《医院网络安全管理制度(2025版)》

《医院网络安全管理制度(2025版)》第一章总则第一条为贯彻落实国家网络安全法律法规及医疗行业监管要求，保障医院信息系统稳定运行，保护患者隐私、诊疗数据及医院核心业务安全，结合医院信息化建设实际需求，制定本制度。本制度适用于医院所有信息系统（含医疗设备联网系统、办公系统、患者服务平台等）的规划、建设、运维及数据全生命周期管理活动，覆盖医院全体员工、外包服务人员及第三方合作机构。第二条医院网络安全管理遵循“安全优先、分级防护、责任到人、动态优化”原则：1.安全优先：信息系统建设与改造需同步规划安全措施，安全投入不低于信息化总预算的15%；2.分级防护：根据业务重要性及数据敏感性，对信息系统实施三级（一般、重要、核心）分级保护；3.责任到人：明确各层级安全管理职责，实行“谁主管谁负责、谁使用谁负责”；4.动态优化：定期评估安全风险，结合新技术、新威胁调整防护策略。第二章组织架构与职责第三条设立医院网络安全领导小组（以下简称“领导小组”），由院长任组长，分管信息化副院长任副组长，成员包括信息中心、医务部、护理部、门诊部、保卫科、审计科负责人及法律顾问。领导小组职责包括：审批网络安全战略规划、年度工作计划及重大安全事件处置方案；协调跨部门安全管理事项（如数据共享、系统中断应急）；监督安全制度执行及考核结果应用。第四条信息中心为网络安全主管部门，设专职网络安全管理岗（不少于2人），具体职责：制定网络安全技术规范、操作流程及应急预案；实施网络及信息系统安全监测、漏洞修复、日志审计；组织安全培训、演练及第三方服务安全评估；每日向领导小组汇报安全态势（重大事件即时报告）。第五条各临床、职能科室设网络安全联络人（由科主任或指定专人担任），负责：落实本科室终端设备、账号权限及数据使用的日常管理；报告本科室异常网络行为（如设备断网、数据异常访问）；配合完成安全检查及事件调查。第三章技术防护体系第六条网络边界安全1.核心业务网络（如HIS、EMR、PACS系统）与互联网、办公网实行逻辑隔离，部署下一代防火墙（NGFW）、入侵检测/防御系统（IDS/IPS）及零信任访问网关；2.互联网接入区（如患者服务APP、自助机）单独划分VLAN，限制与核心业务网的双向访问，仅开放必要端口（如HTTPS443）；3.网络设备（路由器、交换机）启用访问控制列表（ACL），默认拒绝所有非授权流量，规则每季度审核更新；4.医疗设备专网（如影像设备、检验仪器）禁止直接连接互联网，需通过网闸与核心业务网交互，交互内容仅限诊疗数据。第七条终端与设备安全1.所有联网终端（含电脑、移动设备、医疗设备）需通过准入系统认证，未安装杀毒软件、未打补丁或IP未备案的设备禁止接入；2.办公终端默认禁用USB存储、蓝牙等外接接口，因工作需要启用需经科室负责人审批并登记；3.医疗设备（如手术导航仪、监护仪）接入前需完成安全检测（包括固件安全性、漏洞扫描），禁用默认账号，设置强密码（长度≥12位，包含字母、数字、符号）；4.终端设备需安装统一管理软件，实现进程监控、文件操作审计及异常行为阻断（如非授权拷贝电子病历），相关日志留存不少于6个月。第八条数据安全防护1.数据分类分级：一级（核心）：患者个人信息（姓名、身份证号、联系方式）、诊疗数据（病历、影像、检验报告）、财务数据；二级（重要）：医院运营数据（设备台账、采购记录）、员工信息（工号、薪资）；三级（一般）：公共通知、培训材料、会议纪要。2.存储安全：一级数据采用AES-256加密存储，密钥由信息中心与审计科双人管理；二级数据加密或访问控制；三级数据仅需访问控制。3.传输安全：跨网络传输一级数据需使用SSL/TLS1.3协议，关键业务（如电子病历调阅）启用双向数字证书认证；4.访问控制：实行“最小权限原则”，一级数据访问需经科室负责人+信息中心双重审批，记录访问时间、账号及操作内容；5.数据销毁：纸质病历销毁需碎纸机处理（碎片≤5mm×5mm），电子数据采用DBAN工具多次覆盖擦除（≥3次），存储介质物理销毁需拍照留证。第九条漏洞与补丁管理1.信息中心每月使用自动化工具（如Nessus、漏扫平台）对信息系统及医疗设备进行漏洞扫描，扫描报告同步领导小组；2.高危漏洞（CVSS≥7.0）需在48小时内修复，中危漏洞（4.0≤CVSS<7.0）7日内修复，低危漏洞（CVSS<4.0）纳入月度修复计划；3.医疗设备因固件升级可能影响临床使用的，需提前与临床科室确认停机时间，升级后测试功能完整性（如影像传输时效性、监护数据准确性）；4.禁止使用未经验证的第三方补丁，重要系统补丁升级前需在测试环境模拟，确认无兼容性问题后方可部署。第四章应急响应与事件处置第十条制定《医院网络安全事件应急预案》，明确事件分级标准：Ⅰ级（重大）：核心业务系统中断≥4小时，或泄露患者信息≥500条，或造成患者诊疗延误；Ⅱ级（较大）：重要系统中断≥2小时，或泄露患者信息≥100条且<500条；Ⅲ级（一般）：一般系统中断<2小时，或泄露患者信息<100条。第十一条应急处置流程：1.监测与预警：通过日志分析、流量监控及终端告警平台实时监测异常（如登录失败≥10次/账号、单IP访问量突增10倍）；2.事件确认：发现异常后15分钟内核实，确认后5分钟内向信息中心负责人报告；3.分级响应：Ⅰ级事件：信息中心30分钟内启动应急预案，关闭受影响系统，隔离网络，同步通知领导小组、医务部（协调临床备用方案）及公安网安部门；Ⅱ级事件：2小时内阻断威胁（如终止异常进程、封禁IP），4小时内向领导小组提交处置报告；Ⅲ级事件：信息中心当日完成处置，记录至安全日志。4.恢复与复盘：事件处置后，72小时内完成系统恢复（优先保障急诊、ICU等关键科室），10个工作日内组织复盘会，形成改进报告。第十二条每年至少开展2次应急演练（含数据泄露、勒索病毒、系统瘫瘓场景），覆盖信息中心、临床科室、保卫科等部门，演练记录留存3年。第五章人员安全管理第十三条安全培训与考核：1.新员工入职必须完成网络安全培训（时长≥4学时），内容包括《个人信息保护法》、医院数据使用规范、勒索病毒防范等，考核合格后方可分配系统账号；2.在职员工每年参加至少2次进阶培训（如新型攻击手段、医疗设备安全操作），培训覆盖率需达100%；3.外包服务人员（如系统运维、设备厂商）需签订《安全承诺书》，上岗前接受专项培训（重点内容：数据访问权限、物理区域限制）。第十四条账号与权限管理：1.员工账号实行“一人一密”，密码每90天强制更换，禁止共享账号或使用弱密码（如“123456”“姓名拼音”）；2.离职员工账号需在24小时内注销，调岗员工权限同步调整（如从门诊调至住院部，收回原门诊系统访问权限）；3.临时账号（如外院专家会诊）需经科室负责人审批，设定有效期（最长7天），到期自动禁用。第十五条违规行为处理：1.禁止以下行为：私接无线路由器、安装非授权软件、向外部传输患者隐私数据、泄露账号密码；2.首次违规：批评教育并扣除当月绩效5%；3.二次违规：暂停系统访问权限1个月，全院通报；4.三次及以上违规或造成安全事件：解除劳动合同，涉及违法的移交司法机关。第六章合规与持续改进第十六条严格遵守《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及《医疗健康信息系统安全等级保护基本要求（试行）》，每年开展1次等级保护测评（三级系统需通过公安部备案）。第十七条建立安全日志审计机制：核心系统日志（如HIS登录、电子病历修改）留存≥1年；网络设备、安全设备日志留存≥6个月；审计内容包括账号登录、数据访问、权限变更，每月生成审计报告并提交领导小组。第十八条每