医院数据安全管理工作规程

医院数据安全管理工作规程第一章总则第一条为规范医院数据全生命周期安全管理，保障患者隐私与医疗核心业务连续性，依据《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及《国家卫生健康委关于印发医院信息互联互通标准化成熟度测评方案的通知》等政策文件，制定本规程。第二条本规程适用于医院各临床科室、医技科室、行政职能部门及驻场外包服务商。涵盖HIS（医院信息系统）、EMR（电子病历系统）、PACS（医学影像信息系统）、LIS（实验室信息系统）等核心业务系统的数据采集、存储、传输、使用、归档与销毁全过程。第三条医院数据安全管理遵循“最小必要、权责一致、闭环可控、同步规划”原则。任何系统上线或升级，必须同步完成数据安全防护方案设计与验收，严禁“先上线后补防护”。第二章组织机构与职责划分数据安全不是信息科单一部门的孤岛战役，而是涉及全院各业务节点的系统性工程，必须建立权责清晰、边界分明的网格化责任体系。第四条医院网络安全与信息化工作领导小组（以下简称“领导小组”）为数据安全最高决策机构，由院长任组长，主管医疗和信息化的副院长任副组长。职责为：审批核心数据分类分级目录；审批数据对外共享与出境申请；决策重大数据安全事件应急处置。第五条信息科为数据安全主管与执行部门。职责为：执行数据加密、脱敏、审计等具体技术防护策略；受理系统权限申请工单（SLA要求：普通工单4小时内响应，24小时内闭环）；监控异常访问行为；每季度对全院核心数据库执行1次漏洞扫描与渗透测试。第六条各临床与行政科室主任为本部门数据安全第一责任人。职责为：审核本科室人员系统权限申请的真实性与必要性；监督本科室终端设备使用规范；发现数据泄露风险或系统异常时，在15分钟内电话报告信息科。第七条驻场外包服务商须签署《数据保密协议》，其人员操作医院核心数据前，必须由项目所在科室主任与信息科双重审批授权。严禁服务商人员私自携带未经登记的个人笔记本电脑接入医院内网核心区。第三章数据分类分级管理数据分级的颗粒度直接决定了安全防护成本的投入比例与访问控制的严格程度，必须精准定级、动态调整。第八条医院数据按敏感程度与泄露后的危害程度分为三级：核心数据：包含患者基因测序数据、身份证号、完整联系方式、确诊传染病史（如HIV、梅毒等）的电子病历数据；医院核心财务流水。泄露会导致患者遭受歧视或诈骗，引发重大群体性事件。重要数据：不含身份证号但可关联识别患者身份的诊疗数据，如脱敏后的就诊流水号、检查检验结果报告。一般数据：医院公开宣传数据、去除所有患者身份标识的群体性科研统计指标。第九条信息科应当建立并维护《医院核心数据分类分级目录》，并在数据库层面对核心数据字段打标。新增业务系统上线前15个工作日内，业务科室必须配合信息科完成数据定级评审，未完成定级的系统严禁接入生产环境。第四章数据全生命周期安全管理数据安全风险往往潜伏于流转交接的盲区，必须对各环节建立物理与逻辑双重拦截机制，确保数据“可用不可见，可控可追溯”。第十条数据采集与输入规范门诊与住院登记采集患者身份信息时，必须通过身份证读卡器或人脸识别终端自动抓取，严禁手工盲打录入（错误率高且易导致重复建档）。医生工作站开具医嘱时，系统必须校验医生执业权限与患者就诊状态，严禁跨科室越权调阅非主管患者的电子病历。第十一条数据存储与处理规范核心数据必须使用AES-256算法加密存储，私钥必须托管在医院硬件密码机（HSM）中，严禁明文硬编码在应用程序配置文件中。数据库超级管理员（DBA）账号严禁直接查询患者明文诊疗数据。DBA排查故障时，应当使用专用脱敏视图，仅查看数据结构与非敏感字段。每日凌晨02:00执行核心数据库全量备份，每小时执行增量备份，备份文件异地保存期限不低于30年（依据病历保管要求）。必须每月1日凌晨进行一次备份介质恢复演练，验证备份有效性。第十二条数据传输与网络边界规范院内跨网段（如办公网至核心业务网）传输核心数据，必须通过医院前置机进行协议剥离，且链路必须启用TLS1.2及以上版本协议加密。严禁通过微信、QQ、钉钉等公共即时通讯软件传输未脱敏的患者明细清单或检查报告截图。若必须传输，只能使用医院内部部署的企业版即时通讯工具并开启防转发与阅后即焚功能；替代方案为通过院内PACS系统生成的有效期24小时的加密阅片链接发送。严禁使用个人网盘上传医疗文档。第十三条数据使用与共享规范临床科研人员调阅患者全量数据用于科研，必须提交《科研数据使用申请表》，经科研处与患者所在科室主任双重审批后，由信息科在脱敏服务器上执行去标识化处理后导出。严禁将真实患者身份证号及联系方式导出至科研本地终端。对外医保结算、区域卫生平台对接，必须通过API网关进行接口级鉴权（OAuth2.0协议），限制调用频率（单接口<100第十四条数据销毁规范存储介质报废必须确保数据不可恢复，阻断因物理介质流转造成的二次泄露风险。优先采用物理粉碎方式，粉碎后颗粒度须<5若存储介质需利旧流转至非涉密区域，必须使用专业数据擦除软件执行3次以上覆盖擦除（符合DoD5220.22-M标准），并生成带有设备序列号的擦除审计报告。严禁直接格式化硬盘后转交报废回收站（格式化仅清除文件分配表，底层数据可通过EasyRecovery等软件完整还原，造成大规模患者隐私泄露）。第五章身份认证与访问控制身份边界是防御非法访问的第一道防线，零信任架构下的动态授权是防止越权操作的核心机制，必须落实到每个账号与每台终端。第十五条身份认证策略HIS、EMR系统必须启用多因素认证（MFA），医生登录必须输入“账号密码+手机动态验证码”。门诊护士站、检验科窗口等高频操作终端因急救需求无法频繁输入验证码，可采用IP-MAC双绑定+账号密码组合认证，但该终端必须封闭物理USB端口与禁用光驱。严禁科室人员共用账号。一旦发生违规导出操作，系统日志无法定位到自然人，将导致追责失败；共用账号一经查实，冻结该账号48小时，全员重置密码并参加安全培训后方可解封。第十六条权限开通与变更管理（RBAC模型）基于角色访问控制（RBAC）分配权限，新员工入职权限开通必须有OA工单记录，且需带教老师与科室主任双签审批。员工调岗或离职，HR部门必须在离职生效后2小时内通过系统向信息科推送工单，信息科在接到通知后1小时内完成核心系统权限阻断与账号停用。严禁离职次日仍能登录EMR系统。第十七条终端外设与接口管控全院医疗业务终端必须部署终端安全管理系统（EDR），强制封闭USB大容量存储设备读取权限。严禁普通U盘接入医院业务终端（U盘极易携带Autorun.inf病毒或被用于批量拷贝电子病历，且无法审计数据流向）。若需导入患者外部检查影像（如外院光盘），必须通过指定内外网数据摆渡系统（光闸）的专用安全U盘，该U盘仅在内网使用且经过硬件级单向只读注册。替代方案为通过指定内网光盘刻录机导入，并经过防病毒网关沙箱清洗。第十八条特权账号管理数据库DBA、网络设备超级管理员账号必须存入特权访问管理（PAM）系统保险箱。日常维护必须通过PAM系统申请随机派发的临时密码，有效期4小时，且运维全程必须开启视频或操作指令录屏审计。严禁将网络核心交换机、防火墙的管理密码记录在纸质笔记本或个人手机备忘录中。第六章数据安全事件应急响应预案应急预案的终点不是写完归档，而是在勒索软件加密核心库的最后10秒内，值班人员能肌肉记忆般地拔下网线，必须建立基于风险演化路径的精准阻断机制。第十九条风险演化路径分析以医疗行业高发的勒索病毒攻击为例，其典型演化路径为：钓鱼邮件附件被医生下载执行→恶意宏代码在办公终端释放木马→内网横向探测通过SMB漏洞（如MS17-010）感染同网段未打补丁主机→窃取PACS或HIS数据库弱口令→遍历加密医院核心数据库文件与备份主机→医院业务全面停摆，黑客勒索赎金。安全防护与应急响应必须据此路径设计阻断点。第二十条事件分级与响应机制根据业务受影响范围与数据泄露量，将数据安全事件分为三级：Ⅰ级（特别重大）：HIS/EMR数据库被勒索加密，或核心数据泄露>1判定标准：核心系统宕机且预计2小时内无法恢复，或公安机关通报泄露。启动权限：主管副院长立即启动本预案，报告公安网安部门与上级卫健委。处置原则：信息科值班人员在5分钟内物理拔除核心交换机至外网的互联光纤，切断互联网出口。严禁在未断网情况下尝试杀毒（会加速病毒横向扩散）。同时启动异地冷备份恢复流程，向临床发布手工纸质病历处方指令。事件平息后10个工作日内完成全院复盘报告。Ⅱ级（重大）：单台核心服务器被入侵但未扩散，或重要数据泄露<1判定标准：系统局部功能异常，未波及全院主业务流。启动权限：信息科主任启动预案。处置原则：在边界防火墙一键阻断受感染VLAN的横向流量。利用数据库快照在30分钟内回滚受污染数据。安全运维人员24小时内出具事件溯源分析报告，修补漏洞。未在24小时内闭环的，升级为Ⅰ级。Ⅲ级（一般）：终端感染病毒未扩散、非授权访问未成功。判定标准：仅单点告警，未造成数据实质性泄露或业务中断。启动权限：信息科安全运维人员处置。处置原则：15分钟内将感染终端物理断网隔离。使用EDR平台远程查杀恶意进程。4小时内完成终端漏洞修补并重新接入网络。第二十一条演练与持续改进每半年必须组织1次桌面推演，每年必须组织1次实战盲演（在非业务高峰期如凌晨01:00-03:00模拟勒索病毒爆发）。演练后5个工作日内召开复盘会，评估RTO（恢复时间目标）与RPO（恢复点目标）是否达标，更新预案并追踪整改至闭环。严禁演练走过场不输出改进计划。第七章监督检查与考核问责没有闭环追溯的考核机制，再严密的操作规程也会在临床业务压力下被绕过，必须以刚性指标保障制度落地。第二十二条日常巡查与日志审计信息科安全专员每日08:00前导出前一日核心系统数据库访问与导出日志，接入SIEM（安全信息和事件管理）平台进行关联分析。对异常行为（如单个账号1小时内连续调阅>500份非主管患者电子病历，或单次导出数据量>第二十三条违规处罚发生账号借用导致数据泄露或越权调阅，扣除当事人当月绩效奖金，并全院通报批评；所在科室年度综合目标责任制考核扣5分。造成严重后果的，移交司法机关。信息科未能按SLA要求修复高危漏洞（如接到CNVD漏洞通报后72小时内未修补且未采取补偿措施），扣罚信息科安全责任人当月绩效奖金的20%。驻场服务商人员违反本规程第十三条、第十七条规定的，立即取消其院内访问权限，依据服务合同扣罚对应维保费用，并清退涉事人员。附录一：核心数据脱敏处理参考标准字段名称脱敏前示例脱敏后示例适用场景身份证号110105199001011234110105******1234科研统计、报表导出手机号13812345678138**5678患者回访、系统展示住址北京