TSAS-医疗机构信息系统安全运营管理规范编制说明.docxVIP

《医疗机构信息系统安全运营管理规范（征求意见稿）》编制说明

一、目的意义

1.应对医疗行业安全运营特殊挑战

医疗行业信息化业务相对复杂且存在特殊性。医疗信息化资产涵盖HIS、PACS、LIS、EMR、集成平台、互联网医院、移动APP以及承载相关系统的内网、外网、虚拟化平台、无线网络和移动终端等，资产种类涉及面广。各类系统中存储了大量患者信息、处方数据等敏感数据，防“统方”等安全事件缺少统一的安全运营规范。本标准针对上述特殊性，为医疗机构提供细化的运营及管理规范指引。

2.推动安全运营从合规走向实战

本标准参考了国家标准化管理委员会、中国信息安全测评中心等机构的信息系统安全运营管理和实施思路，结合苏州本地医疗机构的实际调研情况，引入安全运营能力评估、防御有效性验证、内部红蓝对抗、外部攻防演练、数据安全风险评估等实战化验证手段，推动医疗机构安全运营从“静态合规”向“动态实战”转变，有效提升医疗机构的信息系统安全运营管理和保障水平。

3.利用AI技术提升运营效能

随着LLM和AI大模型技术的创新发展与应用迭代，如何利用AI安全大模型技术辅助支撑常态化、实战化安全运营保障工作，成为行业面临的共性问题以及应用实践措施。本标准鼓励医疗机构积极运用人工智能、大数据分析等技术，强化安全监测、态势感知、通报预警和应急处置等重点工作。

二、任务来源

2026年，为贯彻落实《医疗机构网络安全管理办法》中