安全資訊

國家醫保局印發(fā)《關(guān)于加強網(wǎng)絡(luò )安全和數據保護工作的指導意見(jiàn)》

【時(shí)間】2021-04-13

【編輯】國家醫保局網(wǎng)站

【瀏覽量】

【等級保護QQ交流群】881590869

國家醫療保障局關(guān)于印發(fā)加強網(wǎng)絡(luò )安全和數據保護工作指導意見(jiàn)的通知


醫保發(fā)〔2021〕23號


各省、自治區、直轄市及新疆生產(chǎn)建設兵團醫療保障局、局內各單位：
《國家醫療保障局關(guān)于加強網(wǎng)絡(luò )安全和數據保護工作的指導意見(jiàn)》已經(jīng)第44次局長(cháng)辦公會(huì )審議通過(guò)，現印發(fā)給你們，請遵照執行。
附件：國家醫療保障局關(guān)于加強網(wǎng)絡(luò )安全和數據保護工作的指導意見(jiàn)


國家醫療保障局

2021年4月6日



國家醫療保障局關(guān)于加強網(wǎng)絡(luò )安全和數據保護工作的指導意見(jiàn)


醫療保障信息化是醫療保障事業(yè)高質(zhì)量發(fā)展的基礎，是醫保治理體系和治理能力現代化的重要支撐。為全面落實(shí)習近平總書(shū)記關(guān)于網(wǎng)絡(luò )強國戰略、大數據戰略、數字經(jīng)濟的重要指示批示精神，以及黨中央關(guān)于網(wǎng)絡(luò )安全工作的總體部署，扎實(shí)推進(jìn)醫療保障信息平臺建設及運營(yíng)維護，防范化解醫療保障系統數據安全風(fēng)險，促進(jìn)數據合理安全開(kāi)發(fā)利用，現就加強醫療保障網(wǎng)絡(luò )安全和數據保護工作，提出以下指導意見(jiàn)。

一、總體要求
（一）指導思想
堅持以習近平新時(shí)代中國特色社會(huì )主義思想為指導，全面貫徹黨的十九大和十九屆二中、三中、四中、五中全會(huì )精神，堅持總體國家安全觀(guān)，深入實(shí)施網(wǎng)絡(luò )強國和大數據戰略，以醫保系統網(wǎng)絡(luò )安全為基礎，以智慧醫保和安全醫保建設為目標，以醫保信息安全技術(shù)為支撐，以制度建設和人才隊伍建設為保障，筑牢安全防線(xiàn)，促進(jìn)數據安全應用，更好助力醫保治理體系和治理能力現代化，推動(dòng)醫保事業(yè)高質(zhì)量發(fā)展。
（二）基本原則
堅持安全為本，促進(jìn)發(fā)展。統籌網(wǎng)絡(luò )安全保障和數據安全保護，夯實(shí)醫療保障信息化發(fā)展的安全底線(xiàn)，穩步推動(dòng)醫保大數據建設，為智慧醫保建設、合法合規數據信息共享、多層次醫療保障體系建設提供有力支撐。
堅持健全制度，強化技術(shù)。制定實(shí)施網(wǎng)絡(luò )安全管理和數據安全保護的系列制度，建立有效工作機制，廣泛運用先進(jìn)的網(wǎng)絡(luò )安全和數據安全保護技術(shù)，建立健全數據安全治理體系，提高數據安全保障能力。
堅持強化基礎，提升能力。把網(wǎng)絡(luò )基礎設施建設放在重要位置，加快提升醫療保障系統網(wǎng)絡(luò )安全管理能力、數據安全保護能力、數據共享服務(wù)能力，加強人才隊伍建設，筑牢安全發(fā)展基礎。
堅持明晰責任，閉環(huán)管理。堅持“誰(shuí)主管、誰(shuí)負責，誰(shuí)使用、誰(shuí)負責”原則，落實(shí)網(wǎng)絡(luò )安全責任制，落實(shí)數據主管單位、數據使用單位責任，建立健全安全審查審批和權限管理機制，實(shí)現數據全流程全生命周期管理。
（三）主要目標
到2022年，基本建成基礎強、技術(shù)優(yōu)、制度全、責任明、管理嚴的醫療保障網(wǎng)絡(luò )安全和數據安全保護工作體制機制。到“十四五”期末，醫療保障系統網(wǎng)絡(luò )安全和數據安全保護制度體系更加健全，智慧醫保和安全醫保建設達到新水平。
——網(wǎng)絡(luò )安全水平顯著(zhù)提升。主體責任明晰，監督管理機制完善，基礎設施完備，網(wǎng)絡(luò )安全技術(shù)能力、態(tài)勢感知、預警能力、突發(fā)網(wǎng)絡(luò )安全事件應急響應能力顯著(zhù)提升，網(wǎng)絡(luò )安全有效保障。
——數據安全管理有效實(shí)施。數據安全審批制度全面建立，分級分類(lèi)管理及重要數據保護目錄全面落實(shí)，數據實(shí)現全生命周期安全管理，數據安全評估機制日益完善。
——數據共享使用安全有序。數據共享使用流程明晰、機制健全，醫療保障數字化、智能化水平顯著(zhù)提升。

二、加強網(wǎng)絡(luò )安全管理
（一）落實(shí)網(wǎng)絡(luò )安全主體責任
建立健全網(wǎng)絡(luò )安全責任制。各級醫保部門(mén)是本級網(wǎng)絡(luò )安全的責任主體，各級醫保部門(mén)主要負責人是第一責任人。各級醫保部門(mén)要組建網(wǎng)絡(luò )安全和信息化領(lǐng)導小組，落實(shí)網(wǎng)絡(luò )安全主體責任，明確信息技術(shù)保障和意識形態(tài)工作責任邊界，強化行政部門(mén)網(wǎng)絡(luò )安全管理責任和擔當，健全考核機制，嚴格責任追究，確保網(wǎng)絡(luò )安全責任全覆蓋。
（二）完善網(wǎng)絡(luò )安全監督管理機制
各級醫保部門(mén)要強化日常工作中網(wǎng)絡(luò )安全“紅線(xiàn)”意識和底線(xiàn)思維，建立多環(huán)節、多層次、全方位的網(wǎng)絡(luò )安全監督管理機制。定期對信息系統運行的相關(guān)軟硬件開(kāi)展安全防護檢查。對涉及關(guān)鍵網(wǎng)絡(luò )崗位和重要數據崗位的從業(yè)人員實(shí)施嚴格的背景審查。全面梳理網(wǎng)絡(luò )、系統和關(guān)鍵設備的網(wǎng)絡(luò )安全責任部門(mén)和責任人。
（三）加強關(guān)鍵信息基礎設施安全保護
全面推進(jìn)網(wǎng)絡(luò )安全等級保護工作。根據行業(yè)規范合理定級備案，在系統規劃、設計階段同步確定安全保護等級，按照國家和行業(yè)標準進(jìn)行等級測評。切實(shí)落實(shí)關(guān)鍵信息基礎設施重點(diǎn)保護要求，加強關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全監測預警體系建設，提升關(guān)鍵信息基礎設施應急響應和恢復能力。按照“安全分區、網(wǎng)絡(luò )專(zhuān)用、橫向隔離、縱向認證”的原則，進(jìn)一步完善網(wǎng)絡(luò )結構安全、本體安全和基礎設施安全，逐步推廣安全免疫。加強內外網(wǎng)安全隔離，嚴禁醫保專(zhuān)網(wǎng)接入互聯(lián)網(wǎng)。
（四）強化網(wǎng)絡(luò )安全技術(shù)防護能力
建立并完善入侵檢測與防御、防病毒、防拒絕服務(wù)攻擊、防信息泄露、異常流量監測、網(wǎng)頁(yè)防篡改、域名安全、漏洞掃描、集中賬號管理、數據加密、安全審計等網(wǎng)絡(luò )安全防護技術(shù)手段。積極研究利用云計算、大數據等技術(shù)提高網(wǎng)絡(luò )安全監測預警能力。加強網(wǎng)站安全防護和日常辦公、維護終端的安全管理。完善域名系統安全防護措施，做好網(wǎng)絡(luò )和業(yè)務(wù)系統上線(xiàn)前的風(fēng)險評估。
（五）提高網(wǎng)絡(luò )安全態(tài)勢感知、預警和協(xié)同能力
加強網(wǎng)絡(luò )安全和數據保護“實(shí)戰化、體系化、常態(tài)化”和“動(dòng)態(tài)防御、主動(dòng)防御、縱深防御、精準防護、整體防控、聯(lián)防聯(lián)控”的“三化六防”措施，推進(jìn)全國醫療保障信息系統網(wǎng)絡(luò )安全和數據保護態(tài)勢感知、預警能力建設。加強網(wǎng)絡(luò )安全和數據保護信息的匯集、研判，建立健全網(wǎng)絡(luò )安全和數據保護信息共享和通報機制，健全完善上下協(xié)同的通報預警機制。
（六）提升突發(fā)網(wǎng)絡(luò )安全事件應急響應能力
嚴格落實(shí)突發(fā)網(wǎng)絡(luò )安全事件報告制度。制定和完善本單位網(wǎng)絡(luò )安全應急預案。健全大規模拒絕服務(wù)攻擊、高級可持續性威脅攻擊、大規模公民個(gè)人信息泄露等突發(fā)網(wǎng)絡(luò )安全事件的應急協(xié)同配合機制，加強應急預案演練，定期評估和修訂應急預案，提高科學(xué)性、實(shí)用性、可操作性。建立重大活動(dòng)期間網(wǎng)絡(luò )安全保障機制，強化對網(wǎng)絡(luò )安全突發(fā)事件的統一指揮和協(xié)調，確保全國醫療保障信息系統的運行安全、數據安全和網(wǎng)絡(luò )安全，最大程度地預防和減少網(wǎng)絡(luò )安全事件造成的損害。

三、加強數據安全保護
（一）實(shí)施數據全生命周期安全管理
依法依規對數據的產(chǎn)生、傳輸、存儲、使用、共享、銷(xiāo)毀等實(shí)行全生命周期安全管理，提高數據安全防護能力和個(gè)人隱私保護力度。強化個(gè)人隱私保護，采用適當的安全控制措施，確保數據的產(chǎn)生、采集和匯集過(guò)程合規、安全。個(gè)人信息的采集，堅持法定授權原則，法定授權外個(gè)人信息采集事項須先獲得自然人或者其監護人同意。處理個(gè)人信息應當遵循合法、正當、必要原則，不得過(guò)度使用。采用適當的系統架構、技術(shù)手段對數據傳輸和數據存儲進(jìn)行安全加固，確保數據安全和高效可用。建立數據清除和銷(xiāo)毀機制，防止因存儲介質(zhì)上數據內容的惡意恢復而導致的數據泄露風(fēng)險。加強數據遷移銷(xiāo)毀流程安全管理，全力確保平臺遷移中的數據安全。
（二）實(shí)施分級分類(lèi)管理
根據本單位本系統數據安全保護的實(shí)際需要，結合醫療保障數據特點(diǎn)，制定統一的分級分類(lèi)管理制度，按照數據分級分類(lèi)保護標準、規則，對數據劃分安全等級，實(shí)行分級分類(lèi)管理。地方醫保部門(mén)要落實(shí)分級分類(lèi)規則標準，參照《國家醫療保障局數據安全管理辦法》制定本地的數據安全管理辦法。
（三）加強重要數據和敏感字段保護
制定重要數據保護目錄，對列入目錄的數據進(jìn)行重點(diǎn)保護，涉及國家秘密、工作秘密的數據應嚴格保密，不予共享及公開(kāi)。建立敏感數據字段庫，包含但不限于個(gè)人隱私數據、參保單位隱私數據、協(xié)議機構隱私數據、藥品診療目錄項目隱私數據等。
（四）強化數據安全審批管理
嚴格執行數據處理和使用審批流程，按照“知所必須，最小授權”的原則劃分數據訪(fǎng)問(wèn)權限，實(shí)施脫敏、日志記錄等控制措施，防范數據丟失、泄露、未授權訪(fǎng)問(wèn)等安全風(fēng)險。
加強對數據共享(含交換、導出、開(kāi)放)環(huán)節的安全管控，防止不經(jīng)審批、不受控制的數據共享行為。
（五）落實(shí)數據安全權限
明確各級權限，分離信息系統運維權限和經(jīng)辦業(yè)務(wù)角色，對不同角色設置不同權限。根據經(jīng)辦業(yè)務(wù)人員職責區分設置業(yè)務(wù)操作和數據查詢(xún)范圍。按照網(wǎng)絡(luò )安全等級保護2.0制度要求，結合實(shí)際設置安全保密管理員、安全審計員和系統管理員等崗位。加強信息系統運維人員和經(jīng)辦業(yè)務(wù)人員權限管理，落實(shí)崗位安全職責。
（六）推動(dòng)數據安全共享和使用
在保障數據安全的前提下，穩妥推動(dòng)數據資源開(kāi)發(fā)利用，發(fā)揮數據生產(chǎn)要素作用，保障數據依法依規有序共享。建立先試點(diǎn)、后推廣機制，強化醫療保障大數據運用，更好地服務(wù)醫保政策制定和醫保精細化管理，推動(dòng)多層次醫療保障體系建設。對于敏感數據需要落地到外部的業(yè)務(wù)場(chǎng)景，應做好脫敏處理，制定統一數據出口和統一銷(xiāo)毀要求，建立嚴格的審批流程和數據交付流程。
（七）建立健全數據安全風(fēng)險評估機制
定期評估安全系統軟硬件運行狀況、制度執行情況、數據復制情況、告警或故障設備的數據保護狀況、權限的審批收回情況、密碼強度、外包服務(wù)中的數據保護管理情況、研發(fā)測試環(huán)境數據保護情況，對發(fā)現的問(wèn)題及時(shí)整改。

四、保障措施
（一）加強組織領(lǐng)導
各級醫保部門(mén)要充分認識加強網(wǎng)絡(luò )安全和數據保護工作的重要性，加強組織領(lǐng)導，做好部門(mén)協(xié)調，層層落實(shí)責任，確保相關(guān)部署落到實(shí)處。要建立相應工作機制，夯實(shí)工作力量，科學(xué)合理制定工作推進(jìn)時(shí)間安排，周密組織實(shí)施網(wǎng)絡(luò )安全管理和數據保護工作，切實(shí)提高醫療保障網(wǎng)絡(luò )安全和數據保護工作水平。
（二）加強人才隊伍建設
加大網(wǎng)絡(luò )安全和數據保護人才培養投入，加強從業(yè)人員技能培訓，形成培養、選拔、吸引和使用網(wǎng)絡(luò )安全和數據保護人才的良性機制。建立各級醫保部門(mén)網(wǎng)絡(luò )和數據安全專(zhuān)家庫。
（三）加強資金投入
各級醫保部門(mén)應加強統籌規劃，做好網(wǎng)絡(luò )安全和數據保護體系頂層設計，制定工作計劃。按照總體進(jìn)度安排和工作目標，將網(wǎng)絡(luò )安全和數據保護建設、運行維護經(jīng)費納入信息化建設項目投入，加強資金保障和使用監管，確保網(wǎng)絡(luò )安全和數據保護工作的資金投入。
（四）加強法律法規宣傳
積極宣傳網(wǎng)絡(luò )安全法律法規，定期組織網(wǎng)絡(luò )安全和數據保護培訓交流，對產(chǎn)品和服務(wù)供應商加強網(wǎng)絡(luò )安全和數據保護教育，提升全員網(wǎng)絡(luò )安全和數據保護意識，為網(wǎng)絡(luò )安全和數據保護治理營(yíng)造良好氛圍。
（五）加強督導檢查
要將網(wǎng)絡(luò )安全與數據保護工作推進(jìn)情況納入本單位工作考核范疇，建立督查情況通報制度，對工作不力的要及時(shí)督查整改，確保網(wǎng)絡(luò )安全和數據保護工作萬(wàn)無(wú)一失。對工作中出現問(wèn)題造成不良后果的單位及人員要通報批評，造成嚴重后果的要依紀依法問(wèn)責處理。

服務(wù)熱線(xiàn)

138-6598-3726

產(chǎn)品和特性

價(jià)格和優(yōu)惠

安徽靈狐網(wǎng)絡(luò )公眾號

微信公眾號

午夜成人无码免费看网站_97国语自产拍在线_无码一区精油按摩视频_国产色婷婷五月精品综合在线