医院数据备份安全管理规定

医院数据备份安全管理规定第一章总则第一条为确保本院信息系统及各类业务数据的绝对安全、完整与可用，规范数据备份与恢复工作的管理流程，防范因硬件故障、软件错误、人为操作失误、自然灾害或恶意攻击（如勒索病毒）等导致的数据丢失风险，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《医疗卫生机构网络安全管理办法》及等级保护相关要求，结合本院信息化建设的实际情况，特制定本规定。第二条本规定适用于医院所有涉及数据产生、存储、处理、传输及管理的部门和科室。全院所有员工（包括正式工、合同制员工、进修生、实习生及外包服务人员）必须严格遵守本规定。第三条数据备份是医院信息安全保障体系的核心环节，是业务连续性计划的基石。数据备份管理遵循“统一领导、分级负责、预防为主、防治结合、快速恢复、保障业务”的原则。第四条本规定所指数据包括但不限于：医院信息系统（HIS）、电子病历系统（EMR）、实验室信息系统（LIS）、影像归档和通信系统（PACS）、放射信息系统（RIS）、病理信息系统（PIS）、麻醉信息系统、医院资源规划系统（HRP）及办公自动化系统（OA）等核心业务系统的数据库数据、配置文件、应用程序代码、患者诊疗影像资料、财务账目数据以及各类文档资料。第五条数据备份安全管理目标包括：保障核心业务数据的实时性与一致性；确保备份数据的完整性，无任何数据块损坏；确保备份数据的保密性，防止未授权访问；确保在灾难发生后，关键业务能够在规定的时间目标（RTO）内恢复，数据丢失量控制在可接受的范围内（RPO）。第二章组织架构与职责第六条医院信息化建设领导小组是数据备份安全管理的最高决策机构，负责审批数据备份策略、年度预算、重大灾难恢复预案，并协调跨科室资源。第七条信息中心（或称信息技术部）是数据备份安全管理的执行与监督部门，具体职责如下：（一）制定、修订和推广数据备份安全管理规定及相关操作手册；（二）根据业务重要性制定并实施分级分类备份策略；（三）负责备份系统的日常运行、监控、维护及故障排除；（四）定期组织数据恢复演练，评估备份的有效性；（五）管理备份介质，包括介质的采购、登记、分发、保管、销毁等全生命周期管理；（六）对备份数据的访问权限进行严格控制，并定期审计备份日志。第八条各业务科室负责人是本科室数据安全的第一责任人，有责任配合信息中心完成数据备份工作，及时提出本科室系统的数据备份与恢复需求，并在发生数据丢失或系统故障时，第一时间向信息中心报告。第九条系统管理员与数据库管理员（DBA）具体负责技术层面的备份操作，包括配置备份任务、检查备份日志、验证备份成功与否、处理备份失败告警等。实行关键岗位AB角制度，确保备份工作不因人员缺席而中断。第三章数据分类分级与备份范围第十条为确保备份资源的有效利用，医院数据实行分类分级管理。根据数据的重要性、机密性及业务依赖度，将数据划分为三个等级：（一）核心数据（一级）：指支撑医院核心医疗业务运行、直接关系患者生命安全及医院核心利益的数据。包括但不限于HIS门诊住院数据、EMR电子病历文本、LIS检验结果、PACS原始影像及诊断报告、财务收费数据等。此类数据要求最高级别的保护频率和保留策略。（二）重要数据（二级）：指支撑医院行政管理、后勤运营及辅助医疗业务的数据。包括但不限于HRP人财物数据、OA办公文档、邮件系统数据、网站发布数据、监控录像（近期）等。此类数据要求较高的保护频率。（三）一般数据（三级）：指除核心和重要数据以外的其他数据，如系统操作日志、非关键性的配置文件副本、历史归档数据（超过法定保存期限且无查询需求的旧数据）等。第十一条备份范围必须覆盖所有关键业务系统。对于新建系统或系统进行重大升级改造时，必须将数据备份方案纳入项目实施计划中，系统上线前必须通过备份恢复测试。第十二条针对结构化数据（数据库），需采用专用备份软件进行在线热备份，确保数据的一致性；针对非结构化数据（文件、影像），需采用文件系统级备份或应用级接口备份；针对虚拟化平台，需采用基于快照的整机备份技术，以实现快速恢复。第四章备份策略制定与执行第十三条备份策略的制定需综合考虑RTO（恢复时间目标）和RPO（恢复点目标）。核心业务系统RPO应接近于0（或分钟级），RTO应控制在小时级以内。第十四条备份类型与周期规定如下：（一）全量备份：对全部数据进行完整备份。核心数据库系统至少每周执行一次全量备份；文件及影像系统根据数据量变化，可每月执行一次全量备份。（二）增量备份：仅备份自上次备份以来发生变化的数据。核心数据库系统应每日执行一次增量备份；对于交易频繁的HIS收费模块，应开启基于日志的实时或准实时（如每15分钟）增量备份。（三）差异备份：备份自上次全量备份以来发生变化的数据。适用于数据量中等、恢复速度要求较高的系统，可每两日执行一次。（四）事务日志备份：针对SQLServer、Oracle等数据库，必须设置高频的事务日志备份（建议每小时甚至更短），以确保能够实现时间点恢复（PITR），将数据丢失降至最低。第十五条备份窗口期管理。全量备份应尽量安排在业务低谷期（如凌晨0:00-4:00）进行，以减少对医院白间业务性能的影响。若备份时间过长，需评估采用快照复制、CDP（持续数据保护）或存储级复制技术进行优化。第十六条备份存储策略遵循“3-2-1”原则，即至少保留3份数据副本，存储在2种不同的介质类型上，其中至少1份副本在异地（或防火隔离区）保存。第十七条具体备份策略执行矩阵如下表所示：系统名称数据等级数据类型全量备份频率增量/日志备份频率保留周期异地/离线备份HIS/EMR一级结构化数据每周一次（周日）实时/每15分钟在线：30天；离线：3年每日同步至异地机房LIS/RIS一级结构化数据每周一次（周日）每小时在线：90天；离线：5年每日同步至异地机房PACS一级非结构化影像每月一次每日在线：1年；离线：15年每周同步至异地存储HRP/财务二级结构化数据每周一次（周日）每日在线：180天；离线：10年每日同步至异地机房OA/邮件二级混合数据每两周一次每日在线：60天；离线：5年每周同步至异地机房第十八条备份任务的执行必须由备份服务器或自动化脚本自动完成，严禁依赖人工手动定期操作。系统管理员需在备份系统中配置重试机制，当备份任务失败时，系统应自动尝试重试至少3次，间隔时间不少于10分钟。第五章备份介质与存储管理第十九条备份介质包括本地硬盘、磁盘阵列（SAN/NAS）、磁带库、光盘库及云端对象存储等。所有备份介质必须具备防尘、防潮、防磁、防静电、防火、防盗及防物理破坏的能力。第二十条本地备份存储应采用高可靠性的磁盘阵列或专用备份一体机，配置RAID技术（如RAID6或RAID10）防止硬盘物理故障导致备份数据丢失。存储系统需具备冗余电源、冗余风扇等硬件高可用性设计。第二十一条异地备份管理。医院应建立异地灾备中心或利用安全的云存储服务。对于核心数据，必须建立应用级灾备；对于重要数据，建立数据级灾备。异地传输链路应采用加密通道（如VPN或专用专线），确保数据传输过程中的机密性。第二十二条离线介质管理（如磁带、移动硬盘）：（一）离线介质必须经过严格的格式化和病毒扫描后方可使用。（二）离线介质必须贴有清晰的标签，标明备份日期、数据来源、数据版本、介质编号及保管责任人。（三）离线介质应存放在专用的防火保险柜或介质库中，实行双人双锁管理。（四）对于超过保留期限的离线介质，需进行物理销毁或消磁处理，并做好销毁记录，严禁直接丢弃或转作他用。第二十三条存储容量监控。信息中心需建立存储容量预警机制，当备份存储空间使用率达到80%时发出黄色预警，达到90%时发出红色紧急告警，并立即启动扩容或清理无效备份数据的流程。第六章备份操作规范与日志管理第二十四条备份操作实行严格的权限控制。仅授权系统管理员、数据库管理员及特定的备份专员拥有备份任务的创建、修改、删除及执行权限。严禁开发人员、测试人员直接在生产环境备份服务器上进行操作。第二十五条每次备份任务执行后，备份系统必须自动生成详细的备份日志。日志内容至少应包括：任务名称、源端服务器、目标端存储、开始时间、结束时间、备份数据量、备份状态（成功/失败/警告）、校验码（Checksum/Hash值）及错误代码。第二十六条系统管理员必须在每日上午9:00前检查前一日所有备份任务的执行状态。对于“失败”状态的备份，必须在1小时内启动重备或排查故障；对于“警告”状态（如部分文件跳过），需确认是否影响数据完整性，必要时进行补备。第二十七条备份日志必须长期保存，保存期限不得少于3年，且需将日志同步至独立的日志审计服务器，防止因生产系统崩溃导致日志丢失。第二十八条数据校验机制。备份系统应具备自动校验功能，定期（如每周）对备份文件进行完整性校验，通过比对源数据与备份数据的指纹信息或进行抽样恢复测试，确保备份数据是可用的、未损坏的。第七章数据恢复管理第二十九条数据恢复是指将备份数据还原至生产系统或指定系统的过程。任何数据恢复操作均属于高风险操作，必须遵循严格的审批流程。第三十条数据恢复申请流程：（一）常规数据恢复（如误删记录、逻辑错误）：由业务科室负责人填写《数据恢复申请单》，详细说明恢复原因、数据类型、时间点及目标位置，经科室负责人签字确认后，提交信息中心主任审批。（二）紧急数据恢复（如系统崩溃、勒索病毒攻击）：在紧急情况下，可经口头向主管院长请示后先行执行，事后必须在24小时内补齐书面审批手续。（三）全系统灾难恢复：需医院信息化建设领导小组组长批准，启动《医院信息系统灾难恢复预案》。第三十一条数据恢复实施规范：（一）恢复操作必须由两名以上管理员共同在场执行，一人操作，一人复核。（二）恢复前，必须对当前生产系统的数据进行镜像备份或快照保护，防止恢复操作失败或覆盖了错误的数据导致二次灾难。（三）恢复过程中，应密切监控进度及系统资源使用情况，并在恢复完成后立即进行数据一致性验证。第三十二条恢复验证标准。数据恢复后，需由业务科室人员配合进行业务验证，确认数据准确无误、应用功能正常后，双方签字确认恢复工作结束。第八章备份恢复演练第三十三条为检验备份数据的有效性和恢复预案的可行性，必须定期开展数据恢复演练。演练是发现备份系统潜在问题、提升应急响应能力的关键手段。第三十四条演练频率与范围：（一）桌面推演：每半年进行一次，主要演练灾难发生时的指挥调度、通讯联络及流程响应。（二）模拟恢复演练：每季度进行一次，针对核心业务系统（如HIS、EMR），在非生产环境（测试环境）中，利用最近的备份数据进行恢复，验证数据可用性。（三）实战切换演练：每年至少进行一次，在条件允许的情况下，模拟核心机房瘫痪，将业务切换至灾备中心运行，验证灾备系统的承载能力。第三十五条演练组织与记录。信息中心负责制定演练方案，明确演练目的、场景、步骤、参与人员及风险评估。演练过程中需详细记录每个步骤的耗时及遇到的问题。演练结束后，需编写《演练总结报告》，针对发现的问题制定整改措施，并跟踪落实。第三十六条对于演练中使用的备份数据，必须严格隔离，严禁演练数据回流至生产环境，防止数据污染。第九章安全保密与访问控制第三十七条备份数据中包含大量患者敏感隐私信息（PII），必须按照国家信息安全等级保护第三级及以上要求进行保护。第三十八条备份数据加密。对于存储在异地、云端或便携式介质上的备份数据，必须进行加密处理。加密算法应采用国家密码管理局认可的算法（如SM4）或国际通用强加密标准（如AES-256），密钥管理需符合《密钥安全管理规定》。第三十九条备份系统的访问控制。备份管理平台需启用双因素认证（2FA），严禁使用弱口令。根据最小权限原则，为不同角色分配仅够使用的权限。审计员应拥有独立的审计账号，不可被管理员删除或修改。第四十条敏感数据脱敏。在将生产数据备份至开发、测试或培训环境时，必须经过严格的脱敏处理，对患者的姓名、身份证号、电话号码、住址等敏感信息进行不可逆的变形或屏蔽，严禁将真实患者数据用于非生产目的。第四十一条物理安全。存放备份介质和备份服务器的机房需符合GB50174-2017《数据中心设计规范》的要求，具备门禁监控、环境监控（温湿度、漏水、烟感）等措施，进出人员必须实名登记。第十章勒索软件与灾难应对第四十二条针对当前严峻的勒索软件威胁，必须建立专门的数据防勒索备份机制。第四十三条实施“空气隔离”策略。至少保留一份完全物理隔离于生产网络的备份副本（如冷备磁带或离线硬盘），该副本平时不挂载至任何服务器，仅在灾难恢复时临时挂载，确保勒索病毒无法加密备份文件。第四十四条开启备份系统“不可变”特性。利用WORM（WriteOnce,ReadMany）技术或对象存储的锁定功能，确保备份副本在设定的时间周期内无法被修改或删除，防止攻击者试图清除备份。第四十五条一旦发生勒索病毒攻击事件，立即启动应急响应预案：（一）立即断开受感染服务器网络连接，防止横向传播。（二）对未感染区域进行网络隔离保护。（三）评估受损范围，确定恢复点。（四）优先利用“空气隔离”或“不可变”备份进行数据恢复。（五）恢复后对全网进行漏洞扫描和病毒查杀，确保环境安全后方可恢复业务。第十一章监控、审计与考核第四十六条建立统一的备份监控大屏，实时展示所有备份任务的运行状态、存储空间使用率、异地同步延迟等关键指标。告警信息需通过短信、邮件、即时通讯工具（如企业微信、钉钉）实时发送给相关运维人员。第四十七条审计内容包括但不限于：备份策略的变更记录、备份介质的借还