评审标准对照医院信息安全等级保护制度
信息安全等级保护制度
信息安全等级保护制度概述信息安全等级保护制度（简称“等保制度”）是中国政府在信息安全领域的重要措施之一，目的在于建立一套科学、合理、可有效执行的信息安全保护制度，减少信息安全风险并维护国家信息安全。
等保制度的核心是建立信息安全等级评估机制和信息安全等级保护措施。
等保等级等保制度是按照“等级+分类”的方式执行的，也就是将不同的信息系统分为不同的安全等级，给出相应的等保等级控制要求和技术要求。
根据国家标准《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2008），等保等级分为4个级别，从高到低分别是：一级、二级、三级、四级。
其中一级要求最高，四级要求最低。
不同等保等级的信息系统，需要采取不同的安全保护措施。
等保评估信息安全等级评估是指对信息系统的安全性进行全面评估，确定其实际受到的攻击威胁以及存在的安全风险，从而确定系统的等保等级。
等保评估是等保制度的核心环节，也是等保保护措施的依据。
等保评估分为两种类型：自我评估和第三方评估。
自我评估适用于等保一级、二级信息系统，第三方评估适用于等保三级、四级信息系统。
等保保护根据等保评估结果，完成等保系统以后需要进行等保保护工作。
等保保护工作包括物理安全措施、技术安全措施、管理安全措施三个方面。
其中物理安全措施主要是对硬件设备的保护，如安装门禁、监控等；技术安全措施是对软件设备的保护，如防火墙、入侵检测等；管理安全措施是对人员进行管理，如实施权限控制、制定密码规则等。
等保保护需要全面、周密地组织实施，保障对信息系统的全面保护，确保系统安全稳定可靠。
信息安全等级保护的意义等保制度是一项非常重要的信息安全保护措施，有着广泛的应用价值。
它的重要意义表现在以下几个方面：内部保护等保制度为企业和组织内部的信息系统提供了全面的信息安全保护，确保了系统的稳定性和可靠性。
企业和组织可以根据等保等级要求对信息系统进行详细的评估，制定相应的保护措施，从而避免或者最大程度上减少信息安全事件的发生。
信息安全等级保护制度
信息安全等级保护制度信息安全等级保护制度是指通过对信息系统进行安全评估，根据其安全风险等级的不同，对相关信息进行分级保护的制度。
该制度的目的是保护信息系统的安全，防止信息泄露、被篡改或被破坏，确保关键信息的机密性、完整性和可用性。
下面将重点介绍信息安全等级保护制度的主要内容。
首先，信息安全等级保护制度的制定需要明确的技术和管理标准。
技术标准包括基础设施、网络安全、加密算法等方面的标准，用于评估信息系统的安全风险等级。
管理标准包括组织安全管理、风险管理、安全培训等方面的要求，用于规范信息系统的安全保护工作。
其次，制度还需要包括信息安全等级评估的程序和方法。
评估的程序主要包括评估前准备、信息收集、风险分析、等级划定、评估报告等环节。
评估的方法可以采用定性分析、定量分析或综合分析等不同的方法，根据实际情况选择合适的方法进行评估。
接着，制度还需要明确不同等级的信息安全保护要求。
根据评估结果，将信息系统划分为不同的安全等级，每个等级都有相应的安全保护要求。
例如，高等级的信息系统需要采取更加严格的措施来保护其安全，如加密通信、身份认证、访问控制等。
而低等级的信息系统则可以采取相对简单的措施来保护其安全。
最后，制度还需要明确信息安全等级的监督和管理机制。
监督和管理机制应包括对信息系统安全保护措施的检查和评估，对违规行为的处罚和处置，对信息系统安全事件的处理等。
此外，还需要建立相关的培训和宣传制度，提高员工对信息安全的认识和意识。
总之，信息安全等级保护制度是一项非常重要的制度，对于保护信息系统的安全起着关键的作用。
通过制定明确的技术和管理标准，并采用合适的评估方法，明确不同等级的安全保护要求，建立监督和管理机制，可以有效地提高信息系统的安全性，保护信息的机密性、完整性和可用性。
医院信息安全等级保护建设方案
等保技术要求 网络出口边界防护
域间防护 网络状态监测
网络安全
说明
CNGate产品
交换机、路由器、防火墙、 IDS/IPS
CNGate-USG CNGate-NGIPS
交换机、路由器、防火墙、 IDS/IPS
网络嗅探设备、网络测试仪等
CNGate-NGIPS CNGate-USG
CNGate-NGIPS
基于国际标准中关于下一代
虚拟化
安全设备的技术要求
下一代安全管理 支持IPv6
深度解析 全协议栈解码
某三甲医院网络安全威胁入侵及安全隐患分析服务
CNGate-USG 下一代防火墙-综合安全网关设备
CNGate USG最佳APT攻击防御能力 最佳性能 支持2.5Gbps-80Gbps 吞吐 独有的集群技术 防病毒 /防垃圾邮件/WEB过滤/应用控制 延时仅8us
2. 东院70 台，包括48 台交换机，22 台服务器，以及业务系统所用数据库ቤተ መጻሕፍቲ ባይዱ应用等 。
CNGate-下一代入侵防御系统 拥有唯一的反高级逃避技术专利
CNGate-IPS-AET 下一代边界防护设备
反高级逃避
精准性防御技术-事件分析关联技术
支持加密流量检测
DoS/DDoS防御 高性能
网络漏洞扫描
网络漏洞扫描工具
CNGate-NVS
网络防恶意代码 配置和行为审计
杀毒、内容过滤等网关类安全设 CNGate-USG 备
网络审计工具
CNGate-BAS
CNGate在医疗领域等级保护的解决方案
主机安全
技术要求 主机漏洞扫描
主机防恶意代码 主机安全加固 主机资源、性能监控
说明
信息安全等级保护制度
信息安全等级保护制度目录一、信息安全等级保护制度概述 (3)1.1 制度背景 (3)1.2 制度目的和意义 (5)1.3 制度原则 (6)二、信息安全等级保护制度框架 (7)2.1 等级划分标准 (8)2.2 保卫目标和要求 (10)2.3 实施流程 (11)三、信息安全等级保护技术要求 (12)3.1 物理安全 (13)3.1.1 安全区域 (14)3.1.2 设施和设备安全 (16)3.1.3 安全防护措施 (17)3.2.1 网络结构安全 (19)3.2.2 网络设备安全 (20)3.2.3 网络访问控制 (21)3.2.4 网络加密技术 (22)3.3 数据安全 (24)3.3.1 数据分类与分级 (25)3.3.2 数据存储安全 (26)3.3.3 数据传输安全 (27)3.3.4 数据备份与恢复 (28)3.4 应用系统安全 (29)3.4.1 应用系统安全设计 (30)3.4.2 应用系统安全测试 (31)3.4.3 应用系统安全运行 (32)四、信息安全等级保护组织与实施 (33)4.1.1 信息安全管理部门 (35)4.1.2 信息安全防护机构 (37)4.1.3 信息安全责任体系 (38)4.2 实施步骤 (39)4.2.1 安全评估 (40)4.2.2 安全整改 (42)4.2.3 安全监测 (42)4.2.4 安全审计 (43)五、信息安全等级保护制度评估与监督 (45)5.1 评估方法 (46)5.1.1 自评估 (47)5.1.2 外部评估 (48)5.2 监督检查 (50)5.2.1 定期检查 (51)5.2.2 不定期抽查 (52)5.2.3 专项检查 (53)六、信息安全等级保护制度案例与经验 (54)6.1 案例分析 (56)6.1.1 成功案例 (57)6.1.2 失败案例 (58)6.2 经验总结 (59)七、信息安全等级保护制度发展趋势与展望 (60)7.1 技术发展趋势 (61)7.2 政策法规完善 (62)7.3 应用领域拓展 (63)一、信息安全等级保护制度概述信息安全等级保护制度是我国针对信息安全领域制定的一项重要政策法规，旨在加强信息安全保障能力，提高信息安全管理水平，保障国家关键信息基础设施安全，维护国家安全和社会稳定。
医院信息安全等级保护建设方案
医院信息安全等级保护建设方案一、背景介绍医院信息安全在当前信息化时代已经成为一个重要的课题。
医院作为一个重要的医疗机构，其中包含着大量的患者、医生、药品、医疗设备等重要信息，这些信息的安全泄露可能会给患者的生命和财产造成严重威胁。
因此，加强医院信息安全等级保护建设是非常重要的。
二、目标1.确保医院信息的完整性、机密性和可用性；2.合理利用信息技术手段，强化医院信息系统的安全风险管理；3.提高医院工作人员信息安全意识，增强信息安全保护能力；4.构建医院信息安全等级保护体系，保障医院长期可持续发展。
三、方案1.信息安全政策和规范制定医院应制定一套完整的信息安全政策和规范，明确信息安全的保护原则和要求，包括信息分类、存储、传输、使用等方面，制订相应的技术和管理控制措施。
2.信息系统安全评估对医院的信息系统进行全面安全评估，包括网络安全、数据库安全、系统安全等多个方面，发现潜在的安全风险，并制定相应的修复和改进措施。
3.业务数据加密保护对医院的重要业务数据进行加密保护，确保数据在传输和存储过程中的安全，防止数据泄露或恶意篡改。
4.网络安全建设医院应加强网络安全建设，包括网络边界安全管理、入侵检测和防御、安全审计等方面，确保医院内外网络的安全连接和通信。
5.权限管理和访问控制建立起严格的权限管理和访问控制机制，对不同角色和身份的人员进行合理的访问权限控制，防止未授权的人员访问敏感信息。
6.信息安全培训和意识提升定期组织医院工作人员进行信息安全培训，加强医务人员信息安全意识的培养，提高员工对信息安全的重视程度和保护能力。
7.灾备与容灾建设建立医院信息系统的灾备与容灾体系，确保信息系统在灾难事件发生时能够及时恢复正常运行，保障医院的正常运作。
8.应急响应机制建立医院的信息安全应急响应机制，明确各部门的应急响应职责，配备相应的人员和设备，能够迅速、高效地应对各种安全事件。
9.监测和审计建立信息系统的监测和审计机制，对医院信息系统的安全状况进行实时监测和定期审计，及时发现潜在的安全问题，并采取相应的纠正和改进措施。
信息安全等级保护制度
信息安全等级保护制度概述信息安全等级保护制度是指一种根据信息内容重要程度划分等级，按照不同等级的安全保障要求和分类管理标准，采取针对性的安全防范措施，降低信息泄露和网络攻击等风险的管理制度。
制度等级分类根据国家《保密法》和《信息安全等级保护管理办法》规定，信息安全等级保护分为4个等级，由高到低分别为：特级、一级、二级、三级。
1.特级：适用于涉国家安全和重要决策的核心信息；2.一级：适用于涉及国家利益和重要业务的重要信息；3.二级：适用于企事业单位的核心信息和关键技术信息；4.三级：适用于企事业单位的一般信息和管理信息。
制度要求1.信息分类：对企事业单位的信息资产进行分类，根据不同等级进行安全保护和管理。
2.安全措施：采取适当的技术措施和管理制度，确保信息在存储、传输、处理等过程中的安全性和完整性。
3.安全培训：针对不同的岗位，制定不同的安全培训计划和内容，加强安全教育，提升员工的安全意识和技能。
4.安全评估：定期进行信息安全评估和风险评估，及时发现和解决安全问题，提高信息安全等级保护能力。
5.安全应急：建立完善的安全事件应急预案，及时应对和处理安全事件，降低安全风险。
实施措施在实施信息安全等级保护制度时，需要根据企业的实际情况采取相应的措施，包括以下几个方面：制度建设1.制定信息安全管理制度，建立相关部门和岗位，明确职责和权限。
2.制定信息分类和等级划分标准，明确各级别信息的保密程度和安全要求。
3.建立安全保障和检查机制，设置安全巡查、监督和管理流程，保障信息安全。
技术措施1.建立物理安全措施，包括防火墙、入侵检测和防病毒系统等。
2.建立网络安全措施，包括网络拓扑结构设计、网络访问控制和数据加密等。
3.建立数据安全措施，采用数据加密、备份和恢复等技术手段，保障数据安全。
培训和评估1.建立安全教育、培训和考核机制，提升员工的安全意识和技能。
2.建立信息安全评估和风险评估机制，定期进行评估和改进。
总结信息安全等级保护制度是企业信息安全管理的基础和核心，通过科学的等级划分和针对性的防护措施，可以有效预防和减少信息泄露和网络攻击等风险，降低企业的安全风险，提高信息安全保护能力。
医院信息系统安全等级保护工作实施方案
医院信息系统安全等级保护工作实施方案一、介绍医院信息系统是医院管理的重要组成部分，涉及到患者的隐私和医院的运营信息。
确保医院信息系统的安全是保护患者信息和医院利益的关键。
本文将提出一个医院信息系统安全等级保护工作的实施方案，以确保医院信息系统的安全性。
二、背景医院信息系统的安全受到许多威胁，如病毒和恶意软件的攻击、未经授权的访问、数据泄露等。
因此，医院需要采取一系列的安全措施来保护信息系统的安全等级。
三、目标1. 提高医院信息系统的安全等级，保护患者的隐私和医院的利益。
2. 预防信息系统遭受病毒和恶意软件的攻击。
3. 防止未经授权的访问，保护信息系统的机密数据。
4. 防止数据泄露，保护患者的个人信息。
四、方案建议1. 制定信息安全管理制度制定一套完善的信息安全管理制度，包括制定信息安全政策、建立信息安全组织架构、明确信息安全职责和权限等。
并将制度与医院的其他相关制度相衔接，以形成一个完整的信息安全管理体系。
2. 加强系统访问控制采用有效的访问控制措施，确保只有经过授权的人员才能访问信息系统。
建立用户身份认证机制，如强制使用复杂密码和定期更换密码等。
同时，加强访问审计功能，记录用户的操作行为，以便追溯异常或非法的访问行为。
3. 加固网络安全防护安装和配置有效的防火墙，限制对信息系统的非法访问。
建立安全的网络架构，划分网络区域，隔离不同的网络环境，防止恶意软件的传播。
定期更新和升级系统和应用程序，修补已知的漏洞。
同时，加强网络监控，实时检测和阻止恶意网络流量。
4. 加强数据保护与备份采用加密技术对敏感数据进行加密存储和传输，确保数据的机密性和完整性。
定期对数据进行备份，并将备份数据存储在安全的地点，以防止数据丢失或损坏。
同时，制定数据恢复的应急计划，以应对数据意外丢失的情况。
5. 员工安全意识培训开展定期的员工安全意识培训，教育员工有关信息安全的基本知识和操作规程。
加强员工对于信息安全的认识和意识，提高员工对于信息保护的重视程度。
2024年医院信息系统安全等级保护工作实施方案
2024年医院信息系统安全等级保护工作实施方案尊敬的领导：根据我院信息系统安全现状及未来趋势的综合分析，结合国家有关法规法规定和国内外行业标准，为了进一步提高医院信息系统的安全等级保护水平，提预防和应对信息安全事件能力，特制定2024年医院信息系统安全等级保护工作实施方案，旨在为医院信息系统安全等级保护工作提供指导和支持。
一、工作背景随着医院信息化水平的不断提升，医院信息系统的安全存储与传输的重要性日益凸显。
目前，我院信息系统存在安全等级保护工作的不足之处，包括安全意识薄弱、技术措施不完善、安全管理不规范等问题。
另外，未来信息安全威胁形势日益复杂，并不断涌现新的安全风险。
为了保障医院信息系统的安全性和稳定性，确保患者隐私不受侵犯，切实提高医院信息系统的安全等级保护水平，有必要制定本方案。
二、工作目标1. 完善医院信息系统安全等级保护制度，确保系统安全可控；2. 建立健全信息安全管理体系，提高工作效率；3. 加强技术措施和技术手段，提升系统的安全性；4. 提高员工的安全意识，增强信息防护能力；5. 构建灾备与恢复体系，保障系统的连续性。
三、工作内容1. 完善安全等级保护制度（1）制定医院信息系统安全等级保护管理办法，明确安全等级划分和保护要求；（2）建立信息系统安全等级评估机制，对现有系统进行评估，并根据评估结果优化安全等级保护措施；（3）完善信息系统安全等级保护的监督检查和考核机制，确保制度的有效落地。
2. 建立健全信息安全管理体系（1）成立信息安全管理委员会，负责信息安全相关决策和管理；（2）制定医院信息安全管理规定和流程，明确职责分工和工作流程；（3）开展信息安全培训与教育，提高员工信息安全意识和能力；（4）建立信息安全漏洞管理和应急响应机制，保障信息系统的安全性和稳定性。
3. 加强技术措施和技术手段（1）完善系统安全配置，包括网络安全设备、入侵检测与防范系统、防火墙等；（2）加强数据加密与备份，确保数据的机密性和可恢复性；（3）加强系统漏洞和风险扫描，及时发现和修复系统漏洞；（4）引进新技术手段，如人工智能、区块链等，提升信息系统的安全性。
信息安全等级保护三级标准
信息安全等级保护三级标准
信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作，共分为五个等级。
其中第三级为监督保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统。
以下是信息安全等级保护三级标准的一些主要要求：
1. 物理安全：包括机房、设备、设施等物理环境的安全保护，如门禁系统、监控系统、防火、防水、防潮、防静电等。
2. 网络安全：包括网络结构、网络设备、网络协议等方面的安全保护，如防火墙、入侵检测系统、网络监控等。
3. 主机安全：包括服务器、终端等主机设备的安全保护，如操作系统安全、应用程序安全、补丁管理等。
4. 应用安全：包括应用系统的安全保护，如身份认证、访问控制、数据加密、安全审计等。
5. 数据安全：包括数据的存储、传输、处理等方面的安全保护，如数据备份与恢复、数据加密、数据脱敏等。
6. 安全管理：包括安全策略、安全组织、人员管理、安全培训等方面的安全管理，如安全管理制度、安全责任制度、应急响应计划等。
需要注意的是，具体的信息安全等级保护三级标准可能会因地区、行业、组织等因素而有所不同。
如果你需要更详细和准确的信息安全等级保护三级标准内容，建议参考相关的法律法规、标准规范或咨询专业的信息安全机构。
医院信息安全等级保护建设方案
医院信息安全等级保护建设方案医院作为重要的公共服务机构，拥有大量的医疗数据和患者个人信息，对于医院信息安全等级保护建设具有十分重要的意义。
本文将从以下几个方面提出医院信息安全等级保护建设方案。
一、建设安全意识教育体系在医院信息安全等级保护建设中，首先应该加强对全体员工的信息安全意识教育。
通过组织安全意识教育培训，加强员工对信息安全的认识和理解，提高他们的信息安全防护意识，减少人为因素导致的信息安全事件。
二、完善信息安全管理制度医院应建立健全信息安全管理制度，制定相关的安全管理规范和操作规程，明确工作流程和责任分工。
建立信息安全管理团队，负责医院信息安全等级保护的规划、组织、执行和监督，确保信息安全等级保护工作的有效实施。
三、加强网络安全建设在医院信息安全等级保护建设中，必须加强网络安全建设。
首先，建立健全网络设备安全防护系统，包括安全防火墙、入侵检测系统、病毒防护系统等，提高网络设备的安全性。
其次，完善网络运维管理制度，加强对网络设备的日常管理和维护，及时发现和解决网络安全问题。
同时，对医院内部网络进行安全隔离，设立网络安全监控中心，实时监测网络安全状况，及时发现和应对网络攻击和威胁。
四、加强数据安全保护医院拥有大量的医疗数据和患者个人信息，必须加强数据安全保护。
首先，建立健全数据备份和恢复制度，定期备份重要的医疗数据，确保数据的安全性和可用性。
其次，加强对数据的访问控制，设立权限管理系统，对各个部门的员工进行权限划分，确保只有授权人员才能访问和修改数据。
同时，加密重要的医疗数据和患者个人信息，确保数据在传输和存储过程中的安全。
五、加强应急响应能力在医院信息安全等级保护建设中，必须加强应急响应能力。
建立健全信息安全事件的应急响应预案，指定相应的应急响应小组，明确应急响应流程和责任分工。
通过定期进行演练和模拟演习，提高应对应急事件的能力，减少应急事件对医院信息安全的损害。
综上所述，医院信息安全等级保护建设是一项系统工程，需要全面、全员、全过程参与。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
**医院落实国家信息安全等级保护制度的具体措施
一、信息安全等级保护
信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种
工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息
安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护
思想的安全工作；狭义上称为的一般指信息系统安全等级保护，是指对国家安全、
法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信
息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，
对信息系统中发生的信息安全事件分等级响应、处置的综合性工作。
二、工作目标
信息系统运营使用单位在做好信息系统安全等级保护定级备案工作基础上，按
照国家有关规定和标准规范要求，开展信息安全等级保护安全建设整改工作。通过
落实安全责任制，开展管理制度建设、技术措施建设，落实等级保护制度的各项要
求，使信息系统安全管理水平明显提高，安全保护能力明显增强，安全隐患和安全
事故明显减少，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益。
三、工作内容
信息系统运营使用单位在开展信息安全等级保护安全建设整改工作中，应按照
国家有关规定和标准规范要求，坚持管理和技术并重的原则，将技术措施和管理措
施有机结合，建立信息系统综合防护体系，提高信息系统整体安全保护能力。我院
依据《国家信息安全等级保护度（二级）》，落实信息安全责任制，建立并落实各类
安全管理制度，开展人员安全管理、系统建设管理和系统运维管理等工作，落实物
理安全、网络安全、主机安全、应用安全和数据安全等安全保护技术施。
四、等级划分
《信息安全等级保护信息安全等级保护管理办法》规定，国家信息安全等级保护
坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国
家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社
会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
信息系统的安全保护等级分为以下五级：
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损
害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严
重损害，或者对社会秩序和公共利益造成损害，但不损 害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者
对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，
或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
五、安全保护能力目标
各级信息系统应通过安全建设达到以下安全保护能力目标：
第一级信息系统：经过安全建设整改，信息系统具有抵御一般性攻击的能力，
防范常见计算机病毒和恶意代码危害的能力；系统遭到损害后，具有恢复系统主要
功能的能力。
第二级信息系统：经过安全建设整改，信息系统具有抵御小规模、较弱强度恶
意攻击的能力，抵抗一般的自然灾害的能力，防范一般性计算机病毒和恶意代码危
害的能力；具有检测常见的攻击行为，并对安全事件进行记录的能力；系统遭到损
害后，具有恢复系统正常运行状态的能力。
第三级信息系统：经过安全建设整改，信息系统在统一的安全保护策略下具有
抵御大规模、较强恶意攻击的能力，抵抗较为严重的自然灾害的能力，防范计算机
病毒和恶意代码危害的能力；具有检测、发现、报警、记录入侵行为的能力；具有
对安全事件进行响应处置，并能够追踪安全责任的能力；在系统遭到损害后，具有
能够较快恢复正常运行状态的能力；对于服务保障性要求高的系统，应能快速恢复
正常运行状态；具有对系统资源、用户、安全机制等进行集中控管的能力。
第四级信息系统：经过安全建设整改，信息系统在统一的安全保护策略下具有
抵御敌对势力有组织的大规模攻击的能力，抵抗严重的自然灾害的能力，防范计算
机病毒和恶意代码危害的能力；具有检测、发现、报警、记录入侵行为的能力；具
有对安全事件进行快速响应处置，并能够追踪安全责任的能力；在系统遭到损害后，
具有能够较快恢复正常运行状态的能力；对于服务保障性要求高的系统，应能立即
恢复正常运行状态；具有对系统资源、用户、安全机制等进行集中控管的能力。
第五级安全保护能力：（略）。
六、实施原则
信息系统安全等级保护实施过程中，遵循以下四条基本原则：
自主保护原则：信息系统运营、使用单位及其主管部门按照国家相关法规和标准，
自主确定信息系统的安全保护等级，自行组织实施安全保护。
重点保护原则：根据信息系统的重要程度、业务特点，通过划分不同安全保护等级
的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信
息资产的信息系统。
同步建设原则：信息系统在新建、改建、扩建时应当同步规划和设计安全方案，投
入一定比例的资金建设信息安全设施，保障信息安全与信息化建设相适应。
动态调整原则：要跟踪信息系统的变化情况，调整安全保护措施。由于信息系统的
应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等
级保护的管理规范和技术标准的要求，重新确定信息系统的安全保护等级，根据信
息系统安全保护等级的调整情况，重新实施安全保护。
七、信息安全等级保护计划
依据我院信息等级保护现状制定以下原则、计划
1、 原则：遵循重点保护原则，准备对我院重点信息系统进行保护，系统有：
HIS系统、电子病历系统、PACS系统、LIS系统。其他信息系统于以上
系统在物理安全、网络安全、制度安全同样适用，因此采用自主保护原
则实行保护。
2、 计划：计划用三年左右的时间对我院信息系统，按照等级保护目标、内
容、二级甲等医院信息等级保护要求、实施原则，实施信息安全等级保
护制度。2014年年末首先对HIS系统进行信息等级保护评测，2015年
安排对电子病历系统进行评测，2016年安排对PACS系统、LIS系统进
行评测。
八、信息安全等级保护工作实施措施
（一）、加强领导
设立以分管院长为核心的信息安全领导小组，领导小组办公室设在信息科科，
由***同志兼任主任，***同志负责具体工作。
（二）、工作步骤及任务
1、做好系统定级工作。定级系统包括HIS系统、电子病历系统、PACS系统、
LIS系统。定级标准按二级甲等医院和***公安局要求定级。
2、做好系统备案工作。按照市卫生系统信息安全等级保护划分定级要求，对信
息系统进行定级后，将本单位《信息系统安全等级保护备案表》《信息系统定级报告》
和备案电子数据报***公安局。
3、做好系统等级测评工作。完成定级备案后，选择县公安局推荐的等级测评机
构，对已确定安全保护等级信息系统，按照国家信息 安全等级保护工作规范和《信
息安全技术信息系统安全等级保护基本要求》等国家标准开展等级测评。
4、完善等级保护体系建设做好整改工作。按照测评报告评测初稿结果，对照《信
息系统安全等级保护基本要求》等有关标准，组织开展等级保护安全建设整改工作。
5、整改结束后，及时将整改结果反馈到评测机构，由评测机构出据评测报告，
及时将测评机构出具的《信息系统等级测评报告》向***公安局报备。
***医院信息科
2014-11