(2026版)医院信息系统安全管理制度

(2026版)医院信息系统安全管理制度为规范2026年及今后一段时期内医院信息系统全生命周期安全管理，保障医疗业务连续运行、患者敏感数据安全及医疗卫生数据合规利用，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）《信息安全技术健康医疗数据安全指南》（GB/T39725-2020）及国家卫生健康委、国家疾控局关于医疗健康数据安全、智慧医疗建设的最新监管要求，结合医院三级甲等综合医院定位、智慧医院五级建设目标及信息系统部署实际，制定本制度。适用范围与管理原则本制度适用于医院所有信息系统的规划、建设、运行、维护、废止全生命周期管理，涵盖医院信息系统（HIS）、电子病历系统（EMR）、医学影像存储与传输系统（PACS）、实验室信息系统（LIS）、放射科信息系统（RIS）、医院资源规划系统（HRP）、互联网医院平台、智慧病区系统、医疗物联网设备管理平台、AI辅助诊断系统、生成式医疗大模型应用平台等所有由医院建设、运维或委托第三方运维的信息系统及相关基础设施，适用于医院全体职工、外包服务人员、第三方合作机构人员及所有访问医院信息系统的主体。医院信息系统安全管理遵循以下原则：一是零信任原则，默认所有内部、外部访问主体均不可信，所有访问请求需经过身份认证、设备健康校验、权限匹配及行为审计，打破传统网络边界信任模式，适配互联网医院、远程医疗、第三方接入等多场景访问需求；二是数据分类分级保护原则，根据医疗数据的重要程度、影响范围进行分级管控，核心数据重点防护，敏感数据严格管控，一般数据规范管理；三是业务连续性优先原则，安全防护措施以保障医疗业务连续运行为前提，避免因安全管控过度影响临床诊疗效率；四是全生命周期管理原则，覆盖信息系统从规划立项到废止销毁的全流程，每个环节均落实安全管控要求；五是技管并重原则，既要采用先进的安全技术防护手段，也要建立完善的管理制度和流程，强化人员安全意识；六是合规性原则，所有安全管理活动符合国家法律法规、行业监管要求及相关标准规范。安全管理组织与职责医院成立网络安全与数据安全工作领导小组，由院长任组长，分管信息化工作的副院长任副组长，信息科、医务科、护理部、财务科、保卫科、纪检监察室、医保办、门诊办、临床医技各科室主任为成员，作为医院信息系统安全工作的最高决策机构，主要职责包括：统筹信息系统安全顶层设计，审批安全建设规划、年度安全预算、重大安全事件处置方案；协调跨部门安全工作资源，落实网络安全主体责任；定期召开安全工作会议，研究解决安全工作中的重大问题；按规定向卫生健康行政部门、网信部门、公安部门报告安全工作情况及安全事件。领导小组下设办公室，设在信息科，信息科主任任办公室主任，配备专职网络安全管理员2名、数据安全管理员2名、系统运维工程师4名、安全运营专员2名、审计管理员1名，各岗位实行分权制衡，系统管理员、安全管理员、审计管理员不得兼任，主要职责包括：落实领导小组的安全工作部署，制定各项安全管理制度和操作规程；负责信息系统安全建设、运维、监测、应急处置等日常工作；组织开展安全培训、应急演练、安全检查等活动；负责第三方接入、数据共享等安全事项的审核；定期向领导小组汇报安全工作情况。各临床医技科室、行政职能科室主任为本科室信息安全第一责任人，负责本科室人员的安全管理、终端管理、数据使用合规管理，每个科室设置1名兼职信息安全员，负责日常安全自查、问题上报、安全知识宣贯等工作。第三方合作机构、厂商人员接入医院信息系统前，需签订安全协议与保密协议，明确安全责任，接受医院安全管理，严格按照授权范围开展工作，不得越权访问、操作或泄露医院数据。信息系统全生命周期安全管理规划阶段信息系统新建、升级改造项目立项时，需同步编制安全建设方案，明确安全需求、防护措施、预算投入，落实“同步规划、同步建设、同步使用”的三同步要求。安全建设方案需经信息科安全管理岗审核，报网络安全与数据安全工作领导小组审批，未通过安全审核的项目不得立项。涉及关键信息基础设施的建设项目，需按规定开展供应链安全审查，优先采购自主可控的软硬件产品。建设阶段项目采购阶段，需严格审查投标厂商的安全资质、行业服务经验、过往安全记录，优先选择通过国家网络安全等级保护认证、具有医疗行业成熟案例的厂商。采购的安全产品需符合国家网络安全产品强制性认证要求，核心业务系统软件需提供源代码托管或第三方代码审计报告。项目实施过程中，需严格按照安全建设方案落实防护措施，不得擅自删减安全功能。开发环境需与生产环境物理隔离，开发测试数据需采用脱敏后的模拟数据，禁止使用真实患者数据进行测试。项目上线前，需委托具有资质的第三方机构开展安全测评，包括漏洞扫描、渗透测试、代码审计、等级保护预测评，测评不合格的不得上线运行。运行阶段建立日常运维管理制度，实行7*24小时值班制，每日对核心系统、网络设备、安全设备进行巡检，记录巡检情况，发现问题及时处置。严格执行变更管理流程，所有系统配置变更、版本升级、补丁更新等操作均需提交变更申请，进行风险评估，经审批后方可实施，变更前需做好数据备份，变更后需进行功能验证和安全验证，确保系统稳定运行。定期开展等级保护测评，三级以上信息系统每年开展一次测评，二级信息系统每两年开展一次测评，对测评发现的问题建立整改台账，限期整改，整改完成后进行复测。被认定为关键信息基础设施的，每年额外开展一次关键信息基础设施安全检测评估，按要求向监管部门报送安全报告。建立漏洞全生命周期管理机制，每月开展一次全量漏洞扫描，每季度开展一次渗透测试，实时跟踪国家信息安全漏洞共享平台、医疗行业威胁情报平台发布的漏洞信息，对漏洞按照高危、中危、低危进行分级处置，高危漏洞需在24小时内完成修复或采取临时防护措施，中危漏洞7天内修复，低危漏洞30天内修复，修复完成后进行验证并记录。废止阶段信息系统废止前，需制定数据迁移与销毁方案，明确数据迁移方式、备份要求、销毁流程，报信息科审批。系统废止时，需完成全量数据备份，备份数据异地存储，确保数据可追溯。系统废止后，及时注销所有相关账号、关闭网络端口、回收硬件设备，存储过核心数据、敏感数据的存储介质需采用消磁或物理销毁方式处理，销毁过程需双人监督，做好销毁记录，防止数据泄露。数据安全管理数据分类分级按照国家医疗健康数据分类分级相关标准，将医院数据分为四级：一级为公共数据，包括医院公开的诊疗流程、科室介绍、专家信息等可对外公开的数据；二级为内部管理数据，包括医院内部行政办公数据、一般运营数据等仅限内部使用的数据；三级为敏感数据，包括患者个人身份信息、就诊记录、检查检验结果、费用信息、医护人员执业信息、医院核心运营数据等一旦泄露会对个人或医院利益造成损害的数据；四级为核心数据，包括患者基因数据、传染病监测数据、重大公共卫生事件相关数据、国家保密要求的医疗数据等一旦泄露会对公共利益、国家安全造成严重影响的数据。数据安全管理员负责定期梳理医院数据资产，更新数据分类分级目录，对新增数据类型及时进行分级认定。数据全流程安全管控数据采集环节遵循最小必要原则，仅采集与医疗服务相关的患者信息，不得采集与诊疗无关的个人信息。采集患者生物识别信息（人脸、指纹、虹膜、声纹等）需经过患者单独书面同意，报领导小组审批，生物识别数据需本地加密存储，不得上传至第三方平台。采集过程需进行身份认证，确保数据真实、准确、完整，禁止伪造、篡改医疗数据。数据存储环节，核心数据与敏感数据需采用国密算法进行加密存储，存储介质放置在符合B级以上标准的机房内，实行专人管理。建立数据备份机制，核心业务数据实行每日增量备份、每周全量备份，备份数据异地存放，备份介质加密管理，每月开展一次备份恢复测试，确保备份数据可用，核心系统RTO（恢复时间目标）不超过4小时，RPO（恢复点目标）不超过30分钟。数据使用环节实行最小权限原则，仅为工作人员分配履行岗位职责所需的最小数据访问权限。敏感数据访问需提交申请，经科室主任及信息科审批后方可访问，访问过程全程审计。因科研、教学需要使用患者数据的，需经医院伦理委员会审查、信息科审批，去除所有个人标识信息进行脱敏处理，禁止将脱敏后的数据用于约定用途之外的其他用途，禁止擅自向第三方提供。生成式医疗大模型应用需采用本地化部署模式，训练数据、推理数据均需在院内完成处理，禁止将核心数据、敏感数据上传至公有云大模型平台。大模型训练数据需经过脱敏处理和合规审查，确保数据来源合法，模型使用过程需进行日志记录，对生成的医疗建议需经过临床医师人工复核后方可用于诊疗活动。数据传输环节，院内核心数据、敏感数据传输需采用加密通道，跨安全域传输需经过防火墙访问控制。对外传输数据（如跨机构数据共享、互联网医院数据传输）需采用VPN、SSL等加密方式，核心数据传输需经领导小组审批，且进行脱敏处理。禁止通过微信、QQ、钉钉等公共社交工具传输敏感医疗数据，禁止使用个人邮箱发送敏感数据。数据共享与开放环节，建立数据共享审批流程，对外共享数据需提交申请，说明共享目的、范围、用途、接收方情况，经信息科、医务科、法务部门审核，报领导小组审批后实施。数据共享需签订书面协议，明确双方的安全责任、数据使用范围、保密义务，接收方不得再次扩散数据。涉及公共卫生、应急救援等法定需求的数据共享，按国家相关规定执行。数据销毁环节，超过保存期限的数据需由数据所属科室提出销毁申请，经信息科、法务部门审核，报领导小组审批后，按照国家保密要求进行销毁，存储介质销毁过程需双人见证，做好销毁记录，禁止未经审批擅自销毁医疗数据。数据安全审计建立数据安全审计制度，对所有数据的访问、查询、修改、导出、传输、共享等操作进行全程日志记录，日志内容包括操作人、操作时间、操作内容、操作对象、IP地址等，一般操作日志保存期限不少于6个月，核心数据、敏感数据的操作日志保存期限不少于3年。审计管理员每月开展一次数据安全审计，重点排查异常访问、批量导出、越权操作等行为，发现异常及时处置，形成审计报告报领导小组。任何科室和个人不得篡改、删除、伪造审计日志。网络与基础设施安全管理机房安全医院核心机房按照国家B级机房标准建设，配备门禁系统、视频监控、火灾自动报警与灭火系统、UPS不间断电源、精密空调、防雷接地等设施，实行双人双锁管理，进入机房需提交申请，经信息科主任审批后方可进入，做好出入登记，机房监控录像保存期限不少于90天。每日对机房环境、设备运行状态进行巡检，定期对UPS、空调、消防等设施进行维护和检测，确保机房环境符合要求。机房内禁止存放易燃易爆物品，禁止携带私人电子设备进入机房核心区域。网络架构安全采用分层分区的网络架构，将网络划分为核心业务区、医疗物联网区、互联网服务区、运维管理区、办公区等安全域，不同安全域之间部署防火墙、入侵检测系统、入侵防御系统，实现细粒度的访问控制。核心业务区与互联网服务区之间部署下一代防火墙、Web应用防火墙、抗DDoS设备，强化边界防护。落实微隔离技术，对核心业务区内的不同系统、不同服务器之间进行访问控制，防止攻击者入侵后横向移动。定期开展网络配置核查，关闭不必要的端口和服务，优化访问控制策略。无线网络安全医院内部无线网络与业务网络、办公网络物理隔离，采用802.1x认证方式，仅允许授权设备接入。患者及访客使用的公共无线网络单独部署，与院内业务网络完全隔离，部署上网行为管理设备，记录上网日志，日志保存不少于6个月。禁止任何科室和个人私自搭建无线网络，禁止将业务终端接入公共无线网络，确需在病区部署无线网络的，需经信息科审批，按照安全规范进行部署。医疗物联网安全建立医疗物联网设备统一管理平台，对所有联网的医疗设备（监护仪、输液泵、体温贴、智能手环、呼吸机等）进行统一登记、入网管理。设备入网前需进行安全检测，存在高危漏洞、不具备安全防护能力的设备不得接入院内网络。采用设备身份认证机制，对物联网设备的接入进行验证，防止非法设备接入。定期对物联网设备进行固件升级和漏洞修复，关闭设备不必要的网络端口和服务，降低攻击面。对物联网设备的通信流量进行监测，发现异常流量及时处置。身份与访问管理全面推行零信任访问架构，部署零信任访问网关，所有访问医院信息系统的请求均需经过零信任网关的身份认证、设备健康检查、权限校验，实现“永不信任、始终验证”。身份认证实行分级管理，访问一般办公系统采用单一密码认证，访问核心业务系统、敏感数据需采用双因素或多因素认证，包括密码+Ukey、密码+短信验证码、密码+生物识别等方式，生物识别数据需本地存储，不得外传。实行基于角色的访问控制（RBAC），根据用户的岗位、职责分配相应的权限，权限变更需提交申请，经科室主任及信息科审批后方可变更。定期开展权限审计，每季度对所有系统账号和权限进行一次全面梳理，及时回收离岗、转岗、退休人员的账号和权限，清理冗余账号、僵尸账号。管理员权限实行分权制衡，系统管理员负责系统配置、运维操作，安全管理员负责安全策略配置、漏洞管理，审计管理员负责日志审计、行为监督，三者权限分离，不得兼任。超级管理员账号实行双人共管，使用需经领导小组审批，全程审计。第三方接入实行严格审批制度，第三方厂商、合作机构需接入医院信息系统的，需提交接入申请，明确接入目的、时间、范围、权限，经信息科审批，签订安全协议和保密协议后，通过零信任网关接入，分配最小权限，接入过程全程审计，接入结束后立即注销账号、关闭接入权限。禁止第三方直接远程操作核心业务系统，确需远程操作的，需安排专人全程监督，做好操作记录。终端安全管理所有接入医院网络的终端（医生工作站、护士工作站、办公电脑、移动护理终端、移动查房终端、自助服务终端等）均需纳入终端安全管理系统统一管理，实行准入控制，未安装终端安全软件、未通过安全检查的终端不得接入院内网络。终端账号实行一人一号，禁止共用账号，设置强密码（长度不少于8位，包含大小写字母、数字、特殊字符），每90天更换一次密码，离开终端时需锁屏。禁止在终端上存储未经加密的敏感数据，禁止私自安装与工作无关的软件，禁止私自卸载终端安全软件。移动终端采用MDM移动设备管理系统进行统一管控，设置屏幕锁、数据加密、远程擦除等功能，终端丢失后可远程清除数据，防止数据泄露。禁止移动终端连接公共无线网络传输敏感医疗数据，禁止将私人移动终端接入院内业务网络。自助服务终端定期进行安全检查，安装防篡改、防恶意程序植入的安全软件，设置防窥屏，保护患者隐私，终端操作日志实时上传至安全管理平台，保留不少于6个月。每月开展终端安全巡检，查杀病毒、修复漏洞，对存在安全隐患的终端及时整改，对违反终端安全管理规定的人员进行通报批评。安全运营与应急响应建设统一的安全运营中心（SOC），整合网络流量监测、日志分析、漏洞扫描、入侵检测、数据安全监测、物联网安全监测等能力，配备专业安全运营人员7*24小时值守，实时监测安全告警，对告警进行分析、研判、处置，做到安全事件早发现、早处置。接入国家网络安全威胁情报平台、医疗行业威胁情报源，及时获取针对医疗行业的攻击手段、漏洞信息、威胁主体等情报，提前调整安全防护策略，开展风险排查，提升主动防御能力。针对勒索病毒等高发攻击开展专项防护，核心服务器实行应用白名单机制，禁止未经授权的程序运行；终端实行文档加密和备份，重要数据实时备份至离线存储介质；网络层面实行微隔离，限制横向移动；定期开展勒索病毒专项演练，提升应急处置能力。制定完善的信息系统安全应急预案，涵盖网络攻击事件、数据泄露事件、系统宕机事件、勒索病毒事件、机房故障事件等场景，明确应急处置流程、责任分工、处置措施。每年至少开展2次综合应急演练，其中勒索病毒、数据泄露专项演练每年至少各1次，演练后进行评估总结，优化应急预案。发生安全事件后，第一时间启动应急预案，采取断网、隔离、备份等措施，防止事态扩大，同时按照规定向卫生健康行政部门、网信部门、公安部门报告，不得迟报、瞒报、漏报。事件处置完成后，开展溯源分析，查找问题原因，完善防护措施，对相关责任人进行追责。供应链安全管理建立供应商准入管理制度，选择信息系统、安全产品、运维服务供应商时，需审查供应商的营业执照、安全资质、行业服务经验、过往安全记录、产品安全检测报告等材料，优先选择通过国家网络安全认证、自主可控的产品和服务，禁止采购被国家列入安全风险名单、存在重大安全隐患的产品和服务。与供应商签订的合同中需明确安全条款，包括产品安全责任、保密义务、漏洞修复义务、数据安全责任等，核心业务系统供应商需提供源代码托管服务，或约定源代码交付条件，防止供应商终止服务后系统无法维护。供应商运维人员需经过背景审查和安全培训，签订保密协议，运维操作