十八项医疗质量安全核心制度之信息安全管理制度
2026-01-26 13:38:29
信息安全管理制度是十八项医疗质量安全核心制度之一，旨在保障患者诊疗信息在全流程中的安全性、真实性、连续性、完整性、稳定性、时效性和溯源性，其核心内容如下：
制度定义与目标医疗机构需依据法律法规和技术标准，对患者诊疗信息的收集、存储、使用、传输、处理、发布等全流程进行系统性保障，确保信息全生命周期的安全。
基本要求
制度与技术体系：建立覆盖全流程的制度和技术保障体系，完善组织架构，明确管理部门，落实信息安全等级保护要求。
第一责任人：医疗机构主要负责人是患者诊疗信息安全管理第一责任人。
风险评估与应急机制：建立风险评估和应急预案，定期开展自查，发生信息泄露、毁损、丢失时立即补救并报告。
信息质量要求：确保信息的真实性、完整性、连续性、稳定性、时效性和溯源性。
信息保护原则：使用患者信息需合法、正当、必要，禁止出售或擅自提供。
员工授权管理：明确员工权限与责任，因保管不当造成后果由被授权人承担。
防护水平提升：通过技术升级和定期自查，防止信息泄露、毁损、丢失。
信息安全全流程系统性保障制度
覆盖范围：包括医院信息系统（HIS）及其子系统（RIS、LIS、PACS、OA等），以及信息上传与共享接口。
保障内容：提供系统保护和机密性、完整性服务能力。
制度体系：
技术性安全文件体系：涵盖物理安全、网络安全、数据安全、主机安全和应用安全的技术要求与配置要素。
安全管理制度：包括安全管理机构制度、信息操作人员管理、系统建设与运行维护制度、安全应急预案等，并辅以标准化操作规程。
“六类”安全目标：真实性、完整性、保密性、可用性、可靠性和可控性，增强隐患发现和应急响应能力。
信息安全等级划分
等级划分标准：依据《计算机信息系统安全保护等级划分准则》（GB17859-1999），分为五级：
第一级：用户自主保护级
第二级：系统审计保护级
第三级：安全标记保护级
第四级：结构化保护级
第五级：访问验证保护级
卫生行业要求：重要卫生信息系统（如跨省联网系统、国家级数据中心、三级甲等医疗机构核心系统等）安全保护等级原则上不低于第三级，第二级以上系统需备案。
组织架构与分工职责
信息安全领导小组：由院长任组长，负责规划、政策落实、建设协调和供应商沟通。
信息安全工作小组：由信息管理部门负责人任组长，负责日常管理、督查、培训和第三方人员管理。
制度修订：基本制度（如安全运维手册、应急预案）需每半年或重大变化时修订。
问责制内容
明确主要负责人为第一责任人，完善组织工作制度与程序。
建立硬件与软件采购、验收制度，明确岗位职责，规范专职管理人员离岗交接程序。
安全管理制度与流程
覆盖层面：包括患者数据与图片，制定差异化保护措施。
技术保护：利用存储备份、网络监控、加密、访问控制等技术。
管理制度：建立网络安全漏洞检测、操作权限管理、用户登记、信息发布审查等制度。
行为规范：明确禁止行为清单，定期培训员工。
安全评估：由内外组织定期评估，结果用于持续改进。
应急预案制定
风险评估：针对信息录入、储存、调阅、输出及共享环节的风险制定预案。
预案内容：
组织机构：成立应急小组，明确第一责任人。
工作原则：逐级负责、积极预防、协同配合。
应急措施：包括故障排除、黑客入侵处理、病毒攻击应对等。
运营措施：如HIS系统瘫痪时的临床运营处置方案。
患者诊疗信息保护制度
获取制度：明确报销、外院就诊等场景的获取流程与材料。
修改制度：规范患者与医务人员的信息修改流程。
安全保障：未经批准不得转出信息，通过分级权限保护资料，禁止未经许可传播隐私信息。
分级授权制度必要性
医院信息系统为开放式系统，存在数据泄露风险，且工作人员身份多样，需通过分级授权确保操作合规性与动态管理可行性。
员工授权管理制度
内部人员管理：由领导小组主导，按层级授权。
外包人员管理：由工作小组组长授权，按岗位层级负责。
授权变更管理：临时需求需补充记录，加强操作行为监管，建立日志与识别库。
防止信息泄露、毁损与丢失
建立分级安全管理系统与配套制度。
实施分级授权体系，严格审批权限。
建立主数据双备份制度，确保数据兼容互通。
泄露事件应急预案要点
泄密发现人员需保密，按涉密级别报告。
未掌握情况时向上级主管报告，处置过程全程保密。
安全事故责任追溯机制
溯源原则：从数据应用者向源头追溯。
制度体系：建立溯源技术标准、使用登记制度、监管制度和奖惩制度。
软件安全管理实施
专职管理员负责日常维护，维护情况需备案。
新软件应用需申报批准，禁止使用未授权存储介质防止病毒扩散。
热门标签
