2025年醫(yī)院信息安全管理規(guī)范試題及答案一、單項(xiàng)選擇題（每題2分，共30題，合計(jì)60分）1.根據(jù)2025年《醫(yī)院信息安全管理規(guī)范》（以下簡(jiǎn)稱《規(guī)范》），醫(yī)院信息安全管理的第一責(zé)任主體是？A.信息中心主任B.分管副院長(zhǎng)C.醫(yī)院法定代表人D.網(wǎng)絡(luò)安全管理員答案：C2.醫(yī)院電子病歷系統(tǒng)中患者姓名、身份證號(hào)、診療記錄屬于哪一級(jí)數(shù)據(jù)？A.一級(jí)（公開(kāi)）B.二級(jí)（內(nèi)部）C.三級(jí)（敏感）D.四級(jí)（核心）答案：D3.訪問(wèn)醫(yī)院HIS系統(tǒng)時(shí)，實(shí)習(xí)醫(yī)生僅能查看本科室患者的基礎(chǔ)信息，不能修改或?qū)С觯@體現(xiàn)了信息安全的哪項(xiàng)原則？A.最小權(quán)限原則B.責(zé)任分離原則C.縱深防御原則D.最小化攻擊面原則答案：A4.醫(yī)院與第三方公司合作開(kāi)發(fā)智能分診系統(tǒng)時(shí)，關(guān)于數(shù)據(jù)共享的要求，正確的是？A.共享前需經(jīng)醫(yī)院倫理委員會(huì)審批B.可直接共享匿名化后的數(shù)據(jù)C.第三方無(wú)需簽署安全責(zé)任協(xié)議D.共享范圍可超出合作需求答案：A5.醫(yī)院核心業(yè)務(wù)系統(tǒng)（如LIS、PACS）的訪問(wèn)日志應(yīng)至少保留多長(zhǎng)時(shí)間？A.6個(gè)月B.1年C.2年D.3年答案：D6.發(fā)現(xiàn)醫(yī)院患者影像數(shù)據(jù)被非法下載至外部設(shè)備，應(yīng)在多長(zhǎng)時(shí)間內(nèi)向衛(wèi)生健康主管部門(mén)報(bào)告？A.1小時(shí)B.2小時(shí)C.12小時(shí)D.24小時(shí)答案：B7.關(guān)于醫(yī)療設(shè)備物聯(lián)網(wǎng)安全管理，錯(cuò)誤的要求是？A.超聲設(shè)備需與HIS系統(tǒng)物理隔離B.聯(lián)網(wǎng)監(jiān)護(hù)儀需啟用設(shè)備身份認(rèn)證C.設(shè)備固件更新需經(jīng)過(guò)安全測(cè)試D.設(shè)備日志需同步至醫(yī)院集中日志服務(wù)器答案：A8.醫(yī)院開(kāi)展信息安全培訓(xùn)時(shí)，新入職醫(yī)護(hù)人員的初始培訓(xùn)時(shí)長(zhǎng)不得少于？A.2學(xué)時(shí)B.4學(xué)時(shí)C.8學(xué)時(shí)D.16學(xué)時(shí)答案：C9.用于存儲(chǔ)患者基因檢測(cè)數(shù)據(jù)的數(shù)據(jù)庫(kù)，應(yīng)采用的加密方式是？A.鏈路層加密B.應(yīng)用層加密C.數(shù)據(jù)庫(kù)字段級(jí)加密D.文件系統(tǒng)加密答案：C10.醫(yī)院容災(zāi)備份中心的建設(shè)標(biāo)準(zhǔn)中，針對(duì)門(mén)診收費(fèi)系統(tǒng)的恢復(fù)時(shí)間目標(biāo)（RTO）應(yīng)不超過(guò)？A.30分鐘B.1小時(shí)C.2小時(shí)D.4小時(shí)答案：B11.對(duì)醫(yī)院信息系統(tǒng)進(jìn)行滲透測(cè)試時(shí)，必須提前獲得批準(zhǔn)的部門(mén)是？A.信息中心B.醫(yī)務(wù)科C.醫(yī)院安全委員會(huì)D.衛(wèi)生健康主管部門(mén)答案：C12.患者通過(guò)醫(yī)院APP查詢檢驗(yàn)報(bào)告時(shí)，系統(tǒng)要求輸入短信驗(yàn)證碼+人臉識(shí)別，這屬于？A.單因素認(rèn)證B.雙因素認(rèn)證C.多因素認(rèn)證D.無(wú)密碼認(rèn)證答案：C13.醫(yī)院采購(gòu)新的電子病歷系統(tǒng)時(shí)，必須符合的國(guó)家標(biāo)準(zhǔn)是？A.GB/T35273-2020《信息安全技術(shù)個(gè)人信息安全規(guī)范》B.GB/T22239-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》C.GB/T39725-2020《信息安全技術(shù)醫(yī)療健康信息系統(tǒng)安全防護(hù)要求》D.GB/T37973-2019《信息安全技術(shù)個(gè)人信息去標(biāo)識(shí)化指南》答案：C14.發(fā)現(xiàn)某醫(yī)生賬號(hào)連續(xù)5次輸入錯(cuò)誤密碼后，系統(tǒng)自動(dòng)鎖定該賬號(hào)，這屬于？A.訪問(wèn)控制B.身份認(rèn)證C.安全審計(jì)D.入侵檢測(cè)答案：A15.醫(yī)院信息安全事件分級(jí)中，導(dǎo)致5000名患者個(gè)人信息泄露的事件屬于？A.特別重大事件（I級(jí)）B.重大事件（II級(jí)）C.較大事件（III級(jí)）D.一般事件（IV級(jí)）答案：B16.醫(yī)療設(shè)備接入醫(yī)院內(nèi)網(wǎng)時(shí)，應(yīng)首先進(jìn)行的操作是？A.安裝殺毒軟件B.配置靜態(tài)IPC.進(jìn)行安全檢測(cè)與注冊(cè)D.開(kāi)啟遠(yuǎn)程管理功能答案：C17.醫(yī)院信息安全風(fēng)險(xiǎn)評(píng)估的周期應(yīng)為？A.每半年一次B.每年一次C.每?jī)赡暌淮蜠.每三年一次答案：B18.存儲(chǔ)患者用藥記錄的移動(dòng)硬盤(pán)丟失后，正確的處理流程是？A.立即格式化硬盤(pán)B.報(bào)告信息中心后自行尋找C.啟動(dòng)應(yīng)急預(yù)案并上報(bào)主管部門(mén)D.聯(lián)系硬盤(pán)廠商遠(yuǎn)程鎖定數(shù)據(jù)答案：C19.醫(yī)院信息系統(tǒng)的口令策略中，普通醫(yī)護(hù)人員賬號(hào)的最小長(zhǎng)度應(yīng)為？A.6位B.8位C.10位D.12位答案：B20.對(duì)醫(yī)院信息系統(tǒng)進(jìn)行數(shù)據(jù)備份時(shí)，離線備份介質(zhì)的存放地點(diǎn)應(yīng)？A.與機(jī)房同一樓層B.與機(jī)房同一建筑C.與機(jī)房同城不同區(qū)D.與機(jī)房異地（跨市）答案：D21.醫(yī)院開(kāi)展遠(yuǎn)程醫(yī)療會(huì)診時(shí)，傳輸?shù)挠跋駭?shù)據(jù)必須采用的加密算法是？A.DESB.AES-256C.RSA-1024D.MD5答案：B22.信息中心工作人員調(diào)試系統(tǒng)時(shí)，使用超級(jí)管理員賬號(hào)的要求是？A.可長(zhǎng)期持有賬號(hào)B.需雙人授權(quán)并記錄操作日志C.調(diào)試結(jié)束后無(wú)需退出D.可共享給其他技術(shù)人員答案：B23.醫(yī)院APP收集患者位置信息時(shí)，必須滿足的條件是？A.無(wú)需告知用戶B.僅收集必要的位置范圍（如醫(yī)院內(nèi)）C.可用于商業(yè)推廣D.存儲(chǔ)期限無(wú)限制答案：B24.醫(yī)療物聯(lián)網(wǎng)設(shè)備（如智能血壓計(jì)）的安全漏洞修復(fù)時(shí)限應(yīng)為？A.發(fā)現(xiàn)后24小時(shí)內(nèi)B.發(fā)現(xiàn)后72小時(shí)內(nèi)C.發(fā)現(xiàn)后1周內(nèi)D.發(fā)現(xiàn)后1個(gè)月內(nèi)答案：A25.醫(yī)院信息安全管理手冊(cè)的修訂頻率應(yīng)為？A.每年至少一次B.每?jī)赡曛辽僖淮蜟.每三年至少一次D.無(wú)固定要求，按需修訂答案：A26.患者通過(guò)自助機(jī)打印檢查報(bào)告時(shí)，系統(tǒng)要求輸入就診卡號(hào)+驗(yàn)證碼，這是為了防止？A.數(shù)據(jù)篡改B.越權(quán)訪問(wèn)C.否認(rèn)抵賴D.信息泄露答案：D27.醫(yī)院與云服務(wù)商合作存儲(chǔ)電子病歷數(shù)據(jù)時(shí)，必須明確的是？A.數(shù)據(jù)所有權(quán)歸屬醫(yī)院B.云服務(wù)商可自行使用數(shù)據(jù)C.數(shù)據(jù)泄露責(zé)任由患者承擔(dān)D.無(wú)需簽訂數(shù)據(jù)安全協(xié)議答案：A28.信息安全檢查中發(fā)現(xiàn)某科室電腦未安裝終端安全管理軟件，應(yīng)首先采取的措施是？A.批評(píng)科室負(fù)責(zé)人B.斷開(kāi)該電腦網(wǎng)絡(luò)連接C.記錄問(wèn)題并限期整改D.上報(bào)醫(yī)院安全委員會(huì)答案：B29.醫(yī)院信息系統(tǒng)的災(zāi)難恢復(fù)演練頻率應(yīng)為？A.每季度一次B.每半年一次C.每年一次D.每?jī)赡暌淮未鸢福築30.對(duì)患者基因組數(shù)據(jù)進(jìn)行去標(biāo)識(shí)化處理時(shí)，必須保留的信息是？A.姓名B.身份證號(hào)C.樣本編號(hào)D.聯(lián)系方式答案：C二、多項(xiàng)選擇題（每題3分，共10題，合計(jì)30分。每題至少有2個(gè)正確選項(xiàng)，錯(cuò)選、漏選均不得分）1.醫(yī)院信息安全管理體系應(yīng)包括以下哪些內(nèi)容？A.安全管理制度文件B.安全技術(shù)防護(hù)措施C.安全管理組織架構(gòu)D.安全培訓(xùn)與考核機(jī)制答案：ABCD2.屬于醫(yī)院核心數(shù)據(jù)的有？A.患者電子病歷全文B.醫(yī)院財(cái)務(wù)報(bào)表C.藥品庫(kù)存數(shù)據(jù)D.基因檢測(cè)原始數(shù)據(jù)答案：AD3.訪問(wèn)控制的實(shí)施要素包括？A.身份標(biāo)識(shí)B.權(quán)限分配C.訪問(wèn)審計(jì)D.動(dòng)態(tài)調(diào)整答案：ABCD4.醫(yī)院信息系統(tǒng)加密技術(shù)的應(yīng)用場(chǎng)景包括？A.患者數(shù)據(jù)傳輸過(guò)程B.數(shù)據(jù)庫(kù)存儲(chǔ)時(shí)C.移動(dòng)存儲(chǔ)介質(zhì)使用前D.打印輸出時(shí)答案：ABC5.信息安全培訓(xùn)的重點(diǎn)內(nèi)容應(yīng)包括？A.個(gè)人信息保護(hù)法規(guī)B.系統(tǒng)操作安全規(guī)范C.社會(huì)工程學(xué)防范D.應(yīng)急響應(yīng)流程答案：ABCD6.醫(yī)院信息安全應(yīng)急預(yù)案應(yīng)包含的要素有？A.事件分級(jí)標(biāo)準(zhǔn)B.響應(yīng)組織機(jī)構(gòu)C.技術(shù)處置流程D.事后評(píng)估要求答案：ABCD7.對(duì)第三方合作方的安全管理應(yīng)包括？A.簽訂數(shù)據(jù)安全協(xié)議B.開(kāi)展安全風(fēng)險(xiǎn)評(píng)估C.限制數(shù)據(jù)使用范圍D.定期審計(jì)合作過(guò)程答案：ABCD8.終端安全防護(hù)的主要措施有？A.安裝統(tǒng)一殺毒軟件B.啟用屏幕自動(dòng)鎖定C.禁止使用移動(dòng)存儲(chǔ)設(shè)備D.實(shí)施網(wǎng)絡(luò)準(zhǔn)入控制答案：ABD9.容災(zāi)備份的基本要求包括？A.備份數(shù)據(jù)完整性驗(yàn)證B.備份介質(zhì)異地存放C.定期進(jìn)行恢復(fù)測(cè)試D.備份頻率與業(yè)務(wù)重要性匹配答案：ABCD10.信息安全風(fēng)險(xiǎn)評(píng)估的主要步驟包括？A.資產(chǎn)識(shí)別與賦值B.威脅與脆弱性分析C.風(fēng)險(xiǎn)等級(jí)計(jì)算D.制定風(fēng)險(xiǎn)處置措施答案：ABCD三、判斷題（每題1分，共20題，合計(jì)20分。正確填“√”，錯(cuò)誤填“×”）1.醫(yī)院信息安全管理只需關(guān)注技術(shù)防護(hù)，無(wú)需建立管理制度。（）答案：×2.患者診療數(shù)據(jù)屬于個(gè)人敏感信息，需采用最高級(jí)別保護(hù)。（）答案：√3.實(shí)習(xí)醫(yī)生因工作需要可臨時(shí)借用帶教老師的賬號(hào)登錄系統(tǒng)。（）答案：×4.醫(yī)院信息系統(tǒng)的日志只需記錄關(guān)鍵操作，普通訪問(wèn)無(wú)需留存。（）答案：×5.發(fā)現(xiàn)數(shù)據(jù)泄露后，應(yīng)優(yōu)先通知患者，再向主管部門(mén)報(bào)告。（）答案：×6.醫(yī)療設(shè)備聯(lián)網(wǎng)前必須進(jìn)行安全檢測(cè)，確認(rèn)無(wú)漏洞后方可接入。（）答案：√7.醫(yī)院可將患者電話號(hào)碼提供給合作藥企用于用藥提醒。（）答案：×8.信息中心工作人員可使用默認(rèn)管理員賬號(hào)進(jìn)行系統(tǒng)維護(hù)。（）答案：×9.移動(dòng)終端接入醫(yī)院內(nèi)網(wǎng)時(shí)，必須通過(guò)設(shè)備身份認(rèn)證和安全檢查。（）答案：√10.數(shù)據(jù)備份完成后，無(wú)需驗(yàn)證備份數(shù)據(jù)的可用性。（）答案：×11.醫(yī)院信息安全培訓(xùn)只需針對(duì)技術(shù)人員，醫(yī)護(hù)人員無(wú)需參與。（）答案：×12.第三方合作結(jié)束后，應(yīng)要求其刪除或返還所有醫(yī)院數(shù)據(jù)。（）答案：√13.患者通過(guò)手機(jī)查詢報(bào)告時(shí)，系統(tǒng)可長(zhǎng)期保存用戶登錄會(huì)話。（）答案：×14.醫(yī)院信息系統(tǒng)的口令應(yīng)定期更換，普通賬號(hào)更換周期不超過(guò)90天。（）答案：√15.發(fā)生信息安全事件后，為避免影響醫(yī)院聲譽(yù)，可隱瞞不報(bào)。（）答案：×16.醫(yī)療物聯(lián)網(wǎng)設(shè)備的固件更新可由廠商直接推送，無(wú)需醫(yī)院審核。（）答案：×17.醫(yī)院APP收集患者信息時(shí)，應(yīng)明確告知收集目的、方式和范圍。（）答案：√18.容災(zāi)備份中心的建設(shè)標(biāo)準(zhǔn)應(yīng)與主系統(tǒng)完全一致，確保無(wú)縫切換。（）答案：√19.信息安全檢查中發(fā)現(xiàn)的問(wèn)題，只需記錄在案，無(wú)需跟蹤整改。（）答案：×20.醫(yī)院信息安全管理的最終目標(biāo)是實(shí)現(xiàn)“零風(fēng)險(xiǎn)”。（）答案：×四、簡(jiǎn)答題（每題5分，共10題，合計(jì)50分）1.簡(jiǎn)述醫(yī)院信息安全管理的“三同步”原則。答案：醫(yī)院信息系統(tǒng)建設(shè)應(yīng)遵循“同步規(guī)劃、同步建設(shè)、同步使用”原則，即信息安全措施需與信息系統(tǒng)規(guī)劃設(shè)計(jì)同時(shí)進(jìn)行，與系統(tǒng)建設(shè)實(shí)施同時(shí)開(kāi)展，與系統(tǒng)投入使用同時(shí)生效，確保安全防護(hù)與業(yè)務(wù)發(fā)展同步推進(jìn)。2.列舉醫(yī)院數(shù)據(jù)分級(jí)保護(hù)的具體措施（至少4項(xiàng)）。答案：（1）核心數(shù)據(jù)（如電子病歷）采用字段級(jí)加密存儲(chǔ)；（2）敏感數(shù)據(jù)（如患者聯(lián)系方式）限制訪問(wèn)權(quán)限至最小必要范圍；（3）內(nèi)部數(shù)據(jù)（如科室排班表）實(shí)施訪問(wèn)審批流程；（4）公開(kāi)數(shù)據(jù)（如醫(yī)院地址）定期審核更新內(nèi)容；（5）不同級(jí)別數(shù)據(jù)存儲(chǔ)于邏輯隔離的數(shù)據(jù)庫(kù)中。3.說(shuō)明訪問(wèn)控制“最小權(quán)限原則”的具體實(shí)施要求。答案：（1）根據(jù)用戶角色（如醫(yī)生、護(hù)士、行政人員）分配基礎(chǔ)權(quán)限；（2）根據(jù)具體崗位職責(zé)細(xì)化權(quán)限（如門(mén)診醫(yī)生僅能查看本科室患者數(shù)據(jù)）；（3）權(quán)限需定期審核（至少每季度一次）并動(dòng)態(tài)調(diào)整；（4）臨時(shí)權(quán)限需設(shè)置有效期限并記錄審批過(guò)程；（5）禁止默認(rèn)全權(quán)限賬號(hào)存在。4.醫(yī)院信息系統(tǒng)加密技術(shù)的應(yīng)用需滿足哪些要求？答案：（1）傳輸加密：采用AES-256或國(guó)密SM4算法，確保端到端加密；（2）存儲(chǔ)加密：數(shù)據(jù)庫(kù)采用透明加密或應(yīng)用層加密，移動(dòng)介質(zhì)采用硬件加密；（3）密鑰管理：獨(dú)立于數(shù)據(jù)存儲(chǔ)，由專人保管并定期更換；（4）加密范圍覆蓋所有敏感數(shù)據(jù)（如身份證號(hào)、診療記錄）；（5）加密算法符合國(guó)家密碼管理要求，禁止使用已淘汰算法（如DES）。5.信息安全培訓(xùn)的重點(diǎn)對(duì)象及內(nèi)容分別是什么？答案：重點(diǎn)對(duì)象包括：（1）醫(yī)院管理層（院長(zhǎng)、分管副院長(zhǎng)）；（2）業(yè)務(wù)部門(mén)人員（醫(yī)生、護(hù)士、藥劑師）；（3）技術(shù)人員（信息中心員工）；（4）第三方合作人員。培訓(xùn)內(nèi)容：（1）法規(guī)要求（《個(gè)人信息保護(hù)法》《數(shù)據(jù)安全法》）；（2）安全操作規(guī)范（賬號(hào)使用、數(shù)據(jù)訪問(wèn)）；（3）風(fēng)險(xiǎn)識(shí)別（釣魚(yú)郵件、社會(huì)工程學(xué)攻擊）；（4）應(yīng)急處置（數(shù)據(jù)泄露上報(bào)流程）；（5）責(zé)任追究（違規(guī)操作的后果）。6.醫(yī)院信息安全應(yīng)急預(yù)案應(yīng)包含哪些核心環(huán)節(jié)？答案：（1）事件監(jiān)測(cè)與預(yù)警：通過(guò)日志分析、入侵檢測(cè)系統(tǒng)實(shí)時(shí)監(jiān)控；（2）事件分級(jí)：明確I-IV級(jí)事件的判定標(biāo)準(zhǔn)（如數(shù)據(jù)泄露量、系統(tǒng)中斷時(shí)間）；（3）響應(yīng)流程：包括初步處置（隔離故障設(shè)備）、技術(shù)分析（定位漏洞）、患者通知（72小時(shí)內(nèi)）、主管部門(mén)報(bào)告（2小時(shí)內(nèi)）；（4）資源保障：明確應(yīng)急團(tuán)隊(duì)、備用設(shè)備、通信渠道；（5）事后評(píng)估：總結(jié)事件原因、改進(jìn)防護(hù)措施、追究責(zé)任。7.第三方合作方安全管理的關(guān)鍵環(huán)節(jié)有哪些？答案：（1）準(zhǔn)入審核：審查合作方資質(zhì)（信息安全等級(jí)保護(hù)認(rèn)證）、過(guò)往安全記錄；（2）協(xié)議簽訂：明確數(shù)據(jù)使用范圍、安全責(zé)任劃分、違約處罰條款；（3）過(guò)程監(jiān)管：定期檢查數(shù)據(jù)訪問(wèn)日志、開(kāi)展現(xiàn)場(chǎng)審計(jì)；（4）數(shù)據(jù)管控：限制合作方僅能訪問(wèn)必要數(shù)據(jù)，采用“可用不可見(jiàn)”技術(shù)（如脫敏處理）；（5）退出管理：要求合作結(jié)束后刪除或安全返還數(shù)據(jù)，簽署保密承諾。8.終端安全防護(hù)的主要技術(shù)措施有哪些？答案：（1）網(wǎng)絡(luò)準(zhǔn)入控制：未安裝安全軟件、未通過(guò)補(bǔ)丁檢查的設(shè)備禁止接入內(nèi)網(wǎng)；（2）端點(diǎn)加密：筆記本電腦硬盤(pán)啟用全盤(pán)加密；（3）移動(dòng)存儲(chǔ)管控：限制U盤(pán)使用（僅允許注冊(cè)設(shè)備），啟用文件外發(fā)審批；（4）行為監(jiān)控：記錄終端操作日志（如文件復(fù)制、程序運(yùn)行）；（5）補(bǔ)丁管理：通過(guò)統(tǒng)一平臺(tái)推送系統(tǒng)及軟件補(bǔ)丁，72小時(shí)內(nèi)完成修復(fù)。9.容災(zāi)備份的基本要求包括哪些方面？答案：（1）備份策略：核心系統(tǒng)（如HIS）每日全量備份+每小時(shí)增量備份，非核心系統(tǒng)每周全量備份；（2）備份介質(zhì)：采用磁盤(pán)+磁帶組合，離線介質(zhì)存放于異地（跨市）；（3）恢復(fù)測(cè)試：每半年進(jìn)行一次恢復(fù)演練，驗(yàn)證RTO（恢復(fù)時(shí)間目標(biāo)）和RPO（恢復(fù)點(diǎn)目標(biāo)）；（4）數(shù)據(jù)驗(yàn)證：備份后檢查數(shù)據(jù)完整性（如哈希校驗(yàn)），確保無(wú)損壞；（5）文檔管理：備份方案、恢復(fù)流程書(shū)面化，定期更新。10.信息安全風(fēng)險(xiǎn)評(píng)估的主要步驟及目的是什么？答案：步驟：（1）資產(chǎn)識(shí)別：列出所有信息資產(chǎn)（如電子病歷數(shù)據(jù)庫(kù)、PACS系統(tǒng)）并賦值（保密性、完整性、可用性）；（2）威脅分析：識(shí)別外部威脅（如黑客攻擊）、內(nèi)部威脅（如誤操作）；（3）脆弱性評(píng)估：檢測(cè)系統(tǒng)漏洞（如未修復(fù)的SQL注入漏洞）、管理漏洞（如賬號(hào)共享）；（4）風(fēng)險(xiǎn)計(jì)算：通過(guò)“威脅×脆弱性×資產(chǎn)價(jià)值”確定風(fēng)險(xiǎn)等級(jí)；（5）處置措施：高風(fēng)險(xiǎn)需立即整改（如修復(fù)漏洞），中風(fēng)險(xiǎn)需監(jiān)控，低風(fēng)險(xiǎn)可接受。目的是全面掌握醫(yī)院信息安全現(xiàn)狀，為安全策略調(diào)整提供依據(jù)，預(yù)防安全事件發(fā)生。五、案例分析題（共1題，20分）【案例背景】2025年3月，某三甲醫(yī)院信息中心發(fā)現(xiàn)HIS系統(tǒng)日志顯示，某護(hù)士賬號(hào)于凌晨2點(diǎn)登錄并下載了5000條患者電子病歷數(shù)據(jù)（包含姓名、身份證號(hào)、診斷結(jié)果）。經(jīng)調(diào)查，該護(hù)士賬號(hào)密碼為簡(jiǎn)單的“123456”，且近一年未更換；下載的數(shù)據(jù)包通過(guò)醫(yī)院內(nèi)網(wǎng)傳輸至外部IP地址；護(hù)士本人聲稱賬號(hào)被盜用，否認(rèn)操作行為。問(wèn)題：1.分析該事件暴露的信息安全隱患（6分）；2.確定事件責(zé)任主體（4分）；3.簡(jiǎn)述應(yīng)急處置流程（6分）；4.提出改進(jìn)措施（4分）。答案：1.暴露的安全隱患：（1）賬號(hào)安全管理缺失：密碼復(fù)雜度不足（簡(jiǎn)單數(shù)字）、未定期更換（超1年）；（2）訪問(wèn)控制漏洞：護(hù)士賬號(hào)被賦予超出職責(zé)的下載權(quán)限（普通護(hù)士不應(yīng)具備批量下載病