2025年醫(yī)院信息安全管理制度試題及答案一、單項(xiàng)選擇題（每題2分，共30分）1.根據(jù)2025年最新修訂的《醫(yī)院信息安全管理規(guī)范》，以下哪類數(shù)據(jù)屬于核心敏感信息？A.醫(yī)院后勤物資采購清單B.患者影像檢查報(bào)告（含個(gè)人標(biāo)識(shí)）C.醫(yī)護(hù)人員年度考核表D.醫(yī)院學(xué)術(shù)會(huì)議通知答案：B2.某醫(yī)院信息系統(tǒng)需進(jìn)行等級(jí)保護(hù)備案，根據(jù)《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GB/T22239-2019），三級(jí)系統(tǒng)應(yīng)滿足的最小安全控制項(xiàng)數(shù)量為？A.108項(xiàng)B.138項(xiàng)C.178項(xiàng)D.208項(xiàng)答案：C3.醫(yī)院信息系統(tǒng)訪問控制策略中，"最小權(quán)限原則"的核心要求是？A.所有用戶默認(rèn)擁有系統(tǒng)最高權(quán)限B.用戶僅獲得完成工作所需的最低權(quán)限C.醫(yī)生權(quán)限高于護(hù)士，護(hù)士權(quán)限高于行政人員D.系統(tǒng)管理員可隨意調(diào)整用戶權(quán)限答案：B4.關(guān)于醫(yī)療數(shù)據(jù)脫敏處理，以下做法符合規(guī)范的是？A.將患者身份證號(hào)前14位替換為""B.直接刪除患者聯(lián)系方式字段C.對(duì)住院號(hào)進(jìn)行哈希算法加密D.保留患者姓名但隱藏疾病診斷信息答案：C5.醫(yī)院移動(dòng)終端管理中，以下行為被嚴(yán)格禁止的是？A.經(jīng)審批后使用醫(yī)院專用VPN接入內(nèi)網(wǎng)B.安裝經(jīng)安全檢測(cè)的醫(yī)療APPC.使用私人手機(jī)拍攝患者電子病歷屏幕D.定期對(duì)移動(dòng)設(shè)備進(jìn)行病毒掃描答案：C6.2025年《醫(yī)療數(shù)據(jù)安全分類分級(jí)指南》規(guī)定，患者基因檢測(cè)數(shù)據(jù)應(yīng)劃分為？A.一級(jí)（一般數(shù)據(jù)）B.二級(jí)（重要數(shù)據(jù)）C.三級(jí)（核心數(shù)據(jù)）D.四級(jí)（絕密數(shù)據(jù)）答案：C7.醫(yī)院信息系統(tǒng)發(fā)生數(shù)據(jù)泄露事件后，應(yīng)在多長時(shí)間內(nèi)向?qū)俚匦l(wèi)生健康主管部門和網(wǎng)信部門報(bào)告？A.1小時(shí)B.2小時(shí)C.24小時(shí)D.48小時(shí)答案：B8.以下哪項(xiàng)不屬于醫(yī)院信息安全技術(shù)防護(hù)措施？A.網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)（IDS）部署B(yǎng).員工年度安全培訓(xùn)考核C.數(shù)據(jù)庫加密存儲(chǔ)D.雙因素認(rèn)證（2FA）實(shí)施答案：B9.某醫(yī)院擬采購第三方醫(yī)療軟件，根據(jù)《醫(yī)院信息系統(tǒng)安全采購規(guī)范》，必須要求供應(yīng)商提供的證明文件是？A.ISO9001質(zhì)量管理體系認(rèn)證B.網(wǎng)絡(luò)安全等級(jí)保護(hù)三級(jí)測(cè)評(píng)報(bào)告C.軟件著作權(quán)登記證書D.員工社保繳納證明答案：B10.醫(yī)療物聯(lián)網(wǎng)設(shè)備（如智能監(jiān)護(hù)儀）接入醫(yī)院內(nèi)網(wǎng)時(shí)，應(yīng)優(yōu)先采用的安全措施是？A.開放所有端口以便數(shù)據(jù)傳輸B.為每臺(tái)設(shè)備分配固定IP并隔離至專用子網(wǎng)C.使用默認(rèn)出廠密碼進(jìn)行認(rèn)證D.與辦公電腦共享同一網(wǎng)絡(luò)交換機(jī)答案：B11.關(guān)于電子病歷歸檔存儲(chǔ)，以下符合2025年規(guī)范的是？A.存儲(chǔ)介質(zhì)僅保留1份完整備份B.離線備份介質(zhì)每3年進(jìn)行1次恢復(fù)測(cè)試C.在線存儲(chǔ)采用磁盤陣列（RAID5）技術(shù)D.歸檔數(shù)據(jù)可通過互聯(lián)網(wǎng)直接訪問查詢答案：C12.醫(yī)院信息安全事件分級(jí)中，"導(dǎo)致500名以上患者個(gè)人信息泄露"屬于？A.特別重大事件（I級(jí)）B.重大事件（II級(jí)）C.較大事件（III級(jí)）D.一般事件（IV級(jí)）答案：B13.對(duì)信息系統(tǒng)進(jìn)行補(bǔ)丁升級(jí)時(shí)，正確的操作流程是？A.直接在生產(chǎn)環(huán)境安裝最新補(bǔ)丁B.先在測(cè)試環(huán)境驗(yàn)證補(bǔ)丁兼容性，再在生產(chǎn)環(huán)境分批次部署C.由系統(tǒng)管理員單獨(dú)完成補(bǔ)丁安裝，無需記錄D.升級(jí)前無需備份系統(tǒng)數(shù)據(jù)答案：B14.醫(yī)院患者門戶網(wǎng)站需實(shí)現(xiàn)的核心安全功能是？A.允許患者自行修改電子病歷內(nèi)容B.提供無密碼登錄服務(wù)方便患者C.對(duì)患者登錄行為進(jìn)行日志記錄和異常監(jiān)測(cè)D.向所有注冊(cè)用戶開放全部醫(yī)療數(shù)據(jù)查詢權(quán)限答案：C15.關(guān)于信息安全崗位設(shè)置，以下符合"職責(zé)分離"原則的是？A.系統(tǒng)管理員同時(shí)負(fù)責(zé)日志審計(jì)B.數(shù)據(jù)庫管理員兼任數(shù)據(jù)備份操作員C.網(wǎng)絡(luò)管理員與安全審計(jì)員為不同人員D.安全主管直接管理所有技術(shù)崗位答案：C二、判斷題（每題1分，共10分。正確打√，錯(cuò)誤打×）1.醫(yī)院信息系統(tǒng)可以使用默認(rèn)的"admin"賬戶作為超級(jí)管理員賬號(hào)。（）答案：×2.患者在院期間產(chǎn)生的所有醫(yī)療數(shù)據(jù)，其所有權(quán)歸醫(yī)院所有。（）答案：×（注：患者擁有個(gè)人信息的主體權(quán)利）3.經(jīng)患者書面同意后，醫(yī)院可以向科研機(jī)構(gòu)提供未脫敏的原始醫(yī)療數(shù)據(jù)。（）答案：√4.信息安全日志應(yīng)至少保存6個(gè)月，重要日志需保存1年以上。（）答案：×（注：三級(jí)系統(tǒng)日志保存應(yīng)不少于6個(gè)月，重要日志需保存1年）5.移動(dòng)存儲(chǔ)設(shè)備（U盤）可以在內(nèi)外網(wǎng)計(jì)算機(jī)間交叉使用，只要進(jìn)行病毒掃描。（）答案：×6.醫(yī)院信息系統(tǒng)應(yīng)關(guān)閉不必要的端口和服務(wù)，僅保留業(yè)務(wù)必需功能。（）答案：√7.數(shù)據(jù)備份介質(zhì)可以與系統(tǒng)運(yùn)行環(huán)境放置在同一房間，方便緊急恢復(fù)。（）答案：×8.醫(yī)護(hù)人員調(diào)崗時(shí)，只需變更其系統(tǒng)登錄密碼，無需調(diào)整訪問權(quán)限。（）答案：×9.第三方運(yùn)維人員進(jìn)入機(jī)房進(jìn)行維護(hù)時(shí)，無需醫(yī)院人員全程陪同。（）答案：×10.醫(yī)院可以將患者健康檔案數(shù)據(jù)用于商業(yè)廣告推送，只要不泄露個(gè)人姓名。（）答案：×三、簡(jiǎn)答題（每題6分，共30分）1.簡(jiǎn)述醫(yī)院信息安全"三同步"原則的具體內(nèi)容。答案：醫(yī)院信息化建設(shè)應(yīng)遵循"同步規(guī)劃、同步建設(shè)、同步運(yùn)行"原則。即信息安全措施需與信息化項(xiàng)目規(guī)劃同時(shí)設(shè)計(jì)，與信息系統(tǒng)建設(shè)同時(shí)實(shí)施，與業(yè)務(wù)系統(tǒng)運(yùn)行同時(shí)啟用，確保安全防護(hù)能力與業(yè)務(wù)發(fā)展水平相匹配。2.列舉醫(yī)院信息系統(tǒng)應(yīng)實(shí)施的5項(xiàng)訪問控制措施。答案：（1）用戶身份唯一標(biāo)識(shí)與鑒別（如賬號(hào)+密碼+動(dòng)態(tài)令牌）；（2）基于角色的訪問控制（RBAC），根據(jù)崗位職責(zé)分配權(quán)限；（3）會(huì)話超時(shí)自動(dòng)退出機(jī)制；（4）訪問權(quán)限定期審核與調(diào)整；（5）特權(quán)賬戶（如系統(tǒng)管理員）雙人管理制。3.說明醫(yī)療數(shù)據(jù)脫敏的基本要求和常用技術(shù)手段。答案：基本要求：脫敏后數(shù)據(jù)應(yīng)無法通過合理手段恢復(fù)原始信息，且保留數(shù)據(jù)的統(tǒng)計(jì)分析價(jià)值。常用技術(shù)：（1）替換（如將身份證號(hào)末4位替換為""）；（2）隨機(jī)化（對(duì)數(shù)值型數(shù)據(jù)添加隨機(jī)偏移）；（3）加密（使用對(duì)稱/非對(duì)稱加密算法）；（4）截?cái)啵▌h除部分字段，如隱藏手機(jī)號(hào)中間4位）；（5）匿名化（去除直接標(biāo)識(shí)符和間接標(biāo)識(shí)符）。4.簡(jiǎn)述醫(yī)院發(fā)生勒索軟件攻擊后的應(yīng)急處置流程。答案：（1）立即隔離受感染設(shè)備，斷開與內(nèi)網(wǎng)的連接；（2）啟動(dòng)信息安全應(yīng)急預(yù)案，通知信息安全管理小組；（3）關(guān)閉受影響系統(tǒng)的外部訪問入口，防止攻擊擴(kuò)散；（4）使用最近的有效備份數(shù)據(jù)進(jìn)行系統(tǒng)恢復(fù)；（5）對(duì)攻擊源進(jìn)行溯源分析，記錄攻擊特征；（6）升級(jí)系統(tǒng)補(bǔ)丁，加強(qiáng)安全防護(hù)措施；（7）向衛(wèi)生健康主管部門和網(wǎng)信部門報(bào)告事件情況；（8）對(duì)受影響患者進(jìn)行告知，必要時(shí)提供身份保護(hù)服務(wù)。5.闡述2025年醫(yī)院信息安全培訓(xùn)的重點(diǎn)內(nèi)容和要求。答案：重點(diǎn)內(nèi)容：（1）法律法規(guī)：《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《醫(yī)療數(shù)據(jù)管理暫行辦法》等；（2）安全意識(shí)：數(shù)據(jù)泄露風(fēng)險(xiǎn)、社會(huì)工程學(xué)防范（如釣魚郵件識(shí)別）；（3）操作規(guī)范：賬號(hào)管理、密碼設(shè)置、移動(dòng)設(shè)備使用、數(shù)據(jù)訪問權(quán)限遵守；（4）應(yīng)急處置：常見安全事件（如勒索軟件、數(shù)據(jù)泄露）的應(yīng)對(duì)步驟；（5）新技術(shù)安全：物聯(lián)網(wǎng)設(shè)備、AI輔助診斷系統(tǒng)的安全使用。要求：全員覆蓋（包括外包人員），每年至少2次集中培訓(xùn)，每次不少于4學(xué)時(shí)；培訓(xùn)后需進(jìn)行考核，合格率需達(dá)100%；建立培訓(xùn)檔案，記錄培訓(xùn)內(nèi)容、參與人員、考核結(jié)果，保存期限不少于3年。四、案例分析題（共30分）案例背景：2025年6月，某三甲醫(yī)院發(fā)生一起患者信息泄露事件。經(jīng)調(diào)查，事件原因?yàn)椋耗匙o(hù)士張某使用個(gè)人手機(jī)連接醫(yī)院Wi-Fi，通過微信將包含50名患者姓名、住院號(hào)、診斷結(jié)果的Excel文件發(fā)送給外部人員李某（非醫(yī)院?jiǎn)T工）。李某將文件轉(zhuǎn)發(fā)至社交平臺(tái)，導(dǎo)致信息擴(kuò)散。經(jīng)統(tǒng)計(jì)，涉及患者中包含10名腫瘤患者、5名傳染病患者。問題1：分析該事件中存在的信息安全違規(guī)行為（8分）答案：（1）移動(dòng)設(shè)備違規(guī)接入：張某使用個(gè)人手機(jī)連接醫(yī)院內(nèi)網(wǎng)Wi-Fi，違反"非授權(quán)移動(dòng)設(shè)備禁止接入內(nèi)網(wǎng)"的規(guī)定；（2）數(shù)據(jù)違規(guī)傳輸：通過微信（非醫(yī)院指定安全傳輸工具）傳輸敏感醫(yī)療數(shù)據(jù)；（3）權(quán)限濫用：護(hù)士張某超出崗位職責(zé)范圍獲取并外傳患者信息；（4）數(shù)據(jù)保護(hù)缺失：傳輸?shù)腅xcel文件未進(jìn)行脫敏處理，包含直接標(biāo)識(shí)符（姓名、住院號(hào)）和敏感診斷信息；（5）外部人員數(shù)據(jù)接觸：將醫(yī)療數(shù)據(jù)提供給非醫(yī)院授權(quán)人員李某；（6）社交平臺(tái)傳播：導(dǎo)致數(shù)據(jù)在公共網(wǎng)絡(luò)擴(kuò)散，擴(kuò)大影響范圍。問題2：判斷該事件的等級(jí)并說明依據(jù)（6分）答案：事件等級(jí)為較大事件（III級(jí)）。依據(jù)《醫(yī)院信息安全事件分級(jí)標(biāo)準(zhǔn)》：（1）泄露患者數(shù)量為50名（≥30名且＜500名）；（2）包含腫瘤、傳染病等特殊病種患者信息，屬于高敏感數(shù)據(jù)；（3）信息已在社交平臺(tái)擴(kuò)散，造成一定社會(huì)影響。符合"較大事件（III級(jí)）"中"涉及30人以上500人以下敏感信息泄露，或造成較大社會(huì)影響"的判定標(biāo)準(zhǔn)。問題3：簡(jiǎn)述醫(yī)院應(yīng)采取的后續(xù)處置措施（8分）答案：（1）應(yīng)急響應(yīng)：立即停用張某的系統(tǒng)賬號(hào)，鎖定其訪問權(quán)限；追溯數(shù)據(jù)傳播路徑，聯(lián)系社交平臺(tái)刪除相關(guān)信息；（2）患者告知：通過電話、短信等方式向50名患者說明情況，提供個(gè)人信息保護(hù)建議（如監(jiān)控銀行賬戶、定期查詢征信）；（3）內(nèi)部追責(zé)：對(duì)張某進(jìn)行紀(jì)律處分（警告、記過直至解除勞動(dòng)合同），追究其所在科室負(fù)責(zé)人的管理責(zé)任；（4）整改措施：加強(qiáng)移動(dòng)設(shè)備管理（如關(guān)閉內(nèi)網(wǎng)Wi-Fi對(duì)個(gè)人設(shè)備的開放權(quán)限），部署數(shù)據(jù)防泄漏（DLP）系統(tǒng)監(jiān)控敏感數(shù)據(jù)傳輸；（5）培訓(xùn)強(qiáng)化：針對(duì)全體醫(yī)護(hù)人員開展"移動(dòng)設(shè)備使用規(guī)范""數(shù)據(jù)外傳審批流程"專題培訓(xùn)；（6）報(bào)告?zhèn)浒福?小時(shí)內(nèi)向?qū)俚匦l(wèi)生健康委、網(wǎng)信辦提交事件報(bào)告，說明原因、影響范圍及整改方案；（7）技術(shù)加固：對(duì)患者信息查詢系統(tǒng)增加二次認(rèn)證（如短信驗(yàn)證碼），限制Excel批量導(dǎo)出功能；（8）持續(xù)監(jiān)測(cè)：對(duì)事件涉及的患者信息進(jìn)行3個(gè)月的重點(diǎn)監(jiān)控，防范二次泄露。問題4：從制度建設(shè)角度提出3條改進(jìn)建議（8分）答案：（1）完善移動(dòng)終端管理制度：明確"雙設(shè)備"原則（工作使用醫(yī)院配發(fā)的專用終端，個(gè)人設(shè)備禁止接入內(nèi)網(wǎng)），建立移動(dòng)設(shè)備白名單機(jī)制；（2）強(qiáng)化數(shù)據(jù)外傳審批流程：制定《敏感數(shù)據(jù)外傳管理辦法》，規(guī)定外傳超過20條患