醫(yī)院信息安全管理制度(系列)

財、物)、運行信息(各類業(yè)務(wù)工作與質(zhì)量安全管理資料數(shù)據(jù))和管理信息(投資發(fā)展、人力資源開辟與利用、發(fā)展戰(zhàn)略研究)，統(tǒng)稱為“醫(yī)院信息”。依據(jù)《中院數(shù)據(jù)、資料信息安全管理制度醫(yī)院內(nèi)部的數(shù)據(jù)、資料信息安全管理尤其重要，如涉及全院的工作統(tǒng)計數(shù)據(jù)、質(zhì)量與安全評價分析相關(guān)的數(shù)據(jù)、與醫(yī)療糾紛有關(guān)的信息、醫(yī)院管理與建設(shè)重大決策信息、醫(yī)院經(jīng)濟(jì)管理相關(guān)的信息等，院領(lǐng)導(dǎo)認(rèn)為不宜通過“三重一大”(一)任何人未經(jīng)院領(lǐng)導(dǎo)批準(zhǔn)，不得在公眾場合、公共媒體發(fā)布醫(yī)院涉密信(二)醫(yī)院各職能部門和業(yè)務(wù)科室，對自身所涉密的醫(yī)院信息，有保密的義(三)不屬于分管職能內(nèi)的涉密信息，不得向其他部門和個人打探。 (四)任何員工不得以謀利為目的，擴(kuò)散、出賣、交換醫(yī)院涉密信息。 (五)任何員工不得以泄私憤、圖報復(fù)，擴(kuò)散和出賣醫(yī)院涉密信息。系統(tǒng)安全管理制度(一)為了保證醫(yī)院網(wǎng)絡(luò)的正常運行，保護(hù)醫(yī)院網(wǎng)絡(luò)系統(tǒng)的安全和網(wǎng)絡(luò)用戶(二)本管理制度所稱的醫(yī)院網(wǎng)絡(luò)系統(tǒng)是指在醫(yī)院信息系統(tǒng)中，由計算機(jī)及(三)醫(yī)院網(wǎng)絡(luò)系統(tǒng)安全管理是通過實施身份認(rèn)證、訪問控制與授權(quán)管理、數(shù)據(jù)備份和災(zāi)備系統(tǒng)、安全分域及邊界防護(hù)、防病毒系統(tǒng)、入侵檢測、補丁管理、郵件安全網(wǎng)關(guān)、遠(yuǎn)程接入等安全技術(shù)和與之相配套的管理制度，保障網(wǎng)絡(luò)主機(jī)及配套設(shè)備、設(shè)施的安全，網(wǎng)絡(luò)運行環(huán)境的安全，從而達(dá)到保障計算機(jī)網(wǎng)(四)信息科負(fù)責(zé)醫(yī)院計算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全管理工作，確保對計算機(jī)網(wǎng)絡(luò)(五)計算機(jī)網(wǎng)絡(luò)系統(tǒng)的建設(shè)和應(yīng)用應(yīng)遵守上級主管部門頒發(fā)的行政法規(guī)、(六)計算機(jī)網(wǎng)絡(luò)系統(tǒng)實行安全等級保護(hù)和用戶使用權(quán)限劃分。安全等級和(七)計算機(jī)入網(wǎng)運行必須經(jīng)信息科批準(zhǔn)備案，分配IP地址后，方可接入網(wǎng)(八)要對重要主機(jī)的用戶名、開機(jī)口令、應(yīng)用口令和數(shù)據(jù)庫口令實施重點管理，嚴(yán)格控制設(shè)備存取及加密，未經(jīng)允許嚴(yán)禁外來盤片帶入機(jī)房對服務(wù)器進(jìn)。(九)未辦理入網(wǎng)手續(xù)，任何單位和個人不得非法私自將計算機(jī)接入醫(yī)院網(wǎng)，(十)應(yīng)根據(jù)網(wǎng)絡(luò)主機(jī)不同的安全級別采取相應(yīng)的訪問控制、數(shù)據(jù)保護(hù)、保(十一)信息科定期對網(wǎng)上用戶的訪問及授權(quán)情況進(jìn)行檢查，及時發(fā)現(xiàn)和限(十二)要按要求對數(shù)據(jù)進(jìn)行日備份、月備份和年備份。嚴(yán)格按操作規(guī)程進(jìn)并做好相應(yīng)記錄。要確保導(dǎo)出、導(dǎo)入數(shù)據(jù)的完整和準(zhǔn)確，并做好導(dǎo)出、導(dǎo)人數(shù)(十三)加強邊界安全的防護(hù)，應(yīng)根據(jù)安全區(qū)域劃分情況明確需進(jìn)行安全防(十四)應(yīng)在網(wǎng)絡(luò)系統(tǒng)或者安全域邊界的關(guān)鍵點采用嚴(yán)格的安全防護(hù)機(jī)制，如(十五)要實施必要的邊界訪問、違規(guī)外聯(lián)的審計和控制。(十六)應(yīng)采用必要的手段(如入侵檢測系統(tǒng)、日志分析、網(wǎng)絡(luò)取證分析等)對系統(tǒng)內(nèi)的安全事件進(jìn)行監(jiān)控，檢測攻擊行為并能發(fā)現(xiàn)系統(tǒng)內(nèi)非授權(quán)使用情(十七)應(yīng)禁止系統(tǒng)內(nèi)用戶非授權(quán)的外部鏈接(如自動撥號、違規(guī)鏈接和無線上網(wǎng))。(十八)應(yīng)部署有效的網(wǎng)絡(luò)病毒防范軟件系統(tǒng)和相應(yīng)的網(wǎng)絡(luò)病毒防范管理辦(十九)要制定文檔化的明確的計算機(jī)病毒和惡意代碼防護(hù)策略，以及確保(二十)應(yīng)在系統(tǒng)內(nèi)關(guān)鍵的入口點以及各工作站、服務(wù)器和挪移計算機(jī)設(shè)備(二十一)應(yīng)制定文檔化的信息系統(tǒng)備份和恢復(fù)的策略，建立健全備份和恢(二十二)備份包括關(guān)鍵業(yè)務(wù)數(shù)據(jù)的備份、關(guān)鍵業(yè)務(wù)設(shè)備(如服務(wù)器、交換機(jī)等)的備份和電源備份。對重要信息系統(tǒng)(如HIs系統(tǒng))的關(guān)鍵設(shè)施(如服務(wù)器)采取熱備份。(二十三)應(yīng)定期備份和對恢復(fù)策略進(jìn)行測試，以保證其有效性。要有系統(tǒng)(二十四)應(yīng)根據(jù)業(yè)務(wù)的重要程度、信息系統(tǒng)的資產(chǎn)價值等進(jìn)行相應(yīng)的需求分析，確定系統(tǒng)恢復(fù)的目標(biāo)，如：關(guān)鍵業(yè)務(wù)功能、恢復(fù)的優(yōu)先順序、恢復(fù)的時(二十五)為確保醫(yī)院計算機(jī)局域網(wǎng)絡(luò)運行安全，要在有效部署防火墻、入侵檢測和防病毒系統(tǒng)的情況下，實施遠(yuǎn)程接入。醫(yī)院業(yè)務(wù)網(wǎng)(內(nèi)網(wǎng))與遠(yuǎn)程接入 (二十六)任何部門和個人使用醫(yī)院網(wǎng)絡(luò)提供的遠(yuǎn)程接人服務(wù)必須向信息科(二十七)未經(jīng)信息科批準(zhǔn)，任何個人或者部門不得為外單位人員提供電子郵(二十八)所有入網(wǎng)用戶，應(yīng)當(dāng)遵守國家有關(guān)法律、法規(guī)及醫(yī)院的有關(guān)規(guī)章制度，嚴(yán)格執(zhí)行安全保密制度，不得利用計算機(jī)網(wǎng)絡(luò)從事危害國家安全、傷害醫(yī)院利益等違法、違規(guī)活動，不得制作、查閱、復(fù)制和傳播擾亂社會治安、有傷風(fēng)化、淫穢色情等信息，不得利用網(wǎng)絡(luò)攻擊、傷害公用網(wǎng)絡(luò)和其他用戶。否(二十九)使用計算機(jī)機(jī)網(wǎng)絡(luò)系統(tǒng)的部門和個人必須遵守計算機(jī)安全使用的(三十)用戶不得從事下列危害計算機(jī)網(wǎng)絡(luò)安全的行為：4、未經(jīng)允許，對計算機(jī)網(wǎng)絡(luò)的存儲、處理或者傳輸數(shù)據(jù)和應(yīng)用程序進(jìn)行刪減5、故意制作、傳播計算機(jī)病毒等破壞程序，使用任何工具破壞網(wǎng)絡(luò)正常運；上述違規(guī)造成醫(yī)院損失的，依照有關(guān)法律、法規(guī)及醫(yī)院有關(guān)處罰規(guī)定進(jìn)行涉密數(shù)據(jù)保密管理制度(一)任何科室和個人不得利用涉密計算機(jī)網(wǎng)絡(luò)系統(tǒng)泄漏屬于醫(yī)院內(nèi)部秘密涉密單位和涉密人員應(yīng)當(dāng)遵守保密法律法規(guī)，認(rèn)真執(zhí)行國家和省制定的涉密計(二)涉密計算機(jī)網(wǎng)絡(luò)系統(tǒng)的單位保密管理實行領(lǐng)導(dǎo)負(fù)責(zé)制，并制定部門或者(三)涉密計算機(jī)網(wǎng)絡(luò)系統(tǒng)工作人員定期進(jìn)行保密教育和檢查。涉密計算機(jī)信息系統(tǒng)的系統(tǒng)管理人員應(yīng)當(dāng)經(jīng)過嚴(yán)格審查，定期進(jìn)行考核，并保持相對穩(wěn)(四)涉密人員調(diào)離崗位，應(yīng)當(dāng)履行國家規(guī)定保守秘密的義務(wù)。(五)涉及醫(yī)院秘密的數(shù)據(jù)，必須按照保密規(guī)定進(jìn)行采集、存儲、處理、傳(六)計算機(jī)存儲、處理、傳遞、輸出的涉密信息要有相應(yīng)的密級標(biāo)識且不(七)涉密醫(yī)院信息和數(shù)據(jù)不得在與公用網(wǎng)絡(luò)聯(lián)網(wǎng)的計算機(jī)信息系統(tǒng)中存儲、(八)涉密計算機(jī)必須設(shè)置口令保護(hù)，根據(jù)密級確定口令長度與更換周期，(九)存儲涉密信息的媒體應(yīng)按所存儲信息的最高密級標(biāo)明密級，并按相應(yīng)密級文件管理制度管理，存儲過涉密信息的計算機(jī)媒體不能降低密級使用，維修存儲過涉密信息的計算機(jī)媒體應(yīng)到部門指定維修點維修，有人全程跟蹤，保(十)儲涉密數(shù)據(jù)的計算機(jī)硬盤或者其它存儲介質(zhì)不得擅自更換或者報廢。確(十一)涉密單位應(yīng)當(dāng)將涉密數(shù)據(jù)與備份數(shù)據(jù)分別保存在單位內(nèi)不同的地點。(十二)發(fā)現(xiàn)計算機(jī)信息泄密后應(yīng)即將采取補救措施，并按規(guī)定及時報告保度、公開不涉密和誰上網(wǎng)、誰負(fù)責(zé)的原外發(fā)布、上網(wǎng)的，應(yīng)采取解密或者刪除、改編、隱去度(一)計算機(jī)及其輔助設(shè)備是實現(xiàn)現(xiàn)代化管理的工具，各科室有關(guān)工作人員(二)各科室購置和上級分配賦予的計算機(jī)和輔助設(shè)備均屬固定資產(chǎn)，統(tǒng)一(三)服務(wù)器、計算機(jī)及輔助設(shè)備和其他應(yīng)用軟件所配的專用磁盤、光盤，(四)計算機(jī)的備件、易耗件、磁盤及有關(guān)資料的購買，由信息管理部門統(tǒng)一申請，經(jīng)科室負(fù)責(zé)人并上報院長允許后，由后勤采購進(jìn)行統(tǒng)一購置，統(tǒng)一給(五)計算機(jī)、服務(wù)器、網(wǎng)絡(luò)通訊電纜設(shè)備，未經(jīng)信息部門允許不得拆裝、(六)計算機(jī)和輔助設(shè)備需檢修，應(yīng)報告計算機(jī)中心專業(yè)工作人員，由計算(七)對外來磁盤要先殺毒，后使用。各計算機(jī)一旦發(fā)現(xiàn)病毒，必須即將清(八)外來人員未經(jīng)科室領(lǐng)導(dǎo)和專業(yè)人員允許不得操作計算機(jī)，以免發(fā)生病(九)不得在計算機(jī)上進(jìn)行與工作無關(guān)(如做游戲、下棋、打撲克等)的操房管理制度為保證網(wǎng)絡(luò)中心設(shè)備與信息的安全，保障機(jī)房有良好的運行環(huán)境和工作環(huán)(一)各門鑰匙由指定的專人保管，不能隨意轉(zhuǎn)借。丟失要聲明。出入請隨(二)要有安全防范意識，節(jié)假日值班人員不得擅離崗位。早進(jìn)入、晚離開(三)易燃易爆品不許帶入機(jī)房，機(jī)房及周邊地區(qū)嚴(yán)禁煙火，不能明火作業(yè)，(四)機(jī)房工作人員要有防火意識，浮現(xiàn)異常情況應(yīng)即將報警，切斷電源，(五)非工作人員嚴(yán)禁進(jìn)入服務(wù)器機(jī)房，特殊情況要事先征得院長或者主管副(六)機(jī)房內(nèi)的一切公用物品未經(jīng)許可一律不得挪用和外借。(七)機(jī)房內(nèi)不許大聲喧嘩，機(jī)房衛(wèi)生由工作人員定期負(fù)責(zé)清掃，保持清(八)網(wǎng)管員負(fù)責(zé)機(jī)房的安全管理與檢查；負(fù)責(zé)建立與記錄安全日志。七、計算機(jī)網(wǎng)絡(luò)工作站管理制度(一)本制度所稱醫(yī)院計算機(jī)網(wǎng)絡(luò)工作站，是指醫(yī)院計算機(jī)網(wǎng)絡(luò)中以臺式電(二)各個管理部門和科室中，每一工作站配置的計算機(jī)、打印機(jī)等設(shè)備須。(四)計算機(jī)操作人員，不得隨意搡作計算機(jī)或者相關(guān)設(shè)備，更不允許外來人(五)不在計算機(jī)上玩游戲及做與工作無關(guān)的操作。(六)不在醫(yī)院計算機(jī)上使用來歷不明的光盤、軟盤。(七)計算機(jī)網(wǎng)絡(luò)上的所有操作人員必須保管好自己的密碼，因密碼保管不(八)計算機(jī)一旦發(fā)生故障應(yīng)及時報告信息科處理。(九)除計算機(jī)網(wǎng)絡(luò)中心機(jī)房工作人員外，任何入不得拆裝計算機(jī)，或者擅自(十)不間斷電源的計算機(jī)，在供電中斷時，操作人員應(yīng)即將保存數(shù)據(jù)，退(十一)嚴(yán)格按照操作規(guī)程操作，下班前必須按程序關(guān)機(jī)，并切斷電源。(十二)計算機(jī)旁不許抽煙、會客，不許吃零食物和飲料。(十三)計算機(jī)旁邊嚴(yán)禁擺放各種易燃易爆、腐蝕性或者強磁物品。遇暫時停(十四)愛護(hù)計算機(jī)及各種相關(guān)設(shè)備，計算機(jī)主機(jī)、顯示器、打印機(jī)上不能(十五)科室指定專人負(fù)責(zé)科內(nèi)計算機(jī)的普通性管理工作，定期用干凈柔軟(十六)因維護(hù)管理不當(dāng)造成計算機(jī)硬件設(shè)備損壞，由當(dāng)事人負(fù)責(zé)賠償。(十七)外來參觀須報請信息科及主管院領(lǐng)導(dǎo)批準(zhǔn)，不能向外展示和泄露醫(yī)(十八)違反本制度者，醫(yī)院將視情節(jié)賦予處罰。(一)為確保監(jiān)控機(jī)房安全，設(shè)立監(jiān)控機(jī)房管理員，負(fù)責(zé)對機(jī)房各類設(shè)備、(二)監(jiān)控機(jī)房管理員應(yīng)認(rèn)真履行職責(zé)，及時發(fā)現(xiàn)、報告、解決硬件系統(tǒng)出(三)監(jiān)控機(jī)房管理員及時完成監(jiān)控數(shù)據(jù)的刻錄歸檔，確保監(jiān)控數(shù)據(jù)完整無誤。不得無故中斷監(jiān)控，不得漏刻監(jiān)控資料，未經(jīng)刻錄不得無故刪除監(jiān)控資(四)監(jiān)控機(jī)房必須做好防火、防靜電、防潮、防塵、防熱和防盜工作。機(jī)房禁止放置易燃、易爆、腐蝕、強磁性物品，禁止在監(jiān)控機(jī)房內(nèi)使用其他用電(五)嚴(yán)格遵守保密制度。數(shù)據(jù)資料必須由監(jiān)控機(jī)房管理員負(fù)責(zé)保管，未經(jīng)允許不得私自拷貝、下載和外借。嚴(yán)禁任何人在監(jiān)控計算機(jī)上使用未經(jīng)檢測允(六)監(jiān)控機(jī)房內(nèi)保持清潔，嚴(yán)禁在機(jī)房抽煙、喝水、吃東西、亂扔雜物、(七)實行工作人員值班制度。值班人員應(yīng)按規(guī)定做好實時監(jiān)管工作，并做(八)值班人員應(yīng)嚴(yán)格執(zhí)行機(jī)房管理制度，并與監(jiān)控機(jī)房管理員做好交接。(九)除監(jiān)控機(jī)房管理員和工作人員外，任何無關(guān)人員不得進(jìn)入(十)監(jiān)控機(jī)房管理員要時常催促檢查本制度執(zhí)行情況，切實履發(fā)故障處理預(yù)案(一)電腦網(wǎng)絡(luò)故障操作人員反饋回來的信息和現(xiàn)有的網(wǎng)絡(luò)檢測手段，迅速定位故障事件的來源，明確故障事件發(fā)生的范圍，確認(rèn)網(wǎng)絡(luò)系統(tǒng)受傷害程度，將情況及時通報直接上級并層層上報。通過進(jìn)一步的分析，將故障發(fā)生類型劃分為網(wǎng)絡(luò)路線、網(wǎng)絡(luò)交換機(jī)、服務(wù)器三大類型，確定起因是硬件故障、外力損壞、惡意攻擊還是感染病毒，進(jìn)(1)通知：值班人員迅速通知直接上級并層層上報。上級管理人員根據(jù)實(2)排查：根據(jù)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和故障發(fā)生的范圍，使用網(wǎng)絡(luò)檢測指令，確(3)搶修：攜帶對線器、轉(zhuǎn)接器、備用線、壓線鉗等工具，迅速到達(dá)路線(4)驗證：連接網(wǎng)絡(luò)進(jìn)行檢測，確定故障得到解決。(5)回復(fù)：通知故障發(fā)生點恢復(fù)使用。(6)記錄：對整個事件的時間、現(xiàn)象、處理過程作出詳細(xì)記錄。(1)通知：值班人員迅速通知直接上級并層層上報。上級管理人員根據(jù)實(2)診斷：根據(jù)故障發(fā)生的片區(qū)和網(wǎng)絡(luò)交換機(jī)的分布圖，結(jié)合網(wǎng)絡(luò)檢測指(3)修復(fù)：攜帶電筆、改刀等常規(guī)工具，迅速到達(dá)故障交換機(jī)所在位置，通過觀察交換機(jī)指示燈，確定其工作狀態(tài)是否正常：如果是斷電所致，即將與維修中心聯(lián)系，恢復(fù)供電；如果狀態(tài)鎖死，即將對交換機(jī)進(jìn)行復(fù)位處理；排除(4)驗證：連接網(wǎng)絡(luò)進(jìn)行檢測，確定故障得到解決。(5)回復(fù)：通知故障發(fā)生點恢復(fù)使用。(6)事后：對換下交換機(jī)送修。待修復(fù)后備用。(7)記錄：對整個事件的時間、現(xiàn)象、處理過程作出詳細(xì)的記錄。(1)通知：值班人員迅速通知直接上級并層層上報。上級管理人員根據(jù)實(2)診斷：根據(jù)故障現(xiàn)象，初步判定是硬件故障還是軟件故障，如果是硬件故障，即將斷開主服務(wù)器，啟用備用服務(wù)器；如果是系統(tǒng)軟件故障，盡量正(3)如故障發(fā)生在夜晚或者節(jié)假日期間，首先應(yīng)通知負(fù)責(zé)系統(tǒng)技術(shù)人員即將備(1)通知：值班人員迅速通知直接上級并層層上報。上級管理人員根據(jù)實(2)配合：聯(lián)系維修中心，確定停電的時間長短，如果在五分鐘以內(nèi)，在恢復(fù)供電后重新運行接口機(jī)即可；如果在五分鐘以上，對接口機(jī)和服務(wù)器進(jìn)行(3)記錄：對整個事件的時間、現(xiàn)象、處理過程作出詳細(xì)的記錄。(1)通知：值班人員迅速通知直接上級并層層上報。上級管理人員根據(jù)實(2)診斷：對故障進(jìn)行分析，找出病毒特征碼，確定是何種病毒。(3)排殺：從專業(yè)網(wǎng)站上下載專殺工具進(jìn)行殺毒。(4)補?。簭膶I(yè)網(wǎng)站上下載補丁，封堵漏洞，進(jìn)行免疫處理。(5)記錄：對整個事件的時間、現(xiàn)象、處理過程作出詳細(xì)的記錄。，確定故障類型，將情況及時通報直接上級并層層上報。通過進(jìn)一步的分析，將故障劃分為通訊電纜故障、數(shù)字程控交換機(jī)故障、電深故障三大類型，并采取(1)通知：值班人員迅速通知直接上級并層層上報。上級管理人員根據(jù)實際情況賦予指導(dǎo)和協(xié)調(diào)，必要時即將赴現(xiàn)場處理，通訊工程師應(yīng)即將奔赴現(xiàn)(2)查找：根據(jù)故障現(xiàn)象、范圍和分線盒的分布位置，確定故障點：如果是主線纜受損，即將通知電信相關(guān)部門進(jìn)行搶修；如果是戶線纜受損，即將趕(3)修復(fù)：對于主線纜受損，為電信維修部門提供準(zhǔn)確的路線資料，協(xié)調(diào)。(4)反饋：通知相關(guān)用戶恢復(fù)使用。(5)記錄：對整個事件的時間、現(xiàn)象、處理過程和資料變更情況作出