医院信息安全工作总结

医院信息安全工作总结（精选10篇）

医院信息安全工作总结 篇1

.本次演练前信息科多次与各个科室沟通，科室内部进行培训学习。整个演练过程基本完成计划要求，但也存在一定的问题。

一 信息系统安全应急演练信息科反馈 存在问题: 1 挂号票缺少ID号和患者信息。急诊缺少纸质处方，纸质检验、检查申请单。3 药房缺少电子版目录。4 检验科缺少手工收据。

整改措施： 考虑门诊收费电脑里建立收费目录表。2 对于门诊患者，收费员按照患者姓名补录各项诊疗项目并结账，由相应的医技科室执行完成。系统瘫痪后仍然使用患者身份识别，手工处方和检查单上要有所体现。4 药品的领取：有备用药物的用备用药品，无备用药物的用药品。

二 信息系统安全应急演练护理组反馈 存在问题： 身份识别制度落实不到位。医疗设备使用前后的告知不完善。

三、信息系统安全应急演练药剂组反馈

整个过程基本完成计划要求，但也存在一定的问题。

四、信息系统瘫痪应急演练医务部督导检查反馈

医院信息安全工作总结 篇2

关键词：档案网络信息,科学,便捷,安全

档案网络信息是通过计算机对档案的收集、数据管理、长久保存等全程管理的服务网络。在网络高速发展的过程中,人们在享受网络带来便捷的同时,网络的安全也日益受到威胁。医院是服务窗口,每年都有数以千计的病案档案信息,因此,医院需要借助网络信息平台,将病历档案进行科学化的管理,唯有这样,才能更有效地提高工作人员的办事效率,更有效的保证信息的安全畅通,更有效的提高医院的硬件设施,更好地为患者服务。

一、医院档案网络信息应坚持科学化管理

(一)管理科学化是主线。医院在建立医院基础信息资源库时,就应该做到科学合理的涵盖医院档案信息的数据库,使其成为一个整体。在设计过程中,要本着“目标要明确、资源全方位、技术可提升、发展可持续”的原则。通过更新数据信息,提升检索速;通过改变系统冗长的查询代码,使查询方法更加便捷,查询内容更加全面;通过对保密程度进行不同设置,确定保密级数,使得保密信息更加安全。医院应打破以往陈旧的图书档案管理模式,用新型管理模式合理分配资源,真正地将实用性和可靠性落实到实处,从而真正达到科学化的管理水平。

(二)使用便捷性是关键。医院要通过使用网络管理,将医院门诊、咨询、病区管理等主要办公系统融为一个整体,以确保各个环节实现无缝衔接,为病患和医护人员提供一站化的服务。医院档案网络信息系统应符合医院自身的特点,尽力做到方便易操作,便于学习。档案网络信息网络平台应将内网和外网相互连接,通过分门别类的设置搜索索引,更加清晰的做到查询和统计。档案信息网络平台通过将医院各病种基本分科、分类,便于整体统筹和分类细化,然后把患者的身份证号作为核心索引,从而实现个人唯一识别信息,同时要对工作人员设置不同的查询权限,严格个人隐私信息的保密管理。

(三)安全可靠性是核心。如今,网络泄密的事情时有发生,网络在方便我们的同时也让我们的信息不断泄露出去,故而,医院的档案信息网络系统的可靠性也就受到极大的关注。医院在建设档案网络系统过程中,应将医院的档案信息网络平台与医院建设的外网和互联网进行全方位的隔离,防止有人通过外网侵入到医院的档案信息网络中去,从而出现档案信息泄露现象。在投入使用之前,医院的主干网络及接入节点应通过安全保密测评的审核,如果出现问题,应及时做好相应的修复工作,再次进行审核,直到通过为止。在投入使用之后,医院也要定期接受安全保密风险评估,一旦出现系统漏洞,就应及时做好弥补工作,真正做到万无一失。同时,医院可以通过实行实名认证、用户配发密钥、操作室设置全方位的监控等方式,确保内部人员不会利用职权之便,泄露机要信息,从而全方位保证了系统的安全可靠性。

(四)分级保护是重点。医院档案涉密信息系统应设立分级保护制度。涉密信息分级保护是指对不同密级的涉密信息系统采取相应等级的安全保密技术和管理措施进行保护,这是对医院档案的分级划分,重点管理。通过限制部分重要信息的可见性,对相应科级的人员开放相应密级的信息,无论在管理上还是保密程度上,都有着重要的意义。涉密信息系统分级保护,是为了保护涉密信息系统及其信息在输入、存储、传输的过程中的安全。分级保护和管理,使不同重要程度的信息得以更好地保护,在节省资源的前提下,真正做到了兼顾整体,突出重点。

二、医院档案网络信息资源的实施策略

(一)整合资源,分层管理。医院要建设统一的规范和标准,并且按照这个标准进行信息的采集、存储、使用、传输等具体工作。医院应实行统一的电子认证制度与密钥管理,对系统涉密等级进行分层,同时,医院应建设相应的信息保护、跨域控制、攻击防范等安全保密防护系统,以及数据安全交换的导入导出系统,注重信息共享,建立交互平台,确保档案信息安全。医院应建立档案网络信息建设管理体系,防止出现信息孤岛,在建立管理体系时,要注重体系内各个标准之间相互协调。同时,医院也要协调档案网络信息建设管理体系和医院的其他管理体系,使各体系之间相互协调。

医院应建立档案涉密信息系统,再其内部,根据信息的重要程度、密级数、风险性,将其分为不同的等级,使取不同强度的防护措施进行保护。具体地说,就是将档案涉密信息系统内部具有相同安全目标、安全需求的安全设备、服务器、终端等划分开来,形成各个相对独立的安全域,然后针对各个不同的安全域进行保护等级的确定,实施不同的保护策略,做到全方位的保护。

对于公文电子传输,逐步取消纸质文件的传递,转而以档案信息网络取而代之,力求形成全方位、多功能、有保障、规范化的档案信息网络管理体系。医院应对电脑文件传输渠道进行加密,防止在传输过程中出现资料被窃取的现象。同时,医院应设置安全保密档案管理人员,通过落实保密管理制度,将责任有效的落实到相应责任人的头上,用制度的刚性保障档案网络建设的顺利推进和安全高效运转。

(二)提升人才素质。人才是如今社会发展的动力,是企业制胜的关键所在。人才素质是指人在政治、思想、作风、道德品质、知识、能力等方面所具备的素养,对人的行为方式起到隐性的指导作用。因为档案工作人员特殊的职业要求和保密工作的性质和任务,所以医院对档案工作人员的素质有着特殊的要求。

对于政治、思想素质的要求有以下几点。第一,档案工作人员要有深刻的政治觉悟,坚持马列主义、毛泽东思想、邓小平理论、“三个代表”重要思想、科学发展观和社会核心价值观,并对其做到有效地掌握和运用。档案工作人员要知道什么可以为,什么不可做,有明确的职业界线,正确处理档案信息网络中存在的种种复杂问题。第二,档案工作人员要有强烈的责任意识和组织纪律观念,要树立诚信为本、实事求是、遵纪守法、勇于创新、积极开拓的工作作风。

对于道德和作风的要求有以下几点。第一,档案工作人员要树立正确的世界观、人生观、价值观,做到爱岗敬业、诚实守信、办事公道、服务群众、奉献社会,以严肃的态度对待自己的工作。第二,档案工作人员要做到办事认真、讲究效率、忠于职守、严守机密,同时,档案工作人员也要明白档案工作本身就是一项十分重要的工作,不能存有丝毫懒散懈怠之心,应以严谨的工作作风对待每一份任务。

对于知识和能力的要求有以下几点。第一,档案工作人员要有较强的专业技能,了解现代网络技术和计算机编程技术发展的现状,全面掌握和熟练运用信息网络系统,并将信息网络技术运用到档案工作中去。同时,档案工作者应保持条理清晰的思维方式,对档案进行分门别类的管理。第二,档案工作人员要有较为系统的管理能力,准确掌握工作的特点,明确工作目的,有组织的实施工作。

总之,医院必须建立适应档案信息网络发展的技术人员和管理人员队伍,同时,充分利用网络信息资源和人才优势,形成全面推进档案信息网络建设与科学、便捷、安全管理的合力。通过档案网络信息建设确保医院档案资料的保密性,树立安全医院的形象,让到院治病的患者安心。

参考文献

[1]消润.电子档案管理系统构建研究[J].档案与建设,2013(1).

[2]蒋君仁.数字档信息安全防护[M].回顾与展望,2010(2).

[3]张寒凝.谈电子文件信息的安全防护策略[J].江淮证论坛,2007(2).

医院信息系统管理与安全 篇3

关键词:医院信息;管理系统;风险防范

中图分类号:C931.6 文献标识码:A文章编号:1007-9599 (2010) 04-0000-01

Hospital Information System Management&Security

(Chongqing Steel General Hospital,Information Department,Chongqing400080,China)

Abstract:With the modernization of the medical records and the planning implementation of informationalized strategy,the management of medical records has been extended to the stage of supervising resources electronic and digital,also the informationalized features is more evident.The corresponding preventive measures taken to standardize the medical records management processes,improve its management system and the law,will be a long-term and arduous task for the quality manager.

Keywords:Medical records;Informationalized;Risk prevention

随着医院医院现代化建设和信息化战略的规划实施,现代信息技术和互联网技术已渗透到医院医院管理活动的全过程,医院管理已由手工保管、重复翻阅纸质文件过渡到医院资源电子化、数字化的信息化管理阶段。

一、医院信息的管理特征

(一)信息技术是医院信息存储的保障

随着临床信息系统的发展,HIS、LIS、PACS等系统逐渐走向成熟,越来越丰富的临床信息以电子化、数字化以及多媒体的形式直接服务于临床医疗活动,这些一方面极大地提高了医疗服务的效率和质量,另一方面使得医院对医院信息数据集成的需要越来越强烈。过去鉴于医院采集技术及存储成本等原因,医院信息收集的范围和层次有限,随着计算机及其相关技术的发展和普及应用,医院电子化、数字化变得容易、可行,超大容量存储设备和数字化转换设备,可将一所医院全部档案信息压缩存放到单张或数张光盘上,借助多媒体技术还可将医院中涉及的实物以真实的多媒体信息存储起来,有等同实物的使用效果。

(二)互联网技术是医院信息传播的平台

档案法不仅提出了大力开发档案信息资源的要求,而且赋予了公众利用信息资源的权利。随着公民利用档案意识和维权意识的增强,对医院的利用需求必然增大,迫切要求打破其管理长期处于封闭的状态。患者不再仅仅要求诊断、处方、配药,而且要求医疗服务全方位开放,提供咨询服务。因此,医院利用的社会化,可以增强医疗机构之间的信息整合,提高卫生监管,全面提高区域医疗卫生的服务水平。为了客观评价医疗机构信息化建设水平,美国HIMSS Analytics提出了一套评价医疗机构实施医院管理水平的模型,这个模型被称为EMR Adoption Model,它可以评价从单一的科室系统到完整的无纸化EMR环境各个信息化建设阶段。该模型中评价等级被分割为8个阶段,其第八阶段为临床信息,可以和其他区域健康网络上的主体通过电子事务共享或者实现电子记录交换。因此,医院利用的社会化将是医院信息化管理的最高目标,要实现必须要以互联网技术做平台。

二、医院信息系统安全与防范

(一)医院信息系统的安全分析

病案是患者享受医疗服务的真实记录,它既是医疗、教学、科研的基础资料和确定医疗报销范围的基本凭证,也是司法部门判决及解决医疗纠纷的重要依据。由于它客观、完整、准确地记录了患者的病情变化、诊疗过程及护理经过,其中有些内容可能涉及患者的隐私,维护患者的隐私权不仅是医疗工作者的义务也是电子医院全面推广的重要保障。所以必须预防非法的信息存取、防止信息在网络传输过程中被截获或窃取。数据加密技术被誉为信息安全的核心,其原理是利用加密算法,将明文转换成为无意义的密文,防止非法用户查看原始数据,从而确保数据的机密性。因此,医院的泄密风险在实际应用中可通过用户认证和信息加密技术加以防范。同时建立医院打印日志,记录每一次医院打印操作。通过打印日志可以对任何一次医院打印操作进行跟踪查询。

(二)医院信息系统的安全防范

病案管理主要依托的是各类功能卓越的医院管理信息系统,而运行异常,数据丢失等又是医院管理信息系统不可避免的运行风险,同时也是计算机系统风险的主要部分。因此,应从计算机安全方面进行风险防范,以保证正常运行。

随着计算机技术和网络技术的发展和医院信息化进程的加快,在医疗卫生系统中,医院的信息化管理将是医院质量管理的重要内容之一,如何规范医院的信息化管理,完善其管理制度和法律规定,解决医院信息化后可能出现的新问题,防止因法律制度跟不上造成管理不到位或法律缺失的风险等,将是质量管理者的一项长期而艰巨的任务。

参考文献:

[1]杨栋,苏小刚.电子病历归档系统研究[J].医疗卫生装备,2009,30(1):44-46

[2]余本功,李娜江,澎基,等.基于第三方的电子病历信息整合平台研究[J].计算机系统应用,2008,5:2-6

[3]武育秦,赵彬主编.医院信息与管理[M].武汉:武汉理工大学出版社.2009

医院信息安全工作总结 篇4

网络与信息系统安全自查工作报告

为进一步加强我院信息系统的安全管理，强化信息安全和保密意识，提高信息安全保障水平，按照省卫生厅《关于印发<2013年黑龙江省卫生行业网络与信息安全商用密码检查工作方案>的通知》文件要求，我院领导高度重视，成立了专项管理组织机构，召开相关科室负责人会议，深入学习和认真贯彻落实文件精神，充分认识到开展网络与信息安全自查工作的重要性和必要性，对自查工作做了详细部署，由主管院长负责安排、协调相关检查部门、监督检查项目，建立健全了医院网络安全保密责任制和有关规章制度，严格落实有关网络信息安全保密方面的各项规定，并针对全院各科室的网络信息安全情况进行了专项检查，现将自查情况汇报如下：

一、医院网络建设基本情况

我院信息管理系统于2013年1月由哈尔滨中联广信科技有限公司对医院信息管理系统（HIS系统）进行升级。目前系统正在升级中，升级后的前台维护由本院技术人员负责，后台维护及以外事故处理由重庆中联信息产业有限责任公司技术人员负责。

二、自查工作情况

1、机房安全检查，机房安全主要包括：消防安全、用电安全、硬件安全、软件维护安全、门窗安全和防雷安全等方面安全。医院HIS服务器机房严格按照机房标准建设，工作人员坚持每天 1 定点巡查。HIS服务器、多口交换机、路由器都有UPS电源保护，可以保证在断电6个小时情况下，设备可以运行正常，不至于因突然断电致设备损坏。

2、局域网络安全检查，主要包括网络结构、密码管理、IP管理、存储介质管理等；HIS系统的操作员，每人有自己的登录名和密码，并分配相应的操作员权限，不得使用其他人的操作账户，账户施行“谁使用、谁管理、谁负责” 的管理制度。院内局域网均施行固定IP地址，由医院统一分配、管理，无法私自添加新IP，未经分配的IP无法连接到院内局域网。我院局域网内所有计算机USB接口施行完全封闭，有效地避免了因外接介质（如U盘、移动硬盘）而引起中毒或泄密的发生。

3、数据库安全管理包括，我院对数据安全性采取以下措施：（1）将数据库中需要保护的部分与其他部分相隔。（2）采用授权规则，如账户、口令和权限控制等访问控制方法。（3）数据库管理系统提供一套方法，可及时发现故障和修复故障，从而防止数据被破坏。数据库系统能尽快恢复数据库系统运行时出现的故障，可能是物理上或是逻辑上的错误。比如对系统的误操作造成的数据错误等；数据库容灾备份是数据库安全管理中极为重要的一部分，是数据库有效、安全运行的最后保障，也是保障数据库信息能够长期保存的有效措施。我院采用的备份类型为完全备份，每天凌晨1点备份整个数据库，包含用户表、系统表、索引、视图和存储过程等所有数据库对象。在备份数据的过程中，主、从服务器正常运行，各客户端的业务能正常进行，采取rman备份，备份文件存储本机，定时将备份文件。（4）数据库账户密码 专人管理、专人维护。（5）数据库用户每6个月必须修改一次密码。（6）服务器采取双机形式进行安全管理，当当前服务器出现问题时，及时切换到另一台服务器，确保客户端业务正常运行。

三、应急处臵

我院HIS系统服务器运行安全、稳定，并配备了大型UPS电源，可以保证在大面积断电情况下，服务器可运行六小时左右。我院的HIS系统刚刚升级上线不久，服务器未发生过长宕机时间，但医院仍然制定了应急处臵预案，并对收费操作员和护士进行过培训，如果医院出现大面积、长时间停电情况，HIS系统无法正常运行，将临时开始手工收费、记账、发药，以确保诊疗活动能够正常、有序地进行，待到HIS系统恢复正常工作时，再补打发票、补记收费项目。

四、存在问题

我院的网络与信息安全工作做的比较认真、仔细，从未发生过重大的安全事故，各系统运转稳定，各项业务能够正常运行。但自查中也发现了不足之处，如目前医院信息技术人员少，信息安全力量有限，信息安全培训不全面，信息安全意识还够，个别科室缺乏维护信息安全的主动性和自觉性；应急演练开展不足。机房配线架路比较凌乱，标签不清晰。个别科室的计算机设备配臵偏低，服务期限偏长。

医院信息安全管理制度 篇5

一、信息系统安全包括：软件安全和硬件网络安全两部分。

二、网络信息办公室人员必须采取有效的方法和技术，防止信息系统数据的丢失、破坏和失密；硬件破坏及失效等灾难性故障。

三、对HIS系统用户的访问模块、访问权限由院长提出后，由网络信息办公室人员给予配置，以后变更必须报批后才能更改，网络信息办公室做好变更日志存档。

四、系统管理人员应熟悉并严格监督数据库使用权限、用户密码使用情况，定期更换用户口令或密码。网络管理员、系统管理员、操作员调离岗位后一小时内由网络信息办公室人员监督检查更换新的密码。

五、网络信息办公室人员要主动对网络系统实行监控、查询，及时对故障进行有效隔离、排除和恢复工作，以防灾难性网络风暴发生。

六、网络系统所有设备的配置、安装、调试必须由网络信息办公室人负责，其他人员不得随意拆卸和移动。

七、上网操作人员必须严格遵守计算机及其他相关设备的操作规程，禁止其他人员进行与系统操作无关的工作。

八、严禁自行安装软件，特别是游戏软件，禁止在工作用电脑上打游戏。

九、所有进入网络的光盘、Ｕ 盘等其他存贮介质，必须经过网络信息办公室负责人同意并查毒，未经查毒的存贮介质绝对禁止上网使用，对造成“病毒”蔓延的有关人员，将对照《计算机信息系统处罚条例》进行相应的经济和行政处罚。

十、在医院还没有有效解决网络安全（未安装防火墙、高端杀毒软件、入侵检测系统和堡垒主机）的情况下，内外网独立运行，所有终端内外网不能混接，严禁外网用户通过Ｕ 盘等存贮介质拷贝文件到内网终端。

十一、内网用户所有文件传递，不得利用光盘和Ｕ 盘等存贮介质进行拷贝。

十二、保持计算机硬件网络设备清洁卫生，做好防尘、防水、防静电、防磁、防辐射、防鼠等安全工作。

十三、网络信息办公室人员有权监督和制止一切违反安全管理的行为。

信息系统故障应急预案

一、对网络故障的判断

当网络系统终端发现计算机访问数据库速度迟缓、不能进入相应程序、不能保存数据、不能访问网络、应用程序非连续性工作时，要立即向网络信息办公室汇报，网络信息办公室工作人员对科室提出的上述问题必须重视，经核实后给予科室反馈信息。网络信息办公室负责人应召集有关人员及时进行讨论，如果故障原因明确，可以立刻恢复工作的，应立即恢复工作；如故障原因不明确、情况严重不能在短期内排除的，应立即报告院领导，在网络不能运转的情况下由机关协调全院工作以保障医疗工作的正常运转。网络故障分为三类：

一类故障：服务器不能工作；光纤损坏；主服务器数据丢失；备份盘损坏；服务器工作不稳定；局部网络不通；数据被人删改；重点终端故障；规律性的整体、局部软、硬件故障。

二类故障：单一终端软、硬件故障；单一患者信息丢失；偶然性的数据处理错误；某些科室违反工作流程要求。

三类故障：各终端由于不熟练或使用不当造成的错误。针对上述故障分类等级，处理方案如下：

一类故障———由网络信息办公室主任上报院领导，并组织协调恢复工作。二类故障———由网络管理员汇总问题，并集中解决。三类故障———由网络管理员单独解决，并详细登记情况。

二、网络整体故障的首要工作

（一）当网络管理员一旦确定为网络整体故障，首先是立即向院领导汇报。马上组织恢复工作，并充分考虑到特殊情况如节假日、病员量大、人员外出及医院的重大活动对故障恢复带来的时间影响。

（二）当发现网络整体故障时，根据故障恢复时间的程度将转入手工工作的时限明确如下：

１小时内不能恢复———原则上将医师工作站、护士工作站、药房、急诊检查、入院、手术室、医技检查转入手工操作（具体实行时间及步骤由网络信息办公室通知）。

三、具体协调工作

（一）所有手工工作的统一时间须由网络信息办公室通知，相关单位严格按照通知时间协调工作，在未接到新的指示前不准私自操作计算机。

（二）门诊挂号工作协调

１、门诊挂号协调工作由门诊部护士长负责协调请示，如手工挂号的转入、转出时间等；

２、当网络系统中断时，改为手工挂号；

３、网络恢复后，及时将中断期间的患者信息输入到计算机；

４、在以后的工作中如发现某位患者的信息系统内没有记载，应详细询问患者以前是否是在网络故障时就诊过。

（三）门诊收费系统工作协调

１、由收款处科主任负责总体协调，并与网络信息办公室保持联系，及时反馈沟通最新消息；

２、当网络系统运行中断超过１０分钟时，应通知收款处转入手工收款工作； ３、门诊收款负责同志应建立手工发票使用登记本，对发票使用情况做详细登记；

４、当系统恢复正常时，由收款处负责同志负责对网络运行稳定性进行监测，如不稳定，及时向网络信息办公室反映情况。

５、在接到使用计算机的指令并重新启动运行后，门诊收款负责人应组织收款员逐步转入到机器操作。

（四）住院费用核算系统工作协调 １、由住院处科主任总体负责协调工作；

２、当系统停止运行超过２天时，对普通出院患者，推迟出院结算时间；对急出院的患者应根据病历和临床科室护士工作站记录，进行手工核算出院。３、在网络停止运行期间，出院患者急需结算时，应由该科护士工作站追查是否还有正在进行的检查，向结算室提供详细费用情况后，方可送交核算。

（五）临床工作系统协调

１、临床科工作由医务部、护理部共同协调；

２、网络故障期间临床科室详细记录患者的所有费用执行情况；

３、科室详细填写每个患者的药品请领单（包括姓名、ＩＤ 号、费别、药品名称及用量），一式两份，一份用于科室补录医嘱，另一份送西药房；

４、出院带药由经管医师负责掌握经费情况，如出现费用超支情况由该医师负责；

５、根据医务部通知恢复运行时间，按要求补录医嘱。

６、如患者急需出院，应向核算室提供详细费用情况，对正在进行的检查应予以说明。

（六）医技检查工作协调

１、在网络停运期间应详细留取、整理检查申请单底联； ２、网络恢复后根据检查单底联登记，通过手工记价补录患者费用；

３、对出院快或有出院倾向的患者各科在申请单上注明，检查科室应及时通知科室或出院处沟通费用情况。

（七）药房工作协调

１、中心摆药应严格按照网络信息办公室规定的时间及要求进行计算机操作； ２、网络故障时，根据临床科室提供的药品请领单发药；

３、网络恢复时对临床科室补录的摆药医嘱进行发药补充确认，同时与发药时药品请领单内容详细核对，如发现内容不符，必须详细追查； ４、数据补录工作结束后应查看系统内库存与实际库存相符情况。

各信息点接到重新运行通知时，需重新启动计算机，整体网络故障的工程恢复工作，由网络信息办公室严格按照服务器数据管理要求进行恢复工作。

四、网络修复后的数据处理

（一）由各科组织核校患者费用情况；

（二）药房校查库存；

（三）临床科室补录患者医嘱。

医院信息安全工作总结 篇6

通过对医院信息系统的“业务层面、技术层面、管理层面”的安全需求分析，安恒信息提出内/外并重的安全解决方案(参见示意图)，即：在现有的安全保障措施下，在互联网接入区增设WEB应用防火墙，防止来自医院外部的信息窃取;在不影响HIS系统、PACS系统、EMR系统等应用系统的前提下，在核心业务服务区增设数据库审计设备，通过对网络中的海量、无序的数据进行处理、关联分析，实时监控内部人员的越权、违规操作，防止患者信息、医院经营/财务/科研等敏感数据的外泄，构筑八大安全防线，保护院方的核心利益。

防非法“统方”

医药购销领域商业贿赂给临床医生带来很大负面影响，非法“统方”是医药代表事实定量贿赂的主要依据，医院信息科、药剂科、开发商是提供“统方”的重要来源。应用数据库操作监控审计设备，对于来自HIS系统、EMR系统等业务系统的所有数据库操作行为保留操作痕迹，以便在追究法律责任或医疗纠纷时可提供回溯性认定;对于来自维护人员的远程数据库操作进行实时监控，实时阻断正在发生的非法“统方”违纪、违法行为，使工作人员从技术上远离“统方”禁区。

防恶意篡改

医院信息系统全面记录了患者的医疗活动，包括医嘱、病程记录、各种检查检验申请与结果、手术记录、影像、护理信息、费用信息等，信息的真实性、可靠性、保密性颇受关注。然而为满足提高医疗活动效率和质量的需求，不仅医疗机构内部多个业务系统之间存在信息的流转，同时也不可或缺的需要开放一些对外的接口，比如：医院的门户网站、患者服务平台、医疗保险接口、远程医疗咨询系统接口等，使得信息系统的安全风险剧增。部署WEB应用防火墙，可以实时检测异常入侵，有效识别、阻止各类应用层黑客攻击，阻断各类利用技术漏洞未授权修改综合业务、临床业务系统数据的行为，保障信息的真实性。

防隐私泄密

包括病历信息在内的海量级数据信息的保密关系到医院的信誉。患者信息如：亲属信息、社会保障信息、既往病史、医嘱、检验申请单及检验结果等均属于绝对的个人隐私，对这些敏感信息的阅读、复制、打印均需要设置相应的权限，并记录使用记录。WEB应用防火墙的部署，可以抵御外部利用技术漏洞的数据盗用、窃取、篡改行为，数据库审计设备的部署，可以从技术上监督医疗机构管理制度的落实情况，阻止患者信息、诊疗信息、费用信息的外泄。

防越权操作

为有效遏制“统方”行为，各医疗机构纷纷采取“角色分离、最小授权”的安全管理制度，对系统管理员、数据库DBA、安全管理员分别给予不同的操作权限。数据库审计设备的应用，不仅能够重点监控未通过业务系统(HIS、PACS等)进行的数据库操作(比如：误操作数据的纠正、应用程序BUG引起的数据调整)，同时可以依据细粒度的审计规则(如：HIS系统中的价格数据维护，仅允许物价办公室专岗人员进行)，发现越权操作行为并及时告警。

防权限滥用

安全不仅是技术问题，更多的是管理问题，人的因素才是关键。利益的驱使、法律意识的淡薄，导致部分人员利用职务之便，铤而走险，监守自盗，为自己及他人谋利益。数据库审计设备的部署，一方面给这些不法之徒树立了警示碑，另一方面从技术上对违规操作加大了监管力度，一旦发现疑似违规操作自动告警，为及时制止违法、违规行为赢得了时间

防事后抵赖

一旦发生安全事件，攻击者或内部人员往往否认自己的操作行为。职权分离的数据库审计设备的部署，不仅满足了信息系统安全等级保护及企业内控的规范要求，同时，友好真实的操作回放功能使得攻击行为、违纪行为暴露无遗，为公安机关查处违法案件提供有力的证据。

防保险欺诈

病历信息(如：法定医学证明及报告、收费收据等)在医疗事故、交通事故、社会医疗保险、伤残鉴定、遗产继承等案件诉讼中的法律作用日趋重要，这些信息若被不法分子利用，可能造成保险诈骗。通过敏感表的细粒度访问控制规则及远程操作的监控，识别未授权操作，并实时短信告警或阻断操作。

防医疗纠纷

医院信息系统安全策略研究 篇7

1 医院信息系统的安全访问的相关策略

医院信息管理系统的特点主要是包括两个方面:第一是人员的分散性, 第二便是资源的共享性。这也就是说, 在医院的信息管理系统中, 医生、护士、医疗技术人员、行政管理人员乃至后勤管理人员等均属于这一系统中的比较分散的操作用户, 所以这一系统的人员构成比较复杂, 除此之外, 用户的工作职责也不尽相同。在这种情况下, 要注意结合用户的工作性质和工作职责为其分配用户名以及密码, 并为其设置相应的操作权限。在这一模式下, 不同的用户登录后, 只可在自己被授予的权限内访问相应的数据资源并执行相应的操作, 这有助于减少甚至避免用户非法进入情况, 能够有效地保障系统的安全性。需要注意的是, 在医院信息管理系统中, 系统管理员能够访问所有的资源, 这就要求严格限制系统管理员的账号数量, 同时要注意设置比较复杂的密码, 以提高密码的安全等级, 与此同时, 要定期更换账户密码, 以增强信息系统的安全性, 防止数据信息的泄露, 也能够有效地避免数据信息被他人恶意篡改[1]。

2 医院信息系统的数据的备份以及恢复的策略

2.1 系统的备份与恢复策略

在实际应用过程中, 医院信息管理系统可以正常运行的一个重要的前提条件就是系统的绝对安全, 但是由于受到软硬件质量、人为操作等因素的影响, 医院的信息系统也会存在系统崩溃等安全事故, 这就对数据信息的安全性和准确性造成了一定的威胁。所以要做好系统的备份以及恢复工作。在日常工作中, 我们多是使用一键GHOST进行备份与恢复工作, 在对计算机系统进行安装时, 要注意将硬盘分为若干区域, 将所安装的操作系统集中于一个区域内, 然后借助于GHOST软件对一份映射文件进行复制并将其放到另一个分区中, 这样做的目的在于:当系统出现故障或者安全问题时, 能够迅速地借助于一键GHOST软件恢复数据信息[2]。

2.2 后台数据的备份与恢复

在计算机系统中, 后台的数据库的功能包括计划任务和启动任务, 设定定时的方法有助于定期操作, 可以方便地对日志进行备份和恢复, 这有助于防止数据的丢失。与此同时, 数据库也有还原的特殊作用, 能够及时、迅速地恢复数据库中的数据信息, 在医院信息系统的安全管理中, 要注意充分地发挥数据库的重要作用, 增强数据信息储存的安全性。

3 防治病毒的策略

计算机病毒是伴随着计算机技术的日益发展而产生的, 常常会威胁系统的整体安全。这也就是说, 要注意健全病毒的防治体制, 及时地建立健全相关的规章制度, 具体要做好以下几个方面的工作。 (1) 及时地备份数据服务器, 尤其是要备份重要的数据, 以确保系统数据的完整性, 确保日常工作在系统瘫痪后也能够及时地获得正确的数据信息。 (2) 要注意选用正版的电脑软件, 下载软件时要选用官方网站, 不随便下载插件, 并要定期更新, 增强医院信息系统的自我防护能力。 (3) 充分发挥GHOST软件的功能, 在安装电脑软件时要为每一台电脑安装这一软件, 并教会用户争取的使用方法, 以便于对数据信息进行备份、恢复和还原[3]。 (4) 增强系统内用户的计算机知识, 使其可以准确地辨别计算机病毒, 自此基础上, 也要增强其病毒防范意识, 为其深入地介绍计算机病毒盗取数据信息、损害信息系统的严重影响, 同时告知用户若发现计算机病毒, 需要及时地使用杀毒软件进行杀毒, 也可以汇报给网络管理部门。 (5) 选用正版的杀毒软件, 同时也要及时地升级或者更新, 以便于及时地发现并杀灭计算机病毒, 维护数据安全。 (6及时地安装防火墙, 以有效地防御外部恶意程序的入侵。 (7) 及时地完善相关的规章制度, 以规范计算机的使用, 要落实责任到人制度, 明确每一个用户的责任, 若信息系统出现故障或者安全事故, 要及时地追究相关用户的责任, 如果情节特别严重, 则要依法追究其法律责任。 (8) 加强对优盘、硬盘等外部存储连接设备的管理, 在连接使用前, 需要首先进行全面的杀毒工作, 避免将携带的病毒复制到计算机上。 (9) 谨慎使用内网和外网, 要注意结合各个科室的实际工作需要配备内外网, 若科室只需要使用外网, 那么就要尽量避免连接内网[4]。

4 结语

伴随着信息技术的广泛普及的便是医院的信息化, 而在此过程中, 一个十分重要的组成部分便是医院信息管理系统, 这一系统设计到医院日常工作的方方面面, 与医院的经济利益和社会利益密切相关。鉴于此, 有关医院信息管理系统的安全问题也应当引起广大医务工作者的密切关注。在医院信息管理系统中, 每一个用户对于医院信息系统的有序、安全运行都有着不可推卸的责任。鉴于此, 在医院信息管理系统的管理过程中, 医院要定期对全部用户进行培训, 培训的重点内容就是安全知识, 其目的在于有效地增强每一个用户的安全防范意识, 并要注意教会其应对紧急事件时的处理能力。与此同时, 医院也要注意建立健全相关的安全管理规章制度, 以为医院信息管理系统的安全运行提供坚实的制度保障。

参考文献

[1]于京杰, 刘方斌, 马锡坤, 等.数字化医院信息系统的安全问题[J].中国医疗设备, 2013, 28 (6) :88-90.

[2]张云, 王胤涛.医院信息系统安全等保实践——信息系统安全策略[J].网络安全技术与应用, 2013 (4) :26-28.

[3]黄碧香.医院信息系统的安全策略体系[J].企业科技与发展, 2013 (24) :43-44.

医院信息系统内网安全技术研究 篇8

关键词：医院信息系统；HIS安全体系；内网

引论

医院信息系统(HospitaI Information Svstem，HIS)是利用计算机网络和通信设备，为医院各部门提供病人诊疗信息和行政管理信息的收集、存储、处理、提取和交换能力，并满足授权用户功能需求的管理信息系统。医院是信息流高度密集的单位；医院的组织管理结构非常严谨。对其中任何一部分业务流程的改变，都可能引起连锁反应，牵一发而动全身；不同体制的医院的管理模式也有很大不同。因此，HIS是当今世界企业级信息系统中处理逻辑最为复杂的一类。

广义的HIS的网络拓扑一般分为内网(医保系统)、专网(行政系统)和外网(医院网站)三个部分，形成了内网核心数据层、内网办公业务层、外网公众服务层和网间信息交换层四个相对独立的网络安全管理域，信息安全与管理的技术手段相当复杂。

以作者所在单位上海市普陀区中心医院为例，HIS、RIS、PACS等系统投入运营多年，每天成百上千台计算机同时运行，成为医院提供医疗服务的业务平台。随着医院HIS应用的不断深入，网络安全形势日益严峻。现有的安全技术手段逐渐暴露出局限性，需要从规章制度、技术和管理等层面加强HIS的信息安全保障。

我院信息系统和网络的维护由医院信息科实施。信息科是医院的行政职能科室，下设病案室、计算中心、图书馆三个部门。计算中心现有技术人员10人，拥有软件自主研发能力，学术氛围浓厚。根据医院授权已制订《普陀区中心医院HIS系统管理安全操作规范》、《普陀区中心医院医保前置机管理规范》、《普陀区中心医院应急预案制度》、《中心机房管理制度》等规章制度，建立了定期安全检测、口令管理、人员培训与管理、策略管理、备份管理、日志管理等一系列管理方法和长效机制。

1HIS安全威胁

HIS面临的安全攻击指危及医院信息安全的任何行为。HIS安全机制指设计用于检测、防止或从安全攻击中恢复的一种机制。Hls安全服务指加强医院各部门数据处理和信息传送安全性的一种服务，目标是对抗安全攻击。它们利用一种或多种安全机制来提供该服务。本文的工作在于提出HIS安全体系结构和部署策略，并在网络层面上介绍了HIS安全体系的技术实现。

就安全攻击方法而言，根据信息安全层次分析HIS的安全威胁。可以从机房环境和物理层、网络层、操作系统和数据库层、应用层及管理层五个层面着手。

(1)机房环境和物理层

我院机房分布在住院部、住院二部、门诊楼、急诊楼四处。机房网络设备、硬件设施可能遭受地震、水灾、火灾等自然灾害以及人为操作失误和各种针对计算机的破坏行为。

(2)网络层

作为事实标准的TCP／IP协议并非专为安全通信设计，这一先天不足致使网络通信存在大量安全隐患。协议漏洞造成预攻击探测、窃听、篡改、IP欺骗、重放、拒绝服务攻击(包括同步潮水攻击SYN FLOOD和PING FLOOD)、分布式拒绝服务攻击(DOS)和堆栈溢出等。

网络环境下病毒、蠕虫、木马和流氓软件的传播快速、隐蔽，严重威胁系统安全。病毒的传播破坏文件和系统可用性；木马潜伏在系统内并截获用户输入的密码、键盘动作等重要信息，并将这些信息发送出去。2008年末ARP木马爆发曾导致我院局域网性能显著下降。

(3)操作系统和数据库层

操作系统设计时疏漏或预留的安全漏洞、用户配置不当、多余的系统服务、脆弱的基于口令的身份鉴别机制，都使恶意用户的攻击变得轻而易举。医院医保前置机和数据库服务器采用Windows2000／XP／2003操作系统，健壮性、安全性较差。医院使用的Or-acle数据库系统可以从端口寻址。院内联网的计算机，任何人只要有合适的SQL查询工具，就能和数据库系统直接连接，并能绕开操作系统的安全机制，如果误用就会严重危及数据安全。

(4)应用层

应用层的安全风险有：来自内部和外界对业务系统的非授权访问、由于用户名和口令等身份标志泄漏造成的系统管理权限丧失、用户提交的业务信息被监听或修改、用户对成功提交的事务进行事后抵赖、伪装成系统服务以骗取用户口令、操作不当或外界攻击引起的系统崩溃、网络病毒的传播或其他软硬件原因造成的系统损坏、HIS程序开发遗留的安全漏洞等。

(5)管理层

责权不明、管理混乱、人员管理和安全管理制度不健全及缺乏可操作性都可能引起管理层安全风险。

2HIS安全体系结构

网络安全遵循“木桶原理”，系统的安全强度等于它最薄弱环节的安全强度。据统计，在所有的HIS信息安全事件中。超过70％发生在内网。因此，HIS系统必须建立在一个完备的多层次的网络安全体系之上，消除瓶颈。

完整的HIS安全体系由五部分构成：可信的基础安全设施、安全技术支撑平台、容错与恢复系统、安全管理保障体系和信息安全系统。如图1所示。

3HIS安全体系的部署和安全审计

根据HIS网络安全要求设计的HIS安全模型如图2：

HIS网络安全模型给出了HIS安全体系部署的逻辑框架，部署的过程是一个复杂的系统工程。是整个HIS应用得以实现的前提保证。

HIS安全审计是在医院网络环境下，为了保障网络和数据不受来自外网和内网用户的入侵和破坏，而运用各种技术手段实时监控网络环境中每一个组成部分的系统状态、收集安全事件，以便集中报警、分析、处理。安全审计方案主要有：

(1)日志审计。通过SNMP、SYSLOG、OPSEC或其他日志接口从路由器、交换机、服务器、医保前置机应用系统和网络安全设备中收集日志，进行统一管理、分析和报警；

(2)主机审计。在服务器、医保前置机安装“威盾”客户端，审计安全漏洞、合法或非法操作，监控联网行为；

(3)网络审计。通过旁路和串接的方式捕获网络数据包，进行协议分析和还原。网络审计包括了网络漏洞扫描产品、防火墙和IDS／IPS安全审计、互联网行为监控等类型的产品。

4HIS安全体系的技术实现

(1)内网与外网的物理隔离

内网涉及医保、财务和电子病历信息。必须与外网实现完全的网络隔离和设备隔离。内网与外网的隔离采用物理隔离网闸。物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。这两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在基于协议的

数据包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令，因而从物理上隔离、阻断了具有潜在攻击可能的一切连接。

(2)内网中划分VLAN

虚拟局域网(VLAN)是一种采用交换机将局域网内的主机逻辑地而不是物理地划分为一个个网段。从而实现虚拟工作组的技术。在一个交换网络中，VLAN提供了网段和部门科室的弹性组合机制。医院可根据不同的业务性质将各部门划分成不同的VLAN。

(3)网络边界安装防火墙

防火墙是一类防范措施的总称。它使内网与Internet之间或者内网与其他外部网络之间互相隔离、限制网络互访来保护内部网络。由于防火墙划定了网络边界和服务，因此更适合于相对独立的网络。任何关键性的服务器，都建议放在防火墙之后。

(4)专网用户采用VPN技术访问内网

虚拟专网技术(VPN)目前主要采用IPSec协议，有比较成熟的产品。例如与路由器或防火墙集成的硬件VPN模块，组建方便快捷。内网与卫生局、医保局的涉密信息往来。彼此间应该采用VPN技术相连，以保证通信安全。

(5)入侵监测

防火墙虽然能抵御网络外部安全威胁，但对从网络内部发起的攻击无能为力。实时入侵监测技术动态地监测网络内部活动并做出及时响应：能监控网络的数据流，从中检测出攻击行为并给予相应处理；还能检测到绕过防火墙的攻击。

(6)漏洞扫描

解决网络层安全问题，首先要弄清网络中存在哪些安全隐患和薄弱环节。面对医院大型网络的复杂性，仅仅依靠技术人员的经验是不现实的。解决方案是获取一种能自动探测网络安全漏洞、并提出评估和建议的网络安全扫描工具。

(7)数据库服务器和医保前置机的安全设置

现有的网络设备以及操作系统、数据库系统都有一套自身的安全机制。路由器、交换机应配置好协议和访问控制列表：数据库服务器应关闭无关的系统服务和端口，并采用服务器分片备份网络数据。如门诊部用一台服务器、住院部用一台服务器、影像系统用一台服务器，按时定期做好数据备份。发生系统故障，能尽快回滚事务、恢复系统。

每台医保前置机都安装了“威盾”远程控制软件客户端。USB端口和光驱被自动禁用。通过设定对应账户权限(管理员账户和来宾账户)，控制用户访问特定数据。每个用户(医生、护士、管理人员等)在整个系统中具有唯一的账号。禁止用户对无关文件进行读写，以防非法用户侵入网络。

5小结

医院数据、资料信息安全管理制度 篇9

医院内部的数据、资料信息安全管理尤为重要，涉及全院工作数据、患者隐私、以及院领导班子认为不宜信息公开“公示的信息，应执行信息安全管理制度，规定如下：

1、任何科室和个人未经医院领导批准，不得在公众场合、公共媒体发布医院信息，如需公开信息，应按照《信息公开保密审查制度》填报“信息公开保密审查表”执行。

2、医院各职能部门及业务科室的工作人员，对工作当中了解、掌握的保密信息，负有保密义务并承担保密责任。涉密科室和涉密人员应当遵守相关法律法规，执行单位保密规定。

3、任何个人不得以个人目的，散布、出卖、交换医院涉密信息。

4、关键岗位及关键信息设各应由专人管理，上岗前进行必要的保密培训，保待其人员相对稳定。涉密人员调离原岗位，应当执行院内安全审计，签署保密承诺书。

5、医院信息数据必须按照规定流程进行采菜、存储、处理、传递、使用和销毁、涉密医院信息和数据不得在与公用网络联网的计算机信息系统中存储、处理、传递。涉密信息一律不得在网上发布。

6、涉密计算机、服务器必须设置口令保护，根据密级确定口令长度与更换周期，实行专人专用，严禁以任何方式登录互联网或与互联网物理连接。

7、存储涉密数据的计算机硬盘或其它存储介质不得擅自更换或者报废，确需更换或者报废的，应经院领导批准后，交医院的网络管理部门进行登记、封存、按规定销毁。

医院信息安全工作总结 篇10

集中竞价采购须知

为了公开、公平、公正地集中竞价采购，本着合理、竞争、经济的原则，我院拟对本次采购活动参照招标形式进行集中竞价，相关事项如下：

第一部分

项目要求

一、项目背景

为了提高信息系统的安全保护水平，按照国家法律法规和有关部门相关要求，聘请第三方专业机构，在全面了解临沂市中医院现有信息化现况的基础上，开展信息系统安全等级保护测评工作。通过本次工作，发现信息系统中存在的安全风险，分析信息系统安全现状与相关政策文件、技术标准内容要求的符合性情况，完善工作制度，提出安全建设加固建议。切实加强信息安全防范水平，提高系统抵御风险的能力。

二、项目目标、内容

按照国家等级保护相关标准和要求，对其HIS、电子病历系统（三级）、PACS和网站（二级）安全等级保护测评工作，找出系统现状与相关标准要求之间的差距，遵循适度原则，提出切实可行的整改建议，完成等级保护测评报告，并提供后续检测服务。

三、项目实施参照法律法规及标准  《网络安全法》

 公安部、国家保密局、国际密码管理局、国务院信息化工作办公室联合转发的《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）；  公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定的《信息安全等级保护管理办法》（公通字 [2007]43号）。

 《信息安全技术 信息系统安全等级保护基本要求》（GB/T22239-2008）

 《信息安全技术 信息系统安全等级保护定级指南》（GB/T 22240-2008） 《信息安全技术

信息系统安全等级保护实施指南》  《信息安全技术

信息系统安全等级保护测评要求》  《信息安全技术

信息系统安全等级保护测评过程指南》  《计算机信息系统安全保护等级划分准则》（GB 17859-1999） 《信息安全技术 信息系统通用安全技术要求》（GB/T20271-2006） 《信息安全技术 网络基础安全技术要求》（GB/T 20270-2006）

 《信息安全技术 操作系统安全技术要求》（GB/T 20272-2006） 《信息安全技术 数据库管理系统安全技术要求》（GB/T20273-2006） 《信息安全技术 服务器技术要求》（GB/T 21028-2007）

 《信息安全技术 终端计算机系统安全等级技术要求》（GA/T 671-2006） 《信息安全技术 信息系统安全管理要求》（GB/T20269-2006） 《信息安全技术 信息系统安全工程管理要求》（GB/T20282-2006） GB/T 18336-2001 信息技术 安全技术 信息技术 安全性评估准则

四、项目内容

1.等级测评

通过详细的系统调研，开展对其HIS、LIS系统（三级）、PACS和网站（二级）的等级保护测评工作，找出安全现状与标准要求之间的差距，并遵循适度安全的原则，协助制定安全整改建设方案，指导整改工作。最终完成等级保护测评报告。

测评的内容包括但不限于以下内容：

 安全技术测评：包括物理安全、网络安全、主机系统安全、应用安全和数据安全等五个方面的安全测评；

 安全管理测评：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全测评。

（1）、物理安全

根据临沂市中医院信息系统机房和现场安全测评记录，针对机房和现场在“物理位置选择”、“物理访问控制”、“防盗窃和防破坏”、“防雷击”、“防火”、“防水和防潮”、“防静电”、“温湿度控制”、“电力供应”和“电磁防护”等物理安全方面所采取的措施进行，判断出与其相对应的各测评项的测评结果。中标人出具加盖CNAS章的机房检测报告。（2）、网络安全

根据临沂市中医院信息系统网络安全测评记录，针对网络方面在“结构安全”、“访问控制”、“安全审计”、“边界完整性检查”、“入侵防范”、“恶意代码防范”、“网络设备防护”等网络安全方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。

（3）、主机安全

主机安全现场测评包括对临沂市中医院信息系统服务器的测评，测评内容包括“身份鉴别”、“访问控制”、“安全审计”、“剩余信息保护”、“入侵防护”、“恶意代码防护”、“资源控制”。（4）、应用安全

应用安全现场测评包括对临沂市中医院信息系统的测评，测评内容包括“身份鉴

别”、“访问控制”、“安全审计”、“剩余信息保护”、“通信完整性”、“通信保密性”、“抗抵赖”、“软件容错”、“资源控制”方面。（5）、数据安全及备份恢复

临沂市中医院信息系统数据安全及备份恢复现场测评包括“数据完整性”、“数据保密性”、“备份和恢复”几个方面的测评。（6）、安全管理制度

根据现场安全测评记录，针对临沂市中医院信息系统在安全管理制度方面的“管理制度”、“制定和发布”以及“评审和修订”等测评指标，判断出与其相对应的各测评项的测评结果。（7）、安全管理机构

根据现场安全测评记录，针对临沂市中医院信息系统在安全管理机构方面的“岗位设置”、“人员配备”、“授权和审批”、“沟通和合作”以及“审核和检查”等测评指标，判断出与其相对应的各测评项的测评结果。（8）、人员安全管理

根据现场安全测评记录，针对临沂市中医院信息系统在人员安全管理方面的“人员录用”、“人员离岗”、“人员考核”、“安全意识教育和培训”以及“外部人员访问管理”等测评指标，判断出与其相对应的各测评项的测评结果。（9）、系统建设管理

根据现场安全测评记录，针对临沂市中医院信息系统在系统建设管理方面的“系统定级”、“安全方案设计”、“产品采购和使用”、“自行软件开发”、“外包软件开发”、“工程实施”、“测试验收”、“系统交付”、“系统备案”、“等级测评”以及“安全服务商选择”等测评指标，判断出与其相对应的各测评项的测评结果。（10）、系统运维管理

根据现场安全测评记录，针对临沂市中医院信息系统在系统运维管理方面的“环境管理”、“资产管理”、“介质管理”、“设备管理”、“网络安全管理”、“系统安全管理”、“恶意代码防范管理”、“密码管理”、“变更管理”、“备份与恢复管理”、“安全事件处置”以及“应急预案管理”等测评指标，判断出与其相对应的各测评项的测评结果。

通过现场测评，逐项找出系统现状与国家相关标准要求之间的差距，进行逐项待整改完毕后，进行结果确认，完成信息安全等级保护测评，出具测评报告，2.安全管理体系咨询

协助建立符合等级保护要求的信息安全管理体系，包含信息安全方针、信息安全策略、运行管理制度和运维管理制度。并参照国际标准体系ISO 27001和ISO 分析、整体分析，给出差距分析报告，并给出整改建议方案。并将测评报告报当地公安机关备案。

20000制定相应流程，促进临沂市中医院信息安全管理工作。

3.安全监测

提供门户网站7*24小时网站安全监测，对网站页面挂马、篡改等事件实时监测，发现问题及时通报相关人员，并安排人员及时处理。

4.应急支援

服务期内提供不限次数的应急支援服务，针对发生的事件协助分析事件原因，查找问题，并提供安全加固建议。

5.安全培训

组织技术培训，对临沂市中医院的技术人员进行等级保护、安全技术和项目部署要求等内容培训。技术培训应从实际应用出发，涵盖网络安全的如下方面： 基础设施运行安全培训、网络安全纵深防御体系培训、操作系统安全加固技术培训、应用系统渗透测试检测与加固培训、数据库安全管理培训、27001安全管理体系培训等。

6.信息安全风险评估

按照GB-T20984-2007信息安全风险评估规范标准和要求，对信息系统进行风险评估，明确信息系统安全风险，提出合理的、满足等级保护要求的总体建设和管理规划，并制定安全实施计划，以指导后续的信息系统安全建设工程实施。

五、成果交付

该项目提交的文档至少包括如下文件：

1、《临沂市中医院XX信息系统安全等级保护测评方案》

2、《临沂市中医院XX系统信息安全等级保护测评报告》

3、《临沂市中医院XX信息安全管理制度汇编》

4、《信息安全风险评估报告》

5、《信息安全整改方案》

第二部分

投标方资质要求

1、《企业法人营业执照》副本复印件（盖章）。

2、法定代表人身份证明书或法人授权委托书、身份证复印件。

3、投标公司具有信息系统安全等级保护测评的国家相关资质，有专业技术检测项目组，其中有高级测评师及中级测评师，参与技术检测的人员均为中国公民，无违法犯罪记录并签订安全保密协议。

4、同类项目近几年的业绩情况及客户名单。

第三部分标书、报价方式

1、标书分正本1份，副本2份，并在标书标书袋上标明“正本”、“副本”字样。均固定装订成一册，不能活页装订或散装，盖单位公章和法定代表人印签后递交医院招标办。

第四部分报送时间、地点

标书报送时间截止2018年1月30日16时。（每日8：00～17：00，周六、周日除外）