医疗数据安全管理规范

医疗数据安全管理规范第一章总则1.1目的与依据为规范医疗数据在全生命周期内的安全管理，保障患者隐私权、知情同意权以及医疗机构的合法权益，防范数据泄露、篡改、丢失等安全风险，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《医疗卫生机构网络安全管理办法》及国家卫生健康委员会相关行业标准，结合本机构业务实际情况，制定本规范。本规范旨在建立一套“权责清晰、制度规范、技术先进、管控严密”的医疗数据安全管理体系，确保医疗数据的保密性、完整性、可用性得到持续保障，促进医疗数据的合规利用与价值挖掘。1.2适用范围本规范适用于本机构内所有涉及医疗数据产生、采集、存储、传输、处理、交换、销毁等活动的部门、科室及全体人员，包括但不限于临床医务人员、医技人员、行政管理人员、信息技术人员、第三方外包服务人员及实习生等。涵盖的数据范围包括但不限于：电子病历数据（EMR）、医学影像数据（PACS）、检验检查数据（LIS）、健康档案数据、运营管理数据、科研数据以及通过网络传输、移动存储介质存储的所有涉及患者个人信息和医疗业务信息的各类数据资产。1.3基本原则1.3.1合规性原则所有数据处理活动必须严格遵守国家法律法规、行业监管要求及地方法规，确保数据处理流程合法、正当、必要。1.3.2最小授权原则数据访问权限应严格遵循业务需求，仅授予完成工作任务所需的最小权限，坚决杜绝越权访问和特权账号滥用。1.3.3全生命周期管理原则数据安全管理应覆盖从数据产生至销毁的各个环节，实施闭环管理，不留安全死角。1.3.4分类分级原则根据数据的重要性和敏感程度对数据进行分类分级，并针对不同级别数据采取差异化的安全管理策略和技术防护措施。1.3.5谁主管谁负责、谁使用谁负责原则数据产生科室和使用科室对数据安全承担直接责任，信息管理部门承担技术保障与监管责任，形成齐抓共管的安全责任体系。1.4核心概念定义医疗数据：指医疗机构在开展医疗、科研、教学、预防、保健等业务过程中产生的，能够单独或者结合其他信息识别自然人身份的各种信息，包括患者的姓名、身份证号、住址、联系方式、病理诊断、影像资料、基因信息等。去标识化：指通过技术处理，使其在不借助额外信息的情况下，无法识别特定自然人的过程，包括但不限于假名化、加密、哈希处理等。敏感医疗数据：指一旦泄露、非法提供或滥用，可能导致人身、财产安全受到严重危害的医疗数据，如传染病史、精神病史、基因检测数据、生殖健康数据等。第二章组织架构与职责2.1数据安全领导小组成立由机构主要负责人任组长的数据安全领导小组，作为数据安全管理的最高决策机构。主要职责包括：（1）审定数据安全管理的总体方针、政策及年度工作计划；（2）审批重大数据安全项目的建设与经费投入；（3）决策重大数据安全事件的响应与处置方案；（4）协调跨部门的数据安全协作与资源调配。2.2数据安全管理委员会在领导小组下设数据安全管理委员会，由分管信息化的副院长担任主任，成员包含医务部、护理部、信息中心、质控科、科研部等相关职能部门负责人。主要职责包括：（1）组织制定和修订数据安全管理相关制度与操作规程；（2）监督各部门对数据安全制度的执行情况；（3）定期组织数据安全风险评估与合规性审计；（4）统筹数据分类分级标准的制定与落地实施。2.3信息管理部门（技术执行层）信息中心（或信息技术部）作为数据安全管理的技术执行部门，负责落实技术防护措施。主要职责包括：（1）负责数据安全防护体系的建设、运维与升级，包括防火墙、入侵检测、数据防泄漏（DLP）、加密系统等；（2）实施数据备份与恢复策略，确保业务连续性；（3）监控网络流量与系统日志，及时发现并处置异常访问行为；（4）负责数据访问控制系统的配置与维护，执行账号生命周期管理；（5）配合开展数据安全事件的技术调查与取证。2.4业务科室（数据使用层）各临床、医技及行政职能科室是数据安全的第一责任主体。主要职责包括：（1）严格执行数据安全管理制度，规范本科室人员的数据操作行为；（2）负责本科室产生数据的录入质量控制，确保数据真实、准确、完整；（3）及时报告发现的数据安全隐患或安全事件；（4）配合数据安全管理委员会开展安全培训与应急演练。第三章数据分类分级管理3.1数据分类规范医疗数据按照属性和业务领域进行分类，主要包括以下几大类：（1）患者人口学信息：姓名、性别、出生日期、身份证号、医保卡号、联系电话、家庭住址等。（2）临床诊疗信息：主诉、现病史、既往史、体格检查、诊断记录、处方记录、手术记录、病程记录等。（3）检验检查信息：实验室检验数值、影像图像及报告、病理检查报告、内镜检查报告等。（4）费用信息：诊疗项目费用、药品费用、结算明细、医保报销信息等。（5）管理运营信息：医院运营指标、医护人员排班、药品库存管理、设备采购信息等。3.2数据分级标准根据数据泄露后对患者、医疗机构及公共利益造成的影响程度，将医疗数据划分为四个级别：数据级别定义描述典型数据示例泄露影响第4级（绝密级）涉及国家安全、国家利益或极度敏感的个人隐私，一旦泄露对个人或机构造成特别严重危害。涉及烈性传染病患者名单、核心手术视频、高干健康档案、基因测序原始数据严重威胁生命安全、引发重大社会恐慌、造成巨大声誉损失第3级（敏感级）涉及个人隐私及核心诊疗秘密，一旦泄露对个人人身、财产安全造成严重危害。身份证号、家庭住址、银行卡号、病理诊断结果、精神病史、HIV检测结果导致个人隐私曝光、遭受诈骗、歧视或名誉受损第2级（内部级）仅限机构内部知晓，不宜对外公开，泄露后对机构运营造成一般影响。医院排班表、内部行政通知、药品采购价格、普通门诊统计数据影响医院正常运营秩序、造成商业竞争劣势第1级（公开级）可向社会公开或患者主动公开的信息，泄露风险极低。医院科室介绍、专家出诊时间表、健康宣教知识、挂号收费标准基本无负面影响，或属于法定公开信息3.3分级标识与管控所有信息系统在建设及数据录入时，必须自动或人工标识数据级别。管控要求：（1）第4级数据：禁止导出至非涉密环境，必须采用高强度加密存储，访问实行“双人双锁”或多因素强认证机制，操作日志留存不少于5年。（2）第3级数据：核心字段（如身份证号、住址）在展示时必须进行去标识化处理（如掩码显示：320***1234），严禁批量导出，确需导出需经分管院领导审批。（3）第2级数据：限制在院内局域网访问，禁止通过互联网直接访问，数据交换需经过安全网关。（4）第1级数据：可在互联网范围内合规发布，发布前需经过内容审核。第四章数据全生命周期安全管理4.1数据采集安全4.1.1来源合法性数据采集应直接来源于合法的医疗业务活动，如门诊挂号、医生工作站、检验设备等。严禁通过非法渠道购买、爬取或诱导患者提供非必要的额外数据。4.1.2最小必要原则在采集患者个人信息时，应仅收集诊疗服务所必需的信息。例如，普通感冒就诊不应强制收集生殖系统病史或不必要的基因信息。对于非必要字段，系统应支持选填或屏蔽。4.1.3告知与同意在首次采集患者信息时，必须通过纸质或电子形式明确告知患者数据收集的目的、范围、存储期限及使用方式，并取得患者的明确授权或知情同意。对于特殊敏感数据（如指纹、人脸识别），需取得单独同意。4.2数据传输安全4.2.1传输加密所有医疗数据在网络传输过程中，必须采用加密通道。内部系统间调用应采用TLS1.2及以上版本加密协议；外部数据传输（如互联网、公网）必须使用VPN、SSL加密等技术，防止数据被窃听、篡改。4.2.2传输完整性关键数据传输需具备校验机制（如CRC校验、数字签名），确保数据在传输过程中未被意外修改或丢失。4.2.3接口安全管控建立统一的数据交换总线（ESB/API网关），所有数据接口必须经过注册、鉴权方可调用。严禁在公网暴露未做防护的数据库接口或内部服务接口。接口调用需实施限流、防重放攻击及IP白名单策略。4.3数据存储安全4.3.1存储加密对于第3级及以上敏感数据，数据库底层存储必须采用加密技术。建议使用国密算法（如SM4）进行字段级或文件级加密。加密密钥的管理必须独立于数据存储，实施密钥定期轮换机制。4.3.2介质管理禁止将医疗数据存储在个人计算机、私人U盘或未受管控的移动硬盘中。确需使用移动介质进行数据搬运的，必须使用经过加密认证的专用安全介质，并建立严格的借用、归还登记制度。4.3.3物理环境安全存放核心数据的机房应符合GB50174《数据中心设计规范》A级或B级标准，具备防火、防潮、防静电、电磁屏蔽及物理入侵报警能力。实行门禁刷卡+指纹双重认证，进出机房需登记。4.4数据处理与使用安全4.4.1屏幕水印在包含敏感数据的业务系统界面，应强制加载动态屏幕水印（包含访问者工号、姓名、时间等），防止通过截屏、拍照方式泄露数据。4.4.2批量导出控制严禁在业务高峰期进行大批量数据导出操作。系统需对批量查询、导出操作配置严格的阈值策略，超过阈值需触发人工审批流程，并由安全审计员进行复核。4.4.3科研数据利用用于科研目的的数据使用，必须先经过严格的去标识化处理，且经过伦理委员会审批。科研数据应在独立的科研数据域中进行处理，严禁与生产环境数据混用，严禁将科研数据带离医院网络环境。4.5数据共享与开放安全4.5.1外部共享审批向医保、卫健、疾控等外部机构共享数据，或与第三方医疗机构进行远程会诊数据共享，必须签署数据保密协议（DPA），明确数据使用范围和法律责任，并经过数据安全管理委员会审批。4.5.2互联网医院数据安全互联网医院采集的数据必须实时同步至院内核心数据中心。互联网端展示的患者信息必须脱敏处理。互联网诊疗的录音、录像数据应加密存储，且访问权限仅对特定医生开放。4.6数据销毁安全4.6.1销毁触发条件当达到数据保留期限、患者申请彻底删除（在法律允许范围内）、或存储介质报废时，应执行数据销毁流程。4.6.2逻辑销毁与物理销毁逻辑销毁：在数据库中彻底删除记录，并清除相关备份，确保无法通过常规手段恢复。物理销毁：对于报废的硬盘、磁带等存储介质，应采用消磁、粉碎等物理方式彻底破坏，确保数据无法被技术手段复原。销毁过程需有两人以上在场监销并全程录像，留存销毁记录。第五章访问控制与身份认证5.1身份认证管理5.1.1强身份认证所有访问医疗信息系统的人员，必须通过唯一身份标识（用户名/工号）进行登录。对于访问第3级及以上数据或执行关键操作（如开具处方、下达医嘱）的用户，必须实施多因素认证（MFA），如“密码+动态令牌”或“密码+生物特征”。5.1.2口令策略系统应强制实施强口令策略，密码长度不得少于10位，且必须包含大小写字母、数字及特殊符号。密码每90天强制更换一次，禁止重复使用最近5次内的旧密码。系统应具备防暴力破解机制，连续输错密码5次应锁定账号。5.2权限管理模型采用基于角色的访问控制（RBAC）模型，根据岗位职责预定义角色（如：住院医师、护士、收费员、系统管理员），将权限赋予角色，再将角色赋予用户。5.2.1权限审批新员工入职或岗位变动时，需由所在科室发起权限申请，经科室负责人及信息管理部门审批后方可开通。权限开通遵循“最小够用”原则，严禁开通与岗位无关的权限。5.2.2临时授权管理对于特殊场景（如会诊、紧急救援）需要的临时权限，需进行临时授权申请，设置有效期（最长不超过24小时），到期后系统自动回收权限。5.3账号生命周期管理5.3.1账号清理人力资源部门应定期向信息中心提供人员离职、退休名单。信息中心在接到名单后1个工作日内，冻结或注销其对应的所有系统账号，并清除相关访问凭证。5.3.2账号审计每季度对系统账号进行一次审计，检查是否存在幽灵账号（长期未登录）、共享账号（多人共用一账号）或特权账号滥用情况，发现违规立即整改。第六章安全审计与监控6.1审计范围审计范围应覆盖所有用户、所有系统组件及所有关键操作。重点审计内容包括：（1）用户登录/登出行为（时间、IP、终端设备）；（2）对敏感数据的查询、导出、修改、删除操作；（3）系统管理员权限的分配与回收；（4）系统配置变更及补丁更新操作；（5）数据接口的调用情况。6.2审计记录要求审计日志内容必须包含：事件时间、事件类型、主体（操作人）、结果（成功/失败）、客体（被操作对象）、源IP地址等关键要素。审计日志应严格保护，防止篡改，留存时间不少于6个月，涉及刑事案件调查的日志应留存至结案后。6.3实时监控与告警部署数据库审计系统、态势感知平台及UEBA（用户实体行为分析）系统。建立异常行为检测模型，对以下行为实施实时告警：（1）非工作时间（如22:00-06:00）访问核心业务系统；（2）单用户短时间内高频查询大量患者病历；（3）异地登录或来自高危国家的IP访问请求；（4）尝试通过SQL注入、暴力破解等攻击手段访问数据库。第七章应急响应与处置7.1应急预案制定制定《医疗数据安全事件应急预案》，明确应急组织架构、响应流程、处置措施及恢复策略。预案应针对勒索病毒攻击、数据库泄露、系统瘫痪等不同场景制定专项处置方案。7.2事件分级与报告根据数据安全事件的影响范围和危害程度，将事件分为特别重大（I级）、重大（II级）、较大（III级）和一般（IV级）。发生数据安全事件后，发现人应立即向信息中心报告。信息中心判断事件等级，属于I级、II级事件的，应在30分钟内向数据安全领导小组及属地卫生健康行政部门和网安部门报告。7.3应急处置流程（1）抑制与控制：第一时间断开受影响系统网络连接，封禁攻击源IP，停止相关服务，防止事态扩大。（2）分析与定位：利用日志分析工具，定位攻击入口、受影响数据范围及攻击路径。（3）消除与恢复：清除恶意代码、后门程序，修补安全漏洞，利用备份数据恢复受损业务系统。（4）追踪与溯源：保留电子证据，配合公安机关进行攻击溯源和取证。7.4演练与改进每年至少组织一次数据安全应急演练，模拟勒索病毒攻击或数据泄露场景，检验应急预案的有效性。演练结束后，总结经验教训，修订完善应急预案。第八章合规管理与教育培训8.1法律合规审查在开展涉及个人信息处