1、醫(yī)院信息科文件評審及發(fā)布制度文件編號XX-XX-002-V1.0版本2.0文件名稱文件評審及發(fā)布制度制/修訂時間2016.06制/修訂人審核人1總那么目的為規(guī)范醫(yī)院信息安全管理體系文件的制訂、修訂及評審，特制定本制度。范圍本管理規(guī)范適用于信息安全領(lǐng)導(dǎo)小組和工作小組對信息安全管理體系文件的維 護管理。職責(zé)由信息安全工作小組的主體部門信息科負責(zé)信息安全管理體系文件的維護，包括 制訂、修訂和評審，由信息安全領(lǐng)導(dǎo)小組負責(zé)體系文件的批準、發(fā)布和作廢。2管理細那么體系文件生命周期流程否圖1體系文件流程圖體系文件籌劃信息安全工作小組組織相關(guān)人員，根據(jù)信息安全技術(shù)信息系統(tǒng)安全等級保護 基本要求(GBT2223

2、9-2008)、信息安全技術(shù)信息系統(tǒng)安全管理要求(GBT 20269-2006)、OSO/IEC 27001： 2005信息安全管理體系的要求，結(jié)合實際的 職責(zé)和工作流程，籌劃制定信息安全管理體系文件的架構(gòu)，并形成醫(yī)院信息安 全管理體系文件框架(以下簡稱“文件框架信息安全工作小組將制定的文件框架匯報給信息安全領(lǐng)導(dǎo)小組，信息安全領(lǐng)導(dǎo)小 組對文件框架進行審批確認。體系文件架構(gòu)與編寫信息安全工作小組根據(jù)審批后的文件框架及清單，負責(zé)組織編寫各級文件。總策 略文件為信息安全方針與安全策略、信息安全領(lǐng)導(dǎo)機構(gòu)組成與職責(zé)，它定 義了安全管理的基本原那么、基本方向、安全管理的組織框架和職責(zé)劃分等。程序 規(guī)范類文

3、件主要包括人力資源安全管理程序、系統(tǒng)建設(shè)管理、物理與環(huán)境 安全管理等管理標準文件，主要規(guī)定了各個領(lǐng)域的安全管理的基本原那么和目標。 記錄類文件主要是各個領(lǐng)域安全管理的過程文檔，是整個安全管理體系有效執(zhí)行 和落地的主要手段，也是安全管理體系的過程記錄，可做為對外的信息安全質(zhì)量 保證。其中總體策略類文件由信息安全領(lǐng)導(dǎo)小組署名，其他類文件由編寫人署名。 編寫完成的文檔需先經(jīng)過各相關(guān)部門的初審，然后由信息安全工作小組進行評審, 最后由信息安全領(lǐng)導(dǎo)小組進行批準定稿。評審記錄表見制度文件評審記錄表。體系文件標識及編寫規(guī)范(1)文件的編碼方式如下：“醫(yī)院拼音首字母”+體系文件序號碼-版本號-文件名稱“體系文

4、件借鑒ISO/27001標準要求，分總體策略、程序規(guī)范、記錄文件，各 類文件級別示意如下：1級文件總方針、總策略2級文件管理制度與操作規(guī)范3級文件記錄、表單文件序號碼由阿拉伯?dāng)?shù)字按從小到大順序組成，整個安全管理體系文件統(tǒng)一編碼。文件版本文件經(jīng)過修改后需更換版本。使用1、2、3、4表示文件的版本，用0、1、2、 3表示修改的次數(shù)。(4)文件的每次修改，以修改次數(shù)來表示，當(dāng)文件的大局部需修改或修改過了許 屢次時那么需要更換文件的版本。(5)文件不需要每次修改后重新發(fā)布，但如版本發(fā)生變化(如從verl .3變成ver2.0) 時需要重新發(fā)布。體系文件的評審信息安全工作小組應(yīng)定期發(fā)起對體系文件的評審。

5、對體系文件的評審應(yīng)至少每年 進行一次。評審流程如下：(1)信息安全工作小組發(fā)起對體系文件的評審申請，信息安全領(lǐng)導(dǎo)小組審核確認 后批準評審要求。信息安全工作小組制定評審計劃。計劃中應(yīng)確定各文檔對應(yīng)的評審責(zé)任人以及實施評審的時間計劃。(3)各評審責(zé)任人根據(jù)時間計劃，結(jié)合內(nèi)部審核、管理評審、風(fēng)險評估及日常記 錄的結(jié)果，評估現(xiàn)有文件的有效性和充分性。如果確定文檔有必要進行修改，應(yīng) 填寫制度文件修訂記錄。(4)如果修改的內(nèi)容只涉及信息科，那么由信息安全工作小組組長進行審批，在審 批同意后，由文檔評審責(zé)任人進行修改。(5)如果修改的內(nèi)容涉及到信息科以外的部門，需要所有涉及部門的會簽。會簽 后，由文檔評審責(zé)任人進行文檔修改。(6)修改完畢之后，各責(zé)任人將制度文件評審記錄和完善后的體系文件版本 一并報送信息安全工作小組，由信息安全工作小組進行標識和保存。(7)信息安全工作小組最終對評審結(jié)果向信息安全領(lǐng)導(dǎo)小組進行匯報。體系文件的作廢(1)在體系文件的評審過程中，如果評審責(zé)任人認為文件應(yīng)當(dāng)作廢，那么填寫體 系文件作廢申請表，由信息安全工作小組審批后，報信息安全領(lǐng)導(dǎo)小組進行審 批。(2)信息安全領(lǐng)導(dǎo)小組審批完成后，信息安全工作小組負責(zé)通知所有相關(guān)人員， 并對醫(yī)院信