(2026版)医院数据安全管理制度

(2026版)医院数据安全管理制度为保障医院诊疗数据、患者个人信息、运营管理数据等各类数据的安全性、完整性、可用性与合规性，依据《网络安全法》《数据安全法》《个人信息保护法》《医疗机构网络安全管理办法》等法律法规及《医疗健康数据安全指南》《个人信息安全规范》《网络安全等级保护2.0》等行业标准，结合本院信息化建设实际与2026年技术发展趋势，制定本数据安全管理制度。一、数据安全管理范围与定义（一）管理范围本制度覆盖本院所有产生、采集、存储、传输、使用、共享、销毁的数据，具体包括五类：1.医疗诊疗类数据：电子病历、门诊医嘱、住院医嘱、检查检验结果、手术记录、护理记录、影像资料（PACS）、实验室数据（LIS）、病理报告等与患者诊疗直接相关的数据；2.患者个人信息类数据：患者基本信息（姓名、身份证号、联系方式、住址）、健康信息（既往病史、过敏史）、生物识别信息（指纹、人脸、基因数据、血型）、支付信息（医保卡号、银行卡号）等可识别特定个人的数据；3.运营管理类数据：财务数据（营收、支出、医保结算）、人事数据（员工信息、薪酬、绩效）、物资数据（药品、耗材、设备台账）、行政决策数据等医院内部运营管理相关数据；4.科研创新类数据：临床试验数据、学术研究数据、样本库数据、科研项目结题报告等与医学研究相关的数据；5.基础设施类数据：HIS、EMR、LIS、PACS等核心业务系统的配置数据、日志数据、云平台资源数据等支撑医院信息化运行的数据。（二）核心定义1.数据安全：指通过技术、管理、组织等措施，保障数据在全生命周期内的保密性、完整性、可用性，防止数据被泄露、篡改、破坏、非法使用；2.数据脱敏：指通过对敏感数据进行去标识化、匿名化处理，使其无法关联到特定个人或组织，同时保留数据的业务价值；3.数据泄露：指未经授权或超出授权范围，导致数据被外部获取、披露或使用的行为；4.数据生命周期：指数据从采集、存储、传输、使用、共享到销毁的完整过程；5.零信任架构：基于“永不信任，始终验证”的理念，对所有访问请求进行身份认证、权限校验、行为分析的安全防护体系。二、数据安全组织架构与职责（一）数据安全委员会数据安全委员会为本院数据安全最高决策机构，由院长担任主任，分管信息化、医疗、行政的副院长担任副主任，成员包括信息科、医务科、护理部、财务科、科研科、法务科、保卫科等部门负责人。主要职责：1.审议并批准本院数据安全战略规划、管理制度及重大安全措施；2.协调解决数据安全管理中的跨部门重大问题；3.审批核心数据的使用、共享权限及重大数据安全事件的处置方案；4.定期听取数据安全管理工作汇报，监督制度执行情况；5.推动数据安全文化建设，提升全院员工安全意识。（二）数据安全管理办公室数据安全管理办公室设在信息科，由信息科主任兼任办公室主任，成员包括信息科安全运维人员、医务科医疗数据管理员、法务科合规专员。主要职责：1.负责数据安全管理制度的落地执行，制定年度数据安全工作计划；2.牵头开展数据分类分级、风险评估、技术防护体系建设；3.组织开展数据安全培训、应急演练及日常监督检查；4.受理数据安全事件报告，启动应急响应流程，配合开展事件调查；5.对接监管部门，上报数据安全相关信息及事件；6.定期更新《医院数据分类分级目录》，确保数据分类分级的准确性。（三）部门数据安全专员各业务科室（临床科室、医技科室、行政科室）需指定1名数据安全专员，由科室负责人审核确认后报数据安全管理办公室备案。主要职责：1.落实本科室数据安全管理要求，监督科室员工的数据操作行为；2.协助开展本科室数据的分类分级识别，上报数据安全风险隐患；3.配合数据安全审计、应急演练及事件调查工作；4.组织本科室员工参加数据安全培训，提升安全意识；5.定期梳理本科室数据权限，提出权限调整建议。（四）第三方服务商管理对提供信息化服务的第三方服务商（如系统开发商、云服务商、运维服务商），需建立严格的准入、监督、退出机制：1.准入评估：签订合作协议前，对服务商的安全资质、技术能力、合规性进行评估，要求服务商提供数据安全保障方案及等级保护测评报告；2.合同约束：在合作协议中明确数据安全责任，包括数据保密、访问权限、事件处置、数据销毁等内容，签订《数据安全保密协议》及《数据处理合规承诺书》；3.日常监督：每月对服务商的数据操作行为进行审计，禁止服务商未经授权访问或导出医院数据；每季度开展一次服务商安全评估，检查其安全措施落实情况；4.退出管理：合作终止时，要求服务商销毁所有医院数据，移交相关资料，收回所有访问权限；对核心业务系统服务商，需进行离任安全审计，确保数据无泄露风险。三、数据分类分级管理（一）数据分类结合医院业务特性，将数据分为五大类别，每类数据对应不同的安全防护要求：1.公开类数据：可对外公开的非敏感数据，如医院就医指南、科室介绍、专家信息、健康科普内容、公开招聘信息等；2.内部类数据：仅在医院内部使用的非敏感数据，如内部运营报表、员工考勤数据、非涉密行政通知、设备维护记录等；3.敏感类数据：涉及患者隐私或医院内部敏感信息的数据，如患者基本信息、普通诊疗记录、医保缴费记录、员工薪酬数据等；4.核心类数据：对患者权益、医院运营、公共卫生安全具有重大影响的数据，如患者生物识别信息、重大传染病（HIV、鼠疫、霍乱）诊疗数据、医保基金结算核心数据、新生儿遗传代谢病数据、科研核心成果数据等。（二）数据分级根据数据的敏感程度及影响范围，将数据分为四级，对应不同的安全管控措施：1.一级（公开级）：无安全风险，可自由发布和传播，仅需确保数据的真实性；无需特殊权限，可通过医院官网、公众号等渠道对外公开；2.二级（内部级）：需限制在医院内部访问，禁止对外泄露；需设置基础访问权限，仅允许本院员工通过内网访问；3.三级（敏感级）：需严格控制访问权限，数据使用需审批；传输、存储需加密；禁止未经授权共享；仅允许指定岗位员工在工作时间内访问；4.四级（核心级）：需最高等级的安全防护，访问需经数据安全委员会审批；采用端到端加密；仅允许指定岗位人员在特定物理环境下访问；操作行为需全程监控。（三）分类分级流程1.识别与梳理：由数据安全管理办公室牵头，联合各业务科室梳理本科室数据，明确数据类型、使用场景、敏感程度，形成初步的分类分级清单；2.评审与确认：数据安全委员会组织各部门对初步清单进行评审，邀请外部安全专家参与核心数据的等级判定，最终形成《医院数据分类分级目录》；3.更新与维护：每年度开展一次数据分类分级复审，当业务流程调整、数据类型新增或法律法规更新时，及时调整分类分级目录；各科室发现数据类型变更时，需在10个工作日内上报数据安全管理办公室。四、数据全生命周期安全管理（一）数据采集1.采集原则：遵循“最小必要”“合法合规”原则，仅采集与诊疗、运营、科研相关的数据，禁止过度采集患者个人信息；如非诊疗必需，不得采集患者生物识别信息；2.授权管理：采集患者敏感信息需取得患者或其监护人的书面授权，授权书需明确采集目的、使用范围、保存期限、撤回方式；授权书需留存至数据销毁后至少5年；3.采集规范：数据采集需通过医院统一的业务系统进行，禁止通过私人设备（手机、U盘）采集患者数据；采集过程需进行日志记录，包括采集时间、采集人员、采集内容等；4.采集审核：核心数据的采集需经数据安全管理办公室审核，确保采集行为符合法律法规及医院规定；如需采集超出常规范围的数据，需经数据安全委员会审批。（二）数据存储1.存储介质管理：核心数据需采用加密存储，本地存储与异地备份相结合；备份介质需离线存储在符合安全标准的物理环境中（防火、防水、防磁）；禁止将核心数据存储在未加密的移动介质中；2.存储期限：严格按照法律法规要求存储数据，电子病历保存期限不少于30年，患者个人信息保存至诊疗结束后至少5年，运营数据保存不少于10年，科研数据保存至项目结题后至少10年；到期数据需按销毁流程处理；3.云存储管理：采用符合国家等级保护三级及以上要求的云服务商，签订数据隔离、加密、访问控制协议；定期对云存储环境进行安全审计，每季度开展一次漏洞扫描；禁止将核心数据存储在公共云平台；4.存储监控：对存储系统进行实时监控，设置数据篡改、异常访问告警规则；每月对存储系统进行安全巡检，检查存储介质的健康状态、加密状态及备份情况。（三）数据传输1.传输加密：所有数据传输需采用SSL/TLS1.3加密协议，核心数据采用端到端加密，加密密钥由医院自行管理；禁止通过未加密的通道传输敏感数据；2.传输通道：内部数据传输需使用医院专用VPN或内网通道，外部数据传输需经安全网关过滤；禁止通过微信、QQ、私人邮件等非合规渠道传输敏感数据；如需通过邮件传输，需使用医院统一的加密邮件系统；3.传输审核：跨机构传输敏感数据需经数据安全管理办公室审批，签订数据传输协议，明确传输范围、安全责任、数据用途；传输核心数据需经数据安全委员会审批；4.传输监控：对数据传输行为进行实时监控，识别异常传输（如批量传输敏感数据、异地传输核心数据），触发告警并记录日志。（四）数据使用1.权限管理：遵循“最小权限”“按需分配”原则，基于角色和岗位分配数据访问权限；禁止超权限访问；每季度开展一次权限审核，收回闲置权限或超出岗位需求的权限；员工岗位调整时，需在3个工作日内调整其数据权限；2.使用审批：敏感数据跨科室使用需提交《数据使用申请表》，经科室负责人、数据安全管理办公室审批；核心数据的使用需经数据安全委员会审批，明确使用目的、范围、期限；使用完成后需及时反馈使用情况；3.使用监控：对数据访问、下载、修改、删除等操作进行全流程日志记录，日志保存期限不少于6个月；设置异常行为规则，如凌晨时段批量下载数据、高频访问核心数据、跨区域登录等，触发实时告警；4.脱敏处理：对外提供数据或用于科研、教学时，需对敏感数据进行脱敏处理，可采用静态脱敏（批量数据预处理）或动态脱敏（实时访问时自动脱敏）；脱敏后的数据需经数据安全管理办公室审核，确认无法关联到特定个人；科研使用的数据需进行去标识化处理，确保无法通过任何技术手段识别患者身份。（五）数据共享1.内部共享：建立统一的数据共享平台，实现各业务系统之间的数据互联互通；共享权限需经数据安全管理办公室统一授权，禁止私自拷贝、传输数据；内部共享数据需进行日志记录，包括共享时间、共享人员、共享内容等；2.外部共享：与医保部门、疾控中心、上级医院等合作单位共享数据时，签订《数据共享协议》，明确共享范围、用途、安全责任、数据返回要求；共享患者敏感数据需取得患者书面授权；共享核心数据需经数据安全委员会审批；3.科研共享：与科研机构合作开展研究时，数据需经脱敏处理后提供，禁止共享核心数据；签订科研数据保密协议，明确科研数据的使用范围、成果归属及保密责任；科研结束后，需回收所有共享数据；4.共享审核：所有外部数据共享需经数据安全管理办公室审核，核心数据共享需经数据安全委员会审批；共享数据需进行日志记录，包括共享对象、共享内容、共享时间等。（六）数据销毁1.销毁流程：到期数据或废弃数据需由数据使用科室提出《数据销毁申请表》，经科室负责人、数据安全管理办公室审批后，由信息科执行销毁；核心数据的销毁需经数据安全委员会审批；2.销毁方式：电子数据采用专业数据销毁工具（如磁盘擦除软件、物理粉碎设备），确保数据无法恢复；纸质数据采用碎纸机粉碎，粉碎后的纸张需统一回收处理；存储介质需进行物理销毁，禁止私自出售或丢弃；3.销毁记录：销毁过程需留存记录，包括销毁时间、数据类型、销毁方式、执行人、见证人等，记录保存期限不少于3年；4.介质处置：废弃存储介质（硬盘、U盘、光盘等）需统一回收，经销毁后再进行处置；对涉及核心数据的存储介质，需进行双重销毁（软件擦除+物理粉碎）。五、数据安全技术防护措施（一）网络安全防护1.边界防护：部署下一代防火墙（NGFW）、入侵检测系统（IDS）、入侵防御系统（IPS），实现网络边界的访问控制与威胁检测；设置访问控制策略，禁止外部网络直接访问核心业务系统；2.零信任体系：建立零信任访问架构，对所有访问请求进行身份认证、权限校验、行为分析；采用多因素身份认证（MFA），结合密码、短信验证码、生物识别等方式提升身份验证安全性；对特权账号采用双人复核机制，限制其使用范围与时间；3.态势感知：部署网络安全态势感知平台，实时监控网络流量、系统日志、用户行为，利用人工智能（AI）技术识别异常攻击、数据泄露等风险，实现可视化预警与快速响应；每月生成态势感知报告，上报数据安全委员会；4.恶意代码防护：在所有终端设备部署杀毒软件，定期更新病毒库；建立邮件过滤系统，拦截钓鱼邮件、恶意附件；禁止在医院终端设备上安装非授权软件；每季度开展一次终端设备恶意代码扫描。（二）数据加密技术1.存储加密：核心数据采用透明数据加密（TDE）技术，对数据库中的数据进行加密存储；敏感数据采用字段级加密，确保即使数据库被攻破，数据也无法被解读；加密密钥采用对称加密与非对称加密结合的方式；2.传输加密：所有数据传输通道采用SSL/TLS1.3加密协议，核心数据采用端到端加密，加密密钥由医院自行管理，禁止第三方服务商持有密钥；建立密钥管理系统，对密钥的生成、存储、分发、更换、销毁进行全生命周期管理；3.密钥管理：密钥存储在专用的密钥管理服务器中，与数据存储介质分离；定期更换密钥（每年至少一次）；密钥更换需经数据安全管理办公室审批，留存更换记录；（三）访问控制技术1.角色权限管理：基于角色的访问控制（RBAC），细化岗位权限，如医生仅可访问自己管辖患者的诊疗数据，护士仅可访问护理相关数据，禁止跨角色访问；建立权限矩阵，明确各岗位的数据访问范围；2.会话管理：设置会话超时时间（不超过30分钟），异常会话（如异地登录、多次密码错误）强制终止；记录会话日志，包括登录时间、IP地址、操作内容等；3.特权账号管理：对系统管理员、数据库管理员等特权账号进行严格管控，采用双人复核机制，限制特权账号的使用范围与时间；定期审计特权账号的操作日志（每月至少一次）；禁止特权账号在非工作时间登录核心系统。（四）数据脱敏与去标识化1.自动化脱敏系统：部署自动化数据脱敏平台，支持静态脱敏与动态脱敏两种模式；静态脱敏用于批量数据导出、科研数据预处理，动态脱敏用于实时访问数据时自动屏蔽敏感字段；2.去标识化处理：对用于科研的患者数据进行去标识化处理，移除姓名、身份证号、联系方式等直接标识符，通过加密处理间接标识符（如住院号、病案号），确保数据无法通过任何技术手段关联到特定个人；3.脱敏审核：脱敏后的数据需经数据安全管理办公室审核，确认符合合规要求后方可使用或共享；科研使用的数据需经科研科与数据安全管理办公室双重审核。（五）安全审计与监控1.统一审计平台：建立统一的安全审计平台，整合各业务系统、网络设备、存储系统的日志数据，实现对数据操作的全流程审计；审计平台需具备日志检索、分析、告警功能；2.异常行为分析：利用人工智能（AI）技术对日志数据进行分析，识别异常行为模式，如批量下载敏感数据、高频访问核心数据、异常时间登录等，触发实时告警；每月生成异常行为分析报告，上报数据安全委员会；3.审计报告：每月生成数据安全审计报告，内容包括访问日志统计、异常事件处理、权限变更情况、安全措施落实情况等；每季度开展一次全面审计，形成季度审计报告。（六）备份与恢复1.灾备架构：采用“两地三中心”灾备架构，建立本地生产中心、同城灾备中心、异地灾备中心；本地生产中心与同城灾备中心采用同步复制，异地灾备中心采用异步复制；确保在灾难发生时数据可快速恢复；2.备份策略：每日进行增量备份，每周进行全量备份，备份数据加密存储；备份介质离线存储在安全的物理环境中，与生产环境隔离；核心数据需进行多副本备份，副本数量不少于3份；3.恢复演练：每季度开展一次备份恢复演练，验证备份数据的完整性与可用性；演练内容包括核心业务系统恢复、数据恢复、业务连续性验证；演练后进行总结评估，优化备份策略与恢复流程；4.灾难恢复：当发生系统故障、数据丢失等灾难事件时，启动灾难恢复流程，优先恢复核心业务系统数据，确保医院诊疗活动正常开展；灾难恢复完成后，进行安全评估，排查故障原因，完善防护措施。六、人员数据安全管理（一）人员分类管理根据岗位性质，将人员分为四类，制定差异化的安全管理措施：1.管理人员：包括院领导、部门负责人，需掌握数据安全战略与管理制度，监督本部门数据安全执行情况；每年参加不少于8小时的高级数据安全培训；2.技术人员：包括信息科运维人员、系统管理员，需掌握数据安全技术防护技能，负责系统安全维护与事件处置；取得网络安全相关资质（如CISP、CISSP）优先；每年参加不少于16小时的技术培训；3.业务人员：包括医生、护士、行政人员，需掌握数据操作规范，严格按照权限使用数据；每年参加不少于8小时的业务数据安全培训；4.第三方人员：包括系统开发商、运维服务商、实习人员，需签订保密协议，分配临时权限，禁止访问核心数据；实习人员需在本院员工的监督下开展工作。（二）安全培训与考核1.入职培训：新员工入职需接受不少于8小时的数据安全培训，内容包括法律法规、管理制度、操作规范、应急处理等；培训后进行考核，考核合格后方可上岗；考核成绩纳入试用期评估；2.在职培训：在职员工每年至少接受两次数据安全培训，培训内容包括最新法律法规、安全案例分析、新技术应用等；针对不同岗位制定个性化培训内容，如医生重点培训患者隐私保护，技术人员重点培训网络安全防护；3.专项培训：当发生数据安全事件或法律法规更新时，及时开展专项培训，提升员工的应急处置能力与合规意识；每季度开展一次数据安全知识竞赛，强化员工安全意识；4.培训考核：每次培训后进行考核，考核结果与员工绩效挂钩，对考核不合格的员工进行补考或再培训；连续两次考核不合格的员工，需暂停数据操作权限，直至考核合格。（三）人员权限管理1.权限申请：员工需根据岗位需求提交《数据权限申请表》，经部门负责人、数据安全管理办公室审核后分配权限；权限申请需明确访问范围、访问方式、使用期限；2.权限变更：当员工岗位调整时，需及时调整数据权限，收回原岗位权限，分配新岗位权限；权限变更需经部门负责人、数据安全管理办公室审核；3.权限审核：每季度开展一次权限审核，对闲置权限、超范围权限进行清理，确保权限与岗位需求匹配；对长期未使用的权限，自动收回；4.离职管理：员工离职时，需立即收回所有系统权限，交接工作时需明确数据交接流程，留存交接记录；离职员工需签订《离职保密承诺书》，明确离职后的保密义务；对掌握核心数据的员工，需进行离职安全审计。（四）保密责任1.保密承诺：所有员工需签订《数据安全保密承诺书》，明确保密义务、违约责任，承诺不泄露、不出售、不非法使用医院数据；承诺书需每年签订一次；2.禁止行为：严禁私自拷贝、传输、打印敏感数据，严禁将医院数据用于个人用途，严禁向第三方泄露医院数据；严禁在非工作环境下使用医院数据；3.报告义务：发现数据泄露、疑似泄露或安全风险时，需立即向数据安全管理办公室报告，不得隐瞒或拖延；报告内容包括事件时间、地点、涉及数据类型、影响范围等；4.违规处理：违反保密承诺的员工，视情节轻重给予警告、记过、降职、解除劳动合同等处分；造成重大损失的，依法追究法律责任；涉及刑事犯罪的，移送司法机关。七、数据安全应急响应与处置（一）应急组织架构成立数据安全应急响应小组，由分管信息化的副院长担任组长，成员包括信息科、医务科、法务科、宣传科、保卫科等部门人员。各成员职责：1.应急指挥组：负责应急事件的统筹指挥，制定处置方案，上报监管部门；协调各部门开展应急处置工作；2.技术处置组：负责隔离受影响系统，恢复数据，排查事件原因，修复安全漏洞；开展技术分析，提供事件处置的技术支持；3.医疗协调组：负责协调诊疗活动，保障患者就医需求，通知受影响患者；收集患者反馈，做好医疗服务保障；4.舆情应对组：负责发布权威信息，回应公众关切，监控舆情动态；制定舆情应对方案，避免舆情扩散；5.法务合规组：负责评估事件的法律风险，配合监管部门调查，处理法律纠纷；确保事件处置符合法律法规要求。（二）应急预案制定制定《医院数据安全应急预案》，涵盖以下场景：1.数据泄露事件：包括敏感数据被窃取、披露、非法使用等；明确泄露等级划分（一般、较大、重大）及对应的处置措施；2.网络攻击事件：包括ransomware攻击、DDoS攻击、SQL注入攻击等；明确攻击类型、处置流程及恢复措施；3.系统故障事件：包括核心业务系统瘫痪、数据丢失等；明确故障等级、恢复优先级及业务连续性保障措施；4.自然灾害事件：包括火灾、地震、洪水等导致的数据损坏；明确灾备启动流程、数据恢复措施及应急医疗保障。应急预案需明确应急响应流程、责任分工、处置措施、报告时限等内容，每年修订一次，确保预案的有效性。（三）应急演练每半年开展一次数据安全应急演练，模拟不同场景的安全事件，检验应急响应能力：1.演练准备：制定演练方案，明确演练场景、参与人员、考核指标、时间安排；提前通知参与人员，做好演练准备；2.演练实施：按照预案流程开展演练，模拟真实事件场景，记录演练过程中的问题与不足；演练过程需进行全程录像；3.演练评估：演练结束后进行总结评估，分析演练效果，评估应急响应能力，优化应急预案；邀请外部安全专家参与评估；4.演练记录：留存演练记录，包括演练方案、过程记录、评估报告、整改措施等，记录保存期限不少于3年。（四）应急处置流程1.事件报告：发现数据安全事件后，当事人需在1小时内报告数据安全管理办公室，数据安全管理办公室需在2小时内上报数据安全委员会；涉及个人信息泄露的，需在72小时内上报当地卫生健康部门、网信部门；重大事件需立即上报院长；2.事件隔离：技术处置组迅速隔离受影响系统，切断攻击源，防止事件扩大；对涉及数据泄露的终端设备进行封存，禁止操作；3.事件调查：应急响应小组开展事件调查，分析事件原因、影响范围、数据泄露程度，形成调查报告；必要时邀请第三方安全机构参与调查；4.处置措施：根据事件类型采取相应的处置措施，如恢复数据、修复漏洞、通知受影响患者、发布舆情信息等；对受影响患者提供必要的帮助与支持；5.整改优化：事件处置完成后，开展安全整改，完善安全措施，组织员工培训，避免类似事件再次发生；编写事件处置报告，上报数据安全委员会及监管部门。八、数据安全监督与审计（一）内部审计数据安全管理办公室每季度开展一次数据安全内部审计，审计内容包括：1.数据分类分级制度执行情况；2.数据访问权限分配与使用情况；3.数据备份、脱敏、销毁流程执行情况；4.员工数据安全培训与考核情况；5.应急演练与事件处置情况；6.第三方服务商安全措施