患者个人信息安全保护细则

患者个人信息安全保护细则一、总则患者个人信息是医疗机构最核心的数字资产，其安全直接关系到机构声誉、法律合规及患者切身利益。本细则依据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《医疗机构病历管理规定（2013年版）》及等位级GDPR核心原则制定，旨在构建覆盖数据全生命周期的防御体系。本细则适用于全院所有员工（含进修生、实习生）、外包服务人员及第三方合作机构，任何人员不得以“业务便利”为由规避安全管控。本细则实行“最小必要”与“知情同意”双轨制原则，即数据收集范围严格限制在诊疗活动必需的最小集，且必须获得患者明确授权。所有涉及患者个人信息的操作必须具备可追溯性，确保“事前有审批、事中有监控、事后可审计”。二、组织与职责数据安全不是单一部门的职责，而是构建在全院业务流程之上的全员防御体系。必须建立“决策层-管理层-执行层”三级联动的组织架构，明确各角色的RACI（负责、审批、咨询、知情）矩阵。1.信息安全委员会（决策层）职责：负责制定数据安全战略，审批一级数据跨境传输及重大系统变更。动作要求：每季度召开1次安全例会，审议《数据安全风险评估报告》；发生泄露事件时，1小时内启动应急指挥。产出物：《年度数据安全目标书》《应急响应决策令》。2.信息科/医务科（管理层）职责：负责技术防护体系搭建、权限审计及日常监管。动作要求：权限审计：每月导出系统日志，对比HR在职名单，发现离职人员账号未注销需在24小时内冻结。漏洞扫描：每两周对核心业务系统（HIS、LIS、PACS）进行1次漏洞扫描，高危漏洞（CVSS≥7.0）必须在72小时内完成修补。产出物：《权限审计报告》《漏洞修补跟踪表》。3.临床科室/职能部门（员工层）职责：负责执行诊疗过程中的数据保护操作，报告异常情况。动作要求：新员工入职3个工作日内完成《数据安全承诺书》签署；发现账号异常（如凌晨自动发药）需在5分钟内上报信息科。产出物：《异常情况报告单》。三、数据分级与分类标准并非所有数据都具备同等价值，盲目实施高强度加密会拖垮业务效率。必须根据敏感程度实施分级保护，将资源集中在高风险资产的防护上。1.核心敏感数据（L3级）定义：一旦泄露将严重损害患者人身、财产安全或造成名誉严重受损的数据。范围：身份证号、社保卡号、病历主索引（EMPI）、疾病诊断（ICD-10编码）、手术记录、病理报告、基因检测数据、指纹/虹膜等生物识别信息。防护要求：强制AES-256加密存储；访问必须通过MFA（多因素认证）；操作日志保留期≥5年。2.重要业务数据（L2级）定义：泄露会对患者造成一般性困扰或干扰正常医疗秩序的数据。范围：姓名、联系电话、家庭住址、医保类型、费用明细、检查影像（DICOM文件）。防护要求：至少AES-128加密存储；访问需通过双因子认证（账号+密码/令牌）；操作日志保留期≥3年。3.一般公开数据（L1级）定义：可对外公开或脱敏后公开的数据。范围：医院科室介绍、专家排班表（不含私人电话）、就诊流程指引。防护要求：无需加密，但需防篡改。四、数据全生命周期管理数据安全管理的成败取决于对每一个流转节点的精准控制，任何一个环节的疏漏都会导致整个防御体系失效。必须从数据的产生、存储、使用、传输到销毁，实施端到端的闭环管控。1.数据收集最小化原则：严禁在挂号单、入院登记表中收集与诊疗无关的信息（如收入水平、婚姻状况除非必要）。知情同意：在HIS系统录入患者信息时，界面必须弹窗告知《个人信息收集声明》，患者点击“同意”后方可进行下一步操作。身份核验：办理入院时，必须通过身份证阅读器核验原件，严禁仅凭口述录入身份证号（防止身份冒用）。2.数据存储加密存储：数据库中的身份证号、电话号码字段必须采用SM4（国密算法）或AES-256算法加密。禁止明文存储。物理隔离：开发测试环境（Dev/Test）必须使用脱敏数据，严禁将生产库（Prod）数据直接克隆至测试环境。若必须使用真名测试，需经分管院长审批，且测试完成后24小时内销毁。备份安全：数据备份介质（磁带、硬盘）必须存放于防火、防磁、防盗的异地机房。每季度进行1次备份恢复演练，验证数据可用性。3.数据访问与使用权限管控：实行RBAC（基于角色的访问控制）。护士只能查看本科室患者信息，医生只能查看本人收治患者信息。跨科室查阅需在系统中提交《跨科会诊申请单》，经科主任审批后开通临时权限（有效期≤24小时）。屏幕防窥：门诊医生工作站、护士站电脑必须安装防窥膜（视角≤30度）。工作人员离开工位必须锁定屏幕（Win+L），系统应设置5分钟无操作自动锁屏。水印溯源：核心业务系统界面必须采用隐形水印技术，将操作员“工号+时间”嵌入屏幕背景。一旦发生拍照泄露，可通过提取水印锁定泄露源头（提取误差≤0.1像素）。禁止批量导出：严禁使用SQL客户端（如Navicat、PL/SQL）直接连接生产库执行SELECT*查询。确需科研导出时，必须使用ETL工具经审批后导出，且导出文件必须自动脱敏（隐藏身份证号中间6位）。4.数据传输内部传输：院内系统间调用（HIS调LIS）必须采用mTLS（双向认证）加密，API接口需校验Token有效期（建议15分钟过期）。外部传输：严禁使用微信、QQ、个人邮箱发送患者名单或病历资料。正确做法：使用医院内部安全邮箱系统（支持大文件传输、阅后即焚）或通过卫生专网（VPN）传输。临时传输：若因急救必须通过微信发送影像，必须将图片嵌入PDF并设置“打开密码”（密码通过电话告知另一端），并在30分钟内要求接收方删除本地文件。5.数据销毁纸质销毁：废弃的打印病历、申请单必须投入配有碎纸功能的回收箱（保密级别P-4）。严禁直接丢入垃圾桶。电子销毁：存储介质报废前，必须执行物理销毁（硬盘消磁≥7000Oe或钻孔破坏），逻辑格式化（Format）无效（数据可通过EasyRecovery恢复）。日志清理：系统访问日志在保留3年后，需使用安全擦除工具（如Eraser）覆写3次方可删除。五、场景化操作规范理论规则必须转化为具体场景下的肌肉记忆，才能在高压工作中不被遗忘。以下针对高频高风险场景制定刚性约束。1.门诊/住院场景叫号系统：分诊台叫号显示屏及广播，仅显示“姓名+排队序号”，严禁播报完整身份证号或详细诊断。床头卡：病房床头卡仅显示姓名、性别、年龄，严禁显示诊断结果（防止探视人员歧视）。打印报告：自助打印机必须设置“扫码取报告”功能，系统在输出报告前需核对扫码凭证与报告单条码一致性。打印出的报告必须包含防伪水印。2.远程医疗场景视频会诊：必须使用符合等保2.0标准的专用视频会议软件，严禁使用Zoom、腾讯会议（个人版）等通用软件。屏幕共享：医生端共享屏幕时，严禁打开包含其他患者信息的Excel表格或IM聊天窗口（防止背景信息泄露）。建议使用“应用窗口共享”而非“全桌面共享”。账号管理：互联网医院账号严禁与社交账号（微信、支付宝）直接绑定（防止撞库攻击），应建立独立的账号体系。3.科研教学场景数据脱敏：从数据库导出科研数据时，必须运行去标识化脚本。规则：姓名替换为“姓+*”，身份证号替换为“出生日期+随机4位”，住址替换到“区/县级”。验证：脱敏后的数据需进行k-匿名性检验（k≥10），确保无法通过组合属性重识别特定个体。外带管理：科研笔记本电脑严禁存储明文数据。必须启用全盘加密（BitLocker或FileVault），且USB端口默认封禁（白名单管理）。4.第三方合作场景驻场开发：厂商人员驻场开发时，必须使用专用终端，终端仅能通过跳板机（JumpServer）访问测试环境，严禁直接连接内网。数据接口：与医保、商保对接时，接口必须启用IP白名单（仅允许对方特定IP访问）及速率限制（防止DDoS攻击导致数据库拖库）。六、应急响应与处置安全事件的发生不可避免，关键在于能否在黄金时间内遏制风险扩散。必须建立分级响应机制，将损失降至最低。1.事件分级Ⅰ级（特别重大）：≥10万人敏感信息泄露，或涉及基因数据、传染病数据泄露。响应时间：T+0发现，T+15分钟上报院长，T+2小时上报卫健委及公安网安部门。Ⅱ级（重大）：1万~10万人信息泄露，或数据被勒索病毒加密影响业务。响应时间：T+30分钟上报院长，T+6小时上报卫健委，24小时内完成初步调查报告。Ⅲ级（一般）：1万人以下泄露，或单份纸质病历遗失。响应时间：T+2小时上报医务科，48小时内完成整改。2.处置流程（PDCA）遏制：立即断开受影响服务器的外网连接（拔线或禁用网卡）。修改相关系统管理员密码（长度≥16位，包含大小写+数字+特殊符号）。冻结可疑账号。根除：通过日志分析攻击路径（Webshell、SQL注入点）。查杀病毒，修补漏洞，清除后门程序。恢复：从干净的备份中恢复数据。恢复业务连接，并进行24小时重点监控。复盘：事件结束后5个工作日内出具《安全事件复盘报告》。更新风险库，调整防御策略（如升级WAF规则）。3.常见攻击演化与阻断勒索病毒攻击路径：钓鱼邮件→员工点击宏→释放勒索病毒→加密本地文件→通过RDP横向传播至文件服务器。阻断点：禁用Office宏默认运行（策略组强制）；RDP服务（3389端口）仅对内网开放；关键数据实施“冷备”（离线备份）。内部违规导出：员工利用夜班权限→通过U盘拷贝数据→带离医院出售。阻断点：USB端口物理封禁或使用DLP（数据防泄漏）系统，检测到敏感关键词（如“身份证”）写入移动存储时自动阻断并报警。七、审计与问责没有惩罚的制度是一纸空文，必须建立严密的违规追溯与处罚机制。审计部门应保持独立性，直接向信息安全委员会汇报。1.审计内容日志审计：每周检查系统管理员、数据库管理员的操作日志，重点关注DROP、TRUNCATE、UPDATE（无WHERE条件）等高危指令。行为审计：每季度抽查10%的科室，检查是否存在将账号密码贴在显示器上、纸质病历随意摆放等违规行为。2.违规处罚矩阵违规行为危害等级处罚措施故意出售患者数据特级解除劳动合同，移送司法机关，追究刑事责任。将账号借给他人使用严重全院通报批评，扣除当月绩效20%，取消年度评优资格。通过微信发送未脱敏名单较重警告谈话，扣除当月绩效5%，重新参加安全培训。密码设置过于简单（如123456）一般责令立即整改，扣除科室负责人当月绩效2%。未按规定锁屏轻微口头警告，纳入科室月度质控扣分。八、附则本细则由信息科负责解释，自发布之日起施行。原有相关规定与本细则不一致的，以本细则为准。如遇国家相关法律法规更新，信息科应在30个工作日内组织修订本细则。附录A：可执行工具1.数据安全自查清单（Checklist）适用对象：临床科室主任、护士长频率：每月一次检查项检查标准检查结果（是/否）发现问题描述账号管理无共用账号，离职人员账号已注销终端安全所有电脑已安装杀毒软件且病毒库更新至3日内物理环境诊室门无人时已上锁，未留病历在桌面密码强度核心业务系统密码长度≥10位且含特殊符号外设管理未发现私接无线路由器或私人存储设备2.数据导出审批单（样表）编号：SEC-EXP-2024-XXX申请内容填写申请人[姓名]（工号：XXXXXX）所属科室[科室名称]导出目的□临床研究□质控分析□法务举证□其他：________数据范围患者ID区间：______至______（或：时间范围2024/01/01-2024/01/31）涉及字段□姓名□身份证□诊断□检查结果□费用脱敏要求□是（需隐藏身份证号中间6位）□否（需特批）保密承诺本人承诺数据仅用于上述目的，不用于任何商业用途，使用完毕后立即销毁。签字：________审批流程签