医院落实国家信息安全等级保护制度的具体措施.pdf

医院落实国家信息安全等级保

护制度的具体措施

**医院落实国家信息安全等级保护制度的具体措施

一、信息安全等级保护

信息安全等级保护是对信息和信息载体按照重要性等级分级别

进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安

全领域的工作。在中国，信息安全等级保护广义上为涉及到该工作的

标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上

称为的一般指信息系统安全等级保护，是指对国家安全、法人和其他

组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的

信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实

行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置

的综合性工作。

二、工作目标

信息系统运营使用单位在做好信息系统安全等级保护定级备案

工作基础上，按照国家有关规定和标准规范要求，开展信息安全等级

保护安全建设整改工作。通过落实安全责任制，开展管理制度建设、

技术措施建设，落实等级保护制度的各项要求，使信息系统安全管理

水平明显提高，安全保护能力明显增强，安全隐患和安全事故明显减

少，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益。

三、工作内容

信息系统运营使用单位在开展信息安全等级保护安全建设整改

工作中，应按照国家有关规定和标准规范要求，坚持管理和技术并重

2

3

4

发现、报警、记录入侵行为的能力；具有对安全事件进行快速响

应处置，并能够追踪安全责任的能力；在系统遭到损害后，具有能够

较快恢复正常运行状态的能力；对于服务保障性要求高的系统，应能

立即恢复正常运行状态；具有对系统资源、用户、安全机制等进行集

中控管的能力。

第五级安全保护能力：（略）。

六、实施原则

信息系统安全等级保护实施过程中，遵循以下四条基本原则：

自主保护原则：信息系统运营、使用单位及其主管部门按照国家相关

法规和标准，自主确定信息系统的安全保护等级，自行组织实施安全

保护。

重点保护原则：根据信息系统的重要程度、业务特点，通过划分不同

安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先

保护涉及核心业务或关键信息资产的信息系统。

同步建设原则：信息系统在新建、改建、扩建时应当同步规划和设计

安全方案，投入一定比例的资金建设信息安全设施，保障信息安全与

信息化建设相适应。

动态调整原则：要跟踪信息系统的变化情况，调整安全保护措施。由

于信息系统的应用类型、范围等条件的变化及其他原因，安全保护等

级需要变更的，应当根据等级保护的管理规范和技术标准的要求，重

新确定信息系统的安全保护等级，根据信息系统安全保护等级的调整

5

情况，重新实施安全保护。

七、信息安全等级保护计划

依据我院信息等级保护现状制定以下原则、计划

1、原则：遵循重点保护原则，准备对我院重点信息系统进

行保护，系统有：HIS系统、电子病历系统、PACS系

统、LIS系统。其他信息系统于以上系统在物理安全、

网络安全、制度安全同样适用，因此采用自主保护原则

实行保护。

2、计划：计划用三年左右的时间对我院信息系统，按照等

级保护目标、内容、二级甲等医院信息等级保护要求、

实施原则，实施信息安全等级保护制度。2014年年末首

先对HIS系统进行信息等级保护评测，2015年安排对电

子病历系统进行评测，2016年安排对PACS系统、LIS

系统进行评测。

八、信息安全等级保护工作实施措施

（一）、加强领导

设立以分管院长为核心的信息安全