2026年度三甲医院医疗信息系统安全评估报告

2026年度三甲医院医疗信息系统安全评估报告面向等保2.0三级与医疗行业合规要求的专项评估[医院信息安全管理部·安全评估项目组]2026年6月目录7340一、评估概述 本报告基于[某三级甲等综合医院]2025年7月至2026年6月周期内的医疗信息系统运行数据、安全防护能力、合规执行情况开展全维度专项评估，评估覆盖全院所有涉医业务系统、数据资产、网络边界与运维流程，重点对标当前医疗行业安全热点要求，包括医疗AI辅助系统安全、患者敏感数据保护、勒索病毒防护、医保接口合规、第三方合作机构安全管控等核心方向，形成可落地的整改路线与长效运营方案，为医院后续智慧医院建设、电子病历高级别评审、等保合规复核提供决策依据。一、评估概述（一）评估背景近年来全国医疗行业网络安全事件呈高发态势，2025年全国医疗卫生机构共上报重大网络安全事件[47起]，其中勒索病毒攻击导致核心业务中断事件占比[38%]，患者敏感数据泄露事件占比[29%]，涉及医保结算接口的违规事件占比[17%]。国家卫生健康委2025年印发《全国医疗卫生机构网络安全工作三年行动方案（2025-2027年）》，明确要求所有三级甲等医院必须在2026年底前完成等保2.0三级复测、医疗数据分类分级全覆盖、勒索病毒防护能力达标建设，同时将安全建设成效与电子病历应用水平评审、智慧医院评级、医保定点资质审核直接挂钩。本次评估对象所在医院为区域核心三级甲等综合医院，开放床位[2300张]，年门急诊量[约280万人次]，年住院量[约9.2万人次]，2024年电子病历应用水平达到五级，2025年上线放射科AI辅助诊断模块、互联网医院慢病随访系统、全国统一医保移动支付接口，当前面临的安全压力包括：外部攻击频次逐年上升、医疗数据合规要求持续收紧、智慧化系统上线带来新的风险敞口、老旧医疗设备联网后的安全短板凸显，亟需通过系统性评估摸清安全底数、找准核心风险、明确整改优先级。（二）评估目的本次评估的核心目标包括四个维度：一是全面梳理医院医疗信息系统的资产台账，明确所有系统、数据、终端的安全责任边界；二是对照等保2.0三级要求与医疗行业专项规范，识别当前存在的合规差距与风险敞口；三是回溯近12个月发生的各类安全事件，深挖事件背后的流程与技术根因，避免同类问题重复发生；四是形成可落地、分优先级的整改方案与长效运营体系，实现医院安全防护能力从“被动应对”向“主动防御”的转型，保障医疗业务连续稳定运行、患者数据合法合规使用。（三）评估工作周期与组织本次评估工作自2026年3月启动，至2026年6月完成全部现场测试、访谈与报告编制，整个评估周期为[3个月]。评估团队由医院信息科安全组、第三方等保测评机构、医疗行业安全专家共同组成，共开展现场访谈[42人次]，覆盖临床科室、医技科室、财务科、医保办、门诊收费处、第三方合作机构等所有涉及医疗信息系统使用与管理的部门；开展漏洞扫描[12次]、渗透测试[3轮]、配置核查[1200余项]、日志回溯[近12个月]，累计收集有效评估样本[约5.8万条]。二、评估范围与合规依据（一）评估覆盖范围本次评估不遗漏任何与医疗业务、患者数据相关的信息资产，具体覆盖五大类对象：1.核心业务系统：包括医院信息系统（HIS）、电子病历系统（EMR）、检验信息系统（LIS）、影像归档与通信系统（PACS）、手术麻醉系统、重症监护系统、合理用药评审系统、急诊预检分诊系统，所有支撑日常诊疗业务的核心生产系统全部纳入评估范围。2.互联网与对外服务系统：包括互联网医院平台、医院官方服务小程序、医保移动支付接口、区域健康信息平台对接接口、第三方检验中心数据同步接口、远程会诊系统、AI辅助诊断云端对接模块。3.数据资产：包括患者诊疗全流程数据、检验检查报告数据、医学影像数据、医保结算数据、科研用脱敏数据集、医护人员账号权限数据、医院运营管理数据，所有涉及个人信息、重要敏感医疗数据的资产全部纳入数据安全评估范围。4.网络与终端资产：包括核心网络交换机、边界防火墙、入侵检测系统、全院医生站、护士站终端，以及联网的医疗物联网设备（CT、MR、超声设备、床旁监护仪、智能输液泵、移动护理终端）。5.运维与管理体系：包括堡垒机、日志审计系统、备份系统、终端防护系统、现有的安全管理制度、人员安全培训、应急响应流程、第三方机构安全管理机制。（二）评估合规依据本次评估严格对照国家与行业正式发布的规范文件作为判定标准，主要依据包括：《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）三级相关要求《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》相关条款国家卫生健康委《医疗卫生机构网络安全管理办法》《医疗数据安全管理规范（试行）》国家医保局《医疗保障信息平台安全管理规范》《医保数据接口安全指引》《互联网诊疗监管细则（试行）》中关于患者身份核验、诊疗数据留存的相关要求医院内部发布的《信息系统安全管理办法》《数据安全分级分类规范》《第三方合作机构管理细则》三、医疗信息系统总体运行现状（一）系统架构总体情况当前医院整体信息化架构采用“两地三中心”部署模式：主中心设在医院门诊楼核心机房，承载所有核心生产业务系统；本地灾备中心设在住院部附楼机房，承载核心系统的实时同步数据，用于主中心故障时的快速切换；云端备份节点部署在医疗行业专属云资源池，用于存储全量数据的离线备份，保障极端情况下的数据可恢复性。全院网络划分为生产业务区、互联网服务区、办公管理区、医疗物联网区、运维管理区五个逻辑区域，各区域通过核心防火墙做边界隔离。截至2026年6月，全院累计上线各类信息系统[57个]，其中2023年之后上线的新系统占比[42%]，包括2025年上线的AI放射辅助诊断系统、互联网医院慢病随访模块、智能床位管理系统。核心系统的基本运行情况如下表所示：核心系统名称当前运行版本承载核心数据规模最近一次等保测评时间高危漏洞修复完成率HIS医院信息系统V8.5[约42T]2025年11月[76%]EMR电子病历系统V7.2[约18T]2025年11月[71%]PACS影像系统V6.8[约86T]2024年12月[68%]LIS检验系统V5.9[约7.5T]2024年12月[74%]互联网医院平台V3.1[约2.3T]2025年9月[82%]医保移动支付接口V2.0[约1.2T]2025年6月[89%]（二）安全防护能力建设现状医院2023年启动等保三级建设以来，先后部署了边界下一代防火墙、入侵检测系统、Web应用防火墙、堡垒机、日志审计系统、终端杀毒软件、核心数据定时备份系统，初步形成了基础的安全防护体系。当前信息安全团队共有专职人员[6人]，日常承担系统运维、安全设备管理、漏洞修复等工作，2025年全年累计开展漏洞修复[327个]，完成应急演练[2次]，开展全员安全培训[2次]。但整体来看，当前的安全能力仍处于“基础合规”阶段，尚未建立主动监测、自动响应的安全运营体系，大量安全设备产生的告警需要人工逐条核查，漏报、误报率较高；针对医疗AI系统、物联网设备、对外服务接口的专项防护能力存在明显短板，尚未覆盖到智慧医院建设带来的新风险场景。四、分安全域专项评估结果（一）网络边界安全域评估本次对全院所有网络边界的防火墙配置规则开展逐条款核查，累计核查防火墙策略[1247条]，发现的主要问题包括：一是冗余策略占比偏高，长期未使用的策略共计[227条]，占总策略数的[18.2%]，部分策略是历史测试、临时上线留下的配置，未及时清理，扩大了网络攻击面；二是部分端口开放不规范，存在测试端口3389、22端口对非信任区域开放的情况，共发现违规开放端口[17个]；三是内部网络区域未做微隔离，当前生产网络为大二层架构，同一个网段内的终端、服务器、医疗设备之间可以自由访问，一旦某一台终端被入侵，攻击者可以横向移动到核心服务器，不需要跨越边界防护设备。（二）身份与访问安全域评估本次对全院所有系统的账号开展全量梳理，累计统计各类账号[1872个]，其中特权账号（拥有系统管理员、数据库管理员权限）共计[89个]。发现的主要问题包括：一是双因素认证覆盖不足，当前仅有堡垒机、VPN系统启用了双因素认证，核心HIS系统、EMR系统的管理员账号仍为单口令认证，特权账号中未启用双因素认证的占比[27%]；二是账号生命周期管理不规范，累计发现离职人员、调岗人员的未及时注销账号[14个]，部分账号长期未使用，存在被冒用的风险；三是弱口令问题依然存在，通过弱口令扫描发现，有[39个]账号的口令长度不足8位，或者为常见的简单口令，主要集中在老旧的医技设备系统、第三方对接账号中。（三）应用系统安全域评估本次针对所有对外提供服务的Web系统开展渗透测试与漏洞扫描，累计发现各类应用漏洞[87个]，其中高危漏洞[12个]，中危漏洞[46个]，低危漏洞[29个]。主要漏洞类型包括SQL注入漏洞、跨站脚本漏洞、越权访问漏洞、文件上传漏洞。其中互联网医院平台存在的越权访问漏洞最为突出：攻击者可以通过修改请求参数，查询任意就诊患者的基本信息、诊疗记录、检验报告，不需要患者身份核验，属于可能导致大规模患者信息泄露的高危风险。此外，部分老旧的业务系统由于上线时间较早，厂商停止更新补丁，长期存在的Web目录遍历、代码执行漏洞无法通过版本升级修复，只能通过边界设备做临时防护。（四）数据安全域评估本次对医院全量数据资产的分类分级、加密、脱敏、留存情况开展评估，累计梳理核心敏感数据约[2.1亿条]，其中三级敏感数据（包含患者身份证号、完整诊疗记录、生物识别信息、医保结算信息）占比[32%]，二级敏感数据（包含患者联系方式、就诊科室、缴费金额）占比[57%]，一级公开数据占比[11%]。发现的主要问题包括：一是部分数据明文存储，比如部分检验报告接口返回的患者手机号、身份证号为明文存储，未做加密处理；二是传输加密覆盖不全，对接区域健康信息平台的老旧接口仍采用HTTP明文传输，未启用国密算法加密；三是数据脱敏不到位，科研用的患者数据集未对姓名、身份证号、手机号等敏感字段做脱敏处理，直接导出给合作科研机构，存在数据泄露风险；四是数据出境合规流程不清晰，针对国际多中心临床研究项目需要出境的患者数据，尚未建立合规的审批流程与安全评估机制。（五）终端与物联网设备安全域评估本次对全院所有联网终端与医疗物联网设备开展逐台核查，累计统计终端与设备[1247台]，其中医生站、护士站办公终端[823台]，联网医疗设备（CT、MR、超声、监护仪、输液泵等）[424台]。发现的主要问题包括：一是终端防护覆盖不全，办公终端中未安装EDR终端防护软件的占比[12%]，联网医疗设备中未安装任何防护软件的占比[47%]，部分老旧医疗设备由于操作系统为WindowsXP、嵌入式系统，厂商不兼容新版防护软件，无法安装安全客户端；二是系统版本老旧，有[189台]医疗设备仍运行Windows7及以下版本操作系统，早已停止官方安全补丁更新，存在大量已知高危漏洞；三是外设管控不严，部分医生站终端可以随意插入U盘、连接个人手机，没有做外设的访问控制，2025年发生的勒索病毒事件就是通过患者家属插入的私人U盘传播的。（六）运维安全域评估本次对所有运维操作的审计、流程合规性开展评估，发现的主要问题包括：一是运维审计覆盖率不足，当前所有运维操作中经过堡垒机审计的仅占[68%]，部分核心服务器的运维操作是直接通过SSH、远程桌面登录，没有经过堡垒机，操作行为无法追溯；二是日志留存不达标，等保要求核心系统的操作日志、安全日志留存时间不少于6个月，当前部分老旧系统的日志留存时间仅为3个月，且日志没有同步到统一的日志审计平台，发生安全事件后无法回溯完整的操作轨迹；三是备份恢复能力不足，当前核心数据的备份频率为每日增量、每周全量，但最近一次灾备切换演练是在2024年10月，由于长期未演练，运维团队对灾备系统的配置、切换流程不熟悉，2026年2月发生的存储阵列故障事件中，灾备系统切换耗时超过1小时，远超预期的15分钟切换要求。五、近12个月安全事件回溯与根因分析本次评估回溯了2025年7月至2026年6月期间医院发生的所有网络安全相关事件，累计纳入统计的有效事件[17起]，按照事件类型、影响范围、处置时长形成事件台账如下：事件发生时间事件类型影响范围处置总时长核心根因2025年9月12日勒索病毒感染门诊收费2台终端45分钟终端未管控U盘，未及时更新漏洞补丁2025年12月3日患者信息泄露随访服务涉及1.2万条患者信息32小时第三方接口权限过大，未做数据脱敏2026年2月18日核心系统中断HIS系统全院不可用82分钟灾备演练不足，存储设备单点故障2026年4月9日AI诊断系统异常放射科3例影像诊断结果偏差27分钟AI训练数据未做完整性校验2026年5月21日DDoS攻击互联网医院平台访问卡顿19分钟未部署流量清洗防护能力从根因分类来看，近12个月发生的安全事件中，因技术防护短板导致的事件占比[53%]，因流程管理不规范导致的事件占比[35%]，因人员安全意识不足导致的事件占比[12%]。其中最典型的三类事件暴露出的深层问题：一是针对医疗物联网设备、老旧终端的防护能力缺失，直接导致勒索病毒的传播；二是第三方合作机构的安全管理存在真空，接口权限没有最小化控制，导致患者数据被违规导出；三是灾备体系的“重建设、轻演练”，看似完备的灾备系统在真实故障发生时无法快速生效，导致核心业务中断时间远超预期。六、对标合规要求的差距梳理本次评估对照等保2.0三级的211项控制要求、医疗行业专项规范要求，逐项梳理当前医院的合规差距，整体合规得分[72分]，距离等保三级合格要求的80分仍有明显差距，具体差距分类如下：（一）安全物理环境方面核心机房的消防系统已经过了官方检测有效期，未按要求每半年开展一次消防检测；机房的温湿度监控系统存在部分点位数据缺失，无法实时掌握机房环境参数；机房的来访登记流程没有与公安系统联网，人员进出的视频留存时间仅为30天，不满足90天的留存要求。（二）安全通信网络方面核心业务链路的冗余带宽不足，早高峰时段核心链路的带宽峰值达到[89%]，容易出现网络拥塞；网络架构的分区边界不清晰，部分办公终端和医疗物联网设备接入了同一个生产网段，没有做物理或逻辑隔离；重要数据的传输加密覆盖不全，老旧的对外接口未启用国密算法加密。（三）安全区域边界方面未部署网络微隔离能力，内部网络横向移动没有防护；边界防火墙的策略冗余，未按要求定期清理无效规则；入侵检测系统的告警规则没有针对医疗行业的攻击特征做优化，针对勒索病毒传播、数据库异常访问的检测规则缺失。（四）安全计算环境方面服务器的高危补丁修复率仅为[72%]，部分核心业务系统由于担心升级影响业务运行，长期不更新安全补丁；特权账号的双因素认证覆盖不足；终端的外设管控不到位；重要数据的存储加密、脱敏覆盖不全。（五）安全管理中心方面尚未建立统一的安全运营管理平台，各类安全设备的告警分散、没有集中关联分析；日志审计平台的覆盖率不足，部分核心系统的日志没有接入；没有针对安全事件建立自动响应的处置流程，所有告警需要人工判断、人工处置，响应效率低。（六）安全管理体系方面没有设立专职的数据安全管理岗位，数据安全的职责分散在不同的部门，没有明确的责任边界；全员安全培训的覆盖率仅为[58%]，针对临床医护人员的安全培训次数不足，钓鱼邮件识别测试的平均正确率仅为[62%]；第三方合作机构的安全评估没有常态化开展，仅在合作前做一次简单评估，合作期间没有持续的安全监督。七、核心风险量化评估与敞口分析本次采用风险矩阵法，从“风险发生可能性”和“风险影响程度”两个维度对所有识别出的风险点开展量化评分（1-5分，分值越高代表风险越高），计算风险值=可能性得分×影响程度得分，将风险划分为极高（风险值≥20）、高（12-19）、中（6-11）、低（≤5）四个等级，共识别出极高风险点[3个]，高风险点[7个]，中风险点[12个]，低风险点[9个]，核心风险点的评分如下表：风险点描述发生可能性得分影响程度得分风险值风险等级勒索病毒感染导致核心业务系统中断4520极高患者敏感数据大规模泄露触发合规处罚4520极高互联网医院平台越权漏洞导致信息泄露4520极高核心系统存储单点故障导致业务中断3515高AI辅助诊断系统被攻击导致诊断误判3412高老旧医疗设备被入侵作为攻击跳板4312高医保接口被篡改导致医保基金流失3412高从潜在损失角度测算，若极高风险点转化为真实事件，医院面临的潜在损失包括：一是勒索病毒事件的直接恢复成本、业务中断损失约[350-500万元]，同时可能触发卫健委的行业通报，影响医院等级评审；二是患者数据泄露事件按照《个人信息保护法》的相关规定，最高可处上一年度营业额5%的罚款，按照医院2025年营收[18.2亿元]计算，最高罚款可达[9100万元]，同时会对医院的社会声誉造成长期负面影响；三是医保接口的安全事件会触发医保部门的处罚，包括追回违规医保基金、暂停医保结算资质等，直接影响医院的日常运营。八、分阶段整改路线与资源配置建议针对识别出的风险与合规差距，按照“先解决极高风险、再补齐合规短板、最后建设长效能力”的原则，制定三个阶段的整改路线，明确每个阶段的任务、时间节点、责任部门与资源需求。（一）第一阶段：紧急风险整改（0-3个月）本阶段的核心目标是在3个月内完成所有极高风险点的整改，快速收敛核心攻击面，避免发生重大安全事件。核心任务包括：一是清理防火墙冗余规则，完成所有高危漏洞的修复，封堵违规开放的测试端口；二是为所有特权账号启用双因素认证，完成离职、调岗人员账号的清理注销，消除弱口令风险；三是对互联网医院平台的越权漏洞开展专项修复，上线接口访问的身份核验机制；四是完成所有办公终端的EDR软件部署，落实U盘外设管控，开展勒索病毒专项防护加固；五是开展一次全流程的灾备切换演练，确保核心系统故障时的切换时间控制在15分钟以内。本阶段预计需要投入经费[600万元]，责任部门为信息科、各临床科室、第三方安全服务机构。（二）第二阶段：合规体系补齐（3-12个月）本阶段的核心目标是完成等保三级的所有合规要求，达到等保测评合格标准，补齐数据安全、物联网设备防护的短板。核心任务包括：一是完成网络微隔离改造，实现内部网络的分区隔离，防范横向移动攻击；二是建设统一的安全运营平台，将所有安全设备的告警接入开展关联分析，实现安全事件的自动发现；三是完成全量数据的分类分级梳理，落实敏感数据的存储加密、传输加密、导出脱敏机制，建立科研数据、出境数据的审批流程；四是完成联网医疗设备的专项防护，对老旧无法升级的设备通过网络隔离、流量管控的方式降低风险；五是完善安全管理制度，设立专职的数据安全管理岗位，开展全员安全培训，实现钓鱼邮件识别测试正确率达到90%以上。本阶段预计需要投入经费[350万元]，责任部门为信息科、医务部、科研科、医保办。（三）第三阶段：长效能力建设（12-24个月）本阶段的核心目标是建立主动防御的安全运营体系，实现智慧化、常态化的安全防护。核心任务包括：一是落地零信任架构，实现所有系统访问的“持续验证、最小权限”；二是建设AI驱动的安全分析能力，利用人工智能模型自动识别异常访问、异常数据导出行为；三是建立第三方合作机构的常态化安全监督机制，每季度对合作接口的权限、数据使用情况开展核查；四是完善应急响应体系，每半年开展一次勒索病毒、数据泄露、系统中断的应急演练，与属地公安网安部门、行业应急中心建立常态化联动机制。本阶段预计需要投入经费[250万元]，责任部门为信息科、医院安全委员会。九、长效安全运营体系建设方案（一）组织架构建设成立由医院院长担任主任、分管副院长担任副主任的网络安全和数据安全委员会，作为医院安全工作的最高决策机构，每季度召开一次安全工作会议，审议重大安全投入、重大安全事件处置方案。委员会下设办公室在信息科，配备专职的安全管理团队，规模从当前的6人扩充至12人，包括网络安全工程师、数据安全专员、安全运营分析师、应急响应专员。同时在每个临床科室、医技科室设立兼职的科室信息安全员，承担本科室的安全宣传、隐患上报工作，形成“院级-科室-个人”的三级安全责任体系，将安全责任落实到每一个岗位。（二）制度流程建设修订完善医院的安全管理制度体系，包括《医疗信息系统安全管理办法》《患者敏感数据安全管理细则》《第三方合作机构安全管理规定》《应急响应预案》等核心制度，明确所有安全工作的流程、责任、考核要求。将安全要求嵌入到所有新系统上线的全流程：新系统立项时必须开展安全需求评审，系统开发完成后必须开展渗透测试，系统上线前必须完成等保合规核查，系统运行中必须持续开展安全监测，从源头避免“重功能、轻安全”的问题。（三）技术能力建设构建覆盖“事前主动防御、事中实时监测、事后快速响应”的全流程技术防护体系：事前层面通过漏洞扫描、配置核查、风险评估提前发现系统隐患；事中层面通过统一安全运营平台实时监测网络攻击、异常访问、数据违规导出行为，实现告警的自动关联分析；事后层面通过自动化响应工具，对发现的恶意行为快速阻断，同时开展全流程的日志追溯，还原事件发生的完整路径。