医院信息系统数据安全管理制度

医院信息系统数据安全管理制度一、总则与适用边界本制度是医院所有涉及信息系统数据操作行为的强制性底线规则，覆盖数据从产生到销毁的全生命周期，任何岗位人员无例外执行权。1.制定依据：《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《医疗卫生机构网络安全管理办法》《医疗机构病历管理规定》。2.适用范围：覆盖所有部署在医院本地机房、公有云、第三方托管的信息系统，包括但不限于HIS（医院信息系统）、EMR（电子病历系统）、LIS（检验信息系统）、PACS（医学影像系统）、HRP（医院资源规划系统）、互联网诊疗系统、预约挂号平台、体检系统；覆盖所有接触数据的人员：本院在编职工、规培生、进修生、实习生、第三方运维/开发/实施人员、合作单位派驻人员。3.数据分级标准（所有权限、操作规则均按本分级匹配）：■一级数据（核心敏感）：患者身份证号、医保凭证号、银行卡号、生物识别信息（人脸、指纹）、法定传染病上报数据、重大公共卫生事件相关诊疗数据、医院核心运营数据（年度预算、大额采购标底、核心人才薪酬）■二级数据（高度敏感）：患者完整诊疗记录（门诊/住院病历、检验检查结果、医嘱、手术记录）、未公开的医疗质量控制数据、药品/耗材采购真实成交价■三级数据（内部敏感）：医院内部排班、普通员工薪酬、科室运营统计报表、非公开的教学病例资料■四级数据（公开数据）：医院公开的出诊信息、科普内容、公开招聘公告、经审批发布的统计公报二、组织架构与责任划分数据安全责任实行“谁主管谁负责、谁操作谁负责、谁审批谁连带”的终身追责机制，无模糊责任区间。1.数据安全领导小组：组长由分管信息化的副院长担任，成员包括信息科主任、医务部主任、护理部主任、质控科主任、院感科主任、医保办主任、保卫科主任。职责为：每季度第一个周的周三召开季度安全例会，审批一级数据的导出/外发申请，牵头重大数据安全事件的处置，每年12月组织1次全院数据安全考核。2.信息科（数据安全执行部门）：设2名专职数据安全管理员（A/B角，7*24小时值守）。职责为：每日巡检系统访问日志、数据备份状态、权限变更记录，15分钟内响应数据安全告警，每半月开展1次系统漏洞扫描，负责所有数据操作的技术管控落地。3.各科室主任：是本科室数据安全第一责任人。职责为：审核本科室人员的系统权限申请，每月抽查不少于5%的本科室人员系统操作记录，发现违规操作2小时内报信息科。4.系统操作员（所有临床、医技、行政岗持有系统账号的人员）：对本人账号下的所有操作负直接责任，严禁转借账号。5.第三方人员管理对接人：对接本院职工对所对接第三方人员的所有数据操作负连带责任，第三方人员入场前必须组织签订《数据安全保密协议》（附件1）。6.追责量化标准：发生一级数据泄露事件，直接责任人记过处分、扣发3个月绩效，科室主任扣发1个月绩效，第三方对接人扣发1个月绩效，涉事第三方单位按协议扣除至少30%维保款，构成违法的移送司法机关。三、账号与权限管理账号权限是数据安全的第一道防线，所有权限严格遵循“最小必要、按需开通、到期自动收回”原则，无终身权限、无公共账号。1.账号开通流程■本院职工：入职当日由人事科向信息科推送入职信息，本人提交《系统权限申请表》（附件2），明确需要开通的系统、操作范围（如门诊内科医师仅可开通本人出诊时段的门诊病历书写权限，默认无住院患者病历查阅权限），科室主任签字审核后，信息科在1个工作日内开通；初始密码必须为8位以上含大小写字母、数字、特殊字符的组合，首次登录强制修改。■规培/进修/实习生：由教学办统一提交申请，权限有效期与进修/实习周期完全一致，到期前1天系统自动冻结账号；需延期的提前3天重新提交申请。■第三方人员：由对接科室提交申请，明确允许访问的系统范围、操作时段、绑定IP地址，权限有效期最长不超过3个月，到期自动收回，默认不开通数据导出、批量查询权限。2.权限分级管控要求■一级数据查询/导出权限：仅数据安全领导小组指定的2名专职管理员可操作，其余岗位人员一律无权限。■二级数据查询权限：管床医师仅可查看本人主管患者的诊疗数据，科主任可查看本科室所有患者数据；跨科室查阅患者数据优先通过系统内置的会诊流程申请24小时临时权限，若患者因急诊抢救需立即查阅的，可先由科主任口头申请开通，24小时内补填审批单；严禁无审批私自跨科查阅。■任何岗位不得开通全量患者数据查询权限。3.账号日常管理规则■所有账号必须实名绑定，本制度发布后7个工作日内全部清理注销“admin”“test”等公共测试账号，严禁新设公共账号。■密码每90天强制更换，禁止使用近5次用过的密码；连续输错5次账号自动锁定30分钟，需解锁的由本人持工牌到信息科现场办理，严禁通过电话、微信申请解锁。■人员离职当日，人事科必须同步推送离职信息到信息科，信息科在1小时内冻结所有涉事系统账号，3个工作日内完成账号注销。■离开工位超过5分钟必须锁定系统屏幕，优先使用Win+L快捷键快速锁定；未锁屏被他人操作造成数据泄露的，由账号所有人承担全部责任。■违规追责：转借账号给他人使用的，一经发现扣发当月绩效；借用人造成数据泄露的，账号所有人承担同等责任；越权查询非主管患者数据的，首次发现扣发半个月绩效，累计3次解除聘用合同。四、数据全生命周期操作规范数据从采集、存储、传输、使用到销毁的每个环节都有明确可验证的操作标准，任何无审批、无留痕的操作都按违规处置。1.数据采集■所有诊疗数据必须由接诊医师、检查检验人员本人录入，严禁由第三方人员代录诊疗数据（代录会导致数据失真引发医疗纠纷，同时扩大数据接触范围提升泄露风险）。■采集患者个人信息时，必须明确告知采集用途（如采集手机号用于发送检查报告提醒、术后随访），严禁采集与诊疗无关的个人信息（如患者婚姻状况、收入信息非诊疗必需不得采集）。■自助机、线上预约平台采集的患者信息必须采用HTTPS加密传输，采集页面必须展示可直接访问的隐私政策链接。2.数据存储■所有一、二级数据必须采用AES-256算法加密存储，数据库存储磁盘必须做RAID5冗余；严禁将一、二级数据存储在个人电脑、U盘、私人云盘。■数据备份严格执行“3-2-1”备份策略：保留3份数据副本（生产环境1份、本地备份服务器1份、异地灾备中心1份）、采用2种存储介质（企业级磁盘、蓝光磁带）、留存1份离线备份（每月1号将上月全量数据刻录为加密蓝光光盘，存放在保卫科管理的防火保险柜中）。■备份有效性验证：信息科每周随机抽取1份备份做恢复测试，核心系统恢复时间必须小于4小时，恢复成功率需达100%，测试记录留存3年；严禁备份只存不验（备份失效会导致系统故障时数据永久丢失，直接中断医疗秩序）。3.数据传输■院内系统之间的数据传输必须通过医院内网专用VLAN传输，严禁通过公网传输一、二级数据。■因工作需要向外单位传输数据的（如医保结算、传染病上报、跨院转诊），必须采用VPN专线+SSL加密传输；严禁通过微信、QQ、个人邮箱传输一、二级数据（民用即时通讯工具无端到端加密，数据极易被窃取，一旦泄露会造成患者隐私大范围扩散）。4.数据使用与导出■数据导出严格执行分级审批：■四级数据导出：申请人所在科室主任审批，信息科开通单次导出权限，导出记录留存1年。■三级数据导出：科室主任签字后报对应职能部门（医务/护理/行政主管部门）主任审批，信息科审核后开通单次导出权限，导出文件添加不可见水印（含操作人工号、导出时间），导出记录留存3年。■二级数据导出：除上述审批流程外，必须报分管副院长审批；单次导出数据行数超过100条的，必须由信息科专人在场全程监督，导出文件必须设置打开密码，密码通过电话、当面告知等独立渠道传递给接收人。■一级数据导出：原则上严禁导出，确因公共卫生事件处置、司法调查需要导出的，必须经院长办公会审批，由2名数据安全管理员同时在场操作，导出全程录像，操作记录永久留存。■所有导出的敏感数据使用完成后，必须在72小时内采用文件粉碎功能彻底删除本地存储副本，严禁私自留存、转发。■临床、科研需要批量提取数据做统计分析的，优先使用信息科部署的科研数据沙箱环境（数据全脱敏，无法下载、复制，仅可在沙箱内做统计运算）；若沙箱数据无法满足分析需求，可按流程申请导出脱敏后的明细数据；严禁申请导出含患者个人识别信息的原始明细数据。5.数据销毁■存储过一、二级数据的硬盘、U盘、光盘报废时，必须由信息科、保卫科、纪检室三方人员在场，采用物理粉碎方式销毁，销毁过程拍照记录、三方签字留存；严禁将报废存储设备当作普通废品出售（存储介质即使格式化，仍可通过技术手段恢复90%以上的数据，极易造成批量泄露）。■系统中超过法定保存期限的病历数据（门诊病历保存15年、住院病历保存30年），经医务部、信息科联合审批后，采用数据覆写3次以上的方式彻底删除，删除记录永久留存。五、第三方人员数据操作管理第三方人员是数据泄露的高风险群体，所有操作必须在本院人员全程监督下开展，无独立操作核心系统的权限。1.所有进入机房、接触系统后台的第三方人员，必须提前1个工作日提交《第三方人员入场申请单》（附件3），明确入场时间、工作内容、对接责任人，经信息科主任审批后发放临时门禁卡，临时权限仅在申请时段内有效，离场即刻收回。2.第三方人员现场操作时，对接的本院职工必须全程在场监督，严禁第三方人员单独操作数据库、服务器，严禁将系统后台账号、数据库密码告知第三方人员。3.第三方人员远程运维时，必须通过信息科指定的加密远程运维通道接入，开启全程屏幕录制，操作完成后立即断开远程连接；严禁通过个人版向日葵、TeamViewer等第三方民用远程工具连接医院内部系统（个人版远程工具无操作审计、无传输加密，易被黑客利用植入木马窃取数据）。4.系统升级、数据迁移工作完成后，信息科必须在24小时内更换所有相关系统的后台密码，全面核查是否存在新增的未知账号、后门程序。六、数据安全事件分级与应急处置数据安全事件处置遵循“早发现、早阻断、早溯源、最小影响”原则，所有事件必须在规定时限内上报，严禁瞒报、迟报。1.风险演化典型路径：员工点击钓鱼邮件→终端植入窃密木马→窃取员工系统账号密码→横向移动到数据库服务器→批量下载患者敏感数据→售卖到电信诈骗黑灰产→患者遭遇精准诈骗→医院承担民事赔偿责任、声誉受损。对应的核心阻断点为：每季度全员钓鱼邮件演练、终端EDR实时防护、数据库异常下载告警、数据外发行为审计。2.事件分级与处置流程■三级事件（一般事件）■判定标准：单个人员越权查询三级及以下数据未造成外发扩散；系统账号被盗但未产生异常操作；单份备份测试失败但其他备份副本可用■启动权限：信息科值班数据安全管理员■处置流程：发现后15分钟内阻断异常操作，24小时内完成事件溯源，形成处置记录报信息科主任，对责任人按规定处罚。■二级事件（较大事件）■判定标准：单个人员越权查询二级数据，或导出三级数据小于100条且未向外部扩散；系统遭遇小规模勒索病毒攻击但未波及核心数据库；本地备份介质损坏但异地备份可用■启动权限：信息科主任■处置流程：发现后10分钟内断开受影响系统的网络连接，1小时内报数据安全领导小组，24小时内完成溯源、恢复系统正常运行，72小时内形成处置报告，涉及患者信息风险的需逐一告知涉事患者。■一级事件（重大事件）■判定标准：一、二级数据被批量导出（超过100条）或泄露到外部网络；核心数据库被加密、篡改；因数据问题导致医疗业务中断超过2小时；发生大规模患者隐私信息扩散引发舆情■启动权限：数据安全领导小组组长（分管副院长）■处置流程：发现后5分钟内切断核心系统对外网络连接，30分钟内报院长、属地卫生健康委、网信部门、公安部门，第一时间发布官方通告避免舆情发酵，7个工作日内完成全量溯源、系统恢复，配合相关部门调查，处置完成后15个工作日内形成复盘报告并落地整改措施。七、日常检查与培训考核数据安全管控没有一劳永逸的方案，必须通过常态化检查、培训形成长效约束，避免制度流于形式。1.日常巡检：信息科数据安全管理员每日核查系统异常登录日志、数据导出记录、权限变更记录、备份任务执行状态、终端杀毒软件告警，填写《每日数据安全巡检记录》（附件4），发现异常立即处置。2.月度检查：信息科每月联合医务部、护理部抽查各科室账号使用情况、数据操作规范执行情况，每个科室抽查不少于5%的人员月度操作日志，发现违规操作当日全院通报。3.季度漏洞扫描：每季度最后1周由信息科对所有业务系统开展漏洞扫描、渗透测试，发现高危漏洞24小时内完成修复，中危漏洞72小时内完成修复。4.培训要求：新员工入职必须接受4学时数据安全专项培训，考核80分以上方可开通系统账号；全院所有职工每年接受不少于2学时的数据安全再培训，培训后统一考试，不合格者暂停系统权限，补考合格后方可恢复。5.年度考核：每年12月由数据安全领导小组对各科室数据安全情况开展考核，考核指标包括违规操作次数、培训参与率、事件上报及时性，考核结果与科室年度绩效挂钩，排名前3的科室给予年度绩效奖励，排名末位的科室主任需提交书面整改报告。八、责任追究所有数据违规操作行为均有明确的处罚标准，责任到人、不搞变通，任何为违规人员求情、打招呼的行为均记录在案并连带追责。1.有下列行为之一的，扣发当月50%绩效，全院通报批评：■转借本人系统账号给他人使用的■密码设置不符合复杂度要求、未按规定周期更换密码的■通过微信、QQ等非加密渠道传输敏感工作数据未造成泄露的■离开工位未锁定系统屏幕，被他人操作但未造成不良后果的2.有下列行为之一的，扣发3个月绩效，给予记过处分、岗位降级：■越权查询非主管患者诊疗数据的■未经审批导出三、四级数据的■第三方人员操作时对接责任人未在场监督的■发现数据安全隐患未及时上报，导致发生二级安全事件的3.有下列行为之一的，解除聘用合同，涉嫌违法犯罪的移送司法机关，依法追究民事、刑事责任：■私自导出、售卖、向他人提供一、二级数据的■未经审批私自对外提供患者信息、医院核心运营数据的■故意删除、篡改系统数据影响正常医疗秩序的■发生数据安全事件后瞒报、迟报导致影响扩大的■第三方人员违规操作造成数据泄露的，除按合同追究经济责任外，将相关单位及人员纳入医院供应商黑名单，永久不得合作。附件（可直接打印使用）附件1：第三方人员数据安全保密协议模板1.保密范围：所有工作期间接触到的医院诊疗数据、运营数据、系统架构信息、账号密码信息2.禁止行为：不得拷贝、传输、泄露任何敏感数据，不得私自留存任何系统账号密码，不得在非工作场景谈论医院敏感数据信息3.违约责任：发生数据泄露需赔偿医院所有直接、间接损失，承担相应法律责任4.签字栏：第三方单位盖章、经办人签字、医院对接责任人签字、签订日期