院内信息系统数据安全管理规范.docxVIP

院内信息系统数据安全管理规范

1总则

1.1适用范围

本规范适用于医院范围内所有涉及院内信息系统数据全生命周期处理活动的职能部门、临床医技科室、全体工作人员、第三方合作机构与服务人员，覆盖医院所有业务信息系统，包括但不限于医院信息系统（HIS）、电子病历系统（EMR）、实验室信息管理系统（LIS）、医学影像存档与传输系统（PACS）、医院资源规划系统（HRP）、互联网医院平台、移动医护系统、智慧门诊服务系统、临床科研数据平台、办公自动化系统（OA）等所有产生、存储、处理、传输院内数据的信息基础设施与应用系统。

1.2基本原则

（1）权责统一原则：落实“谁主管谁负责、谁运营谁负责、谁使用谁负责”的安全责任体系，明确各级各岗数据安全责任，做到责任到人、管控到位。

（2）最小权限原则：数据访问、使用、共享权限以满足业务需求为限，仅开放完成岗位工作职责必需的最小范围数据权限，减少数据暴露风险。

（3）分类分级防护原则：根据数据的敏感程度、影响范围对数据进行分类分级，针对不同级别的数据采取与之匹配的安全防护措施，保障核心重点数据安全。

（4）全程管控原则：对数据从采集、存储、传输、使用、共享到销毁的全生命周期实施连续安全管控，覆盖所有数据处理环节与参与主体，消除管控盲区。

（5）同步建设原则：数据安全防护措施与新信息系统、新业务同步规划、同步建设、同步运行，保障新业务上线前数据安全能力