网络勒索病毒攻击导致诊疗中断演练脚本

网络勒索病毒攻击导致诊疗中断演练脚本一、演练背景与目标设定本次演练旨在模拟医疗机构核心业务系统遭遇新型勒索病毒攻击，导致HIS（医院信息系统）、EMR（电子病历）、LIS（实验室信息系统）、PACS（影像归档和通信系统）等关键诊疗服务全面瘫痪的极端场景。通过全流程、实战化的模拟操作，检验医院信息科、医务部、护理部、门诊办、急诊科及各临床科室在面对突发网络安全事件时的应急响应能力、业务连续性管理能力以及跨部门协同作战水平。重点考察在系统不可用的情况下，如何通过启动应急预案，切换至人工接诊与纸质记录模式，保障急诊、抢救等核心医疗业务不中断，患者生命安全不受威胁，并验证备份数据的有效性与系统恢复的速度。二、演练组织架构与角色职责分工为确保演练高效有序进行，设立应急演练指挥部及五个专项职能小组，具体职责划分如下：组别角色主要职责总指挥部总指挥（院长）负责发布演练启动与终止指令，统筹协调全院资源，对重大事项进行决策。副总指挥（分管副院长）协助总指挥工作，具体负责医疗业务秩序的维护与现场指挥调度。技术处置组组长（信息科主任）负责网络安全事件的研判、病毒溯源、系统隔离、数据备份恢复及网络重构。网络安全工程师执行断网操作，排查攻击源，日志分析，修补漏洞。系统管理员负责服务器状态检查，数据库完整性验证，业务系统重新部署。医疗救治组组长（医务部主任）负责调整医疗流程，组织急诊抢救与重症患者的转运协调，保障医疗质量安全。临床科室负责人指挥科室启动纸质处方、手工医嘱模式，负责患者解释沟通与情绪安抚。护理管理组组长（护理部主任）负责全院护理人力资源调配，确保手工执行医嘱的核对无误，保障护理操作规范。后勤保障组组长（总务科主任）负责应急物资（纸张、文具、对讲机等）的供应，维持现场秩序，电力保障。舆情应对组组长（宣传科主任）负责对外信息发布口径统一，接待媒体咨询，监控并引导网络舆情。三、演练场景设定与攻击模拟细节演练背景设定为某周三上午09:30，医院门诊接诊高峰期。一名门诊收费员在打开一封伪装成“医保局最新报销政策通知”的钓鱼邮件附件后，电脑屏幕突然弹窗，显示所有文件已被加密，并要求在24小时内支付虚拟货币。1.攻击路径模拟：钓鱼邮件携带某新型勒索病毒变种，该病毒具备内网横向渗透能力，利用医院内网SMB协议漏洞及部分终端弱口令问题，迅速从办公网段向核心业务网段扩散。2.受损范围设定：门诊楼所有医生工作站、护士工作站、收费窗口、药房发药系统瘫痪。住院部除重症监护室（ICU）外，其余病区HIS系统无法访问。检验科LIS系统与影像科PACS系统数据锁定，无法查看报告与胶片。病毒已感染核心数据库服务器部分文件，导致HIS主服务强制停机。3.时间压力设定：系统完全中断，预计恢复时间需超过4小时，必须立即启动《医院网络与信息安全事件应急预案》及《医院关键业务中断应急预案》。四、演练准备阶段工作清单在正式演练开始前，需完成以下准备工作，确保模拟环境真实且不影响实际生产环境（若采用模拟环境演练）或确保回退机制可靠（若采用实战演练）。序号准备项目具体内容与要求责任部门1技术环境确认搭建与生产环境一致的演练测试环境；若实战演练，需确保核心数据已完成全量冷备，并验证备份可恢复性。信息科2演练脚本审核组织各小组长对演练流程进行桌面推演，明确各时间节点的动作与信号传递方式。医务部、信息科3物资准备打印应急纸质单据（处方、检验申请单、入院记录等）、备足笔、复写纸；准备对讲机或专用手机用于通信。总务科4通知与报备向卫健委及公安机关网安部门报备演练事宜；向全院发布非正式的“系统维护通知”以避免引起不必要的恐慌，但具体时间需保密。院办5人员就位各小组长及关键岗位人员需在09:00前到达指定地点，通讯工具保持畅通。各科室五、演练实施全过程脚本（一）第一阶段：监测与发现（09:30-09:35）时间：09:30场景：门诊一楼收费处3号窗口。人物：收费员小王。动作：小王在处理患者缴费时，点击电脑弹出的“系统升级提醒”后，屏幕突然卡死，随后出现红色背景锁屏界面，提示“您的文件已被加密，请发送邮件至xxx解密”。小王尝试重启电脑，再次开机后仍显示勒索信，且HIS系统客户端无法连接。对白：小王（惊慌）：主管，我这电脑坏了，出不来界面，全是乱码和英文，系统进不去了，刚才那个患者的费用还没缴。收费主管（走近查看）：别动键盘！这看起来像是中毒了。你先把网线拔掉，别传给其他人。我马上报告信息科。时间：09:32场景：门诊办公室。动作：收费主管立即拨打信息科值班电话。对白：收费主管：信息科吗？我是门诊收费主管。刚才3号窗口收费员电脑出现异常，屏幕提示文件被加密，像是勒索病毒。现在该终端已断网，请马上过来查看。时间：09:33场景：信息科运维值班室。人物：值班工程师。动作：接到电话后，值班工程师立即通过网管系统监控全网流量，发现内网存在异常大量扫描与连接请求，且多个VLAN同时出现告警。对白：值班工程师：情况收到，我这边看网管平台，内网流量异常飙升，不止一台电脑中毒，可能已经扩散了。我马上上报主任。（二）第二阶段：研判与上报（09:35-09:45）时间：09:35场景：信息科主任办公室。人物：信息科主任、网络安全工程师。动作：信息科主任查看日志与监控大屏，发现核心交换机端口流量异常，HIS数据库服务器响应超时。立即指示启动网络安全应急响应，并电话向分管副院长汇报。对白：信息科主任：副院长，我是信息科。刚才门诊收费端出现勒索病毒迹象，目前监测到病毒正在内网快速横向传播，HIS、LIS服务器响应异常，面临全面停机风险。建议立即启动一级应急响应，切断全院外网连接并采取核心业务网段隔离措施。分管副院长：明白。情况很严重。你先在技术层面做紧急阻断，防止扩散。我马上向院长汇报并召集应急小组，准备启动全院应急预案。时间：09:40场景：院长办公室。人物：院长、分管副院长。动作：院长听取简短汇报后，下达指令。对白：院长：批准启动《医院网络与信息安全事件应急预案》。立即成立现场指挥部，各小组十分钟内到位。第一要务是保障病人安全，医疗业务马上切回手工模式，技术组全力抢修，务必查清原因。注意，对外口径要统一，避免恐慌。（三）第三阶段：应急处置与遏制（09:45-10:30）时间：09:45场景：信息科机房/中控室。人物：技术处置组全体成员。动作：1.断网隔离：网络安全工程师在防火墙及核心交换机上执行ACL策略，立即阻断全院互联网访问，关闭高危端口（445,135,139等）。将门诊楼、住院部、行政楼进行逻辑隔离，防止病毒跨区域扩散。2.服务器保护：系统管理员登录物理服务器（带外管理），拔除感染严重的服务器网线，对未感染的核心数据库服务器进行快照备份，并强制关机保存现状，防止数据进一步加密。3.现场排查：运维人员携带杀毒U盘赶赴门诊收费处、医生站，对已中毒终端进行物理标记，张贴“暂停使用”标识，并排查周围未明显中毒终端是否开启防火墙。时间：09:50场景：全院各科室。动作：通过院内广播及工作微信群发布紧急通知（因部分终端中毒，网络暂不可用，优先电话通知科主任）。通知内容：全院注意，全院注意。因遭受网络病毒攻击，医院信息系统目前暂停服务。请各科室立即启动手工诊疗应急预案。临床科室立即停止使用电脑录入，改用纸质医嘱；门诊立即启动手工挂号、收费；药房严格执行手工发药流程。请大家坚守岗位，安抚患者，保障医疗安全。时间：10:00场景：急诊科抢救室。人物：急诊科主任、值班医生、护士长。动作：急诊科主任召集医护人员简短动员。护士长迅速清点备用的纸质《危重症抢救记录单》、《临时医嘱单》。对白：急诊科主任：系统瘫痪了，但抢救不能停。所有医嘱口头下达，护士执行后必须复述，双人核对无误后执行。所有的抢救记录、用药情况先用笔记录，字迹要工整。需要检查的，开好手工单子，派专人护送病人去检验科，并当面跟检验科交代清楚。护士长：收到！我已经把急救车的备用药和所有记录本拿出来了。大家注意，没有系统，三查七对更要仔细，绝对不能出错。（四）第四阶段：业务连续性运营（人工模式启动）（10:00-12:00）时间：10:10场景：门诊大厅。人物：门诊办主任务、导诊护士、安保人员。动作：门诊大厅出现患者聚集与骚动。导诊护士和安保人员立即进行分流与解释。对白：导诊护士：请大家不要拥挤！系统正在进行临时维护，暂时无法使用自助机。急诊患者请直接去急诊科，病情稳定的患者请到人工窗口进行挂号和缴费。所有检查单和发票我们会手工开具，请大家谅解。患者A：这怎么回事啊？我上午的CT还能做吗？导诊护士：可以做，医生给您开手工单子，您拿着单子去交费，然后去检查科室。我们会尽最大努力不耽误您的看病。时间：10:15场景：门诊内科诊室。人物：李医生、患者张先生。动作：李医生在无法查阅电子病历和既往检查结果的情况下，详细询问患者病史，手工开具处方和检查单。对白：李医生：张先生，实在不好意思，系统故障了。您刚才说之前有过高血压，一直在吃药，是吧？最近头还晕吗？患者张先生：嗯，有时候晕。以前吃的药完了，本来想今天开点。李医生：好，那我给您量个血压。血压150/95，控制得一般。我给您手工开个处方，还是继续用之前的药。这张单子是药方，您去一楼窗口缴费，然后去药房取药。这张是检查单，去做个血脂和血糖检查，结果出来后您回来找我或者下次门诊看。（李医生工整书写处方，注明科室、姓名、药品名称、剂量、用法，并盖个人名章）时间：10:30场景：住院部普外科护士站。人物：护士长、责任护士小刘。动作：护士站电脑屏幕显示异常。护士长将所有在院患者医嘱单打印出来作为核对依据（如未提前打印，则凭借记忆与交接班本临时处理），并建立临时医嘱执行记录本。对白：护士长：小刘，你负责5-10床。现在所有执行过的医嘱，在临时记录本上登记好时间和剂量，执行一项打钩一项。家属来问病情，要耐心解释，我们有备用的纸质病历夹。责任护士小刘：明白。刚才8床患者打完吊瓶了，我已经记录在本子上了。现在是输液高峰期，我们去病房巡视一下吧，别光等着铃声，系统报不上来。时间：11:00场景：检验科。人物：检验科主任、技师。动作：LIS系统瘫痪，检验仪器无法直接接收电子申请单，结果无法回传。技师接收临床送达的手工检验申请单，进行编号并手工录入仪器的临时工作站（单机版）。对白：检验科主任：把急诊标本优先处理。所有手工单子必须仔细核对患者姓名、床号、检验项目。结果出来后，先电话通知临床科室，危急值必须按照流程电话报告并记录。所有的纸质报告单先留底，等系统恢复了再补录。（五）第五阶段：系统恢复与验证（12:00-14:00）时间：12:00场景：信息科会议室/机房。人物：技术处置组、外部网络安全专家（模拟接入）。动作：1.病毒清除：经过溯源分析，确认病毒来源为钓鱼邮件，已感染终端约200台。技术组使用专用杀毒工具对所有内网终端进行脱网查杀。2.环境重构：对核心服务器进行格式化重装，从离线冷备（磁带库或异地备份数据）中恢复操作系统与应用数据。重点修补SMB漏洞，更新至最新的防病毒软件病毒库。3.策略调整：重新划分VLAN，收缩内网权限，禁止终端之间直接互访，只允许访问服务器。时间：13:00场景：信息科测试区。人物：系统管理员、医务部代表。动作：核心业务系统恢复完毕，进行内部连通性测试。对白：系统管理员：HIS服务器已经启动，数据库数据完整性校验通过，最近一次备份是今天凌晨2点的。门诊医生站和住院护士站客户端已经分发新的补丁包。医务部代表：好，我们找两个临床科室试运行一下。先在急诊科测试，如果急诊能正常使用，我们就通知全院逐步恢复。时间：13:30场景：急诊科。动作：信息科工程师协助急诊科登录系统，测试开立医嘱、药房发药、收费等全流程。结果：测试通过，数据流转正常。但需注意系统恢复期间的数据补录工作。时间：13:45场景：全院范围。动作：信息科发布通知，分批次、分区域恢复网络连接。首先恢复急诊、ICU，其次恢复门诊楼，最后恢复行政楼。各科室在系统恢复后，首要任务是进行“数据补录”。数据补录流程：1.核对纸质单据与临时记录本。2.将停机期间发生的所有医嘱、费用、检验检查结果手动录入HIS系统。3.护士长与科主任进行双人审核，确保录入数据准确无误，无遗漏。4.药房与收费处进行库存与账目核对。时间：14:00场景：院长办公室/应急指挥部。人物：总指挥。动作：听取各小组汇报，确认业务已全面恢复正常，未发生因系统中断导致的医疗安全纠纷。对白：总指挥：此次网络勒索病毒攻击应急演练圆满结束。各小组配合默契，医疗救治工作井然有序，技术组响应迅速。请信息科继续加固防御体系，医务部组织各科室做好后续的数据补录与复盘工作。宣布演练结束。六、演练复盘与总结评估演练结束后，需立即组织各相关部门召开复盘会议，深入剖析演练过程中暴露出的问题，并形成详细的评估报告。1.响应时效评估：统计从发现病毒到物理断网的时间、从上报到决策下达的时间。是否在黄金时间内遏制了病毒扩散？是否存在汇报层级过多导致决策延迟的情况？2.技术防护评估：病毒是通过何种手段突破防火墙和终端杀毒软件的？备份恢复速度是否满足业务连续性要求（RTO与RPO指标达标情况）？是否存在单点故障风险？3.业务连续性评估：手工模式下，医疗流程是否存在严重的效率瓶颈？纸质医嘱的核对机制是否严密？有无出现差错事故风险？患者满意度与情绪控制情况如何？4.协同沟通评估：信息科与临床科室的沟通是否存在专业术语障碍？应急物资（如纸质表格）是否准备充足？多部门协作指令传达是否清晰？七、关键业务连续性作业标准（SOP）附录为确保在真实攻击发生时有章可循，特提炼以下关键作业标准供参考：（一）门诊手工接诊作业标准步骤操作规范注意事项1.挂号患者在挂号窗口手工填写挂号单，收费员手工收取现金或刷卡（若POS机可用），开具手工收据。收据需具备财务规定的要素（日期、金额、印章）。2.候诊分诊护士根据挂号单安排患者就诊，维持秩序。对于急危重症患者，需执行“先诊疗后付费”原则，走绿色通道。3.诊疗医生在纸质病历上书写病情记录，手工开具处方、检查单。字迹必须工整清晰，药品名称需使用通用名，注明规格、用法、用量。医生必须询问患者药物过敏史，并在纸质处方上显著位置标注。4.缴费患者持处方/检查单至收费处，收费员手工划价收费，留存一联，回执交予患者。遇到复杂检查费用无法确定时，可先预估收取，系统恢复后多退少补。5.取药/检查药房核对手工处方发药；检查科室手工登记患者信息并安排检查。药房发药必须严格执行“四查十对”，发