信息安全管理制度（一）信息化数据管理制度1.信息化数据是指医院信息系统直接或者间接产生的、电子化形式存储的数据资料。
从形式上包括文件、影像、语音、视频（简称：数据）和各种生产系统直接或者间接产生的数据库（简称：数据库）等。
2.医院信息化负责人需要对数据与数据库实施严格的安全与保密管理；防止经营、管理的核心数据非法生成、变更、泄露、丢失及破坏。
3.数据库的管理最高权限仅在集团信息中心与医院信息化负责人；医院信息部门的其他人员不得使用最高权限账号。
4.所有的数据与数据库必须遵守集团数据安全与备份相关要求进行。
5.不能擅自修改数据与数据库的结构与内容；不得擅自删除任何信息；如果因为工作要求，需要进行更改的，必须按照集团分级授权体系的规定进行。
6.所有数据与数据库仅在内部办公场所使用，严禁任何人以任何方式将数据与数据库泄露到除了集团与医院之外的第三方。
7.集团集中对医院的数据与数据库进行安全管理工作。
（二）信息安全保密制度1.所有信息化人员均需要遵守并执行集团信息安全保密的要求。
2.所有医院均需要接受集团在信息保密工作上的巡检、监控与审计。
3.尊重患者信息安全与隐私，严禁将患者相关信息与资料泄露到医院与企业外。
4.严禁修改非正常运维工作所需要的数据库中的数据；由于数据错误、程序BUG等特殊情况，需要进行记录并按照集团管理授权体系进行上报。
5.医院信息化负责人掌握各种信息化设备与信息系统后台的管理员权限，原则上其余相关管理人员仅掌握二级管理员权限。
6.严禁信息化统方；严禁在信息系统、自主报表和功能模块中设置可能造成统方的功能。
7.禁止将机房内的资料、文档、数据、配置参数等信息提供给无关人员或向外随意传播。
对于牵涉到网络安全、数据安全的重要信息、密码、资料、文档等等必须妥善存放。
外来工作人员的确需要翻阅文档、资料或者查询相关数据的，应由机房相关负责人代为查阅，并只能向其提供与其当前工作内容相关的数据或资料。
8.重要资料、文档、数据应采取对应的技术手段进行加密、存储和备份。
对于加密的数据应保证其可还原性，防止遗失重要数据。
9.严禁将信息系统后台、数据库等账号和权限泄露给非信息化工作人员。
10.除了集团信息中心和医院CEO之外，第三方的数据上报或者对接工作（例如公安、民政、税务等），必须要逐级上报；正常医保、农合、税控等对接业务按照正常工作流程进行。
11.医院信息化负责人是信息安全第一责任人，如果因为信息安全保密工作造成的损失与后果，需要承担相应责任。
（三）医院数据安全备份与恢复制度数据备份关系到整个系统发生异常时，是否能及时地进行恢复业务的正常运转，关系到全院的医疗工作的正常秩序，责任重大；信息化人员要以高度的事业心和责任感，不折不扣地执行。
1.医院必须有数据安全备份与恢复方案，并按工作计划执行。
2.备份的范围包括：（1）信息系统安装包、补丁包；（2）信息系统产生的数据，包括但是不限于数据库、日志、影像、文档、文件；（3）基础系统软件、基础设施、网络、终端的配置、账号密码、日志等；（4）其他需要备份的内容。
3.备份要求：采用滚动备份方式，至少保留三个主备份（全数据）和一个增量备份（日常进行）；尽可能采用自动化备份方案；备份必须用离线形式进行（存储介质、专用计算机或者服务器）；每日上班需要第一时间检查备份的执行情况；4.时间要求：备份每日进行；每周需要对数据完整性进行检查；定期（建议按月）做校验或者恢复测试，以确保备份数据的安全可靠；5.安全要求：备份材料严禁带到非工作之外的场地；备份介质维修、报废处理，需要上报集团，作合适处理。
6.策略要求：集团信息中心下发统一的备份策略，并根据医院特点制定本地化与个性化策略；医院执行备份策略中如果出现异常或者问题，要及时逐级汇报。
7.记录要求：针对数据备份与恢复工作，需要做好工作记录备查。
8.人员要求：医院信息化负责人是备份与恢复工作的第一责任人。
（四）医院信息化终端使用管理规定1.医院信息化终端（简称：终端）是指运行业务与生产所需要的信息化设备，包括PC机、笔记本电脑、移动终端、打印机、扫描仪等。
2.终端为医院工作的公共设备，不属于使用者个人所有。
3.严禁终端做私人用途，严禁安装费工作软件，严禁拷贝与办理个人事务。
4.终端均会受到集团信息化控制、监控与审计，以方便运维与管理。
5.医院信息化负责人需要对终端及其配件、耗材与配件进行有效的管理，做到有帐可查，出入有记录，借用有归还，遗失报废有登记。
6.由于业务要求与需要，需要接入到医院的信息化终端，必须要有合适的准入或者安全控制措施，并有合适的操作记录与日志。
（五）医院互联网使用管理规定1.使用接入互联网办公计算机（简称：上网计算机）的人员（简称：使用者），必须遵守《中华人民共和国计算机信息网络国际联网管理暂行规定》和国家有关法律、法规和各项行政规章，并对所提供的信息和上网行为负责。
2.医院内部因工作需要，必须接入互联网的科室或个人，应填写《医院互联网上网申请表》，如实填写上网需求，上网目的。
向医院CEO申请，在获得审核批准后由医院信息化负责人开通。
3.使用者不得利用计算机网络从事危害国家安全、泄露国家机密、破坏社会治安、宣传封建迷信、收发淫秽黄色信息、窃取国家机密情报和军事秘密、煽动民族仇恨和民族歧视、破坏民族团结、组织邪教活动、联络邪教组织等破坏国家法律和行政法规的行为。
4.使用者不得利用网络非法窃取、篡改、删除他人电子邮件或者其他用户资料，不得侵犯他人通信自由和通信秘密。
5.使用者有义务配合国家安全部门依法对网络使用情况等进行监督检查，并接受信息化工作人员对电脑进行安全检查。
6.医院职工不得上不健康的网站，做到安全、文明、健康、守法上网和工作需要的原则。
7.上网计算机使用者不得在互联网上发表诋毁医院形象的言论，不得泄露医院的经营情况、内部工作计划及其他可能影响医院形象、医院业务和医院经营的行为。
8.使用者不得进行任何干扰其他网络用户，破坏网络设施的活动。
这些活动包括（但并不限于）散布计算机病毒、进入未经授权的计算机系统、盗用非法IP地址入网等。
9.使用者，应对被动收到的不良信息，及时删除，严禁扩散，必要时报告信息化工作人员，协助删除。
（六）医院内网使用管理规定1.医院内网与医院互联网需要完全或者通过技术手段实现隔离；医院内网仅限接入与工作有关的信息化终端。
2.所有接入内网的终端均需要安装安全管理软件，接收信息化安全巡检、监控与审计。
3.医院信息化负责人直接负责内网管理，负责安全域划分、网络设备配置、IP地址设置等工作。
4.禁止在内网中安装非工作所需要的软件。
5.禁止在内网处理与办理个人事务。
6.禁止在内网中私自接入网络设备，包括各种网络设备，例如路由器、无线AP等；禁止在笔记本或者台式机上启用无线WIFI功能。
7.禁止在内网的信息化终端（包括笔记本、计算机、移动设备等）的USB、SATA、串口、并口等接口上使用各种存储介质；如因工作需要的情景，必须在医院信息化人员的管理与监督下，在非直接工作站的直管计算机上进行操作。
8.工作人员在离开信息化终端时，必须要执行锁定操作，必须要有密码保护；如果离开时间较长，应关闭计算机后离开。
9.严禁工作人员将信息化账号和密码泄露在公众场合，例如贴条在计算机边上。
10.内网终端的信息化使用者，需妥善保管自己的计算机密码，对自己在网络使用中的行为负责，对其登录用户名和密码负责。
11.因工作需要，须带私人计算机或IT设备、网络设备接入内网的工作人员，应向信息主管部门提出申请，接受信息化监控与审计。
原则上不设置永久访问。
12.医院信息化负责人是内网使用与安全的第责任人。
（七）医院信息系统运维管理规定1.医院信息化部门需要对信息系统进行运维管理，以保障信息系统高效、稳定与安全运行，支撑医院各项业务，同时符合相关政策、法律与法规的要求。
2.运维内容：包括信息系统故障（BUG）管理、问题管理、变更管理、版本管理和配置管理等流程和规程等。
3.日常管理：实时监控医院各系统运行状态，保证信息系统各类运行指标符合相关要求。
4.培训工作：高度重视信息系统的培训工作，做好相关工作人员的培训，并保证培训效果。
5.运维管理：迅速而准确地定位和排除各类缺陷（BUG）、业务或者逻辑错误、数据不准确等情况，及时联系相关业务部门做好协调工作，及时准确上报各种问题，管理、督促信息化服务厂商，必要时联系省区与集团信息中心，尽快解决问题。
6.运维记录：做好信息系统运维相关记录进行系统安全管理，做到及时记录、记录清晰、完整；有问题处理的反馈环节；对于不能及时处理或者不处理的，要注明原因、理由与汇报情况。
7.运维协调：处理问题的过程中积极协调医院各部门与各级领导，妥善解决涉及到业务的问题。
8.运维总结：定期总结运维工作，找出更好、更快处理问题的方式，总结经验，不断提高运维服务能力。
9.信息系统出现无法进行本地解决的，应及时向上级领导及集团信息中心进行报告，积极配合各级部门解决问题。
10.信息系统运维工作，不能替代业务部门做业务决策；问题的解决需要知会并得到相关部门的确认。
不能解决或者不能按期解决的，需要提前及时上报相关领导。
11.对于信息系统隐患或暂时不能彻底解决的故障应纳入问题管理，每月应对存在的问题进行跟踪分析。
12.信息化人员应保证在线系统的软件版本、数据及硬件设备的稳定，未经相关部门批准，不得擅自自行对信息系统软件版本、数据库及硬件设备进行任何变更及调整。
13.禁止在服务器上进行试验性质的配置操作，应在其它可进行试验的计算机或服务器上确认可行后，才能对服务器进行准确的配置。
原则上信息系统的变更必须在夜间非主要工作时间进行。
对会影响到全局的硬件设备、软件配置的更改、调试等操作应预先发布通知，并且应有充分的时间、方案、人员准备，才能进行硬件设备、软件配置的更改。
14.对机房核心设施的重大的更改，必须首先形成方案文件，经过集团信息中心审核确认可行后，由具备资格的技术人员进行更改和调整，并应做好详细的更改和操作记录。
对设备及软件的更改、升级、配置等操作之前，应对负面后果充分的准备，必要时需要先准备好后备配件和应急方案及措施。
15.对于紧急变更需求或者特殊情况，允许口头申请、审批后组织具体实施。
事后，对变更后的系统及硬件设备进行一定时间的测试，确认无误后，向上级领导进行汇报。
并完成相关文档资料的记录工作。
（八）医院网络日常维护管理规定1.医院网络管理范围包括：互联网宽带接入、楼宇间网络、各级网络设备、无线网络、VPN网络等。
2.集团信息中心管理医院核心网络设备管理员权限。
3.医院信息化负责人要管理容纳网络设备的机房、弱电井、网络基站等相关基础设施。
4.各级网络设备，特别是三层交换机必须要有合适的接地与避雷措施，有条件的地方需要对接防浪涌设备和UPS。
