医院网络安全管理规范.pdfVIP

为天地立心，为生民立命，为往圣继绝学，为万世开太平。——张载

医院网络安全运维规范

1范围

本文件确定了医院安全运维管理的基本要求，并规定了对象、安全事件处置和应急管理的基

本内容。

本文件适用对各级（二级甲等以上）医院安全运维工作的管理。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引

用文件，仅该口期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修

改单）适用于本文件。

GBZT50348-2018安全技术防范技术标准

GB/T22239-2019信息安全技术网络安全等级保护基本要求

3术语和定义

GBfT50348界定的术语和定义适用于木文件。

4基本要求

4.1人员

4.1.1人员应具备从事安全运维服务所必备的知识，应具有较为系统的内容体系和知识范围。

4.1.2应配备一定数量的系统管理员、审计管理员和安全管理员等。

4.1.3应配备专职安全管理员，不可兼任。

4.1.4应对各类人员进行安全意识教育和向位技能培训，并签订保密承诺书。

4.1.5应根据岗位需要，每年定期参与培训。

5.2机构

4.2.1应建立由医院主要负责人牵头，各部门参与的安全管理组织。

4.2.2应设定网络安全的管理部门，是医院内网络安全管理最终裁决部门。

4.2.3管理部门应牵头制定网络安全的各项制度，建立网络安全使用的各项流程及责任。

4.3经费

每年应有专门的安全管理的预算，用于日常安全与运维、专家咨询、安全等级评审等工作。

4.4规划

4.4.1对网络安全管理应制定有长期规划，包括实现目标、人员培养、经费投入、制度完善等工

作。

4.4.2应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划,内容应

包含密码技术相关内容，并形成配套文件,

为天地立心，为生民立命，为往圣继绝学，为万世开太平。——张载

4.4.3应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论

证和审定，经过批准后才能正式实施。

4.5制度

应制定下列制度但不限于：

——安全策略管理制度；

一一设备安全管理制度；

一一机房安全管理制度；

——网络安全管理制度；

一一密码使用管理制度；

一一系统变更管理规定；

一一数据备份恢复管理制度；

一一介质管理制度；

一一人事安全管理制度；

一一员工培训管理程序；

一一办公区域安全管理制度；

一一外部人员安全管理制度；

一一产品采购管理制度；

一一信息系统供应商管理制度；

一信息系统招标管理制度；

一一软件测试与验收管理制度；

一一信息安全管理体系内审程序；

一一安全审核和检查制度；

一一应急预案管理制度；

补丁管理程序；

访问控制程序；

一一信息资产管理办法。

5对象

5.1分类

运维对象分为终端、网络、数据中心和物理环境。

5.2终端

5.2.1准入要求

5应建立审批机制，有明确的申请人、审批人、时间、原因等信息。

5应建立责任追究机制，避免随意对终端进行准入、准入信息填写不完整，导致