医院数据安全保护管理制度.pdfVIP

医院数据安全保护管理制度

***医院数据安全保护管理制度

一.概述数据信息安全，顾名思义就是要保护数据信息免

受威胁的影，从而确保业务平台的连续性，缩减业务平台有

可能面临的风险，为整个业务平台部门的长期正常运行提供强

有力的保障。为加强数据信息的安全管理，保证数据信息的可

用性、完整性、机密性，特制定本规范。

二.数据信息安全管理制度

1、数据信息安全存储要求数据信息存储介质包括：纸质

文档、语音或其录音、输出报告、硬盘、磁带、光存储介质。

存储介质管理须符合以下规定：

1）包含重要、敏感或关键数据信息的移动式存储介质须专

人值守。

2）删除可重复使用存储介质上的机密及绝密数据时，为了

避免在可移动介质上遗留信息，应该对介质进行消磁或彻底的

格式化，或者使用专用的工具在存储区域填入无用的信息进行

覆盖U

3）任何存储媒介入库或出库需经过授权，并保留相应记录,

方便审计跟踪。

2、数据信息传输安全要求

1）在对数据信息进行传输时，应该在风险评估的基础上采

用合理的加密技术，选择和应用加密技术时，应符合以下规范:

必须符合国家有关加密技术的法律法规；根据风险评估确定保

护级别，并以此确定加密算法的类型、属性，以及所用密钥的

长度；听取专家的建议，确定合适的保护级别，选择能够提供

所需保护的合适的工具。

2）机密和绝密信息在存储和传输时必须加密，加密方式可

以分为：对称加密和不对称加密。

3）机密和绝密数据的传输过程中必须使用数字签名以确保

信息的不可否认性，使用数字签名时应符合以下规范：充分保

护私钥的机密性，防止窃取者伪造密钥持有人的签名。采取保

护公钥完整性的安全措施，例如使用公钥证书；确定签名算法

的类型、属性以及所用密钥长度；用于数字签名的密钥应不同

于用来加密内容的密钥。

3、数据信息安全等级变更要求

数据信息安全等级经常需要变更一般地，数据信息安全

等级变更需要由数据资产的所有者进行，然后改变相应的分类

并告知信息安全负责人进行备案对于数据信息的安全等级,

应每年进行评审，只要实际情况允许，就进行数据信息安全等

级递减，这样可以降低数据防护成本，并增加数据访问方

便性。

4、数据信息安全管理职责

数据信息涉及各类人员职责如下：

1）拥有者：拥有数据所有权；羽有对数据处置权利；

对数据进行分类与分级；指定数据资产管理者/维护人；

2）管理者：被授权管理相关数据姿产；负责数据日常维

护和管理；

3）访问者：在授权范围内访问所需数据；确保访问对象

机密性、完整性、可用性等；

三.数据信息重要性评估

3.1数据信息分级原则分级合理性数据信息和处理数据信

息分级系统输应当仔细考虑分级范畴数量以及使用这种分

级所带来好处。过于复杂分级规划可能很累赘，而且使用

和执行起来也不经济实用。分级周期性数据信息分级具有一

定保密期限.对于任何数据信息分级都不一定自始至终固

定不变，可按照一些预定策略发生改变。如果把安全保护

分级划定得过高就会导致不必要业务开支。

3.2