医院信息系统风险评估量表.docxVIP

医院信息系统风险评估量表

本量表用于系统化评估医院信息系统（HIS）在规划、建设、运行及维护全生命周期中的潜在风险，涵盖资产识别、威胁分析、脆弱性评估、影响分析及风险等级判定五大核心模块，采用定量与定性结合的评估方法，总分100分，各模块权重分别为20%、25%、25%、20%、10%。评估结果分为高风险（≥85分）、中风险（70-84分）、低风险（70分）三个等级，为医院信息系统安全改进提供数据支撑。

一、资产识别（20分）

资产识别是风险评估的基础，需全面覆盖信息系统相关的硬件、软件、数据、人员及服务五类核心资产，评估其重要性、价值及管理状态。

1.硬件资产（5分）

-评估项1：服务器（1分）：包括核心业务服务器（如HIS、电子病历、PACS）、备份服务器、数据库服务器。评估要点：是否采用冗余架构（如双机热备）、物理位置是否符合防火/防水/防盗要求（如独立机房、监控覆盖）、设备老化程度（使用年限5年扣0.3分，8年扣0.5分）。

-评估项2：存储设备（1分）：包括磁盘阵列、磁带库、云存储。评估要点：存储容量是否满足3年数据增长需求（不足扣0.2分）、是否启用加密存储（未加密扣0.5分）、备份策略是否覆盖全量/增量/异机备份（缺一项扣0.3分）。

-评估项3：网络设备（1分）：包括交换机、路由器、防火墙、入侵检测系统（IDS）。评估要点：核心网络是否划分安全域（如办公网、医疗业务网、互联网区，未划分扣0.5分）、防火墙策略是否定期更新（超过3个月未更新扣0.3分）、IDS日志是否完整留存（留存时间30天扣0.2分）。

-评估项4：终端设备（1分）：包括医生工作站、护士站电脑、移动护理终端（PDA）、自助机。评估要点：终端是否安装统一杀毒软件（未安装扣0.5分）、是否启用登录密码复杂度限制（如8位以上+字母+数字，未启用扣0.3分）、移动终端是否绑定MAC地址（未绑定扣0.2分）。

-评估项5：其他硬件（1分）：包括UPS电源、空调、门禁系统。评估要点：UPS续航时间是否≥2小时（不足扣0.3分）、机房温湿度是否24小时监控（未监控扣0.4分）、门禁是否支持双人双锁（未配置扣0.3分）。

2.软件资产（5分）

-评估项1：核心业务系统（2分）：包括HIS、电子病历系统、LIS（检验系统）、PACS（影像系统）、EMR（电子病历）。评估要点：系统版本是否为官方最新稳定版（非最新版扣0.5分）、是否存在已知高危漏洞（如CVE评分≥7.0，每个漏洞扣0.2分）、是否通过国家信息安全等级保护（等保）三级认证（未通过扣1分）。

-评估项2：辅助系统（1分）：包括OA系统、人力资源管理系统、物资管理系统。评估要点：是否与核心业务系统物理隔离（未隔离扣0.3分）、是否启用角色权限管理（如最小权限原则，未启用扣0.4分）、是否定期进行漏洞扫描（超过1个月未扫描扣0.3分）。

-评估项3：第三方软件（1分）：包括云服务平台、数据分析工具、接口中间件。评估要点：是否签订安全服务协议（未签订扣0.5分）、供应商是否具备ISO27001认证（无认证扣0.3分）、数据跨境传输是否符合《个人信息保护法》（违规扣0.2分）。

-评估项4：操作系统与数据库（1分）：包括WindowsServer、Linux、Oracle、SQLServer。评估要点：是否启用自动补丁更新（未启用扣0.4分）、数据库是否启用审计日志（未启用扣0.3分）、默认账户（如sa、admin）是否删除或重命名（未处理扣0.3分）。

3.数据资产（5分）

-评估项1：患者数据（2分）：包括姓名、身份证号、诊断结果、影像资料、检验报告。评估要点：是否按《个人信息保护法》进行数据分类（如敏感/非敏感，未分类扣0.5分）、存储是否加密（未加密扣0.8分）、访问是否记录操作日志（未记录扣0.7分）。

-评估项2：医疗业务数据（1分）：包括药品库存、设备使用记录、财务流水。评估要点：是否定期进行数据完整性校验（未校验扣0.4分）、是否制定数据备份恢复演练计划（无计划扣0.5分）、历史数据归档是否符合《医疗机构病历管理规定》（违规扣0.1分）。

-评估项3：管理数据（1分）：包括员工信息、采购合同、科研数据。评估要点：是否限制跨部门访问（未限制扣0.3分）、科研数据共享是否经伦理委员会审批（未审批扣0.5分）、离职员工数据访问权限是否及时回收（未回收扣0.2分）。

-评估项4：数据生命周期管理（1分）：包括生成、存储、传输、使用、销毁。评估要点：传输是否采用HTTPS或VPN加密（未加密扣0.4分）、过期数据是否按规范销毁（如物理粉碎/逻辑擦除，未销毁扣0.5分）、是否建立数据泄露应急预案