医院遭受勒索病毒攻击应急预案

医院遭受勒索病毒攻击应急预案1预案适用范围与响应分级勒索病毒攻击的处置核心不是100%追回被加密数据，而是在最短时间内恢复核心医疗业务连续性，最大限度降低对急诊急救、重症救治、手术开展的影响，坚决避免因系统停机导致的患者生命安全事件——这是本预案所有处置流程设计的根本出发点，绝不能为了保护数据而延误患者救治。本预案适用于医院所有院区、所有网段（含医疗业务网、行政办公网、设备工控网、互联网出口）发生的勒索病毒感染、加密、勒索事件的处置，涵盖从终端告警、隔离排查、业务切换、系统恢复到复盘改进的全流程。根据勒索病毒的感染范围、业务影响程度、预计恢复时间，将应急响应分为三级，明确判定标准、启动权限与核心处置原则，杜绝响应不足或响应过度：Ⅲ级响应（一般事件）判定标准：单个孤立非核心终端（行政办公终端、后勤岗位终端）被加密，未涉及诊疗业务网段，无横向扩散痕迹，核心业务系统运行正常，预计恢复时间≤30分钟。启动权限：信息科主任批准启动。处置原则：快速隔离、单点恢复、不影响正常诊疗秩序。Ⅱ级响应（重大事件）判定标准：单个非核心业务域（OA、自助机、医保公示系统）终端被加密，或核心业务网段终端感染率在5%~30%之间，急诊、ICU、手术室等核心救治科室系统未受影响，通过离线预案可支撑核心诊疗业务开展，预计恢复时间在2~4小时。启动权限：分管信息化工作的副院长批准启动。处置原则：分段隔离、优先保核心业务、边处置边上报。Ⅰ级响应（特别重大事件）判定标准：HIS、EMR、LIS、PACS等核心业务系统超过30%终端被加密，或急诊、ICU、手术室、血透中心、产房等重点科室终端全部失能，核心诊疗业务无法正常开展，预计恢复时间≥4小时。启动权限：院长批准启动。处置原则：生命优先、全域协同、快速上报、果断处置，所有资源优先保障急危重症患者救治，严禁因系统故障拒诊患者。2应急组织架构与权责划分勒索病毒处置的效率瓶颈从来不是技术能力，而是跨部门协同的权责清晰度——模糊的责任边界会导致处置黄金期内反复请示、相互推诿，直接拉长业务中断时间，甚至引发次生医疗安全事件。医院成立勒索病毒应急指挥部，下设4个专项工作组，所有成员的联系方式统一印制成册贴至每个护理站、收费窗口、机房值班室，确保事件触发时第一时间找到责任人，严禁层层请示延误处置时机。应急指挥部组成：总指挥（院长）、副总指挥（分管医疗副院长、分管信息副院长），成员为各职能科室主任。核心权责：接报后15分钟内完成响应级别判定，决定是否启动全院离线诊疗预案、是否采取分段断网措施、是否上报属地卫健委与公安网安部门、是否对外发布公告；Ⅰ级响应期间每30分钟听取一次处置进展汇报，协调跨部门资源；所有涉及患者生命安全、舆情稳定的重大决策必须由指挥部集体做出，严禁个人擅自决定全院停诊、对外发布敏感信息、向攻击者支付赎金。技术处置组组成：组长（信息科主任），成员为信息科全体运维人员、驻场网络安全厂商工程师、HIS/EMR/LIS/PACS/手麻系统原厂驻场工程师。核心权责：接报后10分钟内到达现场，完成感染终端隔离、感染范围排查、备份数据校验、系统恢复工作；严格遵守操作规范，严禁在未做磁盘镜像前对感染终端执行写操作；恢复过程严格按照业务优先级顺序推进，每恢复一个系统需经对应科室临床人员验证签字后方可上线。医疗业务保障组组成：组长（医务部主任），成员为护理部主任、门急诊主任、ICU主任、手术室主任、血透中心主任、药学部主任、检验科主任、放射科主任、各临床科室护士长。核心权责：系统中断后第一时间组织各科室切换离线诊疗模式，严格落实“先救治、后补录、后补费”原则，对急危重症患者一律开通绿色通道，不得以系统故障、无法缴费为由拒绝救治；负责手工处方、医嘱、检验检查单的核对，避免诊疗差错；组织科室人员在系统恢复后72小时内完成所有手写医疗记录的补录与双人核对。沟通协调组组成：组长（院办主任），成员为宣传科、医患沟通办、医保科工作人员。核心权责：事件发生后2小时内按照《网络安全事件报告管理办法》要求，向属地卫健委、网安支队、医保局提交初报，严禁瞒报、漏报、迟报；统一对外宣传口径，通过门诊大屏、官方公众号发布公告，严禁对外渲染“被黑客攻击”“数据泄露”等易引发恐慌的内容；安排专人接待患者咨询、处理投诉，监测网络舆情，及时澄清不实信息。后勤安保组组成：组长（后勤保障部主任），成员为保卫科、设备科、财务科工作人员。核心权责：保障各科室离线诊疗所需的单据、文具、应急照明物资到位；增派安保人员到门诊大厅、收费窗口、急诊区域维持秩序，防止拥挤踩踏、医患冲突；保障信息机房UPS供电稳定，核心服务器应急供电时间不低于4小时；调试所有急救设备的单机运行模式，确保脱离网络后可正常使用。工作纪律：所有参与处置的人员，在事件调查结论公布前，严禁在微信朋友圈、抖音、患者群发布与事件相关的图片、文字信息，违反者按院纪给予绩效扣罚、通报批评，造成重大舆情的追究相应责任。3风险演化路径与日常防控要求据行业测算，超过80%的医院勒索病毒攻击事件存在明确的事前预警信号，其入侵、横向移动、备份销毁、文件加密、业务中断全链条存在多个可阻断节点，日常防控的核心是在每个节点设置拦截屏障，将风险消灭在加密行为触发前。3.1完整风险演化路径所有勒索病毒攻击均遵循固定链路开展，各环节无有效拦截即会触发重大事件：初始入侵（占比最高的三个入口：钓鱼邮件约60%、公网开放高危端口约25%、私自带毒U盘接入约10%）：攻击者伪装成医保局、卫健委、耗材供应商发送带宏病毒的Office压缩包，或通过公网扫描发现开放的3389（RDP）、1433（SQLServer）、445（SMB）端口后通过弱口令爆破入侵，或通过私人U盘将病毒带入内网，单台终端完成感染仅需1~2分钟。横向移动：病毒获取本机管理员权限后，利用永恒之蓝（MS17-010）漏洞、SMB弱口令、域控漏洞在VLAN内扫描存活主机，以每分钟3~5台的速度扩散，15~30分钟即可覆盖整个网段。备份销毁：攻击者识别到本地备份、NAS存储、备份服务器地址后，优先删除备份卷、格式化备份磁盘、销毁卷影副本，切断受害者的数据恢复路径。文件加密：调用AES-256算法对数据库、文档、医学影像等业务文件加密，修改文件后缀为.lockbit、.360等专属标识，在桌面弹出勒索信，要求支付价值数十万到数百万元不等的比特币换取解密密钥。次生灾害：核心业务系统停摆导致挂号、收费、诊疗、发药流程中断，大量患者积压在门诊窗口，易引发医患冲突、舆情事件；若ICU、手术室的生命支持系统联网终端被感染，可直接威胁重症患者生命安全。3.2日常刚性防控措施所有防控措施必须明确责任主体、检查频率、考核标准，杜绝“加强防护、提高意识”等空泛要求：网络边界防护：互联网出口必须部署下一代防火墙（NGFW）、入侵防御系统（IPS）、流量分析系统，所有外网远程运维访问必须通过VPN+多因子认证（MFA），严禁将3389、1433、445、22等高危管理端口直接映射到公网（违规开放端口将导致攻击者可直接爆破入侵核心服务器，造成核心数据库被加密的重大风险，确因工作需要开放的必须经信息科主任审批并设置IP白名单）；信息科每周开展一次全网端口扫描，发现违规开放端口24小时内关闭，扣罚责任运维人员绩效500元。终端安全管控：全院所有终端（含医生站、护士站、行政电脑、自助机、医疗设备配套工控机）必须安装终端检测与响应系统（EDR），关闭默认共享（ADMIN、C备份体系建设：严格执行3-2-1备份策略（3份数据副本、2种存储介质、1份空气隙（AirGap）物理隔离的离线备份），核心系统数据每15分钟做一次增量备份，每日凌晨2点做一次全量备份；备份存储与业务网络物理隔离（每日备份完成后断开备份服务器的网络连接），备份管理员账号与生产系统账号不得共用，防止攻击者横向渗透加密备份；每月开展一次备份恢复演练，核心系统恢复时间目标（RTO）≤2小时，恢复点目标（RPO）≤15分钟（即最坏情况下丢失15分钟以内的诊疗数据），演练不通过的追究信息科运维责任。人员培训与演练：每季度组织一次全院网络安全培训，覆盖钓鱼邮件识别、U盘使用规范（严禁私自在诊疗终端插入私人U盘，外来U盘必须经EDR查杀后方可接入）、异常上报流程等内容，培训后组织线上考试，80分及格，不及格者补考；每半年组织一次无预告实战演练，随机选取科室终端模拟勒索病毒感染，检验各部门的响应速度与处置能力。4事件监测与先期处置动作勒索病毒完成全网加密的窗口期通常只有入侵后的1-2小时，早期识别、快速隔离是降低损失的最有效手段，任何等待观望、心存侥幸的操作都会导致感染范围呈指数级扩大，最终酿成全院级业务中断事件。4.1事件触发渠道建立多维度的监测告警机制，确保第一时间发现感染迹象：系统自动告警：EDR平台、流量分析系统检测到终端存在异常文件加密行为、可疑进程、C2服务器回连、445端口大规模扫描行为时，自动发送短信告警给信息科7*24小时值班人员，值班人员必须10分钟内登录平台核实告警真实性，严禁将告警当成误报忽略。职工主动上报：临床科室职工发现电脑文件后缀被异常修改、桌面弹出勒索提示框、文件无法正常打开时，必须第一时间拨打信息科24小时值班电话（0XX-XXXXXXX），严禁自行重启电脑、插拔网线、运行第三方解密工具、点击勒索信内的链接。第三方通报：接到上级主管部门、安全厂商的勒索病毒攻击预警时，信息科必须在1小时内完成全网排查，确认是否存在失陷主机。4.2先期处置刚性流程接警后必须严格按照以下顺序开展处置，不得打乱操作顺序：第一时间隔离感染源：运维人员优先通过交换机远程shutdown感染主机对应的物理端口，避免通知现场人员拔网线导致误碰其他医疗设备线路；隔离后严禁直接重启感染主机，必须先用专用取证U盘（采用只读方式挂载）对感染主机的系统盘、数据盘制作完整磁盘镜像，镜像文件存储到离线移动硬盘留存，供网安部门溯源使用。严禁在镜像完成前对感染磁盘执行重装系统、删除文件、运行杀毒软件等写操作（此类操作会覆盖攻击日志、破坏溯源证据，甚至触发病毒残留的二次加密逻辑）。快速排查扩散范围：运维人员必须在30分钟内通过EDR日志、核心交换机流量日志、域控登录日志，排查所有存在相同可疑进程、相同回连IP、相同扫描行为的终端，一并进行网络隔离；优先排查核心服务器网段、急诊/ICU/手术室/血透中心网段，确认重点科室终端是否被感染，一旦发现核心数据库服务器存在感染迹象，立即报请指挥部启动Ⅰ级响应。遏制扩散的网络措施：如果排查发现感染终端≥3台、存在明确横向扩散迹象，由指挥部决策后按VLAN分段关闭互访权限，优先保留核心救治科室到对应业务服务器的通信链路。严禁在未排查感染范围的情况下直接切断全院总网络（此类操作会导致依赖网络传输的中央监护系统、生命支持设备报警失效，直接威胁重症患者生命安全）。5分级响应处置流程不同级别的勒索事件对应完全不同的处置资源投入和业务保障策略，严禁用全院停诊的极端方式处置单个孤立终端感染事件，也严禁对已经扩散的重大事件心存侥幸、拖延上报，避免小风险演变成大事故。5.1Ⅲ级响应处置流程信息科安排2名运维人员到达现场，10分钟内完成感染终端隔离，检查同VLAN内所有相邻终端的EDR日志、进程列表，确认无横向感染痕迹。完成感染终端磁盘镜像留存后，格式化硬盘，从官方标准系统镜像重装系统，安装EDR客户端、打全MS17-010等高危漏洞补丁，设置符合复杂度要求的开机密码。从最近的备份恢复被加密的文件，经终端使用人确认文件完整可用后，重新接入网络。事件处置完成后24小时内，信息科形成事件简报，明确感染原因、处置过程、整改措施，报分管副院长；对感染终端使用人开展一对一安全培训，不需要全院通报。处置红线：单个终端事件优先采用备份恢复方式处置，严禁联系攻击者支付赎金解密（支付赎金不仅涉嫌违法，还会被攻击者标记为高价值目标，引发后续反复勒索）。5.2Ⅱ级响应处置流程分管副院长接报后15分钟内召集相关工作组到位，技术组30分钟内完成感染网段隔离，切断感染域与核心业务服务器的访问链路，防止病毒向核心服务器扩散。医疗保障组立即通知受影响科室启动离线诊疗预案：收费处启用手工收费收据，药房凭医生手写处方双人核对发药，检验科接收手工申请单优先开展急查项目，所有急危重症患者执行先救治流程。技术组首先校验离线备份的完整性，确认备份未被感染后，逐台重装被感染终端，按照业务恢复优先级清单从高到低恢复系统，每恢复一个终端需经科室护士现场验证功能正常、数据完整后方可接入网络。沟通协调组在事件发生后2小时内，向属地卫健委、网安支队报送事件初报，内容包括感染时间、影响范围、处置进展、预计恢复时间；每1小时更新一次处置进展，通过院内广播、科室工作群通知各科室恢复进度，提醒临床人员妥善保管手写医疗记录。系统恢复后，技术组持续监控全网流量24小时，确认无异常扫描、异常进程后，逐步放开VLAN间访问权限。5.3Ⅰ级响应处置流程院长接报后10分钟内召集所有指挥部成员到位，第一时间下达三项核心指令：一是全院立即启动最高等级离线诊疗预案，所有临床科室进入手工诊疗状态，严格落实先救治要求，不得以任何理由拒诊急危重症患者；二是技术组立即物理断开所有核心业务服务器的网络连接，优先保护未被感染的数据库磁盘，防止加密范围进一步扩大；三是沟通协调组第一时间上报属地卫健委请求支援，协调网络安全厂商高级应急响应工程师、系统原厂专家到场处置，同时通知属地网安支队派驻民警到场开展溯源工作。医疗保障组安排专人驻点急诊、ICU、手术室、血透中心、产房、儿科等重点科室：药学部安排高年资药师人工审核手写处方，杜绝发药差错；检验科启动设备单机检测模式，血气分析、心梗三项、血常规等急查项目15分钟内出具手写报告并盖章；放射科安排医师在CT、MRI设备本地读片，手写临时报告供临床急救使用；收费处对普通慢性病患者做好解释引导，对急诊抢救患者一律不收取押金、不核查缴费信息，直接开展救治。技术组到场后优先对所有核心服务器磁盘制作只读镜像，校验离线备份的完整性：如果离线备份完好，立即通过备用服务器重建核心系统环境，严格按照恢复优先级逐台恢复业务；如果备份数据也被加密，立即协调原厂工程师优先重建HIS系统基础框架，先保障挂号、收费、发药、医嘱录入等核心流程可运行，历史数据后续逐步恢复，严禁为等待解密密钥无限期拖延业务恢复。关于赎金决策：严禁任何个人私自联系攻击者协商金额、转账（此类操作易被诈骗，且会触发二次勒索），是否支付赎金必须经院领导班子集体研究，报属地卫健委、公安部门批准后，在公安部门全程指导下开展，仅作为备份完全失效、无其他恢复路径时的最后选择。安保组增派20名安保人员到门诊大厅、收费窗口、药房、急诊入口，用隔离带设置排队通道，每10米安排1名安保人员引导，防止拥挤、冲突；宣传科统一对外口径，发布公告说明“医院正在开展系统升级维护，部分业务采用人工办理，急危重症通道正常开放”，严禁对外发布“黑客攻击”“数据加密”等敏感信息，安排专人监测本地论坛、社交媒体舆情，发现不实信息第一时间协调处置。系统初步恢复后，技术组逐台检查终端安全状态，确认所有病毒文件清除、EDR在线、高危补丁安装完成后，方可开放网络接入；恢复后48小时内安排运维人员24小时值班，监控系统运行状态，防止残留病毒再次触发加密。6业务恢复与复盘改进机制勒索病毒事件处置的终点不是系统重新上线运行，而是医疗业务流程完全闭环、安全漏洞彻底补齐、预案经过实战检验后形成持续优化的PDCA循环，避免同类事件重复发生。数据补录闭环：系统恢复后72小时内，各临床科室安排专人对手工开具的处方、医嘱、检验检查报告、收费记录进行补录，补录执行“双人核对”制度，补录人、核对人均需签字确认；医务部、病案室、财务科按不低于20%的比例抽查补录数据，重点核查急危重症患者的诊疗记录、收费记录，防止补录错误引发医疗纠纷、医保拒付。溯源分析闭环：技术组配合网安部门在系统恢复后7个工作日内完成攻击溯源，明确初始入侵点、攻击路径、攻击者IP、加密文件范围、是否存在患者数据泄露，形成正式溯源报告报院党委与属地卫健委；如确认存在患者个人信息泄露，严格按照《中华人民共和国个人信息保护法》要求履行告知义务，上报网信部门，严禁隐瞒数据泄露情况。整改问责闭环：事件处置结束后10个工作日内，由院长主持召开全院复盘会，对照处置全流程梳理问题，形成整改清单，明确整改责任人、整改时限（最长不超过30天）：对因违规操作（私插U盘、点钓鱼邮件、私卸安全软件、弱口令）导致事件发生的责任人，按院纪给予绩效扣罚、通报批评；对处置过程中响应不及时、履职不到位导致业务中断时间拉长、引发医疗差错的人员，严肃追责。预案优化闭环：根据事件处置中发现的问题及时更新应急预案，调整恢复优先级、补充物资储备、优化协同流程；每年至少开展2次实战化勒索病毒应急演练，演练不提前打招呼、不预设脚本，真实检验各环节响应能力，演练后形成评估报告，持续迭代预案内容。7应急保障体系平时的保障准备到位，战时才能不慌乱——所有靠临时协调、临时采购、临时找联系人的处置，本质上都是预案失效的表现，必须把所有准备工作前置到日常管理中。物资保障：信息科常备应急处置工具包，包含2块2T容量的离线专用移动硬盘（仅用于磁盘镜像取证，严禁接入日常办公网络）、2台预装标准系统镜像与安全软件的备用笔记本、Console调试线、备用网线、标签纸；各护理站按要求储备足量的处方针、申请单、医嘱本、碳素笔，由护士长每月最后一天盘点，缺失的24小时内补领，盘点结果纳入当月护理质量考核；后勤科在各收费窗口、药房、护理站配备充电式应急手电筒，保障停电状态下手工业务可正常开展。人员保障：信息科执行7*24小时值班制度，值班人员手机保持24小时开机，接报后10分钟内必须响应；建立外部应急专家库，明确驻场安全工程师30分钟内到场、系统原厂工程师15分钟内远程响应、2小时内到场的服务要求，所有外部专家联系方式纳入应急通讯录，每季度更新一次。经费保障：医院每年网络安全专项投入不低于年度信息化总投入的15%，专门用于终端安全升级、备份体系建设、漏洞扫描、应急演练、人员培训，专项经费不得挪用。附录附录1应急联络通讯录（模板）组别岗位姓名办公电话手机号码响应时限要求应急指挥部总指挥（院长）张某某0XX-XXXX101138******Ⅰ级事件10分钟内到位应急指挥部副总指挥（分管信息副院长）李某某0XX-XXXX102139******Ⅱ级事件10分钟内到位技术处置组信息科主任王某某0XX-XXXX201137******所有事件10分钟内到位技术处置组HIS系统工程师赵某某0XX-XXXX202136******远程15分钟响应，现场2小时到位技术处置组驻场安全工程师刘某某0XX-XXXX203135******30分钟内到达现场医疗保障组医务部主任陈某某0XX-XXXX301134******事件触发后15分钟内到位沟通协调组院办主任周某某0XX-XXXX401133******事件触发后15分钟内到位外部对接属地卫健委信息中心吴某某0XX-XXXX601132******接报后30分钟内反馈外部对接属地网安支队二大队郑某某0XX-XXXX602131******重大事件1小时内到场后勤保障组保卫科科长孙某某0XX-XXXX501130******事件触发后10分钟内安排安保到位附录2临床科室离线诊疗物资月度检查表物资名称最低储备量存放位置当月检查结果（合格/不合格）检查人签字检查日期空白普通处方笺50