医疗信息化数据安全规范（2025版）

医疗信息化数据安全规范（2025版）第1章总则1.1背景与目标随着数字医疗技术的飞速发展，医疗数据已成为国家基础性战略资源，也是医疗卫生服务体系的核心资产。为深入贯彻落实《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《医疗卫生机构网络安全管理办法》等法律法规，适应2025年及未来医疗信息化发展的新趋势，构建全方位、立体化、智能化的数据安全防护体系，特制定本规范。本规范旨在指导各级各类医疗机构、医疗健康相关企业及第三方服务商，在保障医疗数据全生命周期安全的前提下，促进医疗数据的合规开发与价值挖掘，确保患者隐私尊严、医疗业务连续性及公共利益安全。1.2适用范围本规范适用于中华人民共和国境内所有开展疾病诊断、治疗、预防、保健等活动的医疗卫生机构，以及涉及医疗数据收集、存储、使用、加工、传输、提供、公开等数据处理活动的相关单位和个人。涵盖但不限于医院信息平台、电子病历系统（EMR）、影像归档和通信系统（PACS）、实验室信息系统（LIS）、医院资源规划系统（HRP）、互联网医院平台、远程医疗系统及医联体/医共体数据共享平台等。1.3基本原则1.3.1合规性原则：所有数据处理活动必须严格遵守国家及地方相关法律法规、标准规范及行业监管要求，确保数据来源合法、权责清晰。1.3.2最小必要原则：在数据处理过程中，应遵循最小必要和知情同意原则，仅收集和使用与业务处理直接相关的最少数据，不得过度收集个人信息。1.3.3全程可控原则：建立覆盖数据采集、传输、存储、处理、交换、销毁等全生命周期的安全管控机制，确保数据流转各环节可追溯、可审计。1.3.4分类分级原则：依据数据的重要性和敏感程度实施分类分级管理，对核心数据及重要数据采取重点保护措施。1.3.5动态防御原则：结合零信任、人工智能等先进技术，构建动态感知、主动防御的安全技术体系，及时应对新型网络威胁。第2章数据分类分级管理2.1数据分类规范医疗数据分类应基于数据属性、业务领域及数据来源进行科学划分，确保分类逻辑清晰、互斥且穷尽。主要分类维度如下：2.1.1按数据属性分类：（1）个人属性数据：包括患者姓名、身份证号、社保卡号、联系电话、家庭住址等。（2）临床诊疗数据：包括主诉、现病史、既往史、体格检查、医嘱、处方、手术记录、护理记录、病程记录等。（3）医学影像数据：包括DICOM格式的CT、MRI、X光、超声等影像文件及检查报告。（4）检验检查数据：包括实验室检验结果、病理诊断结果、内镜检查报告等。（5）费用结算数据：包括诊疗项目明细、药品费用、耗材费用、医保结算信息等。（6）运营管理数据：包括医院财务数据、人力资源数据、物资采购数据、设备运行数据等。（7）科研教学数据：包括脱敏后的临床研究数据、生物样本库信息、教学病例资源等。2.2数据分级标准根据数据一旦遭到泄露、篡改、丢失或滥用后，对国家安全、公共利益、组织权益以及个人权益的影响程度，将医疗数据划分为核心数据、重要数据和一般数据三个级别。数据级别定义描述典型数据示例安全保护要求核心数据关系到国家安全、国民经济运行、重大公共利益，一旦泄露可能造成严重危害的数据。涉及国家重点保护的传染病菌种、毒株数据；大规模人口健康基因数据；重要特殊人群（如高级干部、涉密人员）未经脱敏的完整诊疗数据；可能引发重大公共卫生风险的实时监测数据。最高级别保护，实施强制加密、严格访问控制、数据出境严格审批、高频次安全审计。重要数据关系到公共利益、个人生命健康权益，或影响医疗机构正常运营，一旦泄露可能造成较大危害的数据。患者病历（EMR）；医学影像原始文件（DICOM）；精准医疗基因测序数据；精神卫生诊疗记录；未成年人诊疗数据；重大疾病筛查数据。高级别保护，实施存储加密、传输加密、强身份认证、数据脱敏、定期漏洞扫描。一般数据除核心数据、重要数据以外的其他医疗数据，泄露后影响相对较小。医院公开的出诊信息；经过彻底去标识化处理的统计数据；非涉密的行政通知；公共知识库信息。基础保护，实施身份鉴别、访问控制、防病毒、防恶意代码。2.3分类分级实施流程医疗机构应建立数据分类分级管理组织架构，由数据安全管理部门牵头，联合临床、医技、行政等部门共同梳理数据资产。利用自动化数据发现与分类分级工具，对数据库、文件服务器、终端设备进行扫描，打上分类分级标签，并形成动态更新的数据资产清单。清单应包含数据资产名称、所属系统、数据类型、敏感级别、存储位置、责任部门、责任人等关键信息。第3章数据全生命周期安全要求3.1.数据采集安全3.1.1来源认证：在采集患者个人数据时，必须通过有效手段验证数据主体的身份，支持身份证读卡、社保卡读取、人脸识别等生物特征识别方式，并留存身份验证日志。3.1.2知情同意：首次采集患者个人信息前，应向患者告知收集目的、方式、范围、存储期限及可能的用途，并获得患者的明确授权（书面或电子签名）。对于特殊敏感数据（如指纹、基因信息），需获得单独授权。3.1.3质量校验：系统应对采集的数据进行格式校验、逻辑校验和完整性校验，防止脏数据、恶意代码或非法脚本注入系统。对于物联网医疗设备采集的数据，应具备数据清洗和异常值过滤机制。3.1.4采集限制：严禁私自通过非法渠道（如暗网、黑市）购买或获取患者数据。APP或小程序端采集数据时，应遵循最小权限原则，禁止申请与业务无关的终端权限（如通讯录、相册等）。3.2数据传输安全3.2.1传输加密：所有涉及核心数据和重要数据的传输通道，必须采用加密技术。内部传输应使用TLS1.2及以上版本或国密算法（如SM2/SM3/SM4）；外部传输（如互联网医院、远程会诊）必须建立VPN、SSLVPN等加密通道。3.2.2网络隔离：医疗业务网（内网）与互联网必须实行逻辑隔离或物理隔离。跨网段数据交换须经过安全网关、防火墙或网闸进行边界防护，并配置严格的访问控制策略（ACL）。3.2.3接口安全：系统间的数据交互接口（API）应实施身份认证、访问控制及防重放攻击机制。接口返回数据中不得包含明文密码，对于敏感字段应进行掩码处理或脱敏返回。3.3数据存储安全3.3.1存储加密：核心数据和重要数据在数据库、文件系统存储时，必须采用加密存储方式。建议使用国密SM4对称加密算法，密钥管理应符合国家密码管理相关规定。3.3.2备份与恢复：建立完善的数据备份策略，实施“本地备份+异地备份”机制。关键业务系统应实施实时热备或定期冷备（如每天增量、每周全量）。备份数据应同样进行加密保护，并定期（至少每季度）进行恢复演练，验证备份数据的可用性。3.3.3介质管理：存储敏感数据的移动存储介质（如移动硬盘、磁带、光盘）应专人管理、登记造册，使用前必须进行病毒查杀，报废时应执行物理销毁或消磁处理，严禁直接丢弃。3.4数据处理与使用安全3.4.1访问控制：实施基于角色（RBAC）和基于属性（ABAC）的混合访问控制模型。系统管理员、安全管理员、安全审计员权限（三权分立）必须分离。临床人员只能查看其职责范围内且已授权的患者数据。3.4.2最小权限：严格控制数据库账号权限，禁止使用业务账号直接连接数据库进行运维操作。禁止在业务系统中直接展示超级管理员账号密码。3.4.3数据脱敏：在非生产环境（如开发、测试、科研环境）使用真实数据时，必须对敏感信息进行静态脱敏处理。在生产环境进行前端展示时，应根据用户权限对身份证号、手机号等敏感字段进行动态遮盖（如显示为138****1234）。3.4.4操作审计：对数据的查询、导出、修改、删除等关键操作建立详细的日志审计记录。审计日志应包含操作人、时间、IP地址、操作对象、操作结果等要素，且日志本身应防篡改，保存时间不少于6个月。3.5数据交换与共享安全3.5.1共享审批：向外部机构（如医保局、商保公司、科研院所）提供医疗数据时，必须经过内部审批流程，签订数据保密协议（DPA），明确数据使用范围和期限。3.5.2去标识化：对外共享的数据必须经过去标识化或匿名化处理，确保无法通过数据关联识别到特定个人。去标识化效果应经过专业评估或测试。3.5.3可信计算：在涉及多方数据联合利用（如多中心临床研究）场景下，鼓励采用隐私计算技术（如联邦学习、多方安全计算），实现“数据可用不可见”，保障数据不出域的前提下完成价值挖掘。3.5.4供应链安全：加强对第三方开发商、运维服务商的数据安全管理。在与第三方合作中，明确其数据安全责任，禁止第三方将医疗数据违规留存、转发或用于合同约定以外的目的。3.6数据销毁安全3.6.1销毁触发：当达到数据留存期限、患者撤回同意或业务终止不再需要该数据时，应启动数据销毁流程。3.6.2逻辑销毁：对于存储在数据库中的数据，可进行逻辑删除（标记为删除状态），但需确保业务前端不可再访问。3.6.3物理销毁：对于存储介质上的敏感数据，在废弃或转售前，必须使用专业工具进行覆写（低级格式化）或物理破坏（消磁、粉碎），确保数据无法被恢复。第4章关键技术防护要求4.1身份认证与访问控制4.1.1多因素认证：所有接入医疗业务网络的用户（医护人员、管理员、第三方运维）必须实施多因素身份认证（MFA）。建议结合“用户名/口令+数字证书/生物特征/动态令牌”等方式。4.1.2单点登录：在多系统环境下，应部署统一身份认证平台（IAM），实现单点登录（SSO）和统一身份管理，减少账号密码管理风险。4.1.3异常行为检测：系统应具备用户行为分析（UEBA）能力，能够识别异常登录（如异地登录、深夜登录）、异常访问（如短时间内批量查询患者病历）行为，并触发告警或阻断。4.2终端安全防护4.2.1医疗终端（医生工作站、护士站）必须安装企业级防病毒软件、终端检测与响应（EDR）系统，并及时更新病毒库和系统补丁。4.2.2实施终端外设管控策略，默认禁用USB存储设备写入功能，确需使用的需经过审批并加密。4.2.3服务器终端应关闭非必要的服务端口（如Telnet、FTP等），仅保留SSH等安全管理端口，并修改默认端口。4.3数据防泄漏（DLP）4.3.1部署网络DLP和终端DLP系统，对敏感数据的流向进行监控。重点监控通过邮件、IM工具、网盘上传、HTTPPOST等方式外发的数据。4.3.2制定DLP策略，对包含身份证号、银行卡号、病历关键字的文档进行识别、拦截或审计。4.4应用安全4.4.1代码审计：医疗业务信息系统上线前，必须进行静态代码审计（SAST）和动态渗透测试，修复SQL注入、跨站脚本（XSS）、反序列化漏洞等高危风险。4.4.2攻击防护：在Web应用前端部署Web应用防火墙（WAF），实时防御常见的Web攻击。4.4.3组件安全：定期扫描并升级应用系统依赖的第三方组件（如Log4j、Fastjson等），防范供应链组件漏洞风险。第5章数据安全组织与管理体系5.1组织架构与职责5.1.1数据安全委员会：医疗机构主要负责人应作为数据安全第一责任人，成立数据安全委员会，负责统筹规划数据安全工作，决策重大数据安全事项。5.1.2数据安全管理部门：设立专职数据安全管理岗位，负责制定数据安全制度、技术标准，监督制度执行，组织安全培训和应急演练。5.1.3业务部门职责：各临床、医技、行政科室应指定数据安全联络员，负责本科室数据资产的梳理、权限申请审批及日常安全自查。5.2制度建设5.2.1应制定并发布《数据安全管理办法》、《数据分类分级指南》、《数据访问控制管理规定》、《数据脱敏去标识化规范》、《数据安全应急预案》等专项制度。5.2.2制度应根据法律法规变化和技术发展情况，每年至少进行一次修订和完善。5.3人员管理5.3.1背景审查：对接触核心数据和重要数据的关键岗位人员（如数据库管理员、系统开发人员）进行严格的背景审查，并签署保密协议。5.3.2离岗管理：人员离职或转岗时，必须立即回收其系统访问权限、账号、数字证书及各类终端设备，并签署离职保密承诺书。5.3.3安全培训：定期开展全员数据安全意识培训，内容包括法律法规、安全案例、操作规范等。新入职人员必须接受数据安全培训并考核合格后方可上岗。5.4监督与审计5.4.1内部审计：数据安全管理部门应每季度对系统日志、权限分配、数据操作记录进行内部审计，发现违规行为及时通报并整改。5.4.2外部评估：每年聘请具备资质的第三方机构开展一次数据安全风险评估或等级保护测评，针对发现的问题制定整改计划，形成闭环管理。第6章应急响应与灾难恢复6.1应急预案6.1.1制定数据安全事件应急预案，明确应急组织架构、响应流程、处置措施及沟通机制。预案应涵盖数据泄露、数据勒索、数据丢失、系统瘫痪等典型场景。6.1.2预案分级：根据数据安全事件的性质、影响范围和危害程度，将事件分为特别重大（I级）、重大（II级）、较大（III级）和一般（IV级）四级，并设定不同级别的响应时效。6.2应急响应流程6.2.1监测与报告：建立7x24小时安全监测机制，发现异常立即上报。报告内容应包括事件发生时间、地点、初步表现、影响范围等。6.2.2遏制与根除：启动应急响应后，第一时间采取断开网络、关停服务、封存账号等遏制措施，防止事态扩大。利用技术手段分析攻击路径，清除恶意代码或后门，修补漏洞。6.2.3恢复与复盘：在确保环境安全的前提下，利用备份数据恢复业务系统。事后编写事件调查报告，总结经验教训，完善防御措施。6.3攻防演练6.3.1定期开展实战化攻防演练（如每年至少一次），模拟黑客攻击手段，检验数据安全防护体系的有效性和应急响应团队的实战能力。6.3.2演练应涵盖勒索病毒攻击、数据库拖库、内部人员违规操作等场景，演练过程应详细记录，演练结果需形成总结报告。第7章新兴技术应用安全7.1医疗人工智能（AI）安全7.1.1数据投毒防护：在利用医疗数据训练AI模型时，应对训练数据进行清洗和验证，防止恶意数据注入导致模型决策偏差。7.1.2模型安全：对AI模