计算机信息系统变更、发布、配置管理制度第一节医院信息系统安全管理制度一、总则切实保障全院计算机网络的安全，根据国家及地方法规、JCI标准中医院设施管理与安全标准，制定本安全管理制度。

1、本安全管理制度适用于本院信息系统管理。

2、本安全管理制度由信息管理部负责监督实施。

当存在本院计算机网络及计算机机房的安全威胁时，信息管理部主任负责及时上报行政总值班或分管副院长，设备科、后勤部和保安部配合采取相应措施。

3、每3年对本制度的执行情况进行评估，必要时可重新修订本安全制度二、信息管理部员工安全职责1、信息管理部员工应当熟悉计算机软、硬件的相关业务知识和防火防盗安全规定，掌握防火器材的操作使用方法，做好本岗位的防火防盗工作。

2、每3个月检查计算机软、硬件的状态，使之保持完好。

3、安全培训：信息管理部新员工应参加全院岗前培训，并通过消防知识的培训后，方可上岗作业。

信息管理部员工应当完成年度安全培训。

4、安全操作规定：（1）维护带电设备时应拔掉电源，确认处于无电状态，并释放手上静电。

（2）带电测试电脑时，不得接触内部电线。

（3）进入医疗区域维修时，应带好相应的防护设备，维修结束后注意进行消毒处理。

（4）维修时防止利器刺伤。

如被刺伤应及时到医疗部统一处理。

5、安全管理规定：（1）遵守医院各项规章制度，遵守劳动纪律。

（2）做好应急值班工作。

保证应急电话畅通，应答及时。

（3）保持计算机室清洁无尘，机房内严禁吸烟。

（4）保持工作环境整洁，不乱丢杂物，及时清理工作台上的磁盘和书籍等物品。

（5）正确操作、使用各类计算机设备，杜绝不必要的设备损坏。

（6）保持数据的安全和保密。

查询数据原则上由责任部门执行，任何非程序查询必须由院级领导同意并签字。

特殊数据查询遵循医务科批复流程。

（7）禁止无关闲杂人员进入计算机室。

（8）下班前关闭办公用电脑、电源。

6、巡查与报告：（1）每天巡视机房，检查服务器性能并签名。

（2）每月巡视交换机房，检查交换机房环境。

（3）节假日，值班人员负责本院计算机安全评估。

遇有灾害性天气或特殊情况，加强防范。

（4）在检查中发现的隐患要及时报告科主任，科主任根据问题严重性上报分管院长。

三、终端用户安全职责1、连入网络的各科室和个人办公工作站必须严格执行安全保密制度，并对所提供的信息负责。

不得利用计算机和网络从事违反国家法律、法规、泄露医院机密的活动。

2、任何科室和个人不得在本院联网计算机上制作、查阅、复制和传播危害国家安全、有碍社会治安和有伤风化的信息和淫秽、色情资料。

3、不允许在网络上进行干扰网络用户、破坏网络服务和网络设备的活动。

4、除信息管理部外其他科室或个人不得以任何方式试图登陆网络服务器和网络交换机等设备进行修改、设置、删除等操作；不得盗窃、破坏网络设施。

5、不得利用各种网络设备或软件技术从事账号及密码的侦听、盗用活动，该活动被认为是对网络用户权益的侵犯。

严禁在本院联网计算机上使用未经信息管理部主任批准的软件。

6、系统软件、应用软件及信息数据必须实施保密措施。

信息资源保密等级分为：（1）可向因特网公开的；（2）可向院内公开的；（3）可向部门（科室）公开的；（4）仅限于个人使用的。

7、院内各科室和个人需要联入因特网，必须提交经科主任审定后的申请报告，由分管院长或院长审批同意后，由信息管理部负责实施开通。

8、联网用户必须使用由信息管理部分配的IP地址，严禁私自设置IP、盗用IP地址。

9、医院对外发布信息的WEB服务器的内容必须经科主任审核，由科主任签署意见，需经分管院长或院长审批，办公室（宣传科）备案后，由信息管理部链接其对外的信息。

10、员工应对输入计算机的数据准确性负责，不得随意增减或删除有效数据。

四、网络运行监控、防病毒、防入侵、桌面管理措施1、为了保护我院数据与网络的安全，保证网络的正常运行，促进网络更好的应用和发展，制定本制度。

2、利用防火墙将内部网络、Internet外部网络、DMZ服务区、安全监控与备份中心进行有效隔离，避免与外部网络直接通信。

3、利用防火墙建立网络各终端和服务器的安全保护措施，保证系统安全。

4、利用防火墙对来自外网的服务请求进行控制，使非法访问在到达主机前被拒绝。

5、利用防火墙使用IP与MAC地址绑定功能，加强终端用户的访问认证，同时在不影响用户正常访问的基础上将用户的访问权限控制在最低限度内。

6、利用防火墙全面监视对服务器的访问，及时发现和阻止非法操作。

7、利用防火墙及服务器上的审计记录，形成一个完善的审计体系，建立第二条防线。

8、根据需要设置流量控制规则，实现网络流量控制，并设置基于时间段的访问控制。

9、对网络边界点的数据进行检测，防止黑客的入侵；10、对服务器的数据流量进行检测，防止入侵者的蓄意破坏和篡改；11、监视内部用户和系统的运行状况，查找非法用户和合法用户的越权操作；12、对用户的非正常活动进行统计分析，发现入侵行为的规律；13、实时对检测到的入侵行为进行报警、阻断，能够与防火墙/系统联动;14、对关键正常事件及异常行为记录日志，进行审计跟踪管理。

15、进行统一的安全策略管理和集中的防病毒监控。

安装防病毒系统，支持在WindowsLinux和MS Exchange等各种主流系统上实现防病毒保护，实时监视系统病毒活动全面查杀病毒、蠕虫、木马、恶意Java/ActiveX程序等，提供灵活多样的病毒修复和处理方法，其病毒检测处理技术处于业界领先地位。

16、内外网物理隔离，在内网客户端上，禁止使用USB存储设备。

17、制定病毒库更新管理机制。

见：病毒库更新管理机制章节。

第二节硬件、软件和程序管理制度一、总则1、除信息管理部的专业人员外，严禁私自拆卸或调换计算机部件和相关的电脑外设。

2、只有特定的硬件和软件配置才允许应用于医院网络系统中，所用软件必须由信息管理部安装，已安装的软件不得修改。

二、软件设计申请制度因医院业务发展等原因提出新的需求或对原系统不足提出更改，必须通过填写《软件开发与数据查询调整申请表》（见附表）来反映需求，流程如下：需求提出流程1、使用人员填写反馈表。

2、经部门负责人和主管院长签字认可。

护士工作站由护理部负责，医生站由医务科负责，药品管理由药剂科主任负责，挂号收费等财务方面由财务科负责，医保由对外联络办负责，其他医技科室系统由各自科主任负责。

3、递交信息管理部备案。

根据轻重缓急、难易程度与软件公司协商预期完成日期，反馈给需求方。

4、由中心软件开发组实现需求，并与维护商共同完成软件。

5、更改后在计算机中心备案，安装新程序。

6、使用人员对该次修改是否满意，如果不满意，重新填写反馈表，并注明该功能原来没有修改好，是再次提出。

三、优先次序标准：对软件设计优先次序按下列规则判断，优先次序分为紧急、急和普通：1、所有涉及马上需要修改以便进行日常业务的需求，优先处理；2、对当前没有软件的项目，需求科室按原来操作很浪费劳动力，可以优先处理；3、对涉及医疗方面的需求，优先处理；4、对大型软件设计，按医院总体发展的要求安排;5、如能在一天时间内完成的软件优先处理。

四、信息管理新系统实施流程以做好全院信息化系统工程工作为目标。

新系统的基本步骤为：论证、建立模拟系统、需求修正、测试、正式运行。

对部的连接。

2、建立模拟系统：寻找一套较为接近的软件，建立模拟系统，在此系统上进行模拟运行，找出不合理的地方。

3、需求修正：对不合理之处提出改正意见，形成新的需求，写成书面报告，提交给开发公司修改。

4、测试：用真实的数据对整个系统进行测试，把计算机运行结果与手工结果进行比较，对不一致的结果再次以书面的形式提交给开发公司修改，再测试直至正确。

5、正式运行：进行人员培训，合格后正式使用。

五、软件发布方式1、软件发布方式：方式一：目录共享方式方式二：通过数据库进行文件更新由信息管理部在数据库中上传最新的程序文件，客户端用户每登录一次应用程序，都会检测程序版本并自动更新。

通过该方式发布的系统有：门诊收费系统，门诊护理，库房管理系统，药库管理系统，送检管理系统，预约挂号系统，人事管理系统、财务发放系统等。

方式三：Web更新方式2、软件发布流程（1）开发小组内部测试。

（2）需求部门测试。

（3）信息管理部主任审核。

（4）专人进行发布。

（5）医院办公网发布系统变更通知。

六、系统故障处理流程：1、使用部门在遇到系统故障时，拨打610453进行故障报修。

2、信息管理部值班人员在接到报修电话后，应记录保修部门和事由。

（1）判断故障性质：软件、硬件（电脑、打印机、呼叫铃、电话、有线电视，其中呼叫铃、电话、有线电视故障直接转弱电管理员处理）。

（2）通过电话指导使用部门处理故障，如果在短时间内不能得到解决，应立即安排其他工作人员处理，以免报修电话长时间占线。

3、对于软件缺陷引起数据异常，导致业务中断的现象，首先通过修改数据的方式恢复业务，然后将错误现象通报系统开发商进行检查。

第三节账号和密码管理制度一、用户管理制度：1、只有院长有权向信息管理部索取员工的账号和密码。

2、医院员工对本人账号和密码必须遵守以下规定：（1）新员工凭人事科报到单，到信息管理部配置账号和密码；员工离院时：到信息管理部注销账号和密码；人事科凭信息管理部“已注消账号和密码”的依据同意员工调出或离院；财务科凭信息管理部“已注消账号和密码”的依据结付相关费用。

（2）员工不得将本人的账号和密码告诉其他人或写在任何其他人可得到的书面资料上，并每隔60天定期修改密码，对有疑问的密码应及时修改。

（3）任何人员不得使用他人的账号和密码，也不得将工作范围内可接触到的数据告诉其他任何未经授权的人员，并在离开终端时及时退出计算机系统。

（4）密码应至少为六位，可以是字母与数字的组合。

二、系统操作分级管理制度1、本院系统管理首先确定为管理对象重要级别。

从1-3级别区分，以一级为最高等级。

不同的级别制定相应的密码权限安全管理方案。

2、一级设备为主数据库服务器和核心网络设备。

这些设备的密码保存人为信息管理部主任与服务器管理员。

所能操作人员仅限于服务器最高权限的管理员。

采取统一入口管理。

在一些重大操作，必须有文字记录。

3、二级设备主要是普通服务器、接入交换机和数据库密码。

密码保存人为信息管理部主任与信息管理部工作人员。

对于一些重大操作，必须有文字记录。

4、三级设备为安装在各使用部门的电脑，密码由相关科室设备负责人自行保管。

5、对于设备具体分级细则，在遵循以上原则的情况下，细节由信息管理部内部协商判断而制定。

6、对于密码，数据泄露，造成业务中断，或相关私密数据泄露。

将临时通过技术手段保护与监控相应设备。

待问题解决后。

整理所有相关数据整理后上报医院存档。

第四节病毒防护措施1、计算机必须配备标准的防毒软件，该软件由信息管理部规定。