信息安全管理制度

第一章

信息安全管理制度CONTENTS

01定義02基本要求03釋義01.定義第二節(jié)指醫(yī)療機構(gòu)按照信息安全管理相關(guān)法律法規(guī)和技術(shù)標準要求，對醫(yī)療機構(gòu)患者診療信息的收集、存儲、使用、傳輸、處理、發(fā)

布等進行全流程系統(tǒng)性保障的制度。定義02.基本要求第二節(jié)制度與技術(shù)保障體系方面：醫(yī)療機構(gòu)要依法依規(guī)構(gòu)建起覆蓋患者診療信息管理全流程的制度以及相應的技術(shù)保障體系，同時完善組織架構(gòu)，清晰明確管理部門，并且切實落實信息安全等級保護等相關(guān)要求，全方位保障診療信息管理工作有序且合規(guī)開展。責任主體方面：明確醫(yī)療機構(gòu)主要負責人為患者診療信息安全管理的第一責任人，強化責任落實，確保信息安全管理工作能有明確的責任歸屬。風險評估與應急機制方面：需建立患者診療信息安全風險評估和應急工作機制，制定完善的應急預案，以便能提前察覺安全風險，并在出現(xiàn)突發(fā)情況時可以迅速、有效地應對?；疽笮畔①|(zhì)量保障方面：要確保實現(xiàn)本機構(gòu)患者診療信息管理全流程具備安全性、真實性、連續(xù)性、完整性、穩(wěn)定性、時效性以及溯源性，保證診療信息在各個環(huán)節(jié)都能符合高質(zhì)量的要求，為醫(yī)療工作等提供可靠的數(shù)據(jù)基礎。信息保護原則方面：建立患者診療信息保護制度，在使用患者診療信息時遵循合法、依規(guī)、正當、必要的原則，嚴格禁止出售或者擅自向他人或其他機構(gòu)提供患者診療信息，嚴守信息使用的底線。員工授權(quán)管理方面：建立員工授權(quán)管理制度，明確員工對于患者診療信息的使用權(quán)限以及相應責任，既保障員工正常使用信息的便利性，又能通過責任明確來規(guī)范員工行為；同時規(guī)定因個人授權(quán)信息保管不當造成不良后果由被授權(quán)人承擔，強化員工的責任意識?；疽蟀踩雷o與事故處理方面：不斷提升患者診療信息安全防護水平，積極防止信息出現(xiàn)泄露、毀損、丟失等情況。定期開展患者診療信息安全自查工作，建立相應的系統(tǒng)安全事故責任管理、追溯機制，一旦發(fā)生或者有可能發(fā)生患者診療信息泄露、毀損、丟失的情況，要馬上采取補救措施，并按照規(guī)定向有關(guān)部門進行報告，最大程度降低事故影響，維護信息安全?；疽?3.釋義第二節(jié)覆蓋范圍：涵蓋醫(yī)院信息系統(tǒng)（HIS）及其子系統(tǒng)（RIS、LIS、PACS、OA等），還有信息上傳與共享接口所有內(nèi)容。主要構(gòu)成：技術(shù)性安全文件體系：對信息系統(tǒng)技術(shù)要求、物理安全、網(wǎng)絡安全、數(shù)據(jù)安全、主機安全、應用安全提構(gòu)建要求與配置要素。安全管理制度：含醫(yī)療機構(gòu)安全管理機構(gòu)制度、安全管理制度、信息操作人員安全管理、系統(tǒng)建設管理制度、系統(tǒng)運行維護管理制度體系、安全應急預案，并有標準化操作規(guī)程作補充。1.信息安全全流程系統(tǒng)性保障制度包括哪些方面?關(guān)注重點：關(guān)注信息系統(tǒng)“六類”安全（真實性、完整性、保密性、可用性、可靠性、可控性），增強安全防護、隱患發(fā)現(xiàn)、應急響應能力。責任主體：醫(yī)療機構(gòu)主要負責人是信息安全管理第一責任人。1.信息安全全流程系統(tǒng)性保障制度包括哪些方面?等級劃分依據(jù)：根據(jù)《信息安全等級保護管理辦法》（公通字〔2007〕43號）規(guī)定，計算機信息安全劃分為五個等級。重要衛(wèi)生信息系統(tǒng)等級要求：按照原衛(wèi)生部《衛(wèi)生行業(yè)信息安全等級保護工作的指導意見》（衛(wèi)辦發(fā)〔2011〕85號）要求，以下重要衛(wèi)生信息系統(tǒng)安全保護等級原則上不低于第三級：衛(wèi)生統(tǒng)計網(wǎng)絡直報系統(tǒng)、傳染性疾病報告系統(tǒng)、衛(wèi)生監(jiān)督信息報告系統(tǒng)、突發(fā)公共衛(wèi)生事件應急指揮信息系統(tǒng)等跨省全國聯(lián)網(wǎng)運行的信息系統(tǒng)。國家、省、地市三級衛(wèi)生信息平臺，新農(nóng)合、衛(wèi)生監(jiān)督、婦幼保健等國家級數(shù)據(jù)中心。三級甲等醫(yī)療機構(gòu)的核心業(yè)務信息系統(tǒng)。原衛(wèi)生部網(wǎng)站系統(tǒng)。其他經(jīng)過信息安全技術(shù)專家委員會評定為第三級以上（含第三級）的信息系統(tǒng)。2.如何進行信息安全等級劃分?備案要求：衛(wèi)生健康行業(yè)各單位在確定信息系統(tǒng)安全保護等級后，對第二級以上（含第二級）信息系統(tǒng)，應當報屬地公安機關(guān)及衛(wèi)生健康行政部門備案?？缡∪珖?lián)網(wǎng)運行并由原衛(wèi)生部定級的信息系統(tǒng)，由國家衛(wèi)生健康委報公安部備案；在各地運行、應用的分支系統(tǒng)，應當報屬地公安機關(guān)備案。2.如何進行信息安全等級劃分?組織架構(gòu)網(wǎng)絡安全和信息化工作領導小組承擔醫(yī)院層面信息安全工作，是主要負責組織。分工職責領導小組組長：由醫(yī)療機構(gòu)主要負責人擔任。職責確定原則：按照“誰主管誰負責、誰運營誰負責、誰使用誰負責”的原則來明確各部門相應職責。具體工作內(nèi)容：在網(wǎng)絡建設過程中，各相關(guān)部門（如主管部門、運營部門、信息化部門、使用部門等）需對本單位運營范圍內(nèi)的網(wǎng)絡開展等級保護定級、備案、測評、安全建設整改等工作。規(guī)定依據(jù)：具體要求詳見《醫(yī)療衛(wèi)生機構(gòu)網(wǎng)絡安全管理辦法》（國衛(wèi)規(guī)劃發(fā)〔2022〕29號）相關(guān)規(guī)定。3.醫(yī)療信息安全的組織架構(gòu)及分工職責是什么?明確責任主體：醫(yī)療機構(gòu)主要負責人作為信息安全管理第一責任人，承擔首要責任。完善組織制度：建立與完善信息安全管理組織的工作制度與程序，以此規(guī)范組織內(nèi)部的管理及運作流程。規(guī)范采購驗收：建立與完善計算機信息系統(tǒng)硬件與軟件的采購、驗收制度與程序，從源頭把控信息系統(tǒng)相關(guān)產(chǎn)品的質(zhì)量及安全性。明晰崗位責任：明確信息系統(tǒng)使用與管理人員的崗位職責，要求其對所提供與使用的信息可信度及安全負責，強化個人在工作中的責任擔當。離崗交接規(guī)定：明確計算機信息系統(tǒng)專職管理人員離崗制度與交接程序，確保人員變動時信息系統(tǒng)相關(guān)工作能平穩(wěn)、安全過渡，避免因交接不清出現(xiàn)信息安全隱患。4.實施醫(yī)療機構(gòu)信息安全管理問責制有哪些內(nèi)容?5.如何建立與完善計算機信息系統(tǒng)的安全管理制度與流程?數(shù)據(jù)覆蓋與權(quán)屬明確計算機信息系統(tǒng)安全管理制度與流程要涵蓋患者的所有數(shù)據(jù)，針對如數(shù)字、圖像等不同類型的數(shù)據(jù)資料制定相應保護路徑措施，且明確這些數(shù)據(jù)的所有權(quán)歸患者個人。依據(jù)制度構(gòu)建技術(shù)標準按照數(shù)據(jù)安全保護制度來建立技術(shù)標準，借助以下技術(shù)手段對信息系統(tǒng)加以保護：存儲及備份技術(shù)：保障數(shù)據(jù)的存儲安全以及可恢復性。網(wǎng)絡安全監(jiān)控技術(shù)：實時監(jiān)測網(wǎng)絡運行情況，及時發(fā)現(xiàn)異常與潛在安全威脅。信息加密技術(shù)：對重要信息進行加密處理，防止信息泄露與非法獲取。5.如何建立與完善計算機信息系統(tǒng)的安全管理制度與流程?完善各項具體管理制度網(wǎng)絡安全漏洞檢測和系統(tǒng)升級管理制度：定期檢測系統(tǒng)安全漏洞，及時安排系統(tǒng)升級，確保系統(tǒng)安全穩(wěn)定運行。操作權(quán)限管理制度：清晰劃分并明確各崗位人員在信息系統(tǒng)中的操作權(quán)限范圍。用戶登記制度：對使用信息系統(tǒng)的所有用戶進行詳細登記，便于管理與追溯用戶行為。信息發(fā)布審查、登記、保存、清除和備份制度：把控信息發(fā)布全流程，從審查、登記到合理保存、適時清除及備份信息，確保信息發(fā)布合規(guī)、安全。規(guī)范禁止行為與員工教育梳理出任何單位和個人不得利用計算機信息系統(tǒng)從事的行為清單或目錄，傳達給有操作權(quán)限的員工，同時定期開展相關(guān)培訓和教育工作，增強員工信息安全意識與合規(guī)操作意識。5.如何建立與完善計算機信息系統(tǒng)的安全管理制度與流程?安全評估與持續(xù)改進安全評估組織與保障：定期、不定期安排醫(yī)院內(nèi)部與外部的信息安全評估組織對醫(yī)院信息系統(tǒng)進行安全評估，依靠相應制度與程序保障評估工作有序開展。結(jié)果應用與自查改進：將安全評估結(jié)果用于網(wǎng)絡安全持續(xù)改進活動，各醫(yī)療衛(wèi)生機構(gòu)每年需開展文檔核驗、漏洞掃描、滲透測試等多種形式的安全自查，及時發(fā)現(xiàn)問題隱患后，針對這些隱患認真落實整改加固措施，防止網(wǎng)絡“帶病”運行，按要求將安全自查及整改情況上報上級衛(wèi)生健康行政部門。6.如何根據(jù)醫(yī)療機構(gòu)患者診療信息安全風險評估的內(nèi)容

制定應急預案?明確風險背景患者診療信息在錄入、儲存、調(diào)閱、輸出等環(huán)節(jié)一直存在安全風險，并且通過網(wǎng)絡鏈接、數(shù)據(jù)接口、第三方共享平臺等途徑，還有信息被泄露和篡改的風險，所以制定應急預案很有必要，它是應對信息安全風險的基礎前提。設定組織機構(gòu)成立網(wǎng)絡與信息安全應急小組，該小組由領導小組、技術(shù)小組構(gòu)成，醫(yī)療機構(gòu)負責人擔任第一責任人。小組負責信息安全日常事務處理、應急處理以及安全通報等事務，明確各層級在應對信息安全問題時的組織架構(gòu)與職責分工。6.如何根據(jù)醫(yī)療機構(gòu)患者診療信息安全風險評估的內(nèi)容

制定應急預案?確定工作原則落實責任與機制：逐級建立并落實統(tǒng)計信息系統(tǒng)責任制和應急機制，確保每個層級都清楚自身責任，整個應急體系能有效運轉(zhuǎn)。遵循法規(guī)流程：嚴格按照法規(guī)規(guī)定的職責和流程開展工作，保證應急行動合法合規(guī)。預防預警優(yōu)先：秉持積極預防、及時預警的理念，提前做好防范措施，盡早察覺風險信號并發(fā)出預警。提升應急能力：積極提升應急處理能力，通過培訓、演練等方式增強應對突發(fā)情況的本領。協(xié)同配合工作：強調(diào)各部門協(xié)同配合開展工作，打破部門壁壘，形成應對信息安全風險的合力。6.如何根據(jù)醫(yī)療機構(gòu)患者診療信息安全風險評估的內(nèi)容

制定應急預案?制定應急措施基本應急處理流程涵蓋方面：報告和簡單處理：規(guī)定出現(xiàn)問題時如何及時報告情況，并進行初步的簡單處理，爭取在第一時間控制事態(tài)發(fā)展。故障分級分類判斷與處理：對可能出現(xiàn)的各種故障按照嚴重程度、類型等進行分級分類，針對不同級別和類型制定相應的處理辦法，使應對更具針對性和科學性。網(wǎng)絡線路故障排除：明確網(wǎng)絡線路出現(xiàn)故障時的排查和修復流程，保障網(wǎng)絡暢通，減少對診療信息相關(guān)業(yè)務的影響。黑客入侵應急處理：制定應對黑客入侵的應急策略，包括如何發(fā)現(xiàn)入侵跡象、阻斷攻擊以及修復被破壞的系統(tǒng)和數(shù)據(jù)等內(nèi)容。患者信息泄露的應急預案：針對患者信息泄露這一嚴重情況，規(guī)劃詳細的應對預案，例如如何及時止損、開展調(diào)查、通知相關(guān)方以及進行后續(xù)補救等措施。大規(guī)模病毒（含惡意軟件）攻擊的應急處理：準備好應對大規(guī)模病毒或惡意軟件攻擊的預案，確定查殺病毒、隔離受感染區(qū)域、恢復系統(tǒng)正常運行等處置原則。6.如何根據(jù)醫(yī)療機構(gòu)患者診療信息安全風險評估的內(nèi)容

制定應急預案?制定應急措施運營應急措施：制定醫(yī)院HIS（醫(yī)院信息系統(tǒng)）局部或全部癱瘓狀況下臨床運營處置預案，確保即便信息系統(tǒng)出現(xiàn)嚴重故障，臨床工作依然能夠有序開展，最大程度降低對醫(yī)療服務的影響。7.醫(yī)療機構(gòu)建立患者診療信息保護制度應當包含哪些方面?診療信息定義患者診療信息是醫(yī)療機構(gòu)在提供醫(yī)療服務過程中產(chǎn)生的，以一定形式記錄、保存的信息以及其他與醫(yī)療衛(wèi)生服務有關(guān)的信息，涵蓋患者個人基本信息、掛號信息、就診信息、住院醫(yī)囑信息、費用信息、影像資料和檢驗結(jié)果等各類臨床及相關(guān)內(nèi)容所組成的信息群集。保護制度構(gòu)成主要包含獲取制度、修改制度和安全保障制度這幾個方面，具體如下：獲取制度：獲取行為界定：明確規(guī)定在哪些情況下可獲取患者診療信息，例如用于報銷、外院就診、案件審理、臨床研究等正當用途。個人獲取流程及材料：詳細說明患者個人若要獲取自身診療信息時需遵循的流程以及需要準備的必需材料。政府或社會組織獲取流程及依據(jù)材料：針對政府部門或社會組織獲取患者診療信息的情況，制定相應的獲取流程，并明確其依據(jù)的相關(guān)材料要求。7.醫(yī)療機構(gòu)建立患者診療信息保護制度應當包含哪些方面?保護制度構(gòu)成修改制度：患者個人信息修改流程：規(guī)范患者個人信息需要修改時應遵循的具體操作流程，保障修改過程合規(guī)、準確。醫(yī)務人員醫(yī)囑、診斷等敏感信息修改流程：對醫(yī)務人員涉及醫(yī)囑、診斷這類較為敏感的診療信息修改，明確相應的修改流程，避免隨意更改，確保信息的嚴肅性和準確性。安全保障制度：內(nèi)部管理限制：規(guī)定任何患者的所有電子信息資料在未經(jīng)主管領導批準的情況下，只允許在醫(yī)療機構(gòu)內(nèi)部進行管理，嚴禁轉(zhuǎn)出機構(gòu)，防止信息外流。分級權(quán)限管理：通過分級權(quán)限管理的方式來保護患者資料，依據(jù)不同崗位人員的職責需求賦予相應權(quán)限，便于開展診治工作的同時保障信息安全。隱私信息傳播限制：強調(diào)未經(jīng)患者本人許可，不得將其疾病及相關(guān)隱私信息傳播給他人，嚴格保護患者隱私權(quán)益。8.為什么要建立分級授權(quán)制度?系統(tǒng)特性與信息情況：醫(yī)院信息系統(tǒng)為開放式，含大量個人及敏感數(shù)據(jù)，有眾多數(shù)據(jù)接口及登錄界面，信息易被不當獲取，需授權(quán)管控。面向人員多樣性：系統(tǒng)面向多種人員，工作人員和使用人員身份、崗位不同，對信息需求和操作要求有別，需設權(quán)限授權(quán)。授權(quán)工作特點：授權(quán)具唯一性和動態(tài)變化特點，分級管理模式可滿足差異化需求并靈活調(diào)整權(quán)限，具可行性。9.員工授權(quán)管理制度包括哪些方面?整體構(gòu)成方面：員工授權(quán)管理制度包括內(nèi)部人員授權(quán)管理制度、外包人員授權(quán)管理制度以及授權(quán)變更管理制度，從不同人員類型及權(quán)限變動角度進行全面涵蓋。授權(quán)審批明確方面：針對醫(yī)院信息系統(tǒng)相關(guān)的所有授權(quán)和審批事項，必須清晰明確各授權(quán)和審批的部門以及責任人，且信息安全管理各環(huán)節(jié)流程中涉及授權(quán)和審批的部分，都要依照此授權(quán)和審批事項的制度嚴格執(zhí)行，確保授權(quán)審批工作有章可循、責任明確。內(nèi)部人員授權(quán)管理方面：由醫(yī)療機構(gòu)信息安全領導小組主導并開啟相關(guān)工作，實施按層級分級授權(quán)和負責制度，通過層級劃分來明確不同級別人員的權(quán)限范圍及相應責任，實現(xiàn)內(nèi)部人員授權(quán)管理的有序性。9.員工授權(quán)管理制度包括哪些方面?外包人員授權(quán)管理方面：由醫(yī)療機構(gòu)信息安全工作小組組長進行授權(quán)，依據(jù)層級、部門崗位等因素來給予相應權(quán)限，并且要向授權(quán)方負責。對于沒有經(jīng)過正式授權(quán)的臨時信息系統(tǒng)維護需求，可由信息安全工作小組組長臨時授權(quán)同意后補充授權(quán)記錄，以此規(guī)范外包人員授權(quán)流程，保障臨時需求也能合理處理。授權(quán)行為監(jiān)管方面：重點加強對被授權(quán)者及其訪問權(quán)限操作行為的合規(guī)性進行監(jiān)管、評估并記錄在案，具體措施如下：操作日志記錄：建立與完善記錄操作日志，記錄一定周期內(nèi)的行為日志，借助軟件系統(tǒng)逐一識別，用以確定操作行為的合規(guī)性，便于追溯和監(jiān)督人員操作情況。操作系統(tǒng)識別庫建立：建立操作系統(tǒng)識別庫，對于那些不屬于識別庫的行為，系統(tǒng)要給予報警，甚至根據(jù)情況下調(diào)授權(quán)等次或中止授權(quán)，以此強化對異常操作行為的管控。。10.如何防止醫(yī)療信息泄露、毀損和丟失?建立信息分級安全管理系統(tǒng)與配套制度：按照信息安全等級要求，構(gòu)建起嚴格的信息分級安全管理系統(tǒng)，同時制定與之相匹配的工作制度。通過對信息進行分級管理，依據(jù)不同級別采取相應的安全防護措施，從整體上把控信息安全，降低信息泄露、毀損和丟失的風險。完善信息分級授權(quán)與使用管理規(guī)范：建立嚴格的信息分級授權(quán)制度體系，明確不同崗位、不同工作內(nèi)容對應的授權(quán)范圍，確保只有獲得相應授權(quán)的人員才能接觸和使用相關(guān)醫(yī)療信息。同時，制定基于管理需求、科研需求等的信息數(shù)據(jù)使用管理規(guī)范，并使其常態(tài)化運行，嚴格規(guī)范信息使用流程，防止因不當使用引發(fā)信息安全問題，保障信息在授權(quán)范圍內(nèi)安全使用。實行主數(shù)據(jù)雙備份制度：針對醫(yī)療信息建立主數(shù)據(jù)雙備份制度，要求對所有醫(yī)療信息都保存?zhèn)浞輸?shù)據(jù)和數(shù)據(jù)表，并且保證備份的數(shù)據(jù)與原始數(shù)據(jù)以及不同備份之間能夠保持良好的兼容互通。這樣在出現(xiàn)數(shù)據(jù)毀損、丟失等意外情況時，可以利用備份數(shù)據(jù)及時恢復，確保醫(yī)療信息的完整性和可用性。11.發(fā)生泄露事件后應急預案要點有哪些?保密第一原則：泄密發(fā)現(xiàn)人員在察覺到泄密事件的第一時間，要先對泄密事件本身嚴格保密，避免事件影響因過早擴散而進一步擴大，防止涉密信息被更多無關(guān)人員知曉，控制信息泄露范圍。報告對象選擇：已掌握涉密情況時：需選擇具有相應涉密級別的人員進行報告，或者直接向醫(yī)院信息安全領導小組組長報告，確保報告對象具備相應涉密處理能力和權(quán)限，能合理應對后續(xù)處置工作。未掌握涉密情況時：應向上一級信息安全主管報告，按照層級管理秩序，讓更有經(jīng)驗、更具決策能力的上級來統(tǒng)籌后續(xù)應對舉措。處置全程保密：在整個泄密事件的處置過程中，都要嚴格做好保密工作，無論是調(diào)查過程、采取的補救措施還是內(nèi)部溝通協(xié)調(diào)等環(huán)節(jié)，防止因處置環(huán)節(jié)的疏忽導致涉密信息再次泄露，保障處置工作在保密狀態(tài)下有序開展。12.如何建立患者診療信息安全事故責任的追溯機制?責任追溯原則：依信息安全分級授權(quán)和信息分級保護要求，對事故責任逐級追溯。相關(guān)制度構(gòu)建：建立溯源技術(shù)標準體系確保技術(shù)可行性。建立患者診療數(shù)據(jù)使用登記制度實現(xiàn)數(shù)據(jù)有跡可循。建立溯源監(jiān)管和獎懲制度強化溯源機制作用。13.如何實施軟件安全管理?臨床信息系統(tǒng)軟件管理維護：醫(yī)療機構(gòu)臨床信息系統(tǒng)軟件的日常管理和維護工作，需交由本機構(gòu)計算機信息系統(tǒng)的專職管理員負責實施，明確責任主體，保障軟件能得到專業(yè)且規(guī)范的日常運維管理。軟件公司維保情況管理：對于由開發(fā)該軟件的公司負責維護的醫(yī)療機構(gòu)，要在維保協(xié)議里明確規(guī)定軟件公司應書面報告每次維護的具體情況，并且這些報告需經(jīng)過使用方認可后，再報給計算機信息系統(tǒng)專職管理員進行備案，以此確保軟件維護過程的透明性與可追溯性。13.如何實施軟件安全管理?新軟件應用及迭代開發(fā)管理：新軟件應用：各科室自行開發(fā)或應用的新軟件，除上級或政府職能部門指定統(tǒng)一使用的情況外，都必須按照規(guī)定的程序申報，經(jīng)網(wǎng)絡安全和信息化工作領導小組討論批準后，才可以應用，嚴格把控新軟件的準入關(guān)。迭代開發(fā)：在原有系統(tǒng)上進行新功能的迭代