医院资产安全管理制度.docx

医院资产安全管理制度
文件编号
XX-XX-023-V1.0
版本
2.0
文件名称
资产安全管理制度
制/修订时间
2016.06
制/修订人

审核人

1总那么
1.1 目的规范医院信息资产的管理、使用和处置.，防止其滥用和丧失，保护数据安全。
1.2 范围适用于医院信息资产的管理，包括：获得、分类分级、使用和处置。
1.3 职责总务处：主要负责信息资产的采购、入库、领用、为资产建立台账。
信息科：负责使用与处置方法，并监督各部门的执行情况。
各部门：按照相关规定，对信息资产进行有效使用和管理。
1.4 术语和定义信息资产：本文件中的信息资产是指可以存储信息数据的信息载体,包括:硬件、
软件、数据（电子数据）、文档（实体信息）、人员、服务设施、其他。
2管理细那么信息资产的生命周期可分为采购与生成、使用与更新、销毁与废弃三个阶段。
2.1 信息资产的获取
软件、硬件设施、服务性设施等的获得主要以采购的方式获得，采购按照《IT 产品采购管理制度》有关规定进行采购和验收。
数据信息资产的获得来源主要为：病患人员、供应商、财务信息、其他信息。
2.2 信息资产的分类信息资产的分类
各科室根据业务流程列出信息资产清单并将每项资产的资产类别、信息资产编号、 资产现有编号、资产名称、所属部门、管理者、使用者、地点等相关信息记录在资产清单上。资产的分类原那么原那么如下:
2.2.1.1 硬件
1 .计算机设备:（台式机、笔记本）、（WWW、SMTP、POP3、FTP、DNS） 等服务器（含虚拟机）：
2 .存储设备：磁带机、磁盘整列、磁带、光盘、软盘、移动硬盘等；
3 .网络设备：路由器、交换机、HUB、网关、程控交换机等；
4 .传输线路：光纤、双绞线、 线（布线）、电源线；
5 .安全设备：硬件防火墙、入侵检测、网络隔离设备（如网闸）、负载均衡 设备、身份验证、SOC、UTM等；
6 .办公设备：打印机、复印机、扫描仪、 机、碎纸机、写字白板、应急 照明设备：
7 .保障设备：动力保障设备（UPS、变电设备）、空调、保险柜、文件柜、 门禁、消防设施等；
8 .其他设备：生产设备（测量仪、SMT等）；软件。如：操作系统、系统软件（office/AutoCAD）、应用软件（医疗信 息软件）、网管软件、杀毒软件、财务软件、开发工具和资源库等。
221.2 电子数据。存在电子媒介的各种数据资料。如：源代码、数据库数据、各 种数据资料、系统文档、运行管理规程、计划、F1周月报告、财务报告（电子版 本）、用户手册、方案、电子设计图纸等。
221.3 实体信息。如纸质的各种文件。如： 、电报、财务报告、开展计划、 合同、纸张图纸等。
221.4 服务性设施。如：电源、空调、保险柜、文件柜、门禁、消防设施等。
2.2.1.6 人员。如医院各级领导、各级正式雇员、临时雇员等。
2.2.1.7 其他信息资产的分级
按照信息资产的公开和敏感程度，以及信息资产对系统和组织的重要性，信息资 产的分级原那么有两个：
对于文档（含电子文档与纸质文档）、介质类的数据载体，按照承载信息本身的 公开和敏感程度，该类信息资产拟划分为“工作秘密”、"内部公开''、"外部公开” 三级，针对不同级别的资产标识不同的保护等级。
对于其他物理设备，按照其对系统和组织的重要程度，该类信息资产拟划分为“关 键资产”、"重要资产”、"普通资产”三级，针对不同级别的资产标识不同的防护 等级。
信息资产分级划分具体方法：
关键资产：承载、处理或存储医院核心业务信息系统数据，一旦破坏，会对医 院的主营业务造成冲击和损害。原那么上承载处理业务信息系统数据的资产均应被 标识为关键资产。
重要资产：对医院某一部门提供服务的信息系统所含资产、或属于业务信息系 统的支撑系统的信息系统所含资产，如财务信息系统所有资产、人力资源系统所 有资产、OA办公自动化系统所有资产、防病毒系统所有资产、入侵检测系统所 有资产等。
普通资产：除上述信息系统以外的信息系统包含资产均可划分为普通资产，如 不直接承载、存储业务信息系统的打印机、打码机等。
工作秘密：涉及医院明确规定需要保密的信息、业务信息系统数据、医院财务 数据、人员工资数据、信息系统账号等的信息数据文档均应划分为工作秘密。
内部公开：在医院内部公开,对外保密的信息晌外扩散有可能对医院的利益造 成损害的数据文档。
外部公开：对社会公开的信息，公用的信息处理设备和系统资源等信息资产。 信息资产的标识223.1信息资产标注的原那么
对不同安全类别的信息进行明确的标识，有助于内部相关人员依照有关信息安全 规章制度进行具体操作和处理，从而最大限度地降低人为的误操作带来安全隐患 的概率。
(1)所有信息资产安全分类标识必须正确反映该信息的安全防护级别，信息安全 工作小组对信息安全分类有最终决定权。
(2)对所有的信息安全分类标识，由信息安全工作小组作定期更新维护。
(3)电子格式的数据和文档采用电子方式进行分类标识。其他形式的资产采用贴 标签的方式对信息进行分类标识。
信息资产标注的方法(1)电子信息
- 电子格式的数据和文档采用电子方式进行分类标识。标识分为“工作秘密、内 部公开、外部公开”三个类别。
-对于电子文档，应在文档的页眉、页脚、或封面开始局部的醒目处进行标识。 -其他电子信息，如配置信息、备份数据等，如果可以采用电子方式进行标识, 那么采用电子方式进行标识。
- 对于技术手段上不能进行标识的电子信息，可以在文件名称上加上密级标识, 或者采用对信息载体进行物理标签标识等其他方法。
- 如果文档是由已经标识好的电子文档打印出来的，那么不需要再做任何标识。
(2)物理资产采用贴物理标签的方式对信息进行分类标识。
2.2.33 信息资产标注的内容信息资产分类标识必须包括并不仅限于以下信息：
(1)简单描述或内部编号(2)安全类别/重要程度
(3)资产管理员息资产的识别与汇总
通过业务流程分析•，识别各个流程的各类关键信息资产，最终信息科汇总《信息 资产清单》，并每半年进行一次更新，确保重要信息资产的完备性(重要信息资 产没有遗漏和缺失)和准确性(信息资产的保密级别和重要程度能够真实反映信 息资产的状态)。
2.3信息资产的使用规范硬件资产的使用规范
所有的硬件资产必须明确设备的使用人员/管理人员，明确职责。
硬件资产的使用人(或管理人)，在使用或管理硬件资产时，要注意硬件资产 的安全性、机密性、完整性，防止信息载体的毁坏和信息的泄密，防止信息处理 设施的滥用。
对设备定期进行维护保养，发生毁坏，丧失等问题时能够及时处置。
新硬件设备接入网络按照相关规定处理。
当设备迁移时，如果设备中存储有重要信息时候，需事先进行备份；
设备迁移完成后，需要检查设备是否损坏；
设备迁移出医院时，检查人员在检查时要格外注意，禁止设备中存放重要信息, 以防止医院机密信息泄露或泄露的风险增加。
离开医院的设备和介质，如客户现场的设备和介质需要有人值守或委派负责人 （或者公共场所放置的需要有人值守或监视系统）。
在旅行时便携式计算机（笔记本电脑）要作为手提行李携带，假设可能宜伪装起 来；
制造商保护设备用的说明书要始终加以遵守，例如，防止暴露于强电磁场内；软件资产的使用规范
所有的软件资产必须设置专人管理，明确职责，防止软件资产的丧失，泄密。
所有正版软件实体由信息科保管，在安装软件时要规定使用权限，防止非授权 访问。
医院自己开发系统软件的源代码应进行备份。
对医院重要系统，如邮件系统，文件服务器系统进行备份。
当人员离职或岗位变动，需要回收有关的软件，必要时; 由信息科人员对离职 人员使用的软件进行卸载，删除。
2.3.1 电子数据的使用规范
对所有电子数据进行分类/分级，标识未授权人员的访问限制，不同安全级别 的数据应存储在不同的区域，按类按级传达，便于信息的安全管理。
不同类型的电子文件按照统一规律存放在个人电脑或服务器中，便于整理和查 阅以及工作交接时转移。
所有电子文件保存在电脑或服务器中，并按照规定的备份频率定期进行备份。
对于存于服务器上的电子数据的访问，会根据服务器提供服务的不同与部门/ 职务的不同，设备不同的访问权限，减少非受权的访问.
对于工作秘密级别的电子信息，要由专人管理，存放在受权限控制的路径下。
对于内部公开级别的电子信息，其使用要控制在医院内部，禁止带出医院。
2.3.2 实体信息的使用规范
所有的工作秘密级的实体信息资料要（通过标签或其它方式）标识出资产的保 密级别，分类存放，不同安全级别的实体信息应按类按级传达，便于实体信息的 安全管理。
对于比拟重要的工作秘密实体信息必要时保存在带锁的柜子或保险柜子中，柜 子钥匙由专人保管。
对于实体信息的保存期限依据备份相关制度进行实施。
对于比拟重要的实体信息的使用过程，应注意信息的保密，确保信息的完整性 和可用性；
对于比拟重要的实体信息的传输，应采取适当的安全措施加以保护，如专人递 送、分散传输等。