1. 定义

信息安全管理制度是医疗机构依据信息安全管理相关法律法规和技术标准，对患者诊疗信息从收集到发布全流程进行系统性保障的制度。

2. 基本要求

• 制度与技术保障体系：依法构建诊疗信息管理全流程制度和技术保障体系，完善组织架构，落实信息安全等级保护要求。
• 责任主体：明确医疗机构主要负责人为患者诊疗信息安全管理第一责任人。
• 风险评估与应急机制：建立信息安全风险评估和应急工作机制，制定应急预案。
• 信息质量保障：确保诊疗信息管理全流程具备安全性、真实性等多方面特性。
• 信息保护原则：遵循合法、依规等原则使用诊疗信息，禁止非法提供患者诊疗信息。
• 员工授权管理：建立员工授权管理制度，明确使用权限与责任，规定保管不当后果。
• 安全防护与事故处理：提升信息安全防护水平，定期自查，处理信息安全事故并报告。

3. 释义

• 信息安全全流程系统性保障制度
• 覆盖范围：包括医院各类信息系统及其子系统和信息上传与共享接口内容。
• 主要构成：包含技术性安全文件体系和安全管理制度体系。
• 关注重点：关注信息系统 “六类” 安全，增强相关能力。
• 责任主体：医疗机构主要负责人为信息安全管理第一责任人。
• 信息安全等级划分
• 等级划分依据：依据相关办法将计算机信息安全划分为五个等级。
• 重要卫生信息系统等级要求：多种重要卫生信息系统安全保护等级原则上不低于第三级。
• 备案要求：第二级以上信息系统需报属地公安机关及卫生健康行政部门备案。
• 医疗信息安全的组织架构及分工职责
• 组织架构：网络安全和信息化工作领导小组负责医院信息安全工作。
• 分工职责：领导小组组长由医疗机构主要负责人担任，各部门按原则明确职责，开展相关网络安全工作。
• 实施医疗机构信息安全管理问责制内容
• 明确责任主体：主要负责人承担首要责任。
• 完善组织制度：建立和完善信息安全管理组织的工作制度与程序。
• 规范采购验收：建立计算机信息系统软硬件采购、验收制度与程序。
• 明晰岗位责任：明确信息系统使用与管理人员岗位职责。
• 离岗交接规定：明确计算机信息系统专职管理人员离岗制度与交接程序。
• 建立与完善计算机信息系统的安全管理制度与流程
• 数据覆盖与权属明确：制度涵盖患者所有数据，明确数据所有权归患者，制定保护措施。
• 依据制度构建技术标准：用存储及备份等技术保护信息系统。
• 完善各项具体管理制度：包括网络安全漏洞检测等多种管理制度。
• 规范禁止行为与员工教育：明确禁止行为清单，对员工进行培训教育。
• 安全评估与持续改进：定期进行内外部安全评估，根据结果改进，开展安全自查并上报情况。
• 根据风险评估制定应急预案
• 明确风险背景：诊疗信息各环节存在风险，需制定应急预案。
• 设定组织机构：成立应急小组，明确职责分工。
• 确定工作原则：落实责任机制，遵循法规流程，预防预警优先，提升应急能力，协同配合工作。
• 制定应急措施：包括基本应急处理流程和运营应急措施。
• 医疗机构建立患者诊疗信息保护制度内容
• 诊疗信息定义：涵盖医疗服务中产生的各类信息。
• 保护制度构成：包括获取制度、修改制度和安全保障制度。
• 建立分级授权制度原因
• 系统特性与信息情况：医院信息系统开放，数据易被不当获取。
• 面向人员多样性：面向多种人员，需求不同，需授权管理。
• 授权工作特点：授权具唯一性和动态变化，分级管理可行。
• 员工授权管理制度内容
• 整体构成方面：包括内部、外包人员授权及授权变更管理制度。
• 授权审批明确方面：明确授权和审批部门及责任人，严格执行流程。
• 内部人员授权管理方面：信息安全领导小组主导，按层级分级授权负责。
• 外包人员授权管理方面：工作小组组长授权，规范临时授权流程。
• 授权行为监管方面：监管评估被授权者操作行为，记录操作日志，建立识别库。
• 防止医疗信息泄露、毁损和丢失措施
• 建立信息分级安全管理系统与配套制度：构建系统并制定制度，分级管理信息。
• 完善信息分级授权与使用管理规范：建立授权制度和使用规范，保障信息安全使用。
• 实行主数据双备份制度：保存备份数据，保证兼容性，用于数据恢复。
• 发生泄露事件后应急预案要点
• 保密第一原则：发现泄密先保密，控制信息泄露范围。
• 报告对象选择：根据涉密情况选择报告对象。
• 处置全程保密：处置过程严格保密。
• 建立患者诊疗信息安全事故责任的追溯机制
• 责任追溯原则：依信息安全要求逐级追溯事故责任。
• 相关制度构建：建立溯源技术标准体系、数据使用登记制度、溯源监管和奖惩制度。
• 实施软件安全管理措施
• 临床信息系统软件管理维护：专职管理员负责日常管理维护。
• 软件公司维保情况管理：明确软件公司维保报告要求。
• 新软件应用及迭代开发管理：规范新软件应用和迭代开发流程。
• 防病毒介质使用管理：禁止个人及科室自行使用防病毒介质。
• 医疗数据管理措施
• 制度建设与修订方面：建立健全数据安全管理制度并定期修订。
• 保密协议签署方面：要求相关人员签署保密协议。
• 风险评估开展方面：每年开展数据安全风险评估。
• 教育培训组织方面：组织数据安全教育培训。
• 申请批准流程方面：建立完善数据使用申请及批准流程，严格执行相关程序。