医院网络安全等级保护工作制度.docxVIP

医院网络安全等级保护工作制度

总则

网络安全等级保护是医院落实《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络安全等级保护条例》《医疗卫生机构网络安全管理办法》要求的法定强制义务，是保障HIS、EMR、LIS、PACS等核心业务系统连续运行、患者隐私数据不泄露、临床诊疗行为不中断的核心管理抓手，绝非应付测评的阶段性工作。本制度适用于医院所有科室、全体职工、第三方合作服务商、驻场技术人员，覆盖所有接入医院网络的信息系统、医疗设备、终端、服务器及数据资产。全院信息系统严格按照GB/T22239-2019《信息安全技术网络安全等级保护基本要求》分级管控：

三级等保对象（最高内部防护等级）：医院信息系统（HIS）、电子病历系统（EMR）、检验信息系统（LIS）、影像归档与通信系统（PACS）、互联网诊疗平台、医保结算系统，此类系统承载核心诊疗数据、直接影响医疗秩序，定级不得低于三级，需在公安机关完成备案，每年开展1次正式等保测评。

二级等保对象：OA办公系统、财务核算系统、科研数据平台、住院医师规范化培训系统，此类系统承载内部管理数据，每2年开展1次正式等保测评。

一级等保对象：内部宣传网站、职工食堂订餐系统、院内导航系统，此类系统不承载敏感数据，按基础防护要求落实管控。

系统等级实行动态调整机制：每3年由信息科牵头组织专家重新核定等级；若系统发生架构重大变更、迁移