医院信息系统安全管理制度

医院信息系统安全管理制度一、第一章总则1.1第一条目的与依据医院信息系统承载电子病历（EMR）、检验信息系统（LIS）、影像归档与传输系统（PACS）、医院信息系统（HIS）、手术麻醉、护理执行等核心业务，任何非计划停机或数据泄露都会直接威胁诊疗连续性与患者隐私。本制度依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》（国家卫生健康委等三部门，2022年）、《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）制定，用于规范全院信息系统的日常运行、访问控制、数据保护与应急处置，使各科室、各岗位在具体场景下有章可循。1.2第二条适用范围本制度适用于医院所有信息系统、网络设备、服务器、存储、终端（含工作站、移动查房设备、自助机）、机房设施，以及接触上述系统的全体人员（含在编职工、合同制人员、进修生、实习生、外包运维人员）。1.3第三条系统定级按网络安全等级保护2.0要求执行：•HIS、EMR、LIS、PACS核心系统：定为等级保护三级，每年开展1次渗透测试与漏洞扫描；•内网办公、行政管理系统：定为等级保护二级，每2年测评1次；•新建系统上线前30日内完成定级备案与差距测评，未通过测评不得接入生产网。二、第二章组织架构与职责安全管理的核心不是技术部门一家的事，而是「决策—管理—执行—监督」四层闭环，任何一层缺位都会导致制度空转。2.1第四条网络安全与信息化领导小组•组成：院长任组长，分管副院长任副组长，信息科、医务科、护理部、财务科、质控办、总务科负责人为成员；•职责：审批年度安全预算与重大项目、审定三级事件应急响应、听取季度安全汇报；•会议节奏：每季度首月10日前召开例会，会后3个工作日内下发纪要，纪要中每项决议须指定责任人与完成时限。2.2第五条信息科•设专职安全管理岗不少于2人（二级医院可1人兼网络管理，但必须另设审计岗），持有CISP或同级以上认证；•职责：账号权限审批与季度复核、补丁与漏洞管理、备份验证、日志审计、应急预案演练组织；•关键操作（如核心数据库变更、防火墙策略调整）实行双人操作制：1人执行、1人在旁核对并签字确认。2.3第六条各业务科室•科主任为本科室终端与账号安全第一责任人；•每科室指定1名兼职信息安全联络员，负责本科室账号异动申报、终端安全自查（每月1次，用信息科下发的检查表）；•联络员变动须在3个工作日内报信息科更新台账。三、第三章账号与权限管理账号管理是绝大多数内部泄露与误操作事件的源头，必须做到「一人一号、随岗授权、离岗即停」。3.1第七条账号开通与注销1.开通：由科室提交《系统账号申请表》（附件1），注明姓名、工号、岗位、所需系统与角色，经科室负责人签字、信息科审核后2个工作日内开通；权限只能按岗位模板授予，不得按个人申请「点菜式」加权限。2.注销：人员离职、调岗、进修结束，人事科在办理手续当日通知信息科，信息科在4小时内停用全部账号——这是硬性时限，拖延一天就多一天被盗用风险；确实需要交接期访问的，由原科室负责人书面申请设置不超过7天的只读临时账号，到期系统自动失效。3.长期未使用账号：连续90天未登录的账号自动锁定，由信息科与科室确认后处理。3.2第八条密码与认证•核心系统（HIS、EMR、LIS）密码长度不少于8位，须含字母与数字，每90天更换1次，不得与前3次重复；•严禁共享账号，尤其处方权限——共享账号开具的医嘱在法律上无法确认行为人，一旦发生医疗纠纷，处方责任无法认定，且违反《电子病历应用管理规范（试行）》中电子签名唯一性要求；•严禁将密码粘贴在显示器、键盘下、抽屉内——替代方案：如确有记忆困难，可申请启用手机令牌或由信息科配置单点登录；•医生CA电子签名证书（数字证书）与Ukey视同身份证件管理，遗失当日须挂失补办，补办费用按院内规定执行；•涉及病历浏览的外部接口（区域平台、商保直赔）采用双因子认证。3.3第九条权限复核与审计•信息科每季度末对核心系统权限做1次全量复核，输出《权限复核报告》，异常账号5个工作日内整改；•系统审计日志（登录、医嘱修改、病历打印、数据导出）留存不少于6个月，等保三级要求的三级系统日志留存不少于1年；•信息科审计岗每月抽查病历导出与查询日志，重点核查非诊疗关系的名人病历、本院职工病历查询——发现异常的，48小时内核实并报医务科。四、第四章网络与基础设施安全4.1第十条网络分区•生产网（业务系统）、办公网、设备网（监护仪、检验设备）、互联网接入区、对外服务区（预约挂号、公众号）之间以防火墙隔离，默认拒绝，按白名单放通端口；•无线网络分设院内医疗内网SSID（仅授权移动查房/护理终端接入，启用WPA2-Enterprise+802.1X认证）与访客Wi-Fi（仅通互联网，与内网物理隔离）；•严禁将无线路由器、随身Wi-Fi私自接入内网——此类设备往往使用弱默认密码，攻击者接入后可横向扫描整个内网，进而到达存放全院病历的核心数据库；确需临时接入联网设备的，向信息科报备，由信息科现场实施并纳入台账。4.2第十一条边界与终端防护•互联网出口部署下一代防火墙与IPS，全院终端统一安装企业版防病毒软件，病毒库每日自动更新；•终端U盘策略：临床工作站默认禁用USB存储；确有移动需求的（如影像导出会诊），使用信息科登记加密U盘，使用后登记去向；•终端补丁：每月第二个周二后1周内完成高危补丁测试与推送；服务器补丁必须先在测试环境验证72小时再上生产，且安排在非业务时段（22:00后）执行。4.3第十二条机房管理•机房实行门禁+视频监控，监控录像留存90天；外来人员进入须经信息科审批，由本室人员全程陪同并登记《机房出入登记本》；•动力环境：双路市电+UPS，UPS满载续航不低于30分钟，并配置柴油发电机（10分钟内自启）；UPS电池每2年做1次放电测试，空调、温湿度报警接入值班手机，温度持续高于28℃或湿度低于40%时15分钟内响应；•机房内严禁存放易燃物与饮水——液体泼溅至机柜可导致短路宕机，饮水改为在机房外休息区进行。五、第五章数据安全与备份5.1第十三条数据分级•一级（核心）：电子病历、医嘱、检验/检查结果、费用数据——泄露将直接损害患者隐私并引发法律风险；•二级（重要）：运营统计、药品库存、排班信息；•三级（一般）：公开宣传资料、公示信息。一级数据的导出必须走审批：由申请科室填写《数据导出审批单》，说明用途、字段范围、份数，医务科与信息科会签；导出文件加密存储，使用完毕后15日内销毁并书面反馈。5.2第十四条备份策略与验证备份的价值不在于「做了」，而在于「能恢复」——大量机构事后才发现备份介质从未验证可用。•数据库（HIS/EMR/LIS）：每日1次全量（凌晨1:00执行）+每15分钟日志备份，备份保留30天；•PACS影像：在线存储3年，之后转近线归档，按《医疗机构病历管理规定》要求保存期限执行（门诊病历不少于15年、住院病历不少于30年）；•异地备份：每日将增量备份数据同步至院外灾备机房或经审批的托管机房，传输通道加密；•恢复演练：每半年（6月、12月）抽取1个核心系统做真实恢复演练，从备份介质恢复至测试环境，验证业务数据完整性与应用可用性，演练报告报领导小组；演练不通过的，1个月内完成整改并复测。六、第六章应急管理6.1第十五条事件分级按影响范围与业务中断程度分为三级：级别判定标准启动权限报告时限Ⅰ级（重大）HIS/EMR瘫痪，全院诊疗业务中断；或发生批量患者数据泄露（涉及100人以上）院长立即口头报告，2小时内书面报分管院领导Ⅱ级（较大）单一核心系统停机30分钟以上；或数据泄露涉及10~99人分管副院长30分钟内报告Ⅲ级（一般）单点故障、个别终端异常、影响范围<10人信息科科长当日报告并记录6.2第十六条应急响应流程（PDCA闭环）1.计划（P）：信息科每年3月底前修订《信息系统应急预案》（附件2），明确各系统恢复优先级——顺序为HIS/EMR>LIS危急值通道>PACS>财务结算>其他；2.执行（D）：Ⅰ/Ⅱ级事件发生时，信息科15分钟内集结，30分钟内完成初步定级与影响面通报，临床科室同步切换应急预案；3.检查（C）：事件关闭后3个工作日内召开复盘会，输出《事件报告》，包含时间线、根因、损失评估、改进项；4.改进（A）：改进项由责任人在承诺时限内关闭，信息科每月核查未闭环项并在例会通报。6.3第十七条业务连续性预案（临床侧）系统瘫痪时业务不能等，临床端按以下顺序降级运行：1.HIS停机30分钟内：各诊室启用「应急处方笺+纸质检查申请单」（总务科常备不少于3000份，每季度盘点），收费处启用手工收费登记，事后48小时内补录；2.停机超过30分钟：门诊启动分时段限流，广播通知；检验科危急值改为电话报告并双签记录；3.恢复后72小时内：各科室完成纸质医嘱、处方的系统补录，信息科核对补录完整率并出具报告，漏录率超过2%的科室报医务科督办；4.每年10月组织1次全院停机应急演练，演练不少于2小时，覆盖门诊、急诊、检验、收费四个场景，演练评分纳入科室年度考核。6.4第十八条网络安全事件（攻击、勒索、泄露）•勒索病毒：发现终端文件被加密后必须立即物理断网（拔网线，而非关机——关机会破坏内存中的取证线索与解密可能），同楼层其他终端暂停共享访问，信息科15分钟内启动隔离与溯源；•数据泄露：涉及患者个人信息泄露的，按《中华人民共和国个人信息保护法》要求评估风险，可能造成危害的72小时内（按院内流程，最终以法规及主管部门要求为准）向卫生健康主管部门与网信部门报告，同步通知受影响患者并告知补救措施；•严禁先自行「试杀毒」「重启看看」——错误操作可能销毁攻击痕迹并加速勒索软件横向扩散，任何发现人只做两件事：断网、打电话给信息科值班（电话见附件3）。七、第七章变更与外包管理7.1第十九条变更管理•任何影响生产环境的变更（版本升级、数据库结构调整、网络策略修改）须提前3个工作日提交《变更申请单》，含变更内容、影响面、回退方案、验证步骤；•重大变更安排在周五22:00后进行——不安排在周五之后时段的原因：留出周六、周日完整的观察期，避免问题在工作日高峰爆发；变更后连续监测48小时；•回退方案必须实测可行（在测试环境演练过），仅有书面回退步骤而无验证的变更申请不予批准；•变更完成24小时内更新运维台账与拓扑图。7.2第二十条外包与第三方•运维外包人员接入内网须使用实名临时账号（有效期按合同服务期设定，最长1年，到期自动失效）；•第三方远程运维优先使用堡垒机（操作全程录屏审计）；不具备堡垒机条件时，使用信息科临时开通的受控通道并由本院人员全程在场；严禁将防火墙映射端口直通服务器远程桌面；•涉及数据处理的合同必须包含保密条款与数据安全责任条款，明确数据归属医院、合同终止后10个工作日内返还并删除全部数据。八、第八章培训与考核8.1第二十一条培训•新员工岗前培训包含不少于2课时的信息安全内容（密码规范、终端安全、泄露报告流程），考核合格方可开通账号；•全员培训每年不少于1次；信息科、临床联络员专项培训每年2次；•每年6月与12月开展钓鱼邮件模拟测试，点击率高于10%的科室安排补训并复测。8.2第二十二条违规处理•首次违规且未造成后果（如密码张贴、违规接私接路由）：口头警告+限期整改；•造成局部影响（账号被盗用、终端中毒扩散）：全院通报，扣罚当事人当月绩效10%~30%；•造成数据泄露、重大停机或违反《中华人民共和国刑法》第二百八十五条、第二百八十六条（非法侵入、破坏计算机信息系统）的：移送司法机关并解除劳动合同。九、第九章附则•本制度由信息科负责解释，每2年评审修订1次；国家法律法规或等保要求发生变化时，信息科应在30日内提出修订草案；•本制度经院长办公会审议通过之日起施行，原有《计算机使用管理规定》同时废止；•相关记录表单保存期限：《账号申请表》《变更申请单》保存5年，《机房出入登记本》保存3年。附件1：系统账号申请表（样表）项目内容申请人姓名工号所在科室申请系统□HIS□EMR□LIS□PACS□OA□其他：申请角色/权限模板申请理由科室负责人签字日期：信息科审核意见经办人：日期：开通日期账号有效期至：附件2：应急联络通讯录（样表，信息科每季度更新张贴于科室值班台）岗位姓名联系电话