中国医院协会信息专业委员会：2019年医院信息安全调查报告（27页）.pdf

1、 医院信息安全调查报告医院信息安全调查报告 中国医院协会信息中国医院协会信息专业专业委员会委员会 20192019 年年 3 3 月月 版权所有版权所有 中国医院协会中国医院协会 1/26 目录 一、调查背景.2 二、调查基本情况.3（一）调查工作依据.3（二）调查对象.4（三）调查方式.5（四）调查内容.5（五）调查分布.6 三、调查结果.6（一）近三年医院信息化重点建设内容.6（二）等级保护工作开展情况.7（三）操作系统级安全措施.9（四）应用系统级安全措施.10（五）数据安全措施.10（六）网络安全防范措施.11（七）渗透测试工作开展情况.12（八）信息安全工作重点.13（九）信息安全产

2、品采购计划情况.14（十）信息产品采购选型决策情况.15（十一）医院信息化近三年预期投入情况.16（十二）2018 年建设医疗信息安全投入额度.17（十三）信息安全合作厂商选择条件因素.18（十四）信息安全产品厂商能力需求情况.19（十五）信息安全培训情况.19（十六）网络安全应急演练情况.20 四、现存问题分析.21（一）不同医院网络安全等级保护工作推进差异较大.21（二）网络安全专职人员偏少，需加强培训.22（三）网络安全投入有待增加.23（四）对网络安全和数据安全重视程度需要普及.23 五、相关政策建议.23（一）有效化解医院网络信息安全主要矛盾.24（二）医院网络信息安全投入亟待增加；

3、.24（三）医院网络信息安全人才亟待培养.24（四）医院网络信息安全管理能力亟待提升.25（五）医院网络信息安全测评意识亟待加强.25 2/26 一、调查调查背景背景 当前，伴随信息技术的飞速发展，信息化和网络化建设已经成为我国社会经济活动的基础保障，面对日益增加的安全风险，网络安全建设工作上升为国家战略高度。在医疗健康领域，随着医院信息化的普及和深入，信息系统成为医院运营核心技术支撑，特别是深化医药卫生体制改革以来，医院业务从院内走向院外，从封闭走向开放，医院信息系统面临着前所未有的新风险。在医院业务持续性方面，医院信息系统面临的病毒、木马、网络泄露等安全威胁风险越来越高，网络信息安全责任重

4、大。在医疗数据安全方面，患者信息隐私保护以及数据完整性安全建设亟需得到加强。医疗行业的数据安全形势日趋严峻。国家行业管理部门高度重视医疗机构网络和信息安全工作，2011 年，国家卫生健康委员会（原国家卫生部）印发了卫生行业信息安全等级保护工作的指导意见，要求医疗卫生机构依据国家信息安全等级保护制度，遵循相关标准规范，进行信息安全等级保护定级备案、建设整改和等级测评等工作。2014年，国家卫生健康委员会（原国家卫生计生委）发布人口健康信息管理办法（试行），对人口健康信息安全和隐私保护工作提出要求。2017 年 6 月 1 日开始实施的中华人民共和国网络安全法，明确将国家网络安全等级保护制度上升为

5、法律要求。2018 年 6 月，公安部发布网络安全等级保护条例（征求意见稿），将网络安全等级保护扩展到云计算、大数据、物 3/26 联网、移动互联网以及公共新领域，推动网络安全等级保护进入“2.0”时代。作为国家卫生健康行业信息化建设的重要保障和重要组成部分，医疗行业网络信息安全工作迈入了新的发展阶段。为了掌握我国医院信息安全建设现状，评估信息安全工作水平，发现信息安全薄弱环节，为医院制定信息安全建设规划提供帮助，中国医院协会信息专业委员会(原信息管理专业委员会，以下简称 CHIMA)2018 年底开始对我国部分医院信息安全建设情况进行了调查，通过数据清理和汇总分析，编写了CHIMA 2019

6、 医院信息安全调查报告，供医疗行业管理部门、医疗机构和信息安全厂商提供决策依据。本次调查没有采用随机分层抽样的方法，数据由各医院自愿参加填写。限于 CHIMA 的资源与经验，本次调查报告存在着许多不足、缺陷，希望得到业内同行与广大读者的批评指正。二、调查基本情况调查基本情况 （一）（一）调查工作依据调查工作依据 此次调查工作参考依据如下：中华人民共和国网络安全法 国家网络空间安全战略 网络安全等级保护条例（意见征求稿）4/26 信息安全技术 网络安全保护等级定级指南（GA/T 13892017）信息安全技术 网络安全等级保护基本要求（送审稿）个人信息保护法（专家意见稿）信息安全技术个人信息安全