2026年医疗信息安全防护行动计划.docxVIP

2026年医疗信息安全防护行动计划

一、工作背景与现状评估

根据国家卫生健康委《全国医疗健康网络和信息安全2024年监测通报》数据显示，全年监测到医疗卫生机构遭受网络攻击127.6万次，较2023年上涨31.2%，其中针对电子病历、患者个人信息的勒索攻击占比达62.8%，攻击成功导致业务停摆的事件共117起，平均每起事件造成直接经济损失128.6万元。截至2024年底，我国二级以上公立医院电子病历系统功能应用水平平均级别达到4.2级，智慧医院覆盖率超过60%，医疗业务数字化转型过程中，医疗信息系统边界持续扩大，物联网医疗设备接入量年增速达47%，带来的attacksurface扩展风险持续提升。

从本机构2025年度安全自查数据来看，当前存在的核心安全风险包括四个方面：一是核心业务系统防护短板，HIS、LIS、PACS三大核心系统共检出中高危漏洞18个，其中未及时修补的零日漏洞2个，漏洞修复率仅为72%；二是数据安全管控不足，全库存储的患者个人信息共1287万条，其中19.2%的敏感信息未完成脱敏处理，违规跨域数据访问事件月度平均发生12.6起；三是终端与物联网设备防护薄弱，全院接入的1872台医疗物联网设备（含监护仪、CT扫描仪、智慧输液泵等）中，63.8%未部署终端安全防护软件，41.2%仍使用弱口令登录；四是人员安全意识不足，2025年度组织的3次全员钓鱼演练中，平均点