心理测评系统信息安全细则

心理测评系统信息安全细则第一章总则第一条为保障心理测评信息系统的数据安全性与保密性，保护受测者个人隐私及心理健康数据不受侵犯，规范系统使用与管理流程，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及医疗卫生行业相关信息安全标准，结合本机构实际业务情况，特制定本细则。第二条本细则适用于本机构内部所有涉及心理测评系统使用、管理、维护、数据访问及第三方合作的部门与人员。所有相关人员必须严格遵守本细则规定，对心理数据的全生命周期负责。第三条心理测评信息系统（以下简称“系统”）中的数据均属于敏感个人信息，具有极高的隐私属性。系统安全管理的核心目标是确保数据的保密性、完整性、可用性，防止数据泄露、篡改、丢失、未授权访问或滥用。第四条系统安全管理遵循“最小权限原则”、“全程留痕原则”、“权责一致原则”及“预防为主、防治结合”的方针。任何安全措施的实施均不得影响心理测评业务的专业性与服务的连续性。第二章组织架构与安全职责第五条成立心理测评信息安全领导小组，作为系统安全的最高决策机构。领导小组由机构负责人、分管信息化的领导、心理服务部门负责人及信息安全部门负责人组成。其主要职责包括审批安全管理制度、审定安全建设规划、指挥重大安全事件响应及协调跨部门资源。第六条信息安全部门负责系统的技术安全保障工作。具体职责包括：落实安全防护技术措施、定期进行系统漏洞扫描与渗透测试、管理防火墙与入侵检测系统、保障服务器与数据库的物理环境及运行安全、执行数据备份与恢复操作。第七条心理服务部门负责数据使用的业务安全管理。具体职责包括：制定心理数据的使用规范、审核数据访问申请、对测评结果进行专业解读与保密、监控异常查询行为、对受测者进行隐私保护告知。第八条系统管理员与数据库管理员（DBA）负责系统的日常运维。系统管理员负责账号权限配置、系统日志监控；数据库管理员负责数据库性能优化、数据存储加密及底层数据维护。关键运维操作必须实行“双人复核”机制，严禁单人拥有完全控制权。第九条设立信息安全审计员，独立于系统管理与业务部门之外，负责对系统运行日志、操作日志、访问日志进行定期审计，监督安全制度的执行情况，并直接向领导小组汇报。第三章人员安全管理第十条所有接触心理测评系统的人员（含实习生、外包人员）在上岗前必须签署《心理数据保密承诺书》，并接受信息安全意识培训与心理伦理培训。培训内容包括但不限于：法律法规要求、系统操作规范、密码安全策略、数据泄露后果及应急处理流程。第十一条实行严格的背景审查制度。对拟录用为系统管理员、数据库管理员及核心数据分析岗位的人员，应进行背景调查，确保其无相关犯罪记录或严重失信记录。第十二条人员离岗或转岗时，必须立即执行账号注销或权限回收流程。在离职生效后的24小时内，系统管理员应冻结其所有访问权限，清除其办公设备中的系统访问凭证与缓存数据，并签署《离岗保密承诺书》。第十三条严禁员工私自将个人账号出借、租赁、转让给他人使用。账号仅限本人使用，并对该账号下的所有操作行为承担法律责任。若发现账号共用行为，将按严重违规处理。第十四条外部专家或第三方机构因业务需要访问系统时，必须由业务部门发起申请，经领导小组审批后，开通临时账号与受限权限。访问过程必须进行全程录屏审计，访问结束后立即注销账号，并清除相关访问日志以外的所有数据。第四章数据分类与分级管理第十五条依据数据敏感程度与泄露后造成的影响，将系统内的数据分为三个等级进行差异化保护：（一）绝密级：包含受测者身份信息（姓名、身份证号、联系方式、住址）与详细测评结果（包含具体量表得分、因子分、诊断建议、心理剖面图等）。此类数据泄露将严重侵害个人隐私，甚至危及生命安全。（二）机密级：包含去标识化后的测评统计数据、群体分析报告、量表版权信息及系统配置参数。此类数据泄露可能影响机构声誉或造成知识产权损失。（三）内部级：包含系统操作日志、登录日志、一般性公告信息及帮助文档。第十六条针对绝密级数据，实施最高级别保护。数据在存储层必须采用强加密算法（如AES-256）进行加密存储，密钥管理应符合国家密码管理相关规定。在展示层，除必要业务场景外，默认对关键信息进行脱敏显示。第十七条建立数据资产清单，定期梳理数据流转情况。对于新上线的数据采集模块或新增的测评量表，必须在上线前完成数据分级定级工作，并配置相应的安全策略。第五章系统访问控制第十八条系统必须采用强身份认证机制。所有用户账号必须包含大小写字母、数字及特殊符号，长度不得少于12位，并每90天强制更换一次。系统应启用弱口令检测功能，禁止使用常见弱口令。第十九条系统必须启用多因素认证（MFA）。对于远程访问或管理员登录，除用户名密码外，必须结合动态令牌、生物特征识别或手机验证码进行二次认证。第二十条严格实施基于角色的访问控制（RBAC）。根据岗位职责预设角色模板（如测评师、咨询师、管理员、研究员），将用户关联至角色，仅授予完成工作所需的最小权限集。严禁授予超级用户权限，特殊情况需经领导小组审批并留痕。第二十一条不同角色间的权限互斥原则如下：（一）系统管理员与安全审计员权限互斥；（二）业务操作人员与数据库后台直接访问权限互斥；（三）数据录入人员与数据审批人员权限分离。第二十二条实施严格的会话管理策略。用户登录系统后，若连续15分钟无操作，系统应自动锁定会话或强制登出。同一账号在同一时间点的并发会话数不得超过1个，防止账号被盗用后的多点登录。第二十三条系统应具备IP地址访问控制功能。管理员可配置允许访问系统的IP白名单，对于非白名单IP的访问请求，系统应自动阻断并记录告警日志。对于外部访问，必须通过VPN或安全网关进行接入。第六章数据采集与传输安全第二十四条数据采集环节必须遵循“知情同意”原则。在受测者开始测评前，系统必须弹出显著的《隐私政策告知书》，明确告知数据收集的目的、范围、存储期限及使用方式，并获得受测者的明确授权（如点击“同意”按钮）。第二十五条前端输入必须具备严格的数据校验机制。对所有用户输入进行格式检查、长度限制及特殊字符过滤，防止SQL注入、跨站脚本攻击（XSS）等恶意输入。对于测评量表的选项提交，必须进行后端逻辑校验，防止通过篡改前端代码提交非法数据。第二十六条系统必须使用HTTPS协议进行数据传输，禁止使用HTTP或其他明文传输协议。应采用TLS1.2及以上版本的加密协议，配置强加密套件，并禁用已知的弱加密算法（如RC4、DES等）。第二十七条对于涉及生物特征识别（如指纹、人脸识别用于登录）的数据，采集时应优先在本地终端进行特征提取与比对，仅传输加密后的特征值或比对结果，严禁传输原始生物特征图像。第二十八条建立数据传输完整性校验机制。关键数据在传输过程中应附带校验码或数字签名，接收端必须验证数据的完整性，防止数据在传输过程中被窃听或篡改。第七章数据存储与备份安全第二十九条数据库中的敏感字段（如身份证号、手机号、测评详细得分）必须采用加密存储。加密算法应符合国家行业标准（如GM/T0028-2014密码模块安全技术要求），加密密钥应与应用数据分离存储，并实施密钥轮换机制。第三十条建立完善的数据备份策略。备份策略应包括全量备份、增量备份和差异备份。具体要求如下：（一）全量备份：每周至少执行一次；（二）增量备份：每日至少执行一次；（三）日志备份：实时或每小时备份一次数据库事务日志，确保数据可恢复至任意时间点。第三十一条备份数据必须进行加密处理，并存储在与生产系统物理隔离的安全区域（如异地灾备中心或隔离的存储介质）。备份数据的访问权限应严格控制，仅允许在应急恢复场景下由授权人员解密使用。第三十二条每季度至少进行一次数据恢复演练，验证备份数据的有效性与完整性。演练应在不影响生产系统运行的前提下进行，并详细记录恢复过程与耗时，形成演练报告。第三十三条对于已达到留存期限或不再具有业务价值的历史测评数据，应执行数据销毁流程。销毁必须采用逻辑删除与物理擦除相结合的方式，确保数据无法被复原。销毁操作需由双人操作并记录销毁日志。第八章数据使用与处理安全第三十四条严格限制批量导出功能。除科研统计或经审批的特殊业务需求外，系统应禁止普通用户批量导出包含个人身份信息的测评原始数据。第三十五条科研或统计需使用数据时，必须先进行去标识化或匿名化处理。处理后的数据应无法通过任何关联手段识别特定个人，且复现风险极低。去标识化处理流程应在独立的安全沙箱环境中进行。第三十六条系统应具备数据水印功能。在展示测评报告或打印页面时，应在背景中嵌入包含访问者ID、访问时间等信息的隐形或显性数字水印。一旦发生截图泄露，可通过水印溯源追责。第三十七条严禁在非受控环境（如个人微信、私人邮箱、公有网盘）中传输、存储心理测评原始数据。所有业务数据的流转必须在机构内部加密通道或指定的业务系统中进行。第三十八条对于涉及高危预警（如自杀风险、暴力倾向）的测评报告，系统应触发强制流转机制。报告需直接且加密地传输给指定的危机干预专家，严禁在中间环节滞留或被无关人员查看。第九章系统运维与监控审计第三十九条系统服务器必须部署在物理环境安全的机房内，具备防火、防水、防静电、防电磁干扰及温湿度控制设施。机房进出必须实行门禁管理与登记制度，监控录像保留时间不得少于90天。第四十条服务器操作系统及数据库系统应进行安全加固。关闭不必要的服务、端口及账号；及时安装操作系统补丁与应用程序补丁；配置严格的系统文件与目录权限。第四十一条部署网络边界防护设备。在系统前端部署Web应用防火墙（WAF），实时拦截SQL注入、XSS、网页篡改等攻击行为；部署入侵检测系统（IDS/IPS），监控网络异常流量。第四十二条系统必须开启全方位的审计日志功能。审计范围包括但不限于：用户登录/登出、增删改查操作、权限变更、导出打印、异常报错等。日志内容应包含：操作者ID、操作时间、IP地址、操作模块、操作内容及结果。第四十三条审计日志必须进行防篡改保护，实时同步至独立的日志服务器。日志留存时间不得少于6个月，满足法律法规对日志审计的要求。对于关键敏感操作，系统应支持实时告警通知审计员。第四十四条建立安全巡检制度。运维人员每日查看系统运行状态及安全告警信息，每周分析一次安全日志，每月提交一次系统安全运行报告。如发现异常入侵迹象，应立即启动应急预案。第十章应急响应与处置第四十五条制定《心理测评系统安全事件应急预案》，明确应急组织架构、响应流程、处置措施及恢复策略。预案应涵盖数据泄露、系统瘫痪、勒索病毒感染、恶意攻击等典型场景。第四十六条建立安全事件分级标准。根据事件的影响范围与危害程度，将事件分为一般、较大、重大、特别重大四个等级。不同等级对应不同的响应时效与汇报流程。第四十七条发生数据泄露安全事件时，应立即采取以下遏制措施：（一）断开受影响系统的网络连接，防止攻击扩散；（二）封禁涉嫌入侵的账号与IP地址；（三）保存现场证据，包括内存镜像、磁盘镜像、网络流量包及系统日志，严禁直接重启服务器导致证据丢失。第四十八条在事件处置过程中，如涉及受测者隐私泄露，应依据法律法规要求，在规定时限内向监管部门报告，并及时通知受测者风险情况，同时采取补救措施（如提供身份保护服务）。第四十九条事件处置结束后，应成立调查组进行根因分析，编写《安全事件调查报告》。报告应总结经验教训，提出整改措施，并对相关责任人员进行追责处理。整改措施落实后，需进行复盘验证。第十一章合规审计与责任追究第五十条每年至少开展一次内部信息安全合规性审计，重点检查权限管理、日志留存、数据加密、备份恢复等制度的执行情况。每两年应聘请具备资质的第三方机构进行一次全面的安全评估与渗透测试。第五十一条审计结果应作为部门绩效考核的重要指标。对于在信息安全工作中做出突出贡献、及时发现重大漏洞或成功阻断攻击的个人与团队，给予表彰与奖励。第五十二条对于违反本细则规定，造成安全隐患或发生安全事件的行为，视情节轻重给予相应处罚：（一）轻微违规（如弱口令、账号借用未造成后果）：给予口头警告、通报批评，并强制重新培训；（二）一般违规（如违规导出数据、配置错误）：暂停账号权限，给予记过处分，扣除当期绩效；（三）严重违规（如故意泄露数据、删除日志、内外勾结窃取数据）：立即解除劳动合同，永久列入行业黑名单，并移交司法机关依法追究法律责任。第五十三条本细则由心理测评信息安全领导小组负责解释和修订。随着国家