医院网络安全事件报告制度.docxVIP

医院网络安全事件报告制度

第一章总则

第一条制定目的

为规范医院网络安全事件的报告、处置、溯源全流程管理，落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》等法律法规要求，及时、准确、全面掌握医院网络安全事件态势，最大限度降低事件对医疗业务、患者权益、医院声誉造成的损失，特制定本制度。

第二条适用范围

本制度适用于医院所有信息资产相关的网络安全事件报告管理，覆盖医院各临床科室、医技科室、行政后勤部门、第三方合作单位（含信息系统供应商、运维服务商、物流供应商、互联网医疗合作方等）及全体职工、外包服务人员、进修实习人员。

本制度所指网络安全事件，是指由于人为攻击、系统漏洞、硬件故障、操作失误、不可抗力等原因，导致医院信息系统（含HIS、EMR、LIS、PACS、医保结算系统、互联网医院平台、患者服务平台、内部管理系统等）发生中断、数据泄露、数据篡改、数据损毁、恶意程序感染、非法入侵等影响正常业务运行或信息安全的事件。

第三条报告原则

1.首报负责原则：最先发现网络安全异常或事件的人员为第一报告人，需第一时间履行报告义务，不得拖延、隐瞒、谎报。

2.及时准确原则：报告内容需客观真实、要素齐全，不得主观臆断、遗漏关键信息，确保事件处置部门快速掌握核心情况。

3.分级报送原则：根据事件等级明确对应报送层级