医院网络攻击应急处置指南

医院网络攻击应急处置指南标签：应急管理|网络安全|数据安全|高风险场景处置

日期：2026年10月一、常见问题诊断从公开医院网络安全应急预案文本看，常见问题集中在以下八个方面：序号常见写法导致的问题本指南的补法1只写“发现网络攻击后立即报告”，不写谁报告、向谁报告、报告什么信息科值班人员不知道该先关网络还是先报告，等找到领导汇报完，病毒已经从一台终端扩散到HIS服务器给出报告内容八要素模板和“先隔离、后报告”的处置优先级，明确最迟报告时限2把“网络攻击”当成单一场景，不区分勒索软件、数据泄露、DDoS攻击、APT渗透勒索软件需要紧急隔离和恢复备份，数据泄露需要溯源和告知患者，APT渗透需要隐蔽监测——三者处置逻辑完全不同按勒索软件攻击、患者数据泄露、拒绝服务攻击、高级持续性威胁四类分别设计差异化处置方案3只写“切换手工模式”，不写手工模式具体怎么操作收费窗口人员不知道手工挂号单长什么样，医生不知道处方怎么开，药房不知道怎么核对纸质医嘱，切换后现场一片混乱补充手工模式的操作清单：挂号单、处方笺、检验申请单、领药单的纸质模板和流转规则4不写数据备份的验证要求备份每天都在做，但真要用的时候发现备份文件也已被加密，或者备份数据是3个月前的补充备份验证机制：离线备份、异地备份、定期恢复演练的频次和验证标准5只写“报告公安机关”，不写报告时限和报告内容涉及关键信息基础设施的网络攻击，法律要求1小时内报告，但预案没有写明这个时限，导致迟报明确不同级别事件的报告时限和报告对象，给出报告内容八要素模板6不区分攻击对临床业务的影响程度HIS系统瘫痪和医院官网被篡改，响应级别一样，资源调配没有梯度按“一级（核心系统瘫痪）→二级（部分系统中断）→三级（非核心系统异常）”设三级响应7不写攻击溯源和证据保全要求应急处置完成后直接重装系统恢复运行，没有保全日志和攻击痕迹，无法追查攻击者，也无法满足监管调查要求补充证据保全清单和溯源分析流程8不区分医院规模社区卫生服务中心拿到三甲医院的预案，发现需要“态势感知平台”“双活数据中心”“7×24安全运营团队”，但中心可能只有1名兼职信息员提供标准版、简化版、微型版三套方案，每套根据该规模组织的信息系统架构、人员能力和预算条件重新设计常见预案只写“切换手工模式”，本指南补上了手工挂号、手工处方、手工检验申请的具体操作模板和流转规则。常见预案不写备份验证，本指南补上了“离线备份+异地备份+恢复演练”的三重验证机制。常见预案只给一套方案，本指南补上了三套规模适配方案，每套配独立案例和变量讨论。二、法规依据与核心参数2.1核心法规标准法规/标准编号/来源核心要求网络安全法2025年修正版确立网络安全等级保护制度和关键信息基础设施保护制度两大基石；2025年修正版进一步强化法律责任、大幅提高违规成本数据安全法2021年施行医疗行业已被明确纳入关键信息基础设施保护范畴，形成行政、民事、刑事“三元分层”追责体系个人信息保护法2021年施行医疗健康信息属敏感个人信息，处理需遵循严格原则医疗卫生机构网络安全管理办法国卫规划发〔2022〕29号重点保障关键信息基础设施、等保三级及以上网络以及重要数据和个人信息安全；落实“三化六防”措施；坚持“管业务就要管安全”原则医疗卫生机构数据安全和个人信息保护管理办法（试行）国卫规划发〔2026〕6号2026年2月14日五部委联合发布；数据分类分级保护；重要数据系统落实三级及以上等保；建立专项应急预案和应急处置制度国家网络安全事件报告管理办法2025年9月11日涉及关键信息基础设施的，最迟不得超过1小时报告；重大、特别重大事件保护工作部门最迟不得超过半小时上报医疗机构网络安全事件应急处置规范T/GDNS005-2023规定医疗机构网络安全事件的分类与分级、安全事件响应与处置、应急准备与重要时期强化安全措施信息安全技术网络安全等级保护定级指南GB/T22240-2020三甲医院HIS、EMR系统明确为三级保护对象《医疗卫生机构网络安全管理办法》要求各医疗卫生机构应成立网络安全和信息化工作领导小组，由单位主要负责人任领导小组长，每年至少召开一次网络安全办公会。办法强调落实网络安全保护“实战化、体系化、常态化”和“动态防御、主动防御、纵深防御、精准防护、整体防控、联防联控”的“三化六防”措施。2.2网络安全事件报告时限事件级别报告对象报告时限涉及关键信息基础设施的较大以上事件保护工作部门、公安机关最迟不超过1小时重大、特别重大事件国家网信部门、国务院公安部门（由保护工作部门上报）保护工作部门收到报告后最迟不超过半小时其他网络运营者较大以上事件属地省级网信部门最迟不超过4小时涉嫌违法犯罪公安机关及时报案数据来源：《国家网络安全事件报告管理办法》（2025年9月11日国家互联网信息办公室发布）。报告网络安全事件时，应当包括八项内容：涉事单位名称及系统基本情况；事件发现或发生的时间、地点、类型、级别，已造成的影响和危害，已采取的措施及效果（对勒索软件攻击事件，还应包括要求支付赎金的金额、方式、日期等）；事态发展趋势；原因初步分析意见；溯源调查工作线索（包括可能的攻击者信息、攻击路径、存在的漏洞等）；拟进一步采取的应对措施及请求支援事项；网络安全事件现场保护情况；其他应当报告的情况。2.3数据分类分级与保护要求数据级别保护要求日志留存核心数据四级等保或关键信息基础设施保护要求；优先使用商用密码、安全可信产品安全事件溯源日志不少于3年重要数据三级等保；年度风险评估并向省级卫健部门报送；提供、委托处理前需专项风险评估相关日志不少于3年一般数据按分类分级要求实施保护按相关规定数据来源：《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（国卫规划发〔2026〕6号）。不同级别数据同时被处理且难以分别采取保护措施的，按照其中级别最高的要求实施保护。不得通过邮箱、网盘、社交软件等传输核心数据、重要数据和敏感数据。三、应急组织与岗位职责医院网络攻击应急处置涉及“技术处置”和“业务保障”两条线。技术处置线负责隔离、溯源、修复和恢复，业务保障线负责手工模式切换、患者安抚和医疗安全保障。两条线必须在应急指挥部的统筹下同步启动。岗位担任人员核心职责决策权限应急总指挥院长或分管信息化副院长决定启动/终止预案、决定响应级别、决定是否请求外部支援全部应急决策技术处置指挥信息科主任指挥隔离、溯源、修复、数据恢复技术处置决策业务保障指挥医务科主任或分管副院长指挥手工模式切换、患者分流、医疗安全保障业务连续性决策技术处置组信息科工程师+外部技术支撑单位隔离受感染系统、排查攻击路径、修复漏洞、恢复数据技术操作执行业务保障组各科室护士长+收费窗口负责人启动手工模式、引导患者、安抚情绪手工模式执行信息报告组院办/信息科指定人员按规定时限向网信部门、公安机关和卫健部门报告信息报送秩序维护组保卫科人员维持现场秩序、防止数据被盗取现场秩序维护各医疗卫生机构应成立网络安全和信息化工作领导小组，由单位主要负责人任领导小组长，每年至少召开一次网络安全办公会，部署安全重点工作。有二级及以上网络的医疗卫生机构应明确负责网络安全管理工作的职能部门，明确承担安全主管、安全管理员等职责的岗位，建立网络安全管理制度体系，加强网络安全防护，强化应急处置。需要特别明确的一点：发生网络攻击后，业务保障线和医疗救治线必须同步启动，不能等技术处置完成后再考虑临床业务。从多家医院的实战演练看，技术团队隔离受攻击系统、启用备份服务器恢复关键业务的同时，医疗业务保障小组需迅速启动纸质病历和手工流程，保障急诊、重症等核心医疗工作的不间断运行。四、通用应急处置流程4.1从发现到恢复的全链条流程阶段时间节点责任岗位具体动作发现与初步判断攻击发生后立即发现人（信息科值班人员/科室工作人员）确认异常表现（系统无法登录/文件被加密/数据异常/网络流量异常），判断是否为网络攻击及攻击类型紧急隔离发现后5分钟内信息科技术人员立即将受感染设备从所有网络中断开（拔掉网线并禁用无线连接），切断病毒传播途径逐级报告发现后15分钟内信息科主任→分管副院长→院长报告八要素：涉事系统、事件时间、事件类型、影响范围、已采取措施、事态发展趋势、初步原因分析、请求支援事项启动应急响应接到报告后30分钟内应急总指挥根据事件级别宣布启动对应级别响应，通知各应急小组到位保护备份系统同步进行信息科技术人员检查备份数据是否也被入侵，将备份主机转为离线模式或移至物理隔离环境业务手工切换启动响应后各科室+收费窗口+药房启用信息系统故障应急包，切换至手工业务办理流程技术溯源与修复同步进行技术处置组+外部支撑单位排查攻击路径、清除病毒/木马、修复漏洞、更改所有密码数据恢复漏洞修复后信息科技术人员从离线备份中恢复数据，逐项核查数据库权限、端口配置、业务数据及患者隐私信息恢复上线数据恢复验证后信息科主任确认系统安全和数据完整性后，逐个恢复各系统上线对外报告处置完成后24小时内信息报告组按规定时限向网信部门、公安机关和卫健部门报告总结复盘处置结束后30日内应急管理办公室对事件发生原因、应急处置措施、造成的危害、责任追究、完善整改情况进行全面总结，形成事件处置总结报告4.2三级响应标准响应级别触发条件指挥权限资源调配一级响应HIS/EMR/LIS/PACS等核心业务系统全面瘫痪，或核心数据被加密/泄露，或涉及关键信息基础设施的重大事件院长全院动员，技术处置组全员到位，启动手工模式，同步向上级报告二级响应部分核心系统中断或性能严重异常，或重要数据疑似泄露，或攻击已扩散至多个系统分管副院长技术处置组全员到位，受影响科室启动手工模式，外部技术支撑单位到场三级响应非核心系统异常（如官网篡改、办公网络病毒），或单台终端感染未扩散信息科主任信息科自行处置，受影响科室局部启动手工模式4.3决策规则是否立即断开全院网络：满足以下任一条件时，立即断开全院网络——勒索病毒已在多个终端或服务器上发现加密行为；攻击者已获得核心系统管理员权限；核心业务系统（HIS/EMR）数据正在被批量导出或篡改。如果仅是单台终端感染且未发现横向扩散，可只断开该终端网络，不需要断网全院。是否切换至手工模式：HIS系统或收费系统无法在15分钟内恢复时，立即启动手工模式。手工模式启动后，各科室按照“医疗优先、手工兜底、数据可追”的原则运行。是否从备份恢复数据：确认以下条件后方可从备份恢复——攻击路径已阻断，漏洞已修复，备份数据完整且未被感染。恢复前必须对备份数据进行病毒扫描和完整性校验。是否向患者告知数据泄露：当确认患者个人信息或诊疗数据泄露时，应在72小时内通过短信、电话或公告等方式告知受影响患者。告知内容包括：泄露的数据类型、可能造成的后果、已采取的补救措施、患者可以采取的保护措施。五、分攻击类型处置方案5.1勒索软件攻击危险性：勒索软件是医院面临的最严重网络威胁。攻击者加密医院核心业务系统数据，导致HIS、EMR、LIS、PACS等系统全面瘫痪，医院被迫暂停门诊和择期手术。2025年5月，Interlock勒索软件加密了美国KetteringHealth旗下14家医院，到2026年2月确认受影响人数达138万余人。2025年7月，Rhysida勒索软件攻击美国Cookeville医疗中心，影响33.7万余名患者，勒索赎金10个比特币（当时约115万美元）。谁来决策：技术处置指挥决定是否断开网络和启动数据恢复。应急总指挥决定是否启动一级响应和是否向上级报告。决策依据：决策事项可观察、可验证的判定标准是否立即断开全院网络多个终端或服务器上同时出现文件加密行为，或勒索信息弹窗是否立即切换手工模式HIS系统或收费系统15分钟内无法恢复是否从备份恢复攻击路径已阻断、漏洞已修复、备份数据经校验完整且未被感染是否支付赎金不支付。公安机关和网信部门均不建议支付赎金，且支付后未必能恢复数据操作步骤：勒索病毒攻击的应急处置分为三个关键阶段。第一阶段：立即应对（最初1~2小时）。发现勒索病毒后，第一时间将受感染设备从所有网络中完全断开——拔掉网络线并禁用无线连接和蓝牙。技术人员迅速隔离受感染服务器，切断病毒传播途径，防止病毒向HIS、LIS等核心医疗系统扩散。同步启动业务手工切换，医疗业务保障小组启动纸质病历和手工流程，保障急诊、重症等核心医疗工作的不间断运行。第二阶段：遏制与诊断（最初24小时）。技术处置组协同外部技术支撑单位制定系统恢复方案并开展溯源排查。排查内容包括：攻击入口（钓鱼邮件/漏洞利用/弱口令）、横向移动路径、受影响的系统范围、数据是否被窃取。同步检查备份数据是否也被入侵，将备份主机转为离线模式或移至物理隔离环境。第三阶段：恢复与重建（接下来72小时+）。在确认攻击路径已阻断、漏洞已修复后，从离线备份中恢复数据。恢复优先级为：HIS核心数据库→EMR电子病历→LIS检验系统→PACS影像系统→其他辅助系统。恢复后逐项核查数据库权限、端口配置、业务数据及患者隐私信息，全面排查传输安全隐患。各科室在系统恢复后立即开展诊疗数据补录工作，确保医疗数据完整准确。如果操作失败怎么办：如果备份数据也被加密或损坏，联系专业数据恢复机构尝试恢复。如果无法恢复，从纸质记录中补录关键诊疗数据。如果攻击者声称已窃取患者数据并威胁公开，立即报告公安机关和网信部门，同时评估是否需要告知受影响患者。矛盾权衡：立即断开全院网络可以阻止病毒扩散，但会导致所有依赖网络的系统同步中断，包括正在进行的远程会诊和正在传输的检验结果。不断开则病毒可能继续扩散，造成更大损失。建议以“病毒扩散速度”为决策锚点——如果已确认病毒正在横向扩散（多个终端同时出现加密），立即断开全院网络；如果仅是单台终端感染且已隔离，保持其他系统正常运行，加强监测。5.2患者数据泄露危险性：患者数据泄露包括黑客入侵窃取数据、内部人员违规导出数据、第三方服务商数据泄露等情形。医疗数据具有敏感个人信息、数据要素、特殊公共数据三重复合属性，一旦泄露，侵害后果具有不可逆性。谁来决策：技术处置指挥决定是否断开受影响系统。信息报告组决定是否向监管部门和患者告知。应急总指挥决定是否请求外部技术支援。决策依据：决策事项判定标准是否断开受影响系统确认数据正在被批量导出或传输是否需要告知患者确认患者个人信息或诊疗数据泄露是否需要报告监管部门涉及重要数据或达到一定规模的个人信息泄露操作步骤：发现数据泄露后，技术人员第一时间隔离受影响系统，切断数据传输通道。同步保全系统日志、网络流量记录、数据库访问记录等证据。溯源排查内容包括：数据泄露的入口（外部攻击/内部违规/第三方泄露）、泄露的数据类型和数量、泄露的时间范围。如果确认数据已被窃取，信息报告组应在规定时限内向网信部门和公安机关报告。涉及重要数据泄露的，应同步向省级卫健部门报告。达到告知条件的，应在72小时内通过短信、电话或公告方式告知受影响患者。如果操作失败怎么办：如果无法确认泄露范围，扩大排查范围至所有可能涉及的系统。如果泄露数据已在暗网公开，联系网信部门和公安机关协调处置，同时评估是否需要为受影响患者提供身份盗用保护服务。5.3拒绝服务攻击危险性：DDoS攻击导致医院官网、预约挂号平台、互联网医院等对外服务无法访问。虽然不直接导致核心业务系统瘫痪，但影响患者预约挂号和在线服务，同时可能作为掩护其他攻击的烟雾弹。操作步骤：确认DDoS攻击后，信息科联系网络服务提供商启动流量清洗。如果攻击流量超过清洗能力，临时关闭受影响服务，通过公告告知患者改用其他渠道（如电话预约）。同步排查是否有其他系统同时遭受攻击，DDoS可能只是掩护。与勒索软件的差异化：DDoS攻击不涉及数据加密和窃取，核心业务系统（HIS/EMR）通常不受影响。处置重点是恢复对外服务的可用性，同时排查是否为复合攻击。5.4高级持续性威胁危险性：APT攻击的特点是隐蔽性强、持续时间长、目标明确。攻击者可能已潜伏数周甚至数月，持续窃取数据或等待时机发动更大规模攻击。操作步骤：发现APT攻击迹象后，不急于断开网络（以免打草惊蛇），应先进行隐蔽监测，记录攻击者的活动轨迹和使用的工具。同时联系专业安全厂商进行深度取证分析。在掌握足够信息后，选择合适的时机切断攻击通道、清除后门。矛盾权衡：立即阻断可以终止数据窃取，但可能无法追踪攻击者的完整攻击链和幕后来源。持续监测可以收集更多证据，但数据可能继续泄露。建议以“数据泄露严重程度”为判断锚点——如果泄露的是核心数据或大规模患者信息，立即阻断；如果泄露量较小且可控，在专业安全团队指导下进行有限度的监测取证。六、高风险场景专项处置方案6.1HIS系统瘫痪下的手工模式运行高风险说明：HIS系统是医院最核心的业务系统，覆盖挂号、就诊、开方、收费、发药等全流程。HIS系统瘫痪后，全院门诊和住院业务必须切换至手工模式。谁来决策：业务保障指挥决定是否启动全院手工模式。各科室负责人负责本科室手工模式的执行。操作步骤：从多家医院的实战演练经验看，手工模式需要覆盖以下关键环节：门诊挂号：导诊台规范填写应急挂号单，内容包括患者姓名、性别、年龄、联系方式、就诊科室。挂号单编号采用“手工-日期-序号”格式。收费窗口迅速切换至手工挂号模式，按标准收取挂号费并开具纸质收据。诊室就诊：接诊医生手工开具诊疗单据，包括手写处方、手写检验申请单、手写检查申请单。处方上需注明患者姓名、药品名称、规格、数量、用法用量、开方医生签名。检验检查：检验科实行手工登记，接收纸质检验申请单后手工编号，检测完成后手工出具纸质报告。检查报告需经双人核对后发放。药房取药：药房工作人员仔细核对纸质医嘱和处方，手工配药后登记发药记录。麻醉药品和第一类精神药品的发放需双人核对签字。住院管理：住院部手工记录患者入出院信息、医嘱变更、护理记录。手术室手工记录手术安排和手术安全核查表。数据补录：系统恢复后，各科室按照“医疗优先、手工兜底、数据可追”的原则，逐项核对患者信息、检验检查项目、费用明细和纸质报告，将手工流程数据规范迁移回系统，确保不漏一人。6.2手术室/ICU系统中断高风险说明：手术室和ICU可能依赖电子病历系统调阅患者信息、查看检验结果和影像资料。系统中断后，医护人员无法通过信息系统获取关键诊疗数据。谁来决策：麻醉医师和ICU值班三线医师决定是否继续手术/维持治疗。如果系统中断影响关键决策数据获取，由医务科协调纸质病历调阅。操作步骤：手术室和ICU在信息系统中断后，立即改为纸质记录。术前确认患者身份和手术部位时，使用纸质手术安全核查表。术中麻醉记录、护理记录使用纸质模板。如果术前需要调阅患者既往病历或影像资料，联系病案室紧急调取纸质病历。ICU的监护设备（呼吸机、监护仪）通常不依赖HIS网络，可继续运行。但如果医嘱系统中断，用药和输液需要改为手工开具和执行。如果操作失败怎么办：如果手术中需要的关键检验结果无法获取（如血气分析），联系检验科使用备用设备完成检测并电话报告结果。如果影像资料无法调阅，评估是否可以推迟非急诊手术。七、三套规模适配方案7.1标准版（三级医院/大型综合医院）适用床位>500张，有独立的信息科（≥10人），核心系统通过等保三级测评，配备双活数据中心或容灾备份系统，有7×24小时安全运营团队或外部安全服务。核心配置：落实网络安全等级保护第三级要求，每年至少一次委托等级保护测评机构开展网络安全等级测评。建立态势感知平台，及时收集、汇总、分析网络安全信息，并与国家及行业平台对接。核心数据库采用主备部署模式实现数据实时同步，关键数据RPO（恢复点目标）≤15分钟，RTO（恢复时间目标）≤15分钟。每半年至少开展1次网络安全应急演练，演练场景应涵盖勒索软件攻击和HIS系统瘫痪。应急指挥：由院长任总指挥，信息科主任任技术处置指挥，医务科主任任业务保障指挥。应急组织体系应包含信息科、医务科、护理部、门诊办、药剂科、财务科、保卫科等部门，保持有效沟通并定期组织联合演练。7.2简化版（二级医院/中小型医院）适用床位100~500张，信息科人员较少（2~5人），核心系统通过等保二级或三级测评，有基础的备份系统。核心配置：核心系统至少通过等保三级测评，每年至少一次等级测评。建立每日离线备份机制（备份数据与生产系统物理隔离），定期开展备份恢复验证。每年至少开展1次网络安全应急演练。与外部网络安全服务商签订应急支撑协议，确保发生重大安全事件时能在2小时内获得远程或现场支援。与标准版的差异：简化版不具备态势感知平台和双活数据中心，安全监测主要依靠基础的安全设备和人工巡检。数据恢复时间可能较长（RTO2~4小时），因此手工模式的持续时间可能更长，各科室需要准备更充足的手工表单。应急响应的一级响应触发条件中，系统中断时间阈值可适当降低。7.3微型版（社区卫生服务中心/诊所/10人以下机构）适用无独立信息科（由1名兼职信息员负责），信息系统可能为区域统建或使用云HIS，员工不超过10人。核心配置：使用区域统建信息系统的，网络安全由上级平台统一保障，微型机构负责终端安全（防病毒软件更新、密码管理）。使用云HIS的，与云服务商确认数据备份和安全责任划分。建立手工操作最低保障清单：手工挂号单、手工处方笺、手工收费收据各储备100份。与标准版的差异：微型版的核心策略是“早发现、早报告、早切换手工”。发现系统异常后，立即联系区域平台运维方或云服务商，同时启动手工模式。微型机构不自行进行技术处置，因为人员能力不足，盲目操作可能导致数据丢失。如果系统中断超过4小时，联系上级医院或区域平台确认恢复时间，必要时引导患者转诊。八、完整案例8.1标准版案例：三级医院勒索软件攻击（含不顺利环节）某三级综合医院，床位800张，HIS、EMR、LIS、PACS等核心系统通过等保三级测评，有离线备份和异地容灾系统。某工作日下午14:00，门诊收费处工作人员发现收费系统无法登录，系统提示“数据库连接失败”。14:00，收费处工作人员立即电话报告信息科。信息科值班人员远程检查发现HIS数据库服务器响应异常。14:05，信息科技术人员到达机房，发现HIS数据库服务器和EMR应用服务器上出现了大量被加密的文件，文件扩展名被修改为“.lockbit”，桌面上出现勒索信息弹窗，要求支付比特币赎金。14:08，信息科主任评估事件为一级信息系统突发事件，立即报告分管副院长和院长。院长指示启动一级应急响应。14:10，技术处置组迅速隔离受感染服务器，拔掉网络线，切断病毒传播途径。同步检查备份系统——确认离线备份数据完整，备份主机处于物理隔离状态，未被感染。不顺利环节一：技术人员检查发现，虽然HIS和EMR服务器已被隔离，但勒索病毒已通过内网横向移动感染了LIS服务器的文件共享目录。LIS系统暂时无法使用。这意味着检验科无法通过系统接收检验申请和出具报告。应对方式：技术处置组立即断开LIS服务器网络，同时对全院网络进行分段隔离，阻止病毒进一步扩散。业务保障组同步通知检验科启动手工流程——手工接收检验申请单，使用备用设备完成检测后手工出具纸质报告。14:15，业务保障组通过钉钉、电话等渠道紧急通知各科室启用纸质化手工流程。门诊、急诊、药房、检验、放射等关键业务部门有序启动应急预案。不顺利环节二：手工模式启动后，门诊大厅出现患者排队拥堵。部分患者不理解为什么不能使用手机支付、不能在线查询报告，情绪焦躁。收费窗口的手工挂号速度比系统挂号慢约3倍，排队人数快速增加。应对方式：门诊办增派导诊人员到大厅引导患者，耐心解释系统故障情况。财务科增开2个手工收费窗口。信息科通过医院公众号和门诊广播发布公告，告知患者系统故障正在紧急修复，建议非急诊患者择期就诊。保卫科增派人员维持排队秩序，为老年患者和行动不便者提供优先服务。14:30，外部技术支撑单位到达现场，协助溯源排查。经排查，攻击入口为一名医生点击了伪装成“学术会议邀请函”的钓鱼邮件，导致终端被植入勒索病毒。16:00，技术处置组完成受影响服务器的系统重装和漏洞修复。开始从离线备份中恢复数据。恢复顺序为：HIS核心数据库→EMR→LIS→PACS。不顺利环节三：在数据恢复过程中，技术人员发现HIS数据库中部分当日的门诊挂号数据未包含在最后一次离线备份中（离线备份为每日凌晨2:00执行）。这意味着当日凌晨2:00至14:00之间的挂号数据可能丢失。应对方式：收费处提供手工挂号单的存根，信息科根据手工挂号单补录当日挂号数据。护理部提供手工护理记录，医生提供手写处方存根，逐项补录诊疗数据。18:00，HIS和EMR系统数据恢复完成，系统上线运行。各科室开始手工数据补录。20:00，LIS和PACS系统恢复。检验科和放射科开始补录手工报告数据。次日02:00，全部系统恢复运行，数据补录完成。次日08:00，信息报告组按规定向属地网信部门、公安机关和卫健部门报告事件情况。关键变量讨论：关键变量案例中的情形如果变量不同处置方式变化离线备份状态离线备份数据完整，未被感染如果离线备份也被加密需要联系专业数据恢复机构，恢复时间可能从4小时延长至数天。如果完全无法恢复，需要从纸质记录重建数据病毒横向扩散范围扩散至LIS服务器如果扩散至PACS和更多系统断网范围需要扩大，手工模式覆盖的科室更多，业务保障压力更大攻击时间工作日下午（门诊高峰）如果发生在夜间手工模式压力较小，但值守人员少，发现和响应时间可能更长这个案例的不顺利环节在于：病毒横向扩散至LIS服务器、手工模式导致门诊拥堵、离线备份存在数据缺口。这三个环节在真实的勒索软件攻击中都很常见。预案中应明确：离线备份频次应根据业务量确定，核心系统建议每4~6小时执行一次增量备份；手工模式启动后应有专人负责患者引导和情绪安抚；数据恢复后必须核对手工记录和系统数据的差异。8.2简化版案例：二级医院数据泄露事件某二级医院，床位200张，信息科3人。某日，信息科在日常安全巡检中发现，HIS数据库的审计日志显示有一组异常的批量查询记录——某IP地址在凌晨2:00~4:00之间连续查询了约5000条患者信息，包含姓名、身份证号、诊断结果。信息科立即排查该IP地址，确认为医院内部一台办公电脑。进一步调查发现，该电脑为一名已离职员工的账号仍在使用。经与该员工联系，确认其已将账号借给前同事使用。信息科立即禁用该账号，隔离涉事电脑，保全查询日志和电脑取证数据。经评估，泄露的患者信息约5000条，未涉及核心数据。信息报告组在规定时限内向属地卫健部门报告。医院随后对全院离职员工账号进行全面清理，建立了“离职即禁用”的账号管理流程。关键变量讨论：关键变量案例中的情形如果变量不同处置方式变化泄露数据规模约5000条患者信息如果超过10万条可能构成重要数据泄露，需要向省级卫健部门报告，并在72小时内告知受影响患者泄露渠道内部账号被盗用如果是外部黑客入侵需要同时排查系统漏洞，可能需要断开受影响系统8.3微型版案例：社区卫生服务中心网络中断某社区卫生服务中心，员工8人，使用区域统建的云HIS系统，由1名兼职信息员负责终端维护。某日上午，兼职信息员发现云HIS系统无法登录，页面显示“服务暂时不可用”。信息员立即联系区域平台运维方，确认是平台方服务器故障，预计恢复时间约2小时。中心负责人决定启动手工模式。导诊台使用储备的手工挂号单为患者挂号，全科医生手写处方，药房手工核对配药。由于就诊量不大（上午约20名患者），手工模式运行顺利。2小时后，云HIS系统恢复，兼职信息员协助各科室将手工数据补录回系统。关键变量讨论：关键变量案例中的情形如果变量不同处置方式变化故障持续时间2小时如果超过4小时需要电话通知已预约患者改期，减少现场等候人数是否有急诊患者无如果有需要紧急检验的患者联系上级医院协助完成检验，或使用快速检测设备就地检测九、证据链与台账管理网络安全事件需要记录以下证据：证据类型记录内容责任人保存期限事件报告表事件时间、事件类型、影响范围、已采取措施、恢复时间信息科长期系统日志系统访问日志、数据库操作日志、网络流量日志信息科核心数据和重要数据日志不少于3年攻击痕迹保全记录恶意文件样本、勒索信息截图、攻击路径分析报告信息科+外部安全服务商长期手工模式记录手工挂号单存根、手写处方存根、手工检验报告各科室3年数据补录记录补录时间、补录内容、核对人各科室+信息科3年对外报告记录报告时间、报告对象、报告内容信息报告组长期备份恢复验证记录备份时间、备份数据完整性校验结果、恢复演练记录信息科3年应急演练记录演练时间、参与人员、发现问题、整改措施信息科3年证据保全的关键要求：发生网络攻击后，在隔离受感染系统的同时，必须保全以下证据——系统日志（至少保留最近6个月的日志）、网络流量记录、数据库访问记录、恶意文件样本、勒索信息截图。这些证据是后续溯源分析和配合公安机关调查的关键依据。在未完成证据保全前，不要格式化硬盘或重装系统。根因分析表的作用：每起网络安全事件都应在30日内完成根因分析。根因分析需要回答三个问题：直接原因是什么（如钓鱼邮件、弱口令、未修补的漏洞）；根本原因是什么（如安全培训不足、账号管理混乱、补丁管理缺失）；整改措施是什么（如加强钓鱼邮件识别培训、建立离职账号即时禁用制度、建立补丁定期更新机制）。整改措施应明确责任人和完成时限。十、数据来源与时效说明序号引用来源发布时间引用内容建议验证事项1《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29号）2022年成立网络安全和信息化工作领导小组；落实等保制度；三化六防措施确认本院是否已成立网络安全和信息化工作领导小组，是否每年至少召开一次网络安全办公会2《医疗卫生机构数