电子处方流转安全规范指南（2026版）

电子处方流转安全规范指南（2026版）第一章总则为确保电子处方在医疗卫生机构、处方流转平台以及零售药店之间的安全、高效、合规流转，保障患者隐私权和用药安全，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《电子签名法》及相关医疗卫生管理行政法规，结合2026年信息技术发展趋势与医疗行业实际应用场景，制定本规范指南。本指南适用于所有参与电子处方流转活动的医疗机构、药品经营企业、第三方信息技术服务提供商及相关监管单位。电子处方流转的各个环节必须坚持安全可控、权责清晰、全程可溯、隐私保护的基本原则，确保处方数据的真实性、完整性、保密性和可用性。第二章总体架构与基础设施安全电子处方流转系统的总体架构应遵循“安全分区、网络专用、横向隔离、纵向认证”的策略。基础设施层需构建坚实的物理环境与网络基础，确保上层应用的数据安全。第一节网络安全架构设计系统应部署在符合国家B级以上标准的机房或通过可信云认证的云环境中。网络区域必须严格划分为外联区、业务应用区、数据存储区、安全管理区等不同安全域。各区域之间必须部署下一代防火墙、入侵防御系统（IPS）及网络访问控制设备，实施严格的访问控制策略。核心业务数据流必须通过加密通道传输，严禁跨区域直接访问非授权服务。为防止网络攻击扩散，应采用零信任安全架构理念，对所有访问主体进行持续验证。特别是针对处方数据库的访问，必须通过数据库审计与防火墙的双重验证。关键网络节点应部署流量分析与威胁感知设备，能够实时检测并阻断针对处方数据的异常流量攻击，如DDoS攻击、SQL注入、XSS跨站脚本攻击等。第二节计算环境与终端安全服务器端应采用具备可信计算技术的操作系统和数据库系统。核心处方数据存储必须采用自主可控的存储设备，并配置磁盘阵列及数据冗余机制。对于关键应用服务器，应实施主机加固，关闭非必要的服务端口，定期进行漏洞扫描与补丁更新。终端安全同样至关重要，包括医生开具处方的工作站、药师审核终端以及药店调配终端。所有终端设备必须安装终端安全管理软件，实施统一的补丁管理、病毒查杀和外设管控。严禁在业务终端上安装与业务无关的软件，严禁使用未经认证的外部存储设备（如U盘、移动硬盘）接入终端。对于远程接入场景，必须通过VPN或多因素认证的SSLVPN方式进行，并确保接入终端符合基线安全配置要求。第三章身份认证与访问控制电子处方流转涉及医生、药师、患者及系统管理员等多类角色，严格的身份认证与权限管理是防止处方被篡改、冒用或泄露的第一道防线。第一节电子实名认证体系所有系统用户必须实施基于实名制的身份认证。医师、药师等医疗卫生专业技术人员必须使用由卫生健康行政部门认可的第三方电子认证服务机构（CA机构）发放的数字证书进行身份标识。该数字证书应基于SM2（或更高安全级别）非对称加密算法，具备不可抵赖性。患者身份认证应采用多重验证机制。除了常规的用户名/密码或手机验证码外，对于敏感操作（如处方确认、支付），应引入生物特征识别技术（如人脸识别、指纹比对）或国家统一电子健康码/医保凭证认证。系统需具备活体检测功能，防止使用照片或视频进行欺诈性认证。对于老年人等特殊群体，应保留线下辅助认证渠道，并做好记录备查。第二节细粒度权限控制（RBAC与ABAC结合）系统应建立基于角色的访问控制（RBAC）与基于属性的访问控制（ABAC）相结合的权限管理体系。权限分配应遵循“最小权限原则”和“职责分离原则”。医师权限：仅限于在注册执业地点内为确诊患者开具处方，权限范围限制在其执业科目与用药范围内。药师权限：仅限于审核处方、调配药品及提供用药咨询，严禁获取非审核必要的社会学信息。管理员权限：系统运维与数据库管理权限必须严格分离。超级管理员账号默认应处于封存状态，日常操作通过普通管理员账号进行，并实行双人复核机制。严禁发生一人掌握所有关键权限的情况。关键操作岗位应建立定期轮岗制度，特殊岗位的人员离岗必须立即注销其系统访问权限并回收数字证书。第四章数据安全与隐私保护电子处方包含患者核心健康隐私数据，数据的全生命周期安全防护是本规范的核心内容。第一节数据分类分级与存储安全依据数据敏感程度，将电子处方相关数据划分为核心数据、重要数据和一般数据。患者姓名、身份证号、诊断信息、药品明细、联系方式等属于核心数据，必须采取最高级别的保护措施。核心数据存储必须采用加密技术。数据库中敏感字段应采用国密算法（如SM4）进行加密存储，加密密钥必须与应用数据分离存储，并通过硬件安全模块（HSM）或专用密钥管理系统进行管理。数据库访问日志必须记录到独立的安全日志服务器中，防止攻击者通过删除数据库日志来掩盖踪迹。对于电子处方的原图或结构化数据，应建立完善的备份机制。备份数据应同样实施加密保护，并定期进行恢复演练。备份数据的存储应遵循“异地备份”原则，确保在发生区域性灾难时能够快速恢复业务。第二节数据脱敏与去标识化在处方流转的各个环节中，除了直接参与诊疗和药品调配的人员外，其他人员（如物流配送、数据统计、客服人员）接触到的数据必须经过脱敏处理。展示脱敏：在前端界面展示时，对患者姓名、身份证号、手机号等关键信息进行掩码处理（如：张、110*****1234）。交换脱敏：在进行跨机构数据交换或科研分析时，必须对数据进行去标识化处理，确保无法通过数据反向关联到特定个人。物流脱敏：处方流转至药品配送环节时，配送人员仅能获取配送必要的信息（如收货地址、联系方式），严禁查看患者的具体诊断和处方明细。脱敏算法应具备不可逆性，且需经过安全专家的评审，防止通过高频查询或其他手段进行数据复原。第三节数据传输安全电子处方在医疗机构、HIS系统、处方流转平台、药店系统及医保结算系统之间传输时，必须采用加密通道。传输层应强制使用TLS1.3或更高版本的协议，禁用弱加密算法套件。应用层的数据交换应采用数字签名技术，确保数据在传输过程中不被篡改。发送方对处方数据进行摘要计算并使用私钥签名，接收方使用发送方公钥验签。任何签名验证失败的处方数据，系统必须自动拒绝接收并触发安全告警。对于接口调用的身份认证，应采用OAuth2.0+JWT（JSONWebToken）等安全令牌机制，并严格控制令牌的有效期和刷新策略。第五章电子处方全生命周期业务安全本章节详细规定电子处方从开具、审核、流转、调配到归档的全过程安全要求。第一节电子处方开具安全医师在开具电子处方前，必须完成对患者身份的核验。开方系统应集成电子病历（EMR）数据，辅助医师合理用药。系统应强制嵌入“合理用药监测系统”，在医师提交处方前自动进行药物相互作用审查、过敏史审查、剂量审查等。若系统触发“红灯”警示（禁忌症），医师必须强制进行原因说明并经上级医师授权（或系统确认无风险）后方可强行提交，该过程将被系统严格记录。电子处方必须经过可靠的电子签名。电子签名应当符合《电子签名法》要求，包含签名人身份信息、签名时间、签名哈希值等信息，并加盖时间戳，以确定处方生成的精确时间，防止事后抵赖或时间篡改。系统应具备防重放攻击机制，确保签名的处方数据唯一有效。第二节电子处方审核与调配安全处方审核是保障用药安全的关键环节。接收端系统（如药房或审方中心）在收到处方后，必须先验证电子签名的有效性和完整性。审核药师应在独立的审核终端上进行操作，审核过程需进行音视频录制或电子留痕，确保审核行为可追溯。审核通过的处方方可进入收费和调配环节。调配系统在生成发药单时，应自动生成唯一的流转追溯码（如二维码）。该追溯码关联处方信息、药品批次信息、操作人员信息等。药师在调配和核对时，需扫描追溯码进行确认，确保“人、方、药”一致。对于特殊管理药品（如麻醉药品、精神药品、医疗用毒性药品），电子处方流转系统除符合上述基本要求外，还必须实施更严格的“双人双锁”电子管理及专用处方登记制度，且此类处方数据必须通过专用加密通道单独上报监管平台。第三节电子处方流转与追溯安全处方流转平台作为数据交换的枢纽，必须具备高可用性和防篡改能力。建议引入区块链技术，将处方生成的哈希值上链存储。区块链节点应由监管机构、核心医疗机构、行业协会共同参与维护，确保处方数据一旦上链，任何一方无法单方面修改，从而解决机构间的互信问题。流转过程中的每一个状态变更（如：已开方、已审核、已支付、已发药、已配送）都必须实时记录到业务日志中，并附带时间戳和操作节点标识。患者可通过官方授权渠道查询处方流转的实时状态，一旦发现异常状态（如在未就医情况下产生处方），可立即发起申诉或挂失。第六章接口安全与互操作规范为实现不同医疗机构、不同厂商系统之间的无缝对接，接口安全是保障数据流转顺畅且不被入侵的关键。第一节API接口安全防护所有对外提供的API接口必须发布在API网关之后，通过网关实施统一的安全策略。API网关应具备流量控制、访问控制、参数校验、防攻击过滤等功能。针对每个调用方（如医院HIS、药店系统、医保系统），分配唯一的APIKey和密钥，并限制其IP地址访问范围。接口调用必须进行签名验证。请求方应将请求参数按规则排序，使用双方约定的密钥进行HMAC-SHA256签名计算，并将签名结果放在请求头中。服务端收到请求后，需先验证签名，签名不通过直接拒绝服务。对于高敏感接口（如获取处方明细），必须引入短期有效的动态令牌。第二节数据交换格式与标准化数据交换应采用结构化标准格式，推荐使用JSON或XML，并遵循HL7FHIR（FastHealthcareInteroperabilityResources）R4或更高版本的国际标准，以及国内通用的卫生信息数据元标准。标准化的数据格式有助于减少因格式转换导致的数据丢失或解析错误引发的安全漏洞。接口文档应详细描述数据字段含义、类型、长度、约束条件及枚举值，并在版本更新时严格遵循向后兼容性原则。若涉及破坏性变更，必须提前通知所有对接方并设立并行过渡期。第七章安全监测、审计与应急响应建立主动式的安全监测体系和完善的审计机制，是应对突发安全事件、降低损失的必要手段。第一节安全监测与日志审计系统应部署集中的安全信息与事件管理系统（SIEM），收集网络设备、安全设备、服务器、数据库及应用系统的日志。日志内容应包括但不限于：用户登录/登出时间、IP地址、操作模块、操作对象（如处方ID）、操作类型（查询、修改、删除）、操作结果等。日志存储时间应不少于6个月，对于涉及核心数据操作的日志，建议保存3年以上。审计人员应定期（至少每月）对日志进行分析，重点关注异常登录、批量数据下载、非工作时间访问、权限提升等高风险行为。为规范日志审计流程，建议制定以下审计事件分类表：审计事件等级事件描述示例响应时效要求处置措施紧急核心处方数据库被删除、勒索病毒感染、大规模数据泄露实时（<5分钟）立即启动应急预案，物理断网，报警，保全证据高危未授权的超级管理员登录、特殊管理药品处方异常修改、批量导出患者隐私实时（<15分钟）冻结相关账号，阻断违规操作，发起人工核查中危连续多次密码错误、短时间大量高频接口调用、非工作时间访问核心业务近实时（<1小时）增加验证挑战，发送告警至管理员，加强监控低危单次策略违规（如弱密码尝试）、非敏感配置变更日终（24小时内）记录日志，纳入月度考核，必要时通报整改第二节应急响应与灾难恢复必须制定完善的《电子处方流转安全事件应急预案》，预案应涵盖组织架构、应急流程、通讯录、资源保障等内容。每年至少组织一次全流程的应急演练，包括网络攻击演练、数据恢复演练、业务中断切换演练等，以检验预案的有效性。灾难恢复能力是业务连续性的保障。关键业务系统应达到《信息系统安全等级保护基本要求》第三级或以上的灾难恢复能力等级要求。恢复点目标（RPO）应接近于零，恢复时间目标（RTO）应小于4小时。应建立异地灾备中心，确保在主数据中心发生灾难时，能够迅速切换至备用环境，保障处方流转业务不中断。第八章合规性管理与人员培训技术手段是基础，管理制度与人员意识是保障。第一节法律法规与标准合规电子处方流转系统的建设、运营和维护必须严格遵守国家网络安全等级保护制度（等保2.0），第三级及以上系统每年需通过权威机构的测评。涉及100万人以上个人信息的处理者，应按规定申报网络安全审查。同时，需符合《药品网络销售监督管理办法》等特定行业监管要求，确保网售药行为的合法性。跨境数据传输（如涉及海外医疗援助）必须通过国家网信部门的安全评估。第二节人员安全管理与意识培训所有接触处方数据的人员必须签署保密协议，明确保密义务与法律责任。在入职前必须进行背景调查，确保无相关犯罪记录。定期开展信息安全意识培训，培训内容包括但不限于：最新网络安全威胁、社会工程学防范、密码安全规范、数据保护法律法规等。培训后需进行考核，考核不合格者暂停系统访问权限。设立内部举报机制，鼓励员工举报违规操