前言

近日，國家衛生健康委辦公廳發布《醫院智慧管理分級評估標準體系（試行）》（國衛辦醫函【2021】86號），為后疫情時代我國廣大醫療機構進行“三位一體”的智慧醫院建設提出進一步政策指引和要求。

背景

《關于進一步完善預約診療制度加強智慧醫院建設的通知》（國衛辦醫函【2020】405號）明確提出要建立醫療、服務、管理“三位一體”的智慧醫院系統。第一是面向醫務人員的“智慧醫療”：開展以電子病歷為核心的信息化建設，包括電子病歷、影像、檢驗系統等多系統間的互聯互通，《關于印發電子病歷系統應用水平分級評價管理辦法（試行）及評價標準（試行）的通知》（國衛辦醫函【2018】1079號）將醫院電子病歷系統應用水平劃分為9個等級；第二是面向醫院的“智慧管理”：主要為提升醫院管理精細化、智能化水平，《醫院智慧管理分級評估標準體系（試行）》（國衛辦醫函【2021】86號）從功能和效果兩個方面進行評估，評估結果分為0級至5級；第三是面向患者的“智慧服務”：主要通過預約診療、信息體系、自助一體機等，提升患者就醫體驗。

標準解讀

本次發布的標準從醫院智慧管理的功能和效果兩個方面進行評估，網絡安全管理作為獨立的業務項目進行評估，評估要點包括基礎設施、安全管理、安全技術和安全監測。評估結果分為0級至5級，不同級別的安全要求及對應解讀措施如下：

0級評估要求

無基礎設施與網絡安全管理要求。

1級評估要求

（1） 具有相關計算機、信息系統、信息安全管理制度；

（2） 醫院內部有局域網，部門間網絡互相聯通；

（3） 客戶端及重要服務器具備防病毒措施。

政策解讀及建議

（1） 深入梳理醫院安全業務，對醫院的安全工作與安全措施進行整體規劃、設計與評估，編寫形成相關的安全制度、規范、操作文檔；

（2） 對醫院整體網絡進行分區分域設計，不同區域間進行網絡安全隔離，對特別重要的網絡區域間采用物理安全隔離措施；

（3） 至少采用終端防病毒措施，建議綜合采取終端防病毒和網絡防病毒協同部署。

2級評估要求

（1）具有網絡安全領導組織機構，負責統籌規劃醫院網絡安全相關事宜；

（2）具有獨立的信息機房，主要服務器、存儲等設備集中部署在信息機房內；

（3）管理信息系統具備清晰的權限管理，能夠實現訪問控制到個人的細粒度管理。

政策解讀及建議

（1）成立以醫院院長為核心的網絡安全領導小組，具體工作由醫院信息科牽頭施行，對醫院網絡安全建設有中長期規劃，每年有固定的網絡安全建設預算；

（2）根據《全國醫院信息化建設標準與規范（試行）》要求進行機房及相關軟硬件系統建設。

3級評估要求

（1）信息機房有高可靠不間斷電源、空調，具備專門的消防設施；

（2）全部投入應用的管理信息系統列入管理清單，全部信息系統完成等級保護定級、備案，定為三級及以上的信息系統每年進行等保測評；

（3）重要管理信息系統的關鍵網絡設備、網絡鏈路采用冗余設計；

（4）重要管理信息系統具備應急預案并定期進行演練，當出現系統故障時，可恢復關鍵業務；

（5）實現實名制上網管理、能夠審計客戶端的上網行為。

政策解讀及建議

（1）物理機房滿足等保三級要求；

（2）業務系統滿足等保三級要求；

（3）重要系統路由交換設備堆疊部署、應用安全網關設備主備部署、部署負載均衡系統對業務系統及網絡提供高可用保障、服務器及網絡設備建議選用冗余電源；

（4）編寫應急預案并定期進行安全應急演練；

（5）互聯網出口部署上網行為管理系統。

4級評估要求

（1）具有完整的網絡安全制度體系，包括管理策略、管理制度、管理規范、記錄表單等；

（2）重要管理信息系統每日至少進行一次完整數據備份，同時每年定期進行數據還原演練；

（3）管理信息系統實現分域管理，系統之間進行數據交互時進行授權認證；

（4）設有獨立的網絡安全崗位，定期組織安全培訓；

（5）明晰信息系統權限清單并定期梳理信息系統賬戶權限。

政策解讀及建議

信息科具有獨立的網絡安全崗位，組建或采用外包的方式選用專業的安全運營團隊進行醫院網絡安全運營。明確工作分工，定期進行資產梳理、互聯網暴露面檢查等各種專業安全工作。

5級評估要求

（1）重要數據實現不同地點容災（不能在同一建筑物內）；

（2）能夠對網絡設備、安全管理設備、服務器等硬件的操作行為進行審核并記錄，操作行為記錄保存六個月以上；

（3）能夠對信息系統運行進行實時安全監測，具備基本網絡安全態勢感知能力，能夠及時發現網絡安全攻擊行為并進行有效處置；

（4）每年定期對互聯網上暴露的信息系統進行滲透測試和漏洞掃描，發現的問題及時整改落實；

（5）在互聯網上運行的管理信息系統重要數據進行加密傳輸、加密存儲，使用的加密算法符合國家法律法規要求。

政策解讀及建議

（1）對于只有一個院區的醫院，在院區內不同建筑物內建設主備數據中心。對于擁有多個院區的醫院，最好在不同地理區域的院區內分布設置主備數據中心，保障重要數據不同地點容災；

（2） 部署日志審計系統，有條件的醫院可建設基于大數據技術的安全運營管理平臺進行統一日志收集分析；

（3） 部署態勢感知系統；

（4） 邀請專業安全廠商專家對系統定期進行滲透測試，可部署漏洞掃描系統設置定期漏洞掃描任務或邀請專業安全廠商專家對系統定期進行漏洞掃描；

（5） 對互聯網開放的業務系統使用HTTPS加密協議對外提供服務，數據存儲采用加密存儲方式。

合規整改建議