2026年医院信息系统安全等级保护方案

2026年医院信息系统安全等级保护方案1方案适用范围与合规依据1.1适用范围本方案适用于二级及以上公立医院所有信息资产的安全等级保护全生命周期管理，覆盖范畴包括：①核心业务系统：医院信息系统（HIS）、电子病历系统（EMR）、检验信息系统（LIS）、影像归档与通信系统（PACS）、手术麻醉系统、重症监护系统、医保结算系统、药品管理系统、血库管理系统；②新兴业务系统：互联网医院平台、DRG/DIP医保智能审核系统、AI辅助诊断平台、医疗大数据科研平台、患者服务移动端（小程序/APP）、区域医疗协同对接系统；③基础设施：本地数据中心、私有云/混合云资源、物联网感知节点（监护仪、输液泵、智能门禁、医疗可穿戴设备等）、网络设备、安全设备、医护终端、运维终端；④数据资产：电子病历数据、患者个人信息、医保结算数据、生物识别数据、医疗科研数据、核心业务配置数据。1.2合规依据本方案严格遵循现行法律法规与国家/行业标准编制，包括但不限于：《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《医疗卫生机构网络安全管理办法（2024修订版）》《网络安全等级保护基本要求（GB/T22239-2024）》《医疗卫生行业网络安全等级保护扩展要求（2025版）》《医保信息平台安全防护规范（2023版）》《电子病历系统安全管理规范（2024版）》《国密算法应用推广指引（医疗卫生领域2025版）》。2安全等级精准定级2.1定级规则严格按照“自主定级、专家评审、主管部门审核、公安机关备案”的法定流程开展定级工作，定级准确率100%，严禁低定级、漏定级：①三级等保系统范畴：核心业务系统（HIS、EMR、医保结算系统、血库管理系统）、互联网医院平台、AI辅助诊断平台、医疗大数据科研平台、物联网生命支持设备管控系统、区域医疗协同节点对接系统，其中三甲医院承载100万以上患者数据的核心业务集群纳入关键信息基础设施（CII）管理范畴，在等保三级要求基础上按照CII保护规范加严防护；②二级等保系统范畴：内部办公系统（OA）、后勤管理系统、非核心物联网感知汇聚节点、科研辅助系统；③一级等保系统：公开信息发布系统、科普宣传平台等无敏感数据的公开类系统。2.2定级备案要求所有二级及以上系统完成定级后15个工作日内提交属地卫健主管部门审核，审核通过后30个工作日内到属地公安机关网安部门完成备案，备案证明永久留存归档。系统发生重大变更（架构调整、核心功能迭代、承载数据量级提升50%以上、服务覆盖范围跨地市扩展）时，10个工作日内重新开展定级评审，更新备案信息，杜绝定级信息与实际运行情况不符的问题。3技术防护体系建设3.1物理安全防护严格落实物理环境全维度管控，达到等保三级物理安全要求：①物理准入管控：数据中心机房采用“人脸+NFC卡+动态口令”三因子准入，核心服务器机柜区域执行三人同行准入机制，所有出入记录全程录像，录像留存时间不低于180天；②电磁防护：核心业务服务器、EMR存储设备、医保结算服务器全部放置于B级以上电磁屏蔽机柜，接地电阻小于1Ω，防范电磁信号泄露；③供电冗余：采用双路市电+在线式UPS+柴油发电机三级供电架构，供电切换时间小于5ms，保障核心业务零中断，UPS续航时间不低于4小时，柴油发电机储备油量满足72小时连续运行要求；④环境监测：部署物联网环境监测系统，实时采集机房温湿度、漏水、烟雾、电力参数，异常告警信息1分钟内推送给运维责任人，预警响应率100%。3.2网络安全防护采用“分区隔离、纵向认证、横向管控、零信任覆盖”的网络架构，全面抵御网络层攻击：①区域划分：将整网划分为核心业务区、互联网业务区、物联网设备区、运维管理区、办公区、外联区（对接医保、卫健委、区域医疗平台），各区域之间采用下一代防火墙（NGFW）实现逻辑隔离，访问控制策略粒度到端口级，默认执行“拒绝所有”规则，仅开放业务必需的访问路径；②边界防护：互联网边界部署防护能力不低于1Tbps的抗DDoS清洗设备、enterprise级WAF，攻击拦截率不低于99.9%，外联区与医保、区域医疗平台的对接采用“专线+IPsecVPN国密加密”双链路，跨机构数据传输全程加密；③入侵检测：部署全流量分析系统（NTA）覆盖所有网络链路，全流量日志留存时间不低于6个月，对暴力破解、异常数据外传、横向渗透等行为实时告警，告警误报率低于5%；④零信任架构落地：2026年底前完成全场景零信任覆盖，所有访问主体（用户、设备、应用）执行“持续验证、永不信任”机制，访问权限基于身份属性、设备安全状态、访问环境风险动态分配，例如医护人员外网访问EMR系统时，需同步验证身份有效性、终端是否存在病毒/漏洞、访问IP是否为常用地，仅验证通过后授予最小访问权限，访问时间限制为工作时段，超时自动回收权限。3.3主机安全防护全面适配信创要求，核心服务器、终端全部采用国产操作系统，实现主机层全管控：①身份鉴别：所有服务器、终端登录采用双因子认证，特权账号（root、系统管理员）纳入特权账号管理系统（PAM）统一管控，所有操作全程审计留痕，口令复杂度要求为12位以上，包含大小写字母、数字、特殊字符，每90天强制更换，禁止复用近5次的历史口令；②入侵防范：部署终端检测与响应系统（EDR）覆盖所有服务器、医护终端、运维终端，病毒库实时更新，已知勒索病毒防御率100%，未知勒索病毒检出率不低于99%，发现感染终端1分钟内自动隔离；③漏洞管理：每月开展1次全资产漏洞扫描，每季度开展1次渗透性测试，高危漏洞48小时内完成修复，中危漏洞7天内完成修复，低危漏洞30天内完成修复，漏洞修复率100%，严禁存在未修复的高危漏洞；④基线配置：所有主机执行统一安全基线配置，关闭不必要的端口、服务、共享权限，禁用未授权账号，基线合规率不低于98%。3.4应用安全防护针对所有业务系统落实应用层全流程防护，防范越权访问、数据篡改等风险：①身份认证：根据用户角色分级执行认证机制，医护人员登录核心业务系统采用“密码+人脸/指纹”双因子认证，患者登录互联网医院采用“手机号验证码+人脸实人认证”，应用后台管理员登录采用“Ukey+人脸+动态口令”三因子认证，禁止单因子认证访问敏感系统；②访问控制：采用RBAC（基于角色的访问控制）+ABAC（基于属性的访问控制）组合模式，权限分配执行最小必要原则，例如医生仅可访问自身管床患者的病历数据，护士仅可查看护理相关信息，药师仅可查看处方信息，严禁跨角色越权访问，访问日志留存时间不低于3年；③安全审计：部署应用层审计系统，记录所有用户的操作行为，包括查询、修改、删除、下载病历数据的全流程操作，审计日志采用WORM（一次写入多次读取）存储，不可篡改、不可删除；④防篡改：核心应用（EMR、HIS、医保结算系统）的页面、接口、配置文件部署防篡改系统，一旦检测到篡改行为自动触发恢复，恢复时间小于10秒；⑤异常行为监测：对批量下载病历、非工作时段访问敏感数据、高频查询患者信息等异常操作实时告警，告警响应时间不超过2小时。3.5数据安全防护落实数据分类分级要求，构建全生命周期数据安全防护体系：①数据分类分级：首先开展全量数据资产梳理，形成数据资产清单，按照数据敏感程度和泄露影响分为四级：一级（公开数据）：医院公开出诊信息、科普信息、收费标准等，可对外公开；二级（内部数据）：内部管理制度、运维日志、非敏感运营数据，仅限内部人员按需访问；三级（敏感数据）：患者基本信息、处方信息、检验检查结果、普通医保结算数据，泄露会对患者权益造成影响；四级（核心数据）：完整电子病历、患者生物识别信息、特殊疾病（艾滋病、精神类疾病等）诊疗记录、医保基金核心结算数据、涉密科研数据，泄露会对患者生命安全、公共利益、医保基金安全造成严重危害。不同级别数据对应差异化防护策略，核心数据访问需经业务部门负责人+信息科负责人双审批，访问日志永久留存；②数据加密：核心数据、敏感数据存储端采用国密SM4算法加密，传输端采用国密SM2/SM3算法加密，密钥由密钥管理系统（KMS）统一管理，密钥轮换周期不超过90天，禁止明文存储密钥；③数据脱敏：对外提供数据（科研、教学、第三方接口对接）时必须执行脱敏处理，姓名、身份证号、手机号、住址、诊疗敏感信息等字段脱敏率100%，脱敏后数据无法还原至特定个人；④数据防泄露（DLP）：部署网络DLP、终端DLP、存储DLP覆盖所有数据流转场景，禁止核心数据、敏感数据通过邮件、微信、U盘、外网私自传输，确需传输的需经审批，全程留痕；⑤数据备份：核心数据采用“本地实时备份+异地灾备+云灾备”三级备份架构，异地灾备节点距离本地数据中心不低于100公里，云灾备采用多云异构备份，每季度开展1次备份恢复演练，恢复成功率100%，核心系统RPO（恢复点目标）小于5分钟，RTO（恢复时间目标）小于30分钟；⑥数据出境管控：所有医疗数据严禁私自出境，确需出境的需经国家网信部门、卫健主管部门双重审批，全程审计留痕。3.6新兴场景专项防护针对2026年医院普遍应用的云计算、物联网、大数据、AI场景落实专项防护：①云计算安全：私有云/混合云平台自身需通过等保三级测评，云租户资源实现强隔离，部署云安全资源池，包含云WAF、云HIDS、云审计，实现虚拟机之间流量可视化，防范横向渗透；②物联网安全：所有物联网设备上线前需开展安全检测，排查固件漏洞、弱口令、后门，符合要求的加入白名单方可接入网络，禁用设备不必要的远程管理端口，部署物联网安全管控平台实时监测设备运行状态，涉及生命支持的物联网设备固件更新需经过临床测试，避免影响诊疗功能；③大数据安全：医疗大数据科研平台部署数据沙箱，科研人员仅可在沙箱内操作数据，数据不可导出，操作全程审计，数据访问采用分级审批制，授予最小必要权限；④人工智能安全：AI辅助诊断、AI影像分析系统上线前需开展算法安全检测，防范算法偏见、数据投毒风险，模型训练数据需提前脱敏，输出结果必须经过临床医生人工复核，避免误诊风险。4管理防护体系建设4.1安全组织架构成立由院长任组长的网络安全与信息化工作领导小组，院长为网络安全第一责任人，分管副院长为直接责任人，设立独立的网络安全管理部门，三级医院配备不少于5名专职安全人员，二级医院配备不少于2名专职安全人员，其中至少2名持有CISP、CISSP等国家级安全资质证书，所有安全人员每年接受不少于40学时的专业培训。4.2安全管理制度建立覆盖全场景的安全管理制度体系，包括网络安全责任制、数据安全管理制度、应急响应制度、人员安全管理制度、供应商安全管理制度、密码管理制度、备份与恢复制度、安全审计制度、考核与奖惩制度，所有制度每年评审修订1次，全员培训考核合格后方可上岗，确保制度落地执行。4.3人员安全管理新入职人员尤其是安全、运维岗位人员需开展背景审查，签订保密协议，离岗人员立即回收所有权限、门禁、Ukey，注销所有账号，离职后仍需承担保密义务。第三方人员（厂商运维、外包人员）访问系统需经审批，发放临时账号，授予最小必要权限，操作全程审计，工作完成后立即注销账号，禁止第三方人员未经授权访问核心业务系统。4.4供应商安全管理所有信息系统、安全设备供应商需签订安全协议，明确安全责任，供应商开发、运维人员操作需经过审批，全程留痕，禁止供应商远程访问核心系统，确需远程访问的需经院长审批，采用“VPN+双因子认证”方式，操作全程审计，远程访问结束后立即关闭权限。4.5安全运维管理采用ITSM运维管理系统，所有运维操作走工单审批流程，特权操作执行双人复核机制，运维日志留存时间不低于6个月。每月开展1次安全巡检，每季度开展1次风险评估，每年开展1次等保测评，三级系统等保测评得分不低于90分，二级系统不低于80分。4.6密码管理全面推广国密算法应用，所有加密场景优先采用国密算法，密码由专人管理，密钥的生成、存储、使用、销毁符合国家密码管理规范，每年开展1次密码应用安全性评估，确保密码使用合规。5应急响应与演练5.1应急预案体系编制覆盖所有场景的应急预案，包括网络攻击事件应急预案、数据泄露事件应急预案、勒索病毒攻击应急预案、系统中断事件应急预案、物联网设备被劫持应急预案，明确事件分级、处置流程、责任分工，应急预案每年修订1次，根据演练情况和实际风险动态调整。5.2应急队伍建设成立由技术、业务、行政、法务、宣传等部门人员组成的应急响应小组，每年开展不少于2次的应急技能培训，确保所有成员熟悉应急处置流程。5.3应急演练机制每季度开展1次桌面演练，每半年开展1次实战演练，演练场景覆盖勒索病毒攻击、数据泄露、核心系统瘫痪、大流量DDoS攻击等高频风险，演练后开展复盘分析，优化应急预案，演练记录留存时间不低于3年。5.4应急处置流程发生安全事件后第一时间切断感染源，防止事态扩大，同步评估事件影响等级，一般事件2小时内上报医院领导小组，较大及以上事件1小时内上报属地卫健、公安、网信、医保部门，处置完成后开展根源分析，排查漏洞，完成整改，形成闭环，严禁迟报、瞒报、漏报安全事件。6考核与持续优化6.1考核机制将网络安全工作纳入医院绩效考核体系，占比不低于5%，对安全工作落实到位的部门和个人给予奖励，对落实不到位导致安全事件的，追究相关人员责任，情节严重的移送司法机关。6.2持续优化机制每年至少开展1次安全需求调研，跟踪最新的安全技术、标准规范，及时更新防护体系，每3年开展1次安全体系全面评估，优化防护方案，确保防护能力匹配业务发展和风险变化。6.3经费保障每年网络