2026年医院信息安全管理制度考试题及答案

2026年医院信息安全管理制度考试题及答案一、单项选择题（每题1分，共10分）1.根据《医疗卫生机构网络安全管理办法》规定，医院信息安全工作的第一责任人是A.医院分管信息化工作的副院长B.医院主要负责人（院长）C.信息科主任D.专职信息安全管理员答案：B解析：《医疗卫生机构网络安全管理办法》明确要求，医疗卫生机构主要负责人是本单位网络安全第一责任人，对本单位网络安全工作负总责。2.按照《网络安全等级保护条例》及行业监管要求，医院核心业务系统（电子病历系统、医院信息集成平台）应当至少评定为网络安全等级保护第几级A.第二级B.第三级C.第四级D.第五级答案：B解析：涉及公民隐私、生命健康的重要医疗核心业务系统，按要求需至少符合三级等保保护要求。3.根据《个人信息保护法》《医疗数据安全管理规范》，下列不属于患者敏感个人信息的是A.患者疾病诊断结果B.患者基因检测数据C.医院公示栏公开的专家姓名D.患者生育保健信息答案：C解析：公开可获取的普通个人信息不属于敏感个人信息，医疗健康领域的诊疗信息、生物识别信息等均属于敏感个人信息。4.根据医院信息安全数据分类分级要求，下列哪项属于医院核心敏感数据A.医院公开出诊信息B.患者门诊电子病历C.医院内部行政办公会议纪要D.未投入使用的系统宣传手册答案：B解析：患者诊疗数据直接涉及患者隐私和公共利益，属于医院最高级别的核心敏感数据。5.下列操作符合医院内网终端信息安全管理要求的是A.私自连接私人WIFI热点拓展网络B.安装医院统一分发、经过病毒查杀的医疗业务软件C.使用私人未认证U盘拷贝患者数据D.将内网终端转借外部访客使用答案：B解析：医院内网严格禁止私接外网、使用未认证移动存储介质、转借终端给外部人员，仅允许安装经安全审核的医院统一分发软件。6.按照医院信息安全漏洞管理制度，信息安全管理岗发现核心业务系统存在高危安全漏洞后，应当在多少小时内完成修复，并同步上报监管部门A.12小时B.48小时C.72小时D.7天答案：B解析：按照行业要求，核心系统高危漏洞需在48小时内完成修复，中危漏洞7天内修复，低危漏洞30天内修复。7.医院发生重大信息安全事件，造成超过500名患者个人信息泄露，应当在多长时间内向属地卫生健康行政部门、网信部门上报A.24小时B.48小时C.3天D.7天答案：A解析：《网络安全事件报告管理办法》明确要求，重大网络安全事件需在发生后24小时内上报相关监管部门。8.根据《电子病历应用管理规范》，电子病历系统的操作日志保存期限不得少于A.1年B.3年C.5年D.10年答案：C解析：电子病历操作日志作为安全审计的核心依据，保存期限不得少于5年。9.下列远程医疗行为符合信息安全要求的是A.通过医院合规认证的远程医疗专用平台传输患者影像资料B.通过个人微信传输患者病理切片C.将患者资料上传至公共邮箱供会诊医生下载D.通过个人QQ传输敏感诊疗信息答案：A解析：公共互联网社交工具、公共存储平台不具备足够的安全防护能力，严禁用于传输患者敏感诊疗数据，仅可使用合规专用远程医疗平台开展业务。10.第三方运维人员进入医院核心机房操作，正确的要求是A.持第三方公司介绍信即可自行进入B.必须经医院信息科批准，全程由本院工作人员陪同登记C.提前和信息科主任打招呼即可自行进入D.只要完成登记就可自行操作答案：B解析：核心机房严格执行双人管控要求，外来运维人员必须经审批、全程陪同、登记留存记录，不允许自行进入操作。二、多项选择题（每题2分，共20分）1.医院信息安全工作的核心目标包括A.保障医疗业务系统连续稳定运行B.保护患者个人信息和医疗数据安全C.防范网络攻击、数据泄露等安全事件发生D.符合国家法律法规和行业监管要求答案：ABCD解析：以上四项均为医院信息安全工作的核心目标。2.根据国家相关规定，下列属于医疗敏感个人信息的有A.患者身份证号、联系电话B.患者检验检查报告、手术记录C.孕产妇、新生儿个人信息D.传染病患者诊断信息、基因检测数据答案：ABCD解析：以上所有信息均属于医疗敏感个人信息，严格纳入重点保护范围。3.下列医院工作人员操作中，违反信息安全管理制度的有A.将自己的系统账号转借同事登录操作B.在互联网个人网盘中存储批量患者诊疗数据C.定期更换系统登录密码，不共用密码D.将未脱敏的患者数据带出医院用于非授权学术研究答案：ABD解析：定期更换密码符合安全要求，其余三项均属于违规操作。4.关于医院核心机房安全管理，下列说法正确的有A.核心机房必须配备门禁监控、消防、温湿度自动监测设施B.外来人员进入核心机房必须经审批登记，由本院工作人员全程陪同C.机房内可以临时堆放闲置办公用品D.核心机房应当每月开展安全巡检，每年开展全维度安全检测答案：ABD解析：核心机房严禁堆放任何无关杂物，避免引发安全隐患。5.关于核心医疗数据备份，下列符合安全要求的有A.核心业务数据应当同时采用本地实时备份和异地离线灾备两种模式B.备份数据应当定期开展恢复测试，确保备份可用C.备份数据无需加密，仅需存储即可D.备份介质应当由专人保管，严格落实访问权限控制答案：ABD解析：所有备份的敏感数据必须加密存储，防止备份介质泄露引发数据安全事件。6.医院与第三方机构开展合作涉及提供医疗数据时，应当落实哪些安全要求A.签订正式的信息安全保密协议，明确数据使用范围和安全责任B.合作前对第三方机构的信息安全防护能力进行评估C.明确要求第三方不得超出约定范围使用数据，不得留存、泄露数据D.合作结束后要求第三方彻底删除所有授权使用的医疗数据答案：ABCD解析：以上四项均为第三方数据合作的强制安全要求。7.医院信息安全应急预案应当包含哪些核心内容A.信息安全事件的分级分类标准B.应急处置组织架构和各岗位人员职责C.不同类型事件的具体处置流程D.应急演练要求和事后恢复、复盘整改要求答案：ABCD解析：以上四项均为信息安全应急预案必备内容。8.关于医院移动医疗设备（移动查房PAD、移动护理PDA）安全管理，下列说法正确的有A.移动医疗设备仅可接入医院专用内网，不得私自接入公共互联网B.移动医疗设备丢失后，应当第一时间上报信息科，启动远程数据抹除流程C.为方便工作，可以在移动医疗设备上安装私人社交、娱乐APPD.移动医疗设备应当定期进行病毒查杀和系统安全更新答案：ABD解析：移动医疗设备严禁安装非授权私人软件，避免引入安全漏洞。9.根据网络安全等级保护要求，医院应当定期开展哪些工作A.三级信息系统每两年至少开展一次正式等级测评B.全院信息安全每半年至少开展一次全面自查C.信息系统发生重大升级、变更后，重新开展等级评定和测评D.等级保护测评完成一次后无需重复开展答案：ABC解析：等级保护是持续改进的工作，需要定期测评持续符合要求。10.医院发生勒索病毒攻击后，下列处置步骤正确的有A.第一时间断开被感染终端、服务器的网络，防止病毒扩散B.备份被感染数据和攻击日志，留存溯源证据C.为尽快恢复业务，直接支付赎金解锁数据D.及时上报医院信息安全领导小组和监管部门，优先通过离线备份恢复数据答案：ABD解析：严禁私自支付赎金，支付赎金不仅存在法律风险，也无法保证数据可以顺利恢复，仅在所有恢复手段失效后经医院领导小组批准才可考虑。三、判断题（每题1分，共10分）1.医院信息安全仅属于信息科的工作，临床科室和行政后勤部门无需参与。答案：×解析：信息安全是全员责任，所有科室和工作人员都需要落实相应的信息安全要求。2.患者医疗数据是医院重要核心资产，任何个人不得私自出售、泄露给第三方。答案：√3.为方便记忆，系统登录密码可以设置为出生日期、工号等简单组合，无需定期更换。答案：×解析：所有业务系统账号必须使用复杂度符合要求的密码，每三个月至少更换一次，严禁使用弱密码。4.医院工作人员可以根据工作需要，查询所有患者的诊疗信息。答案：×解析：严格落实最小权限访问原则，工作人员仅可查询本人负责诊疗的患者信息，不得越权访问其他患者信息。5.核心业务系统升级维护前，必须提前完成全量数据备份，提前告知临床科室避开诊疗高峰。答案：√6.淘汰的废旧医院内网电脑，直接卖给废品回收站即可，无需清除硬盘数据。答案：×解析：废旧设备必须由医院统一销毁硬盘数据，拆除硬盘留存或彻底物理销毁，严禁随意流出引发数据泄露。7.根据《医疗卫生机构网络安全管理办法》要求，医院应当至少每年开展一次全员信息安全培训。答案：√8.为提高远程会诊效率，可以直接通过个人微信传输患者敏感影像资料。答案：×9.医院应当至少每年开展一次综合性信息安全应急演练，提升应急处置能力。答案：√10.发现信息安全漏洞或疑似攻击行为时，应当第一时间上报信息科安全管理岗，不得隐瞒或私自处理。答案：√四、简答题（每题10分，共40分）1.简述医院工作人员在信息安全方面应当履行的基本义务。答案：（1）严格遵守《网络安全法》《个人信息保护法》《医疗卫生机构网络安全管理办法》等法律法规及医院各项信息安全管理制度，自觉履行安全保护责任；（2）严格按照权限分配使用业务系统，不转借、共用个人系统账号，不越权访问、超范围查询患者数据，定期更换登录密码，不使用弱密码；（3）不得私自存储、复制、泄露、出售患者医疗信息和医院敏感数据，不得将未脱敏数据带出医院用于非授权用途，任何非诊疗使用数据都需提前获得医院审批并完成脱敏；（4）规范使用医院内网终端和网络，不得私自接入外来设备、私接外网，不得安装非授权软件，不访问不明来源的网站和文件；（5）发现安全漏洞、网络攻击、数据泄露等异常事件，第一时间上报信息科，配合做好应急处置工作；（6）积极参加医院组织的信息安全培训和应急演练，主动提升自身安全意识和防护能力。2.简述医院开展网络安全等级保护工作的核心要求。答案：网络安全等级保护是国家网络安全基本制度，医院等级保护工作核心要求如下：（1）分类分级定级：根据信息系统的重要程度和危害后果，对全院信息系统划分等级，我院核心业务系统（电子病历、HIS、LIS、PACS、集成平台）均定为三级信息系统，普通办公系统、门户网站定为二级信息系统，定级结果经专家评审后上报行业监管部门审核；（2）公安备案：定级完成后，二级、三级信息系统均需按照要求到属地公安部门完成等级备案；（3）定期测评：三级信息系统每两年开展一次正式等级测评，二级信息系统每四年开展一次等级测评，信息系统发生重大升级、变更后重新开展定级测评；（4）问题整改：根据等级测评和安全自查发现的问题，及时完成安全整改，完善技术防护和管理制度，持续提升安全防护能力；（5）定期自查：医院每半年开展一次全院信息安全自查，及时发现并消除安全隐患，持续符合等级保护各项要求。3.简述医院发生勒索病毒攻击后的标准应急处置流程。答案：勒索病毒攻击是医院高发信息安全事件，标准处置流程分为五个阶段：（1）阻断隔离：发现设备感染勒索病毒后，第一时间断开被感染终端、服务器的网络连接，关闭不必要的端口和共享服务，切断病毒传播路径，若涉及核心业务系统，暂时暂停系统对外服务，防止病毒扩散影响全院业务；（2）上报登记：立即上报医院信息安全领导小组和信息科，若发生大范围业务中断或大量数据泄露，24小时内上报属地卫生健康行政部门、网信部门和公安部门，不得迟报瞒报；（3）溯源排查：组织技术人员排查攻击入口，确认感染范围，梳理所有被感染的设备和数据，留存攻击日志、病毒样本等溯源证据，配合公安部门开展溯源调查；（4）恢复处置：优先通过离线备份数据恢复系统和业务，对所有未感染设备全面查杀病毒、修补漏洞，严禁私自支付赎金，仅在所有恢复手段失效、经医院信息安全领导小组正式批准后，才可按流程处置；（5）复盘整改：事件处置完成后，全面复盘攻击过程，查找安全防护短板，修补漏洞、优化防护策略，完善入侵检测、邮件过滤等技术防护措施，组织全院开展安全警示教育，避免同类事件再次发生。4.简述医院医疗数据分类分级的核心标准。答案：根据国家《医疗数据安全管理规范》要求，我院医疗数据分为三个级别，核心标准如下：（1）公开数据：指可以对社会公众公开、不涉及隐私和敏感内容的数据，包括医院出诊信息、科普宣传内容、公开招聘信息、行政许可公示内容等，此类数据安全管控要求低，可直接对外公开；（2）内部一般数据：指不涉及患者敏感隐私，仅用于医院内部管理的非核心数据，包括内部行政通知、普通办公文件、非诊疗的后勤管理数据等，此类数据仅对医院内部授权工作人员开放，不得随意对外公开；（3）核心敏感数据：指涉及患者个人隐私、公共安全、医疗安全的核心数据，包括所有患者的身份信息、诊疗记录、检验检查结果、手术记录、基因数据、孕产妇新生儿信息、传染病诊断信息、核心业务系统配置信息等，此类数据是医院数据安全保护的核心对象，严格执行最小权限访问控制，任何对外提供都需经过严格审批和脱敏处理，严禁未经授权对外泄露。五、案例分析题（共20分）案例：某医院心内科医师王某，为了完成自己的课题研究，在未获得医院审批的情况下，私自从医院HIS系统批量导出1800份十年间接诊的冠心病患者的诊疗数据，包含患者姓名、联系电话、家庭住址、诊断结果、用药记录，存储在自己的私人笔记本电脑中，后该笔记本电脑在外出参会途中被盗，所有患者数据被泄露至互联网，引发大量患者投诉，造成恶劣社会影响。问题1：请结合案例指出王某的行为违反了医院哪些信息安全管理制度？（8分）问题2：事件发生后，医院应当按照要求开展哪些处置工作？（12分）答案：问题1：王某的行为违反了以下信息安全管理制度：（1）违反数据使用授权管理制度：王某超出自身诊疗权限批量导出患者数据，未获得医院审批将患者数据用于非诊疗用途的课题研究，也未按要求对导出数据进行脱敏处理；（2）违反敏感数据存储安全管理制度：违规将包含全量患者敏感信息的数据存储在未经过医院安全认证、未加密的私人终端上，未采取符合要求