医院网络与信息安全类突发事件应急预案.docxVIP

医院网络与信息安全类突发事件应急预案

为有效应对医院网络与信息安全突发事件，最大限度减少事件对医疗业务、患者信息安全及医院正常运营的影响，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《个人信息保护法》《卫生行业信息安全等级保护工作的指导意见》等法律法规及行业规范，结合医院信息系统实际运行特点，制定本应急预案。

一、事件分级与定义

本预案所称网络与信息安全突发事件（以下简称“事件”），是指因网络攻击、设备故障、人为操作失误、自然灾害等原因，导致医院信息系统中断、数据泄露或篡改、网络通信受阻，进而影响医疗业务正常开展或威胁患者个人信息安全的紧急情况。事件分级标准如下：

特别重大事件（Ⅰ级）：造成核心业务系统（HIS、EMR、PACS、LIS等）中断超过12小时，或导致5000人以上患者个人信息（含敏感信息如病历、检查报告、身份证号等）泄露，或引发社会重大舆情、严重影响医院声誉及患者权益的事件。

重大事件（Ⅱ级）：核心业务系统中断4-12小时，或导致1000-5000人患者个人信息泄露，或造成重点科室（如急诊、ICU、手术室）业务停滞超过2小时，需启动全院级应急协调的事件。

较大事件（Ⅲ级）：非核心业务系统（如OA、后勤管理系统）中断超过24小时，或核心业务系统中断2-4小时，或导致500-1000人患者个人信息泄露，需跨部门协作处置的事件。

一般事件（Ⅳ级）：非核心业务系统中断6-24小时，或导致500人以下患者个人信息泄露，或单个科室（如门诊收费、药房）系统局部故障，可由信息中心独立处置的事件。

二、应急组织体系与职责

医院成立网络与信息安全应急指挥部（以下简称“指挥部”），作为事件处置最高决策机构，下设技术保障组、业务协调组、安全监督组、舆情应对组，各层级职责明确如下：

指挥部：由分管信息化的副院长任总指挥，信息中心主任、医务部主任、护理部主任、保卫部主任、宣传科科长任成员。负责启动/终止应急响应，决策重大处置方案（如是否断网、是否调用容灾系统），协调全院资源（人力、设备、场地），向上级主管部门（卫生健康委、网信办）及监管机构（公安网安部门）报告事件进展，审批对外信息发布内容。

技术保障组：由信息中心技术骨干、第三方运维厂商专家组成（需提前签订应急支援协议）。负责事件技术分析（如攻击源追踪、漏洞定位、数据损坏程度评估），实施系统修复（病毒清除、漏洞补丁安装、数据恢复），启用容灾备份（本地备份、异地灾备中心切换），监控修复后系统运行状态，确保业务连续性。

业务协调组：由医务部、护理部、门诊部、急诊部负责人及各临床科室秘书组成。负责统计事件影响的业务范围（如受影响的挂号、就诊、检查、结算环节），制定业务替代方案（如手工登记、纸质处方流转、应急收费台账），协调科室间信息传递（如通过电话、对讲机通知检查结果），安抚患者情绪并解释系统故障原因，避免医患矛盾升级。

安全监督组：由医院纪委、审计科、信息中心安全管理员组成。负责监督应急处置过程的合规性（如数据恢复是否使用合法备份、断网操作是否履行审批），记录事件处置全流程（时间节点、操作日志、责任人员），核查是否存在人为违规操作（如越权访问、未授权数据导出），为后续责任认定提供依据。

舆情应对组：由宣传科、医患关系办公室人员组成。负责收集网络及患者端舆情（如社交媒体投诉、现场患者聚集情况），经指挥部审批后通过医院官网、公众号、院内广播等渠道发布事件进展说明（每2小时更新一次），澄清不实信息，引导公众客观认知，避免谣言扩散。

三、监测预警与信息报告

（一）日常监测机制

信息中心建立7×24小时监测体系，通过以下手段实时感知风险：

-网络流量监测：利用入侵检测系统（IDS）、流量分析平台监控异常流量（如突发DDOS攻击、异常外连请求），设置阈值（如单IP流量超过100Mbps、连接数超过500）自动告警。

-系统日志审计：对核心系统（HIS、EMR）、数据库（SQLServer、Oracle）、网络设备（防火墙、交换机）的操作日志进行集中采集与分析，重点监控越权访问（如护士账号登录医生端）、敏感数据查询（如批量导出患者身份证号）、异常删除操作（如删除检验报告）。

-漏洞扫描与补丁管理：每月对全院信息系统进行漏洞扫描（使用Nessus、OpenVAS等工具），对高危漏洞（如RCE远程代码执行、SQL注入）48小时内完成补丁修复，中危漏洞72小时内处理，低危漏洞纳入月度修复计划。

-终端安全管理：通过桌面管理系统（如联软、深信服）监控终端设备（医生工作站、护士站电脑）的软件安装情况，禁止安装非授权软件（如P2P下载工具），定期检查杀毒软件（卡巴斯基、奇安信）病毒库更新状态，发现终端感染病毒（