醫(yī)療行業(yè)如何開展等級保護工作

醫(yī)療行業(yè)如何開展等級保護工作？時代新威等級保護小組目錄政策背景重要政策分析工作經(jīng)驗總結contents01政策背景政策背景網(wǎng)絡安全相關監(jiān)管要求文件1.《中華人民共和國網(wǎng)絡安全法》2017年6月2.《公安機關互聯(lián)網(wǎng)安全監(jiān)督檢查規(guī)定》(公安部第151號令【2018】)3.《網(wǎng)絡安全等級保護條例》（征求意見）公安部2018年6月4.《信息安全等級保護管理辦法》（公通字【2007】43號）5.《個人信息和重要數(shù)據(jù)出境安全評估辦法（征求意見稿）》

2017年4月，國家互聯(lián)網(wǎng)信息辦公室6.《數(shù)據(jù)安全管理辦法（征求意見稿）》2019年5月國家互聯(lián)網(wǎng)信息辦公室7.《關鍵信息基礎設施安全保護條例（征求意見稿）》

2017年7月國家互聯(lián)網(wǎng)信息辦公室8.《計算機信息系統(tǒng)安全保護條例》（國務院令第147號）9.《計算機軟件保護條例》（國務院令【2013】第632號）政策背景醫(yī)療行業(yè)網(wǎng)絡安全相關監(jiān)管要求文件1.衛(wèi)辦發(fā)〔2011〕85號《衛(wèi)生行業(yè)信息安全等級保護工作的指導意見》的通知2.衛(wèi)辦綜函〔2011〕1126號《衛(wèi)生部辦公廳關于全面開展衛(wèi)生行業(yè)信息安全等級保護工作》的通知3.由國家衛(wèi)生健康委員會、國家中醫(yī)藥管理局于2018年7月17日印發(fā)《互聯(lián)網(wǎng)醫(yī)院管理辦法（試行）》4.國衛(wèi)規(guī)劃發(fā)〔2014〕24號《人口健康信息管理辦法（試行）》的通知5.2016年衛(wèi)健委發(fā)《2016三級綜合醫(yī)院評審標準考評辦法(完整版)》6.國衛(wèi)規(guī)劃發(fā)〔2018〕23號《國家健康醫(yī)療大數(shù)據(jù)標準、安全和服務管理辦法（試行）》的通知政策背景2018年7月國家衛(wèi)健委發(fā)布《國家健康醫(yī)療大數(shù)據(jù)標準、安全和服務管理辦法(試行)》，規(guī)定承載醫(yī)療大數(shù)據(jù)的平臺必須落實等級保護制度，健康醫(yī)療大數(shù)據(jù)中心、相關信息系統(tǒng)要開展定級、備案、測評等工作。2018年9月國家衛(wèi)健委發(fā)布《關于印發(fā)互聯(lián)網(wǎng)診療管理辦法(試行)等3個文件的通知》，要求開展互聯(lián)網(wǎng)診療服務的醫(yī)療機構必須實施第三級信息安全等級保護。2019年11月國家衛(wèi)生健康委辦公廳發(fā)布《國家呼吸醫(yī)學中心及國家呼吸區(qū)域醫(yī)療中心設置標準的通知》，在信息化建設方面，醫(yī)院核心業(yè)務系統(tǒng)達到“國家信息安全等級保護制度三級要求”。從近兩年國家頒布的政策法規(guī)中可以看出，國家對互聯(lián)網(wǎng)+醫(yī)療、大數(shù)據(jù)醫(yī)療及醫(yī)院區(qū)域中心設置標準中都有明確的等級保護要求。落實好網(wǎng)絡安全等級保護制度是醫(yī)療行業(yè)保障網(wǎng)絡安全的一塊基石。政策背景從近兩年國家頒布的政策法規(guī)中可以看出，國家對互聯(lián)網(wǎng)+醫(yī)療、大數(shù)據(jù)醫(yī)療及醫(yī)院區(qū)域中心設置標準中都有明確的等級保護要求。落實好網(wǎng)絡安全等級保護制度是醫(yī)療行業(yè)保障網(wǎng)絡安全的一塊基石。02重要政策分析《中國軟件評測中心網(wǎng)安中心對醫(yī)療行業(yè)開展等級保護工作的建議》重要政策分析一、合理開展系統(tǒng)定級備案工作醫(yī)療行業(yè)目前急需落實網(wǎng)絡安全等級保護的系統(tǒng)有兩類，一是傳統(tǒng)核心業(yè)務系統(tǒng)，二是新建融合了各種新技術的信息系統(tǒng)。開展網(wǎng)絡安全等級保護工作的第一步就是合理對這些系統(tǒng)進行等級保護定級。中國軟件評測中心網(wǎng)安中心整理了目前有關部門發(fā)布的意見。早在2011年，還是等級保護1.0時代，原衛(wèi)生部頒發(fā)的《衛(wèi)生行業(yè)信息安全等級保護工作的指導意見》明確以下重要衛(wèi)生信息系統(tǒng)安全保護等級原則上不低于三級：重要政策分析1.衛(wèi)生統(tǒng)計網(wǎng)絡直報系統(tǒng)、傳染性疾病報告系統(tǒng)、衛(wèi)生監(jiān)督信息報告系統(tǒng)、突發(fā)公共衛(wèi)生事件應急指揮信息系統(tǒng)等跨省全國聯(lián)網(wǎng)運行的信息系統(tǒng);2.國家、省、地市三級衛(wèi)生信息平臺，新農(nóng)合、衛(wèi)生監(jiān)督、婦幼保健等國家級數(shù)據(jù)中心;3.三級甲等醫(yī)院的核心業(yè)務信息系統(tǒng);4.衛(wèi)生部網(wǎng)站系統(tǒng);5.其他經(jīng)過信息安全技術專家委員會評定為第三級以上(含第三級的信息系統(tǒng))。重要政策分析但隨著新興技術的發(fā)展，等級保護2.0將云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)、移動互聯(lián)等新技術產(chǎn)業(yè)也納入了監(jiān)管行列，顯然2011年的指導意見已經(jīng)不那么充分了，好在上海市衛(wèi)生健康委員會2019年1月發(fā)布了《關于進一步調整本市衛(wèi)生健康行業(yè)重要信息系統(tǒng)定級范圍的通知》，進一步明確了區(qū)屬二、三級醫(yī)療機構和社區(qū)衛(wèi)生服務中心的相關信息系統(tǒng)安全保護等級原則上不低于第三級，包括以下：重要政策分析1.核心信息系統(tǒng)范圍覆蓋HIS、LIS、RIS、PACS、電子病歷、核心數(shù)據(jù)庫、醫(yī)院信息采集及數(shù)據(jù)中心等;2.區(qū)域核心業(yè)務系統(tǒng)范圍涉及人口健康信息平臺、區(qū)域醫(yī)學影像診斷信息系統(tǒng)、區(qū)域心電診斷信息系統(tǒng)、去油臨床檢驗診斷信息系統(tǒng)、其中人口健康信息平臺涵蓋區(qū)域衛(wèi)生共享交換平臺、電子健康檔案等重要應用系統(tǒng)。3.滿足如下條件之一的信息系統(tǒng)：重要政策分析a、承載公民個人信息的信息系統(tǒng);b、承載核心業(yè)務信息(包含但不限于預約掛號、診療診斷、健康體檢、免疫疾控、醫(yī)囑開方、藥品與耗材、醫(yī)院運營、醫(yī)院管理、遠程醫(yī)療等)的信息系統(tǒng);c、與核心業(yè)務系統(tǒng)發(fā)生雙向數(shù)據(jù)交換或業(yè)務協(xié)同的信息系統(tǒng)(包含但不限于網(wǎng)上簽約、健康管理、問醫(yī)用藥、醫(yī)療物聯(lián)網(wǎng)、科研隨訪、保險理賠等);d、承載國家法律法規(guī)需要落實敏感信息保護的信息系統(tǒng);e、承載醫(yī)院對外形象宣傳的信息系統(tǒng)或醫(yī)院重要信息(包含但不限于醫(yī)院門戶網(wǎng)站、統(tǒng)一登錄平臺、移動OA、移動App等);f、與其他按照等級保護要求運行維護的信息系統(tǒng)發(fā)生雙向數(shù)據(jù)交換或業(yè)務協(xié)同的信息系統(tǒng)。重要政策分析上海衛(wèi)健委發(fā)布的定級范圍可以說是緊跟國家相關政策法律法規(guī)，區(qū)分了核心業(yè)務系統(tǒng)、區(qū)域核心業(yè)務系統(tǒng)，以及將含有敏感信息保護的信息系統(tǒng)、承載公民個人信息保護的系統(tǒng)都包含進來，是非常有借鑒作用的。等級保護2.0的開展，對醫(yī)療機構而言，無疑是對其網(wǎng)絡和信息安全能力提出了進一步要求。重要政策分析另外，中國軟件評測中心網(wǎng)安中心提醒廣大醫(yī)療行業(yè)網(wǎng)絡運營者，《網(wǎng)絡安全等級保護條例(征求意見稿)》中明確要求“網(wǎng)絡運營者應當在規(guī)劃設計階段確定網(wǎng)絡的安全保護定級”。對于第二級以上網(wǎng)絡運營者，應當在網(wǎng)絡的安全保護等級確定后10個工作日內，到縣級以上公安機關備案。重要政策分析二、常規(guī)化風險評估、等級測評工作醫(yī)療機構在完成定級備案工作后，由信息安全管理部門牽頭進行安全建設整改工作，可以自行開展安全評估，或者委托第三方單位開展安全評估工作，依據(jù)等級保護標準對評估結果進行差距分析，查看是否符合等級保護基本要求。醫(yī)療機構根據(jù)各系統(tǒng)的定級情況，安排當年的等級測評工作，按照要求定級為三級及以上的系統(tǒng)每年開展一次測評，選擇公安部推薦目錄中的等級保護測評機構開展安全測評。重要政策分析醫(yī)療機構應按照要求常規(guī)化風險評估、等級測評工作，做到定期排查系統(tǒng)安全隱患，對于不符合要求項，信息系統(tǒng)運營、使用單位及時開展安全整改。一般現(xiàn)場測評工作需要1周左右時間，測評完成后對未達到安全保護等級要求的問題進行整改，整改時間及程度依據(jù)系統(tǒng)安全現(xiàn)狀及經(jīng)費決定，不涉及購買設備、網(wǎng)絡架構大變動小規(guī)模系統(tǒng)需要2周左右時間，總體測評及出具最終符合公安機關要求的測評報告需至少一月時間。重要政策分析三、強化縱深防御能力對系統(tǒng)進行了全方位的風險分析，完成了等級保護測評后，就需要對測評中發(fā)現(xiàn)的問題進行整改。最快速簡單的整改辦法就是從網(wǎng)絡整體架構出發(fā)，完善醫(yī)療機構網(wǎng)絡安全建設，配備并配置必要的網(wǎng)絡安全設備，形成縱深防御能力，確保系統(tǒng)中無高風險問題，其次再逐漸修正一些中低風險問題。鑒于醫(yī)療行業(yè)數(shù)據(jù)的重要性，做好數(shù)據(jù)備份、數(shù)據(jù)加密存儲和傳輸工作，保障醫(yī)療數(shù)據(jù)的安全。中國軟件評測