医院信息安全管理制度(系列)-1

医院信息安全管理制度(系列)医院信息安全管理工作以保障医疗业务连续稳定运行、患者个人信息及敏感医疗数据安全、维护公共卫生信息安全秩序为核心目标，严格依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》《网络安全等级保护条例》等法律法规及行业标准制定全流程管控要求，覆盖所有信息系统、数据资产、网络节点、终端设备及全体涉及信息操作的在岗人员、第三方服务人员。医院设立信息安全工作领导小组，由院长担任组长，分管信息化建设的副院长担任副组长，成员涵盖信息科、医务科、护理部、门诊部、住院部、财务科、医保科、设备科、保卫科、人事科、科研科、医患关系办公室等各临床、医技、行政后勤科室主要负责人，作为全院信息安全工作的最高决策机构，负责审定信息安全战略规划、年度工作计划、重大安全事件处置方案及安全投入预算，统筹协调全院信息安全重大事项，每季度至少召开一次信息安全专题工作会议，研判安全形势，部署重点工作。信息科作为信息安全工作的执行部门，配备不少于3名专职信息安全管理人员，其中至少1名具备网络安全等级保护测评师或注册信息安全专业人员资质，具体负责落实信息安全领导小组的各项决策，制定并更新信息安全管理制度、操作规范及技术防护策略，组织开展信息系统等级保护测评、安全漏洞排查、风险评估、应急演练等工作，统筹信息系统全生命周期安全管控，监督检查各科室信息安全制度执行情况，受理信息安全事件上报并牵头开展处置工作，定期向信息安全领导小组汇报安全工作开展情况。各临床、医技、行政后勤科室主要负责人为本科室信息安全第一责任人，负责在本科室落实信息安全各项制度，指定1名兼职信息安全员，承担本科室终端设备日常检查、人员安全提醒、安全事件初步上报等工作，组织本科室人员参加信息安全培训，确保本科室所有人员严格按照规范操作信息系统、使用网络及终端设备，严禁违规操作。全院所有在岗人员均为信息安全直接责任人，需严格遵守信息安全各项规章制度，妥善保管个人系统账号及密码，不得转借他人使用，不得违规查询、复制、传播患者信息及医院敏感数据，发现信息安全隐患或事件需第一时间向本科室信息安全员或信息科上报，不得隐瞒或擅自处置。医院实行数据分类分级保护制度，根据数据的重要程度、敏感程度及遭受破坏后的危害程度，将所有数据分为核心数据、重要数据、一般数据三个等级，其中核心数据包括患者电子病历、检查检验结果、个人身份信息、生物识别信息、医保结算数据、医院核心业务系统配置数据及密钥数据；重要数据包括医院运营数据、财务数据、药品耗材采购数据、科研原始数据、医联体共享数据、员工人事薪酬数据；一般数据包括医院公开的诊疗指南、科室介绍、专家出诊信息、健康科普内容等可对外公开的数据。不同等级数据采取差异化的防护措施，核心数据需落实加密存储、加密传输、双人审批访问、全流程审计等最高等级防护要求，重要数据需落实权限管控、定期备份、操作审计等防护要求，一般数据需落实内容审核、防篡改等防护要求。数据采集环节严格遵循“合法、正当、必要”原则，所有数据采集均需符合法律法规要求，不得超出业务需求采集无关数据，采集患者个人敏感信息需提前告知采集目的、使用范围及存储期限，取得患者或其法定监护人的明确同意，门诊挂号、住院登记、检查检验预约等环节采集的患者信息仅用于诊疗服务及医院合规管理需要，不得擅自扩大使用范围。院内各科室不得私自搭建数据采集系统或使用第三方数据采集工具，确需新增数据采集渠道的，需向信息科提交申请，经信息安全领导小组审批通过后方可上线，且需符合数据安全防护要求。数据存储环节落实分级存储及加密要求，核心数据存储于医院核心存储区域，采用AES-256及以上强度的加密算法进行加密存储，密钥由专人保管，密钥的生成、存储、使用、更新、销毁均需履行审批及登记手续，严禁私自导出或泄露密钥。重要数据存储于专用存储区域，设置访问控制策略，仅授权人员可访问。所有数据备份按照“3-2-1”原则执行，即至少保存3份数据副本，存储在2种不同的存储介质上，其中1份为异地离线备份，核心数据备份频率为每小时增量备份、每日全量备份，异地备份数据每月至少进行一次完整性校验，离线备份介质存放在符合防火、防水、防盗、防磁要求的专用保管场所，由双人双锁管理。存储介质的报废需经信息科审批，核心数据存储介质采用物理销毁方式，销毁过程需全程录像并存档，严禁未经审批私自丢弃或转卖存储介质。数据使用环节严格落实最小权限原则，所有系统账号的权限根据岗位职责进行分配，确保账号仅具备完成本职工作所需的最小权限，不得超权限分配账号。临床医生仅可查询、修改本人负责诊疗的患者病历信息，护理人员仅可查询、操作本科室负责护理的患者护理相关信息，行政后勤人员仅可访问与本职工作相关的业务数据，严禁越权查询、修改、复制、传播患者信息及医院敏感数据。因科研、教学、统计等需要使用批量患者数据的，需提交书面申请，明确数据使用范围、用途、使用期限及安全防护措施，经医务科、科研科、信息科联合审核，报信息安全领导小组审批通过后，由信息科对数据进行脱敏处理，去除患者姓名、身份证号、联系方式、家庭住址等个人识别信息后方可提供，使用过程中严禁私自留存、复制、传播数据，使用结束后需及时销毁数据副本并向信息科反馈使用情况。对外提供数据的，需严格履行审批流程，涉及核心数据或重要数据的，需报上级卫生健康行政部门及网信部门审批，且需与接收方签订数据安全保密协议，明确双方安全责任。数据传输环节落实加密及管控要求，院内核心数据传输采用SSL/TLS加密通道，严禁通过明文方式传输核心数据及重要数据。跨机构数据传输需通过专用网络或VPN加密通道进行，严禁通过公共互联网传输敏感数据。严禁使用微信、QQ、个人邮箱等公共互联网工具传输患者信息、医院敏感数据，确需通过邮箱传输的，需使用医院统一部署的加密邮箱，且需履行审批手续。所有数据传输操作均需留存日志，日志保存期限不少于6个月，涉及核心数据的传输日志保存期限不少于3年。数据销毁环节严格履行审批及登记流程，超过存储期限的业务数据、过期的备份数据、报废存储介质中的数据均需按照规范进行销毁，销毁方式根据数据等级确定，核心数据采用消磁加物理粉碎的方式销毁，重要数据采用多次覆写加消磁的方式销毁，一般数据可采用逻辑删除加覆写的方式销毁。数据销毁需由两名以上工作人员共同操作，全程录像并存档，销毁记录需包括数据类型、数量、销毁方式、操作人、监督人、时间等信息，保存期限不少于3年。医院所有信息系统的安全管理覆盖立项、采购、开发、上线、运维、下线全生命周期，落实“同步规划、同步建设、同步使用”的三同步要求。信息系统立项阶段，业务牵头科室需同步提出安全需求，信息科对安全需求进行审核，确保安全需求符合等级保护要求及医院数据安全规定，安全防护预算纳入项目总预算。信息系统采购阶段，需对供应商的安全资质进行审核，优先选择具备网络安全等级保护资质、相关行业安全认证的供应商，采购合同中需明确安全责任条款，包括产品安全质量责任、数据保密责任、漏洞修复责任、应急响应责任等，要求供应商提供的产品需符合国家及行业安全标准，不得预留后门，不得擅自收集、上传用户数据。对于自主开发的信息系统，需严格遵循安全编码规范，开发过程中开展代码审计、渗透测试，避免存在安全漏洞，开发环境与生产环境严格隔离，开发人员不得访问生产环境数据。信息系统上线前，需完成安全测评及等级保护备案，三级信息系统需通过三级等级保护测评，二级信息系统需通过二级等级保护测评，测评合格后方可正式上线。上线前需完成漏洞扫描、渗透测试、安全配置基线核查，整改所有高危及中危漏洞，设置符合要求的账号权限、访问控制策略、日志审计规则，制定系统运维操作规程及应急预案。系统上线时需同步部署安全防护设备，包括防火墙、入侵检测系统、入侵防御系统、Web应用防火墙、防病毒系统、日志审计系统等。信息系统运维阶段，落实常态化安全管控要求，建立补丁管理机制，定期对操作系统、数据库、中间件、应用系统进行补丁更新，高危漏洞需在发布后72小时内完成修复，中危漏洞需在15天内完成修复，低危漏洞需在30天内完成修复，补丁更新前需在测试环境进行验证，避免影响业务系统正常运行。建立账号权限定期清理机制，每季度对所有系统账号进行一次全面排查，清理闲置账号、冗余账号、离职人员账号，调整不符合岗位要求的权限，账号清理记录存档备查。建立日志审计机制，所有系统操作日志、网络设备日志、安全设备日志均统一归集至日志审计平台，安排专人每日进行审计分析，及时发现异常操作及安全威胁，日志保存期限不少于6个月，核心系统日志保存期限不少于3年。建立定期风险评估机制，每半年开展一次全面的信息安全风险评估，每年委托第三方机构开展一次渗透测试及等级保护测评，及时发现安全隐患并整改。信息系统下线时，需履行审批流程，由业务牵头科室提交下线申请，明确系统下线原因、数据迁移方案、数据销毁方案，经信息科、财务科、医务科等相关科室审核，报信息安全领导小组审批通过后方可下线。下线前需完成所有数据的迁移及备份，确保数据不丢失，下线后需对系统服务器、存储设备中的数据进行彻底销毁，注销所有系统账号，回收相关资源，下线过程中的所有操作均需记录存档。医院网络实行分区分域管理，按照业务属性及安全要求划分为核心业务区、办公业务区、互联网接入区、医联体专网区、运维管理区五个安全区域，各区域之间采用下一代防火墙进行逻辑隔离，设置严格的访问控制策略，默认拒绝所有跨区域访问，仅开放业务必需的端口及权限。核心业务区为最高安全等级区域，仅允许授权的业务系统及运维人员访问，严禁直接与互联网连通。互联网接入区部署Web应用防火墙、入侵防御系统、抗拒绝服务攻击系统、上网行为管理系统等安全设备，对外部访问进行实时监测及防护，拦截SQL注入、跨站脚本、漏洞利用等网络攻击，过滤恶意流量，规范院内人员上网行为，严禁访问违法违规网站，严禁使用互联网工具传输敏感数据。医联体专网区部署专用防火墙及安全网关，对跨机构访问进行身份认证及权限管控，确保仅授权的机构及人员可访问共享数据。运维管理区部署堡垒机，所有运维操作均需通过堡垒机进行，实现身份认证、权限管控、操作审计，运维人员需通过双因素认证方可登录堡垒机，运维操作全程录像，日志保存期限不少于6个月。院内终端设备实行统一管理，所有业务终端、办公终端均由信息科统一采购、统一配置、统一维护，安装统一的防病毒软件、终端安全管理软件，启用全盘加密、外设管控、补丁自动更新等功能，严禁私自卸载安全软件，严禁私自修改终端配置。所有终端均需设置开机密码及系统登录密码，密码长度不少于8位，包含大小写字母、数字及特殊字符，每90天更换一次，严禁使用弱密码，严禁将密码告知他人。移动存储介质实行分类管理，内网使用的移动存储介质由信息科统一采购、统一登记、统一发放，采用加密U盘，仅可在院内内网终端使用，严禁在外网终端或私人设备上使用。严禁将私人移动存储介质接入院内内网终端，确因工作需要使用外来存储介质的，需经信息科审批，由信息科工作人员对介质进行病毒查杀及安全检测后，在指定终端上使用，使用过程中全程监督，使用后及时清除数据。无线网络实行分级管控，院内无线网络分为内部办公无线网及访客无线网，两个网络物理隔离，内部办公无线网采用802.1X身份认证，仅授权的内部人员账号及设备可接入，接入后可访问办公业务区资源，严禁通过内部无线网直接访问核心业务区。访客无线网采用手机号实名认证方式接入，仅可访问互联网，无法访问院内任何内部资源，访客无线网络的访问日志保存期限不少于6个月。远程访问实行严格管控，确因工作需要远程访问院内系统的，需提交书面申请，明确访问用途、访问范围、访问期限，经信息科审核，报信息安全领导小组审批通过后，开通VPN账号，采用双因素认证方式登录，远程访问仅可访问授权范围内的资源，所有远程访问操作均需全程审计，日志保存期限不少于6个月，访问到期后自动注销账号，严禁私自转借VPN账号，严禁通过远程访问下载核心数据及重要数据。医院建立信息安全应急响应体系，成立信息安全应急处置小组，由分管副院长担任组长，信息科全体人员及各科室信息安全员为成员，负责信息安全事件的应急处置工作。结合医院实际制定涵盖勒索病毒攻击、数据泄露、网络攻击、系统宕机、硬件故障等场景的专项应急预案，明确事件分级、响应流程、处置措施、责任分工及恢复目标，核心业务系统的恢复时间目标（RTO）不超过2小时，恢复点目标（RPO）不超过30分钟，一般业务系统的恢复时间目标不超过24小时，恢复点目标不超过4小时。信息安全事件按照严重程度分为特别重大事件、重大事件、较大事件、一般事件四个等级，其中特别重大事件指核心业务系统瘫痪超过4小时、1000条以上患者个人信息泄露、遭受勒索病毒攻击导致核心数据加密且无法恢复、造成重大社会影响或经济损失的事件；重大事件指核心业务系统瘫痪超过2小时不足4小时、100条以上1000条以下患者个人信息泄露、遭受较大规模网络攻击、造成较大社会影响或经济损失的事件；较大事件指一般业务系统瘫痪超过24小时、内部数据泄露未造成外部影响、存在较大安全隐患的事件；一般事件指终端感染病毒、个别账号异常、系统出现小范围故障未影响整体业务的事件。建立信息安全事件上报机制，任何人员发现信息安全事件或可疑情况，需第一时间向本科室信息安全员或信息科上报，不得隐瞒或擅自处置。信息科接到上报后，需立即对事件进行研判，确定事件等级，一般事件由信息科自行处置，处置完成后记录存档；较大事件需立即上报信息安全领导小组副组长，由应急处置小组牵头处置；重大及特别重大事件需立即上报信息安全领导小组组长，同时按照规定时限向上级卫生健康行政部门、网信部门、公安部门上报，上报内容包括事件发生时间、影响范围、初步原因、已采取的措施、当前状况等，不得迟报、谎报、瞒报、漏报。应急处置按照“先控制、后处置、先恢复、后溯源”的原则开展，接到事件报告后，第一时间采取隔离措施，切断感染源，防止事件扩散，终端感染勒索病毒的，立即断开终端网络连接，防止病毒在内网传播；系统被入侵的，立即封禁可疑IP，关闭不必要的服务。隔离完成后，组织技术人员开展排查，确定事件原因、影响范围、损失情况，制定处置方案，尽快恢复业务系统运行，核心业务系统中断的，优先启用备用系统或灾备系统恢复业务，确保诊疗工作正常开展。业务恢复后，开展溯源分析，查找安全漏洞及管理短板，制定整改措施，防止类似事件再次发生。定期开展应急演练，每季度至少开展一次专项应急演练，每年至少开展一次全面的信息安全应急演练及灾备切换演练，演练内容包括勒索病毒处置、数据泄露处置、系统宕机恢复等，演练前制定演练方案，明确演练目标、参与人员、演练场景、操作步骤，演练过程中全程记录，演练后开展复盘评估，总结经验教训，优化应急预案及处置流程，演练记录及评估报告存档备查。建立业务连续性管理机制，核心业务系统采用双机热备或集群部署方式，避免单点故障，核心存储采用冗余架构，确保数据存储可靠性。定期对备份数据进行恢复测试，每月至少开展一次核心数据恢复测试，每季度开展一次全量数据恢复测试，确保备份数据可用。建立重要设备备品备件库，储备核心交换机、核心服务器、存储设备等关键设备的备品备件，确保硬件故障时可及时更换。人员入职时，人事科需将信息安全培训纳入新员工入职培训必修内容，培训时长不少于4学时，培训内容包括信息安全法律法规、医院信息安全管理制度、操作规范、安全意识等，培训后进行考核，考核合格后方可上岗，考核不合格的需重新培训，直至合格。涉及核心数据操作岗位的人员，需签订信息安全保密责任书，明确保密义务及违约责任。人员离岗时，需履行信息安全交接手续，人事科通知信息科注销离岗人员的所有系统账号、VPN账号、邮箱账号等，收回配发的终端设备、移动存储介质、门禁卡等，交接完成后需在离岗交接单上签字确认，涉及核心岗位的人员，需签订离职保密承诺书，明确离职后仍需承担的保密义务，保密期限不少于3年。定期开展全员信息安全培训，每年至少组织两次全员信息安全培训，培训内容包括最新的法律法规、安全威胁态势、典型安全案例、操作规范更新等，不断提升全员安全意识及操作技能。针对信息科运维人员、各科室信息安全员等重点岗位人员，每季度开展一次专项技能培训，培训内容包括安全防护技术、应急处置技能、漏洞修复方法等，提升专业能力。第三方人员管理实行“先审批、后接入，谁陪同、谁负责”的原则，包括供应商运维人员、施工人员、合作单位人员等外来人员，进入院内机房、接触信息系统或数据的，需提交书面申请，明确人员身份、进入场所、操作内容、操作时间，经信息科审核，报信息安全领导小组副组长审批通过后方可进入。进入机房或操作系统时，需有本院信息科工作人员全程陪同，严禁脱离陪同人员私自操作，操作过程需全程录像，操作记录存档备查。第三方人员需临时开通系统账号的，需明确账号权限及使用期限，使用到期后立即注销，严禁开通超权限账号。所有第三方人员均需签订保密协议，明确其对接触到的医院数据及敏感信息的保密责任，违反保密义务的，依法追究其法律责任。信息科定期开展信息安全监督检查，每月开展一次常规检查，每季度开展一次专项检查，每年开展一次全面检查，检查内容包括数据安