核心数据实行“三地备份”（本地备份、异地备份、云端备份），重要数据实行“两地三中心”备份，一般数据至少进行本地备份；（二）备份频率：核心数据实时备份或每日备份，重要数据每周备份，一般数据每月备份；（三）备份数据应进行加密处理，定期进行备份恢复演练，确保备份数据的可用性，演练频率不少于每季度一次；（四）建立数据备份台账，记录备份时间、介质、存储位置等信息，备份介质异地存放时需采取安全运输措施。第二十一条患者隐私保护（一）严格遵守《中华人民共和国个人信息保护法》，将患者隐私保护贯穿数据全生命周期；（二）医务人员在诊疗活动中不得随意泄露患者隐私，禁止在公开场合谈论患者病情；（三）信息系统应设置隐私保护功能，如隐藏患者敏感信息（如身份证号、联系方式等），需授权方可查看完整信息；（四）定期开展患者隐私保护培训，提高从业人员法律意识，避免因操作不当导致隐私泄露；（五）建立患者隐私投诉处理机制，及时响应患者诉求，妥善处理隐私泄露事件。第五章安全事件应急处置第二十二条应急预案管理（一）制定《医共体信息安全事件应急预案》，明确应急组织架构、响应流程、处置措施、资源保障等内容；（二）根据事件类型（如数据泄露、系统瘫痪、勒索病毒攻击等）制定专项应急子预案，提高应急处置针对性；（三）应急预案应定期评审修订，根据医共体业务变化及安全形势调整内容，每年至少修订一次；（四）将应急预案报上级卫生健康部门备案，并向医共体全体人员公示。第二十三条安全事件分级（一）按照事件影响范围及严重程度，将信息安全事件分为特别重大事件（Ⅰ级）、重大事件（Ⅱ级）、较大事件（Ⅲ级）和一般事件（Ⅳ级）；（二）Ⅰ级事件：导致医共体核心业务系统瘫痪超过24小时，或造成1000人以上患者数据泄露；（三）Ⅱ级事件：核心业务系统瘫痪12-24小时，或造成100-1000人患者数据泄露；（四）Ⅲ级事件：核心业务系统部分功能中断6-12小时，或造成10-100人患者数据泄露；（五）Ⅳ级事件：系统短暂中断或小范围数据泄露，未造成严重影响。第二十四条应急响应流程（一）事件报告：发现安全事件后，当事人应立即向科室负责人及信息科报告，信息科接到报告后初步研判事件级别，Ⅰ、Ⅱ级事件需在1小时内上报领导小组及上级卫生健康部门；（二）启动预案：领导小组根据事件级别启动相应应急预案，成立应急处置小组，明确各成员职责；（三）应急处置：采取隔离受影响系统、封堵攻击源、恢复数据备份、安抚患者等措施，防止事件扩大；（四）调查评估：事件处置后，组织调查事件原因、影响范围及损失，形成调查报告；（五）善后处理：对受影响患者进行告知及补偿，修复系统漏洞，完善安全措施。第二十五条应急演练（一）每年至少组织一次综合应急演练，每半年组织一次专项应急演练，模拟不同类型安全事件；（二）演练前制定演练方案，明确演练目标、场景、步骤及评估标准，演练后进行总结评估，改进应急预案；（三）演练参与人员包括信息科、业务科室、成员单位等相关人员，确保全员熟悉应急流程；（四）将演练情况记录存档，作为应急预案修订及人员考核的依据。第二十六条事件调查与追责（一）安全事件处置后，由领导小组组织调查，查明事件原因、责任人员及管理漏洞；（二）对人为因素导致的安全事件，依据本制度及相关规定追究责任人员责任；（三）对故意泄露医疗数据、破坏信息系统等违法行为，移交司法机关处理；（四）总结事件教训，制定整改措施，跟踪整改落实情况，避免类似事件再次发生。第六章安全培训与考核第二十七条培训管理（一）制定年度信息安全培训计划，明确培训对象、内容、方式及频次；（二）培训内容包括法律法规（如网络安全法、数据安全法等）、管理制度、操作规程、安全技术（如密码安全、防病毒等）、应急处置流程等；（三）培训方式采取线上线下相结合，包括集中授课、案例分析、技能实操、知识竞赛等；（四）新入职人员必须参加信息安全岗前培训，考核合格后方可上岗；（五）每年对医共体所有人员进行至少一次全员安全培训，对信息科人员、医务人员等重点人群进行专项培训。第二十八条宣传教育（一）通过宣传栏、微信公众号、内部刊物等渠道，普及信息安全知识，通报典型安全事件案例；（二）在重要节日、网络安全宣传周等时段，组织开展信息安全主题宣传活动，提高全员安全意识；（三）编制《信息安全手册》，发放至各科室及成员单位，供从业人员学习参考。第二十九条考核与奖惩（一）建立信息安全考核机制，将信息安全工作纳入各部门及个人年度绩效考核；（二）考核内容包括制度执行情况、安全事件发生情况、培训参与情况、安全措施落实情况等；（三）对在信息安全工作中表现突出的部门或个人，给予表彰奖励；（四）对违反本制度导致安全事件发生的，视情节轻重给予通报批评、经济处罚、岗位调整等处理，构成犯罪的，依法追究刑事责任。第七章监督检查与持续改进第三十条日常检查（一）信息科每周对信息系统运行状态、安全设备日志、数据备份情况等进行日常检查，记录检查结果；（二）各成员单位每月对本单位信息安全状况进行自查，重点检查终端设备安全、人员操作规范等，自查报告报信息科备案。第三十一条定期检查（一）每季度由领导小组组织一次信息安全专项检查，覆盖所有成员单位及重点系统，检查内容包括制度执行、安全措施、风险隐患等；（二）每年聘请第三方机构进行一次全面信息安全评估，包括漏洞扫描、渗透测试、合规性审计等，形成评估报告；（三）检查及评估发现的问题，应建立台账，明确整改责任单位、责任人及完成时限，跟踪整改情况。第三十二条安全审计（一）信息科定期对信息系统操作日志、网络访问日志、数据访问日志等进行审计分析，发现异常行为及时处置；（二）每年开展一次信息安全合规性审计，检查是否