国家卫生健康委、国家中医药局、国家疾控局《关于印发“十四五”全民健康信息化规划的通知》

　　国卫规划发〔2022〕30号，成文日期为2022年11月7日

　　·构建卫生健康行业网络可信体系。建设一批医疗卫生机构商用密码应用示范，全面推广商用密码应用，完善卫生健康行业商用密码应用体系。建设各类医疗卫生机构、人员和患者可信数字身份管理系统，实现医患可信身份电子认证和电子签名，保证访问、处理数据的用户身份真实，确保网络行为可管、可控、可溯源。完善卫生健康行业电子认证服务体系，实现电子认证服务跨区域互信互认。

　　国家卫生健康委、国家中医药局、国家疾控局《关于印发医疗卫生机构网络安全管理办法的通知》

　　国卫规划发〔2022〕29号，成文日期为2022年8月8日

　　·各医疗卫生机构应按照《密码法》等有关法律法规和密码应用相关标准规范，在网络建设过程中同步规划、同步建设、同步运行密码保护措施，使用符合相关要求的密码产品和服务。

　　国家药监局关于印发《药品监管网络安全与信息化建设“十四五”规划》的通知

　　国药监综〔2022〕23号，成文日期为2022年4月24日

　　·完善网络安全保障体系，健全网络安全管理制度，开展信息系统安全等级保护备案与信息安全等级保护测评、关键信息基础设施安全保护、密码应用安全性评估等工作。

　　·结合药监云平台服务的建设实际和业务应用的密码需求，进一步建设完善网络安全信任体系。根据各业务系统中密码应用特点，逐步完善国家局密码资源服务能力，满足相关法律法规和管理条例的要求，实现系统和数据的主动安全保护。

　　·建设统一认证服务系统，提升密码服务基础水准，扩大密码服务种类，提高密码服务可用性，从服务形态、部署方式、访问接口到运维管理等方面加强密码服务统一管理，为药监云平台建设提供技术先进、方案完备、高效可用的密码安全防护能力。

　　关于加快推进卫生健康行业电子证照建设与应用的指导意见

　　国卫办规划发〔2020〕17号，成文日期为2020年10月16日

　　·强化电子证照系统安全保障。各级卫生健康行政部门要强化风险防控能力，建立安全制度，规范系统应用，依法依规使用卫生健康行业电子证照，建立卫生健康行业电子证照系统国产密码应用保障体系和安全制度，对涉及国家安全、公共安全、个人隐私等数据提供安全支撑。做好卫生健康行业电子证照数据备份工作，保障系统安全互联、信息安全共享。

　　关于加强全民健康信息标准化体系建设的意见

　　国卫办规划发〔2020〕14号，成文日期为2020年9月27日

　　·完善行业网络安全标准体系。贯彻《中华人民共和国网络安全法》，推进网络安全等级保护、商用密码应用、关键信息基础设施保护等制度在行业落地实施，研究编制卫生健康行业网络安全技术、医疗卫生机构安全能力评估、关键信息基础设施识别认定和保护等标准。

　　《国家卫生健康委办公厅关于做好信息化支撑常态化疫情防控工作的通知》

　　国卫办规划函〔2020〕506号，成文日期为2020年6月28日

　　·加大网络安全投入。各级卫生健康部门要按照中央网信办要求提高信息化建设中网络安全投入的比例，提升信息化产品和服务安全可控水平，推进商用密码应用的深度和广度。

　　……

　　二、标准

　　（一）国家标准

　　GB/T 28827.8—2022《信息技术服务 运行维护 第8部分：医院信息系统管理要求》

　　实施日期：2023年5月1日

　　10　安全运维管理

　　10.1　网络安全区域划分

　　应制定信息安全区域划分管理制度与流程，至少应包括：

　　a）可根据医院数据安全等级和应急等级、网络访问方式与风险程度划分不同的网络区域；

　　b）信息安全区域访问控制准则与流程；

　　c）应制定信息安全区域访问记录管理要求，涵盖患者诊疗记录、医院运营信息。

　　10.2 信息安全管理

　　应制定信息安全管理制度与流程，至少应包括：

　　a）信息安全管理范围；

　　b）明确数据资产的安全管理要求，包括主体部门、管理制度、使用流程、数据授权管理；

　　c）明确医用设施安全保护管理要求，包括主体部门、管理制度、作业规范管理；

　　d）提供完善的患者信息脱敏制度，应有隐私保护、知识保护等措施；

　　e）制定不同信息访问的授权部门，如医务部门、科研部门、网络安全委员会等；

　　f）重点信息系统信息安全保障要求。

　　GB/T 39725—2020《信息安全技术 健康医疗数据安全指南》

　　实施日期：2021年7月1日

　　10.1 通用安全技术

　　控制者宜按照GB/T 22081-2016、GB/T 22239-2019、GB/T 31168 和GB/T 35274-2017等做好数据安全管理工作。

　　a.宜对承载健康医疗数据的信息系统和网络设施以及云平台等进行必要的安全保护。

　　……

　　e.宜实施身份鉴别、访问控制、安全审计、人侵防范、恶意代码防范、介质使用管理等安全措施。

　　……

　　g.宜采用密码技术保证数据在采集、传输和存储过程中的完整性、保密性、可追溯性；使用介质传输的，宜对介质实施管控。

　　h.存储个人生物识别信息时，宜采用技术措施处理后再进行存储，例如仅存储个人生物识别信息的摘要。

　　i.密码技术使用宜符合国家密码管理相关要求。

　　j.宜符合重要数据管理、关键信息基础设施安全管理等政策的相关通用要求。

　　（二）行业标准

　　WS/T 847—2024《医学电子文档数字签名技术标准》

　　实施日期：2025年4月1日

　　1 范围 

　　本标准规定了医学电子文档应用数字签名时的通用、对象、格式、验证、存储和应用等要求。

　　本标准适用于全国各级各类医疗卫生单位医学电子文档的数字签名。医疗卫生单位可依据本标准对医疗卫生信息系统厂商、第三方电子认证服务机构提出建设要求。

　　5 通用要求

　　5.1 数字证书

　　数字签名时使用的数字证书应满足如下要求：

　　a）签发数字证书的第三方电子认证服务机构应符合《中华人民共和国电子签名法》、《卫生系统电子认证服务管理办法（试行）》等相关条件要求，应建立全面、规范、安全、高效的运行服务体系，满足医疗卫生信息系统在身份认证、授权管理、责任认定等方面的信息安全需求；

　　b）数字证书算法应采用SM2商用密码算法，符合GB/T 32918的相关要求；

　　c）数字证书格式应符合GM/T 0015、《卫生系统数字证书格式规范（试行）》的相关要求。
　　……
　　5.3 数字签名算法

　　医学电子文档的数字签名算法应满足如下要求：

　　a）非对称算法：应采用SM2商用密码算法，符合GB/T 32918的相关要求；

　　b）摘要算法：应采用SM3商用密码算法，符合GB/T 32905的相关要求。

　　5.4 数字签名服务系统

　　用于实现数字签名的数字签名服务系统应满足如下要求：

　　a）应符合 GB/T 35276、GB/T 35291、GB/T 36322、GM/T 0019、《卫生系统数字证书应用集成规范（试行）》等标准的相关要求；

　　b）应具备国家密码管理局发放的《商用密码产品认证证书》；

　　c）应能够在接收到医疗卫生信息系统数字签名/签名验证、时间戳/时间戳验证请求时，输出符合本标准要求的数字签名数据，或数字签名、时间戳验证结果。

　　WS/T 811—2022《血站信息系统基本功能标准》

　　实施日期：2023年4月1日

　　1 范围

　　本标准规定了一般血站信息系统的基本功能要求。

　　本标准适用于一般血站信息系统的规划、设计、开发、应用和评价。

　　4.5 系统安全 

　　系统与数据的安全应符合GB/T 22239、GB/T 22240的要求，具备以下与安全相关的功能： 

　　——用户认证功能：应支持用户名+密码、数字证书、生物特征识别、短信验证码等一种或多种认证方式，并具有相应的安全策略。对采用数字证书的电子认证方式，应采取技术手段确保数据电文和电子签名在生成、维护、保存、传输、使用过程中的可靠性、完整性、有效性和机密性。 

　　——重要数据保密性功能：应具备个人隐私等重要数据的保密功能。 

　　——数据可追溯性功能：应记录操作者所有登录和操作活动的日期、时间和内容，具备可追溯性。 

　　——数据备份功能：应具备自动或手工数据备份与恢复的功能。

　　YY/T 1843-2022《医用电气设备网络安全基本要求》
　　实施日期：2023年6月1日

　　1 范围

　　本文件规定了医用电气设备、医用电气系统及医疗器械软件的网络安全基本要求。

　　本文件适用于有用户访问、电子数据交换或远程控制功能的医用电气设备、医用电气系统及医疗器械软件。

　　WS/T 788—2021《国家卫生信息资源使用管理规范》

　　实施日期：2022年4月1日

　　8.2.1 数据安全管理

　　对数据进行分级管理，通过数据分类识识别、数据安全目录、数据脱敏、数据安全审计、数据访问权限分级等手段，防止数据被非法使用。卫生信息资源使用单位在使用个案数据时，按照相关规定在履行居民和患者本人授权和卫生健康行政部门批准的合法合规程序后，在个人知情的前提下使用。

　　——访问控制：信息数据涉及隐私和敏感性，因此数据存取需要进行访问控制，通过设定逻辑边界和安全访问策略实现数据过滤，避免信息泄露。 

　　——数据保护：提供数据隔离存储、数据传输的非对称加密（内部或外部）、数据保存的加密、数据的异常泄露控制等功能来加强数据层地的安全策略。

　　——用户隔离：保证用户的数据、服务或存储资源不被其他用户访问。进行端到端保护，必须安全地隔离每个用户的权限。 

　　——数据脱敏：使用结果数据或中间数据时，应对居民和患者个人隐私信息进行脱敏处理。 

　　8.2.2 网络安全管理

　　对存储和处理的敏感数据进行透明加密，防止敏感数据泄露。

　　通过部署数据防火墙和审计对数据的访问操作进行实时监控，阻断违规访问，实现安全事件可追溯、可定责。

　　……

　　三、规范

　　（一）关于印发紧密型县域医共体信息化功能指引的通知

　　国卫办规划函〔2025〕63号，成文时间：2025年2月20日

　　二、建设模式（节选）

　　……

　　（四）完善数据信息安全保障

　　围绕区域数据安全，落实等保制度和安全可靠要求，应用各种安全技术措施，从外到内构建纵深、主动的防御体系，加强信息系统的安全等保和密码应用，加强网络安全日常监测和运维管控，做实应急预案，筑牢网络安全综合防控体系。要保障紧密型县域医共体的业务连续性，保障单个数据中心的网络设备和网络架构冗余,并根据地方实际情况自行或依托政务云建设数据中心灾备中心,包括数据库、应用、大数据、数据交换等服务器以及存储备份，防止网络或数据中心故障导致紧密型县域医共体信息系统无法使用。灾备中心按照业务需求，建设异地备份中心或云化部署。

　　（二）国家中医药管理局关于印发《中医医院信息与数字化建设规范（2024版）》的通知

　　国中医药规财函〔2024〕259号，成文日期：2024年12月5日

　　第八条 中医医院应当坚持安全与发展并重，履行网络安全和数据安全保护责任义务，严格执行网络安全等级保护、商用密码应用安全性评估、健康医疗数据分类分级、数据安全管理和个人信息保护要求，强化中医医院关键信息基础设施的安全防护。

　　第五十条 中医医院应当按照《密码法》等有关法律法规使用商用密码保护信息系统和网络设施，同步规划、同步建设、同步运行商用密码保障系统，定期委托商用密码检测机构开展商用密码应用安全性评估。

　　第五十一条 安全技术主要从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等方面进行安全防范和保护，基本要求包括：

　　——安全物理环境：从物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等方面实施安全防范。

　　——安全通信网络：包括网络架构、通信传输和可信验证，网络架构保证网络设备的业务处理能力，网络带宽满足业务高峰期需要，通信线路、关键网络设备和关键计算设备提供硬件冗余;通信传输采用校验技术或密码技术保证数据的完整性、保密性；可信验证对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并将验证结果形成审计记录送至安全管理中心。

　　——安全区域边界：包括边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计和可信验证，部署防火墙设备、网闸或其他访问控制设备，具备精细粒度的访问控制，部署检测设备实现探测网络入侵和非法外联行为。

　　——安全计算环境：主要包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护和个人信息保护等。

　　——安全管理中心：包括系统管理、审计管理、安全管理和集中管控。

　　——采用云计算、移动互联、物联网等技术时，按照《信息安全技术 网络安全等级保护基本要求》（GB/T 22239—2019）进行安全防护。

　　（三）关于印发《卫生健康行业医疗机构场景密码应用与安全性评估实施指南》《全民健康信息平台密码应用与安全性评估实施指南》的通知

　　国卫统信函〔2023〕17号，印发时间：2023年12月29日

　　《卫生健康行业医疗机构场景密码应用与安全性评估实施指南》

　　本指南主要针对医疗机构场景符合等保三级的核心业务信息系统的密码应用情况展开描述，依据《医院信息化建设应用技术指引（2017 年版试行）》、《电子病历系统应用水平分级评价标准（试行）》、《互联网诊疗管理办法（试行）》等政策标准文件，选定医疗机构内门急诊、住院、检验检查、互联网诊疗为典型业务场景，这些业务面向医院医生、护士、技师等医院工作者及患者、患者家属等就医相关人员身份认证以及可靠电子签名的密码应用需求，同时还需对业务过程中产生的重要医疗数据进行安全保护。

　　《全民健康信息平台密码应用与安全性评估实施指南》

　　本指南适用于各级卫生健康信息部门开展全民健康信息平台密码应用和安全性评估实施工作，同时可为主管监管部门、第三方测评机构等部门开展全民健康信息平台密码应用的安全监督、检查、评估等工作提供参考。

　　（四）卫生系统电子认证服务体系

　　《卫生系统电子认证服务规范（试行）》

　　《卫生系统数字证书格式规范（试行）》

　　《卫生系统数字证书介质技术规范（试行）》

　　《卫生系统数字证书应用集成规范（试行）》

　　《卫生系统数字证书服务管理平台接入规范（试行）》等

　　……

　　相关回顾

　　更新！国家、部委及江西密码政策法规标准规范一览表

　　《密码法》施行五周年！我国金融和重要领域密码政策办法一览表

　　更新！我国密码国家标准、行业标准一览表

　　我国金融和重要领域密码相关行业标准一览表

　　汇总！教育领域密码应用政策标准规范