2026年患者信息安全管理三基年度培训方案

2026年患者信息安全管理三基年度培训方案一、总则与培训目标本方案在《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国基本医疗卫生与健康促进法》《信息安全技术健康医疗数据安全指南》（GB/T39725-2020）及《国家健康医疗大数据标准、安全和服务管理办法（试行）》框架下制定，适用于全院各科室（含临床、医技、行政、后勤及外包服务人员）的患者信息安全管理工作。1.1总体要求培训按照“三基”（基础理论、基本知识、基本技能）框架组织实施，覆盖患者信息从采集、存储、使用、传输到销毁的全生命周期，通过年度系统化培训，使全体职工掌握患者信息安全的法律底线、管理规范与操作技能，形成“人人有责、人人知责、人人履责”的患者信息安全文化。1.2年度量化目标（可考核）•全员培训覆盖率100%，参考率100%，考核合格率≥95%•临床科室信息安全员培训考核合格率100%•新入职职工岗前培训中信息安全课程学时≥4学时，考核不合格者不得独立上岗•年度内发生可归因于“培训不到位”的患者信息泄露事件0起•科室季度自查完成率100%，信息科季度巡查覆盖率100%1.3适用范围凡涉及患者信息的一切机构与个人均适用本方案，包括：医院全体在编及聘用职工、进修人员、规培生、实习生、志愿者，以及驻场运维、保洁、保安、护工等第三方服务人员。外包人员的培训由其主管部门（总务科、保卫科、信息科）负责组织，培训要求与考核标准同院内职工一致。二、培训对象、组织架构与职责分工本培训采用分层分级组织模式。决策层重在定责、骨干层重在精技、执行层重在守规、新进人员重在入门——四层对象的知识需求与考核权重各不相同，同一课程表无法覆盖全部需求。2.1培训对象分层层次对象培训重点年度学时要求决策管理层院领导、信息安全管理委员会成员法律法规责任、合规决策、资源保障≥4骨干层各科室信息安全员、信息科技术人员技术防护措施、事件研判、应急处置≥24执行层全体医护人员、行政人员操作规范、密码管理、数据脱敏、事件报告≥8新进与流动层新入职职工、规培生、实习生、外包人员入门级应知应会、岗位红线≥4（入职后1个月内）2.2组织机构成立“患者信息安全管理培训工作专班”，组成如下：•组长：分管信息化工作的副院长•副组长：信息科主任、医务科主任、护理部主任•成员：人事科主任、质控科主任、保卫科主任、各科室信息安全员•专班办公室：设在信息科，负责日常培训组织、档案管理、考核统计与效果评估2.3职责分工（责任到岗）责任主体职责内容考核时点信息科制定培训计划与课程大纲；组织骨干层专项培训；建立培训档案；组织年度考核；每季度向专班书面报告培训进度每季度末、12月底医务科负责临床医师的培训组织与考核结果运用（与医师定期考核挂钩）12月底护理部负责护理人员的培训组织与考核结果运用12月底人事科将信息安全培训纳入新职工岗前培训必修模块；提供人员名单与调动信息按月更新保卫科负责外包安保人员培训；配合应急处置演练的安保勤务按演练计划总务科负责保洁、护工等外包服务人员培训；督促外包公司落实培训义务每半年1次科室信息安全员组织本科室季度培训与自查；监督科内人员操作系统权限使用；协助事件调查每季度、即时纪检监察室监督培训纪律、考核公正性及泄密事件的问责落实持续三、三基培训内容体系培训内容按“基础理论—基本知识—基本技能”三基架构展开。基础理论解决“为什么要做”，基本知识解决“要做什么”，基本技能解决“怎么做对”；三级递进，先懂法、再明规、后练手。3.1基础理论（必修）课程模块主要内容学时适用对象法律法规与责任《个人信息保护法》核心条款：知情同意、最小必要、目的限制；《数据安全法》数据分类分级；《民法典》隐私权与个人信息保护；《刑法》侵犯公民个人信息罪立案标准（50条以上即可能入刑）；《医师法》患者隐私保密义务；医疗机构相关行政处罚案例通报2全员患者信息范畴界定患者身份信息（姓名、身份证号、联系方式、住址）、健康信息（病史、诊断、医嘱、检验检查结果、手术记录、护理记录）、费用信息（医保账号、支付信息）、生物识别信息（指纹、人脸、基因数据）、唯一标识（住院号、病案号、社保卡号）——以上信息无论电子或纸质形式均属保护范围1全员典型泄密案例警示案例一：某院医生将含患者姓名、诊断的Excel明细表通过微信工作群发送后被转发至外部群，导致48名患者信息泄露，该医生被暂停执业6个月；案例二：某院护士利用职务之便查询名人就诊记录拍照外传，被处以行政拘留并吊销执业证书；案例三：某院信息科人员违规导出全量病案数据备份至个人U盘丢失，医院被卫健委通报并罚款。以上为行业公开通报的典型教训，各科室须结合本科室业务场景组织讨论1全员3.2基本知识（必修）课程模块主要内容学时适用对象患者信息安全管理制度《患者信息安全管理办法（2026版）》要点；《信息分类分级管理规定（2026版）》；《数据导出与拷贝审批制度》；《外部人员访问审批制度》；《患者信息泄露事件应急预案（2026版）》2全员患者信息分类分级1级（可识别个人身份的健康数据，加密存储）；2级（去标识化后的健康数据，授权访问）；3级（匿名化数据，可在审批后用于统计科研）。每个科室须识别本科室日常处理的患者数据类型与级别1全员各岗位操作权限与红线医嘱录入权限：仅限经治医师及其上级；病历调阅权限：仅限本科室诊疗必需，跨科调阅须经医务科审批；检验报告查看：仅限申请医师及授权护士；出院病历归档后调阅按病案管理规定执行；员工离职或转岗后24小时内由信息科注销或调整账号权限；严禁使用他人账号、严禁共享密码，违者按D级事件处理2全员数据导出与传输规范患者信息导出必须履行审批手续（导出内容、字段范围、用途、责任人、导出时间），严禁个人擅自导出；经审批后的导出数据必须加密存储（加密压缩包加密码），用后限期删除；向院外传输患者数据须经信息安全管理委员会审批并签订保密协议；患者信息原则上禁止通过互联网邮箱、网盘、即时通讯工具传输1全员，重点为临床医技科室生物样本与纸质病历管理涉及基因数据的生物样本外送检测须签订数据保密条款；纸质病历、检查申请单、报告单不得带离医院；废弃的纸质含患者信息资料须用碎纸机销毁，不得直接丢弃1临床医技科室3.3基本技能（必修+实操考核）课程模块主要内容学时适用对象账号与密码安全操作密码设置规则（≥10位，含大小写字母+数字+特殊字符）；每90天更换1次；严禁张贴密码于办公位；首次登录必须修改初始密码；启用双因素认证的岗位范围及操作流程2全员工作站安全操作离开工位必须锁屏（快捷键Win+L或设置自动锁屏≤3分钟）；严禁在工位电脑安装未经许可的软件；严禁私接路由器、交换机、无线网卡；发现USB设备插入时须先行病毒扫描；下班后未使用的工作站必须关机2全员，实操考核患者信息脱敏处理培训考核合格后才可进行脱敏操作。脱敏规则：姓名脱敏为“张某某”；身份证号保留前6位与后4位，中间以*代替（共遮挡8位）；手机号保留前3位与后4位，中间以*代替（共遮挡4位）；住院号/病案号完全遮挡；诊断信息按最小必要原则摘录，禁止复制既往全部病史。用于科研或教学时，任何可据此反推患者身份的组合字段（如“科室+罕见病种+入院日期”）同样必须脱敏2全员，实操考核安全事件识别与报告识别可疑邮件（伪造发件人地址、带宏文档、链接拼写异常）；识别钓鱼网页；发现患者信息泄露征兆（如账号异地登录、批量导出异常、打印机持续输出异常）时的处置流程；院内事件上报电话与途径1全员考核机操作演练在模拟系统中完成患者信息检索、脱敏导出、安全传输、日志查证四项操作，由信息科人员现场评分2骨干层3.4骨干层附加课程（信息安全员及信息科人员必修）课程模块主要内容学时网络安全防护技术基础防火墙策略配置；入侵检测告警研判；终端安全管理；日志审计要点6数据备份与恢复备份策略（每日增量＋每周全量）；异地备份要求；恢复演练（每半年1次，RTO≤4小时，RPO≤24小时）4安全事件调查与取证日志关联分析；最小化取证原则；证据保全与司法衔接4应急演练组织方法演练方案编制、情景构建、角色分配、复盘方法2四、培训方式与年度课程计划培训采用“线上自学+线下集训+实操演练+考核激励”四位一体模式。线上课程解决覆盖率和可追溯问题，线下集训解决实操能力问题，演练解决应急响应能力问题。4.1培训方式•线上学习平台：使用院内OA培训模块或学习强院平台，上传三分屏课件、动画微课（每节≤15分钟）、题库练习•线下集中授课：每季度组织1次全员大课（2学时），由院内外专家主讲•科室晨会微培训：每次10分钟，由科室信息安全员主讲，每季度至少4次•实操工作坊：每半年1次，分批进行，每批≤30人，在模拟系统上操作•应急演练：每半年1次全院范围的演练或桌面推演•新职工入职培训：每月1期（结合当月入职人数），含理论考试与操作演练4.2年度培训课程总表（2026年）时间培训主题对象形式责任科室1月中旬年度启动暨法律法规更新解读全员线上+线下大课信息科2月患者信息分类分级实施细则全员线上微课+科室讨论信息科3月典型泄密案例警示教育全员科室晨会+案例讨论医务科、护理部4月账号权限与密码安全专项全员线上+实操抽查信息科5月数据导出审批与脱敏操作规范临床医技科室线下工作坊信息科、医务科6月年度中期理论考核；应急处置演练（上半年）全员闭卷机考+桌面推演专班7月工作站安全与终端防护全员线上+实操考核信息科8月外包服务人员信息安全专项培训保洁、保安、护工、运维人员线下授课+考核总务科、保卫科9月网络安全意识月（钓鱼邮件演练）全员模拟钓鱼邮件测试信息科10月科研数据使用与脱敏专项科研人员、研究生线下授课+实操科教科、信息科11月应急处置演练（下半年）骨干层及部分科室实战演练专班12月年度总结考核与评优全员闭卷机考+操作考核专班4.3学时与学分管理•全员每人年度完成信息安全培训≥8学时（含线上与线下），骨干层≥24学时•线上课程须完成全部视频观看及课后练习题，系统自动记录学习时长•每季度末由信息科发布未完成人员名单，由人事科列入下月考勤通报五、考核评价体系本章按“理论+实操+行为+演练”四维设计考核，其中理论考核检验记忆层面、实操考核检验动手层面、日常行为检查检验真实执行层面、演练评价检验应急联动层面。四维权重按对象分层设定。5.1考核形式与权重考核维度占比（全员）占比（骨干层）考核方式合格标准理论考试40%25%闭卷机考，从题库随机抽题50题（单选30题+多选10题+判断10题），题库≥200题，每年更新≥20%100分制，≥80分合格实操考核30%25%模拟系统完成指定操作，由考核员按评分表现场评分每个操作点无致命错误，总分≥85分日常行为考核20%25%信息科日常巡检、科室自查记录、钓鱼邮件测试结果每季度1次评估，≥85分应急演练评价10%25%按演练评分表对各岗位响应速度和处置规范性评分各岗位基础项全部完成5.2理论考试安排•时间：6月第三周、12月第二周（含补考，补考在首考后1周内进行）•地点：计算机中心机房（分6批进行，每批60人）•监考：信息科2人+纪检监察室1人•成绩管理：考试成绩记入个人培训档案，不合格者补考1次；补考不合格者需参加1个月后强化班学习并再考，直至通过•结果运用：考核结果与年度评优、科室绩效考核挂钩；骨干层考核不合格者暂停科室信息安全员资格，由信息科重新培训考核5.3实操考核内容与评分要点考核项目操作要求评分要点数据脱敏就地完成病历导出前的脱敏处理姓名、身份证号、手机号遮挡规则正确各20分；组合字段识别正确15分；完整性保留15分；操作时间10分钟以上5分；其余10分加密压缩与传输将脱敏后数据按规范加密打包并按审批路径传输加密算法与密码强度30分；审批手续齐全25分；传输路径正确20分；用后清理登记15分；操作规范性10分打印与废弃处理模拟打印患者报告单后正确处置废弃件分拣正确30分（含错印件）；碎纸机使用规范30分；台账登记完整40分工作站锁屏现场检查锁屏设置与习惯自动锁屏≤3分钟50分；抽查时已锁屏50分5.4日常行为考核•信息科每月对各科室进行1次抽查，检查项包括：工位是否张贴密码、离岗是否锁屏、打印错件是否规范销毁、移动介质使用是否登记•每季度开展1次模拟钓鱼邮件测试：向全员发送模拟钓鱼邮件，在72小时内未点击链接者为通过；点击链接者须参加1学时强化培训并补测•日常行为考核结果纳入科室月度质控通报5.5培训档案管理•信息科建立全员培训电子档案，包括：基础信息（科室、岗位、职级）、培训记录（课程名称、学时、时间、形式）、考核记录（成绩、补考记录）、演练参与记录、奖惩记录•档案保存期限：在职期间全程保存，离职后病案管理人员、信息科人员档案延长保存5年，其余人员保存3年•档案调阅须经信息科主任批准，任何人不得涂改、隐匿、伪造培训档案六、应急处置实战演练患者信息安全事件一旦发生，应急处置的速度与规范程度往往在最初2小时内决定事态走向。演练的目的不在于表演流程，而在于训练每一位职工在压力场景下的“肌肉记忆”。6.1演练类型与频次演练类型频次形式参演范围桌面推演每半年1次以情景问答推进，参演者按预案逐环节口头决策专班成员、科室信息安全员实战演练每年1次构造模拟事件，真实拉通报告、处置、溯源流程相关科室全体钓鱼邮件测试每季度1次发送模拟钓鱼邮件，检验点击率全员6.2演练场景设计（2026年度）场次时间场景检验要点桌面推演16月某科室工作人员将含120名患者信息的Excel通过互联网邮箱误发至外部机构事件分级判定、2小时内上报路径、影响面初步评估、对外沟通话术桌面推演29月信息科巡检发现某账号出现异常批量导出行为（深夜23:00起连续导出300份病案）异常发现、账号冻结、日志保全、公安报案条件判断实战演练11月U盘遗失：保洁人员在病区拾获无标识U盘一枚，插入工作电脑后被系统拦截并告警现场处置、设备隔离、取证流程、全员通告、事后整改6.3演练实施流程（PDCA闭环）1.计划（P）：演练前30天由信息科编写演练方案，明确场景脚本、参演角色、时间节点、评分表、安全边界（防止演练误伤真实业务）2.执行（D）：按脚本推进，各环节记录实际响应时间与操作动作3.检查（C）：演练结束后3个工作日内召开复盘会，对照评分表逐项点评，形成问题清单（含责任人、整改期限）4.改进（A）：整改完成后15天内由信息科复核，更新预案相关条款，修订培训内容6.4演练纪律•演练前仅通知专班成员与参演科室负责人，不对全员预告，确保演练真实性•演练中不得影响真实患者诊疗业务；若发生真实安全事件，演练立即终止并转入真实应急处置•演练结束后由信息科发布《演练情况通报》，成绩纳入科室年度考核七、保障措施保障条件的核心是把培训责任落实到预算、时间、工具与督导四个基本盘面上。7.1组织保障•培训工作专班每季度召开1次专题会，听取培训进度报告，协调解决师资、场地、经费问题•各科室主任为本科室培训第一责任人，科室信息安全员为具体执行人；培训组织情况纳入科主任年度考核7.2制度保障•本方案发布后1个月内，信息科完成《患者信息安全管理办法（2026版）》修订，经信息安全管理委员会审议后发布•将信息安全培训考核结果纳入《科室综合目标管理责任书》考核条款7.3技术与平台保障•线上培训平台须支持学习进度追踪、考试防切屏、成绩自动汇总功能，由信息科在2026年1月15日前完成系统配置与测试•实操考核模拟系统须与生产环境逻辑隔离，模拟数据全部为虚构患者数据7.4经费保障•年度培训预算列入医院信息化建设经费，包括：线上课程制作费、外聘专家讲课费（500元/学时，全年≤16学时）、演练物料费（模拟U盘、钓鱼邮件平台服务费）、奖励经费•预算执行进度由财务科每季度向专班通报1次7.5督导与通报机制•信息科每季度发布1期《患者信息安全培训工作简报》（含各科室完成率排名、考试通过率、钓鱼邮件点击率、问题与整改情况）•年度考核末位科室须在1个月内提交整改计划并接受专班复查八、年度实施推进表月份重点工作责任主体阶段性产出1月发布本方案；完成培训平台配置；召开专班启动会信息科、专班培训方案正文发布；平台上线；启动会议纪要2月上线基础理论与基本知识线上课程；组织分类分级培训信息科线上课程全部上线；首轮学习完成率≥60%3月开展案例警示教育；科室晨会微培训启动医务科、护理部、各科室案例讨论记录归档至科室台账4月账号密码专项检查；举办第1期实操工作坊信息科专项检查通报；工作坊考核记录5月数据导出与脱敏操作培训；第2期实操工作坊信息科、医务科实操考核成绩单6月中期理论考试；桌面推演1；季度简报发布专班中期考核成绩；演练复盘报告；季度简报7月工作站安全检查；终端防护培训信息科检查通报8月外包人员专项培训；钓鱼邮件测试1总务科、保卫科、信息科外包人员考核成绩；钓鱼邮件测试分析9月网络安全意识月；桌面推演2信息科、专班意识月活动总结；推演复盘报告10月科研数据专项培训；钓鱼邮件测试2科教科、信息科专项考核成绩11月下半年实战演练专班演练启动方案、评分表、复盘报告12月年度理论考试与操作考核；评优与总结专班年度考核汇总表；年度工作总结报告附件一：患者信息安全培训登记表（样表）姓名所在科室岗位培训课程名称培训形式培训日期学时考核成绩补考成绩备注张某某心血管内科主治医师数据脱敏操作规范线下工作坊2026-05-14292—合格李某某信息科网络工程师应急演练组织方法线下授课2026-04-204——骨干层填表说明：考核成绩超过80分为合格，未标注成绩的课程仅登记学时。表格由科室信息安全员汇总后每月5日前提交信息科。附件二：信息安全事件应急演练评分表（样表）评分环节评分要点分值得分扣分原因记录事件发现第一时间电话上报（≤15分钟内）；上报要素完整（时间、科室、信息类型、数量、途径）20先期处置是否立即冻结涉事账号、断开涉事终端网络、封存原始载体20逐级上报按预案路径上报至信息科及值班院领导（≤2小时）15影响评估初步确定影响范围、涉及患者数量、数据类型15证据保全日志备份、截图留存、操作登记、现场保护10对外沟通按预案口径对外答复，未造成次生舆情（此处“对外”包括患者本人、家属、媒体、上级主管部门等一切外部对象，沟通前须经专班审定口径）10后续整改事件复盘、原因分析、整改措施与再培训计划10附件三：患者信息泄露事件上报流程卡（随身版）发现患者信息泄露→立即口头报告（科室信息安全员→信息科值班电话`**-****；非工作时间拨打值班手机138****`）→同步开展先期处置：锁定涉事设备、冻结账号、保