2026年电子病历备份管理办法

2026年电子病历备份管理办法一、总则与职责划分电子病历是医疗机构核心医疗数据资产，可靠备份是保障医疗连续性、满足合规要求、防范数据灭失风险的底线措施。本办法依据《中华人民共和国数据安全法》《中华人民共和国网络安全法》《医疗机构病历管理规定》《电子病历应用管理规范（试行）》《网络安全等级保护基本要求》（三级）制定，覆盖全院所有门急诊、住院、医技、体检场景产生的结构化与非结构化电子病历数据，含病程记录、医嘱、处方、检验检查报告、手术麻醉记录、知情同意书、医疗费用结算数据、审计日志。

各岗位职责明确如下，所有要求均落实到具体岗位与可考核动作：•分管信息化副院长：为电子病历备份管理第一责任人，每季度听取1次备份工作汇报，审批备份预算、灾备演练方案、一级数据故障处置决策，对数据安全事件负领导责任。•信息科：为备份工作执行主体，配置2名专职备份管理员（互为AB角），负责备份策略配置、日常巡检、恢复演练、介质管理，对备份作业有效性负直接责任。•医务科：负责审核备份数据范围的医疗合规性，数据恢复后组织临床科室核验病历内容完整性、医疗逻辑一致性，对恢复后的数据可用性负核验责任。•各临床/医技科室：指定1名数据联络员，负责本科室终端本地临时缓存病历的保管，发生数据异常时第一时间上报信息科，严禁私自删除、修改终端存储的病历数据。•第三方运维服务商：必须签订数据保密协议，所有涉及备份系统的操作必须由本院备份管理员全程陪同，严禁私自留存备份系统账号、拷贝备份数据，对操作引发的数据泄露、损坏负连带法律责任。二、备份数据分级与指标要求不是所有电子病历数据都采用相同备份策略，按数据重要性、恢复时效要求分级是平衡备份成本与安全冗余的核心前提。所有备份数据的恢复时间目标（RTO）、恢复点目标（RPO）必须满足以下量化要求，不得随意降低标准：数据分级涵盖范围RTO（最长恢复时长）RPO（最大数据丢失量）法定保存周期一级（核心诊疗数据）在院患者实时病程、医嘱、处方、检验检查结果、手术麻醉记录、急诊抢救记录、当日费用结算数据≤4小时≤15分钟住院病历≥30年，门急诊病历≥15年二级（支撑类数据）电子病历系统配置、用户权限、病历模板字典、操作审计日志、出院3天以上的归档病历≤24小时≤24小时审计日志≥6个月，其他同对应病历保存周期三级（冷归档数据）保存期超过15年的历史病历缩微件、系统升级前的全量历史快照、年度归档数据包≤72小时≤7天同法定病历保存周期以下数据不纳入常规备份范围：未提交的临时病程草稿（编辑时长<30分钟）、测试环境模拟数据、非官方插件生成的临时标注内容。三、备份策略与技术规范备份策略必须覆盖硬件故障、人为误操作、勒索病毒攻击、自然灾害四类核心风险，单一备份方式无法满足所有场景要求，严格执行3-2-1备份原则（3份数据副本、2种存储介质、1份异地离线副本），具体技术要求如下：1.本地实时备份（应对单设备故障、误操作、小规模病毒攻击）一级核心数据必须采用双活存储做实时同步，每15分钟生成1次增量快照（基于写时复制技术，仅捕获两次快照间的变化数据块，不占用全量存储空间），快照保留周期为7天——该策略可覆盖95%以上的人为误操作、小规模病毒加密场景，故障时可在10分钟内回滚至最近的正常时间点。

严禁仅靠磁盘阵列RAID冗余替代数据备份：RAID仅可防范单块物理硬盘故障，无法应对人为误删除、勒索病毒加密、存储控制器整体损坏等场景，据2024年医疗行业网络安全报告测算，仅配置RAID未做独立备份的医疗机构，发生数据全量丢失的概率是配置独立备份机构的27倍。2.本地定时备份（应对逻辑故障、大面积数据损坏）每日凌晨2:00-4:00（业务低峰期）执行全量+增量备份，备份数据存储在独立物理备份服务器，备份存储网络必须与生产业务网络做逻辑隔离，备份系统不直接对外开放访问端口，备份专用账号仅开放备份写入权限，默认关闭删除、修改权限——若备份网络与生产网无隔离，勒索病毒攻破生产系统后会横向移动加密所有备份数据，导致无数据可恢复，最终造成业务全面停摆（传播路径：终端感染病毒→横向扫描生产网段→获取存储访问权限→加密生产+备份数据）。

备份作业必须开启国密SM3哈希校验，每一份备份文件生成唯一校验值，防止备份数据被篡改。3.异地备份（应对机房级故障、区域自然灾害）优先选用距离本院直线距离≥50公里的同城灾备中心，通过专用加密链路每日凌晨同步前1天的全量备份数据，异地备份中心的管理员账号由院方备份管理员双人掌管，第三方厂商不得留存访问权限；若暂不具备同城灾备中心接入条件，可选用通过等保三级认证的境内加密对象存储，数据传输、存储全程采用国密SM4算法加密；严禁将任何电子病历备份数据存储在境外服务器。4.离线冷备份（应对勒索病毒攻击、极端场景兜底）每季度最后1个周日，将当季度的全量电子病历数据刻录至一次写入、不可擦除的WORM（写一次读多次）介质（优先选档案级蓝光光盘，备选LTO9以上规格WORM磁带）——该类介质无法被病毒篡改、删除，是应对勒索病毒的最后一道防线；严禁使用普通可擦写移动硬盘、U盘作为长期离线备份介质，该类介质年平均故障率≥12%，且易被病毒感染加密，仅可用于临时数据转存。

离线备份介质一式3份，分别存放于医院机要室（防火防磁保险柜）、同城异址档案室（距离本院≥5公里）、银行保管箱，介质存储环境需满足温度18-22℃、相对湿度40%-60%，远离强磁场、强辐射源。四、备份作业日常运维流程备份策略配置完成不等于备份有效，日常校验、权限管控、作业监控是避免“备份了但恢复不了”问题的核心环节，所有运维动作必须留痕可追溯：1.每日巡检要求备份管理员必须在每日8:30前完成前1天备份作业的巡检，检查内容包括：备份作业成功率、备份文件SM3校验值与生产端一致性、备份存储剩余容量、异地同步链路状态。若发现备份失败，必须在1小时内排查根因，24小时内完成补备，所有巡检结果填入《电子病历备份作业日常巡检表》（见附件1），由信息科主任每周抽查。2.定期校验与演练要求每月开展1次抽样恢复测试：随机抽取不少于10份最近7天的备份病历，实际操作恢复到测试环境，验证内容完整性、可读性，与生产端病历比对一致性——据行业测算，约18%的备份作业存在“备份成功但数据损坏无法读取”的问题，仅查看作业日志不做实际恢复测试，会在故障发生时才发现备份失效，造成不可逆损失。

每半年开展1次全量灾备演练：模拟生产机房整体宕机场景，从备份端拉起全套电子病历系统，验证RTO、RPO是否达标，演练完成后3个工作日内形成演练报告，上报分管副院长，对演练中发现的问题10个工作日内完成整改。

每半年对所有离线备份介质做1次可读性校验，发现无法读取的介质立即更换并重新刻录。3.权限与介质管理要求备份系统管理员账号实行双人双锁管控：1名管理员保管账号，另1名管理员保管密码，任何备份数据的提取、修改、恢复操作必须持《备份数据恢复审批单》（见附件2）双人同时到场操作，操作全程录屏，日志留存不少于6个月。

所有离线备份介质粘贴唯一识别标签，登记《离线备份介质登记台账》（见附件3），记录介质编号、刻录时间、数据范围、存放位置、校验记录；介质领用必须经信息科主任审批，登记领用人、领用用途、归还时间；报废介质必须做物理销毁（光盘破碎、磁带消磁后剪碎），严禁作为普通垃圾丢弃。五、异常分级处置与恢复流程数据故障场景下的慌乱操作往往会造成二次数据损坏，按分级响应流程处置是最大化降低损失的关键，响应等级、权限、处置原则如下：1.一级响应（核心数据大面积故障）◦判定标准：30%以上在院患者电子病历无法访问、生产存储被勒索病毒加密、机房整体断电/损毁、核心数据库损坏。◦启动权限：分管副院长，接到报告后15分钟内必须到位指挥。◦处置原则：第一时间断开受感染服务器的网络连接，严禁随意重启、格式化服务器、支付赎金；操作前先对故障存储做全量镜像备份，防止恢复操作造成二次损坏；优先从最近的未感染快照恢复数据，恢复完成后由医务科组织科室抽检不少于5%的在院患者病历，验证数据完整性、医嘱时间线逻辑正确后，方可重新接入业务网络；必须在RTO要求的4小时内恢复核心诊疗功能，事件处置完成后24小时内形成报告上报属地卫生健康行政部门。2.二级响应（局部数据故障）◦判定标准：单个科室/单时间段病历误删、数据库单表损坏、单个备份作业连续失败超过3天、局部终端中病毒影响病历访问。◦启动权限：信息科主任，接到报告后30分钟内到位。◦处置原则：从增量备份中提取对应数据块精准恢复，严禁直接用全量备份回滚覆盖其他正常数据；恢复完成后通知对应科室临床医护核对病历内容，24小时内完成全部处置，处置记录存档。3.三级响应（备份体系异常）◦判定标准：单张离线介质读取失败、异地备份同步中断、备份系统账号异常登录、备份存储容量剩余不足10%。◦启动权限：备份运维组长，接到报告后1小时内响应。◦处置原则：72小时内更换损坏介质、排查同步链路、冻结异常账号、扩容存储容量，补做对应周期的备份，不影响生产系统正常运行。所有故障处置完成后必须开展根因分析，制定针对性改进措施，避免同类问题重复发生。六、考核与责任追究备份管理的责任必须落实到具体岗位，无考核的制度等同于没有制度，考核结果与个人绩效、职称评定挂钩：•有下列情形之一的，扣发对应岗位责任人当月绩效的20%-50%，造成医疗纠纷、数据泄露、重大经济损失的，按规定给予行政处分，涉嫌违法的移送司法机关：1.未按要求开展每日巡检，连续3天以上备份失败未发现的；2.未按周期开展恢复测试、离线介质校验，导致故障发生时备份数据无法恢复的；3.私自出借备份介质、泄露备份系统账号、未经审批擅自操作备份系统的；4.故障处置中违规操作造成二次数据损坏的；5.未按要求存放备份介质，导致介质损坏、丢失、被窃取的。•年度备份作业成功率100%、灾备演练全部达标、未发生任何数据安全事件的运维团队，给予年度安全专项奖励，奖励金额按医院安全生产奖励标准执行。七、附则本办法的参数要求、流程规则根据国家法规更新、医院系统升级、风险事件复盘情况动态调整，每年度12月由信息科牵头开展1次适用性评估，确需修订的报分管院长审批后发布。本办法自2026年1月1日起施行，由医院信息科负责解释。附件1：电子病历备份作业日常巡检表巡检日期备份类型（实时/定时/异地/离线）作业成功率SM3校验值比对结果存储剩余容量异常情况描述处置措施巡检人签字附件2：备份数据恢复审批单申请科室申请人申请时间恢复原因□数据误删□系统故障□司法调证□其他：恢复数据范围（时间段、患者范围、数据类型）所用备份介质编号计划恢复时间医务科审批意见签字：日期：信息科审批意见签字：日期：恢复操作人恢复完成时间数据核验结果□完整可用□存在异常（说明：）核验人签字：日期：附件3：离线备份介质登记台账介质编号介质类型（蓝光/磁带）刻录时间数据覆盖时间段存放位置最近校验时间校验结果保管人附件4：备份故障应急联络表角色联系电话备勤要求分管信息化副院长138******7*24小