医院信息系统HIS安全管理规程

医院信息系统HIS安全管理规程一、总则医院信息系统（HIS）的安全是医疗业务连续性的底线，任何便捷性诉求不得凌驾于患者数据安全之上。1.1目的本规程旨在规范HIS系统的账号、网络、主机、数据及运维全生命周期安全管理，防范内外部网络安全威胁，保障医疗业务在7×24小时不间断运行，确保患者隐私与诊疗数据不泄露、不篡改、不丢失。1.2适用范围本规程适用于全院所有涉及HIS系统使用、管理、运维的岗位与人员，包括正式员工、规培生、进修生、外包人员及第三方系统供应商驻场工程师。1.3基本原则•最小权限原则：账号权限必须按业务必需的最小范围授予，严禁超范围授权。•持续验证原则：安全策略不仅依赖初始配置，必须通过定期审计与演练进行动态验证。•降级可用原则：系统设计必须具备故障降级能力，在HIS全量宕机时，临床业务可快速切换至手工纸面流程。二、组织机构与职责划分明确的权责划分是避免安全事件互相推诿的前提，必须将每项安全要求落实到具体岗位的个人。2.1组织架构医院成立HIS安全管理领导小组，由分管副院长任组长，信息中心主任任副组长。领导小组下设安全管理组、系统运维组、临床联络组。2.2岗位职责•信息中心主任：审批核心系统变更请求、年度安全规划、重大安全事件应急处置决策；每月听取1次安全工作汇报。•安全管理员：配置与维护防火墙、堡垒机、杀毒系统策略；每季度执行1次漏洞扫描；每月审查核心系统访问日志。•系统管理员：执行HIS数据库与应用服务器的日常巡检与变更操作；受理临床故障报修并在15分钟内响应。•临床科室安全联络员：每科室指定1名（通常由护士长或科室秘书兼任），负责收集本科室系统使用问题，协助信息中心发放与回收应急纸质表单。三、人员与账号权限管理账号是系统安全的第一道防线，失控的账号等同于敞开的大门，必须遵循"最小可用"与"实名溯源"双原则。3.1账号开通与审批新增HIS账号必须由申请人通过OA系统提交《HIS账号权限申请表》（见附1）。审批流程如下：1.申请人填写岗位、所需模块及权限范围。2.所在科室主任审核业务必要性。3.信息中心主任审批系统授权范围。4.安全管理员在收到审批通过的工单后4个工作小时内完成系统配置并回复邮件闭环。对于高危险权限（如药品退库、收费作废、医保数据批量导出），必须由所在科室主任及财务科长双签字审批。严禁多人共用同一账号（无法在医疗纠纷中追溯到具体操作人，存在严重法律风险），替代方案为申请临时账号并设定24小时有效期。3.2密码与认证策略密码策略按角色分级执行：角色分类密码长度复杂度要求更换周期历史密码限制临床用户≥8大写、小写、数字、特殊字符中任意3类180天不允许与最近1次重复系统管理员≥12大写、小写、数字、特殊字符全部4类90天不允许与最近5次重复核心数据库与服务器主机必须通过堡垒机登录，优先采用双因素认证（密码+动态口令令牌）。严禁将密码写在键盘底部或显示器便签上，应当使用密码管理器（如KeePass）加密存储，替代方案为记录在信息中心保险柜的密封信封中并由双人保管。3.3权限定期清理每月1日，系统管理员导出所有活跃账号清单，由安全管理员与各科室联络员核对。对于离职、调岗人员，人事科在办理手续当日同步推送名单至信息中心，系统管理员必须在收到通知2小时内冻结账号、7天内删除账号。每季度形成一次《账号权限审计报告》存档备查。四、网络与主机安全防护HIS系统面临的主要威胁来自网络边界突破与主机漏洞利用，防护策略必须采用"内外分段、纵深防御"架构。4.1网络边界与区域隔离•优先：HIS核心服务器区与办公网通过独立防火墙物理隔离，仅开放应用层必需端口（如443）。•若不具备条件（如老旧院区机房改造受限），则通过VLAN逻辑隔离并配置严格的ACL访问控制列表，禁止办公网段直接路由至服务器网段。•严禁：将HIS服务器直接接入外网交换机（暴露面扩大会导致每日遭受超千次自动化扫描，极易被植入勒索病毒或挖矿木马）。防火墙策略变更必须提交工单，注明源IP、目的IP、端口及业务理由，经信息中心主任审批后由安全管理员执行。策略生效后，安全管理员应在24小时内验证业务连通性并删除冗余或过期规则。4.2终端安全管理医护工作站必须安装医院统一部署的终端管理软件并开启实时防护。USB端口策略实施白名单管控：•优先：使用院内统一的文件审批流转系统（OA系统）进行电子病历或报表传输。•若不具备条件（如部分无网络连接的检验设备），则使用信息中心配发的专用安全U盘，并在专用的中间机上进行杀毒后中转。•严禁：使用个人U盘直接在临床工作站拷贝文件。违规插入个人U盘的风险演化路径为：U盘在外部电脑感染木马→医护人员将U盘插入分诊终端→绕过网络边界防火墙→木马利用SMB漏洞在内网横向传播→感染HIS应用服务器→窃取患者隐私数据或加密库文件勒索。4.3服务器主机安全基线系统管理员每季度执行一次主机安全基线检查。检查项目包括：•操作系统补丁更新（关键补丁必须在发布后30天内安装，安装前须在测试环境验证）。•关闭非必要服务（如FTP、Telnet），禁用默认共享。•配置审计日志策略，确保系统登录、权限变更等操作记录保留期限≥6五、数据安全与备份恢复数据是HIS系统的核心资产，备份策略的可靠性不取决于备份过程是否成功，而取决于恢复演练的实测通过率。5.1数据备份策略核心数据库采用全量+增量+日志的三级备份体系：•全量备份：每天凌晨2:00执行，耗时约2小时。•增量备份：每4小时执行一次。•日志备份：每15分钟执行一次，确保RPO（恢复点目标）≤15备份文件必须异地存储，即主备数据中心跨建筑物理隔离。备份介质保留策略为：全量备份保留30天，月度全量备份保留3年。5.2恢复演练与验证•为什么这么做：仅检查备份文件大小或系统日志成功状态，无法验证数据块级一致性。数据库可能存在静默数据损坏，仅在实际恢复时才暴露异常。•怎么做：每半年由信息中心组织1次真实恢复演练。在独立测试环境中恢复最新全量备份，执行核心业务SQL校验脚本（如统计患者挂号记录数、比对处方明细总金额，与生产环境快照进行比对）。演练后24小时内出具《HIS恢复演练报告》。•出问题怎么办：若恢复失败或数据校验不一致，必须立即排查备份链路与存储介质完整性，暂停生产环境一切非紧急变更，直至问题解决并重新演练成功。5.3数据脱敏与销毁开发与测试环境严禁使用生产环境真实患者数据。必须通过数据脱敏工具对姓名、身份证号、联系电话等敏感字段进行不可逆掩码处理。废弃硬盘拆机前必须执行全盘覆写（DoD5220.22-M标准，至少3次覆盖）或物理粉碎，由资产管理员与安全管理员双人签字监销并拍照留存。六、变更与运维管理无管控的变更导致的系统故障远多于外部攻击，必须建立"无工单不变更、无回退不执行"的铁律。6.1变更管理流程所有涉及HIS数据库结构修改（DDL）、核心服务重启、网络策略调整的操作，必须提交变更工单。•优先：在周六凌晨1:00-4:00业务低谷期执行变更，执行前由系统管理员与第三方工程师共同核对变更步骤与回退脚本。•严禁：在工作日门诊高峰期（8:00-11:00）执行任何非紧急变更（数据库锁表会导致门诊大面积卡顿，排队积压极易引发医患冲突）。•出问题怎么办：变更过程中若出现核心业务报错，15分钟内无法定位并解决的，系统管理员必须授权立即执行回退脚本，恢复变更前状态。事后24小时内召开复盘会，输出根因分析报告。6.2第三方驻场运维管理第三方供应商工程师必须签署《保密协议》并办理临时通行证。远程接入排障时，必须通过堡垒机VPN接入，严禁使用向日葵、TeamViewer等非受控远程工具。操作过程必须开启堡垒机屏幕录像，录像文件保留≥6七、应急预案与故障处置应急预案的核心不在于文件本身，而在于医护人员的肌肉记忆和降级业务流程的可操作性。7.1事件分级与启动权限级别判定标准启动权限处置原则I级（重大）HIS核心数据库完全宕机或勒索病毒感染，预计2小时内无法恢复分管副院长1小时内启动全院业务降级，上报卫健委II级（较大）核心业务模块（挂号、收费、医生站）大面积不可用，影响≥3信息中心主任30分钟内启动备用方案，2小时内恢复III级（一般）单一门诊或病区终端无法登录、个别非核心功能异常值班工程师15分钟内响应，现场排查或更换终端7.2典型场景应急预案场景一：核心数据库宕机

系统监控告警后，系统管理员10分钟内登录控制台排查。若是硬件故障，立即切换至备库（切换操作耗时约15分钟）。切换失败则启动I级应急响应。场景二：勒索病毒感染

一旦发现文件被加密，安全管理员必须立即物理拔掉感染网段的服务器网线（阻断横向传播途径）。严禁支付赎金（无法保证数据恢复且违反相关规定）。优先从异地备份恢复数据，同时保留内存快照供公安网安部门取证。7.3临床业务降级运行I级应急响应启动后，临床联络组立即向各科室分发应急物资。门诊医生改用手写处方与纸质检验申请单；收费处启用离线收费模式（按标准费率表手工核算）；药房依据手写处方发药。•严禁：在HIS中断期间凭患者口述或记忆发药（可能导致重复用药或药物配伍禁忌，引发严重医疗事故）。•替代方案：必须依据医生手写处方原件发药，处方留底备查。•恢复后处理：HIS系统恢复后，各科室必须在6小时内将纸质单据统一补录系统。补录期间暂开只读查询功能，防止补录数据与新生数据产生主键冲突。八、监督审计与考核无监督的规程等于一纸空文，必须通过高频抽查与系统日志关联审计形成威慑力。8.1日常审计与检查信息中心安全管理员每月抽取HIS系统关键操作日志（退费、大剂量药品修改、权限变更、海量数据导出），核查操作人与审批工单的一致性。每季度对全院临床工作站进行1次突击安全检查，重点核查U盘使用与屏保锁屏情况。8.2违规处罚与问责发现违规共享账号、绕过堡垒机直连数据库、插拔个人U盘等行为，首次对当事人全院通报批评并扣除当月绩效；第二次调离涉密岗位。因违规操作导致系统故障或数据泄露的，直接解除劳动合同；涉嫌违法的，移交司法机关。第三方供应商违规的，扣除当期服务费并列入黑名单。附件8.3附1：HIS账号权限申请表字段填写内容申请人姓名工号所属科室申请模块□门诊医生站□住院护士站□药房管理□财务作废□其他_____申请权限范围业务理由科室主任签字财务科长签字（涉及财务作废时必填）信息中心主任审批处理结果与账号执行人与执行时间8.4附2：系统应急联络通讯录角色姓名手机号码备用联系方式信息中心主任张某某138******院内短号：6100安全管理员李某某139******院内短号：6101系统管理员王某某137******院内短号：6102HIS供应商驻场赵某某136******微信：xxx_his分管副院长陈某某135******院内总机转80018.5附3：每日安全巡检SOP检查表检查项检查标准检查时间正常异常记录数据库备份状态