2025年医院系统信息安全防护工作自查报告.docxVIP

2025年医院系统信息安全防护工作自查报告

一、组织管理体系建设情况

2025年，我院严格落实《网络安全法》《数据安全法》《个人信息保护法》及国家卫生健康委《医疗数据安全管理暂行办法》等法规要求，以“业务安全与信息安全同步规划、同步建设、同步运行”为指导原则，构建了“三级责任、闭环管理”的信息安全组织体系。

院级层面，成立由院长任组长、分管信息化副院长任副组长、信息中心、医务科、护理部、保卫科、门诊部、药学部等多部门负责人为成员的信息安全领导小组，统筹决策重大安全事项。领导小组下设办公室（设在信息中心），负责日常协调与监督，明确“主要领导全面负责、分管领导直接负责、部门负责人具体负责”的责任链条。2025年累计召开领导小组会议6次，重点审议通过《2025年信息安全防护提升方案》《医疗数据分类分级实施细则（2025修订版）》《第三方服务安全管理规范》等文件，确保战略部署与业务需求同步。

部门层面，各临床、医技科室及职能部门均设立1名信息安全专员（由科室秘书或质控员兼任），负责本科室终端设备管理、用户权限审核及安全事件上报，形成“院-科-岗”三级联动机制。信息中心配备专职安全管理员3名（持CISP、CISSP证书）、渗透测试工程师1名（持OSCP证书），全年开展跨部门联合检查12次，覆盖门诊、住院、检验、影像、医保等核心业务系统。

二、制度规范与流程执行情况

我院以“覆盖全生命周期、匹配风险等级”为目标，建立了包含基础制度、专项制度、操作规范的三级制度体系。2025年重点修订完善制度11项，新增制度4项，确保制度与技术发展、业务变化同步迭代。

基础制度方面，修订《医院信息系统安全管理制度》，明确“最小权限原则”“访问日志留存6个月以上”“重要操作双人复核”等核心要求；更新《信息安全责任追究办法》，将安全考核纳入科室综合目标管理（占比5%），与绩效、评优直接挂钩。

专项制度方面，针对AI辅助诊断系统、互联网医院、电子病历五级评审等新增业务场景，制定《AI医疗系统数据安全规范》《互联网医院患者信息保护指引》《电子病历系统安全加固方案》，重点规范AI模型训练数据的去标识化处理、互联网诊疗会话的端到端加密（采用国密SM4算法）、电子病历调阅的“一人一钥、一次一密”动态认证。

操作规范方面，编制《终端设备安全操作手册（2025版）》《第三方运维安全操作指南》《数据共享审批流程图解》等实务文件，细化32类操作场景的具体要求。例如，第三方运维需提前7个工作日提交申请，经信息中心、医务科、院感科联合审批后，签订《安全责任承诺书》，接入专用运维终端（物理隔离于生产网），全程开启屏幕录制与操作审计；数据共享需通过“申请-科室初审-信息中心安全评估-分管院长审批-技术加密传输”五步法，2025年共审批通过数据共享申请47次，均未发生违规外发。

三、技术防护措施落实情况

2025年，我院围绕“边界防御、终端管控、应用加固、数据加密、监测预警”五大维度，投入专项经费380万元，完成信息安全技术体系升级，核心系统防护能力达到等保三级要求。

（一）网络边界安全

在原有“核心区-业务区-终端区”三层网络架构基础上，部署零信任网关（支持SDP架构），对所有访问医院信息系统的请求实施“身份+设备+位置+行为”多因素验证。外部访问（如医生居家办公、医联体协作）需通过VPN（IPSec+国密双协议）接入，终端需安装EDR（端点检测与响应）客户端并通过健康检查（无恶意进程、补丁更新至最新版）。2025年拦截非法访问请求12.3万次，其中针对医保系统的暴力破解攻击527次、针对影像系统的跨站脚本攻击（XSS）13次，均通过防火墙策略封禁源IP并记录日志。

（二）终端与设备安全

完成全院3200余台终端设备（含PC、自助机、检查设备）的EDR系统部署，实现进程监控、文件操作审计、外设管控（仅允许USB存储设备白名单接入）。针对2019年前部署的86台老旧医疗设备（如部分PACS终端、检验仪），因厂商停止服务无法安装补丁，采取“物理隔离+专用网络”策略，单独划分至“老旧设备区”，仅允许授权运维人员通过固定终端访问，全年未发生老旧设备被攻击渗透事件。移动终端方面，医生使用的移动查房终端（共450台）均安装MDM（移动设备管理）系统，限制非医疗类APP安装，强制每30天修改密码，屏幕超过30秒无操作自动锁定。

（三）应用系统安全

对HIS、EMR、LIS、PACS、医保接口等12个核心系统开展渗透测试（委托第三方测评机构），发现并修复高危漏洞21个（如SQL注入、越权访问）、中危漏洞53个（如会话超时设置过久、验证码强度不足）。所有系统均启用HTTPS（TLS1.3协议）加密传输，敏感页面（如电子病历调阅