🏥 医疗行业等保怎么做——系统范围与整改顺序

1 医疗行业做等保，特殊在哪里

医疗行业的等保要求和通用等保框架一致，但在三个地方明显更严：数据敏感度高、系统不能停、监管检查频繁。

数据层面，医院信息系统里有大量身份证号、病历、检验结果、影像资料，属于《个人信息保护法》里的敏感个人信息。一旦泄露，影响面比普通业务系统大得多，处罚也更重。

业务连续性层面，HIS、LIS、PACS、EMR 这些系统直接关系诊疗。很多医院无法接受停机维护窗口，整改只能挑夜间或周末做，工期比普通项目长。这也是医疗等保项目经常拖期的原因。

监管层面，卫健部门和公安网安对医院有联合检查，检查频率高于一般行业。加上医院内部 IT 人力普遍紧张，很多三甲医院的网络安全专职人员只有一到两人，运维压力大。

2 医院哪些系统要纳入等保范围

很多医院备案时只报了一两个系统，测评时被要求补充。完整的范围应该覆盖下面这些。

医疗设备联网是这两年检查的重点。很多输液泵、监护仪、影像设备自带联网功能，走的是厂商远程维护通道，医院 IT 部门并不掌握。这类设备一旦成为跳板，影响的是整个内网。

3 医院测评最容易失分的六处

从实际测评情况看，医院的缺口高度集中在几个地方，且大多和历史建设方式有关。

一、账号共用。医生站、护士站为了效率长期共用账号，操作日志无法定位到人。这一条几乎每个医院都有，整改阻力最大，因为涉及临床习惯。可行做法是先在一两个科室试点个人账号加快速登录，用实际体验说服临床。

二、内外网混用。早期建设时内外网没有严格隔离，有的科室私自拉线、装无线。检查时会做实地抽查，发现一根违规线路就是一条高风险项。技术上可以用网络准入控制配合定期扫描，管理上要明确科室责任。

三、日志留存不足。等保要求日志留存不少于六个月，很多医院的安全设备日志只留一个月，且分散在各设备上无法关联分析。建议建统一日志平台，至少把核心系统的登录日志、操作日志、设备告警集中起来。

四、第三方运维通道失控。HIS、PACS 厂商远程维护是刚需，但通道往往长期开放、账号共享、无审计。整改方向是做运维审计（堡垒机），所有厂商远程接入必须经过堡垒机，全程录像。

五、数据库直接暴露。有的医院业务系统数据库端口对内网全开，任何一台内网机器都能连。要用防火墙做访问控制，只允许应用服务器访问。

六、制度与实操脱节。制度文件齐全，但没有执行记录。检查时会看变更审批单、账号申请单、巡检记录这些痕迹，光有制度不给分。

4 三级等保要配哪些安全能力

医院做等保三级，通常需要覆盖下面这些能力。可以自建，也可以用云服务或安全托管服务替代，关键看是否有明确的责任界面和证据链。

5 整改怎么排顺序，怎么避开停机

医院整改的核心约束是不能影响诊疗。排顺序的原则是先做不影响业务的，再做需要窗口期的。

第一梯队（无停机影响）：堡垒机上线、日志平台搭建、数据库审计部署、边界防火墙策略梳理。这几项都是旁路或串联在网络层，不影响业务系统本身。通常两到四周能完成。

第二梯队（需短窗口）：账号体系改造、终端防护统一部署、无线网络整治。账号改造可以按科室分批，每次只影响一个科室。终端部署可以按楼层分批。这类工作建议安排在周末或夜间。

第三梯队（需协调厂商）：应用系统安全改造、数据库加密、双因素认证。这些依赖 HIS、EMR 厂商配合，需要提前排期。厂商档期是最大变量，建议项目一开始就同步联系。

整个周期从启动到测评通过，三级医院通常需要四到八个月。规模大、系统多的可能要一年。提前规划能避免临检查时赶工。

6 上云还是自建，怎么权衡

中小医院普遍面临 IT 人力不足的问题。两条路径各有取舍。

核心诊疗系统自建、对外服务上云是比较常见的做法。HIS、PACS 这类系统数据量大、实时性要求高、和院内设备强耦合，短期难以上云。互联网医院、预约挂号、健康档案这类对外系统天然适合云部署，能直接复用云平台的等保能力。

安全能力托管是另一条路。把边界防护、终端防护、日志审计、监测响应交给专业团队运营，医院只保留管理责任。这种方式能快速补齐能力短板，代价是持续性支出。选之前要确认服务范围、响应时限、报告能否用于监管报送。