2026年医院信息安全管理制度考试题及答案

2026年医院信息安全管理制度考试题及答案一、单项选择题（每题2分，共20分）1.根据《医疗数据分类分级指南（2025修订版）》，以下哪类数据属于"三级核心数据"？A.门诊患者姓名、性别B.住院患者电子病历（含诊断结论）C.医院设备采购清单D.公共区域监控视频（非诊疗区域）答案：B2.医院信息系统访问控制应遵循的核心原则是：A.角色全覆盖原则B.最小权限原则C.双人操作原则D.跨部门审批原则答案：B3.依据《医疗机构网络安全事件应急预案编制规范》，发生Ⅱ级网络安全事件（系统中断超4小时）时，应在多长时间内向属地卫生健康主管部门报告？A.30分钟B.1小时C.2小时D.4小时答案：B4.医疗物联网设备（如智能输液泵）接入医院内网时，必须实施的安全措施是：A.开放默认端口B.启用静态IP地址C.部署设备身份认证D.共享管理账户答案：C5.对存储患者影像数据的移动存储介质进行销毁时，应采用的标准是：A.格式化3次B.物理粉碎+数据擦除（符合GB/T28877-2012）C.简单删除文件D.覆盖1次随机数据答案：B6.医院AI辅助诊断系统产生的临时诊疗数据，其存储周期最长不超过：A.72小时B.30天C.6个月D.1年答案：A7.根据《个人信息保护法》医疗特殊条款，处理患者敏感个人信息时，除取得单独同意外还需：A.提供信息处理的算法逻辑B.说明信息共享的具体第三方C.确保处理活动符合诊疗规范D.公开信息存储的物理位置答案：C8.医院信息系统年度安全检测中，漏洞修复率应达到：A.80%B.85%C.90%D.100%答案：D9.远程医疗会诊系统的通信加密应至少采用：A.TLS1.0B.TLS1.2C.AES-128D.RSA1024位答案：B10.新入职的信息科工程师，其访问电子病历系统的权限应：A.由科主任直接授予最高权限B.根据岗位职责设定最小必要权限C.参照同岗位老员工权限设置D.初始设置为只读权限，3个月后开放读写答案：B二、多项选择题（每题3分，共15分，少选得1分，错选不得分）11.医院信息安全管理制度应包含以下哪些内容？A.数据分类分级管理办法B.移动终端接入安全规范C.第三方运维安全协议模板D.信息安全事件追责机制答案：ABCD12.以下哪些行为违反医院信息安全规定？A.护士使用自己手机拍摄患者电子病历屏幕B.工程师将测试账号共享给实习人员C.医生通过医院VPN远程调阅本院患者病历D.信息科定期备份核心数据至离线存储设备答案：AB13.医疗数据脱敏的常用技术包括：A.数据替换（如将姓名替换为"患者X"）B.数据混淆（如将出生日期加减随机天数）C.数据截断（如保留身份证号前6位）D.数据加密（使用对称加密算法）答案：ABC14.医院信息安全培训应覆盖的对象包括：A.临床医护人员B.后勤保障人员C.第三方运维人员D.进修实习人员答案：ABCD15.针对勒索软件攻击的防范措施包括：A.定期离线备份重要数据B.关闭不必要的端口和服务C.启用多因素认证（MFA）D.安装最新版本的防病毒软件答案：ABCD三、判断题（每题1分，共10分，正确打√，错误打×）16.医院公共WiFi可以与内网直接互联，方便患者上网。（）答案：×17.信息系统账号应定期（每季度）进行权限审计，删除冗余权限。（）答案：√18.为提高工作效率，护士站可以共享使用同一个登录账号。（）答案：×19.存储患者检验报告的服务器必须部署在医院本地，禁止使用云存储。（）答案：×（注：符合安全要求的合规云存储允许使用）20.发生数据泄露事件后，只需向医院内部管理层报告，无需告知患者。（）答案：×21.医疗设备厂商远程维护时，必须通过医院专用VPN并记录操作日志。（）答案：√22.新上线的信息系统无需进行安全测试，直接接入生产环境。（）答案：×23.员工离职时，只需收回工牌，无需注销信息系统账号。（）答案：×24.患者通过互联网医院平台提交的个人信息，存储期限不得超过诊疗结束后5年。（）答案：√25.医院信息安全领导小组应至少每半年召开一次工作会议。（）答案：√四、简答题（每题8分，共40分）26.简述医院核心信息系统（如HIS、EMR）应实施的访问控制措施。答案要点：①采用基于角色的访问控制（RBAC），根据岗位职责设定权限；②实施多因素认证（MFA），如账号+动态令牌/指纹；③建立权限审批流程，新增/变更权限需经部门负责人审核；④定期（每月）进行权限审计，清理冗余账号；⑤关键操作（如修改诊断记录）需双人确认并记录操作日志。27.列举《数据安全法》对医疗数据处理的三项特殊要求。答案要点：①处理敏感医疗数据应取得患者单独同意，法律、行政法规另有规定的除外；②医疗数据跨境传输需通过安全评估，确保数据主权；③建立医疗数据安全责任制度，明确数据处理者的主体责任；④发生数据安全事件时，需在规定时间内向卫生健康主管部门和数据安全监管部门报告；⑤医疗数据处理活动应符合医学伦理规范，保护患者隐私和人格尊严。28.说明医院信息系统应急预案应包含的主要内容。答案要点：①应急组织架构（明确总指挥、技术组、协调组等职责）；②事件分级标准（如Ⅰ级：核心系统中断超8小时，Ⅱ级：4-8小时，Ⅲ级：1-4小时）；③响应流程（监测预警→事件确认→隔离阻断→数据恢复→原因分析）；④资源保障（备用设备、离线备份、通信联络清单）；⑤后期处置（事件报告、责任认定、预案修订）；⑥演练要求（每年至少2次综合演练，每季度专项演练）。29.分析移动医疗设备（如便携B超机）面临的主要信息安全风险及防范措施。答案要点：风险：①设备易丢失导致数据泄露；②无线传输易被窃听；③第三方APP安装带来恶意软件风险；④设备固件未及时更新存在漏洞。防范措施：①设备绑定唯一标识，安装定位追踪模块；②无线传输采用TLS1.3以上加密；③禁用设备应用商店，仅允许安装经过安全审核的软件；④建立设备生命周期管理，定期更新固件和安全补丁；⑤存储数据采用加密芯片，设备丢失后自动销毁敏感数据。30.阐述医院信息安全培训的分层实施策略。答案要点：①管理层培训（院长、科室主任）：重点培训法律法规（如《数据安全法》《个人信息保护法》）、安全责任、合规要求，每年至少1次；②技术人员培训（信息科、设备科）：强化技术防护技能（如漏洞修复、入侵检测、应急响应），每季度1次实操演练；③医护人员培训：侧重安全操作规范（如账号管理、数据查看权限、移动设备使用），每月通过在线学习平台推送案例；④第三方人员培训（运维、厂商）：入职前进行安全协议培训，签署保密承诺，每次现场维护前进行专项安全交底；⑤患者及家属宣传：通过公众号、院内屏展示数据保护措施，告知信息使用范围和隐私权利。五、案例分析题（15分）31.某三甲医院2026年3月发生以下事件：护士张某使用个人手机拍摄患者电子病历屏幕（含姓名、诊断、用药信息），并通过微信发送给实习医生李某用于教学。李某将该图片保存在个人云盘，后因云盘账号被盗导致50条患者信息泄露。请分析：（1）事件中存在哪些信息安全违规行为？（5分）（2）医院应采取的应急处置措施有哪些？（5分）（3）如何完善制度预防类似事件再次发生？（5分）答案要点：（1）违规行为：①张某使用私人设备拍摄含敏感信息的屏幕（违反"禁止使用非授权设备采集医疗数据"规定）；②张某通过非加密即时通讯工具传输患者信息（违反"敏感数据需通过专用系统传输"要求）；③李某将患者信息存储于个人云盘（违反"医疗数据须存储于医院受控系统"规定）；④李某未妥善保管云盘账号（违反"个人账号安全管理"要求）；⑤教学使用患者信息未取得患者单独同意（违反《个人信息保护法》医疗特殊条款）。（2）应急处置措施：①立即停用张某、李某的系统账号，冻结云盘账号并联系服务商删除泄露数据；②向患者逐一告知泄露情况，提供身份保护建议（如监测个人信息使用情况）；③2小时内向属地卫生健康主管部门和网信部门报告事件详情；④启动内部调查，固定证据（调取系统日志、微信聊天记录、云盘访问记录）；⑤对受影响患者进行隐私损害评估，必要时提供法律协助或赔偿。（3）制度完善措施：①修订《移动设备使用管理办法》，明确禁止私人设备拍摄/传输医疗