醫(yī)院系統(tǒng)安全管理制度

1、20、（62.2）醫(yī)院系統(tǒng)安全管理制度1中醫(yī)院系統(tǒng)安全管理制度第一條為了保證醫(yī)院網(wǎng)絡(luò)的正常運(yùn)行，保護(hù)醫(yī)院網(wǎng)絡(luò)系統(tǒng)的安全和網(wǎng)絡(luò)用 戶的使用權(quán)益，特制定本安全管理制度。第二條本管理制度所稱的醫(yī)院網(wǎng)絡(luò)系統(tǒng)是指在醫(yī)院信息系統(tǒng)中，由計(jì)算機(jī) 及配套設(shè)施構(gòu)成的，按照醫(yī)院網(wǎng)絡(luò)信息系統(tǒng)的應(yīng)用目標(biāo)和規(guī)定，對(duì)數(shù)據(jù)進(jìn)行采 集、加工、存儲(chǔ)、傳輸、檢索等處理的人機(jī)系統(tǒng)。第三條醫(yī)院網(wǎng)絡(luò)系統(tǒng)安全管理是通過(guò)實(shí)施身份認(rèn)證、訪問(wèn)控制與授權(quán)管理、數(shù)據(jù)備份和災(zāi)備系統(tǒng)、安全分域及邊界防護(hù)、防病毒系統(tǒng)、入侵檢測(cè)、補(bǔ) 丁管理、郵件安全網(wǎng)關(guān)、遠(yuǎn)程接入等安全技術(shù)和與之相配套的管理制度，保障 網(wǎng)絡(luò)主機(jī)及配套設(shè)備、設(shè)施的安全，網(wǎng)絡(luò)運(yùn)行環(huán)境的安全，從

2、而達(dá)到保障計(jì)算 機(jī)網(wǎng)絡(luò)系統(tǒng)安全運(yùn)行和信息安全的目的。第四條信息科負(fù)責(zé)醫(yī)院計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全管理工作，確保對(duì)計(jì)算機(jī)網(wǎng) 絡(luò)系統(tǒng)安全管理的有效性。第五條計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的建設(shè)和應(yīng)用應(yīng)遵守上級(jí)主管部門頒發(fā)的行政法 規(guī)、用戶手冊(cè)和其他相關(guān)規(guī)定。第六條計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)實(shí)行安全等級(jí)保護(hù)和用戶使用權(quán)限劃分。安全等級(jí) 和用戶使用權(quán)限的劃分和設(shè)置由信息科負(fù)責(zé)制定和實(shí)施。（注釋：以下為身份 認(rèn)證）第七條計(jì)算機(jī)入網(wǎng)運(yùn)行必須經(jīng)信息科批準(zhǔn)備案，分配ip地址后，方可接入網(wǎng)絡(luò)。第八條要對(duì)重要主機(jī)的用戶名、開機(jī)口令、應(yīng)用口令和數(shù)據(jù)庫(kù)口令實(shí)施重 點(diǎn)管理，嚴(yán)格控制設(shè)備存取及加密，未經(jīng)允許嚴(yán)禁外來(lái)盤片帶入機(jī)房對(duì)服務(wù)器 進(jìn)行安裝等，不準(zhǔn)

3、將機(jī)器設(shè)備和數(shù)據(jù)帶出機(jī)房。第九條未辦理入網(wǎng)手續(xù)，任何單位和個(gè)人不得非法私自將計(jì)算機(jī)接入醫(yī)院 網(wǎng)絡(luò)，不得以不真實(shí)身份使用網(wǎng)絡(luò)資源，不得竊取他人賬號(hào)、口令使用網(wǎng)絡(luò)資 源，不得盜用未經(jīng)合法申請(qǐng)的IP地址入網(wǎng)。未經(jīng)信息科允許，任何單位或個(gè)人 不得擅自接納網(wǎng)絡(luò)用戶。（注釋：以下為訪問(wèn)控制與授權(quán)管理）第十條應(yīng)根據(jù)網(wǎng)絡(luò)主機(jī)不同的安全級(jí)別采取相應(yīng)的訪問(wèn)控制、數(shù)據(jù)保護(hù)、 保密監(jiān)控管理和系統(tǒng)安全等技術(shù)措施。第十一條信息科定期對(duì)網(wǎng)上用戶的訪問(wèn)及授權(quán)情況進(jìn)行檢查，及時(shí)發(fā)現(xiàn)和 限制非法用戶和非授權(quán)訪問(wèn)。第十二條要按要求對(duì)數(shù)據(jù)進(jìn)行日備份、月備份和年備份。嚴(yán)格按操作規(guī)程 進(jìn)行數(shù)據(jù)備份工作，確保備份數(shù)據(jù)的完整和準(zhǔn)確性，做好備

4、份數(shù)據(jù)的審核工 作，并做好相應(yīng)記錄。要確保導(dǎo)出、導(dǎo)入數(shù)據(jù)的完整和準(zhǔn)確，并做好導(dǎo)出、導(dǎo) 人數(shù)據(jù)的審核工作和相應(yīng)記錄。（注釋：以下為安全分域及邊界防護(hù)）第十三條加強(qiáng)邊界安全的防護(hù)，應(yīng)根據(jù)安全區(qū)域劃分情況明確需進(jìn)行安全 防護(hù)的邊界，并實(shí)施有效的訪問(wèn)控制策略和機(jī)制。第十四條應(yīng)在網(wǎng)絡(luò)系統(tǒng)或安全域邊界的關(guān)鍵點(diǎn)采用嚴(yán)格的安全防護(hù)機(jī)制，如嚴(yán)格的登錄/鏈接控制，高性能的防火墻、防病毒網(wǎng)關(guān)、 入侵防范、信息過(guò)濾、邊界完整性檢查等。第十五條要實(shí)施必要的邊界訪問(wèn)、違規(guī)外聯(lián)的審計(jì)和控制。（注釋：以下為 入侵檢測(cè)）第十六條應(yīng)采用必要的手段（如入侵檢測(cè)系統(tǒng)、日志分析、網(wǎng)絡(luò)取證分析等） 對(duì)系統(tǒng)內(nèi)的安全事件進(jìn)行監(jiān)控，檢測(cè)攻擊行

5、為并能發(fā)現(xiàn)系統(tǒng)內(nèi)非授權(quán)使用情 況。第十七條應(yīng)禁止系統(tǒng)內(nèi)用戶非授權(quán)的外部鏈接（如自動(dòng)撥號(hào)、違規(guī)鏈接和無(wú) 線上網(wǎng)）。（注釋：以下為防病毒系統(tǒng)）第十八條應(yīng)部署有效的網(wǎng)絡(luò)病毒防范軟 件系統(tǒng)和相應(yīng)的網(wǎng)絡(luò)病毒防范管理辦法，實(shí)施對(duì)計(jì)算機(jī)網(wǎng)絡(luò)病毒的有效防范。第十九條要制定文檔化的明確的計(jì)算機(jī)病毒和惡意代碼防護(hù)策略，以及確 保策略有效實(shí)施規(guī)章制度。第二十條應(yīng)在系統(tǒng)內(nèi)關(guān)鍵的入口點(diǎn)以及各工作站、服務(wù)器和移動(dòng)計(jì)算機(jī)設(shè) 備上采取計(jì)算機(jī)病毒和惡意代碼防護(hù)措施。（注釋：以下為備份和恢復(fù)）第二十一條應(yīng)制定文檔化的信息系統(tǒng)備份和恢復(fù)的策略，建立健全備份和 恢復(fù)的管理制度和操作規(guī)程。第二十二條備份包括關(guān)鍵業(yè)務(wù)數(shù)據(jù)的備份、關(guān)鍵業(yè)務(wù)

6、設(shè)備（如服務(wù)器、交換 機(jī)等）的備份和電源備份。對(duì)重要信息系統(tǒng)（如HIs系統(tǒng)）的關(guān)鍵設(shè)施（如服務(wù)器） 采取熱備份。第二十三條應(yīng)定期備份和對(duì)恢復(fù)策略進(jìn)行測(cè)試，以保證其有效性。要有系 統(tǒng)恢復(fù)的預(yù)案和演練。第二十四條應(yīng)根據(jù)業(yè)務(wù)的重要程度、信息系統(tǒng)的資產(chǎn)價(jià)值等進(jìn)行相應(yīng)的需 求分析，確定系統(tǒng)恢復(fù)的目標(biāo)，如：關(guān)鍵業(yè)務(wù)功能、恢復(fù)的優(yōu)先順序、恢復(fù)的 時(shí)間范圍。（注釋：以下為遠(yuǎn)程接人） 第二十五條為確保醫(yī)院計(jì)算機(jī)局域 網(wǎng)絡(luò)運(yùn)行安全，要在有效部署防火墻、入侵檢測(cè)和防病毒系統(tǒng)的情況下，實(shí)施 遠(yuǎn)程接入。醫(yī)院業(yè)務(wù)網(wǎng)（內(nèi)網(wǎng)）與遠(yuǎn)程接入（外網(wǎng)）業(yè)務(wù)的物理隔離。凡涉密的計(jì)算 機(jī)主機(jī)不得與互聯(lián)網(wǎng)（Internet）鏈接。第二十六

7、條任何部門和個(gè)人使用醫(yī)院網(wǎng)絡(luò)提供的遠(yuǎn)程接人服務(wù)必須向信息 科申請(qǐng)。入網(wǎng)用戶的用戶名和IP地址是用戶在醫(yī)院局域網(wǎng)上的合法標(biāo)識(shí)，也是 對(duì)用戶收費(fèi)的重要依據(jù)，一經(jīng)指定不得擅自更改。第二十七條未經(jīng)信息科批準(zhǔn)，任何個(gè)人或部門不得為外單位人員提供電子 郵件或其他網(wǎng)絡(luò)服務(wù)。第二十八條所有入網(wǎng)用戶，應(yīng)當(dāng)遵守國(guó)家有關(guān)法律、法規(guī)及醫(yī)院的有關(guān)規(guī) 章制度，嚴(yán)格執(zhí)行安全保密制度，不得利用計(jì)算機(jī)網(wǎng)絡(luò)從事危害國(guó)家安全、損 害醫(yī)院利益等違法、違規(guī)活動(dòng)，不得制作、查閱、復(fù)制和傳播擾亂社會(huì)治安、 有傷風(fēng)化、淫穢色情等信息，不得利用網(wǎng)絡(luò)攻擊、損害公用網(wǎng)絡(luò)和其他用戶。 否則，醫(yī)院有權(quán)停止對(duì)其提供的服務(wù)；由此造成的不良后果由用戶承擔(dān)。第二十九條使用計(jì)算機(jī)機(jī)網(wǎng)絡(luò)系統(tǒng)的部門和個(gè)人必須遵守計(jì)算機(jī)安全使用 的規(guī)定，對(duì)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)發(fā)生的問(wèn)題和故障要立即向信息中心報(bào)告。第三十條用戶不得從事下列危害計(jì)算機(jī)網(wǎng)絡(luò)安全的行為：1、未經(jīng)允許，進(jìn)入計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)或使用網(wǎng)上信息資源：2、私自轉(zhuǎn)借或轉(zhuǎn)讓用戶賬號(hào)，盜用他人賬號(hào)或IP地址：3、未經(jīng)允許，對(duì)網(wǎng)上應(yīng)用系統(tǒng)的功能進(jìn)行刪減或更改：4、未經(jīng)允許，對(duì)計(jì)算機(jī)網(wǎng)絡(luò)的存儲(chǔ)、處理或傳輸數(shù)據(jù)和應(yīng)用程序進(jìn)行刪減 或更改；5、故意制作、傳播計(jì)算機(jī)病毒等破壞程序，使用任何工具破壞網(wǎng)絡(luò)正常運(yùn) 行；6、破壞、盜用計(jì)算機(jī)網(wǎng)絡(luò)中的信息資源和危