医疗信息安全风险评估和应急工作制度.docxVIP

医疗信息安全风险评估和应急工作制度

一、总则

（一）制度目的

为规范本医疗机构医疗信息安全风险评估与应急处置工作，落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》《国家健康医疗大数据标准、安全和服务管理办法（试行）》等法律法规要求，识别、管控医疗信息全生命周期安全风险，建立快速响应、高效处置的应急机制，保障医疗业务连续运行、患者个人信息安全、医疗数据不泄露不篡改，特制定本制度。

（二）适用范围

本制度适用于医疗机构所有涉及医疗信息的系统、设备、数据及相关人员，包括但不限于：HIS（医院信息系统）、LIS（实验室信息管理系统）、PACS（医学影像存档与传输系统）、EMR（电子病历系统）、互联网医疗平台、移动医疗应用、远程医疗系统、物联网医疗设备（智能监护仪、移动护理PDA等）、患者个人健康信息、临床科研医疗数据、医疗管理统计数据等所有信息资产，覆盖信息采集、存储、传输、使用、共享、销毁全流程，以及机构内所有部门、工作人员、第三方合作服务商。

（三）工作原则

1.预防为主，防控结合：定期开展风险排查与评估，对识别出的风险提前落实管控措施，将风险消除在萌芽阶段，避免安全事件发生。

2.分级管理，责任到人：根据信息资产重要程度、风险影响范围划分管理等级，明确各级机构、部门、岗位的安全责任，建立权责清晰的管理体系