三部门联合印发《医疗卫生机构网络安全管理办法》(附全文)
- 作者:
- 来源:国家卫健委
- 发布时间:2022-09-08 12:15
三部门联合印发《医疗卫生机构网络安全管理办法》(附全文)
【概要描述】为指导医疗卫生机构加强网络安全管理,国家卫生健康委、国家中医药局、国家疾控局制定了《医疗卫生机构网络安全管理办法》。
- 作者:
- 来源:国家卫健委
- 发布时间:2022-09-08 12:15
国卫规划发〔2022〕29号
为指导医疗卫生机构加强网络安全管理,国家卫生健康委、国家中医药局、国家疾控局制定了《医疗卫生机构网络安全管理办法》。现印发给你们,请认真贯彻执行。
国家卫生健康委
国家中医药局
国家疾控局
2022年8月8日
第二条 坚持网络安全为人民、网络安全靠人民、坚持网络安全教育、技术、产业融合发展、坚持促进发展和依法管理相统一、坚持安全可控和开放创新并重。
坚持分等级保护、突出重点。重点保障关键信息基础设施、网络安全等级保护第三级(以下简称第三级)及以上网络以及重要数据和个人信息安全。坚持积极防御、综合防护。充分利用人工智能、大数据分析等技术,强化安全监测、态势感知、通报预警和应急处置等重点工作,落实网络安全保护“实战化、体系化、常态化”和“动态防御、主动防御、纵深防御、精准防护、整体防控、联防联控”的“三化六防”措施。
坚持“管业务就要管安全”“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则,落实网络安全责任制,明确各方责任。
第三条 本办法所称的网络是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。
本办法所称的数据为网络数据,是指医疗卫生机构通过网络收集、存储、传输、处理和产生的各种电子数据,包括但不限于各类临床、科研、管理等业务数据、医疗设备产生的数据、个人信息以及数据衍生物。
本办法适用于医疗卫生机构运营网络的安全管理。未纳入区域基层卫生信息系统的基层医疗卫生机构参照执行。
第四条 国家卫生健康委、国家中医药局、国家疾控局负责统筹规划、指导、评估、监督医疗卫生机构网络安全工作。县级以上地方卫生健康行政部门(含中医药和疾控部门,下同)负责本行政区域内医疗卫生机构网络安全指导监督工作。
医疗卫生机构对本单位网络安全管理负主体责任,各医疗卫生机构应当与信息化建设参与单位及相关医疗设备生产经营企业书面约定各方的网络安全义务和违约责任。
第二章 网络安全管理
第六条 各医疗卫生机构按照“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则,在网络建设过程中明确本单位各网络的主管部门、运营部门、信息化部门、使用部门等管理职责,对本单位运营范围内的网络进行等级保护定级、备案、测评、安全建设整改等工作。
第七条 各医疗卫生机构应依托国家网络安全信息通报机制,加强本单位网络安全通报预警力量建设。鼓励三级医院探索态势感知平台建设,及时收集、汇总、分析各方网络安全信息,加强威胁情报工作,组织开展网络安全威胁分析和态势研判,及时通报预警和处置,防止网络被破坏、数据外泄等事件。
第八条 各医疗卫生机构应建立应急处置机制,通过建立完善应急预案、组织应急演练等方式,有效处理网络中断、网络攻击、数据泄露等安全事件,提高应对网络安全事件能力。积极参加网络安全攻防演练,提升保护和对抗能力。
第九条 各医疗卫生机构在网络运营过程中,应每年开展文档核验、漏洞扫描、渗透测试等多种形式的安全自查,及时发现可能存在的问题和隐患。针对安全自查、监测预警、安全通报等过程中发现的安全隐患应认真开展整改加固,防止网络带病运行,并按要求将安全自查整改情况报上级卫生健康行政部门。自查整改可与等级测评问题整改一并实施。
每年安全自查整改工作包括:
第十条 关键信息基础设施运营者应对安全管理机构负责人和关键岗位人员进行安全背景审查。各医疗卫生机构要加强网络运营相关人员管理,包括本单位内部人员及第三方人员,明确内部人员入职、培训、考核、离岗全流程安全管理,针对第三方应明确人员接触网络时的申请及批准流程,做好实名登记、人员背景审查、保密协议签署等工作,防止因人员资质及违规操作引发的安全风险。
第十一条 加强网络运维管理,制定运维操作规范和工作流程。加强物理安全防护,完善机房、办公环境及运维现场等安全控制措施,防止非授权访问物理环境造成信息泄露。加强远程运维管理,因业务确需通过互联网远程运维的,应进行评估论证,并采取相应的安全管控措施,防止远程端口暴露引发安全事件。
第十二条 各医疗卫生机构应加强业务连续性管理并持续监测网络运行状态。对于第三级及以上的网络应加强保障关键链路、关键设备冗余备份,有条件的医疗卫生机构应建立应用级容灾备份,防止关键业务中断。
第十三条 应用大数据、人工智能、区块链等新技术开展服务时,上线前应评估新技术的安全风险并进行安全管控,达到应用与安全的平衡。
第十四条 各医疗卫生机构应规范和加强医疗设备数据、个人信息保护和网络安全管理,建立健全医疗设备招标采购、安装调试、运行使用、维护维修、报废处置等相关网络安全管理制度,定期检查或评估医疗设备网络安全,并采取相应的安全管控措施,确保医疗设备网络安全。
第十五条 各医疗卫生机构应按照《密码法》等有关法律法规和密码应用相关标准规范,在网络建设过程中同步规划、同步建设、同步运行密码保护措施,使用符合相关要求的密码产品和服务。
第十六条 各医疗卫生机构应关注整个网络全链条参与者的安全管理,涉及非本单位的第三方时,应对设计、建设、运行、维护等服务实施安全管理,采购安全的网络产品和服务,防止发生第三方安全事件。
第十七条 各医疗卫生机构应加强废止网络的安全管理,对废止网络的相关设备进行风险评估,及时对其采取封存或销毁措施,确保废止网络中的数据处置安全,防止网络数据泄露。
第三章 数据安全管理
第十九条 应建立数据安全管理组织架构,明确业务部门与管理部门在数据安全活动中的主体责任,通过安全责任书等方式,规范本单位数据管理部门、业务部门、信息化部门在数据安全管理全生命周期当中的权责,建立数据安全工作责任制,落实追责追究制度。
第二十条 各医疗卫生机构应每年对数据资产进行全面梳理,在落实网络安全等级保护制度的基础上,依据数据的重要程度以及遭到破坏后的危害程度建立本单位数据分类分级标准。数据分类分级应遵循合法合规原则、可执行原则、时效性原则、自主性原则、差异性原则及客观性原则。
第二十一条 各医疗卫生机构应建立健全数据安全管理制度、操作规程及技术规范,涉及的管理制度每年至少修订一次,建议相关人员每年度签署保密协议。每年对本单位的数据进行数据安全风险评估,及时掌握数据安全状态。加强数据安全教育培训,组织安全意识教育和数据安全管理制度宣传培训。结合本单位实际,建立完善数据使用申请及批准流程,遵循“谁主管、谁审查”、遵循事前申请及批准、事中监管、事后审核原则,严格执行业务管理部门同意、医疗卫生机构领导核准的工作程序,指导数据活动流程合规。
第二十二条 各医疗卫生机构应加强数据收集、存储、传输、处理、使用、交换、销毁全生命周期安全管理工作,数据全生命周期活动应在境内开展,因业务确需向境外提供的,应当按照相关法律法规及有关要求进行安全评估或审核,针对影响或者可能影响国家安全的数据处理活动需提交国家安全审查,防止数据安全事件发生。
第四章 监督管理
第二十四条 各医疗卫生机构应及时整改有关主管监管机构检查过程中发现的漏洞和隐患等问题,杜绝重大网络安全事件发生。
第二十五条 发生个人信息和数据泄露、毁损、丢失等安全事件和网络系统遭攻击、入侵、控制等网络安全事件,或者发现网络存在漏洞隐患、网络安全风险明显增大时,各医疗卫生机构应当立即启动应急预案,采取必要的补救和处置措施,及时以电话、短信、邮件或信函等多种方式告知相关主体,并按照要求向有关主管监管部门报告。
第二十六条 各级卫生健康行政部门应建立网络安全事件通报工作机制,及时通报网络安全事件。
第二十七条 发生网络安全事件时,各医疗卫生机构应及时向卫生健康行政部门、公安机关报告,做好现场保护、留存相关记录,为公安机关等监管部门依法维护国家安全和开展侦查调查等活动提供技术支持和协助。
第五章 管理保障
第二十九条 各医疗卫生机构应加强网络安全业务交流,严格执行网络安全继续教育制度,鼓励管理岗位和技术岗位持证上岗。通过组织开展学术交流及比武竞赛的方式,发现选拔网络安全人才,建立人才库,建立健全人才发现、培养、选拔和使用机制,为做好网络安全工作提供人才保障。
第三十条 各医疗卫生机构应保障开展网络安全等级测评、风险评估、攻防演练竞赛、安全建设整改、安全保护平台建设、密码保障系统建设、运维、教育培训等经费投入。新建信息化项目的网络安全预算不低于项目总预算的5%。
第三十一条 各医疗卫生机构应进一步完善网络安全考核评价制度,明确考核指标,组织开展考核。鼓励有条件的医疗卫生机构将考核与绩效挂钩。
第六章 附 则
第三十三条 涉及国家秘密的网络,按照国家有关规定执行。
第三十四条 本办法自印发之日起实施。
责任编辑:亦欣