醫(yī)院網(wǎng)絡(luò)安全管理規(guī)范

ICS35.040

CCSL80

34

安徽省地方標(biāo)準(zhǔn)

DB34/T4304—2022

醫(yī)院網(wǎng)絡(luò)安全管理規(guī)范

Specificationforhospitalcybersecuriymanagement

2022-10-26發(fā)布2022-11-26實(shí)施

安徽省市場(chǎng)監(jiān)督管理局發(fā)布

DB34/T4304—2022

前言

本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定

起草。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。

本文件由安徽省公安廳提出并歸口。

本文件起草單位：安徽醫(yī)科大學(xué)第一附屬醫(yī)院、安徽醫(yī)科大學(xué)第二附屬醫(yī)院、安徽省公安廳網(wǎng)絡(luò)安

全保衛(wèi)總隊(duì)、安徽省衛(wèi)生健康委員會(huì)信息中心、中國(guó)科學(xué)技術(shù)大學(xué)第一附屬醫(yī)院（安徽省立醫(yī)院）、皖

南醫(yī)學(xué)院弋磯山醫(yī)院、蚌埠醫(yī)學(xué)院第一附屬醫(yī)院、蕪湖市第二人民醫(yī)院、安徽國(guó)康網(wǎng)絡(luò)安全測(cè)評(píng)有限公

司、安徽溯源電子科技有限公司、安徽中醫(yī)藥大學(xué)第一附屬醫(yī)院、安徽省公共衛(wèi)生臨床中心、安徽醫(yī)科

大學(xué)、皖南醫(yī)學(xué)院、合肥市公安局科技信息化支隊(duì)、安徽醫(yī)科大學(xué)附屬安慶第一人民醫(yī)院、寧國(guó)市公安

局、太和縣人民醫(yī)院、上海安翼保信息技術(shù)服務(wù)有限公司、安徽上下數(shù)據(jù)科技有限公司、安徽安恒數(shù)智

信息技術(shù)有限公司、綠盟科技集團(tuán)股份有限公司、三六零數(shù)字安全科技集團(tuán)有限公司、深信服科技股份

有限公司、北京華譽(yù)維誠(chéng)技術(shù)服務(wù)有限公司。

本文件主要起草人：周典、柴培鈺、馮響林、徐紅兵、楊波、葛偉、陶敏、徐兵、黃煜、汪濤、劉

冬、楊愛民、張文雅、偶德俊、沈沛、史壽樂、黃盈中、張業(yè)睿、胡紅雨、孫一鳴、徐禮理、張文修、

張旸、黃電、郭偉、陳宗明、余福生、方成成、呂芳爐、陶曉東、馬守寬、王彬、李善智、鄭傳統(tǒng)、戴

博文、溫長(zhǎng)健。

I

DB34/T4304—2022

醫(yī)院網(wǎng)絡(luò)安全管理規(guī)范

1范圍

本文件確定了醫(yī)院安全運(yùn)維管理的基本要求，并規(guī)定了醫(yī)院網(wǎng)絡(luò)安全運(yùn)維的對(duì)象、安全事件處置和

應(yīng)急管理。

本文件適用于二級(jí)甲等以上醫(yī)院網(wǎng)絡(luò)安全運(yùn)維工作。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB50348安全技術(shù)防范技術(shù)標(biāo)準(zhǔn)

3術(shù)語和定義

GB50348界定的以及下列術(shù)語和定義適用于本文件。

智能入網(wǎng)終端intelligentnetworkaccessterminal

可通過網(wǎng)絡(luò)協(xié)議完成服務(wù)交互的設(shè)備。

感染監(jiān)控infectionmonitoring

對(duì)管理對(duì)象被病毒、木馬感染，對(duì)其它對(duì)象出現(xiàn)傳染、攻擊的現(xiàn)象進(jìn)行實(shí)時(shí)監(jiān)控，并生成感染事件

進(jìn)行管控

資源監(jiān)控resourcemonitoring

對(duì)軟硬件資源使用情況，如CPU、內(nèi)存、存儲(chǔ)、進(jìn)程等進(jìn)行監(jiān)控，超過指定閾值生成資源事件進(jìn)行

管控。

4基本要求

機(jī)構(gòu)

4.1.1應(yīng)建立由醫(yī)院主要負(fù)責(zé)人牽頭，各部門參與的網(wǎng)絡(luò)安全管理組織。

4.1.2應(yīng)設(shè)定網(wǎng)絡(luò)安全的管理部門，負(fù)責(zé)醫(yī)院網(wǎng)絡(luò)安全管理最終裁決。

4.1.3管理部門應(yīng)牽頭制定網(wǎng)絡(luò)安全的各項(xiàng)制度，明確網(wǎng)絡(luò)安全使用的各項(xiàng)流程及責(zé)任。

人員

4.2.1應(yīng)具備從事網(wǎng)絡(luò)安全運(yùn)維服務(wù)所必備的知識(shí)和技能。

4.2.2應(yīng)配備必備的系統(tǒng)管理員、審計(jì)管理員和網(wǎng)絡(luò)安全管理員等。

1

DB34/T4304—2022

4.2.3應(yīng)配備專職安全管理員，不可兼任。

4.2.4應(yīng)對(duì)各類人員進(jìn)行網(wǎng)絡(luò)安全意識(shí)教育和崗位技能培訓(xùn)，并簽訂保密承諾書。

經(jīng)費(fèi)

每年應(yīng)有專門的網(wǎng)絡(luò)安全管理的經(jīng)費(fèi)預(yù)算。

規(guī)劃

4.4.1對(duì)網(wǎng)絡(luò)安全管理應(yīng)制定規(guī)劃，包括目標(biāo)實(shí)現(xiàn)、人員培養(yǎng)、經(jīng)費(fèi)投入、制度完善等。

4.4.2應(yīng)根據(jù)保護(hù)對(duì)象制定安全整體規(guī)劃，應(yīng)包含密碼技術(shù)等相關(guān)內(nèi)容，并形成配套文件。

4.4.3應(yīng)組織相關(guān)部門和有關(guān)安全專家對(duì)安全整體規(guī)劃及其配套文件進(jìn)行論證，經(jīng)過批準(zhǔn)后方可實(shí)施。

制度

包括但不限于：

——安全策略管理制度；

——設(shè)備安全管理制度；

——機(jī)房安全管理制度；

——密碼使用管理制度；

——系統(tǒng)變更管理規(guī)定；

——數(shù)據(jù)備份恢復(fù)管理制度；

——人事安全管理制度；

——員工培訓(xùn)管理程序；

——辦公區(qū)域安全管理制度；

——產(chǎn)品采購(gòu)管理制度；

——信息系統(tǒng)供應(yīng)商管理制度；

——軟件測(cè)試與驗(yàn)收管理制度；

——信息安全管理體系內(nèi)審程序；

——安全審核和檢查制度；

——應(yīng)急預(yù)案管理制度；

——補(bǔ)丁管理程序；

——訪問控制程序；

——信息資產(chǎn)管理辦法。

5對(duì)象

分類

分為終端、網(wǎng)絡(luò)、數(shù)據(jù)中心和物理環(huán)境。

終端

5.2.1準(zhǔn)入要求

5.2.1.1應(yīng)建立審批機(jī)制，有明確的申請(qǐng)人、審批人、時(shí)間、原因等信息。

5.2.1.2應(yīng)建立責(zé)任追究機(jī)制，對(duì)終端的準(zhǔn)入的申請(qǐng)、審核、批準(zhǔn)等信息進(jìn)行溯源。

5.2.1.3應(yīng)建立退出機(jī)制，對(duì)長(zhǎng)期不活動(dòng)、報(bào)廢的終端進(jìn)行清理。

2

DB34/T4304—2022

5.2.1.4應(yīng)建立逃生機(jī)制，出現(xiàn)網(wǎng)絡(luò)故障時(shí)，可以快速取消準(zhǔn)入。

5.2.2配置管理

5.2.2.1明確終端配置的目標(biāo)對(duì)象和要求。

5.2.2.2對(duì)業(yè)務(wù)網(wǎng)內(nèi)的智能入網(wǎng)終端等配置進(jìn)行登記。

5.2.2.3定期檢查配置登記的結(jié)果。

5.2.2.4定期組織評(píng)審。

5.2.3感染監(jiān)控

5.2.3.1應(yīng)對(duì)網(wǎng)內(nèi)感染、攻擊進(jìn)行監(jiān)測(cè)，并明確終端感染的管理目標(biāo)和要求。

5.2.3.2應(yīng)對(duì)感染事件進(jìn)行分析、匯總、及時(shí)處理，并做好處理記錄。

5.2.3.3應(yīng)定期檢查終端感染事件的處理過程，并做好檢查記錄。

5.2.3.4應(yīng)定期組織評(píng)審，并根據(jù)執(zhí)行情況，對(duì)管理目標(biāo)和要求、制度、流程等進(jìn)行改進(jìn)。

5.2.4安全管控

5.2.4.1應(yīng)支持快速批量對(duì)無線網(wǎng)訪問、內(nèi)外網(wǎng)切換、文件訪問、防火墻、策略、共享文件夾等進(jìn)行

安全設(shè)置。

5.2.4.2應(yīng)支持快速批量對(duì)業(yè)務(wù)、系統(tǒng)進(jìn)行設(shè)置，設(shè)置過程和結(jié)果可追溯。

5.2.4.3對(duì)終端主機(jī)進(jìn)行定期殺毒，對(duì)長(zhǎng)期無法殺毒的應(yīng)進(jìn)行跟蹤處理。

5.2.4.4定期核對(duì)、驗(yàn)證安裝情況。

5.2.5備份恢復(fù)管理

5.2.5.1建立制度與流程，確定備份恢復(fù)時(shí)間，定期演練。

5.2.5.2針對(duì)重要系統(tǒng)，應(yīng)做用戶終端系統(tǒng)備份、數(shù)據(jù)庫(kù)備份、服務(wù)器系統(tǒng)備份，并定期演練。

網(wǎng)絡(luò)

5.3.1數(shù)據(jù)交換

5.3.1.1應(yīng)設(shè)立獨(dú)立業(yè)務(wù)網(wǎng)絡(luò)區(qū)域。

5.3.1.2應(yīng)設(shè)立獨(dú)立的互聯(lián)網(wǎng)訪問區(qū)域，用于存放開通互聯(lián)網(wǎng)訪問的主機(jī)。

5.3.1.3應(yīng)通過中間業(yè)務(wù)邏輯層與業(yè)務(wù)網(wǎng)區(qū)域交換數(shù)據(jù)。

5.3.1.4業(yè)務(wù)網(wǎng)區(qū)域與其他區(qū)域之間應(yīng)設(shè)立防火墻，并定期對(duì)防火墻策略進(jìn)行審核，應(yīng)建立基于業(yè)務(wù)

端口級(jí)別的策略。

5.3.1.5應(yīng)建立業(yè)務(wù)網(wǎng)區(qū)域與其他區(qū)域的文件安全傳輸管理渠道，對(duì)文件保存設(shè)定期限，定期審核。

5.3.2配置要求

5.3.2.1應(yīng)明確配置的管理目標(biāo)與要求，涵蓋所有網(wǎng)絡(luò)區(qū)域。

5.3.2.2應(yīng)包括基本信息、維保信息、線路關(guān)系、位置信息、相關(guān)負(fù)責(zé)人及其聯(lián)系方式的配置數(shù)據(jù)庫(kù)，

并有明確責(zé)任人。

5.3.2.3應(yīng)定期對(duì)配置執(zhí)行現(xiàn)場(chǎng)核驗(yàn)工作，并根據(jù)結(jié)果對(duì)記錄進(jìn)行更新。

5.3.2.4應(yīng)定期對(duì)配置信息的準(zhǔn)確性、目標(biāo)符合情況進(jìn)行評(píng)估，并進(jìn)行記錄。

5.3.2.5應(yīng)定期對(duì)配置管理的制度、目標(biāo)、流程、記錄進(jìn)行評(píng)審、改進(jìn)。

5.3.3資源監(jiān)控

3

DB34/T4304—2022

5.3.3.1應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的運(yùn)行占用資源進(jìn)行監(jiān)控，至少包括內(nèi)存、CPU、速率、丟包率等信息。

5.3.3.2監(jiān)控方式、信息采集方式應(yīng)采用安全可行方式。

5.3.3.3應(yīng)制定監(jiān)控的目標(biāo)，并明確監(jiān)控參數(shù)與指標(biāo)，報(bào)警事件的處理流程與響應(yīng)速度的要求。

5.3.3.4應(yīng)定期檢查資源監(jiān)控的目標(biāo)符合度，有監(jiān)控遺漏的檢測(cè)方式，并進(jìn)行修正。

5.3.3.5應(yīng)定期對(duì)報(bào)警事件的完成情況進(jìn)行檢查，并進(jìn)行記錄、分析。

5.3.3.6應(yīng)定期對(duì)監(jiān)控目標(biāo)和要求進(jìn)行評(píng)估、改進(jìn)。

5.3.4人工巡檢

5.3.4.1應(yīng)明確巡檢的目標(biāo)與要求，包括巡檢范圍、種類、檢查項(xiàng)等。

5.3.4.2應(yīng)明確巡檢責(zé)任人，定期自動(dòng)生成固定巡檢任務(wù)，任務(wù)有明確的截止時(shí)間。

5.3.4.3應(yīng)對(duì)巡檢結(jié)果檢查、評(píng)估，對(duì)存在的問題進(jìn)行整改，并保存整改記錄。

5.3.4.4應(yīng)根據(jù)巡檢執(zhí)行情況，定期對(duì)巡檢目標(biāo)與要求，巡檢流程進(jìn)行改進(jìn)，并保存記錄。

5.3.5變更要求

5.3.5.1應(yīng)建立變更分類分級(jí)要求，包括不同分類、分級(jí)變更的應(yīng)急方式、審核流程、執(zhí)行方式。

5.3.5.2應(yīng)明確變更責(zé)任人，審批人，執(zhí)行人，相關(guān)通知人。

5.3.5.3應(yīng)有明確的備用方案，包括變更的作用、失敗產(chǎn)生的影響、備用預(yù)案的作用，應(yīng)對(duì)預(yù)案進(jìn)行

測(cè)試。

5.3.5.4變更過程應(yīng)做好記錄。

5.3.5.5應(yīng)有變更后的檢查方案，明確方案負(fù)責(zé)人。

5.3.6備用與演練要求

5.3.6.1應(yīng)列出存在的故障隱患，并制定相應(yīng)備用恢復(fù)方案，并定期演練。

5.3.6.2應(yīng)根據(jù)網(wǎng)絡(luò)重要性，對(duì)關(guān)鍵交換、路由設(shè)備界定不同的級(jí)別。

5.3.6.3根據(jù)級(jí)別，建立不同的備用方式，建立恢復(fù)目標(biāo)與要求，并制定恢復(fù)管理流程。

5.3.6.4建立變更分級(jí)管理，包括應(yīng)急響應(yīng)流程、申請(qǐng)審核流程、執(zhí)行流程等。

5.3.6.5應(yīng)定期對(duì)故障處理事件、演練結(jié)果進(jìn)行評(píng)審，并對(duì)相應(yīng)的流程、方案進(jìn)行改進(jìn)，并記錄。

數(shù)據(jù)中心

5.4.1配置要求

5.4.1.1應(yīng)建立基于業(yè)務(wù)、對(duì)象種類的配置的管理目標(biāo)與要求，包括信息完整率、準(zhǔn)確率等要求。

5.4.1.2應(yīng)建立配置數(shù)據(jù)庫(kù)，運(yùn)維對(duì)象應(yīng)有明確的運(yùn)維責(zé)任人。

5.4.1.3配置管理范圍，應(yīng)涵蓋與業(yè)務(wù)相關(guān)的服務(wù)、操作系統(tǒng)以及所需的存儲(chǔ)、計(jì)算等資源。

5.4.1.4定期對(duì)配置執(zhí)行現(xiàn)場(chǎng)核驗(yàn)，并根據(jù)結(jié)果對(duì)記錄進(jìn)行更新。

5.4.1.5應(yīng)定期對(duì)配置信息的準(zhǔn)確性、目標(biāo)符合情況進(jìn)行評(píng)估，分析存在的問題，并進(jìn)行記錄。

5.4.1.6定期對(duì)配置管理的制度、目標(biāo)、流程、記錄進(jìn)行評(píng)審、改進(jìn)。

5.4.2資源監(jiān)控

5.4.2.1應(yīng)建立監(jiān)控管理目標(biāo)與要求，包括監(jiān)控參數(shù)與指標(biāo)，報(bào)警事件的處理流程與響應(yīng)速度。

5.4.2.2應(yīng)定期檢查資源監(jiān)控的目標(biāo)符合度，有監(jiān)控遺漏的檢測(cè)方式，并進(jìn)行修正。

5.4.2.3應(yīng)定期對(duì)報(bào)警事件的完成情況進(jìn)行檢查，并進(jìn)行記錄、分析。

5.4.2.4應(yīng)定期對(duì)監(jiān)控目標(biāo)和要求進(jìn)行評(píng)估、改進(jìn)。

4

DB34/T4304—2022

5.4.3感染監(jiān)控

應(yīng)符合5.2.3的要求。

5.4.4人工巡檢

5.4.4.1應(yīng)定期組織對(duì)風(fēng)險(xiǎn)點(diǎn)進(jìn)行分析，并建立巡檢的目標(biāo)與要求，包括巡檢范圍、種類、檢查項(xiàng)等。

5.4.4.2應(yīng)明確巡檢責(zé)任人，定期自動(dòng)生成固定巡檢任務(wù)，任務(wù)有明確的截止時(shí)間。

5.4.4.3巡檢任務(wù)里，應(yīng)明確具體巡檢對(duì)象，并可以對(duì)每個(gè)巡檢對(duì)象設(shè)立獨(dú)立的巡檢項(xiàng)。

5.4.4.4應(yīng)對(duì)巡檢結(jié)果檢查、評(píng)估，對(duì)存在的問題進(jìn)行整改，并保存整改記錄。

5.4.4.5應(yīng)根據(jù)巡檢執(zhí)行情況，定期對(duì)巡檢目標(biāo)與要求，巡檢流程進(jìn)行改進(jìn)，并保存記錄。

5.4.5變更管理

5.4.5.1應(yīng)建立基于業(yè)務(wù)的變更分類分級(jí)，建立不同分類、分級(jí)變更的響應(yīng)流程。

5.4.5.2應(yīng)明確變更責(zé)任人、審批人、執(zhí)行人和相關(guān)通知人。

5.4.5.3應(yīng)有明細(xì)的變更步驟，每個(gè)步驟有專門的負(fù)責(zé)人。

5.4.5.4應(yīng)有明確的針對(duì)變更回撤方案，應(yīng)對(duì)預(yù)案、回撤方案進(jìn)行測(cè)試。

5.4.5.5變更過程應(yīng)做好記錄。

5.4.5.6應(yīng)有變更后的檢查方案，明確方案負(fù)責(zé)人。

5.4.6備用與演練管理

5.4.6.1應(yīng)列出存在的故障隱患，并制定相應(yīng)備用恢復(fù)方案，并定期演練。

5.4.6.2應(yīng)根據(jù)業(yè)務(wù)重要性，對(duì)關(guān)鍵服務(wù)、操作系統(tǒng)、設(shè)備等劃分不同的級(jí)別。

5.4.6.3應(yīng)根據(jù)不同級(jí)別，建立不同的備用方式，建立恢復(fù)目標(biāo)與要求，并制定恢復(fù)執(zhí)行流程、響應(yīng)

要求。

5.4.6.4應(yīng)定期對(duì)恢復(fù)執(zhí)行流程進(jìn)行演練，并對(duì)比目標(biāo)與要求，進(jìn)行評(píng)價(jià)、記錄。

5.4.6.5應(yīng)定期對(duì)故障處理事件、演練結(jié)果進(jìn)行評(píng)審，并對(duì)相應(yīng)的流程、方案進(jìn)行改進(jìn)。

物理環(huán)境

5.5.1配置登記

5.5.1.1應(yīng)對(duì)機(jī)房運(yùn)行的主要環(huán)境要求建立數(shù)據(jù)庫(kù)，明確管理目標(biāo)與要求，包括信息完整率、準(zhǔn)確率

等。

5.5.1.2應(yīng)建立配置數(shù)據(jù)庫(kù)，應(yīng)明確責(zé)任人。

5.5.1.3應(yīng)定期對(duì)配置執(zhí)行現(xiàn)場(chǎng)核驗(yàn)，并根據(jù)結(jié)果對(duì)記錄進(jìn)行更新。

5.5.1.4應(yīng)定期對(duì)配置信息的準(zhǔn)確性、目標(biāo)符合情況進(jìn)行評(píng)估，并記錄。

5.5.1.5應(yīng)定期對(duì)配置管理的制度、目標(biāo)、流程、記錄進(jìn)行評(píng)審、改進(jìn)。

5.5.2環(huán)境監(jiān)控

5.5.2.1應(yīng)建立監(jiān)控管理目標(biāo)與要求，包括事件的處理流程與響應(yīng)速度等。

5.5.2.2應(yīng)建立報(bào)警事件的響應(yīng)流程，明確責(zé)任組織與人員。

5.5.2.3應(yīng)定期對(duì)報(bào)警事件的完成情況進(jìn)行檢查，并進(jìn)行記錄、評(píng)價(jià)。

5.5.2.4應(yīng)根據(jù)報(bào)警、巡檢事件的處理與評(píng)價(jià)，定期對(duì)監(jiān)控目標(biāo)和要求進(jìn)行評(píng)估、改進(jìn)。

5.5.3機(jī)房進(jìn)出

5

DB34/T4304—2022

5.5.3.1針對(duì)不同類型的人員，應(yīng)建立機(jī)房進(jìn)出管理目標(biāo)與要求。

5.5.3.2應(yīng)對(duì)人員進(jìn)出情況進(jìn)行記錄，建立審批流程。

5.5.3.3定期對(duì)人員進(jìn)出情況進(jìn)行審查，并記錄所存在的問題。

5.5.3.4根據(jù)存在的問題，對(duì)管理目標(biāo)與審批流程進(jìn)行改進(jìn)。

5.5.4備用與演練

5.5.4.1應(yīng)列出存在的故障隱患，并制定相應(yīng)備用方案，并定期演練。

5.5.4.2應(yīng)對(duì)電源、空調(diào)，應(yīng)有冗余措施。

5.5.4.3建立恢復(fù)目標(biāo)與要求，并制定恢復(fù)執(zhí)行流程、響應(yīng)要求。

5.5.4.4應(yīng)定期演練，并記錄。

5.5.4.5應(yīng)定期對(duì)故障處理事件、演練結(jié)果進(jìn)行評(píng)審，并記錄。

6安全事件處置

安全事件處置流程及要求

6.1.1接收

6.1.1.1設(shè)立接收?qǐng)?bào)修、報(bào)警、安全事件的服務(wù)臺(tái)組織、成員，明確負(fù)責(zé)人，定期排班。

6.1.1.2應(yīng)建立不同級(jí)別事件的受理與分配的制度與流程，設(shè)定專人負(fù)責(zé)事件請(qǐng)求的處理，應(yīng)熟悉醫(yī)

院診療流程，熟悉診療相關(guān)法律，識(shí)別事件分類與定級(jí)。

6.1.1.3定期對(duì)事件受理人員進(jìn)行各類業(yè)務(wù)常見問題的培訓(xùn)。

6.1.2執(zhí)行

6.1.2.1事件執(zhí)行過程中，應(yīng)及時(shí)對(duì)事件處理過程進(jìn)行記錄與反饋。

6.1.2.2事件的處理過程中應(yīng)根據(jù)不同級(jí)別事件制定明確的上報(bào)流程與期限管理要求，包括及時(shí)處理

期限、完成期限等，并能及時(shí)提醒相關(guān)人員。

6.1.2.3事件完成結(jié)果要有規(guī)范性要求，應(yīng)有總結(jié)，宜與知識(shí)庫(kù)關(guān)聯(lián)。

6.1.3評(píng)價(jià)

6.1.3.1單體評(píng)價(jià)

應(yīng)制定專家與用戶評(píng)價(jià)管理制度與流程，包括但不限于：

——應(yīng)制定專家、用戶評(píng)價(jià)流程，應(yīng)確定專家與用戶評(píng)價(jià)的范圍、內(nèi)容、方式；

——制定專家與用戶評(píng)價(jià)信息的采集、匯總、分析要求；

——專家與用戶負(fù)面評(píng)價(jià)的核實(shí)、評(píng)估、處置、反饋、跟蹤驗(yàn)證要求；

——專家與用戶評(píng)價(jià)記錄的保存要求。

6.1.3.2階段回顧性評(píng)價(jià)

應(yīng)制定服務(wù)評(píng)審與改進(jìn)管理制度與流程，包括但不限于：

——應(yīng)制定不同事件評(píng)審的范圍、內(nèi)容、頻度、方式；

——應(yīng)明確事件的評(píng)審要求，包括服務(wù)評(píng)價(jià)的要求；

——評(píng)審結(jié)果應(yīng)包括與目標(biāo)的差距分析、原因分析與改進(jìn)建議。

溝通協(xié)同管理

6

DB34/T4304—2022

6.2.1接收

6.2.1.1有多種溝通渠道，包括電話、即時(shí)通訊、網(wǎng)站、郵箱等，根據(jù)不同級(jí)別的事件制定不同的通

知策略。

6.2.1.2應(yīng)設(shè)立總服務(wù)臺(tái)處理咨詢、報(bào)修、投訴等事件。

6.2.2執(zhí)行

6.2.2.1對(duì)事件的處理要及時(shí)記錄進(jìn)展情況，同時(shí)應(yīng)及時(shí)共享、反饋給相關(guān)人員。

6.2.2.2應(yīng)建立與使用部門、軟硬件供應(yīng)商的快速信息化溝通、協(xié)同渠道。

6.2.2.3應(yīng)定期對(duì)使用部門進(jìn)行調(diào)研，了解需求和問題。

6.2.3評(píng)價(jià)

6.2.3.1應(yīng)針對(duì)不同級(jí)別的事件，建立溝通協(xié)同管理目標(biāo)。

6.2.3.2定期評(píng)價(jià)、改進(jìn)協(xié)同管理制度與流程。

7應(yīng)急管理

應(yīng)制定應(yīng)急預(yù)案內(nèi)容，包括但不限于啟動(dòng)預(yù)案的條件、明確預(yù)案要達(dá)到的目標(biāo)、應(yīng)急組織構(gòu)成、

應(yīng)急資源保障、事后教育和培訓(xùn)等內(nèi)容。

應(yīng)定期進(jìn)行應(yīng)急預(yù)案的演練。

應(yīng)定期對(duì)原有的應(yīng)急預(yù)案、人員、組織等重新評(píng)估，修訂完善。

7

DB34/T4304—2022

參考文獻(xiàn)

[1]《中華人民共和國(guó)網(wǎng)絡(luò)安全法》（中華人民共和國(guó)第十二屆全國(guó)人民代表大會(huì)常務(wù)委員會(huì)第二

十四次會(huì)議）

[2]GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求

[3]GB/T25058-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指南

8

DB34/T4304—2022

前言

本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定

起草。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。

本文件由安徽省公安廳提出并歸口。

本文件起草單位：安徽醫(yī)科大學(xué)第一附屬醫(yī)院、安徽醫(yī)科大學(xué)第二附屬醫(yī)院、安徽省公安廳網(wǎng)絡(luò)安

全保衛(wèi)總隊(duì)、安徽省衛(wèi)生健康委員會(huì)信息中心、中國(guó)科學(xué)技術(shù)大學(xué)第一附屬醫(yī)院（安徽省立醫(yī)院）、皖

南醫(yī)學(xué)院弋磯山醫(yī)院、蚌埠醫(yī)學(xué)院第一附屬醫(yī)院、蕪湖市第二人民醫(yī)院、安徽國(guó)康網(wǎng)絡(luò)安全測(cè)評(píng)有限公

司、安徽溯源電子科技有限公司、安徽中醫(yī)藥大學(xué)第一附屬醫(yī)院、安徽省公共衛(wèi)生臨床中心、安徽醫(yī)科

大學(xué)、皖南醫(yī)學(xué)院、合肥市公安局科技信息化支隊(duì)、安徽醫(yī)科大學(xué)附屬安慶第一人民醫(yī)院、寧國(guó)市公安

局、太和縣人民醫(yī)院、上海安翼保信息技術(shù)服務(wù)有限公司、安徽上下數(shù)據(jù)科技有限公司、安徽安恒數(shù)智

信息技術(shù)有限公司、綠盟科技集團(tuán)股份有限公司、三六零數(shù)字安全科技集團(tuán)有限公司、深信服科技股份

有限公司、北京華譽(yù)維誠(chéng)技術(shù)服務(wù)有限公司。

本文件主要起草人：周典、柴培鈺、馮響林、徐紅兵、楊波、葛偉、陶敏、徐兵、黃煜、汪濤、劉

冬、楊愛民、張文雅、偶德俊、沈沛、史壽樂、黃盈中、張業(yè)睿、胡紅雨、孫一鳴、徐禮理、張文修、

張旸、黃電、郭偉、陳宗明、余福生、方成成、呂芳爐、陶曉東、馬守寬、王彬、李善智、鄭傳統(tǒng)、戴

博文、溫長(zhǎng)健。

I

DB34/T4304—2022

醫(yī)院網(wǎng)絡(luò)安全管理規(guī)范

1范圍

本文件確定了醫(yī)院安全運(yùn)維管理的基本要求，并規(guī)定了醫(yī)院網(wǎng)絡(luò)安全運(yùn)維的對(duì)象、安全事件處置和

應(yīng)急管理。

本文件適用于二級(jí)甲等以上醫(yī)院網(wǎng)絡(luò)安全運(yùn)維工作。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB50348安全技術(shù)防范技術(shù)標(biāo)準(zhǔn)

3術(shù)語和定義

GB50348界定的以及下列術(shù)語和定義適用于本文件。

智能入網(wǎng)終端intelligentnetworkaccessterminal

可通過網(wǎng)絡(luò)協(xié)議完成服務(wù)交互的設(shè)備。

感染監(jiān)控infectionmonitoring

對(duì)管理對(duì)象被病毒、木馬感染，對(duì)其它對(duì)象出現(xiàn)傳染、攻擊的現(xiàn)象進(jìn)行實(shí)時(shí)監(jiān)控，并生成感染事件

進(jìn)行管控

資源監(jiān)控resourcemonitoring