醫(yī)院信息系統(tǒng)安全檢查工作方案

1、醫(yī)院信息系統(tǒng)安全檢查工作方案為規(guī)范和加強(qiáng)我院信息系統(tǒng)安全工作，保證醫(yī)院HIS系統(tǒng)的信息內(nèi)容安全，根據(jù)關(guān)于開展XXXX省醫(yī)療衛(wèi)生行業(yè)網(wǎng)絡(luò)與信息安全檢查行動(dòng)的通知要求，結(jié)合我院實(shí)際情況，制訂本 檢查方案。一、檢查目的通過開展全面的安全檢查，進(jìn)行信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估、 安全測(cè)評(píng)等工作，及時(shí)掌握信息系統(tǒng)安全狀況，認(rèn)真查找隱患， 堵塞安全漏洞，落實(shí)和完善安全措施，建立健全信息安全保障 機(jī)制，減少安全風(fēng)險(xiǎn)，提高應(yīng)急處置能力，確保信息系統(tǒng)持續(xù) 安全穩(wěn)定運(yùn)行。二、檢查范圍我院醫(yī)院信息管理系統(tǒng)（HIS）、醫(yī)院網(wǎng)絡(luò)系統(tǒng)。三、檢查內(nèi)容檢查與網(wǎng)絡(luò)和信息系統(tǒng)相關(guān)的硬件、軟件、服務(wù)、信息， 對(duì)信息系統(tǒng)存在的問題進(jìn)行查找、

2、分析；對(duì)已有安全管理體系、 安全措施進(jìn)行核實(shí)，主要包括以下內(nèi)容：（一）安全管理制度建立與落實(shí) 。是否按照要求建立健全了 信息安全責(zé)任制，做到了機(jī)構(gòu)到位、人員到位、責(zé)任到位、措 施到位。運(yùn)維管理、保密管理、密碼管理、等級(jí)保護(hù)等制度建 立和落實(shí)情況。（二）安全防范措施。是否有明確的安全需求及解決方案，是否采取了安全防護(hù)措施。重點(diǎn)檢查身份認(rèn)證、訪問控制、數(shù) 據(jù)加密以及防篡改、防病毒、防攻擊、防癱瘓等技術(shù)措施的有 效性。檢測(cè)信息系統(tǒng)是否存在安全漏洞。（三）應(yīng)急響應(yīng)機(jī)制。 應(yīng)急機(jī)構(gòu)是否健全，應(yīng)急責(zé)任人員及 措施是否到位，是否按照要求制定了應(yīng)急預(yù)案，是否對(duì)預(yù)案進(jìn) 行了宣傳貫徹和培訓(xùn)，是否明確了應(yīng)急技術(shù)支援

3、隊(duì)伍。重要數(shù) 據(jù)和業(yè)務(wù)系統(tǒng)采取的備份措施及備份方式情況。（四）信息技術(shù)產(chǎn)品和服務(wù)。計(jì)算機(jī)、公文處理軟件、信息安全產(chǎn)品等使用國(guó)產(chǎn)產(chǎn)品情況，重點(diǎn)是信息系統(tǒng)關(guān)鍵部位的服 務(wù)器、路由器、交換機(jī)等使用國(guó)產(chǎn)產(chǎn)品的情況，以及信息安全服務(wù)外包情況。（五）安全教育培訓(xùn)情況。 是否對(duì)工作人員進(jìn)行了安全和保 密意識(shí)教育。重點(diǎn)、敏感崗位人員是否制定了針對(duì)外包服務(wù)人 員等外來人員的安全管理規(guī)定。（六）責(zé)任追究情況。重點(diǎn)檢查對(duì)違反信息安全規(guī)定行為和 造成泄密事故、信息安全事故的查處情況，對(duì)責(zé)任人和有關(guān)負(fù)責(zé)人追究以及懲處措施的落實(shí)情況。（七）運(yùn)維管理。 是否根據(jù)制度維護(hù)信息系統(tǒng)，是否存在詳 細(xì)設(shè)備、系統(tǒng)運(yùn)維記錄和安全日志分

4、析報(bào)告，系統(tǒng)性能的監(jiān)控 措施及運(yùn)行狀況。（八）開展風(fēng)險(xiǎn)評(píng)估、安全測(cè)評(píng)情況。是否對(duì)信息系統(tǒng)進(jìn)行 了風(fēng)險(xiǎn)評(píng)估和安全評(píng)測(cè)，開展方式是自行開展還是委托開展， 委托開展是否簽訂了安全保密協(xié)議。（九）信息安全經(jīng)費(fèi)保障情況。信息安全經(jīng)費(fèi)數(shù)額、信息安全經(jīng)費(fèi)在信息化建設(shè)經(jīng)費(fèi)中所占比重及信息安全經(jīng)費(fèi)是否按預(yù) 算計(jì)劃執(zhí)行。（十）物理環(huán)境。 物理環(huán)境的建設(shè)是否符合國(guó)家的相關(guān)標(biāo)準(zhǔn) 和規(guī)范，是否按照國(guó)家的相關(guān)規(guī)定建立機(jī)房安全管理制度，機(jī) 房安全管控措施、防災(zāi)措施、供電和通信系統(tǒng)的保障措施是否 有效。（一）安全隱患排查及整改情況。對(duì)以往開展的信息安全檢查、風(fēng)險(xiǎn)評(píng)估和安全測(cè)評(píng)，發(fā)現(xiàn)安全隱患和問題的整改情況。四、檢查步驟及時(shí)間安排（一）時(shí)間安排。從2012年9月6日開始至2012年9月13 日止，開展醫(yī)院信息系統(tǒng)安全檢查工作。（二）檢查準(zhǔn)備及自查。由微機(jī)中心負(fù)責(zé)開展安全檢查工作， 并參照本方案對(duì)檢查工作進(jìn)行安排部署并開始自查。（三）分析總結(jié)。根據(jù)自查情況，系統(tǒng)分析信息系統(tǒng)的安全 狀況和安全隱患，查找問題產(chǎn)生的原因，上報(bào)自查報(bào)告和附表。（四）問題整改