电子病历系统使用中的患者信息安全管控

信息安全电子病历系统使用中的患者信息安全管控法规·风险·技术·管理·案例日期2026年8月课程导览01法规红线2026最新政策与处罚阶梯解读02风险全景内外威胁与典型泄密通道扫描03技术纵深等保三级与三重加密防护体系04权限管控分级授权与全流程追溯机制05案例警示真实处罚案例与行动清单CHAPTER法规红线数据安全已从道德要求变为法律红线2026年医疗数据安全进入强监管时代，违规代价量化到每一级012026：医疗数据安全强监管元年2026年，医疗数据安全从原则倡导正式迈向刚性制度约束2026年2月五部委联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》七章四十条，确立分类分级、全生命周期管理、个人信息保护三大核心制度2026年4月中央网信办等三部门启动专项治理全国范围排查卫生健康领域个人信息保护违规行为2026年5月十四部门联合发布纠风工作要点严守医疗数据安全列为九大重点之一，首次作为独立任务单列2026年7月国家数据局部署10个国家数据要素综合试验区先行破解医疗数据安全合规难题业界共识：2026年是医疗数据安全治理的大年五部委新规：三大核心制度解读分类分级保护三级分类核心/重要/一般三级，多级别并行时按最高级保护动态评估省级卫健部门定期梳理，动态更新重要/核心数据目录重新定级数据内容、规模、场景变化时须重新评估定级全生命周期管理八环节覆盖收集、存储、使用、加工、传输、提供、公开、删除五大保障制度、人员、管理、技术、应急必须全部到位等保要求重要数据三级及以上等保，核心数据不低于四级等保年度评估重要数据每年度开展风险评估个人信息保护重点保护高精度大规模个人信息纳入国家重要数据目录合规审计每年度开展个人信息保护合规审计十项禁止明确列出十项禁止行为，划定刚性红线AI约束AI等新技术处理病历时须确保个人信息安全数据分级标准：三类数据如何界定对比维度核心数据重要数据一般数据定义泄露后可能危害

国家安全、国计民生泄露后可能危害

公共利益、社会秩序不涉及以上两类，但包含个人敏感信息等保要求四级等保三级等保基本安全策略密码要求优先使用商用密码——人员审查关键岗位国家安全背景审查明确数据安全负责人按机构内部规范管理日志留存不少于3年不少于1年按机构内部规范管理对外提供—超

30%

须风险评估—典型示例特定疾病全国流行数据、国家生物安全战略数据大量患者诊疗数据、医保结算数据、基因检测数据脱敏后的统计数据、一般行政管理数据数据分类分级是安全管理的基础，不同级别匹配不同防护强度商用密码：核心数据的优先护盾《办法》第十一条明确要求：处理核心数据须在重要数据保护基础上，优先使用商用密码进行安全防护实践案例北京协和医院电子病历系统迁移至国产化安全云平台，采用SM4国密算法加密，访问需指纹+密码双认证四项附加要求优先使用安全可信产品服务；优先使用第三方评估机构开展风险评估；安全事件日志留存不少于三年；关键岗位人员国家安全背景审查市场趋势120亿元2025-2026年医疗数据安全市场规模35%→60%国产化安全产品市场占有率上海新规：泄露患者隐私四级处罚阶梯首次量化标准，违规代价逐级攀升——从万元罚款到终身禁业2026年8月1日起，《上海市医师行政处罚裁量权基准》正式施行，首次量化医师泄露患者隐私的处罚标准四级处罚阶梯处罚档次触发条件处罚措施第一档（较轻）初次泄露1至5条非亡故患者隐私警告、没收违法所得、罚款1万至2万元第二档（中等）初次泄露6至10条非亡故患者隐私，或泄露未成年人信息警告、没收违法所得、罚款2万至3万元第三档（严重）泄露10条以上、泄露亡故者信息、曾被处罚1次警告、没收违法所得、罚款3万元、暂停执业6个月至1年第四档（特别严重）满足第三档两种及以上情形、曾被处罚2次及以上警告、没收违法所得、罚款3万元、吊销医师执业证书十项禁止行为：管理者必须死守的红线数据采集与调阅违法采集数据超范围/非法方式采集超授权调阅须区分医疗、教学、科研等合法情形信息传输与展示通讯软件传输拍照、截图公开患者信息公共区域明文显示电子屏显示姓名、身份证号、电话等，应脱敏生物识别与出境人脸识别唯一验证原则上不得通过互联网对外传输人脸信息违法向境外提供须符合《个人信息保护法》第三十八条并取得单独同意公开与提供未经同意公开新闻报道、公开讲座、学术论文等场景违法提供除突发公共卫生事件或紧急救治等法定情形外CHAPTER风险全景70%的数据泄露源于内部人员违规操作外部攻击持续升级，内部管控才是最大短板02外部威胁：黑客攻击与勒索病毒升级医疗信息系统已成为黑客攻击的高价值目标攻击手段升级定向APT攻击从传统网络渗透到定向APT攻击数据窃取+加密勒索从单一勒索到双重威胁勒索软件致业务瘫痪手术延迟、信息系统瘫痪事件屡屡发生攻击面持续扩张入口几何级增长远程诊疗、可穿戴设备、医疗物联网普及数据入口呈几何级增长等保三级防护体系攻击即时拦截于外围隔离区，数百万患者数据毫发无损防护薄弱社区医院病历信息被轻易窃取VS内部威胁：70%泄露源于违规操作70%内部违规占比

源于内部人员120起数据泄露事件

2024年全国人情转发碍于人情私自调取患者就诊记录转发他人，未收费也构成违法屏幕暴露值班电脑无人值守，患者列表被非授权人员偷窥或偷拍账号盗用下班未锁屏，账号被他人利用深夜批量调阅病历论文欺诈以写论文为由欺骗同事登录，非法获取批量信息用于商业目的多数医院终端防护仍停留在制度上墙、口头提醒阶段，缺乏实时阻断能力屏幕偷拍：最隐蔽也最难管控的泄密通道最可怕的不是监控，是旁边有人掏出手机对着屏幕拍场景一：家属随拍医生浏览电子病历，患者家属站在一旁掏出手机随手一拍——不走网络、不触发系统告警，传统DLP软件完全感知不到场景二：保洁偷拍护士站电脑无人值守，屏幕上挂着患者列表。保洁人员凑近看一眼，掏出手机拍一张，全程不到10秒场景三：未锁屏盗用医生下班未锁屏，第二天发现账号在深夜被大量调阅病历，无从查证使用人传统应对手段（制度约束、贴水印、事后审计）只能威慑和追溯，无法在泄密发生的那一瞬间拦住那只手供应链风险：第三方服务商的安全盲区与外部服务商须签订严格的保密协议和授权协议，明确访问范围、目的和期限，服务过程接受医疗机构监督合规穿透2026年纠风工作要点要求，数据合规须延伸至院外合作场景，重点整治借助第三方以科研名义变相实施带金销售等不法行为第三方服务商风险管控矩阵风险场景风险点管控要求云服务商数据主权、跨区域合规、配置失误合同明确数据存储位置，定期合规审计系统运维商远程维护账号滥用、数据库直接访问临时授权、操作全程录屏、审计日志留存AI应用服务商模型训练数据泄露、算法偏见数据脱敏后使用，签订数据处理协议开源组件已知漏洞未修复、供应链攻击定期漏洞扫描，建立组件资产清单医院信息系统高度依赖第三方，一个底层组件漏洞即可击穿层层防护CHAPTER技术纵深纵深防御，让每一层都成为黑客禁区从网络隔离到国密加密，构建环环相扣的防护链条03等保三级：电子病历系统的安全基线对比维度等保二级（基础盾牌）等保三级（全面要塞）适用场景普通诊所、体检中心、二甲以下医院大型三甲医院、区域医疗中心身份认证用户名加密码双因子认证（密码加动态令牌或指纹加数字证书）网络隔离逻辑隔离，要求较宽松三网分离物理或逻辑隔离，核心业务网禁止随意接入互联网数据加密核心数据加密传输加密加存储加密加访问加密，强制使用国密算法日志审计保留时间较短详细操作指纹记录，全程可追溯安全监测依靠人工巡检7×24小时IDS加SOC，高级威胁分析平台灾备要求基本备份灾备中心保障业务永续，备份节点距离不低于50公里测评频率周期性测评每年接受严格现场测评电子病历系统建议定级不低于等保二级，大型三甲医院核心系统须达等保三级；须通过等保测评，与医院等级评审和绩效考核直接挂钩电子病历4级及以上应用水平须通过等保测评，与医院等级评审和绩效考核直接挂钩三重加密：传输、存储、访问全覆盖传输加密—通道安全全程加密院内网络、跨院共享、远程诊疗等场景全程加密协议与算法采用TLS1.3及以上协议，核心数据使用国密SM4算法禁止非加密通道禁止通过微信、私人邮箱等非加密通道明文传输存储加密—静态安全强制加密存储数据库层对敏感字段（姓名、身份证号、诊断结果）强制加密存储不可读密文即使数据意外泄露，内容亦为不可读密文备份同标准备份数据与主数据采用相同加密标准访问加密—入口安全双因子认证登录核心系统须双因子认证最小授权原则权限遵循最小授权原则，医生仅能访问其诊疗患者数据访问指纹系统自动记录所有操作的详细访问指纹网络隔离：三网分离的纵深防御外部服务网（互联网接入层）门户网站+预约挂号+远程诊疗下一代防火墙+WAF+DDoS防护所有互联网流量严格过滤内部办公网（办公管理层）行政+财务+人事系统网闸单向逻辑隔离，禁止主动向核心网推送数据核心业务网（数据核心层）电子病历+HIS+PACS等核心临床系统与互联网物理隔离，禁止随意接入入侵检测系统7×24小时

异常行为监控国密算法：自主可控的加密基石商用密码是核心数据的优先护盾国密算法SM4已成为医疗数据加密的事实标准核心应用场景数据库加密字段级防护传输加密通道安全电子签名身份认证备份加密离线保护北京协和医院电子病历系统迁移国产化安全云平台SM4加密+指纹加密码双认证阿里健康医疗数据安全审计系统已接入全国

2000家

基层医疗机构全程追溯国产化率35%→60%2025至2026年国产化安全产品市场占有率预计提升VS灾备与应急：业务永续的最后防线医疗系统不可用直接危及生命——灾备是底线，应急是能力灾备核心要求指标要求备份节点距离与生产节点不低于

50公里UPS续航不低于

4小时机房恒温20℃–25℃事件日志留存不少于

三年诊疗数据须

实时备份，核心系统建立灾备中心保障业务永续应急响应机制建立信息泄露场景

应急处置制度舆情发生时

立即封存

涉事人员信息，无关人员

不得访问数据泄露事件须在

48小时内

上报主管部门定期开展桌面与实战演练，形成人人有责、人人可验证的安全文化红线警示：数据泄露事件

48小时内

必须上报，瞒报漏报将直接触发问责升级CHAPTER权限管控最小授权，全程留痕，责任到人权限管控是连接技术与制度的最后一道闸门04分级授权：谁看什么、看多久、谁能改"最小可用原则：按岗位职责、角色任务、使用需求，明确分级访问权限和时限"角色维度——谁能看临床医生仅限本人诊疗患者，调阅限于当前所需护理人员限本科室住院患者，禁止跨科室管理人员脱敏统计数据，禁止直接查阅患者身份信息科研人员须伦理审批，去标识化+匿名化双重处理后使用时效维度——看多久短期人员（实习/进修）权限不超学习范围与时长离职离岗权限及时回收，动态授权跨科会诊临时授权，结束自动收回操作维度——谁能改设置书写/审阅/修改权限和时限实习人员记录须上级医师审阅确认严禁行为未经授权查阅/复制/传播/篡改数字水印：让每一次操作都留下痕迹配套机制：电子病历系统历次操作痕迹、操作时间和操作人员信息须可查询、可追溯政策要求卫健委明确支持通过数字水印等技术手段，确保使用过程留痕，保障全流程可追溯技术原理在电子病历页面嵌入不可见或半可见的追溯标记，包含操作人员身份、操作时间、设备信息，截图或拍照传播后仍可追溯泄露源头应用场景医生调阅页面自动叠加含操作者姓名与工号的水印，威慑偷拍行为病历打印每页附加追溯码，纸质件流出后可定位责任人院外共享附加接收方信息水印，外泄后可快速锁定责任环节日志审计：不可篡改的操作指纹权限时限管控设置医务人员书写、审阅、修改的权限与时限，操作确认后实名+时间双显示操作印痕留存所有操作保存历次操作印痕，确保行为可追溯日志类型与留存要求日志类型适用范围留存要求重要数据处理活动日志安全事件处置、溯源不少于1年重要数据提供、委托处理、共同处理日志向他人提供、委托处理等场景不少于3年核心数据安全事件日志安全事件处置、溯源不少于3年门禁系统记录核心机房进出不少于6个月监控录像关键设备区域不少于90天安全文档查阅记录授权人员查阅安全文档不少于1年

发生就医诊疗相关舆情时，须立即封存涉及人员信息，无关人员禁止访问、浏览、转发特殊人群：五类敏感信息的重点保护五类特殊人群信息：泄露代价更高，管控必须更严孕产妇与新生儿01产科信息非法倒卖高发区，多起护师获刑02严格限制访问权限，禁止批量查询艾滋病与精神障碍患者01信息泄露引发歧视，保护等级提高02单独设权限，调阅须科室负责人审批逝者信息01上海新规：泄露亡故患者信息新增为严重违法情形02医生非法获取800余份出售，暂停执业并罚款03打破误区，名人离世病历泄露从重处罚公众人物01名人病历泄露频发，引发巨大舆论02VIP保护机制，非授权调阅触发告警全员培训：安全意识是最后一道防线全员安全意识，是管理闭环的最后一道防线培训体系法规红线三法一条例及《办法》核心条款，十项禁止行为逐条讲解场景模拟随手拍照、微信转发、亲友调阅等常见违规场景的识别与拒绝应急演练信息泄露后48小时内上报流程，舆情封存操作步骤持续教育覆盖常见威胁、社会工程学识别、应急响应流程和数据保护基础考核挂钩绩效评价电子病历信息规范使用管理情况纳入绩效评价违规追责出现违规操作、泄露信息等不良事件，依法依规追究相应部门和个人责任权限最小化对高权限人员实行权限最小化加定期轮岗制度离岗离职时严格清理权限与接入外部管控短期人员须接受医疗机构组织的相关培训，依权限规范使用服务商协议签订严格的保密协议和授权协议，明确访问范围、目的和期限过程监督服务过程中接受医疗机构监督，确保数据安全新入职、转岗人员须完成安全培训CHAPTER案例警示每一次违规都有代价，每一个案例都是警钟从万元罚款到刑事判刑，真实案例推动制度落地05第一档案例：为朋友义气，罚款**11200元**11200元罚款动机应朋友请求，为离婚诉讼获取配偶病历行为未获患者同意即调取发送诊断内容查实手段监控录像+挂号记录+证言锁定对应档级上海新规第一档：泄露1-5条非亡故患者隐私，初次违法核心教训哪怕不收钱、不牟利，未经同意即构成违法。亲戚、好友、家人概不例外——保护患者隐私是法律底线，非人情考量第二档案例：泄露未成年人病历违规方式将未成年学生住院电子病历拍照，通过微信传播致隐私泄露传播路径微信随手一拍→熟人转发→隐私泄露链24,000元罚款金额1年暂停执业第二档上海新规泄露6-10条微信转发是最高频的违规通道—即便只是随手一拍发给熟人，都可能付出停业整顿的沉重代价第三档案例：护士传播病历，暂停执业六个月非医师群体同样受监管约束——护士、技师、行政人员一旦违规，同样面临停业乃至更严厉处罚赵某案2024年4月，某县医院护士将患者电子病历拍照微信传播处罚结果警告、暂停六个月执业活动法规依据《护士条例》第三十一条第一款第三项对应档级上海新规第三档：泄露10条以上，或曾被处罚1次拓展案例上海某三