医院数据备份定期核查制度

医院数据备份定期核查制度一、总则数据备份是医院业务连续性的最后一道防线，核查则是检验这道防线是否真实有效的唯一手段。本制度将核查从「信息中心内部技术行为」上升为「全院级可追溯、可审计、可追责的质量控制行为」。1.1目的规范医院数据备份核查的频次、内容、方法、责任与记录，确保在勒索病毒、硬件故障、人为误删、自然灾害等场景下，核心数据可在承诺的恢复时间目标（RTO）与恢复点目标（RPO）内恢复，杜绝「备份任务长期静默失败」「备份文件损坏却无人发现」「能备份但无法恢复」三类系统性失效。1.2依据•《中华人民共和国数据安全法》•《中华人民共和国网络安全法》•《中华人民共和国个人信息保护法》•《医疗卫生机构网络安全管理办法》•《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）•《信息安全技术数据安全能力成熟度模型》（GB/T37988-2019）•《电子病历应用管理规范（试行）》•《医院信息互联互通标准化成熟度测评》1.3适用范围本制度适用于医院所有产生、传输、存储电子数据的业务系统，包括但不限于：医院信息系统（HIS）、电子病历（EMR）、影像归档与通信系统（PACS）、检验信息系统（LIS）、放射信息系统（RIS）、手术麻醉系统、重症监护系统、合理用药系统、医保结算系统、办公自动化（OA）、邮件系统、人事与财务系统、医疗器械物联数据采集系统，以及为上述系统提供支撑的数据库、虚拟化平台、对象存储、磁带库与云备份设施。1.4术语•RTO（RecoveryTimeObjective，恢复时间目标）：从故障发生到业务恢复可用所允许的最长时间。•RPO（RecoveryPointObjective，恢复点目标）：允许丢失的数据时间跨度，即最近一次有效备份时刻与故障时刻之间的差值。•全量备份：对全部数据对象完整复制，独立可恢复。•增量备份：仅复制自上次任意类型备份以来发生变化的数据。•差异备份：仅复制自上次全量备份以来发生变化的数据。•CDP（ContinuousDataProtection，持续数据保护）：以日志或块级方式持续记录数据变更，RPO可趋近于零。•校验和（Checksum）：对备份数据计算固定长度摘要，用于在恢复前判断数据是否发生位级损坏。•离线副本（Air-GappedCopy）：与生产网络物理隔离的备份副本，用于抵御勒索病毒横向感染。二、组织与职责数据备份核查不是单一岗位的技术动作，而是涉及决策、管理、执行、监督四层的质量体系。职责边界一旦模糊，核查就会退化为「管理员自查自报」的形式化流程。2.1决策层：信息化建设领导小组由分管副院长任组长，成员包括医务部、护理部、财务部、保卫部、病案管理部、信息中心主任。每季度召开一次数据安全例会，审议核查报告、审批恢复演练计划、处置重大异常。会议决议24小时内由信息中心形成纪要并归档。2.2管理层：信息中心主任负责本制度的组织落实。承担以下职责：•每年1月15日前发布年度备份策略与核查计划；•每月5日前审签上月核查月报；•审批介质采购、异地租用、第三方服务合同；•对核查中发现的失职行为启动追责程序。2.3执行层：系统管理员与数据库管理员按系统分工执行日常核查。每名管理员负责的系统清单每年初由信息中心主任书面指定，不得由管理员自行认领或临时调整；调整须经主任签字确认后3个工作日内完成交接并更新清单。2.4监督层：审计部与病案管理部审计部每季度对核查台账进行一次抽查，抽查覆盖不少于3个核心系统；病案管理部每半年对电子病历类系统的恢复测试记录进行合规性复核，确保符合《电子病历应用管理规范》中关于电子病历留存不少于30年的要求。2.5RACI责任矩阵事项信息中心主任DBA/系统管理员第三方运维审计部制定年度核查计划ARCI每日核查执行IRR-恢复演练设计ARCI恢复演练记录归档ARCC季度合规审计IC-R重大异常上报与处置ARCIR=负责执行；A=最终负责；C=提供专业意见；I=知会。三、系统分级与备份策略核查频次与内容必须与系统对临床业务的影响程度匹配——把PACS与OA用同一标准核查，要么浪费资源，要么漏掉风险。本制度将系统分为三级，分别配置差异化备份策略与核查要求。3.1一级系统（核心临床与结算）涵盖HIS、EMR、LIS、手术麻醉系统、ICU监护系统、医保结算系统。项目指标RTO≤2RPO≤15全量备份每日1次，窗口02:00–05:00增量/CDP持续或每15分钟1次异地副本每日同步至异地灾备中心离线副本每周1次，写入磁带或不可变对象存储保留周期在线30日；离线不少于10年3.2二级系统（重要支撑）涵盖PACS、RIS、合理用药、OA、邮件、人事、财务、物资管理。项目指标RTO≤8RPO≤4全量备份每周1次（周日02:00起）增量备份每日1次（工作日23:00起）异地副本每周同步离线副本每月1次保留周期在线90日；离线不少于3年3.3三级系统（一般业务）涵盖门户网站、教学管理、科研管理、内部通讯、日志归档等。项目指标RTO≤48RPO≤24全量备份每周1次保留周期在线60日注：PACS影像数据量级大（三甲医院年增量估算10∼3.4策略变更控制备份策略的任何变更（频次、保留周期、介质类型、目标位置）必须提交《备份策略变更申请单》，经信息中心主任审批，涉及一级系统的须报分管副院长批准。变更后72小时内必须执行一次验证性恢复测试，确认新策略可正常恢复。严禁管理员私下调整备份策略——某医院曾因管理员将增量备份间隔从1小时改为24小时以「节省存储」，最终在勒索病毒事件中丢失23小时数据。四、核查频次与内容核查频次不是越多越好，而是要与失效概率和影响程度匹配。本制度设定日、周、月、季、年五级核查节奏，逐级深入，从「作业是否成功」一直验到「数据是否能真实恢复」。4.1每日核查执行人：值班DBA/系统管理员。

执行时间：每日08:00前，覆盖前一自然日18:00至当日06:00的备份作业。

核查内容：1.一级系统全量备份作业状态——成功、失败、被跳过、执行超时（阈值为计划窗口+30分钟）。2.增量/CDP作业最后一次成功时间戳，与当前时间差不得超过RPO上限的1.5倍。3.备份存储池剩余容量——剩余低于20%时触发预警，低于10%时触发二级异常。4.异地同步任务状态及同步延迟——延迟超过30分钟需记录原因。输出：《每日备份核查表》（附件一），08:30前提交至信息中心工作群。任何一级系统备份失败，必须在表内「异常描述」栏填写失败作业ID、错误码、初步判断原因与处置动作，不得留空或写「正常」。4.2每周核查执行人：分管系统的DBA/系统管理员。

执行时间：每周一10:00前，覆盖上一自然周。

核查内容：1.汇总每日异常，统计本周作业成功率——一级系统必须达到100%，二级系统不低于98%，三级系统不低于95%。2.抽取至少1个一级系统的全量备份文件，执行校验和比对——生产库校验和与备份文件校验和必须一致；不一致即视为备份损坏。3.检查离线副本写入是否按计划完成（每周日写入的磁带或不可变对象存储）。4.检查备份介质健康状态——磁带库读写错误计数、硬盘SMART异常计数、云对象存储4xx/5xx错误率。输出：《每周备份核查汇总表》（附件二），由信息中心主任或其授权人审签。4.3每月核查与恢复测试执行人：DBA/系统管理员主导，第三方运维配合。

执行时间：每月15日前完成，覆盖上一个自然月。

核查内容：1.可恢复性测试——这是月度核查的核心。仅检查「备份成功」远远不够，必须验证「数据能够真实恢复」。◦一级系统：每月至少选取1个系统，从最近的备份中恢复到隔离测试环境，验证关键表记录数（与生产差异≤0.01◦二级系统：每季度至少1个系统恢复测试。◦三级系统：每半年至少1个系统恢复测试。2.恢复时间实测——从启动恢复指令到应用可正常查询的时间，必须满足该系统的RTO上限。超出RTO即触发二级异常。3.介质容量趋势分析——基于过去6个月数据增长率，预测3个月内是否会触及容量阈值，提前发起扩容申请。4.备份目录权限审计——核查备份存储目录的访问权限是否仅限授权账户，杜绝遗留的过度授权账户。输出：《月度备份核查与恢复测试报告》（附件三），含恢复截图、校验和比对结果、实测恢复时间。报告经信息中心主任审签后归档。4.4每季度核查执行人：信息中心牵头，审计部参与。

执行时间：每季度结束后15日内。

核查内容：1.审计部抽查至少3个系统的核查台账，核对记录与备份系统实际日志是否一致。2.第三方运维服务商SLA履约情况评估——包括响应时长、问题解决率、报告提交及时性。3.异地灾备中心连通性测试——模拟切换链路，验证异地副本可访问、可恢复。4.演练计划执行情况回顾——本季度计划演练是否按期完成，未完成的须有书面说明。输出：《季度备份核查审计报告》。4.5每年核查与全量恢复演练执行人：信息中心主导，医务部、护理部、保卫部协同。

执行时间：每年11月底前。

核查内容：1.选择至少1个一级系统，在年度业务低峰期（建议周末或节假日）执行从备份到生产级环境的完整恢复演练，包括数据库恢复、应用配置恢复、接口连通性验证。2.评估全年备份存储总成本与容量规划，制定下一年度采购计划。3.复核本制度适用性——根据系统变更、法规更新、技术演进，提出修订建议。输出：《年度数据备份与恢复演练报告》，报信息化建设领导小组审议。五、核查方法与判定标准「备份成功」与「数据可恢复」之间存在巨大鸿沟——文件存在不代表未损坏，未损坏不代表可挂载，可挂载不代表应用能识别。核查方法必须层层递进，任何一层未通过即判定为核查失败。5.1作业状态核查判定标准：•成功：作业状态码为SUCCESS，且产出文件大小在历史均值的±20•失败：状态码为FAILED、ABORTED、TIMEDOUT，或产出文件为空。•异常：状态码为SUCCESS但产出文件大小偏离历史均值超过20%，须进入校验和比对环节。5.2校验和比对为什么这么做：备份文件在写入、传输、存储过程中可能因磁盘坏块、网络丢包、勒索病毒篡改发生位级损坏，文件大小不变但内容已毁。怎么做：1.对生产数据计算MD5或SHA-256摘要（一级系统优先用SHA-256，碰撞概率更低）。2.对备份文件计算相同算法摘要。3.比对两者是否一致——不一致即为备份损坏，须立即触发备份重做，并排查存储介质健康状态。出问题怎么办：重做失败2次以上，启动二级异常处置流程，同步检查存储RAID状态与备份软件日志。5.3恢复测试怎么做：1.在与生产网络隔离的测试环境中，使用最近一次备份执行完整恢复。2.恢复后执行以下验证：◦数据库可正常启动；◦关键表记录数与生产比对，差异不超过0.01%◦应用层可登录并执行至少3项核心查询；◦接口连通性测试——如HIS与医保接口、LIS与仪器接口。3.实测恢复时间，与RTO比对。判定标准：验证项通过不通过数据库启动成功启动失败或报错记录数差异≤>校验和一致是否应用登录成功失败核心查询≥3<3恢复时间≤RTO>RTO任一验证项不通过即判定本次恢复测试失败，须启动异常处置。5.4介质健康核查磁盘/对象存储：•SMART报告中ReallocatedSectorCount、CurrentPendingSectorCount任一非零，介质健康判定为不合格，须在7日内迁移数据并更换。•对象存储连续7日出现5xx错误，须联系云服务商排查。磁带：•单盘磁带累计读写错误超过厂商阈值（通常为100次硬错误）即退役。•磁带保存环境温度15∼25∘六、异常分级与处置备份异常的处置必须遵循分级响应原则——把单日增量失败与核心库全量失败等同处理，要么浪费资源、要么贻误战机。本制度设三级异常，每级明确判定标准、启动权限与处置时限。6.1一级异常（重大）判定标准（满足任一即触发）：•一级系统全量备份连续失败超6小时，或单日失败且未能于次日凌晨补备成功；•一级系统最近一次有效备份与当前时间差超过RPO上限的2倍；•一级系统月度恢复测试失败，且24小时内未能定位原因；•离线副本介质损坏或丢失，且无可替代副本；•备份系统被勒索病毒感染或遭未授权访问。风险演化路径：核心库全量备份连续失败→仅剩增量备份且增量亦异常→生产库发生硬件故障或勒索感染→无可恢复副本→门诊、住院、手术、结算全面停摆，数据永久丢失，触发医疗安全事件。启动权限：信息中心主任立即报告分管副院长，30分钟内启动应急响应。处置原则：1.优先恢复备份能力——排查备份软件、存储、网络链路，必要时启用备用介质或云备份。2.同步评估生产数据风险——若生产库仍可用，立即触发一次手动全量备份至独立介质。3.若确认数据已丢失或不可恢复，启动《医院信息系统应急预案》，向卫生健康主管部门报告。6.2二级异常（较大）判定标准：•一级系统单次增量备份失败，但全量备份仍可用；•二级系统全量备份连续失败超24小时；•月度恢复测试中发现记录数差异超过0.01%•备份存储剩余容量低于10%。启动权限：分管DBA/系统管理员在2小时内报告信息中心主任。处置原则：1.4小时内完成原因排查与修复，重新触发备份作业。2.次日核查时确认修复结果，未修复的升级为一级异常。6.3三级异常（一般）判定标准：•三级系统备份单次失败；•二级系统增量备份单次失败；•备份存储剩余容量低于20%。启动权限：分管DBA/系统管理员记录并处理，无需立即上报。处置原则：当日完成修复，记录于每日核查表。连续3日未修复的升级为二级异常。6.4异常处置闭环所有异常必须走完「发现→上报→处置→验证→关闭→复盘」六步闭环：1.发现：核查人员记录异常编号、系统名称、发现时间、现象描述。2.上报：按分级标准上报至相应权限层级。3.处置：执行修复动作，记录操作步骤与时间戳。4.验证：修复后必须执行一次备份作业并验证成功，且对受影响系统补做一次恢复测试。5.关闭：信息中心主任或授权人在核查台账中签字关闭。6.复盘：一级异常须在5个工作日内召开复盘会，输出根因分析与改进措施；二、三级异常在月度报告中汇总复盘。七、备份介质与离线副本管理勒索病毒的攻击模式已从「加密生产数据」演化为「先潜伏、后加密备份」——攻击者会主动搜索并篡改网络可达的备份。离线副本是抵御此类攻击的最后保障，其管理必须高于在线备份的严格程度。7.1介质类型与适用场景介质类型适用场景优势风险不可变对象存储（WORM）一级系统离线副本防篡改、可远程访问依赖云服务商合规性LTO磁带大容量归档、PACS影像单位成本低、可物理隔离检索慢、需定期迁移独立磁盘阵列（隔离网络）中小规模离线恢复速度快仍可被横向感染云备份异地容灾弹性扩展需评估合规出境风险方案选择：一级系统离线副本优先使用不可变对象存储+LTO磁带双副本；若不具备磁带库条件，采用不可变对象存储+独立隔离磁盘阵列；严禁仅依赖与生产同网的磁盘阵列作为唯一离线副本。7.2离线副本操作规程1.每周日凌晨02:00自动写入离线介质，写入完成后介质进入只读或断网状态。2.每周一核查时验证离线副本写入状态与校验和。3.磁带每3年执行一次迁移——LTO磁带虽标称寿命30年，但驱动器换代可能导致旧带无法读取，须主动迁移至新代次介质。4.介质出入库须双人操作——保管员与操作员分设，互相监督，记录出入库时间、介质编号、操作人。7.3介质销毁•存储过患者数据的介质退役时必须物理销毁——磁盘消磁后粉碎，磁带切断后焚烧，固态硬盘物理粉碎。•销毁过程须有信息中心、保卫部、审计部三方在场，签署《介质销毁记录单》（附件五）。•严禁直接丢弃或作为废品出售——某医院曾因旧硬盘流入二手市场导致7万条门诊记录泄露，被处以行政处罚。八、恢复演练管理恢复演练是检验备份有效性的终极手段——没有演练过的备份，本质上是「赌它能恢复」。本制度要求年度演练计划化、场景化、记录化，杜绝「走流程式」演练。8.1年度演练计划信息中心主任每年1月15日前发布《年度恢复演练计划》，明确：•演练系统清单——至少覆盖全部一级系统，每年轮换；•演练时间——安排在业务低峰期（建议周末凌晨）；•演练场景——每年至少包含以下三类场景之一：◦场景A：数据库逻辑损坏（如误删表），从备份恢复至指定时间点；◦场景B：存储硬件故障，从全量+增量备份完整恢复；◦场景C：勒索病毒感染，从离线副本恢复。8.2演练执行1.演练前3个工作日通知医务部、护理部及相关临床科室，明确演练不影响生产系统。2.演练在隔离环境中进行，严禁直接在生产环境操作——曾经有医院「演练时误连生产库，导致真实数据被覆盖」。3.记录全流程时间节点：备份选取、介质读取、数据库恢复、应用配置恢复、验证完成。4.演练后由分管临床的副主任签字确认应用功能可用性。8.3演练复盘每次演练后5个工作日内输出《恢复演练报告》，内容包括：•实测RTO与设计RTO对比；•恢复过程中遇到的问题与解决方案；•与上次演练的差异分析；•改进措施与责任人。连续2次演练超出RTO的系统，须重新评估备份架构与恢复流程。九、第三方运维服务商管理医院信息中心人员有限，核心系统备份常依赖第三方运维。但第三方不是责任转移方——出问题首先追医院自身管理责任。本制度将第三方纳入核查体系，以合同SLA与日常记录双重约束。9.1SLA要求项目一级系统二级系统三级系统备份失败响应15分钟内1小时内4小时内现场到达2小时内8小时内次日修复时限4小时内24小时内72小时内月度报告提交每月5日前每月5日前每月5日前9.2第三方核查配合义务•提供备份系统操作日志原始数据，不得仅提供摘要——审计部有权索取原始日志。•配合恢复演练，提供技术支持。•发生异常时按SLA响应，未达SLA的每次扣减当月服务费的5%，累计3次触发合同违约条款评估。9.3第三方人员访问控制•第三方人员访问备份系统必须通过堡垒机，全程录屏。•严禁使用共享账号——每名第三方人员分配独立账号，账号权限最小化。•离场24小时内由信息中心注销其所有访问权限。十、记录与归档没有记录的核查等于没有核查——事后无法证明、无法追溯、无法追责。本制度对记录格式、保存期限、归档方式作出硬性规定。10.1记录类型与保存期记录类型责任人保存期每日备份核查表值班DBA3年每周核查汇总表分管DBA3年月度核查与恢复测试报告信息中心主任10年季度审计报告审计部10年年度演练报告信息中心主任永久介质出入库记录保管员10年介质销毁记录三方会签永久异常处置记录信息中心主任10年10.2归档方式•电子记录统一存入文档管理系统，按「年度—系统—记录类型」三级目录组织。•纸质签字记录扫描后同步归档电子版。•涉及患者数据的记录按个人信息保护要求脱敏存储，访问权限限定为信息中心主任与审计部。十一、考核与责任追究制度若无考核即等同倡议。本制度将核查执行情况纳入信息中心季度绩效考核与第三方服务履约评估，失职行为按情节追究责任。11.1考核指标指标权重目标值一级系统备份成功率30%100%月度恢复测试完成率20%100%异常闭环及时率20%≥核查记录完整率15%100%年度演练完成率15%100%11.2责任追究•核查记录造假（填写「正常」但实际未执行核查）——一经查实，对责任人予以通报批评并扣发当季绩效，对信息中心主任予以诫勉谈话。•因核查不到位导致数据无法恢复并造成业务中断的——按医院医疗安全事件处置流程追责，涉及违法的依法移送。•第三方未达SLA且造成实际影响的——按合同违约条款处理，必要时终止合同并列入供应商黑名单。十二、附则本制度自发布之日起施行，由信息中心负责解释。每年至少修订一次，修订后报信息化建设领导小组审议。法律法规、技术标准发生重大变化或发生重大数据安全事件时，应立即启动专项修订。附件附件一：每日备份核查表序号系统名称备份类型计划时间实际开始实际结束状态产出大小校验和异常描述核查人核查时间123签字（信息中心值班负责人）：____________日期：______附件二：每周备份核查汇总表系统名称本周作业次数成功次数失败次数成功率离线副本写入介质健康校验和抽检异常摘要整改措施签字（信息中心主任或授权人）：____________日期：______附件三：月度恢复测试报告模板报告编号：______________

报告月份：____年__月

测试系统：______________

备份选取时间：____年__月__日__:__

备份类型：□全量□增量□差异□CDP快照

恢复环境：□隔离测试库□虚拟化沙箱□其他______验证项预期结果实测结果判定数据库启动成功□通过□不通过关键表记录数差异≤□通过□不通过关键表校验和一致是□通过□不通过应用层登录成功□通过□不通过核心查询（≥3全部通过□通过□不通过实测恢复时间≤RTO□通过□不通过RTO设计值____小时实测：____小时□达标□超标异常与改进：测试人：______复核人：____审批人：____日期：______附件四：异常处置记录单异常编号：______________

发现时间：____年__月__日__:__

发现人：______________

异常级别：□一级□二级□三级

涉及系统：______________

现象描述：

________