黑龙江省医院必知！等保测评全攻略

一、医院为啥要做等保测评

医院的信息化建设速度加快，各种信息系统如电子病历系统、医院信息管理系统（HIS）、检验信息系统（LIS）、医学影像存档与通信系统（PACS）等，如同医院的脉路，将医疗服务的各个环节紧密相连，极大地提升了医疗效率和服务质量。但在享受信息化带来的便利时，医院也面临着前所未有的网络安全挑战。

医院信息系统存储着海量的患者隐私信息，如姓名、身份证号、病历、检查检验结果、医保信息等，这些信息一旦泄露，将对患者的隐私和权益造成严重侵害。2017 年，美国一家医疗保险公司 Anthem 曾遭受黑客攻击，约 8000 万客户信息被盗，这一事件震惊全球，也为医疗行业的信息安全敲响了警钟。国内也曾有医院因信息系统安全防护不足，导致患者信息泄露，引发公众对医院信任危机的案例。

从医疗服务的连续性角度看，医院信息系统一旦遭受网络攻击而瘫痪，将直接导致医疗业务无法正常开展。像 2019 年，河南省某医院就因未履行网络安全保护义务，遭受网络攻击，业务系统被破坏，医院正常工作陷入停滞，患者无法正常就诊、缴费、取药，给患者的生命健康带来极大威胁，也给医院的正常运营带来了巨大损失。

再者，国家在网络安全方面的法律法规也对医院提出了明确要求。《网络安全法》明确规定，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。医疗卫生行业由于其对社会各界的重大影响，更是被重点关注。国家卫生健康委员会发布的一系列文件，如《卫生行业信息安全等级保护工作的指导意见》《互联网医院管理办法（试行）》等，都对医院信息系统的等级保护工作作出了具体规定，要求医院必须通过相应等级的等保测评。医院开展等保测评，既是对患者负责，也是遵守国家法律法规的必然要求。

二、医院等保测评标准大起底

医院信息系统的安全等级，可不是随便定的，而是有着一套严谨的划分标准。依据《信息安全技术 网络安全等级保护定级指南》，信息系统的安全等级被划分为五个级别，从低到高依次为一级、二级、三级、四级、五级 。在医院场景中，常见的信息系统如 HIS、LIS、PACS、EMR 等，大多被定为二级或三级。

其中，二级等保对应的信息系统，一旦受到破坏，会对公民、法人和其他组织的合法权益造成严重损害，但还不至于对社会秩序和公共利益造成重大影响。打个比方，若某医院的门户网站被攻击篡改，发布了虚假医疗信息，对患者权益有损害，但范围相对局限，这类系统通常为二级等保。

而三级等保的信息系统，其重要性和敏感度更高，一旦遭到破坏，会对社会秩序和公共利益造成严重损害，甚至可能影响到国家安全。像医院的核心业务系统，存储着大量患者的关键医疗数据和隐私信息，一旦泄露或被破坏，将引发一系列严重后果，这类系统一般就要达到三级等保要求 。

不同等级的等保测评，其具体要求也千差万别。在技术层面，从物理安全、网络安全、主机安全、应用安全到数据安全，每个维度都有细致入微的规定。比如物理安全方面，对机房的防火、防水、防盗等设施有明确要求；网络安全上，要设置合理的防火墙策略、入侵检测系统等 。在管理层面，人员安全管理、安全管理制度、安全运维管理等，也都有相应的标准。如在人员管理中，要对员工进行定期的安全培训，明确不同岗位的安全职责。

三、详细流程，步步为营

医院等保测评是一项系统且严谨的工作，有着一套清晰的流程，每个环节都紧密相扣，关乎着测评的最终结果和医院信息系统的安全。

（一）精准定级，锚定安全基线

定级是等保测评的首要环节。医院需依据相关标准，如《信息安全技术 网络安全等级保护定级指南》，对自身的信息系统进行全面梳理和分析。要综合考量系统所承载数据的重要性、业务的关键程度以及一旦遭受破坏可能带来的影响等因素 。像医院的核心业务系统，如电子病历系统，因其存储着患者大量的敏感医疗信息，一旦信息泄露或系统瘫痪，将对患者生命健康和医院运营造成巨大冲击，通常会被定为三级。而一些相对次要的系统，如医院内部的办公自动化系统，可能被定为二级。确定好等级后，医院要编制详细的定级报告，明确系统的边界、安全责任主体等信息，为后续工作奠定基础。

（二）及时备案，纳入监管视野

完成定级后，医院需在规定时间内，将定级报告及相关材料提交至当地市级以上公安机关进行备案。备案材料一般包括纸质文档和电子文档，且纸质文档首页需加盖单位公章 。公安机关会对提交的材料进行审核，审核通过后，会给予备案证明，这意味着医院的信息系统正式被纳入国家网络安全等级保护的监管体系。备案不仅是一种合规要求，也为公安机关对医院信息系统的安全监管提供了依据，有助于及时发现和处理潜在的安全风险。

（三）全面整改，筑牢安全防线

整改是等保测评中最为关键且耗时的环节。在测评机构对医院信息系统进行初步测评后，会出具详细的测评报告，指出系统存在的安全问题和差距。医院需根据这份报告，制定切实可行的整改方案。

从技术层面来看，可能涉及到诸多方面的整改。比如在物理安全方面，若机房未配备完善的消防灭火系统、防水浸报警装置，就需要及时安装，以确保机房在面临火灾、水灾等自然灾害时能保障设备安全；网络安全上，如果防火墙策略配置不合理，存在网络漏洞易遭受外部攻击，就需重新优化防火墙策略，设置严格的访问控制规则，阻止非法访问 。主机安全方面，若服务器存在未修复的系统漏洞，容易被黑客利用，那就得及时安装系统补丁，加强服务器的安全防护。

管理层面的整改同样不容忽视。医院要完善安全管理制度，明确各部门和人员在信息安全工作中的职责，避免出现职责不清、推诿责任的情况。加强人员安全管理，定期组织员工进行信息安全培训，提高员工的安全意识和操作技能，防止因员工的疏忽大意导致安全事故。像培训员工如何识别钓鱼邮件，避免点击恶意链接，防止信息泄露 。

（四）严格测评，检验安全成效

当医院完成整改工作后，便进入到严格的测评环节。测评机构会依据相关标准，如《信息安全技术 网络安全等级保护测评要求》，对医院信息系统进行全面、深入的测评。测评内容涵盖物理安全、网络安全、主机安全、应用安全、数据安全以及安全管理等多个层面，通过技术检测、文档审查、人员访谈等多种方式，对系统的安全性进行全方位检验。

技术检测中，会运用专业的工具对网络设备、服务器、数据库等进行漏洞扫描、渗透测试等，查找系统中可能存在的安全漏洞和隐患 。文档审查则是对医院的安全管理制度、应急预案、操作手册等相关文档进行细致检查，看其是否符合等保要求，是否具备可操作性和有效性。人员访谈会与医院的相关人员进行交流，了解他们对信息安全工作的认识、日常操作流程以及对安全制度的执行情况等。只有当测评结果达到相应等级的要求，医院才能顺利通过等保测评。

四、医院做等保测评的注意事项

在医院紧锣密鼓筹备等保测评的过程中，一些关键要点务必要牢牢把握，稍有不慎，便可能影响测评的进度与最终结果。

选择测评机构时，一定要火眼金睛。优先挑选那些具备丰富医疗行业测评经验的机构，他们对医院信息系统的特点、业务流程了如指掌，能精准识别潜在风险。比如，有的测评机构此前参与过多家大型三甲医院的等保测评工作，熟悉医院核心业务系统的安全需求，在测评时就能有的放矢。同时，要查看其是否拥有专业的测评团队，团队成员应具备相关的专业资质证书，如注册信息安全专业人员（CISP）等，以确保测评工作的专业性和规范性 。

医院内部各部门的协同配合也至关重要。信息科作为牵头部门，要积极与临床科室、财务科、后勤保障部门等密切沟通。临床科室需提供业务系统的详细使用情况和数据需求，像电子病历系统中患者信息的录入、存储和调用流程等；财务科要告知财务信息系统的安全防护现状及涉及的资金交易安全要点；后勤保障部门则需汇报机房的物理环境情况，包括电力供应、空调制冷、消防设施等。只有各部门齐心协力，才能为等保测评提供全面、准确的信息，助力顺利完成测评 。

在整改环节，切莫盲目行动。要依据测评机构提出的整改建议，结合医院实际情况，制定科学合理的整改计划。对于一些重大安全问题，如核心业务系统的严重漏洞，要优先解决，投入足够的人力、物力和财力。同时，整改过程中要做好详细记录，包括整改措施、实施时间、责任人等，以便后续复查和追溯 。

另外，要时刻关注测评标准的更新变化。网络安全形势瞬息万变，等保测评标准也会与时俱进。医院应安排专人跟踪相关标准的修订情况，及时调整信息系统的安全防护策略和措施，确保始终符合最新的测评要求 。

五、等保测评对医院的意义

等保测评对医院而言，意义重大，犹如为医院信息安全筑牢了一道坚固的防线，对医院的稳定发展起着举足轻重的作用。

从患者信任的角度来看，等保测评极大地增强了患者对医院的信任。在当今时代，患者对自身隐私信息的保护愈发重视。医院通过严格的等保测评，表明其在信息安全方面下足了功夫，能够切实保障患者的隐私信息不被泄露 。患者在就医时，不用担心自己的病历、个人身份信息等被非法获取和利用，从而更加放心地选择该医院就诊。例如，当患者了解到医院的信息系统经过了专业的等保测评，符合严格的安全标准，他们会觉得自己的权益得到了充分保障，进而对医院产生更高的信任感，这种信任有利于医院树立良好的品牌形象，吸引更多患者前来就医。

对于医院的业务连续性，等保测评更是起到了关键的保障作用。医院信息系统是支撑医疗业务正常运转的核心。若信息系统因遭受网络攻击而瘫痪，挂号、就诊、检查、缴费、取药等一系列业务都将陷入混乱 。而等保测评能够及时发现信息系统中存在的安全隐患，并通过整改将其消除，有效降低了信息系统遭受攻击的风险，确保医院业务能够持续、稳定地开展。以 2021 年美国某医院遭受勒索软件攻击为例，该医院因未做好信息安全防护，系统被攻击后，大量医疗数据被加密，医院业务被迫中断，不仅给患者带来极大不便，医院自身也面临着巨额的经济损失和声誉损害 。而通过等保测评的医院，能有效避免此类情况的发生，保障医疗服务的连贯性和稳定性。

在合规层面，等保测评帮助医院满足了国家法律法规和行业监管的要求。随着网络安全法律法规的日益完善，医院作为存储大量敏感信息的机构，必须遵守相关规定。通过等保测评，医院证明了自身在信息安全管理和技术防护方面达到了国家要求的标准，避免了因违规而面临的法律风险和行政处罚。这有助于医院在合法合规的轨道上稳健发展，维护医疗行业的整体秩序。

六、总结

医院信息安全已成为保障医疗服务质量、维护患者权益和医院稳定运营的关键要素。等保测评作为衡量医院信息系统安全水平的重要标尺，其意义不言而喻。通过精准定级、及时备案、全面整改与严格测评等一系列严谨流程，医院能够有效识别并消除信息系统中的安全隐患，为患者信息筑牢安全防线。

医院应高度重视等保测评工作，将其作为常态化的信息安全管理举措。持续关注测评标准的更新，不断优化信息系统的安全防护策略，加强内部各部门的协同合作，提升全员的信息安全意识。只有这样，医院才能在信息技术飞速发展的今天，从容应对各种网络安全挑战，为医疗事业的健康发展保驾护航，为广大患者提供更加安全、可靠的医疗服务环境。