33浙江省市場(chǎng)監(jiān)督管理局發(fā)布I本標(biāo)準(zhǔn)按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：本標(biāo)準(zhǔn)由浙江省衛(wèi)生健康委員會(huì)提出、歸口并1基于云計(jì)算的醫(yī)院信息系統(tǒng)安全規(guī)范將應(yīng)用程序構(gòu)建為松散耦合服務(wù)集合的小型可組合邏輯單4縮略語(yǔ)2API：應(yīng)用程序編程接口（applicationprogramAPP：應(yīng)用程序（application）CPU：中央處理器（centralprocessingHIS：醫(yī)院信息系統(tǒng)（hospitalinformationsystHTTPS：超文本傳輸安全協(xié)議（hypertexttranSQL：結(jié)構(gòu)化查詢語(yǔ)言（structuredquerylAPP、網(wǎng)頁(yè)、小程序等系統(tǒng)接入客戶端應(yīng)按照如下方式確保接入安全：3)使用密碼登錄時(shí)，不應(yīng)使用空口令或弱口令，口令輸入框不支持拷貝2)不應(yīng)包含危害國(guó)家安全、個(gè)人隱私等內(nèi)容的各7.2.1應(yīng)對(duì)本地與遠(yuǎn)程會(huì)診等各種醫(yī)7.2.2應(yīng)對(duì)患者進(jìn)行身份鑒別，包括但不限于身份證、社?？?、醫(yī)保電子憑證等為介質(zhì)的身份鑒別技7.2.3應(yīng)為首次注冊(cè)的用戶賬號(hào)關(guān)聯(lián)實(shí)名制手機(jī)號(hào)，后通過(guò)實(shí)名制手機(jī)號(hào)登錄，發(fā)送手機(jī)3保字典、醫(yī)療綜合收費(fèi)標(biāo)準(zhǔn)字典等，除規(guī)定人員外，其他用戶僅有查7.4.2應(yīng)對(duì)重要醫(yī)療場(chǎng)景進(jìn)行日志記錄，如雙向轉(zhuǎn)診的患8.2.2訪問(wèn)控制應(yīng)達(dá)到數(shù)據(jù)庫(kù)表、視圖、字8.3.3應(yīng)支持對(duì)象級(jí)別的數(shù)據(jù)加密，并且在訪問(wèn)這些數(shù)據(jù)時(shí)自動(dòng)48.5.1應(yīng)對(duì)重要微服務(wù)的接口調(diào)用進(jìn)行權(quán)限控制，包括但不限于門(mén)診預(yù)約、掛號(hào)收費(fèi)、檢查檢驗(yàn)、住9外聯(lián)接口安全9.1.2當(dāng)HIS網(wǎng)絡(luò)與專(zhuān)有網(wǎng)絡(luò)連接時(shí)設(shè)置有服務(wù)器9.2.3應(yīng)對(duì)訪問(wèn)HIS的外部請(qǐng)求的IP和端口進(jìn)行限制。10.1.1基于云計(jì)算的HIS的個(gè)人信息處理活動(dòng)應(yīng)符合GB/T35273—2020中第5章至第11章中規(guī)定的內(nèi)程醫(yī)療、商保對(duì)接、臨床研究等外部應(yīng)用的數(shù)據(jù)傳輸通道進(jìn)行安全加56A.1概述A.2主要功能a)系統(tǒng)接入提供醫(yī)生、患者或系統(tǒng)管理員使用HIb)系統(tǒng)應(yīng)用提供HIS的核心功能，包括醫(yī)療服務(wù)、醫(yī)療管理、醫(yī)療協(xié)同、運(yùn)營(yíng)管理、后勤管理、模式的按需使用和按需付費(fèi)能力的服務(wù)器租用d)外聯(lián)接口主要包括與外部在線支付系統(tǒng)e)系統(tǒng)運(yùn)營(yíng)審計(jì)為可選系統(tǒng)模塊，主要用于監(jiān)控HIS系統(tǒng)運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等，并7系統(tǒng)運(yùn)營(yíng)審計(jì)主要實(shí)現(xiàn)對(duì)HIS系統(tǒng)各類(lèi)運(yùn)行活動(dòng)、安全事件的有效的證據(jù)收集、監(jiān)控分析和檢查驗(yàn)證。主要功能包括：業(yè)務(wù)系統(tǒng)運(yùn)營(yíng)審計(jì)、云計(jì)算平臺(tái)運(yùn)營(yíng)審計(jì)和安全事件運(yùn)營(yíng)審計(jì)。a)支持對(duì)系統(tǒng)應(yīng)用日志記錄、云計(jì)算平臺(tái)日志記錄的導(dǎo)入和識(shí)別；d)告警方式包括手機(jī)短信和郵件等,告警內(nèi)容包b)審計(jì)記錄包括事件的日期和時(shí)間、用戶、事件類(lèi)型及其他與審計(jì)相關(guān)的信息；c)對(duì)審計(jì)記錄進(jìn)行安全存儲(chǔ)，相關(guān)操作日志保存e)建立涵蓋云計(jì)算平臺(tái)及HIS系統(tǒng)服務(wù)端、客戶端的敏感數(shù)據(jù)全鏈路安全監(jiān)控b)數(shù)據(jù)庫(kù)審計(jì)基于數(shù)據(jù)庫(kù)操作語(yǔ)句進(jìn)行，如分析項(xiàng)包括SQL語(yǔ)句、捕獲時(shí)間、數(shù)據(jù)庫(kù)用戶、客戶端IP、執(zhí)行結(jié)果、影響行數(shù)等信息