近日，国家卫生健康委、国家中医药局、国家疾控局联合印发《医疗卫生机构网络安全管理办法》（以下简称《办法》），为医疗卫生机构指明了网络安全管理的总方向。在网络安全管理方面，医院进行了哪些探索，取得了哪些经验？面对风险和挑战，如何进一步筑牢网络安全防线？
围绕上述问题，健康报邀请医院管理者、业内专家分享经验与思考。
【嘉宾】
华中科技大学同济医学院附属协和医院
副院长 张强
医疗卫生机构信息系统中承载的数据价值巨大，其不仅是重要的生产要素，更是国家基础性战略资源。相关报告显示，今年已有多家三甲医院检出了勒索病毒。除了勒索病毒，其他各类针对医疗行业的网络攻击也处于高发态势，并快速增长。因此，医院网络安全、数据安全的重要性不容小觑。
加大投入抓合规
华中科技大学同济医学院附属协和医院高度重视网络安全管理工作，成立医院网络安全与信息化工作领导小组，医院党委书记、院长担任组长，印发医院网络安全管理办法，每年召开 2次医院网络安全与信息化领导小组全体成员会议，统筹领导抓落实。同时，配备专职网络安全管理人员，每年至少开展1次网络安全应急演练，在院内开展全员网络安全宣传培训以及专业人员网络安全技能培训。近三年，网络安全投入占信息化总投入比例均超过10%。
医院积极开展网络安全合规建设，按照公安部网络安全等级保护要求，已获得14个三级证书，是湖北省首家完成全部核心系统等保三级评测的大型三甲医院；在省内率先建设集态势感知、云端防护、网站云安全、DMZ内外网互联、医疗设备安全监测、防护杀毒、云桌面终端管理为一体的技术防护体系，提升安全防护能力和监管发现能力。2021年8月至2022年8月，共拦截互联网攻击904.5万次，处理病毒和未知威胁78.54万个，修复高级威胁漏洞78个、中级威胁漏洞126个。
确保重要时间节点安全是医疗机构网络安全管理的重要一环。在重要时间节点前，医院制定完善的应急预案，组建应急处置技术团队，建立应急处置机制，做好随时处置各类网络安全突发事件的准备。在重要活动期间，明确值班值守制度，确保值守力量充足，应急处置准确及时。特别是在疫情期间，我院负责的两个方舱医院均应用了全球首创的5G全无线安全方舱方案。
各担其责抓落实
当前，医疗机构网络安全管理的主要难点包括：专业网络安全管理人员少，网络安全管理责任重，工作量巨大，网络安全形势多变且技术更新快，网络安全设备类别和数量多、难以统一管理等。为解决这些问题，我们梳理了以下工作思路。
明确各方责任。网络安全保障工作涉及方方面面，需要所有系统使用人员的参与。然而，在医院实践过程中，往往变成信息中心少数几个人的事，全员参与度极低。医院的网络安全设施集中在机房内，防护体系没有在用户端得到落实，导致医院网络安全防护看起来很完备，却经不起实战考验。问题的关键点就在于未能明确用户端的安全责任，以及缺乏医院主要负责人的强力推动。
《办法》第二条提出，坚持“管业务就要管安全”“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则，落实网络安全责任制，明确各方责任。上述原则明确将系统使用者和业务方都纳入网络安全责任体系，医院每个人都需要各担其责，为推动防护体系在用户端得到落实打下坚实基础。
《办法》第五条提出，各医疗卫生机构应成立网络安全和信息化工作领导小组，由单位主要负责人任领导小组组长，每年至少召开一次网络安全办公会，部署安全重点工作。这一要求有利于让网络安全领导小组切实发挥作用，为网络安全工作的决策和保障提供有力支撑。
管理、技术、运营三位一体。目前，大部分三甲医院的关键信息系统都开展了信息安全等级保护建设。为满足等级保护的相关要求，医院一般会通过部署防火墙、入侵检测、漏洞扫描、网络审计等安全产品来建设安全技术体系；同时参考等保标准，发布一系列的网络安全管理制度。理论上，在管理和技术的双重保障下，医院网络安全应处于较高水平。但多次的演练证明，很多三甲医院信息系统在演练中被攻破，核心医院数据被“红方”轻易获取。
造成这一问题的原因就在于，大部分医院缺少日常的网络安全运营体系支撑。没有日常运营，管理制度没人督促落实，安全设备缺乏定期维护，防护策略没有及时更新，导致医院网络安全的实际防护能力有所下降。
《办法》第九条至第十二条，从自查与整改、机构与人员、运维与监测等多个维度，对网络安全的日常运营工作提出明确要求。利用安全技术实现安全管理要求，最终融入安全运营体系中，形成管理、技术、运营三位一体的立体化网络安全管理模式。
纵深防御抓协同
随着医疗信息化的快速发展，各级医院都加大了对互联网医院的建设投入。互联网医院在充分利用医疗资源、克服时间和空间局限、减少人员聚集和交叉感染方面，显示出独特的优势。但互联网医院也会带来信息系统互联网暴露面扩大、核心医疗数据泄露的网络安全风险。如何让信息化建设与网络安全防护协同发展，成为医院后续网络安全建设需要探索的重要工作。
《办法》开篇就要求全面落实“三化六防”措施，其中“实战化、体系化、常态化”是网络安全防护建设的目标；“动态防御、主动防御、纵深防御、精准防护、整体防控、联防联控”是实现目标的技术手段。比如，互联网医院最突出的互联网暴露面扩大问题就可以通过纵深防御的思路，设置多重防护手段来进行有效应对。
文：华中科技大学同济医学院附属协和医院副院长 张强
策划：王乐民 张灿灿
编辑：于梦非 肖薇 张漠
校对：杨真宇
审核：徐秉楠 闫龑
