医院信息账号安全管理细则

医院信息账号安全管理细则一、总则医疗数据是医院核心资产，而账号是通往这些资产的唯一数字钥匙。本细则旨在构建一套严密的账号全生命周期管理体系，确保“人人有号、号号实名、权限对应、行为可溯”，从根本上杜绝因账号混用、盗用、滥用导致的患者隐私泄露、医疗数据篡改及业务中断风险。本细则适用于全院所有医务人员、行政管理人员、工勤人员、外包服务人员以及通过API接口访问医院信息系统的自动化程序。所有涉及HIS（医院信息系统）、EMR（电子病历）、LIS（实验室信息系统）、PACS（影像归档和通信系统）及OA（办公自动化）等系统的账号行为，均受本细则约束。二、账号全生命周期管理账号管理不是静态的“发号”，而是动态的“管人”。必须建立从入职到离职的闭环流程，确保权限随岗位变动而动态调整，随人员离场而即时清除。1.账号申请与开通账号开通必须基于真实的人力资源（HR）入职流程，严禁“先开通后补单”。申请条件：申请人必须持有有效院内工号（HR编码），且已完成相应的岗位准入培训及《信息安全保密协议》签署。审批流程：申请人登录统一身份认证平台（IAM）提交申请，选择“角色模板”（如：住院医师、护士长、收费员）。科室负责人（科主任或护士长）在系统内确认业务需求（确认开通模块及数据范围），审批时限不得超过24小时。信息科信息安全组复核权限合规性，并在4小时内完成开通。初始密码：系统自动生成的初始密码必须符合强密码策略（长度≥12位，含大小写字母、数字及特殊符号），且强制要求用户在首次登录时修改。初始密码通过院内加密邮件或专用短信网关发送，严禁通过明文邮件或即时通讯工具传输。2.账号使用与保管账号的私密性是安全责任的起点，一旦发生账号下的违规操作，账号持有人承担首要责任。专人专号：实行“N-1”绑定原则，即1个自然人只能拥有1个主账号（统一身份ID），通过该账号单点登录（SSO）访问各子系统。严禁将个人账号借给同事、实习生或进修人员使用。风险演化：借出账号→对方违规查询非管辖患者隐私→产生投诉/纠纷→日志追踪显示为账号本人操作→账号本人需承担相应法律责任且无法举证免责。登录环境：严禁在网吧、公共Wi-Fi环境或未安装医院指定杀毒软件/终端准入代理的个人终端上访问核心业务系统。防撞库机制：系统必须配置防暴力破解策略。同一账号连续输错密码5次，系统自动锁定账号15分钟；连续输错10次，账号被永久锁定直至本人持工牌到信息科现场解锁。3.账号变更与移交人员岗位变动是权限失控的高发区，必须确保“人动权动”。转岗处理：HR系统触发转岗流程后，IAM平台自动冻结原岗位专属权限（如从“内科医生”转为“外科医生”，自动收回内科病区写权限）。新权限需重新提交申请，审批通过后方可生效。离岗/离职处理：人力资源部在离职审批单签署“同意”后，系统自动触发“离职倒计时”（通常设定为离职当日下午17:00）。到达设定时间，IAM自动禁用该账号所有访问权限，保留账号主体及日志数据180天（用于审计追溯），180天后进入“物理删除”队列。紧急封停：若涉及医疗纠纷、违纪调查等特殊情况，科室负责人可申请“紧急封停”，信息科需在15分钟内执行停权操作。三、权限与角色分配权限分配的核心是“最小权限原则”。用户仅拥有完成当前工作任务所必需的最小权限集，既不多也不少。1.角色定义标准禁止基于个人需求随意分配离散权限，必须基于标准RBAC（基于角色的访问控制）模型进行管理。数据级权限：全院数据：仅限院领导、医务处、质控科等职能管理部门。科室数据：默认仅限本科室医护人员。跨科室会诊需通过“临时授权码”或“会诊申请单”获取单次访问权限，有效期不超过24小时。个人数据：患者通过自助机或互联网医院查询自身数据。功能级权限：只读：实习生、进修医师、药师（非发药）。读写：住院医师、主治医师、护士。审核/双签：副主任医师、主任医师、护士长。严禁：为方便工作，给普通用户分配“超级管理员”、“DBA”（数据库管理员）或“测试调试”权限。2.敏感权限管控涉及高敏感操作（如修改病历诊断、删除医嘱、退费、查看医保数据）的权限，必须实施“双重认证”或“双人复核”。关键操作二次确认：在执行金额≥5000元的退费、删除已归档病历等高风险操作时，系统必须弹出“二次确认框”，要求再次输入密码或扫描指纹。特权账号审批：因系统故障排查需临时提升权限，须经信息科负责人书面审批（含电子流），操作时间严格限制在非业务高峰期（如22:00-06:00），操作全程录屏审计。四、身份认证与访问控制强认证是账号安全的最后一道防线。单纯的“用户名+密码”已无法应对当前的撞库和钓鱼攻击威胁。1.密码策略必须符合《网络安全法》及等级保护2.0（MLPS2.0）对三级系统的要求。复杂度要求：长度最少12位，必须包含大写字母（A-Z）、小写字母、数字（0-9）及特殊符号（!@#$%^&*）中的至少3种。生存周期：密码有效期为90天。过期前7天，系统在登录页弹窗提醒；过期后账号立即失效，强制通过“自助密码找回”或“现场重置”修改。历史记忆：系统禁止使用最近5次使用过的密码，防止用户通过“轮换改回旧密码”规避策略。弱口令检测：系统必须集成弱口令库，禁止设置如123456、Admin@123、Hospital@2024等常见组合。2.多因素认证（MFA）针对高价值目标和高风险场景，必须启用MFA（多因素认证）。强制MFA场景：访问互联网医院（医护端）。通过VPN接入院内专网。远程访问服务器（RDP、SSH）。使用HIS/EMR管理员账号。认证方式：优先使用“手机令牌”（如GoogleAuthenticator、MicrosoftAuthenticator）或硬件动态令牌；备选方案为短信验证码（需防范短信劫持风险）。3.会话管理防止“离开不锁屏”导致的安全泄露。超时控制：业务系统无操作超时时间设定为15分钟。超时后自动退出至登录页，并清除本地会话Cookie。并发控制：同一账号允许建立的活跃会话数不得超过3个。新登录挤掉旧会话时，系统需提示“您的账号在另一地点登录，如非本人操作请立即修改密码”。五、特权账号与运维审计运维人员掌握着系统的“生杀大权”，其账号安全风险远高于普通用户。特权账号必须纳入“堡垒机”统一管理。1.堡垒机使用规范所有针对服务器、数据库、网络设备的运维操作，严禁直接通过远程桌面或SSH直连，必须通过运维安全审计网关（堡垒机）进行。代理登录：运维人员使用个人账号登录堡垒机，再通过堡垒机授权访问目标设备。命令级控制：在堡垒机配置危险命令拦截策略，如rm-rf、droptable、shutdown等。执行此类命令时，系统自动阻断并触发告警。全程审计：堡垒机必须对所有操作会话进行全程录像（RDP录屏、SSH字符日志），录像文件保存时间不少于6个月。2.账号代维管理针对原厂工程师或第三方维保人员的远程接入。维保账号：创建以“厂商-项目-时间”命名的专用维保账号（如Hissoft_Dba_202410），严禁使用系统内置的admin、root、sa账号直接给第三方使用。有效期控制：维保账号有效期精确到小时（如：2024-10-2509:00至2024-10-2518:00）。到期自动由系统删除，无需人工干预。全程旁站：第三方进行核心数据操作时，院内信息科工程师必须通过“协同会话”功能进行全程旁站监看，一旦发现异常操作立即旁站切断。六、第三方与临时账号管理第三方人员流动性大、背景复杂，是账号安全的短板，必须实施“物理隔离”和“逻辑隔离”。1.实习进修人员账号批量开通：每批次实习生/进修生入科，由科教处统一收集名单，批量导入IAM系统。权限锁定：此类账号默认仅赋予“实习/进修”角色，仅有查看权限，无开具医嘱、处方等关键操作权限。带教绑定：系统逻辑上可将实习生账号与带教老师账号绑定，实习生开具检查申请需带教老师电子签名审核生效。2.自动化程序账号系统间接口调用（如LIS接收到标本信息后回传结果）使用的账号，必须与人用账号严格区分。机机认证：禁止使用“用户名+密码”方式进行接口认证，必须采用APIKey、OAuth2.0或mTLS（双向认证）等标准协议。IP白名单：限制程序账号仅能从指定的服务器IP地址发起调用，防止账号泄露后被外部攻击者利用。高频访问熔断：设置单账号每分钟最大调用次数（如QPS≤100），超过阈值触发熔断机制并报警，防止接口滥用拖垮系统。七、审计与监控看不见风险就无法管理风险。审计日志是安全事故复盘、定责和法律取证的核心依据。1.日志采集规范根据《网络安全法》第二十一条要求，系统必须留存不少于6个月的网络日志和系统日志。必录内容：登录时间、登出时间、源IP地址、终端设备指纹（MAC/DeviceID）、操作模块、操作前数据、操作后数据、执行结果（成功/失败）。日志防篡改：审计日志服务器必须与应用服务器物理隔离或通过防火墙严格单向传输。日志文件需开启WORM（WriteOnceReadMany）属性，或实时同步至WORM存储设备，防止攻击者入侵后清除痕迹。2.异常行为分析利用SIEM（安全信息和事件管理）系统对日志进行实时分析，识别潜在威胁。基线报警：当用户账号在非工作时间（00:00-06:00）登录，或在短时间内（如1分钟内）浏览超过50位患者病历时，系统自动判定为“异常行为”，触发L3级安全告警。账号孤岛检测：当检测到某账号长期（超过90天）无登录记录，且未走离职流程时，自动发送“僵尸账号清理通知”给科室负责人。八、异常与应急响应安全事件发生时，速度就是生命。必须建立分级响应机制，将损失控制在最小范围。1.响应分级Ⅰ级（特别重大）：核心数据库账号被窃取并发生数据批量泄露、勒索病毒通过高权限账号加密全院文件。Ⅱ级（重大）：HIS/EMR管理员账号被破解、科室级账号批量被盗用。Ⅲ级（一般）：个别医生账号输错密码导致锁定、忘记密码申请重置。2.处置流程以“账号疑似被盗”为例：感知与报告：用户收到异地登录短信报警，或科室发现非本人操作记录，立即拨打信息科安全热线（内线8888）。紧急止损：信息科安全员在5分钟内于IAM后台冻结该账号（状态改为Locked）。强制该账号所有在线会话下线。若涉及VPN，立即切断对应VPN隧道。溯源分析：调取堡垒机及应用日志，提取攻击者IP、操作时间、受影响数据范围。判断攻击路径（钓鱼邮件？弱口令？拖库？）。恢复与加固：协助用户重置密码为高强度临时密码。对受影响终端进行杀毒和漏洞扫描。若确认为数据泄露，按《网络安全事件应急预案》上报院领导及公安机关。九、附则解释权：本细则由医院信息科负责解释。生效日期：本细则自发布之日起施行，原有相关规定与本细则不一致的，以本细则为准。修订机制：信息科每年至少组织一次对本细则的适用性评审，根据国家法律法规更新及业务系统变化进行修订。附录附录A：医院信息系统账号安全自查清单（科室版）检查项检查内容检查标准（通过/不通过）检查结果账号私密性是否存在多人共用同一账号现象？否□通过□不通过密码强度抽查科室3个账号，密码是否为默认密码或弱口令？否□通过□不通过离岗锁屏抽查5台工作站，离开时是否锁屏（Win+L）？是□通过□不通过实习生管理实习生是否使用独立账号，而非借用带教老师账号？是□通过□不通过异常上报科室人员是否知晓账号被盗应急联系电话（8888）？是□通过□不通过附录B：高风险操作复核记录表（样表）申请日期申请人所属科室操作类型涉及数据/系统复核人复核意见执行时间备注202