CCSL09蘇DB3205蘇州市市場監(jiān)督管理局發(fā)布DB3205/T1083—2023前言 12規(guī)范性引用文件 13術(shù)語和定義 14概述 15數(shù)據(jù)安全基礎(chǔ)工作 25.1組織管理 25.2人員管理 25.3制度管理 35.4經(jīng)費保障 36數(shù)據(jù)安全常規(guī)工作 36.1基礎(chǔ)設(shè)施安全管理 36.2資產(chǎn)管理 36.3分類分級管理 36.4分級管控建設(shè) 36.5培訓管理 47數(shù)據(jù)安全專項工作 47.1風險監(jiān)測 47.2應(yīng)急處置 47.3安全評估 47.4共享與開放安全 47.5個人健康醫(yī)療數(shù)據(jù)管理 58安全評價與考核 5附錄A（資料性）三種工作關(guān)系及標準的使用說明圖 6附錄B（資料性）組織架構(gòu)設(shè)計 7附錄C（資料性）數(shù)據(jù)資產(chǎn)清單 8附錄D（資料性）數(shù)據(jù)分類分級管控基線 9附錄E（資料性）數(shù)據(jù)安全評價表 參考文獻 DB3205/T1083—2023本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件的某些內(nèi)容可能涉及專利，本文件的發(fā)布機構(gòu)不承擔識別專利的責任。本文件由蘇州市衛(wèi)生健康委員會提出并歸口。本文件起草單位：蘇州市衛(wèi)生計生統(tǒng)計信息中心、蘇州市衛(wèi)生健康委員會、中共蘇州市委網(wǎng)絡(luò)安全和信息化委員會辦公室、蘇州市公安局、蘇州市質(zhì)量和標準化院、北京神州綠盟科技有限公司、昆山市衛(wèi)生計生信息中心、常熟市衛(wèi)生信息中心、蘇州市吳中區(qū)衛(wèi)生健康發(fā)展中心、蘇州市姑蘇區(qū)民政和衛(wèi)生健康局、蘇州工業(yè)園區(qū)衛(wèi)生健康委員會、蘇州大學附屬第一醫(yī)院、蘇州大學附屬第二醫(yī)院、蘇州市立醫(yī)院、蘇州市中醫(yī)醫(yī)院、蘇州市第五人民醫(yī)院、蘇州市第九人民醫(yī)院、蘇州市疾病預(yù)防控制中心、江蘇國保信息系統(tǒng)測評中心有限公司、蘇州億陽值通科技發(fā)展股份有限公司、江蘇安國信檢測技術(shù)有限公司、蘇州如意云網(wǎng)絡(luò)科技有限公司。本文件主要起草人：鞠鑫、謝興潛、夏燕、孟華、朱杰、馬振剛、張俊杰、陸曉明、劉旭哲、周文淵、趙亞、姚永剛、顧嘉奇、湯景云、沈婷、貝乾、陸建新、沈為濂、金健、仲曉偉、李斌、顏慶、顧紀君、徐先泉、張華榮、程思明、劉亞軍、汪春亮、朱晨、諸俊、閔寒、柳維生、費雪剛、唐廣場、沈翀、顧馳洲、黃利軍、沈穎杰、丁翀、方衛(wèi)青、高喆、趙斌、丁松松、吳雪晴、王萍、施嶺、顧奇、郝尚印。DB3205/T1083—2023隨著國家醫(yī)療改革政策的推進，互聯(lián)網(wǎng)醫(yī)院、醫(yī)療聯(lián)合體、醫(yī)療衛(wèi)生服務(wù)共同體、遠程診療等新型醫(yī)療業(yè)務(wù)蓬勃發(fā)展，數(shù)據(jù)采集、數(shù)據(jù)交換、數(shù)據(jù)共享、數(shù)據(jù)挖掘分析等數(shù)據(jù)處理活動成為支撐業(yè)務(wù)創(chuàng)新的關(guān)鍵。同時，隨著物聯(lián)網(wǎng)、人工智能等技術(shù)的在行業(yè)中不斷創(chuàng)新應(yīng)用，人臉、指紋等新型數(shù)據(jù)也成為了健康醫(yī)療數(shù)據(jù)重要的組成部分。醫(yī)療行業(yè)數(shù)據(jù)存在規(guī)模化、多樣化以及流動頻繁的特性，醫(yī)療機構(gòu)如何識別數(shù)據(jù)要素，如何更加安全、合理的利用醫(yī)療數(shù)據(jù)，也成為行業(yè)當前面臨的共性難題。2021年，《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》相繼施行，提出了國家對于數(shù)據(jù)保護的法律底線。而在2022年8月，由國家衛(wèi)生健康委、國家中醫(yī)藥局、國家疾控局三部門聯(lián)合發(fā)布并施行的《醫(yī)療衛(wèi)生機構(gòu)網(wǎng)絡(luò)安全管理辦法》，明確提出了相關(guān)監(jiān)管單位對于醫(yī)療衛(wèi)生機構(gòu)網(wǎng)絡(luò)數(shù)據(jù)安全管理的總體要求。本文件在國家法律、地方條例以及行業(yè)要求的基礎(chǔ)上，針對蘇州市各醫(yī)療機構(gòu)提出了更為細化的數(shù)據(jù)安全管理規(guī)范。本文件為醫(yī)療機構(gòu)提供可參考的數(shù)據(jù)安全管理思路，指導各醫(yī)療機構(gòu)制定合理、有效的數(shù)據(jù)安全管理措施，從而提升醫(yī)療機構(gòu)的數(shù)據(jù)安全管理和防護水平。本文件參考了中國信息通信研究院、國家標準化管理委員會等機構(gòu)的數(shù)據(jù)安全建設(shè)思路，并結(jié)合蘇州本地醫(yī)療機構(gòu)的實際調(diào)研情況，充分討論、總結(jié)形成，具備科學性和可操作性。DB3205/T1083—20231醫(yī)療機構(gòu)數(shù)據(jù)安全管理規(guī)范本文件規(guī)定了醫(yī)療機構(gòu)開展數(shù)據(jù)安全管理的基礎(chǔ)工作、常規(guī)工作及專項工作的要求，描述了對應(yīng)的證實方法。本文件適用于醫(yī)療機構(gòu)數(shù)據(jù)安全管理工作以及監(jiān)管部門檢查與評估。本文件所指的醫(yī)療機構(gòu)包括公立醫(yī)院、民營醫(yī)院、社區(qū)衛(wèi)生服務(wù)中心（站）、校醫(yī)院、鄉(xiāng)鎮(zhèn)衛(wèi)生院、診所（醫(yī)務(wù)室）、村衛(wèi)生室、疾病預(yù)防控制中心、婦幼保健機構(gòu)、?？萍膊》乐卧海ㄋ?、站）、衛(wèi)生監(jiān)督所（中心）。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T22239—2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求GB/T25069—2022信息安全技術(shù)術(shù)語GB/T39725—2020信息安全技術(shù)健康醫(yī)療數(shù)據(jù)安全指南3術(shù)語和定義GB/T25069—2022界定的以及下列術(shù)語和定義適用于本文件。3.1重要數(shù)據(jù)keydata特定領(lǐng)域、特定群體、特定區(qū)域或達到一定精度和規(guī)模，一旦被泄露、篡改或損毀，可能直接危害國家安全、經(jīng)濟運行、社會穩(wěn)定、公共健康和安全的數(shù)據(jù)。3.2個人健康醫(yī)療數(shù)據(jù)personalhealthdata單獨或者其他信息結(jié)合后能夠識別特定自然人或者反映特定自然人生理或心理健康的相關(guān)電子數(shù)據(jù)。[來源：GB/T39725—2020，3.1]3.3健康醫(yī)療信息系統(tǒng)healthinformationsystem以計算機可處理的形式采集、存儲、處理、傳輸、訪問、銷毀健康醫(yī)療數(shù)據(jù)的系統(tǒng)。[來源：GB/T39725—2020，3.6]4概述2DB3205/T1083—2023醫(yī)療機構(gòu)在開展數(shù)據(jù)安全管理時，應(yīng)充分考慮國家及行業(yè)的相關(guān)要求，結(jié)合自身的基礎(chǔ)設(shè)施現(xiàn)狀，明確建設(shè)目標。根據(jù)數(shù)據(jù)安全管理工作開展的性質(zhì)，將管理工作劃分為基礎(chǔ)工作、常規(guī)工作、專項工作三大類，具體說明如下：——基礎(chǔ)工作是醫(yī)療機構(gòu)開展數(shù)據(jù)安全管理工作的基礎(chǔ)前提；——常規(guī)工作是保障醫(yī)療機構(gòu)數(shù)據(jù)安全正常運行的常規(guī)要求；——專項工作是針對數(shù)據(jù)安全高風險場景、特殊的醫(yī)療業(yè)務(wù)場景、監(jiān)管等場景下的管理優(yōu)化專項建議。醫(yī)療機構(gòu)可根據(jù)自身情況選擇三種工作的執(zhí)行內(nèi)容和范圍。醫(yī)療機構(gòu)監(jiān)管單位也可根據(jù)不同類型、級別的醫(yī)療機構(gòu)，設(shè)置不同的數(shù)據(jù)安全管理工作的評價、考核指標。三種工作的關(guān)系及標準的使用說明見附錄A。5數(shù)據(jù)安全基礎(chǔ)工作5.1組織管理5.1.1醫(yī)療機構(gòu)應(yīng)建立數(shù)據(jù)安全管理團隊。5.1.2數(shù)據(jù)安全管理團隊應(yīng)包含決策、管理、執(zhí)行、監(jiān)督四個層級（見附錄B），具體要求如下：——決策層：負責統(tǒng)籌數(shù)據(jù)安全建設(shè)整體策略與方針，為數(shù)據(jù)安全工作指明方向；——管理層：負責數(shù)據(jù)安全管理工作，編制數(shù)據(jù)安全相關(guān)制度及要求，指導并推進數(shù)據(jù)安全工作的落實；——執(zhí)行層：負責組織內(nèi)部數(shù)據(jù)安全工作具體執(zhí)行，例如：權(quán)限分配，關(guān)鍵數(shù)據(jù)處理活動的措施實施；——監(jiān)督層：負責數(shù)據(jù)安全的日常審計及處理公眾日常投訴等工作，定期開展數(shù)據(jù)安全審計和分析，及時發(fā)現(xiàn)并反饋問題和風險。5.1.3醫(yī)療機構(gòu)應(yīng)按照組織規(guī)模、組織級別、組織架構(gòu)現(xiàn)狀設(shè)立數(shù)據(jù)安全管理員崗，負責安全管理的具體工作。5.1.4針對小型醫(yī)療機構(gòu)，如社區(qū)衛(wèi)生服務(wù)中心（站）、校醫(yī)院、鄉(xiāng)鎮(zhèn)衛(wèi)生院、診所（醫(yī)務(wù)室）、村衛(wèi)生室等，宜簡化數(shù)據(jù)安全管理團隊層級，僅保留管理層和執(zhí)行層，決策層與管理層職責合并，執(zhí)行層與監(jiān)督層職責合并。5.1.5針對小型醫(yī)療機構(gòu)，如社區(qū)衛(wèi)生服務(wù)中心（站）、校醫(yī)院、鄉(xiāng)鎮(zhèn)衛(wèi)生院、診所（醫(yī)務(wù)室）、村衛(wèi)生室等，宜采取一把手責任制，由機構(gòu)最高領(lǐng)導兼任數(shù)據(jù)安全管理員。5.2人員管理5.2.1醫(yī)療機構(gòu)應(yīng)對數(shù)據(jù)安全管理員任用前、任用中、任用終止各環(huán)節(jié)建立有效的安全控制措施，具體要求如下：——任用前，應(yīng)進行背景調(diào)查；——任用中，應(yīng)簽署相關(guān)的保密協(xié)議及安全責任協(xié)議；——離任后，應(yīng)及時回收相應(yīng)的管理權(quán)限，并確保完成工作交接。5.2.2數(shù)據(jù)安全管理團隊所有成員應(yīng)滿足層級、崗位的數(shù)據(jù)安全能力要求，不滿足條件時，宜通過外部招聘、培訓等方式增強數(shù)據(jù)安全能力，以達到崗位要求。5.2.3醫(yī)療機構(gòu)應(yīng)為數(shù)據(jù)安全管理團隊成員定制專業(yè)技能、安全意識、流程制度等維度的培訓計劃。5.2.4醫(yī)療機構(gòu)應(yīng)將相關(guān)數(shù)據(jù)安全工作納入團隊成員的日常工作考核中，并參考現(xiàn)有的考核機制執(zhí)行獎懲。DB3205/T1083—20235.3制度管理5.3.1醫(yī)療機構(gòu)應(yīng)建立完善的數(shù)據(jù)安全管理制度，至少包含數(shù)據(jù)安全管理、數(shù)據(jù)分類分級保護、數(shù)據(jù)安全風險評估、數(shù)據(jù)安全應(yīng)急處置、數(shù)據(jù)安全培訓5個部分，宜結(jié)合現(xiàn)有網(wǎng)絡(luò)安全制度進行補充或通過獨立制度文本呈現(xiàn)。5.3.2醫(yī)療機構(gòu)若涉及第三方參與業(yè)務(wù)服務(wù)、實施，或與第三方單位有數(shù)據(jù)交互的情形，還應(yīng)建立第三方的數(shù)據(jù)安全管理制度。5.3.3醫(yī)療機構(gòu)若涉及數(shù)據(jù)出境情形，如國際遠程會診、海外科研等場景，還應(yīng)按照《數(shù)據(jù)出境安全評估辦法》的具體規(guī)定進行制度的補充建設(shè)。5.3.4醫(yī)療機構(gòu)應(yīng)定期修訂管理制度，修訂頻率不低于一年一次。5.4經(jīng)費保障醫(yī)療機構(gòu)應(yīng)在數(shù)據(jù)安全建設(shè)和運營方面設(shè)置保障經(jīng)費。6數(shù)據(jù)安全常規(guī)工作6.1基礎(chǔ)設(shè)施安全管理6.1.1醫(yī)療機構(gòu)數(shù)據(jù)計算和存儲的安全物理環(huán)境宜參考GB/T22239—2019中的相關(guān)要求建設(shè)。6.1.2醫(yī)療機構(gòu)業(yè)務(wù)數(shù)據(jù)的存儲設(shè)備應(yīng)部署在中華人民共和國境內(nèi)。6.1.3醫(yī)療機構(gòu)業(yè)務(wù)數(shù)據(jù)的存儲設(shè)備應(yīng)具備訪問控制、備份與恢復基本功能。6.1.4針對醫(yī)療機構(gòu)重要數(shù)據(jù)，應(yīng)采用本地備份、異地災(zāi)備的技術(shù)保障數(shù)據(jù)的完整性。6.2資產(chǎn)管理6.2.1醫(yī)療機構(gòu)應(yīng)定期更新《數(shù)據(jù)資產(chǎn)清單》（見附錄C），包括數(shù)據(jù)資產(chǎn)的所在位置、數(shù)據(jù)所屬的健康醫(yī)療信息系統(tǒng)、責任人、部門等信息。6.2.2醫(yī)療機構(gòu)宜采用自動化工具定期進行數(shù)據(jù)資產(chǎn)的掃描，及時發(fā)現(xiàn)新增和變化的數(shù)據(jù)資產(chǎn)，并通過數(shù)據(jù)資產(chǎn)分布地圖的形式呈現(xiàn)數(shù)據(jù)資產(chǎn)及資產(chǎn)變化情況。6.2.3當醫(yī)療機構(gòu)重要數(shù)據(jù)資產(chǎn)、個人健康醫(yī)療數(shù)據(jù)資產(chǎn)發(fā)生較大變化和波動時，應(yīng)有相應(yīng)的監(jiān)測、預(yù)警、處置機制。6.3分類分級管理6.3.1醫(yī)療機構(gòu)應(yīng)定期開展分類分級工作，對健康醫(yī)療信息系統(tǒng)內(nèi)的數(shù)據(jù)資產(chǎn)進行分類分級標識。6.3.2醫(yī)療機構(gòu)宜采用自動化工具的方式開展數(shù)據(jù)標識，并結(jié)合數(shù)據(jù)分類分級規(guī)范形成本機構(gòu)的數(shù)據(jù)分類分級字典。6.3.3分類分級工作的執(zhí)行頻率應(yīng)與數(shù)據(jù)資產(chǎn)管理頻率保持一致。6.3.4醫(yī)療機構(gòu)應(yīng)制定數(shù)據(jù)級別變更的審批流程，審批鏈路上宜包含數(shù)據(jù)安全管理員，應(yīng)對級別變更記錄、審批記錄進行保存。6.4分級管控建設(shè)6.4.1醫(yī)療機構(gòu)宜參考GB/T39725—2020，采用流程審批、管理制度、加密、脫敏、權(quán)限限制、備份等手段對數(shù)據(jù)資產(chǎn)進行保護。6.4.2針對存儲在醫(yī)療機構(gòu)內(nèi)的人臉識別信息，應(yīng)按照《醫(yī)療衛(wèi)生機構(gòu)網(wǎng)絡(luò)安全管理辦法》采取特殊的安全技術(shù)手段進行保護。DB3205/T1083—202346.4.3醫(yī)療機構(gòu)應(yīng)定期修訂《數(shù)據(jù)分類分級管控基線》（見附錄D），保證清單的適用性及合理性。6.5培訓管理6.5.1醫(yī)療機構(gòu)應(yīng)定期組織數(shù)據(jù)安全培訓，并形成相關(guān)記錄，培訓的內(nèi)容應(yīng)結(jié)合培訓對象的需求制定，具體要求如下：——面對醫(yī)療機構(gòu)全員，應(yīng)包含法律宣傳、管理制度宣貫、安全意識等培訓課程；——面對醫(yī)療機構(gòu)數(shù)據(jù)安全管理團隊成員，應(yīng)包含數(shù)據(jù)分類分級、數(shù)據(jù)安全風險評估、數(shù)據(jù)安全技術(shù)等培訓課程。6.5.2醫(yī)療機構(gòu)宜建立本機構(gòu)的數(shù)據(jù)安全培訓課程體系。7數(shù)據(jù)安全專項工作7.1風險監(jiān)測7.1.1醫(yī)療機構(gòu)應(yīng)建立數(shù)據(jù)安全風險監(jiān)測機制，提高風險發(fā)現(xiàn)的時效性。7.1.2醫(yī)療機構(gòu)應(yīng)具備數(shù)據(jù)安全風險發(fā)現(xiàn)能力，包含但不限于數(shù)據(jù)內(nèi)容分析能力、數(shù)據(jù)行為分析能力、數(shù)據(jù)溯源能力。7.1.3醫(yī)療機構(gòu)應(yīng)定期開展人員安全意識評估，識別人員風險。7.1.4醫(yī)療機構(gòu)應(yīng)定期開展制度流程風險評估，識別流程設(shè)計、運行等缺陷。7.1.5醫(yī)療機構(gòu)宜部署相關(guān)技術(shù)工具，輔助識別數(shù)據(jù)安全風險。7.2應(yīng)急處置7.2.1醫(yī)療機構(gòu)應(yīng)建立完善的數(shù)據(jù)安全應(yīng)急響應(yīng)與事件處置機制，做好應(yīng)急預(yù)案，并定期組織應(yīng)急演練，保證信息資源的可用性。7.2.2醫(yī)療機構(gòu)應(yīng)依據(jù)國家及行業(yè)主管部門規(guī)定，綜合事件性質(zhì)、影響范圍等因素，對安全事件進行分級管理。7.2.3醫(yī)療機構(gòu)應(yīng)按照醫(yī)療行業(yè)主管部門有關(guān)規(guī)定，向醫(yī)療機構(gòu)監(jiān)管單位上報數(shù)據(jù)安全事件及其處置情況。7.2.4醫(yī)療機構(gòu)應(yīng)在發(fā)生數(shù)據(jù)泄露事件時，及時采取補救措施，并按照合同協(xié)議等有關(guān)約定履行客戶及合作方告知義務(wù)。7.2.5醫(yī)療機構(gòu)應(yīng)在事件處置結(jié)束后，分析原因總結(jié)存在的問題，并形成總結(jié)報告。7.3安全評估7.3.1醫(yī)療機構(gòu)應(yīng)建立數(shù)據(jù)安全檢查評估機制，并定期組織數(shù)據(jù)安全風險評估，形成評估報告，報告內(nèi)容包含但不限于：——評估的數(shù)據(jù)資產(chǎn)的種類、數(shù)量；——已開展數(shù)據(jù)處理活動的情況；——已識別的數(shù)據(jù)安全風險。7.3.2針對檢查評估的結(jié)果，醫(yī)療機構(gòu)應(yīng)明確責任部門，編制適宜的整改計劃，并由數(shù)據(jù)安全管理員跟蹤落實。7.4共享與開放安全7.4.1醫(yī)療機構(gòu)應(yīng)設(shè)置數(shù)據(jù)共享與開放的責任人，負責組織內(nèi)數(shù)據(jù)的對外共享和開放。DB3205/T1083—20237.4.2醫(yī)療機構(gòu)應(yīng)建立數(shù)據(jù)共享與開放的管理制度和管控規(guī)則。7.4.3醫(yī)療機構(gòu)應(yīng)根據(jù)共享和開放數(shù)據(jù)的類型、數(shù)量及影響范圍，充分評估數(shù)據(jù)安全風險，形成數(shù)據(jù)共享開放風險評估報告。7.4.4針對醫(yī)療機構(gòu)重要數(shù)據(jù)的共享場景，宜采取數(shù)據(jù)安全新技術(shù)實現(xiàn)數(shù)據(jù)的可用不可見，例如隱私計算。7.5個人健康醫(yī)療數(shù)據(jù)管理7.5.1針對個人健康醫(yī)療數(shù)據(jù)的安全管理要求應(yīng)遵循相關(guān)國家標準和行業(yè)標準。7.5.2醫(yī)療機構(gòu)應(yīng)具有識別、區(qū)分個人健康醫(yī)療數(shù)據(jù)的能力，并對個人健康醫(yī)療數(shù)據(jù)進行標識。7.5.3醫(yī)療機構(gòu)應(yīng)建立個人健康醫(yī)療數(shù)據(jù)的安全管控機制及技術(shù)措施，包含但不限于個人健康醫(yī)療數(shù)據(jù)的收集、傳輸、存儲、使用、刪除、銷毀以及個人健康醫(yī)療數(shù)據(jù)主體的權(quán)利。8安全評價與考核8.1醫(yī)療機構(gòu)應(yīng)按照本文件對自身數(shù)據(jù)安全建設(shè)情況進行評價。8.2醫(yī)療機構(gòu)監(jiān)管單位可參照本文件對醫(yī)療機構(gòu)數(shù)據(jù)安全建設(shè)情況進行考核，考核方式可以評價表方式呈現(xiàn)（見附錄E）。8.3考核可采取數(shù)據(jù)安全專項形式或在年度考核中體現(xiàn)。DB3205/T1083—20236（資料性）三種工作關(guān)系及標準的使用說明圖三種工作的關(guān)系以及標準的使用說明如A.1所示。圖A.1醫(yī)療機構(gòu)數(shù)據(jù)安全管理規(guī)范標準使用說明DB3205/T1083—2023組織架構(gòu)設(shè)計醫(yī)療機構(gòu)設(shè)計自身數(shù)據(jù)安全管理組織架構(gòu)，示例見表B.1。表B.1數(shù)據(jù)安全組織架構(gòu)（示例）采取一把手責任制，成立由醫(yī)務(wù)分管副院長、信息分管副院長擔任副組長的數(shù)據(jù)安全領(lǐng)導中心主任/分管安全建設(shè)副主督DB3205/T1083—20238數(shù)據(jù)資產(chǎn)清單醫(yī)療機構(gòu)建立的數(shù)據(jù)資產(chǎn)清單，示例見表C.1。表C.1數(shù)據(jù)資產(chǎn)清單DB3205/T