2026—2028年医院数据安全防护体系建设三年行动计划.docxVIP

2026—2028年医院数据安全防护体系建设三年行动计划

一、建设背景与总体要求

（一）建设背景

随着智慧医院建设深度推进，我院医疗数据规模已达1.2PB，覆盖电子病历、医学影像、检验结果、医保结算、患者隐私等全维度医疗信息，日均数据交互量突破120万次，数据价值密度高、安全敏感度强。当前数据安全防护仍存在短板：一是数据全生命周期防护链条不完整，终端数据泄露、接口传输未加密、第三方数据共享风险等问题突出；二是技术防护体系碎片化，现有安全设备多为独立部署，未形成协同联动机制，2025年全年共拦截外部勒索软件攻击17次、内部违规数据访问243起，其中3起差点造成数据泄露；三是人员安全意识薄弱，2025年钓鱼邮件点击量占比达8.7%，医护人员违规拷贝患者数据事件共发生4起；四是安全管理机制不健全，数据分类分级未落地、权限管控颗粒度不足、应急处置流程闭环性不够。为落实《网络安全法》《数据安全法》《个人信息保护法》《医疗卫生机构网络安全管理办法》等法律法规要求，有效防范数据安全风险，保障患者权益和医院正常运营，特制定本三年行动计划。

（二）总体目标

到2028年底，全面建成“管理体系化、技术协同化、运营常态化、产业生态化”的医院数据安全防护体系，实现数据安全管理100%覆盖全业务场景、数据全生命周期100%可追溯、重要数据和核心数据100%落实分级防护、数据安全事件响应时长≤30分钟、零重大