医院网络安全、信息加密与权限制度

医院网络安全、信息加密与权限制度为有效保障医院信息系统稳定运行，防范网络安全风险，保护患者隐私及医疗数据安全，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗信息管理办法》等法律法规，结合医院信息化建设实际需求，制定本制度。本制度适用于医院所有信息系统、网络设备、数据存储介质及相关人员的安全管理，涵盖网络安全防护、信息加密规范、权限控制流程及应急响应等全生命周期管理环节。一、网络安全管理体系1.1网络架构安全设计医院网络采用分区分域管理模式，划分为核心业务区、办公区、互联网接入区及第三方接入区，各区域间通过硬件防火墙、虚拟专用网络（VPN）及逻辑隔离技术实现安全边界防护。核心业务区部署医院信息系统（HIS）、电子病历系统（EMR）、医学影像存档与通信系统（PACS）等关键业务平台，仅允许授权设备访问；办公区覆盖行政、临床科室终端，通过访问控制列表（ACL）限制非办公用途网络流量；互联网接入区用于患者预约、查询等外部服务，采用Web应用防火墙（WAF）过滤恶意请求；第三方接入区为药品供应商、检验合作机构等外部系统提供接口，通过独立虚拟网络（VLAN）隔离，禁止与核心业务区直接交互。网络拓扑图需经信息中心、网络安全小组联合评审，每年度更新一次；关键网络设备（如核心交换机、防火墙）需配置双机热备，单点故障切换时间不超过30秒；网络带宽按峰值流量的120%预留，确保高并发场景（如医保结算高峰期）下系统稳定运行。1.2网络设备全周期管理所有网络设备（含交换机、路由器、防火墙、无线AP等）实行“一物一码”登记制度，信息中心负责建立电子台账，记录设备型号、IP地址、部署位置、责任人及生命周期状态（启用/维修/报废）。新设备采购需通过安全合规性审查，优先选择符合国家密码标准的产品；安装前需进行基线配置核查，关闭非必要服务（如Telnet、FTP），启用SSH、HTTPS管理端口，默认账号密码须重置为强口令（长度≥12位，包含大小写字母、数字及特殊符号）。设备日常运维遵循“最小干预”原则：核心设备配置变更需提前5个工作日提交申请，经信息中心主任审批后在非业务高峰期（22:00-次日6:00）执行，操作过程全程录像并留存日志；普通设备巡检每周一次，重点检查链路状态、流量异常及日志告警（如连续5次登录失败）；故障设备维修需由原厂或授权服务商处理，维修前需清除设备存储的敏感数据（如访问日志、配置文件），维修后重新进行安全基线检测。设备报废需经信息中心、审计部门联合确认，存储介质（如硬盘、内存卡）须通过专业工具进行数据擦除（采用NIST800-88标准，覆盖3次以上），无法擦除的介质需物理销毁（切割或粉碎），相关记录留存至少5年。1.3网络访问控制内网访问实行“身份认证+权限绑定”机制：所有终端接入内网前需通过准入系统（NAC）验证，检查操作系统补丁状态、杀毒软件版本及防火墙配置，未通过验证的设备自动跳转至隔离区，限制仅能访问补丁下载页面；用户登录需使用域账号，结合动态口令（如短信验证码、硬件令牌）进行多因素认证（MFA），登录失败超过5次账号自动锁定1小时，需联系信息中心解锁。外网访问（如远程办公、移动查房）仅允许通过医院VPN系统接入，VPN采用IPSec或SSL协议加密，密钥长度≥256位，连接超时设置为30分钟无操作自动断开；移动终端（如医生平板、护士PDA）需安装设备管理系统（MDM），限制应用安装范围（仅允许预装的医疗业务APP），禁止使用蓝牙传输敏感数据，设备丢失或更换时需在30分钟内远程锁定并清除数据。第三方机构接入需签订《网络安全合作协议》，明确访问范围（仅开放检验结果查询接口）、访问时段（工作日8:00-17:00）及安全责任；接入前需进行渗透测试，确认无漏洞后分配独立账号，权限最小化（仅读权限），访问日志实时同步至医院审计系统，合作结束后24小时内撤销所有账号及网络权限。二、信息加密规范2.1数据分类分级医院数据按敏感程度划分为三个等级：一级数据：直接涉及患者隐私及诊疗核心的信息，包括姓名、身份证号、联系方式、诊断结果、用药记录、影像资料等；二级数据：支撑医疗业务运行的管理数据，包括设备运行日志、财务报销记录、行政通知等；三级数据：可对外公开的信息，包括医院简介、科室分布、专家门诊时间等。数据分类由信息中心联合医务科、医患办共同认定，标注于元数据中（如数据库表结构添加“敏感等级”字段），分类结果每半年复核一次，动态调整。2.2静态数据加密一级数据存储时需采用加密算法（推荐AES-256或国密SM4），密钥与数据分离存储（密钥存储于硬件安全模块HSM中）；数据库（如Oracle、MySQL）需启用透明数据加密（TDE），对表、索引等结构化数据进行全量加密；非结构化数据（如PACS影像、电子病历PDF）存储前需通过文件加密工具（如BitLocker、VeraCrypt）加密，加密后文件扩展名统一标注“.hsec”。一级数据存储时需采用加密算法（推荐AES-256或国密SM4），密钥与数据分离存储（密钥存储于硬件安全模块HSM中）；数据库（如Oracle、MySQL）需启用透明数据加密（TDE），对表、索引等结构化数据进行全量加密；非结构化数据（如PACS影像、电子病历PDF）存储前需通过文件加密工具（如BitLocker、VeraCrypt）加密，加密后文件扩展名统一标注“.hsec”。备份数据遵循“两地三中心”原则：本地实时备份（每15分钟增量备份）、同城异机备份（每日全量备份）、异地灾备（每周全量备份），所有备份介质（磁带、磁盘阵列）需加密存储，备份文件传输时使用专用加密通道（如SFTP），备份恢复测试每季度一次，确保加密数据可正常解密读取。2.3传输数据加密一级数据在院内网传输时，需通过TLS1.3协议加密，禁用TLS1.0/1.1等弱加密版本；跨网传输（如从HIS系统到医保平台）需叠加VPN加密隧道，采用“TLS+IPSec”双重加密；接口调用（如检验系统与电子病历系统对接）需进行双向身份认证，服务端使用数字证书（国密SM2算法），客户端使用API密钥（长度≥32位，每90天轮换），请求参数需加密（如对患者ID、检查项目编码进行AEAD加密）。移动存储设备（U盘、移动硬盘）禁止直接传输一级数据，确需使用时需通过医院“安全交换平台”，将数据加密打包后生成唯一下载链接，接收方凭动态密码下载，链接24小时后失效；诊疗过程中需打印的一级数据（如出院小结），打印前需经科室主任审批，打印设备绑定IP地址，打印日志记录患者姓名、打印时间、纸张数量，废纸放入专用碎纸机销毁。2.4密钥全生命周期管理密钥生成由信息中心安全组负责，使用符合FIPS140-2标准的加密机，生成过程全程物理隔离，禁止使用随机数生成器；密钥存储采用HSM设备，设备部署于机房核心区域，仅允许2名授权人员（分别保管物理钥匙和数字密码）共同操作；密钥分发通过安全信道（如离线介质+人工交接），接收方需签署《密钥接收确认单》，记录密钥用途、有效期；密钥更换周期为90天（高敏感系统如EMR为60天），更换前需进行兼容性测试，确保现有系统正常运行；密钥销毁需在HSM中执行“擦除”操作，同时物理销毁所有备份介质，销毁记录由信息中心、审计部门共同签字存档。三、权限管理制度3.1用户角色分类与权限分配原则医院用户分为四类：医疗人员：医生、护士、医技人员；管理人员：行政人员、财务人员、医保专员；技术人员：信息中心运维、开发、测试人员；第三方人员：合作厂商工程师、实习进修人员。权限分配遵循“最小权限”“岗位分离”原则：医生仅能访问自己经管患者的信息（通过“经管医生ID”字段关联），护士可查看患者护理记录但无修改权限，财务人员仅能访问费用结算数据；技术人员中，运维人员拥有服务器操作权限但无数据库写权限，开发人员仅能访问测试环境，生产环境需通过“双人复核”流程操作；第三方人员权限限定为“只读+指定功能”（如厂商工程师仅能调试检验设备接口），禁止访问患者隐私数据。3.2权限审批与变更流程新员工入职时，由所在科室提交《权限申请表》，注明岗位、职责及所需权限（如“医生-EMR系统-患者信息查看”），经科室主任签字后流转至信息中心；信息中心根据《权限分配矩阵》（见附件）核查权限合理性，5个工作日内完成账号创建及权限配置，同步告知用户初始密码（需登录后立即修改）。权限变更（如岗位调整、职责增加）需重新提交申请，普通权限（如增加一个系统的查看权）由科室主任审批，高级权限（如获得数据库修改权）需经信息中心主任、分管院长双重审批；权限回收遵循“离职即终止”原则，人事部门通知信息中心员工离职后，48小时内冻结其所有账号，删除本地终端存储的敏感文件，交接工作由接任者通过“权限继承”流程重新申请。3.3权限审计与违规处理信息中心每月对权限配置进行核查，重点检查：是否存在“越权”（如护士拥有医生的病历修改权）、“跨科室访问”（如外科医生访问内科患者数据）、“长期未使用账号”（6个月无登录记录）；核查结果形成《权限审计报告》，提交分管院长及审计部门，异常账号24小时内锁定。违规使用权限行为包括：共用账号、泄露密码、越权访问、未授权数据导出等。首次违规由信息中心约谈，扣除当月绩效10%；二次违规通报批评，暂停权限1个月；三次违规或造成数据泄露的，按《医院员工手册》处理，情节严重的移交司法机关。四、安全监测与应急响应4.1安全监测体系建设医院部署统一安全管理平台（SIEM），集成入侵检测系统（IDS）、日志审计系统、终端安全管理系统（EDR），实现网络流量、设备日志、终端操作的集中监控与分析。监测重点包括：核心系统（HIS、EMR、PACS）的异常访问（如非工作时间登录、高频数据下载）；敏感字段查询（如“身份证号”“银行卡号”的查询次数≥10次/小时）；终端异常行为（如U盘频繁拷贝大文件、陌生进程调用加密函数）；网络攻击特征（如SQL注入、XSS跨站脚本、勒索病毒通信域名）。监测日志留存周期为3年（一级数据相关日志留存5年），日志内容包括用户ID、操作时间、IP地址、操作对象、结果状态，禁止修改或删除历史日志。4.2安全事件分级与响应安全事件按影响程度分为三级：一级事件：导致患者隐私数据泄露（≥500条）、核心系统瘫痪（≥4小时）、医院业务全面中断；二级事件：重要数据篡改（如检验结果错误）、大范围网络中断（≥2小时）、关键设备故障（如PACS服务器宕机）；三级事件：个别终端感染病毒、账号异常登录（非本人操作）、小范围网络延迟（≥30分钟）。一级事件响应：发现后30分钟内启动应急领导小组（由分管院长、信息中心主任、医务科主任组成），30分钟内阻断攻击源（如断开涉事终端网络），2小时内隔离受影响数据（如将数据库切换至只读模式），4小时内向卫生健康主管部门报告，72小时内完成系统恢复并提交详细报告；二级事件响应：信息中心1小时内组织技术团队处理，2小时内限制事件扩散（如关闭漏洞端口），24小时内恢复系统，48小时内提交事件分析报告；三级事件响应：运维团队2小时内处理（如查杀病毒、重置账号密码），6小时内记录处理过程，次日向信息中心汇报。4.3应急预案演练与优化医院每季度开展一次网络安全应急演练，模拟场景包括：勒索病毒攻击（如PACS系统文件被加密）、钓鱼邮件诱导（如财务人员点击恶意链接）、数据泄露（如移动硬盘丢失）。演练前制定详细方案，明确各部门职责（信息中心负责技术处置、医务科负责患者沟通、保卫科负责物理防护）；演练后召开总结会，分析暴露的问题（如响应流程超时、员工安全意识不足），修订应急预案（如增加“勒索病毒备份恢复”专项流程），演练记录及改进措施留存至少5年。五、培训与考核机制5.1全员安全培训新员工入职时需完成4学时的网络安全培训，内容包括：《网络安全法》要点解读、医院信息安全制度、常见攻击手段（如钓鱼邮件、社会工程学）防范、敏感数据操作规范（如如何正确打印病历）。培训后通过线上考试（满分100分，80分合格），未通过者需补考，补考仍不合格的延迟上岗。全体员工每半年参加一次复训，复训内容结合最新安全形势调整：如出现新型勒索病毒，增加“勒索病毒防范与数据恢复”课程；国家出台新法规（如《个人信息保护法实施条例》），增加“患者信息处理合规性”培训。复训形式包括专家讲座（邀请公安网安部门、行业协会专家）、案例分享（如某医院因弱口令导致数据泄露的真实事件）、实操演练（如模拟使用加密工具传输数据）。5.2技术人员专项培训信息中心技术人员需每年参加至少40学时的专业培训，内容涵盖：网络安全最新标准（如等保2.0）、加密技术前沿（如国密算法应用）、应急响应实战（如渗透测试与漏洞修复）。培训证书需提交人事部门备案，作为职称评定、岗位