等级保护在北京市医疗行业的应用实践
三甲医院信息安全等级保护的实施与应用
三甲医院信息安全等级保护的实施与应用摘要：随着我国经济水平的不断提升，电子信息技术突飞猛进，在极大程度上推动了医疗事业的发展进步,为保证患者就诊安全性，保护医院的信息安全，必须根据相关信息安全规定，从三级综合医院评估标准出发，强化三甲医院的信息安全等级保护情况，以增强三甲医院临床工作的信息化水平，优化医院信息系统数据安全管理措施，保护相关数据信息的安全性。
关键词：三甲医院；信息安全；等级保护随着医疗技术水平的发展，信息技术在医院被广泛应用，医院信息系统安全等级保护方式的应用价值日益突出，但是由于我国缺少专业的信息安全等级保护的专业人才，缺少安全等级保护意识，导致医院信息系统信息安全情况受到严重威胁，所以我国医院、政府等部门，对信息技术的安全应用重视程度不断增强，医院信息管理人员的安全管理责任意识也不断提升，在开展三甲医院信息安全管理过程中，已经开始落实相关政策法规[1]，并积极查找医院信息安全管理中存在的问题，不断制定了对应的解决方案，这就使得信息安全等级保护措施的应用成为医院信息管理的主要方式。
一、信息安全等级保护制度信息安全等级保护制度，指的是从信息的重要性出发，合理对信息及其载体进行分类保护，以达到有效整合信息内容，处理信息问题，保护信息隐私的目的，实行信息安全等级保护的过程中，所保护的医院信息大都涉及国家相关机密级部分公民的个人隐私。
此外，信息安全等级保护也对信息内容保存、信息传输过程进行管理，能够依照等级的不同合理对文件中的信息进行分类处理。
在信息内容保存的过程中，能够有效跟进处理各种信息内容，降低信息泄露及丢失的可能性，还能够积极的处理多种信息安全突发事件，优化解决措施，以此最大程度保证信息安全，合理处理信息安全事故，以达到长久保存有效信息的目的。
当前，科技手段不断进步，网络技术突飞猛进，社会各行各业均会存储业内需要的信息资源，所以信息安全等级保护制度也逐渐受到人们的青睐，使得信息安全等级保护制度逐渐向科学化、制度化、系统化、精细化和先进化转变[2]，所以三甲医院应加强对信息安全保护的重视程度，合理应用信息安全等级保护制度，提升信息安全等级保护质量。
三甲医院信息安全等级保护的实施及应用
信息安全与网络管理Information Security and Network Management
确定信息系统安全保护等级的一般流程如下。
确定作为定级对象的信息系统；确定业务信息安全受到破坏时所侵害的客体；根据不同的受侵害客体，从多个方面综合评定业务信息安全被破坏对客体的侵害程度；确定业务信息安全保护等级；确定系统服务安全受到破坏时所侵害的客体；根据不同的Information Security and Network Management
信息安全与网络管理
据《信息系统安全等级保护基本要求》，落实信息安全责任制，建立并落实各类安全管理制度，开展系统建设管理、人员安全管理和系统运维管理等工作，落实物理、网络、主机、应用和数据安全等安全保护技术措施。
建立医院信息系统综合防护体系，提高医院信息系统整体安全保护能力。
图1 系统安全等级测评实施流程图
（上接第53页）康复训练，有利于患者骨骼关节功能的恢复。
Information Security and Network Management
信息安全与网络管理。
医疗行业如何开展等级保护工作？
重要政策分析
1.卫生统计网络直报系统、传染性疾病报告系统、卫生监督信息报告系统、突 发公共卫生事件应急指挥信息系统等跨省全国联网运行的信息系统; 2.国家、省、地市三级卫生信息平台，新农合、卫生监督、妇幼保健等国家级 数据中心; 3.三级甲等医院的核心业务信息系统; 4.卫生部网站系统; 5.其他经过信息安全技术专家委员会评定为第三级以上(含第三级的信息系统)。
重要政策析
1.核心信息系统范围覆盖HIS、LIS、RIS、PACS、电子病历、核心数据库、 医院信息采集及数据中心等; 2.区域核心业务系统范围涉及人口健康信息平台、区域医学影像诊断信息系 统、区域心电诊断信息系统、去油临床检验诊断信息系统、其中人口健康 信息平台涵盖区域卫生共享交换平台、电子健康档案等重要应用系统。 3.满足如下条件之一的信息系统：
医疗机构在完成定级备案工作后，由信息安全管理部门牵头进行安全建设 整改工作，可以自行开展安全评估，或者委托第三方单位开展安全评估工 作，依据等级保护标准对评估结果进行差距分析，查看是否符合等级保护 基本要求。医疗机构根据各系统的定级情况，安排当年的等级测评工作， 按照要求定级为三级及以上的系统每年开展一次测评，选择公安部推荐目 录中的等级保护测评机构开展安全测评。
重要政策分析
三、强化纵深防御能力
对系统进行了全方位的风险分析，完成了等级保护测评后，就需要对测评 中发现的问题进行整改。最快速简单的整改办法就是从网络整体架构出发， 完善医疗机构网络安全建设，配备并配置必要的网络安全设备，形成纵深 防御能力，确保系统中无高风险问题，其次再逐渐修正一些中低风险问题。 鉴于医疗行业数据的重要性，做好数据备份、数据加密存储和传输工作， 保障医疗数据的安全。 中国软件评测中心网络空间安全测评工程技术中心在有关部门的指导下， 结合丰富的一线实战经验，参照近三年的测试(脱敏后)数据，联合HC3i数 字医疗网共同推出《医疗行业网络安全白皮书2020》。(中国软件评测中心 刘思思)
信息安全等级保护及行业案例分析
信息安全等级保护及行业案例分析信息安全是指对信息进行保护，并保证信息的机密性、完整性、可用性和不可抵赖性。
为了有效保护信息安全，各国纷纷设立了信息安全等级保护体系。
本文将对信息安全等级保护进行介绍，并通过分析行业案例来探讨其重要性和应用。
信息安全等级保护是一个由高至低分为5个级别的体系，对信息系统进行等级划分。
不同级别的信息系统对应不同的保护措施和要求。
一般分为三个方面进行等级划分，即信息的保密性、完整性和可用性。
保密性是指信息对未授权人员的保密程度，完整性是指信息的完整程度，可用性是指信息系统正常运行的能力。
信息安全等级保护的首要目标是保障国家和社会信息的安全。
对于国家机关和军事系统等重要信息系统，要求较高的保护措施和技术手段，以防止敌对势力的渗透和攻击。
对于大中型企事业单位和重要行业，也有相应的保护要求，以防止敏感信息泄露、数据被篡改或服务中断对企业或行业造成损失。
对于非重要行业和个人用户，虽然对信息安全的要求相对较低，但也需要基本的防护措施，避免个人隐私泄露和财产损失。
信息安全等级保护在各个行业中都有广泛的应用。
以金融行业为例，金融机构是社会经济运行的核心环节，对信息安全的要求尤为严格。
在金融行业中，涉及大量的个人客户和企业的财务信息，如果泄露或被篡改，将对金融机构和客户造成极大的损失。
因此，金融行业的信息系统往往采用高等级的安全防护措施，包括数据加密、访问控制、审计日志等。
同时，金融行业也注重内部员工的信息安全意识和培训，加强对员工的监管和管理。
另外一个行业是电子商务。
随着网络技术的发展和普及，电子商务已经成为经济社会发展的重要组成部分。
在电子商务中，用户的个人隐私和财务信息往往需要提供给电商平台，以完成购物和支付等操作。
为了保护用户的信息安全，电商平台需要采取一系列的技术措施，例如使用安全的数据传输协议、加密用户的个人信息、建立安全的支付系统等。
还有一个行业是医疗保健。
医疗保健行业涉及大量的个人健康信息和医疗记录，如果这些信息泄露或被篡改，将对患者的身体和隐私造成极大的伤害。
医疗卫生行业信息安全等级保护的现状与对策研究
医疗卫生行业信息安全等级保护的现状与对策研究作者：江杰波来源：《中国新通信》 2018年第11期引言：目前，我国医疗卫生行业逐渐趋向信息化发展，医药行业的信息安全等级保护工作也显得愈加重要。
医疗卫生行业逐步上线了各种先进的医疗信息系统，为医院的信息储存与设施管理带来的极大的便利，同时也有效提升了医院的服务等级。
然而，医疗行业对信息系统依赖的同时，也存在许多潜在的信息安全风险。
因此，医疗卫生行业中，对信息系统实行分等级保护，成为医院信息管理的重要工作环节。
只有在保障了医疗行业信息安全的前提下，才能让医院重要信息系统免受威胁，并能建立起一套有效的防御屏障，确保我国医疗卫生行业医疗信息系统的安全发展。
一、医疗卫生行业信息安全等级保护的现状目前，医疗卫生行业的信息系统是重要的应用信息系统，系统内部复杂性高、数据量庞大，因此对其安全保密的要求更为严格。
尽管目前许多医疗卫生机构针对信息系统的防护，进行了大量的安全加固工作，但在实际管理中仍存在一定的信息安全问题。
例如医疗卫生机构内尚未建立专门的信息系统管理部门，缺乏标准化的信息管理规章制度，医疗卫生行业信息安全等级保护未得到有效普及；相关的信息系统管理人员对于信息安全等级保护的认知较单薄，医务人员安全义务与责任感仍需增强等。
总体而言，目前我国医疗卫生行业的信息安全等级保护工作仍需要进一步改进，才能更好地规范信息系统安全的建设。
二、医疗卫生行业信息安全等级保护的对策2.1 定期进行信息系统安全风险评估医疗信息技术持续更新的过程中，会不断衍生出新的信息安全问题。
即使先前已进行了相应的信息安全防御工作，也无法确保防御功能能一劳永逸，需要定期对医疗信息系统进行安全风险评估。
通过检测与分析，能进一步明确信息安全系统的具体安全等级范围，并提供针对性的风险评估报告。
对于不符合安全规范、风险指数较高的信息系统，应组织制定相应的风险防控方案，需要对相关的安全设备进行升级保护，或提高信息系统的安全配置，以便对信息系统进行有效的安全加固。
医疗卫生机构安全风险等级与技术防范防护级别
引言切实保障首都医疗卫生机构内正常的医疗秩序和良好的工作、生活环境是医疗卫生事业持续健康发展的先决条件;为了进一步规范医疗卫生机构的安全技术防范工作,本着符合实际、确实有效、措施恰当、管理到位、正确引导的原则,北京市公安甸科技处、文化保卫处在国家卫生部、北京市卫生间主管部门的支持和配合下,经北京市质跫技术监督局批准,立项制定医疗卫生机构安全风险等级与技术防范防护级别北京市地方标准;该标准的制定是贯彻落实中华人K共和国行政许可法和顺应社会主义市场经济发展的必然耍求;为了保障该项标准制定工作依法、规范、有序进行,北京市公安局有关部门于2004年11月成立了由贾胜文、许克嘉、李树启、张林等组成的本标准起草工作领导小组;为确保所制定的标准切实可行, 特邀谙刘希淸、施巨岭、刘剑峰、秦川、彭明强、戴淑玲、万康林、段淑敏、海荣、张烈、田铁强、刘全来、郎晓林、宋基亮、吴永平、卫忐强、李元生、郜学文、杨京山、王兆亮等组成标准审理专家组, 在北京市质量技术监督局标准化处和北京市质tt技术监督信息化所的指导下,按照标准制定的程序经过起草、初审和审定等阶段形成该标准的报批稿,在征求0家卫生部、北京市卫生局主管部门意见后,报谙北京市质量技术监督局审批发布该标准;在该标准制定的过程中,北京市公安局张锐秋和赵飞同志在立项和配套实施方面给予了及时的支持和帮助;医疗卫生机构安全风险等级与技术防范防护级别1 范围本标准规定了北京市行政区域内各级卫生行政部门和各类医疗卫生机构及其所属单位简称医疗卫生机构安全风险等级、技术防范防护级别、系统要求和保障措施;本标准作为上述医疗卫生机构安全技术防范工程设计、建设和管理工作的基本依据;涉及医疗卫生工作的科研、教育单位和民营、独资、合资医疗卫生机构可参照执行;本标准风险等级的划分中所涉及到的场所、部位有相应安全防范国家标准或行业标准的,依据对应的国家标准或行业标准执行;2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款;凡是注日期的引用文件,其随后所有的修改单不包括勘误的内容或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本;凡是不注日期的引用文件,其最新版本适用于本标准;GB 50348安全防范工程技术规范GAA-74安全防范系统通用图形符号GA/T75安全防范工程程序与要求GA308安全防范系统验收规则 GAAT367视频安防监控系统技术耍求GAAT368入侵报警系统技术要求GA/T394出入口控制系统技术耍求中华人民共和国药品管理法中华人民共和国传染病防治法企业事业单位内部治安保卫条例3 术语和定义安全技术防范 Technical protection for security以维护医疗卫生机构公共秩序与安全,预防、制止违法犯罪行为为目的,以现代信息技术为基础, 采用报警、视频监控、通讯、无线定位、电子出入口控制、电子巡查、防爆安检等技术手段为主,结合人员值守、查验和物理防护的综合安全保障措施;风险等级 Level of risk风险等级是指医疗卫生机构内各场所、部位一旦发生安全问题所产生的社会影响、人身危害、财产损失及消除危害所必需的资金、人员、物资投入程度;防护级别 Level of protection对应不同风险等级的场所、部位所采取的以技术防范为主,结合其他防范手段所采取综合防护措施的等级水平;管制药品 Controlled the medicines依据中华人民共和国药品管理法的规定,管制药品是指麻醉药品、精神药品、医疗用毒性药品、放射性药品;致病微生物 Pathogenic microorganism本标准所述致病微生物是指中华人民共和国传染病防治法中规定的甲、乙、丙类传染病的菌毒种和国务院、国务院卫生行政部门公布的其它传染病的菌毒种;4 风险等级本标准风险等级共分三级,从高至低依次为一级、二级和三级;单位风险—级风险单位为北京市行政区域内三级医院、二级传染病专科医院,直接从事管制药品、致病微生物制备、使用、存储和销毁工作的单位;二级风险单位为北京市行政区域内国务院和市属卫生行政部门及其直属单位办公区、二级非传染病专科医院,医疗卫生机构中其它从事涉及致病微生物生产、使用、存储和销毁工作的单位;三级风险单位为北京市行政区域内区属医疗卫生行政部门、二级以下不含二级医疗机构, 其他有必要加强安全技术防范措施的涉及医疗卫生工作的单位;部位风险一级风险部位4. 一级风险单位内致病微生物鉴定、制备、存放和集中销毁的场所、部位;一级风险单位内管制药品制备、存放场所及部位,集中销毁场所;4. —级风险单位内危险物品放射、易燃、易爆、剧毐集中存放和使用场所、部位;一级风险单位内档案室、机耍室和其他集中存放涉密文件和医疗档案的场所;一级风险单位内现金集中收支窗口、财务账目和单据集中存放处所;一级风险单位内集中供水、供电、供气、供热、室内温度调节和室内空气净化场所;7 一级风险单位内涉及致病微生物、管制药品科研工作的国家及市级重点实验室;—级风险单位内计算机网络管理中心;一级风险单位周界的出入口和医疗、救治禁区出入口;一级风险单位监控报鳘服务中心;其他直接涉及医疗单位安全的巫点耍害场所、部位;4.2.2二级风险部位-级风险单位内与一级风险场所、部位直接关联的主要区域;-级风险单位内人员聚集场所,包括收费大厅、门诊大厅、集中候诊区、集中就餐场所等区一、二级风险单位内机动车集中存放场所.—、二级风险单位内办公楼、医疗、科研楼、二级风险单位监控报警室;—、二级风险单位内主要交通道口;其他治安重点场所、部位;三级风险部位三级单位内涉及二级风险部位所列的各场所、各级风险单位内非机动车集中存放场所;各级风险单位内公寓及宿舍楼的主耍山入口; 三级风险单位的报聱室;其他须设防的场所、部位;防护级别确定的原则依据GA/T 367、GA/T 368和GA/T 394的规定,本着安全技术防范系统的防护级别应与被防护对象的风险等级相对应的原则,即：一级风险部位采取一级防护措施；二级风险部位采取不低于二级防护措施：三级风险部位采取不低于三级防护措施;各级防护措施除设置相应的安防技术系统外,还应同时考虑相应的人防和物防措施;一级防护被防护目标应设视频监控,摄像视场角应覆盖该目标80%以上,如对出入口和直接被防护物体摄像设防,其视场角应实现全覆盖,观看所摄录的图像应能明确辨识被摄录人员、车辆和其他主要物品标识性特征;被摄像目标的照度应符合摄像机正常摄取图像的照度要求,在照度达不到要求时应增加辅助照明设施;无人值守或分时有人值守的被防护场所、部位应安装防盗、防入侵报警器,在无人职守期间报警器应进入设防状态;对有人值守场所宜安装主动报警设备;. 4 对人员进出需要逐一辨别的重要通道口应安装电子出入口控制设施,有条件的应安装具有识别、记录功能的智能电子出入口控制系统;被防护场所门、窗和通风口应有实体防护措施;被防护目标为工作场区或独立建筑物的应设置电子周界防护设施电子周界防护设备、防盗防入侵报警器、电子出入口控制设施应与被防护目标的摄像机复核使用,当使用辅助灯光时,应实现报警、摄像与灯光联动;对被防护目标的周围及主要通道适当位置应设置电子巡查信息点,配备电子巡查设施,安全保卫人员应定期巡査;必要时可对被防护目标录音,要求录音信号与相应摄像信号保持同步;5 二级防护被防护目标为封闭空间或通道的场所、部位应设视频监控,摄像视场角应覆盖该目标50%以上, 当对出入口和直接被防护物体摄像设防时,其视场角应实现重点覆盖;被摄像目标的照度应符合摄像机正常摄取图像的照度要求;无人值守或分时有人值守的被防护场所、部位应安装防入侵报警器,在无人职守期间报警器应进入设防状态;被防护工作间出入口宜安装电子门禁设施;被防护目标为工作场区或独立建筑物的场所,宜设置电子周界防护设施;电子周界防护设施、防入侵报警器、电子出入口控制设施宜与被防护0标的摄像机复核使用;对被防护目标的周围及主要通道口的适当位置宜配备电子巡査设施;三级防护无人值守或分时有人值守的封闭处所应安装报警器,在无人职守期间报警器应进入设防状态;家属单元楼应设置楼宇对讲系统;被防护目标宜设视频监控;被摄像目标的照度应符合摄像机正常摄取图像的照度要求;被防护场区宜设置电子周界防护设施;在医疗卫生机构内适当位置宜配备电子巡查设施;6 安全技术防范系统基本要求一般规定医疗卫生机构安全防范系统的设计应根据GB50348的规定,按照被防护对象的使用功能、风险等级和管理工作的实际需耍,综合运用现代科学技术和管理拮施,构成安全、可靠、实用、经济、先进、配套的安全技术防范体系;当本级风险单位内含有高于本级单位风险的部位时,安全技术防范系统应满足该部位风险等级的技术要求;安全技术防范工程的设计施工程序应符合GA/T 75的规定,设计图纸应符GA/T 74的规定;安全技术防范工程竣工后,由建设单位和审批单位根据GA 308的有关规定组织验收;医疗卫生机构各级安全技术防范系统工程的设计应遵从以下原则：a)系统的防护级别与被保护对象中最高风险等级相适应；b)技防、物防、人防相结合,探测、延迟、反应相协调；c)防护的纵深性、均衡性、抗易损性；d)系统各被防护场所、部位协调统-、相互补偿、合理取舍；e)系统的可靠性、安全性；f)系统的先进性、兼容性、可扩展性；g)系统的经济性、适用性;医疗卫生机构应逐步推进兼容身份证1C技术或单位内独立使用的医疗“一卡通” 1C 卡防范措施包括或部分包括身份査验、电子出入口控制、贵重物品存取、小额代金支付等功能;三级防范技术系统基本要求三级风险单位安全技术防范系统各子系统应能独立运行;系统应安装不间断电源,应保障报警器工作时间不小于8小时;系统应按照GB50348的要求安装避雷设施;报警室应设置报警电话及时与上级主管部门和公安机关主管部门联系;入侵报警子系统6. 应设置报警室,全天专人值守;6. 各报警设备应能按时间、区域、部位灵活编程设防或撤防,能对设备运行状态和信号传输线路进行检测,应具备防破坏功能,能及时发出故障报警并指示故障区位,当有报警发生时显示、记录和即时打印报警部位及有关警情数据;各类报鳘记录保存时间应不少于40天;6. 根据管理需耍和环境条件,宜分别或综合设置电子周界防护、区域或空间防护、重点实物防护,构成点、面、立体或组合的综合报鳘防护系统;视频监控子系统系统应对被监控区域进行视频监视;报鳘室所设监控终端,应对所有监控图像进行记录,多画面或轮循显示各监控图像,可设置为移动画面桢测记录方式,帧测灵敏度为对摄像重点区域内有人员或应设防物体移动时即起动,图像记录连续性指标应不少于10帧/秒,录像的清晰度不低于352X288彩色像素点阵黑白图像清晰度应高于此规格,记录保存时间应不少于7天;楼宇对讲子系统应安装楼宇对讲系统,楼宇对讲设施应与楼门口防盗安全门结合使用,输入各住户序号实现与本单元住户的直接对讲,有条件的楼宇可安装可视楼宇对讲系统;二级防范技术系统二级风险单位安全技术防范系统除具有三级防范技术系统各项功能外,应设置专用监控报繁室,增加安全技术防范管理子系统,实施对各子系统的联动与管理;系统应安装不间断电源,耍求对控制台设备视频部分不小于1小时;安全技术防范管理子系统应设置在监控室内,全天专人值守,并配备必耍的有线、无线通讯设备;视频监控子系统除具有三级防范技术系统的耍求外> 还应JI.备下列耍求：记录设置为连续或移动画面帧测记录方式,帧测灵敏度为对摄像区域内有人员或应设防物体移动即起动,图像记录迮续性指标应不少T 15帧/秒,记录保存时间应不少于10天,入侵报譬子系统除具有三级防范技术系统的要求外,应具备接收两路以上同时报警的功能;电子出入口控制子系统应设置电子出入口控制设施,应自动记录、打印、储存有关信息,并有防篡改和防销毁等功能,记录保存时间应不少于40天;电子巡査子系统应设置电子巡查设施,对医疗卫生机构安全重点地区保安人员进行定点巡逻,巡逻记录信息保存时间不少于40天;一级防范技术系统—级风险单位安全技术防范系统除具备二级防范技术系统的各项功能外,安全技术防范管理子系统还应具备系统集成功能,实现系统综合信息管理平台^视频监控子系统除具有二级防范技术系统的要求外,还应具有下列要求：a)实现由中央控制室对全系统进行信息集成的自动化管理;该系统应预留符合公安机关要求的程接口可调阅视频与记录图像,以及报警、电子出入口控制、电子巡査信息,安全管理信息、技防设备状况信息等,适时与公安机关主管部门和上级主管部门链接;b)中央监控室应设置电视墙,直接或轮循显示监控图像;c)记录可设置为连续或移动画面帧测记录方式,帧测灵敏度应对摄像区域内人员或应设防物体移动时即起动,图像记录连续性指标应不少于25帧/秒,记录保存时间应不少于15天;d)结合实际情况,可设置无线、机动监控设施;入侵报簪子系统除具有二级防范技术系统的要求外,还应具备接收多路以上同时报警功能;结合实际情况,可设置无线、机动报警设施;电子出入口控制子系统除具备二级防范技术系统的要求外,还应与安全技术防范系统中央监控室联网,满足中央监控室对电子出入口控制系统进行集中管理和控制的要求;系统应有报警功能,记录信息的保存时间应不少子40天;系统信息处理设施应对系统中的有关信息自动记录、打印、储存,并有防甚改和防销毁等功能;防爆安全检査子系统对外开放场所,宜设置临时或永久性的防爆安全检查系统7 保障措施依据国务院第421号令企业事业单位内部保卫条例的规定,单位主要负责人是本单位安全管理工作责任人,负责组织落实本单位内本标准的实施;医疗卫生机构应建立或指定相应的管理机构,并指定专门人员组成本单位保卫工作责任部门,具体实施本单位安全技术防范日常管理工作;该保卫工作责任部门应参与本单位技防工程规划设计、建设工作,提出防范需求和使用要求;医疗卫生机构上级主管部门和公安机关主管部门对上述工作进行监督、检查、指导;医疗卫生机构安全技术防范设施出现故障,要求一级风险在48小时内,二级风险在72小时内, 三级风险在96小时内恢复功能;在恢复期间应有有效的安全应急方案并报医疗卫生机构上级主管机关相关部门及公安机关主管部门备案;。
等级保护讲解
跨界融合与合作
等级保护将促进不同行业、领域 的跨界融合与合作，共同应对网 络安全威胁。
总结与思考
等级保护制度的意义
等级保护制度为重要信息系统提供了安全保障，确保其稳定运行和信息安全，维护了国家安全和社会秩序。
GB/T 25058-2019等标准，规定了网络安全等级保护的技术 要求和实施方法。
应用安全等级保护技术标准
GB/T 37983-2019等标准，针对应用系统的安全保护制定了 相应技术标准。
等级保护的管理规范
网络安全等级保护管理规范
规定了各级管理机构和责任人在网络安全等级保护工作中的职责和要求，以 及工作流程、文档记录等内容。
制定标准规范
为保证等级保护工作的有效实施，需要制定相关的标准规范，明 确等级保护的基本要求、实施流程和评估方法等。
加强培训宣传
加强培训和宣传工作，提高员工对等级保护工作的认识和重视程度 ，促进企业整体网络安全意识的提升。
05
未来展望与总结
未来发展趋势与展望
完善法律法规
随着网络安全形势的不断变化， 等级保护制度将不断完善，为网 络安全提供更有力的保障。
总结和推广网络安全领域的最佳实践，引导企业和个人加强网络 安全意识和能力。
加强培训与演练
组织开展网络安全培训和演练，提高应对网络安全事件的能力和 水平。
THANKS
感谢观看
等级保护的历史与发展
等级保护起源
等级保护起源于美国，最初用于国防领域，现已成为全球信息安全领域的重要制度。
等级保护在中国
自20世纪90年代起，中国开始推行等级保护制度，并不断完善相关法规和标准。
等级保护的重要性和意义
医疗等级保护定级指南
医疗等级保护定级指南《医疗等级保护定级指南》一、基本注意事项当我们开始医疗等级保护定级的时候，首先要搞清楚整体的框架。
就像建房子，得先知道有哪些部分组成一样。
医疗等级保护定级主要是为了保护医疗信息系统的安全。
这里面涉及到不同级别的安全要求，就类似于不同强度的锁保护不同重要性的东西。
咱们不能稀里糊涂地就开始定等级，一定要先全面了解自己医院或者医疗单位的信息系统的基本情况。
我一开始也是这样想的，觉得随便按照感觉定个等级就好了，结果后面发现问题一大堆。
重要提醒: 全面准确地搜集信息系统相关信息，如系统的功能、应用范围、所涉及的医疗数据类型等。
记住了，这点很关键，要是这步没做好，后面的定级肯定是不准确的。
还有哦，得知道医疗相关的法律法规和行业标准对信息安全等级保护的要求，这些是我们定级的大框架，违反了这个，那就像开车不遵守交通规则一样，肯定是不行的。
二、实用建议我有个诀窍，那就是参考其他类似规模和类型的医疗单位的定级情况。
比如说，隔壁的同等级医院，他们某个信息系统定了某个等级，我们就可以看看我们类似的系统，他们在哪些方面做了考虑。
这可不是让你完全照搬，而是借鉴一些合理的因素。
和医疗系统相关的部门之间要多沟通。
这个我可是深有体会的。
我当时就是因为信息部门和医疗业务部门没沟通好，信息部门定的等级忽视了业务部门的特殊安全需求。
像放射科这种特殊部门的影像数据传输存储系统，可能会有更高的安全需求。
所以信息部门和医疗业务部门一定要坐下来好好聊聊，大家从各自的专业角度出发，共同确定每个信息系统的定级。
三、容易忽视的点很多时候大家会忽略了信息系统后续的扩展性。
我看到有些医院在定级的时候只考虑了当前的状态。
咦，还可以这样做，那就是要把未来可能的系统升级、新增功能、扩大应用范围等情况考虑进去。
就好比你给孩子买衣服，不能只看现在合不合身，还得想一下这孩子长高长胖了怎么办。
如果不考虑扩展性，可能才定了等级不久，又得重新来过了。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全问题可能会引 发的安全事件….
• 昨天上午，杜先生在XX医院看病时遭遇系统瘫痪，无法正 常就医。该医院称，系统瘫痪系网络故障所致，目前已恢 复正常。
• 杜先生称，昨天上午9点多，他陪妻子到XX医院看病。在 诊室，值班医生告诉一位医院工作人员，他早上上班时， 电脑已不能正常进入系统。随后，杜先生陪妻子去取药， 药房也暂停服务，近20分钟后才恢复正常。11点多，杜先 生因临时有事去挂号台退号时，发现多人正在一旁排队等 待，工作人员告诉他，医院网络系统出故障，暂停服务。 杜先生等候近40分钟后，系统服务再次恢复正常。杜先生 称，许多患者因此花费更长的时间挂号、就诊、取药。
小时后系统基本恢复正常。
2012/3/24 网络故障
医院网络故障，导致系统瘫痪病人无法正常就医，目前已 恢复正常。
2011/10/29
信息系统故障
区社区卫生信息系统发生故障，导致39家社区卫生服务站 无法正常提供门诊取药服务。
2011/8/31 his系统瘫痪
电脑挂号系统突然整体瘫痪，患者无法挂号和交费，大约 一小时以后，系统恢复正常。
等级保护在北京市医疗行业的 应用实践
第一部分 安全动态与思考 第二部分 政策法规及标准
第三部分 信息安全建设方法探讨
信息系统的角色越来越重要
信息系统的任何风险将带来巨大 损失！
门诊大量排队..
业务科室投诉..
来自上级主管部门压力..
社会舆论/医疗机构声誉..
现象..
手术中途停顿..
经济损失..
法律诉讼.. ….
• 昨天下午，医院总值班室称，昨天医院网络故障，导致系 统瘫痪，目前已恢复正常。
北京市医院信息安全事件
医院名称 时间 故障
事件影响
XX医院 XX医院 XX医院 XX医院 XX医院 XX医院 XX医院
医院电脑系统出现故障，导致医院挂号窗口不能正常工
2012/3/30 信息系统故障 作，大量病人在大厅内排队等候，医院立即进行修复，半
《信息安全等级保护管理办法》 43号文：明确 五个安全等级，确立了等 级保护主要内容是定级、备案、系统建设整改、等级测评、监督检查。
两项重要内容：加强信息
标准化和安全体系建设。
简称为“35212”。
等级保护相关法规
1、1994年《中华人民共和国计算机信息系统安全保护条例 》（国务院147号令） 2、2003年《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发 [2003]27号） 3、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号） 4、《信息安全等级保护管理办法》（公通字[2007]43号 5、《关于开展全国重要信息系统安全保护等级定级工作的通知》（公信安 [2007]861号） 6、《国务院办公厅关于印发<政府信息系统安全检查办法>的通知》（国办发 [2009]28号） 7、发改委、公安部、国家保密局会签文件《关于加强国家电子政务工程建设项 目信息安全风险评估工作的通知》（发改高技[2008]2071号） 8、《信息安全等级保护备案实施细则》（公信安[2007]1360号 9、《公安机关信息安全等级保护检查工作规范（试行）》（公信安[2008]736 号） 10、《关于开展信息安全等级保护安全建设整改工作的指导意见》(2009年10月)
2011/8/6
信息系统故障
因医院网络系统未及时更新，与市医保中心网络系统不同 步，致使部分药品及检测项目不能识别。
2011/6/9
信息系统故障
导致门诊部挂号、取药等多项工作因此停滞，数十人在大 厅等候。两个多小时后，系统恢复正常。
2011/3/31 网络故障
医院网络故障 上千挂号者苦等三小时时间。
医疗机构在大力发展医院信息系统建设的同 时，还需要关注和面对如此多的信息安全需 求、隐患和风险
我们怎么办 ？？
第一部分 安全动态与思考 第二部分 政策法规及要求
第三部分 信息安全体系建设探讨
思考
长期以来，在信息安全建设方面，存在着重技术轻管理、 重产品功能轻人为因素、缺乏整体性信息安全体系考虑等各 方面的问题。技术也许可以解决一部分问题，但却解决不了 根本。
国内的各卫生机构都认识到了信息系统故障对自身业务 的巨大影响，通过采取各种各样的安全保障措施来提高信息 系统的稳定运行的能力。
但是信息系统没有绝对的安全，只有建立统一的信息安 全管理体系，落实各项管理制度，制定合理的安全策略，采 取有效的防范措施 ,才能切实保障卫生信息系统的安全、稳 定、正常地运行，保障各项卫生业务的正常开展。
重要法规梳理 （）
《国家信息化领导小组关于加强信息安全保障工作的意见》 2003-27号文： 明确指出“实行信息安全等级保护”，这是我国第一个信息安全保障工作 的纲领性文件。
《关于信息安全等级保护工作的实施意见》 2004-66号文：等级保护是今 后国家信息安全的基本制度也是根本方法、等级保护制度的重要意义、原 则、基本内容、工作职责分工、工作要求和实施计划。
区域卫生和电子病历信息化建 设，也带来了新的安全隐患和风险。 然而: （1）不能有效保护患者的隐私 （2）不能识别非法计算机使用合 法身份接入电子病例系统 （3）不能解决电子病例数据传输 到计算机设备上之后的数据泄露问 题
类似攻击已提前出现……
由于数据泄露所导致的身份信息和医疗信息的窃取会造成对患者的 财产和情感的伤害
“十二五”卫生信息化规划
• “3”意为建设国家级、 省级和地市级三级卫生信
35212
息平台; • “5”表示加强公共卫生、
医疗服务、新农合、基本
药物制度、综合管理5项
业务应用; • “2”意为建设健康档案
和电子病历两个基础数据
库; • “1”代表一个国家卫生
信息专网.; • 最终版本的卫生信息化
“十二五”规划又增加了
XX医院
2011/1/12
信息系统故障
医院门诊部电脑系统出现故障，大厅内的数十名病人无法 挂号。一小时后，电脑系统恢复正常。
2012年5月5日 新闻，从本月 起我国二级以 上医院设置警 务室…… 生活中有各种 各样想不到的 威胁， 医院中呢？
卫生部明确将建立电子病历、 电子健康档案等基础数据库和建立 完善安全体系作为卫生信息化“十 二五”的重要任务，协调推进信息 化建设和医疗信息的隐私保护.