医疗数据安全管理制度

医疗数据安全管理制度1总则医疗数据安全不仅是合规底线，更是患者信任的基石与医院运营的生命线。本制度旨在构建覆盖数据全生命周期的防御体系，确保患者隐私信息（PII）与受保护健康信息（PHI）在采集、传输、存储、使用、共享及销毁各环节的机密性、完整性与可用性。本制度适用于全院所有科室、第三方合作机构及接触医疗数据的工作人员。依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》及等保2.0（GB/T22239-2019）三级及以上要求制定。核心定义：医疗数据：指在医疗活动过程中产生的，能够单独或者结合其他信息识别患者身份的各类数据，包括电子病历（EMR）、医学影像（PACS）、检验数据（LIS）及个人信息等。敏感数据（Level3+）：指一旦泄露、篡改或丢失将对患者人身安全、财产安全或合法权益造成严重危害的数据，如身份证号、疾病诊断、基因测序数据、影像资料等。2组织架构与职责数据安全责任必须落实到具体岗位与个人，而非泛泛的部门。医院实行“统一领导、分级负责、全员参与”的管理体制，通过RACI矩阵明确责任边界。2.1网络安全领导小组组长：分管信息化副院长。职责：对数据安全重大事项进行决策；批准年度预算与应急预案；每季度召开1次数据安全例会，审议安全态势报告。产出：会议纪要（会后24小时内下发）、年度安全预算批复单。2.2信息科（技术执行主体）职责：负责防火墙、WAF、数据库审计系统、DLP（数据防泄漏）系统的策略配置与运维。每日08:30查看前一日安全日志，对高危告警（如SQL注入、异常批量导出）在30分钟内完成初步研判。每半年组织1次渗透测试与漏洞扫描，输出整改报告并追踪闭环。关键动作：数据库特权账号（如sysdba）必须由科室负责人双人双锁物理保管，严禁通过远程桌面直连数据库服务器。2.3医务部/护理部（业务监管主体）职责：监管临床科室的账号使用行为，严禁医护共用工号。处理因数据查询引发的医患投诉，追溯查询日志。关键动作：发现私自查询非本人管床患者信息的行为，按“严重违反医疗核心制度”处理，24小时内上报质控办。2.4临床科室（终端用户）职责：妥善保管个人账号密码，对本人账号下的所有操作负责。发现系统异常（如卡顿、弹窗报错、数据乱码）立即拨打信息科应急分机（如8888），严禁自行重启服务器或拔插网线。3数据分类分级管理并非所有数据都同等重要，差异化投入资源是安全管理的核心逻辑。医院数据依据敏感程度与泄露后果分为四级，实施分级防护策略。3.1分级标准4级（绝密数据）：涉及群体性健康数据、传染病病原体样本数据、核心管理层数据。防护要求：必须存储于物理隔离的网段或加密存储介质中；访问必须经过“双人审批+生物特征识别”；操作日志留存5年以上。3级（敏感数据）：患者电子病历、影像胶片（DICOM）、手术记录、精神卫生诊疗记录、HIV/RPR等传染病结果、身份证号、家庭住址。防护要求：强制加密存储（AES-256）；前台展示时必须对关键隐私字段（如身份证、手机号）进行脱敏处理（显示为330*********1234）；导出需经科室主任审批。2级（内部数据）：医院排班表、药品采购计划、设备维护记录、非敏感的行政管理数据。防护要求：院内访问需身份认证；严禁通过互联网（公网）非加密传输。1级（公开数据）：医院介绍、专家出诊信息（不含个人隐私）、健康宣教知识。防护要求：可对外发布，但发布前需经过内容安全审查（防篡改）。3.2标签与策略自动打标：DLP系统通过正则表达式（如身份证\d{17}[\d|x]|\d{15}）自动识别3级以上数据并打上“敏感”标签。策略联动：一旦检测到带“敏感”标签的数据流向非信任IP（如公网IP、U盘），网关必须自动阻断并触发向管理员的告警邮件。4访问控制与身份认证最小权限原则是防止内部威胁与越权访问的第一道防线。系统必须确保“用户只能做其被授权的事，且仅在被允许的时间、地点进行”。4.1身份认证机制强认证要求：HIS、EMR、PACS等核心业务系统必须启用双因素认证（2FA）。场景：院内办公PC终端通过“域账号+数字证书”登录；院外移动办公通过“账号+动态令牌（OTP）/生物识别”登录。密码策略：长度不少于12位，必须包含大小写字母、数字及特殊符号。90天强制轮换1次，严禁重用近3次旧密码。连续输错5次锁定账号30分钟（需管理员解锁）。4.2权限控制（RBAC）授权原则：基于“角色”而非“个人”授权。角色包括“住院医师”、“主治医师”、“护士长”、“收费员”等。诊疗授权：医生只能查看其本人名下（管床）及科室公共池的患者数据。跨科访问：因会诊、抢救等需要跨科查看病历时，必须发起临时申请，系统自动生成“临时授权令”，有效期最长4小时，超时自动失效。特权账号管理：严禁开发人员、运维人员直接掌握业务数据库的高权限账号。必须通过堡垒机进行运维操作，所有操作全程录屏审计。4.3终端安全准入控制：未安装医院内网杀毒软件（如奇安信天擎）的终端设备，严禁接入内网交换机。外设管控：临床工作站默认禁用USB存储端口。例外流程：因数据上报（如医保、科研）确需导出数据的，由科室主任申请->信息科审核->开通单次USB权限（限时2小时）->使用专用加密U盘->导出后自动关闭端口。5数据全生命周期安全数据从采集到销毁的每一个环节都可能成为泄露的突破口，必须实施全链路闭环管控。5.1数据采集与录入最小化原则：问诊与挂号时，仅收集诊疗必需的信息，不得强制收集与诊疗无关的隐私（如收入、宗教信仰等）。知情同意：在采集患者生物识别信息（指纹、人脸）前，必须获得患者书面知情同意书，并告知存储用途与销毁机制。5.2数据传输加密传输：所有客户端与服务器之间的通信，必须使用HTTPS（TLS1.2或以上）协议。风险阻断：严禁使用HTTP明文传输；严禁使用RDP/Telnet等明文管理协议从公网管理服务器。VPN通道：院外办公接入内网，必须通过SSLVPN或IPsecVPN加密通道，严禁直接映射数据库端口到公网。5.3数据存储与备份加密存储：敏感数据落盘前必须加密。数据库表空间必须启用TDE（透明数据加密）。备份策略：增量备份：每日02:00执行，保留7天。全量备份：每周日02:00执行，保留30天。异地容灾：每日全量备份同步至异地灾备中心（或云端冷存储）。恢复演练：每季度进行1次备份数据恢复演练，验证备份有效性（重点验证RPO≤15分钟，RTO≤4小时）。5.4数据使用与展示屏幕水印：EMR系统界面必须显示包含“当前登录人工号+时间+防伪水印”的半透明背景，防止通过拍照、截图泄密。打印控制：打印病历、检查报告时，系统自动在页眉/页脚打印包含“操作员+打印时间”的追踪码。批量导出限制：单次导出记录数超过500条，触发二级审批（科主任审批）。单次导出记录数超过5000条，触发一级审批（分管院长审批）。导出文件必须加密（设置打开密码），密码通过内部短信系统发送给申请人。5.5数据销毁逻辑销毁：患者出院或死亡后，病历归档。对于科研数据中的标识符，必须进行去标识化处理（K-匿名化或l-多样性处理）。物理销毁：存储敏感数据的硬盘、磁带在报废前，必须执行物理消磁或粉碎处理。严禁将含数据的存储介质当作普通垃圾丢弃。动作机理：消磁强度需达到3000Oe以上，确保磁畴彻底翻转，无法通过任何数据恢复技术还原。6接口安全与第三方交换管理第三方接口是数据泄露的高危区，必须实施严格的准入机制与实时监控。6.1接口开发规范鉴权机制：所有API接口必须采用OAuth2.0或JWTToken进行身份认证，Token有效期不得超过2小时。防爬虫与刷接口：实施API网关限流策略，同一IP每分钟调用次数不得超过60次，超过阈值自动封禁IP1小时。参数校验：后端必须对所有输入参数进行严格类型检查与过滤，防止SQL注入、XSS（跨站脚本攻击）。6.2第三方合作管理前置评估：在与医保局、商保公司、互联网医院平台对接前，必须对其进行安全资质审查（等保备案证明）。协议约束：签订《数据处理协议》（DPA），明确数据范围、用途、保密义务及违约责任（如：泄露单条数据罚款X万元）。数据脱敏：向第三方推送数据前，必须在接口层进行脱敏。示例：推送商保理赔数据时，隐藏患者住址、联系电话中间4位。7应急响应与处置响应速度决定了勒索病毒攻击或数据泄露事件的最终损失规模。医院建立分级响应机制，确保在黄金时间内遏制事态。7.1事件分级Ⅰ级（特别重大）：核心业务系统（HIS/EMR）数据完全丢失或被加密，业务中断超过4小时；或涉及10万人以上隐私泄露。Ⅱ级（重大）：单个业务系统（如PACS）瘫痪；或涉及1万~10万人隐私泄露；或发生勒索病毒感染。Ⅲ级（一般）：单台终端中毒；或涉及1万人以下隐私泄露；或非核心系统异常。7.2响应流程监测发现（15分钟内）：SOC（安全运营中心）监控到异常告警（如DLP告警、杀毒软件弹窗）。研判上报（30分钟内）：信息科初步研判。确认为安全事件的，立即电话上报网络安全领导小组组长，并填报《安全事件初始报告单》。应急处置（60分钟内）：断网隔离：拔除网线或禁用交换机端口，物理切断受影响主机与内网的连接，防止横向扩散。现场保护：保留现场日志、内存镜像（DUMP文件），严禁直接重启或格式化中毒服务器（导致证据丢失，无法溯源）。启动预案：勒索病毒：优先启用离线备份进行恢复，同时联系网安部门报案。数据泄露：立即修改相关系统数据库密码，重置相关用户Token，通知潜在受害患者（视情况）。恢复与复盘：业务恢复后3个工作日内，编写《事件分析报告》，明确根本原因、改进措施与责任人。通报全院，起到警示教育作用。8审计与合规没有审计的安全系统如同没有摄像头的金库，无法追溯责任人。审计是检验制度执行力的唯一标尺。8.1日志审计留存范围：系统登录日志、数据库操作日志（增删改查）、API调用日志、特权账号操作日志、网络防火墙日志。留存时间：符合《网络安全法》要求，日志留存时间不少于6个月。分析要求：使用SIEM（安全信息和事件管理）系统（如Splunk、ELK）进行日志关联分析。重点监测行为：深夜（22:00-06:00）批量查询病历、非工作地点异地登录、短时间内频繁导出数据。8.2合规检查自查：各科室每季度开展1次数据安全自查，重点检查账号是否混用、电脑是否安装杀毒软件、纸质病历是否随意摆放。定级测评：每年聘请具备资质的第三方机构，对医院信息系统进行网络安全等级保护测评，输出测评报告，针对发现的高危问题3个月内完成整改。9附则制度解释：本制度由信息科负责解释。生效日期：本制度自发布之日起施行，原有相关制度与本制度冲突的，以本制度为准。修订周期：每2年根据法律法规变化及技术发展进行一次全面修订。附录A：医疗数据敏感度识别与操作规范表数据类别具体字段示例敏感等级存储要求展示要求导出权限异常后果身份识别身份证号、社保卡号L3AES-256加密脱敏（330\\\\\\\\\*1234）严禁身份盗用、金融诈骗联系方式手机号、家庭住址L3AES-256加密脱敏（138\\\\\*1234）科主任审批骚扰电话、暴力催收诊疗核心门诊/住院病历、手术记录L3AES-256加密明文（需水印）严禁社会性死亡、医患纠纷检验检查HIV/RPR结果、基因数据L4独立加密存储+隔离明文（需授权）分管院长审批严重的就业与歧视风险医学影像DICOM原始文件L3AES-256加密缩略图/明文（内网）科主任审批隐私泄露（面部未打码）费用信息住院明细、结算清单L2访问控制明文科室授权经济纠纷附录B：数据安全应急联络通讯录角色姓名办公电话手机（24h）短号职责组长[分管副院长]010-xxxxxxx138\\\\\\\\\*18001决策指挥技术负责人[信息科主任]010-xxxxxxx139\\\\\\\\\*28002技术处置安全运维[运维工程师]010-xxxxxxx136\\\\\\\\\*38003日志分析、隔离网络管理员[网络工程师]010-xxxxxxx137\\\\\\\\\*48004网络封堵业务协调[医务部主任]010-xxxxxxx135\\\\\\\\\*58005临床协调附录C：数据导出/脱敏申请审批单（样表）申请单号：DST-2024-XXXX项目内容申请科室xxxxx科室申请人张某某（工号：1024）申请时间2024年x月x日数据用途□临床科研□统计上报□疾控上传□其他（需注明）涉及数据范围系统名称：HIS；表名：TPATIENTVISIT；时间范围：2023.01.01-2023.12.31预估数据量约5000条脱敏需求□身份证号□手