对医院等级保护建设过程中组织机构管理的思考

开篇：润墨网以专业的文秘视角，为您筛选了一篇对医院等级保护建设过程中组织机构管理的思考范文，如需获取更多写作素材，在线客服老师一对一协助。欢迎您的阅读与分享！

摘要：为构建医院信息安全综合防护体系，响应国家对医疗卫生行业信息安全等级保护的相关要求，笔者从信息安全机构管理目的、思路和措施3个方面阐述分析，对相关工作人员和单位具有一定的启示意义

关键词：信息安全等级保护；机构管理；信息中心随着《信息安全等级保护实施指南》和《信息安全等级保护管理办法》等一系列文件颁布以来，医院如何开展等级保护工作，确保信息安全，已经变成热门话题。其中，负责医院信息安全等级保护工作的组织管理机构，主要从管理层和用户层对医院信息安全等级保护进行管理建设。管理层的主要工作是制定医院信息安全等级保护工作的管理办法；用户层的主要工作是依据管办法要求，进行沟通合作以及运行监控和审查检查工作。

1信息安全机构管理目的

信息安全等级保护工作是解决信息安全问题的基本方法，而信息安全不仅靠物理安全、网络安全、主机安全等具体技术上的实现，还需要建立健全的信息安全机构管理制度，贯彻信息安全工作和维持信息安全的建设成果，在技术和管理两个维度下保障信息安全保护体系在持续的运营工作中发挥应有的信息安全保护作用[1]。

2信息安全机构管理思路

2.1加强安全管理建设是实现等级保护组织机构管理的基础 医院信息安全管理需要由医院信息化领导机构协调进行。为了完成和强化信息安全的管理，需要建立相应的信息安全管理机构，这是医院信息安全等级保护实施的必要条件[2]。同时，安全组织管理建设也是重要组成内容，包括健全组织体系，明确负责安全管理的主要领导、主管部门、技术支持部门和宣传部门，制定系统安全保障方案，实施安全宣传教育、安全监管和安全服务等。

2.2相关管理办法制定是规范等级保护组织机构管理的根本保证 医院信息系统存在着来自社会环境、技术环境和物理自然环境的安全风险，其安全威胁无时无处不在。对于医院信息系统的安全问题，不能企图单凭利用一些集成了信息安全技术的安全产品来解决，而必须配合等级保护的信息系统安全保障体系，制定相关管理办法，全方位综合解决系统安全问题。

2.3定期审查监控是实施等级保护组织机构管理的具体表现 根据医院对于信息安全等级保护的要求，安全等级保护除重视技术解决方案外，更应明确定期审查、检查和监控的必要性。包括：指定专员定期对系统进行安全巡查，检查的内容包含例如系统运行情况、系统漏洞确认、系统数据备份、现有安全技术措施有效性、安全配置与安全策略一致性、安全管理制度的执行情况等等。

3信息安全机构管理措施

医院信息安全管理体系依赖于信息安全等级保护管理建设的机构管理。根据医院当前信息安全管理需要和机构管理特点，和信息安全等级保护管理所要求的系统建设管理、系统运维管理、安全管理机构、安全管理制度和人员安全管理，笔者从岗位设置、人员配备、授权、审批、审查和沟通交流等方面分析医院信息管理机构建设，切实做到提升医院信息等级保护管理的能力。

3.1岗位设置 信息中心内部根据岗位划分不同，设置多个安全管理岗位包括系统管理员、网络管理员、安全管理员、安全审计员岗位，各岗位人员应按照自己的岗位职责，落实本岗位的信息安全工作[3]。

以我院为例，我院信息安全管理工作由院领导负责指导和管理，同时成立了医院级别的信息安全工作领导小组，由党委书记担任领导小组组长，由信息中心负责管理工作的具体落实，制定各信息系统相关岗位的岗位职责和工作标准并形成文件。

3.2人员配备 信息中心采用安全责任层层落实制，中心主任对医院所有信息化相关系统负责，网络工程师对医院所有网络建设及维护负责，系统工程师对医院服务器、数据库、存储和信息系统负责，信息安全工程师对医院网络安全、信息安全、机房物理安全负责，安全审计工程师对所有人的信息安全工作进行监督和审计，保证信息安全工作层层做实。

3.3授权和审批 医院信息中心对于外部厂商人员的相关操作均需进行审批流程，通过软件记录其所有操作行为，并保存进档。对于中心内部工作人员执行严格的离岗流程，由所在部门主管负责回收本部门负责的相关权限，所有权限回收后方可办理正常的离职手续。

信息中心对于客户端操作系统权限、应用系统操作权限、数据库操作权限进行分级控制。内网客户端硬盘分区全部使用NTFS，管理员密码由信息中心网络组每月定时更换；对所有应用系统功能进行编号，对功能进行模块化管理，并对模块进行分级控制；同时，设置数据库用户，将不同应用的数据分别管理，赋予创建、修改、删除表及表内数据权限。

3.4审查和检查 医院信息中心日常检查由信息安全管理员进行，自检内容包括终端安全自检和软件管理自检，终端安全自检包括检查是否每台计算机安装防病毒软件，病毒库是否为最新版本，终端操作系统是否安装最新补丁，是否设置6位以上口令；软件管理自检包括检查软件是否为正版软件，软件管理的各项记录是否完整等。

构建信息安全综合防护体系保证医院各系统能够长期稳定安全运行，满足了医院不断扩展的业务应用和管理需要。本文对信息安全机构管理的目的、思路和措施进行了详细的分析阐述，对相关工作人员和机构具有一定的启示意义。同时，通过梳理分析业务特点和管理流程，依据等级保护相关政策和标准，明确安全管理需求，笔者所在医院信息管理中心整理并制定出符合医院信息系统实际情况的一套信息安全管理体系文件，并在2012年公安局等级保护测评中被评为三级。

参考文献：

[1]苏丹.医院信息系统安全与管理[J].中国信息界(e医疗),2013,(05):58-59.

[2]张巍,庞大军.基于FISMA的医院信息系统信息安全基线管理[J].医学信息学杂志,2012,(10):16-19.

[3]李斌,龙婧.基于TRM的医院信息安全集中审计管理平台的构建与实现[J].医学信息(上旬刊),2011,(04):1871-1872.编辑/张燕