醫院信息安全管理制度第一章總則第一條目的和依據為更好地保護醫院的信息資產安全，維護醫療信息系統的正常運行，規范員工在信息處理中的行為，保障醫院信息安全，訂立本制度。第二條適用范圍本制度適用于醫院的全部員工、合作伙伴，包含對醫院信息系統的開發、維護和使用，以及對醫院信息資產的保護。第三條定義和縮寫信息資產：指醫院所擁有的全部與信息相關的資產，包含但不限于電子設備、網絡設備、軟件、文檔等。信息安全：指信息系統與信息資產免受未經授權的使用、修改、破壞、披露、阻斷、濫用或泄露等威逼的狀態。信息安全管理：指對醫院信息資產進行保護、檢測和響應等管理活動。第四條職責分工醫院管理層負責訂立和推廣信息安全政策，并對信息安全管理工作進行監督和評估。信息安全管理員負責醫院信息安全策略、規范和技術的實施。員工應依照本制度的要求，合法、合規地處理和管理信息資產。第二章信息資產管理第五條信息分類依據醫院信息的緊要性和保密等級，將信息資產分為四個等級：核心級、緊要級、一般級和無關級。不同等級的信息資產應采取相應的保護措施。第六條信息資產歸屬醫院信息資產的全部權歸醫院全部，不得私自外傳、銷毀或擅自更改。第七條信息資產保護要求嚴格掌控對信息資產的訪問權限，僅授權人員可以訪問和使用相關信息。信息資產采取加密措施，確保數據安全性。信息資產的備份和恢復工作應定期進行，確保信息的可用性和完整性。嚴禁使用未經授權的軟件或設備，以免引發信息安全風險。第八條信息安全事件報告和處理任何發現或懷疑發生信息安全事件的人員，應立刻上報信息安全管理員。信息安全管理員應訂立應急預案，并及時采取措施阻攔和應對信息安全事件。對于影響較大或緊要信息資產的泄露、損毀事件，應進行調查和追責。第三章信息使用管理第九條電子設備和網絡管理授權部門應對醫院的電子設備和網絡進行統一管理，確保設備和網絡的安全性和穩定性。醫院員工在使用電子設備和網絡時，應遵守相關流程和要求，不得私自修改或刪除系統配置。第十條信息使用規范員工在處理和使用信息資產時，應嚴格遵守相關法律法規和醫院的相關規定。員工應保證信息的真實、準確和完整，并妥當保管和使用信息。對于存儲有患者個人信息的電子文檔，員工應采取措施確保其保密性。第十一條系統登錄和身份認證員工在使用醫療信息系統時，應使用個人賬號進行登錄，并妥當保管賬號信息，不得私自轉借、泄露賬號信息。系統登錄后，應對員工的操作行為進行記錄和追蹤，以便事后審計。第十二條外部通信管理員工在使用醫院電子郵件、即時通訊等工具時，應注意保護患者隱私和醫院機密信息，不得泄露泄露相關信息。第四章員工培訓和意識教育第十三條信息安全培訓醫院應定期開展信息安全培訓，對員工進行信息安全意識教育和技能培養，提高員工的信息安全意識和本領。第十四條信息安全意識教育醫院應通過多種方式，如組織宣傳、內部通告等，加強員工的信息安全意識和風險意識，提高員工自動保護信息的意識。第十五條信息安全考核醫院應定期對員工進行信息安全意識和知識的測試和考核，以評估員工的信息安全水平。第五章法律法規遵奉并服從和監督管理第十六條法律法規遵奉并服從醫院應遵守國家和地方政府關于信息安全的法律法規，確保信息資產的合法、合規使用。第十七條監督管理醫院應建立信息安全管理委員會，負責信息安全管理工作的監督和評估。信息安全管理員應定期對醫院的信息安全工作進行檢查和評估，及時發現和解決問題。第六章附則第十八條懲罰和追責違反本制度的員工將被追究責任，包含但不限于警告、停職、開除等懲罰。第十九條修訂和解釋本制度的修訂和解釋權歸醫院管理層全部，醫院將依據需要對本制度進行修訂，并在內部進行適當的宣傳和解釋。第二十條生效日期和適用范圍本制度