互联网诊疗信息安全管理细则

互联网诊疗信息安全管理细则1总则信息安全不仅是互联网诊疗服务的合规底线，更是医疗机构赖以生存的信任基石。本细则依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及《互联网诊疗管理办法（试行）》等法规制定，旨在通过建立全流程、可量化的技术与管理防护体系，防范数据泄露、篡改及服务中断风险。本细则适用于本院（或本机构）开展的互联网诊疗活动，涵盖医疗机构、执业医师、患者以及第三方技术供应商等相关参与方。所有参与方必须遵循“最小权限、全程留痕、动态防护、权责一致”的原则，确保电子病历、健康档案及诊疗行为数据在采集、传输、存储、使用、销毁各环节的安全性。2组织架构与安全责任模糊的责任边界是安全事件频发的根源，构建清晰的RACI（负责、批准、咨询、知情）矩阵是落实安全制度的前提。2.1信息安全委员会成立由院长任组长的互联网诊疗信息安全委员会，作为最高决策机构。职责：每季度召开1次信息安全例会，审议重大安全策略变更，处置I级（特别重大）安全事件。产出：会议纪要需在会后48小时内下发，并形成《信息安全决议执行追踪表》。2.2信息技术部（IT部）作为技术与执行的主体责任部门，负责基础设施的“硬安全”。职责：负责防火墙策略配置、数据库审计、漏洞修复及数据备份。考核指标：高危漏洞修复时间≤24小时，核心数据库备份成功率=2.3医务部与质控科负责业务流程中的“软安全”与合规监管。职责：监管医师账号使用规范，审核诊疗数据调阅权限，处理因信息安全引发的医疗纠纷投诉。动作：每月随机抽查5%的在线诊疗录像与处方日志，核对操作人与账号持有人是否一致。2.4第三方供应商管理引入第三方服务商时，必须将安全责任纳入合同条款，严禁“以包代管”。准入：供应商需提供ISO27001认证或等保三级以上证明。管控：运维人员访问系统必须通过堡垒机，操作全程录屏，严禁直接操作核心数据库。3网络架构与基础设施安全网络的逻辑隔离与物理防护是抵御外部攻击的第一道防线，任何架构上的妥协都将导致全线失守。3.1网络分区与隔离互联网诊疗系统必须部署在独立的逻辑分区，并与医院内网（HIS/LIS/PACS）实施严格的物理或逻辑隔离。DMZ区：仅放置Web前端及应用服务器，禁止存储患者敏感明文数据。数据隔离：内外网数据交换必须通过网闸（单向光闸）或受控的API接口进行，严禁直接TCP/IP连通。后果：若跨网直接连通，一旦Web服务器被攻陷，攻击者可横向渗透至内网导致全院瘫痪。3.2通信链路加密数据在传输过程中极易被截获，全链路加密是防止中间人攻击（MITM）的唯一有效手段。强制要求：所有客户端与服务器通信必须使用TLS1.2或以上版本。配置标准：禁用SSL2.0/3.0、TLS1.0，加密套件必须优先支持EphemeralDiffie-Hellman(DHE)或EllipticCurveDiffie-HellmanEphemeral(ECDHE)以实现前向保密。证书管理：SSL证书有效期不得超过398天，且必须启用OCSPStapling提升握手性能。3.3边界防护与访问控制默认拒绝策略是防火墙配置的核心原则，避免出现“全能型”开放端口。端口管理：非业务必需端口默认关闭，管理端口（SSH/RDP）严禁暴露在公网，必须通过VPN或跳板机访问。抗DDoS：接入流量清洗服务，防御阈值设定为：常规攻击≤5入侵检测：部署WAF（Web应用防火墙）和IDS（入侵检测系统），规则库每24小时自动更新一次。4数据全生命周期管理数据是互联网诊疗的核心资产，其价值在于流动，风险也在于流动。必须对数据从产生到销毁的每一个节点实施严密管控。4.1数据分类分级根据敏感程度将数据划分为L1、L2、L3三级，实施差异化保护。L3级（核心敏感数据）：身份证号、病历详情、诊断结论、处方信息、基因数据。存储：必须加密存储（AES-256算法），密钥与数据分离存储（KMS管理）。L2级（隐私数据）：姓名、手机号、家庭住址、医保账号。展示：前端展示时必须脱敏，例如手机号显示为`138**1234，住址显示为XX区XX路XX号`。L1级（公开数据）：科室介绍、医生职称、挂号价格。要求：允许公开访问，但需防篡改。4.2数据采集与录入源头数据的准确性直接决定后续诊疗的安全，系统必须具备内置的校验机制。输入验证：所有前端输入框必须防止SQL注入和XSS攻击，后端需对字段长度、格式进行强校验（如年龄字段限制0-150）。实名认证：患者首次注册必须通过实人核验（OCR+活体检测），确保“人证合一”。归属权：明确数据所有权属于医疗机构，患者仅有使用权，严禁平台单方滥用数据进行商业变现。4.3数据存储与备份防止数据丢失和被勒索病毒加密的最后防线是“无懈可击”的备份策略。3-2-1原则：保留3份副本，存储在2种不同介质上，其中1份异地保存。RTO/RPO指标：核心数据库RTO（恢复时间目标）≤4小时，RPO（恢复点目标）≤非核心业务RTO≤24备份验证：每季度进行1次数据恢复演练，并出具《恢复测试报告》，严禁“只备份不验证”。4.4数据销毁与脱敏当数据失去保留价值或患者要求删除时，必须彻底清除，避免“数据僵尸”复活。删除逻辑：患者注销账户后，系统应在48小时内对其个人信息进行逻辑删除或匿名化处理（保留医疗记录需符合《医疗纠纷预防和处理条例》规定的保存年限，但需去标识化）。物理销毁：存储过诊疗数据的硬盘、磁带报废时，必须进行消磁或物理粉碎处理，禁止简单格式化后流出。5身份认证与访问控制账号是虚拟世界的“身份证”，账号失守意味着防线全面崩溃。必须建立基于“零信任”理念的访问体系。5.1强身份认证机制单纯依赖“账号+口令”已无法满足当前安全需求，多因素认证（MFA）是标配。医护端：必须使用“数字证书（CAKey）+生物识别（指纹/人脸）+口令”的三重认证。数字证书：必须采用符合国密算法（SM2）的硬件USBKey或云端密钥。患者端：必须使用“短信验证码+口令”或“生物识别”。口令策略：长度不少于10位，必须包含大小写字母、数字及特殊符号，每90天强制更换，禁止使用123456、admin等弱口令。5.2权限最小化与职责分离严禁赋予账号超越业务需求的权限，尤其是超级管理员权限。权限申请：新员工入职或权限变更需通过OA系统申请，经科室负责人及IT部门双重审批。特权账号管理：禁止：多人共用同一个系统管理员账号。必须：建立个人子账号，通过Sudo（超级用户执行）机制提权，且所有特权操作必须触发二次审批。职责分离：开发人员严禁拥有生产环境数据库的操作权限；运维人员严禁拥有业务数据的查看权限。5.3会话管理与超时控制防止员工离开工位时终端被非法利用。超时设置：系统无操作15分钟后自动锁屏或退出登录。并发限制：同一医护账号最多允许2个并发会话（PC端+移动端），禁止在多台设备同时登录，新登录踢出旧会话并触发短信告警。6业务流程安全规范技术手段终究需要通过人的行为来落地，规范诊疗业务中的每一个操作动作是保障医疗质量与数据安全的关键。6.1在线诊疗行为监管互联网诊疗不能脱离医疗质量安全核心制度，所有线上行为必须可追溯。实名诊疗：医师接诊前必须核对患者实名信息，严禁替人诊病。全程留痕：图文咨询记录、语音通话录音、视频诊疗录像必须自动归档，保存时间不得少于15年。禁忌动作：严禁在私人社交软件（如微信、QQ）上进行诊疗活动（后果：无法留存证据、数据泄露、法律纠纷无依据）。必须使用医院指定的加密通讯工具。6.2电子处方管理电子处方是法律效力极强的医疗文书，其流转过程必须严防篡改。CA电子签名：医师开具处方、药师审核处方必须使用CA数字签名，确保签名不可抵赖。流程控制：系统必须强制执行“先审方后发药”逻辑，严禁药师权限未通过审核即生成发药指令。处方权限制：麻醉药品、精神药品等特殊管理药品严禁通过互联网开具（依据《互联网诊疗管理办法（试行）》）。6.3远程会诊安全跨机构远程会诊涉及多方数据交互，安全风险呈指数级上升。前置审核：邀请方需提前24小时提交会诊申请及脱敏病历资料。传输通道：必须使用医保专网或加密VPN通道，严禁使用公共互联网（如酒店Wi-Fi）进行未加密的桌面共享。知情同意：会诊前必须获得患者书面或电子形式的知情同意书，明确告知数据传输风险及保护措施。7应急响应与灾难恢复安全事件的发生是必然的，能否在“黄金时间”内有效遏制并恢复，决定了损失的量级。7.1事件分级标准根据影响范围和严重程度，将安全事件分为三级。Ⅰ级（特别重大）：判定：核心数据泄露涉及人数≥10,000响应：启动最高级别响应，由信息安全委员会组长指挥，每1小时上报进度，必要时报警并通报网信部门。Ⅱ级（重大）：判定：核心数据泄露涉及人数1,000-9,999人；系统瘫痪4-24小时。响应：由IT部门负责人指挥，每4小时上报进度。Ⅲ级（一般）：判定：核心数据泄露涉及人数<1,000响应：由相关业务主管指挥，当日解决并上报。7.2应急处置流程发现与报告：任何员工发现异常（如系统卡顿、数据异常弹窗）须在5分钟内上报IT服务台（热线：XXXX）。遏制与隔离：动作：立即拔除网线或禁用交换机端口，断开受影响服务器的外部连接。严禁：盲目重启受感染服务器（可能导致内存中的攻击证据丢失或勒索病毒加速加密）。替代：启用备用服务器接管业务。根除与恢复：清除恶意代码，修补漏洞，从干净备份中恢复数据。溯源与总结：事件结束5个工作日内完成《安全事件分析报告》，明确原因、责任及改进措施（PDCA闭环）。7.3演练机制频率：每年至少组织1次全流程实战演练（包括模拟勒索病毒攻击、数据库宕机）。评估：演练结束后需评估RTO/RPO是否达标，并更新应急预案。8审计与合规没有审计就没有安全，日志是还原真相的“黑匣子”。8.1日志审计覆盖范围：覆盖所有用户（包括管理员）的操作日志、系统登录日志、数据库访问日志、网络流量日志。留存要求：日志留存时间不少于6个月，符合《网络安全法》要求。内容规范：日志必须包含：时间戳、源IP、操作人ID、操作对象、操作类型、执行结果（成功/失败）。8.2合规性检查内部审计：质控科每半年进行1次内部合规性检查，重点审计特权账号日志及敏感数据导出记录。外部测评：每年聘请具备资质的第三方机构进行1次网络安全等级保护测评（目标：等保三级），针对发现的高危问题必须给出整改计划并闭环。9罚则制度没有威慑力就是一纸空文，必须建立与安全绩效挂钩的奖惩机制。轻微违规（如：未锁屏、弱口令）：扣除当月绩效奖金10%，并强制参加安全补考。一般违规（如：违规外传非核心数据、越权操作）：扣除当季绩效奖金30%，全院通报批评，离岗培训1周。严重违规（如：故意删除数据、贩卖患者信息、私接外设导致病毒感染）：解除劳动合同，永久列入行业黑名单；涉嫌犯罪的，移交司法机关处理。连带责任：部门负责人对本部门发生的重大安全事件承担连带管理责任，扣除其当季绩效奖金20%。10附则本细则由互联网诊疗信息安全委员会负责解释和修订。生效日期：自发布之日起施行。冲突解决：本细则与国家新颁布法律法规不一致时，以国家法律法规为准。附件A：互联网诊疗安全自查清单（样表）检查部门：\\\\\\\\\\检查人：\\\\\\\\\\日期：YYYY-MM-DD检查项检查内容判定标准检查结果备注终端安全杀毒软件运行状态病毒库定义更新日期≤7□通过□不通过屏幕保密码已设置，等待时间≤15□通过□不通过账号安全共用账号检查抽查5个账号登录日志，无异地异常登录□通过□不通过弱口令检查密码长度≥10□通过□不通过数据安全敏感数据导出检查近1周导出申请，均有审批记录□通过□不通过备份完整性最近一次备份日志显示