医疗信息安全风险评估制度.docxVIP

医疗信息安全风险评估制度

1总则

1.1目的依据

为规范医疗信息安全风险识别、评估与管控工作，落实医疗信息安全主体责任，防范化解医疗数据泄露、业务中断等安全事件，保障医疗服务连续性和患者合法权益，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》《网络安全等级保护条例》《国家健康医疗大数据标准、安全和服务管理办法（试行）》等法律法规及政策标准，制定本制度。

当前医疗行业已成为网络攻击的重点目标，据中国网络安全产业联盟2024年发布的《医疗行业网络安全态势报告》统计，2023年我国医疗行业公开披露的信息安全事件超过120起，累计泄露患者敏感医疗信息超过5000万条，勒索病毒攻击事件同比上升34%，攻击导致核心诊疗业务中断的平均时长达到13.8小时，单起事件造成的直接经济损失平均超过120万元。2023年国家卫生健康委发布的全国医疗卫生机构网络安全抽查结果显示，81%的被抽查医疗机构存在不同程度的安全隐患，63%未按要求定期开展规范的风险评估，72%未将联网医疗物联网设备纳入风险评估范围，风险评估缺失已经成为医疗信息安全的核心短板之一，本制度的制定就是为补齐该短板，实现风险评估工作的规范化、常态化。

1.2适用范围

本制度适用于各级各类公立医院、民营医院、基层医疗卫生机构、专业公共卫生机构、区域全民健康信息