医院信息系统安全管理制度.docxVIP

医院信息系统安全管理制度

为保障医院信息系统稳定运行，防范数据泄露、系统攻击等安全风险，切实保护患者隐私与医疗业务连续性，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《个人信息保护法》及卫生健康行业相关规范要求，结合本院信息化建设实际情况，制定本制度。本制度适用于医院所有信息系统（含业务系统、管理系统、第三方对接系统等）的规划、建设、运维及使用全过程，涵盖医院内部人员、外包服务人员及其他合法访问主体。

一、安全管理基本原则

1.最小权限原则：所有用户对信息系统的访问权限严格限定于完成岗位职责所需的最小范围，权限分配需经使用部门负责人、信息中心及安全管理小组三方审批。

2.分级保护原则：根据信息系统承载业务的重要性、数据敏感性，实施分级防护策略。核心业务系统（如HIS、电子病历系统）按三级等保标准防护，一般业务系统（如后勤管理系统）按二级等保标准防护。

3.动态防护原则：建立安全风险动态评估机制，每季度开展一次全面安全检查，重大系统变更后48小时内完成风险评估，及时调整防护措施。

4.责任到人原则：明确信息系统全生命周期各环节的安全责任人，确保“事事有人管、责任可追溯”。

二、安全管理组织架构与职责

医院设立信息安全管理领导小组（以下简称“领导小组”）、信息中心安全管理组（以下简称“安全管理组”）及各业务科室安全联系人，形成三级安全管理体系。

1.领导