醫(yī)院網絡安全會議紀要

一、會議基本信息

1.1會議時間

2023年10月20日14:00-16:30

1.2會議地點

醫(yī)院行政三樓第一會議室

1.3參會人員

主持人：院長張某某

出席人員：信息科科長李某某、醫(yī)務部主任王某某、護理部主任陳某某、后勤保障部趙某某、財務科劉某某、各臨床科室主任及網絡安全聯(lián)絡員共28人

列席人員：網絡安全服務供應商技術負責人周某某

1.4主持人

張某某

1.5記錄人

信息科科員鄭某某

1.6會議主題

醫(yī)院網絡安全工作部署與風險防控專題會議

1.7會議背景

近期國內多家醫(yī)療機構發(fā)生網絡安全事件，導致患者數據泄露、業(yè)務系統(tǒng)癱瘓，引發(fā)社會廣泛關注。為貫徹落實《網絡安全法》《數據安全法》及國家衛(wèi)生健康委《醫(yī)療衛(wèi)生機構網絡安全管理辦法》要求，結合醫(yī)院信息化建設加速推進（如電子病歷系統(tǒng)升級、智慧醫(yī)院平臺上線）帶來的網絡安全風險，會議旨在分析當前醫(yī)院網絡安全形勢，明確責任分工，部署下一階段重點工作，確保醫(yī)院網絡與數據安全穩(wěn)定運行。

二、會議議程與主要內容

2.1議程概述

本次會議嚴格按照既定議程有序推進，共分為五個核心議題：一是通報近期國內醫(yī)療機構網絡安全事件及行業(yè)監(jiān)管要求；二是總結本院當前網絡安全現狀與存在問題；三是審議《醫(yī)院網絡安全風險防控專項行動方案（2023-2024）》；四是明確各部門網絡安全職責分工與考核機制；五是部署下一階段重點工作任務。各議題間邏輯銜接緊密，討論聚焦問題導向，確保會議高效務實。

2.2各議題討論內容

2.2.1近期網絡安全事件通報與監(jiān)管要求解讀

信息科科長李某某首先通報了2023年第三季度國內醫(yī)療機構網絡安全事件典型案例，包括某三甲醫(yī)院因勒索病毒攻擊導致電子病歷系統(tǒng)癱瘓48小時，某婦幼保健院患者數據泄露引發(fā)集體訴訟等事件。他指出，此類事件主要暴露出醫(yī)療機構在終端安全管理、數據備份機制、應急響應流程等方面的共性漏洞。隨后，李某某結合《醫(yī)療衛(wèi)生機構網絡安全管理辦法》最新實施細則，重點解讀了“數據分類分級管理”“關鍵信息基礎設施防護”“第三方服務機構安全審計”等監(jiān)管要求，強調醫(yī)院需在年底前完成數據分類定級工作，建立全生命周期安全管理體系。

2.2.2本院網絡安全現狀與問題剖析

信息科技術組負責人周某某通過PPT演示，從網絡架構、終端設備、數據管理、應急能力四個維度匯報了本院網絡安全現狀。網絡架構方面，核心業(yè)務系統(tǒng)與辦公網絡存在邏輯隔離不徹底問題，部分老舊設備未及時更新防火墻策略；終端設備方面，全院共1200臺終端中，23%存在弱口令風險，17%未安裝終端安全管理軟件；數據管理方面，患者敏感數據存儲未采用加密措施，跨部門數據共享缺乏權限控制；應急能力方面，現有應急預案未覆蓋勒索病毒、數據泄露等新型威脅，演練頻次不足。

針對上述問題，醫(yī)務部主任王某某提出臨床科室反饋的痛點：門診醫(yī)生工作站頻繁遭遇釣魚郵件攻擊，2023年以來已發(fā)生3起醫(yī)護人員誤點鏈接導致終端感染事件；護理部主任陳某某補充道，移動護理設備（如PDA）在病區(qū)使用時，因網絡切換導致數據傳輸中斷的情況時有發(fā)生，影響護理工作效率。后勤保障部趙某某則指出，機房UPS電源存在單點故障隱患，需盡快實施雙路改造。

2.2.3《醫(yī)院網絡安全風險防控專項行動方案》審議

信息科提交的《方案》圍繞“技術防護、制度完善、人員培訓、應急演練”四大主線，制定了23項具體措施，包括：部署新一代防火墻與入侵防御系統(tǒng)，對核心業(yè)務系統(tǒng)實施零信任架構改造；建立“誰主管誰負責、誰運營誰負責、誰使用誰負責”的三級責任體系；開展全員網絡安全意識培訓，每季度組織一次釣魚郵件模擬演練；投入300萬元用于數據備份中心建設，實現“兩地三中心”容災備份。

討論中，財務科劉某某提出預算調整建議，認為數據備份中心建設可分階段實施，優(yōu)先保障電子病歷與HIS系統(tǒng)；網絡安全供應商技術負責人周某某補充建議，在終端管理方面引入AI行為分析技術，可提前識別異常操作。經舉手表決，會議原則通過《方案》，要求信息科根據意見修改完善后，提交院長辦公會審批。

2.2.4部門職責分工與考核機制明確

會議明確，網絡安全工作實行“一把手負責制”，院長為第一責任人，分管副院長為直接責任人。信息科統(tǒng)籌協(xié)調全院網絡安全工作，負責技術防護、系統(tǒng)運維、應急響應；醫(yī)務部、護理部牽頭落實臨床科室終端安全管理，制定設備使用規(guī)范；后勤保障部負責機房物理安全、網絡線路維護；財務部保障網絡安全經費預算執(zhí)行；各臨床科室主任為本科室網絡安全第一責任人，指定專人擔任聯(lián)絡員，每日檢查終端安全狀態(tài)。

考核機制方面，將網絡安全納入科室年度績效考核，實行“一票否決”：發(fā)生一般安全事件的，扣減科室當月績效5%；發(fā)生重大安全事件的，取消科室年度評優(yōu)資格，追究科室主任管理責任。同時，設立“網絡安全專項獎勵基金”，對主動發(fā)現重大安全隱患、有效處置安全事件的個人給予表彰獎勵。

2.2.5下一階段重點工作部署

張某某院長總結時強調，下一階段需重點推進三項工作：一是立即啟動網絡安全風險排查專項行動，由信息科牽頭，聯(lián)合醫(yī)務、護理、后勤等部門，用兩周時間完成全院網絡設備、終端系統(tǒng)、數據存儲的全面摸底；二是加快《方案》落地實施，11月底前完成核心系統(tǒng)安全加固，12月底前完成全員首輪培訓；三是建立“周報告、月通報”制度，信息科每周向院領導班子匯報網絡安全態(tài)勢，每月在全院范圍內通報問題整改情況。

2.3關鍵發(fā)言要點

2.3.1院長張某某發(fā)言

“網絡安全是醫(yī)院發(fā)展的生命線，關系到患者隱私保護和醫(yī)療秩序穩(wěn)定。當前，醫(yī)院信息化程度越高，安全風險越大，必須摒棄‘重建設、輕防護’的觀念。各部門要切實扛起責任，把網絡安全納入日常管理，做到‘同步規(guī)劃、同步建設、同步使用’。對工作不力、導致安全事件的，要嚴肅追責問責?！?/p>

2.3.2信息科科長李某某發(fā)言

“本次會議暴露出的問題，本質上是‘思想認識不到位、制度執(zhí)行不嚴格、技術防護有短板’。下一步，我們將以《方案》為抓手，重點解決三個問題：一是打通數據孤島，建立統(tǒng)一的身份認證與權限管理平臺；二是強化技術防護，引入態(tài)勢感知系統(tǒng)，實現對安全威脅的實時監(jiān)測與預警；三是提升人員能力，通過‘線上+線下’培訓，讓每位員工都成為網絡安全的‘第一道防線’?！?/p>

2.3.3臨床科室主任代表發(fā)言

內科主任孫某某表示：“作為臨床科室，我們將嚴格落實終端安全管理規(guī)定，禁止使用未經授權的U盤，定期更新殺毒軟件。同時，希望信息科加強對臨床人員的培訓，用通俗易懂的方式講解釣魚郵件識別方法，避免因操作失誤導致安全事件?！?/p>

三、會議決議與行動計劃

3.1決議事項

3.1.1技術防護升級決議

會議決定立即啟動全院網絡安全技術防護體系升級工程。信息科需在三個月內完成核心業(yè)務系統(tǒng)防火墻策略優(yōu)化，部署新一代入侵防御系統(tǒng)，實現對惡意流量和異常訪問行為的實時攔截。針對終端安全薄弱環(huán)節(jié)，要求在兩個月內完成全院1200臺終端的統(tǒng)一管理平臺部署，強制啟用強密碼策略與多因素認證，淘汰未達安全標準的設備。數據安全方面，明確要求在年底前完成患者敏感數據存儲加密改造，建立跨部門數據共享的動態(tài)權限控制機制。

3.1.2管理制度完善決議

會議審議通過《醫(yī)院網絡安全管理辦法實施細則》，明確建立三級責任體系：院級成立網絡安全領導小組，由院長擔任組長；部門級設立網絡安全專員，直接向信息科匯報；科室級指定聯(lián)絡員負責日常巡查。制度新增"安全事件零容忍"條款，規(guī)定任何部門不得瞞報、遲報網絡安全事件。同時要求修訂《數據分類分級管理規(guī)范》，將患者信息分為公開、內部、敏感、核心四級，對應實施差異化防護措施。

3.1.3人員能力建設決議

會議通過"全員網絡安全素養(yǎng)提升計劃"，要求信息科牽頭開發(fā)分層次培訓課程：管理層側重戰(zhàn)略意識與責任認知，臨床人員聚焦釣魚郵件識別與安全操作規(guī)范，IT技術人員深化攻防技能。計劃每季度組織一次釣魚郵件模擬演練，演練結果納入科室績效考核。特別要求護理部在移動護理設備使用規(guī)范中增加網絡安全條款，明確網絡切換時的數據校驗流程。

3.2行動計劃分解

3.2.1信息科任務清單

信息科作為技術執(zhí)行主體，需在11月30日前完成以下工作：

（1）完成核心交換區(qū)防火墻策略重置，關閉非必要端口

（2）部署終端準入控制系統(tǒng)，實現未認證設備隔離

（3）建立日志審計平臺，保留全網操作日志不少于180天

（4）制定《網絡安全應急預案V3.0》，新增勒索病毒處置流程

12月重點推進數據備份中心建設，完成兩地三中心架構設計，優(yōu)先保障電子病歷系統(tǒng)與HIS系統(tǒng)數據。

3.2.2臨床科室執(zhí)行要點

各臨床科室需在11月15日前完成：

（1）清理科室內部非授權終端設備

（2）張貼《終端安全操作指南》于醫(yī)生工作站顯眼位置

（3）指定專人每日檢查移動設備安全狀態(tài)

護理部需在12月前修訂《移動護理工作規(guī)范》，新增網絡切換時的數據校驗步驟，要求護士在PDA切換網絡后必須執(zhí)行"三查"操作：查連接狀態(tài)、查數據同步、查完整性校驗。

3.2.3后勤保障改造項目

后勤保障部負責物理環(huán)境安全升級，具體包括：

（1）11月完成機房UPS雙路改造，消除單點故障隱患

（2）12月部署機房環(huán)境監(jiān)控系統(tǒng)，實時監(jiān)測溫濕度與電力參數

（3）建立機房出入電子登記制度，實施"雙人雙鎖"管理

同時要求在11月前完成全院網絡線路標識規(guī)范化，確保所有線路可追溯至具體設備。

3.3責任分工矩陣

3.3.1院級統(tǒng)籌責任

院長辦公室負責協(xié)調跨部門協(xié)作，每月召開網絡安全專題會。分管副院長每周審閱《網絡安全周報》，對重大隱患實施掛牌督辦。院黨委會將網絡安全納入年度述職內容，實行"一票否決"考核。

3.3.2部門主體責任

信息科承擔技術防護主體責任，需建立7×24小時應急響應機制。醫(yī)務部負責臨床安全制度落地，每季度開展科室安全檢查。護理部重點監(jiān)督移動設備使用規(guī)范執(zhí)行情況。后勤保障部確保物理環(huán)境達標，每月提交機房運維報告。財務部保障專項資金及時到位，建立網絡安全經費單獨核算機制。

3.3.3個人崗位責任

所有員工簽訂《網絡安全責任書》，明確"誰使用誰負責"原則。臨床科室主任承擔本科室安全第一責任，需每月組織安全自查。聯(lián)絡員負責日常隱患排查，發(fā)現異常立即上報。IT運維人員實行"雙人復核"制度，重大操作需經信息科長審批。

3.4時間節(jié)點管控

3.4.1第一階段（11月）

11月1日-11月15日：完成全院網絡安全風險排查，形成《隱患清單》

11月16日-11月30日：實施核心系統(tǒng)安全加固，完成終端管理平臺部署

3.4.2第二階段（12月）

12月1日-12月15日：開展全員首輪培訓，完成應急預案修訂

12月16日-12月31日：啟動數據備份中心建設，實現核心系統(tǒng)異地備份

3.4.3第三階段（2024年1月）

1月組織首次釣魚郵件模擬演練，根據結果調整培訓重點

1月底前完成《網絡安全管理辦法實施細則》全院宣貫

3.5保障措施

3.5.1資源保障

會議批準2023年網絡安全專項預算500萬元，其中200萬元用于技術設備采購，150萬元用于培訓演練，150萬元作為應急儲備金。要求財務部建立綠色審批通道，確保緊急采購需求48小時內完成。

3.5.2監(jiān)督機制

建立"三級監(jiān)督"體系：信息科每日進行安全掃描，院級每季度組織交叉檢查，第三方機構每年開展一次滲透測試。監(jiān)督結果與科室績效掛鉤，連續(xù)三次排名末位的部門需提交整改報告。

3.5.3持續(xù)改進

要求信息科每季度發(fā)布《網絡安全態(tài)勢分析報告》，動態(tài)調整防護策略。建立安全事件復盤機制，每次事件后72小時內完成根因分析，形成《改進措施清單》并跟蹤落實。

四、問題分析與整改措施

4.1網絡架構風險

4.1.1邏輯隔離缺陷

核心業(yè)務系統(tǒng)與辦公網絡間僅采用傳統(tǒng)VLAN劃分，缺乏深度檢測機制。近期審計發(fā)現，門診工作站曾通過非授權路徑訪問HIS數據庫日志，存在數據泄露隱患。技術組建議部署下一代防火墻，實現應用層流量識別與阻斷。

4.1.2設備老化問題

機房內仍有12臺網絡設備服役超過8年，其中3臺核心交換機型號已停產，備件采購困難。后勤保障部評估顯示，這些設備在高峰時段存在丟包率超標情況，需在2024年Q1前完成替換。

4.2終端管理漏洞

4.2.1弱口令普遍

全院終端弱口令占比達23%，其中臨床科室問題尤為突出。抽查發(fā)現，部分醫(yī)生工作站仍使用"123456"等初始密碼，且密碼長期未更新。信息科計劃強制啟用密碼復雜度策略，并同步部署密碼管理工具。

4.2.2非授權設備接入

移動護理設備未納入統(tǒng)一管理，病區(qū)存在多臺未注冊的平板電腦接入內網。護理部反映，部分護士為方便工作私自使用個人手機傳輸患者數據，已導致2起疑似信息泄露事件。

4.3數據安全短板

4.3.1敏感數據明文存儲

電子病歷系統(tǒng)中，患者身份證號、聯(lián)系方式等敏感字段未加密存儲。技術組模擬攻擊測試顯示，僅通過數據庫日志分析即可提取完整患者信息。數據備份中心建設需同步實施數據脫敏。

4.3.2權限控制失效

跨科室數據共享存在權限過度開放問題。例如，藥劑科可查詢全院患者用藥記錄，超出其業(yè)務必要范圍。醫(yī)務部牽頭制定的《數據訪問權限清單》需在11月前完成修訂。

4.4應急響應不足

4.4.1預案缺失

現有應急預案未覆蓋勒索病毒攻擊場景。2023年9月某科室遭遇勒索軟件攻擊時，因缺乏處置指南，導致業(yè)務中斷超過24小時。信息科已啟動應急預案V3.0編制，新增勒索病毒專章。

4.4.2演練頻次不足

近兩年僅開展過1次網絡安全演練，且未涉及臨床業(yè)務中斷場景。院長辦公室要求，2024年每季度必須組織包含真實業(yè)務系統(tǒng)的桌面推演。

4.5人員意識薄弱

4.5.1釣魚郵件識別能力不足

2023年發(fā)生的3起終端感染事件均因醫(yī)護人員點擊釣魚鏈接所致。培訓調查顯示，僅35%的員工能準確識別仿冒OA系統(tǒng)的釣魚郵件。

4.5.2移動設備操作不規(guī)范

移動護理設備在電梯、走廊等信號弱區(qū)域頻繁切換網絡時，未執(zhí)行數據校驗流程。護理部統(tǒng)計顯示，此類操作導致3%的護理記錄出現時序錯亂。

4.6物理環(huán)境隱患

4.6.1機房單點故障

UPS電源采用單機配置，2023年夏季曾因雷擊導致斷電，備用電池僅支撐30分鐘。后勤保障部已啟動雙路供電改造項目，計劃2024年3月前完成。

4.6.2出入管理松散

機房出入登記存在代簽現象，2023年審計發(fā)現7次非授權人員進入記錄。需部署人臉識別門禁，并實施"雙人雙鎖"管理。

4.7第三方服務風險

4.7.1供應商權限過大

第三方運維人員仍保留核心系統(tǒng)最高權限，且未定期審計操作日志。信息科要求在11月前完成權限回收，僅保留最小必要權限。

4.7.2服務協(xié)議缺失

與5家軟件供應商的合同中均未明確安全責任條款。法務部需在12月前補充網絡安全違約責任條款，并要求供應商每年提供安全評估報告。

4.8整改實施路徑

4.8.1技術層面整改

（1）11月底前完成防火墻策略優(yōu)化，關閉非必要端口

（2）12月部署終端準入控制系統(tǒng)，實現設備實名認證

（3）2024年1月啟動數據加密改造，優(yōu)先覆蓋電子病歷系統(tǒng)

4.8.2管理層面完善

（1）修訂《網絡安全管理辦法》，新增第三方服務安全管理章節(jié)

（2）建立"安全事件上報綠色通道"，明確24小時響應時限

（3）制定《數據分類分級操作手冊》，指導臨床科室規(guī)范操作

4.8.3人員能力提升

（1）開展"安全操作之星"評選，獎勵主動發(fā)現隱患的員工

（2）在崗前培訓中增加網絡安全必修課程

（3）制作《網絡安全口袋手冊》，發(fā)放至每位員工

4.9整改責任分工

4.9.1信息科職責

負責技術方案實施、系統(tǒng)改造、漏洞修復，每周向領導小組提交進度報告。

4.9.2臨床科室配合

指定專人配合終端設備改造，組織科室安全自查，每月報送《終端安全臺賬》。

4.9.3監(jiān)督保障措施

院紀檢監(jiān)察室將網絡安全納入重點督查范圍，對整改不力部門啟動問責程序。

4.10整改效果評估

4.10.1技術指標驗收

（1）終端弱口令率降至0%

（2）數據泄露風險事件發(fā)生率下降90%

（3）系統(tǒng)平均無故障運行時間（MTBF）提升至99.99%

4.10.2管理成效檢驗

（1）全員安全培訓覆蓋率100%

（2）應急預案演練參與率100%

（3）第三方服務安全評估完成率100%

五、監(jiān)督與考核機制

5.1日常監(jiān)督體系

5.1.1技術監(jiān)測機制

信息科建立7×24小時安全監(jiān)測中心，部署態(tài)勢感知平臺實時監(jiān)控全網流量。系統(tǒng)設置三級預警閾值：一級預警（如異常登錄嘗試）自動發(fā)送短信至信息科值班人員；二級預警（如批量數據導出）觸發(fā)電話核實；三級預警（如核心系統(tǒng)異常）啟動應急響應流程。監(jiān)測日志保存不少于180天，每周生成《安全態(tài)勢簡報》報院領導。

5.1.2人工巡查制度

各科室指定網絡安全聯(lián)絡員每日執(zhí)行三項檢查：終端設備安全狀態(tài)（如殺毒軟件更新情況）、移動設備使用規(guī)范（如是否接入非授權網絡）、物理環(huán)境安全（如機房門禁狀態(tài)）。巡查結果記錄于《科室安全日志》，每月5日前報送信息科。院級每季度組織跨部門交叉檢查，重點抽查臨床科室終端管理情況。

5.1.3第三方審計

每年委托具備CMMI認證的第三方機構開展一次全面安全評估，覆蓋網絡架構、數據管理、應急響應等12個維度。審計報告需包含風險等級評定（紅/黃/藍三級）及整改建議，院黨委會據此制定下年度安全投入計劃。

5.2考核指標體系

5.2.1科室考核指標

（1）技術防護達標率（權重40%）：包括防火墻策略符合度、終端準入控制覆蓋率、數據加密完成率

（2）制度執(zhí)行合格率（權重30%）：安全事件上報及時性、培訓參與率、制度宣貫覆蓋率

（3）人員行為規(guī)范率（權重30%）：釣魚郵件識別正確率、移動設備操作合規(guī)性、密碼策略執(zhí)行率

考核結果分為優(yōu)秀（≥90分）、合格（70-89分）、不合格（<70分）三檔，連續(xù)兩次不合格科室需提交整改報告。

5.2.2個人考核指標

（1）臨床人員：安全操作規(guī)范遵守情況（如是否使用非授權U盤）、釣魚郵件識別測試成績

（2）IT人員：漏洞修復及時率（高危漏洞24小時內響應）、應急處置時長

（3）管理人員：安全責任落實情況（如是否定期組織科室自查）

考核結果與績效獎金直接掛鉤，優(yōu)秀者額外發(fā)放安全專項獎勵。

5.3責任追究機制

5.3.1事件分級追責

根據《醫(yī)院網絡安全事件分級標準》：

-一般事件（如單臺終端感染）：扣減科室當月績效5%，通報批評

-重大事件（如系統(tǒng)癱瘓4小時以上）：取消科室年度評優(yōu)資格，科室主任書面檢討

-特大事件（如患者數據泄露）：啟動問責程序，涉及人員待崗處理，情節(jié)嚴重者移交司法

5.3.2隱瞞行為處理

對未按規(guī)定上報安全事件的部門，除按事件等級追責外，額外加重一級處罰。如重大事件隱瞞者，直接按特大事件標準處理。

5.3.3主動免責情形

符合以下條件者可減輕或免于追責：

（1）主動發(fā)現重大安全隱患并采取有效措施

（2）在應急處置中表現突出，最大限度減少損失

（3）因不可抗力導致（如自然災害）

5.4持續(xù)改進機制

5.4.1問題閉環(huán)管理

信息科建立《安全隱患整改臺賬》，實行"發(fā)現-評估-整改-驗收"閉環(huán)管理。整改期限根據風險等級確定：紅色隱患（如核心系統(tǒng)漏洞）72小時內完成；黃色隱患（如權限配置錯誤）15日內完成；藍色隱患（如操作不規(guī)范）30日內完成。驗收不合格的重新啟動整改流程。

5.4.2經驗共享機制

每季度召開"安全案例分享會"，由信息科通報典型事件處置過程，臨床科室分享安全操作經驗。優(yōu)秀案例匯編成《安全工作手冊》發(fā)放全院。

5.4.3能力提升計劃

針對考核中暴露的共性問題，制定專項提升方案。如針對"釣魚郵件識別率低"問題，開發(fā)模擬演練系統(tǒng)，每月推送不同類型釣魚郵件樣本進行測試。

5.5保障措施

5.5.1組織保障

成立由院長任組長的網絡安全監(jiān)督委員會，成員包括分管副院長、紀檢書記、信息科等負責人。委員會每季度召開專題會，審議重大安全事項及考核結果。

5.5.2資源保障

每年按醫(yī)院信息化建設經費的10%列支網絡安全專項預算，其中20%用于監(jiān)督考核體系建設，包括監(jiān)測平臺升級、第三方審計費用、獎勵基金等。

5.5.3文化保障

開展"網絡安全月"活動，通過知識競賽、安全標語征集、微視頻創(chuàng)作等形式，營造"人人有責"的安全文化氛圍。將網絡安全表現納入年度評優(yōu)評先重要依據。

六、會議總結與后續(xù)工作安排

6.1會議成果總結

6.1.1核心共識達成

會議形成三點核心共識：一是網絡安全需納入醫(yī)院戰(zhàn)略發(fā)展頂層設計，與醫(yī)療質量、患者安全同等重要；二是建立“技術防護+制度約束+人員意識”三位一體防控體系，缺一不可；三是明確網絡安全是全院共同責任，需打破部門壁壘形成協(xié)同機制。

6.1.2問題清單確認

6.1.3資源投入承諾

院領導班子批準2023-2024年網絡安全總預算1200萬元，其中技術升級占比60%，人員培訓占比25%，應急儲備占比15%。財務部建立獨立核算科目，確保專款專用。

6.2技術部署推進計劃

6.2.1核心系統(tǒng)加固

信息科牽頭成立專項工作組，分三階段實施：

（1）11月完成HIS、EMR系統(tǒng)漏洞掃描與修復，重點修復高危漏洞

（2）12月部署零信任架構，實現基于角色的動態(tài)訪問控制

（3）2024年Q1上線數據防泄漏系統(tǒng)（DLP），監(jiān)控敏感數據傳輸行為

6.2.2終端管理優(yōu)化

（1）11月15日前完成全院終端準入控制部署，未注冊設備自動隔離

（2）12月推行“終端安全白名單”，僅允許安裝授權軟件

（3）2024年1月啟用密碼管理器，強制要求每90天更換復雜密碼

6.2.3應急能力提升

（1）11月修訂應急預案，新增勒索病毒、數據泄露專項處置流程

（2）12月組建應急響應小組，實行7×24小時輪班值守

（3）2024年每季度開展實戰(zhàn)演練，模擬真實業(yè)務中斷場景

6.3管理機制完善路徑

6.3.1制度體系構建

（1）11月發(fā)布《醫(yī)院網絡安全管理辦法實施細則》，明確三級責任清單

（2）12月制定《數據分類分級操作指南》，指導臨床科室規(guī)范操作

（3）2024年Q1建立第三方服務安全評估標準，納入供應商準入條件

6.3.2責任鏈條強化

（1）院長與分管副院長、分管副院長與部門主任、部門主任與科室員工逐級簽訂責任書

（2）實行“安全