290.医疗机构信息安全年度优化现场检查清单.docxVIP

医疗机构信息安全年度优化现场检查清单

本清单用于医疗机构年度信息安全优化工作现场核查，按准备、现场检查、问题整改和复查顺序记录可观察事项。检查范围应覆盖纳入年度优化工作的系统、设备、数据处理活动及相关岗位。

一、年度检查准备

□已形成年度信息安全优化检查计划，列明检查范围、检查阶段、参与岗位、所需记录及预期完成节点；计划内容与本年度拟优化的系统和业务范围一致。

□已核对本次纳入范围的信息系统清单，逐一记录系统名称、业务用途、运行环境、责任岗位和当前运行状态；发现系统实际运行但清单未列明时，已登记并纳入待确认范围。

□已识别涉及患者诊疗、检验检查、药品管理、收费结算、预约服务和内部办公等业务的数据流转环节，并将数据产生、访问、传输、存储、使用和清理位置与实际业务逐项对应。

□已收集并核对上一年度信息安全检查记录、已完成优化事项、未完成事项和复查结果；对遗留事项逐条标注当前状态及仍需验证的控制措施。

□已确认检查所依据的现行制度、操作规程、系统配置记录和岗位职责文件均为当前使用版本；现场文件与实际操作不一致的，已记录文件名称、操作差异及涉及岗位。

□已确定现场取证和业务访谈安排，检查人员能够查看必要的配置、审批、日志或工单记录；涉及敏感数据的核查过程已限定访问范围，并避免在检查记录中复制不必要的患者信息。

□已为每项检查确定可核对的证据类型，例如系统配置页面、审批记录、权