医院保密工作管理细则

医院保密工作管理细则总则医院保密工作是医疗质量与患者信任的底线屏障。随着HIS（医院信息系统）、PACS（医学影像存档与通讯系统）及EMR（电子病历）的全面普及，保密管理已从传统的纸质档案锁控演变为涉及物理环境、网络通信、数据存储的全维防护体系。本细则旨在通过界定权责、规范操作、分级响应，杜绝因内部管理疏漏或外部攻击导致的医疗敏感信息泄露。组织机构与权责划分保密工作切忌多头管理或无人担责，必须建立权责对等、垂直穿透的RACI（负责-执行-咨询-知情）管理体系。医院设立保密工作领导小组，由院长担任组长，分管医疗、信息、后勤的副院长担任副组长。领导小组每季度首月10日召开例会，审议上一季度安全审计报告，对重大泄密隐患进行督办。下设保密工作办公室（挂靠院办或信息科），配备1-2名专职保密管理员，负责日常巡查、权限审核与应急调度。各临床及医技科室主任为本部门保密工作第一责任人，另需指定1名兼职保密员（通常由科室秘书或质控员兼任），负责本科室涉密载体台账登记与终端设备巡查。人员调岗或离职时，保密员必须在48小时内完成权限交接，由信息科收回所有系统账号，病案室核验纸质病历交接清单。保密范围与定密分级保密的难点不在于锁上文件，而在于准确识别哪些文件该上锁、上几把锁。依据《中华人民共和国保守国家秘密法》《医疗卫生机构网络安全管理办法》及等级保护2.0标准，医院信息按敏感度分为三级。密级判定标准与范围典型场景示例防护要求底线核心商密（一级）涉及医院战略规划、未公开的重大并购重组、核心专利技术配方、国家级科研项目未脱敏数据院长办公会纪要、重点学科建设核心算法、制剂室独家配方双人双锁物理保险柜存放；网络物理隔离；访问需动态口令+指纹双因素认证内部商密（二级）涉及医院财务底账、人事档案、采购底价、未公开的医疗纠纷鉴定报告绩效核算底稿、职工人事档案、设备招投标参数文件内网受控访问；RBAC（基于角色的访问控制）授权；禁止截屏与USB拷贝患者隐私（专级）包含可识别患者身份的诊疗数据，如EMR电子病历、PACS影像、基因测序报告、心理评估记录门诊工作站界面、住院病案首页、检验科LIS报告专网传输加密（TLS1.2及以上）；数据脱敏后方可用于科研；严禁在非工作终端处理重点保密场景与操作规程泄密往往发生在日常业务的细微操作中，而非刻意窃取。必须按业务场景穷尽操作节点，切断物理与数字双重泄露途径。临床诊疗与医患沟通医护人员在执行诊疗操作时，面临的最高频风险是越权访问与旁路泄露。系统访问控制：HIS与EMR系统必须启用RBAC权限模型。住院医师仅可查看所管床位的患者信息；主治及以上医师方可查看全科室病历。跨科室会诊时，需通过系统发起“临时授权申请”，授权有效期默认为24小时，超时自动回收。严禁医护人员借用他人工号登录（违规操作将导致操作日志无法追溯到本人，一旦引发医疗纠纷，借出方承担连带法律责任）。物理环境讨论：在电梯、食堂、挂号大厅等公共区域，严禁讨论患者病情及身份信息。门诊叫号系统必须使用“流水号+姓名后两位”格式，严禁在LED大屏全名公示。病房床头卡涉及传染性疾病等敏感诊断时，使用英文代码或通用医学缩写（如“TB”代表结核），严禁直接写明疾病名称。病案管理与科研数据利用病案室是医院物理保密的核心区，科研数据脱敏是流向外部的最后一道防线。纸质病历流转：患者出院后，纸质病历必须在24小时内由病案室专员回收，交接时需逐份核对页码与条形码。严禁由患者家属或护工代送病历。病案库房必须配备气体灭火系统（如七氟丙烷，严禁使用水喷淋以免损毁纸质档案），温湿度控制在14∼24摄氏度、相对湿度科研数据导出：临床科研需提取EMR数据时，必须经过数据脱敏处理。优先使用信息科部署的自动脱敏工具集（如掩码姓名、偏移出生日期、哈希化身份证号）；若无自动工具，由信息科专员进行人工脱敏并双人复核。严禁直接从生产数据库导出包含患者身份证号、联系电话、详细住址的明文数据集用于科研。IT运维与信息系统管理信息系统是保密防线的神经中枢，运维操作的任何疏漏都会引发全局性灾难。第三方外包运维：维保厂商工程师登门处理HIS或数据库故障时，必须由院内信息科人员全程陪同。优先使用院内已部署的堡垒机（PAM系统）进行远程操作，所有指令录屏审计；若需本地接入，需使用专用运维网段，该网段与业务网段通过防火墙策略进行VLAN隔离。严禁工程师将个人笔记本电脑直接接入医院核心交换机。数据备份与离场：核心数据库每日全量备份，每小时增量备份。异地灾备专线的物理链路需埋地深敷，严禁与互联网光缆同沟敷设。备份数据磁带或加密硬盘移出机房时，必须装入防爆防磁箱，由2名安保人员武装押运至异地金库，严禁单人携带备份介质乘坐公共交通。后勤保障与废弃物处理后勤保洁与废品回收是常被忽视的物理泄密通道。涉密文件销毁：废弃的纸质病历、带有患者信息的检验条码单、排班表，严禁直接丢弃至普通垃圾桶。必须投入专用的保密粉碎机，粉碎精度需达到2×设备报废：淘汰的医护工作站硬盘、PACS影像服务器硬盘，严禁直接作为废品变卖。必须由信息科进行物理消磁，随后使用液压穿孔机在硬盘盘片上打孔（孔径≥5涉密载体与终端设备管理载体是信息的容器，系统是信息的通道，管住载体与通道才能阻断物理与数字双重泄露途径。移动介质管控在全院范围内推行USB接口管控策略。除指定导诊台、检验报告打印终端外，所有医护工作站BIOS层面禁用USB大容量存储设备。优先使用院内云桌面（VDI）进行文件流转；若不具备云桌面条件，因急救等特殊原因确需拷贝数据，必须使用院内发放的“硬件加密U盘”。该U盘采用国密SM4算法加密，密码由保密办与使用者分段掌握。严禁使用个人U盘或来历不明的移动硬盘接入任何院内终端（极易感染勒索病毒并导致HIS数据库被物理加密锁死）。终端安全基线所有接入院内网络的终端（含PC、移动查房车PAD、自助机）必须安装网络准入客户端（NAC）与终端防病毒软件（EDR）。未通过准入认证的设备仅能访问互联网访客网络，严禁访问HIS、LIS等核心业务系统。终端屏幕保护必须设置为5分钟无操作自动锁屏，恢复时需重新输入域账号密码。应急响应与处置预案没有不透风的墙，应急预案的终点不是止损，而是溯源和体系完善。泄密事件如同医疗急救，必须建立分秒必争的标准化响应路径。风险演化与阻断机制典型数据泄露演化路径：外包人员违规使用个人U盘拷贝LIS数据库→U盘在公共交通遗失或被黑产恶意窃取→患者身份与检验指标流入黑产→针对性电信诈骗或医托恶意竞争。阻断点必须设在“违规使用个人U盘”与“数据未加密外带”两个核心节点。分级响应标准依据泄露数据量级与影响范围，实行三级响应机制。Ⅰ级响应（重大泄密）：判定标准：核心商密或超过1000条患者隐私数据外泄，或已出现在互联网公开论坛。启动权限：保密工作领导小组组长（院长）直接下达。处置原则：15分钟内物理拔掉涉事服务器/终端网线断网（切忌正常关机以保留内存取证镜像）；30分钟内召集法务、公关、信息科成立应急指挥中心；1小时内向属地公安机关网安大队及卫健委报告；同步启动对外舆情安抚预案。Ⅱ级响应（较大泄密）：判定标准：局部科室数据泄露（100至1000条），或内部敏感文件被未授权人员访问但未外传。启动权限：保密办负责人（分管副院长）下达。处置原则：1小时内冻结涉事账号权限，提取系统访问日志与堡垒机录像；4小时内完成违规操作溯源分析；24小时内出具事件调查报告并通报全院。Ⅲ级响应（一般违规）：判定标准：未戴胸牌进入核心机房、离开工位未锁屏、在公共场合口头提及患者姓名等未造成实质数据外传的隐患。启动权限：科室保密员或信息科巡查人员现场处置。处置原则：现场纠正违规行为；填写《保密违规整改通知单》，要求当事人24小时内提交书面检查；次月与科室绩效挂钩扣罚。闭环管理（PDCA）每次Ⅰ级或Ⅱ级事件处置完毕后，必须召开复盘会议。计划（Plan）：分析泄露根因，识别控制盲区；执行（Do）：修补系统漏洞或增补管理制度；检查（Check）：保密办在2周后进行模拟复测验证修补有效性；改进（Act）：将新增防护策略固化为全院标准基线。监督考核与违规处罚缺乏刚性问责的保密制度形同虚设，处罚标准必须前置且可量化。本细则将保密合规纳入科室年度综合目标考核，实行“一票否决制”。凡发生核心商密或患者隐私外泄的科室，年度评优资格取消，科室主任扣发当月绩效奖金的100%，责任人扣发3个月绩效奖金并待岗培训15天。对于情节严重、涉嫌触犯《中华人民共和国刑法》第二百五十三条之一“侵犯公民个人信息罪”的，一律解除劳动合同并移交司法机关追究刑事责任。对于及时发现并阻止重大泄密隐患的个人，给予500-2000元的专项保密奖励。附则本细则自发布之日起施行，由医院保密工作领导小组办公室负责解释与修订。原有院内规定与本细则不一致的，以本细则为准。附录一：科室保密自查检查表（月度）检查项目具体内容与量化标准是否达标整改期限终端物理安全离开工位是否锁屏（5分钟超时测试）；屏幕是否避开公共视线[]是[]否介质管理是否存在个人U盘接入院内终端；加密U盘台账是否相符[]是[]否纸质病历床头卡是否隐去敏感诊断；废弃打印单是否投入保密粉碎机[]是[]否权限复核调岗/离职人员账号是否在48小时内回收[]