达州市卫生健康委员会  达州市公安局

关于印发《达州市卫生健康行业网络安全等级保护工作实施方案》的通知

各县（市、区）卫生计生局、公安局，委直属各单位：

为进一步规范全市卫生健康行业网络安全等级保护工作，提升网络信息安全防护和处置能力，特制定《达州市卫生健康行业网络安全等级保护工作实施方案》，现印发你们，请遵照执行。

达州市卫生健康委员会

达州市公安局

2019年3月5日 

达州市卫生健康行业

网络安全等级保护工作实施方案

网络安全等级保护制度是提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设的一项基本制度。为深入贯彻落实国家网络安全等级保护制度，规范和指导全市卫生健康行业、医疗卫生单位网络安全等级保护工作，确保全市卫生健康网络信息系统安全可靠运行，根据公安部、国家卫生健康委系列文件精神，结合我市卫生健康行业信息化建设实际，特制定本方案。

一、工作目标

依据国家网络安全等级保护制度，遵循相关标准规范，进一步深入推进全市卫生健康行业网络安全等级保护定级备案、建设整改和等级测评等工作，明确网络安全保障重点，落实主体责任，建立网络安全等级保护工作长效机制，切实提高卫生健康行业网络安全防护能力、隐患发现能力、应急处置能力，为卫生健康信息化健康发展提供可靠保障，全面维护公共利益、社会秩序和国家安全。

二、定级范围

各级卫生健康行业单位应根据全省卫生健康信息化发展规划，结合自身实际，自行确定重要的信息系统及信息安全等级保护级别。应遵循以下定级要求：

1．三级医疗卫生机构建设和运营的重要信息系统应定级为信息安全等级保护三级；二级医疗卫生机构建设和运营的信息系统应定级为信息安全等级保护二级。

2．以下重要卫生健康信息系统安全保护等级原则上不低于三级：

（1）各级全民健康信息平台及市级居民健康卡卡管系统。

（2）面向患者提供服务的系统，如HIS、LIS、PACS及门户网站等；以电子病历为核心的医院集成信息平台。

（3）各级各单位认为应定为信息安全等级保护三级的其他信息系统。

三、工作安排

（一）信息系统定级备案。各地各单位要按照通知要求，完成本单位信息系统安全等级保护备案工作。市、县两级卫生健康行政主管部门、委直属单位、二级以上医疗卫生机构（名单见附件1）等要按照《信息系统等级保护备案资料清单》（见附件2）要求，认真填报等级保护备案资料。各县（市、区）卫生健康行政主管部门将辖区医疗卫生机构填报的等级保护备案资料统一收集后于2019年3月20日前报送市公安局网络安全保卫支队进行等级保护备案登记，委直属单位2019年3月20日前直接向市公安局网络安全保卫支队报送备案资料进行备案登记，并同时向市卫生健康委报备。

（二）等级测评及问题整改。2019年9月30日前，各级各单位要按照网络安全等级保护制度要求，结合实际情况，完成年度网络安全等级保护测评和整改工作。

（三）网络安全执法检查。2019年12月31日前，市卫生健康委、市公安局在适当的时候联合对各单位网络安全等级保护工作情况和网络安全防护情况进行检查。

（四）逐步引导民营医疗卫生单位积极开展网络安全等级保护制度。各级卫生健康行政主管部门和公安机关网安部门要积极引导、指导属地民营医疗卫生单位参照本方案，逐步开展本单位重要信息系统的网络安全等级保护工作。

四、工作要求

（一）落实网络安全主体责任制。各级卫生健康行政主管部门和医疗卫生单位要高度重视网络信息安全工作，按照“自主定级、自主保护”的原则，各卫生健康行业单位是网络安全工作的责任主体，负责本单位信息系统的网络安全等级保护工作。各县（市、区）卫生健康行政主管部门根据各自职责负责组织所属卫生健康行业单位开展网络安全等级保护工作。市、县两级公安机关网安部门负责对本地区卫生健康行业单位网络安全等级保护工作的监督、检查和指导。市卫生健康委、市公安局建立市级协调机制，按照各自职责分工，密切配合，定期沟通和通报工作进展，及时交流备案数据、整改测评情况和检查结果。各县（市、区）卫生健康行政主管部门、公安机关网安部门要根据本地实际，建立相应的工作协调机制，及时上报工作进展，保障和促进卫生健康行业网络安全等级保护工作的顺利开展。

（二）落实网络安全等级保护定级备案。各级卫生健康行业单位要按照网络安全等级保护制度要求和具体工作部署，切实加强工作组织领导，成立信息安全工作组，及时开展本单位信息系统定级备案、等级测评、安全建设和自查整改等工作。信息安全等级保护为二、三级的信息系统，须根据属地原则到当地公安机关网安部门备案。市直卫生健康行业单位信息系统向市公安局网络安全保卫支队备案。

（三）开展网络安全等级保护测评工作。市、县两级卫生健康行政主管部门、委直属单位、二级以上医疗卫生机构要根据实际情况从四川省公安厅信息安全等级测评机构推荐目录(http://www.scga.gov.cn/xxgk/gsgaf/tzgg/201711/t20171109_52189.html)中择优选择测评机构，按照规定要求定期开展等级测评。三级（含）以上信息系统每年进行一次测评，二级系统每两年进行一次测评，各县（市、区）卫生健康行政主管部门要及时动态收集本辖区内各信息系统备案和测评情况，并向市卫生健康委报备。

（四）落实网络安全等级保护的建设整改加固工作。市、县两级卫生健康行政主管部门、委直属单位、二级以上医疗卫生机构要在信息系统定级备案工作基础上，对照国家相关标准规范，通过信息系统安全等级测评或风险评估等方式确定整改需求，完善安全管理制度，落实物理安全、网络安全、主机安全、应用安全和数据安全等安全保护技术措施。重点对信息系统的进行安全加固和完善，落实安全保护技术措施和安全制度，提高网络和信息系统的整体保护能力。

（五）畅通信息通报机制。市、县两级卫生健康行政主管部门、委直属单位、二级以上医疗卫生机构要加快建立网络安全专门负责机构，明确网络安全负责人，相关联络信息要及时报属地公安机关网安部门掌握，畅通网络与信息安全信息通报机制，同时，将本单位重要信息系统纳入达州市公安局关键信息基础设施安全防护管理平台监管，建立公安机关和本单位的“双负责任制”，实现重大网络安全隐患及时发现、通报和整改，确保重要信息系统的安全稳定运行。各级各单位对信息系统日常工作中发生的安全事件，要及时报送同级卫生健康行政主管部门。对重大安全事件（故），要保护好现场，并第一时间向当地公安机关报告，同时书面报送同级和上级卫生健康行政主管部门。

（六）切实开展网络安全执法检查工作。市、县两级卫生健康行政主管部门、各医疗卫生单位要积极配合公安机关网安部门对网络安全等级保护工作落实情况和网络安全防护情况的网络安全执法检查工作；市卫生健康委将把各地各单位网络安全等级保护工作情况纳入绩效目标考核。对发现的突出问题将在全市予以通报，造成重大不良影响的将约谈单位主要负责人，违反法律法规的，公安机关网安部门将依法处理。

联系人：

市卫生健康委  何江  2141595  13350786272

              黎亮  18008188558

市卫生计生信息中心  张天燕  15328247827

市公安局            李秋池  18081539887

附件：1．二级以上医疗卫生机构名单

      2．信息系统等级保护备案资料清单

附件1

二级以上医疗卫生机构名单

达州市中心医院             达州市中西医结合医院

达州市妇幼保健院           通川区人民医院

通川区中医院               达州职业技术学院附属医院

通川区红十字医院           达州华美口腔医院

达川区人民医院             达川区中医医院

达川区妇幼保健院           达州市民康医院

达州骨科医院               达州禾平精神病医院

达州南方医院                达县新桥医院

宣汉县人民医院              宣汉县中医院

宣汉县第二人民医院          宣汉县第三人民医院

开江县人民医院              开江县中医院

开江康仁骨科医院            开江康复医院

大竹县人民医院              大竹县中医院

大竹县妇幼保健计生服务中心  渠县人民医院

渠县中医院                  渠县妇幼保健院

万源市中心医院              万源市中医院                                                                                                                                                                 

附件2

信息系统等级保护备案资料清单

1、XX系统安全等级保护定级报告（含网络结构拓补图及说明）

2、XX系统安全组织机构和管理制度

3、XX系统安全保护设施设计实施方案或者改建实施方案

4、XX系统使用的信息安全产品清单及其认证、销售许可证明

5、信息系统安全等级保护备案表（一式三份，其中两份送市公安局，一份送市卫健委，加盖鲜章。）

6、组织机构代码证（一式两份，加盖鲜章）

7、法人身份证复印件（一式两份，加盖鲜章）

8、信息安全员身份证复印件（一式两份，加盖鲜章）

信息系统安全等级保护备案表

备 案 单 位：        （盖章）          

备 案 日 期：                          

受理备案单位：       （盖章）           

受 理 日 期：                           

中华人民共和国公安部监制

填　表　说　明

一、 制表依据。根据《信息安全等级保护管理办法》（公通字[2007]43号）之规定，制作本表；

二、 填表范围。本表由第二级以上信息系统运营使用单位或主管部门（以下简称“备案单位”）填写；本表由四张表单构成，表一为单位信息，每个填表单位填写一张；表二为信息系统基本信息，表三为信息系统定级信息，表二、表三每个信息系统填写一张；表四为第三级以上信息系统需要同时提交的内容，由每个第三级以上信息系统填写一张，并在完成系统建设、整改、测评等工作，投入运行后三十日内向受理备案公安机关提交；表二、表三、表四可以复印使用；

三、 保存方式。本表一式二份，一份由备案单位保存，一份由受理备案公安机关存档；

四、 本表中有选择的地方请在选项左侧“0”划“√”，如选择“其他”，请在其后的横线中注明详细内容；

五、 封面中备案表编号（由受理备案的公安机关填写并校验）：分两部分共11位，第一部分6位，为受理备案公安机关代码前六位（可参照行标GA380-2002）。第二部分5位，为受理备案的公安机关给出的备案单位的顺序编号；

六、 封面中备案单位：是指负责运营使用信息系统的法人单位全称；

七、 封面中受理备案单位：是指受理备案的公安机关公共信息网络安全监察部门名称。此项由受理备案的公安机关负责填写并盖章；

八、 表一04行政区划代码：是指备案单位所在的地(区、市、州、盟)行政区划代码； 

九、 表一05单位负责人：是指主管本单位信息安全工作的领导；

十、 表一06责任部门：是指单位内负责信息系统安全工作的部门；

十一、 表一08隶属关系：是指信息系统运营使用单位与上级行政机构的从属关系，须按照单位隶属关系代码（GB/T12404―1997）填写； 

十二、 表二02系统编号：是由运营使用单位给出的本单位备案信息系统的编号；

十三、 表二05系统网络平台：是指系统所处的网络环境和网络构架情况；

十四、 表二07关键产品使用情况：国产品是指系统中该类产品的研制、生产单位是由中国公民、法人投资或者国家投资或者控股，在中华人民共和国境内具有独立的法人资格，产品的核心技术、关键部件具有我国自主知识产权；

十五、 表二08系统采用服务情况：国内服务商是指服务机构在中华人民共和国境内注册成立（港澳台地区除外），由中国公民、法人或国家投资的企事业单位；

十六、 表三01、02、03项：填写上述三项内容，确定信息系统安全保护等级时可参考《信息系统安全等级保护定级指南》，信息系统安全保护等级由业务信息安全等级和系统服务安全等级较高者决定。01、02项中每一个确定的级别所对应的损害客体及损害程度可多选；

十七、 表三06主管部门：是指对备案单位信息系统负领导责任的行政或业务主管单位或部门。部级单位此项可不填；

十八、 解释：本表由公安部公共信息网络安全监察局监制并负责解释，未经允许，任何单位和个人不得对本表进行改动。

1、 单位基本情况

2、信息系统情况

3、信息系统定级情况

备案审核民警：                              审核日期：       年   月   日

4、第三级以上信息系统提交材料情况

涉及国家秘密的信息系统分级保护备案表

填报日期：    年  月  日                 填报单位：（盖章）

填表说明：

1．“系统密级”依据《涉及国家秘密的信息系统分级保护管理办法》和国家保密标准BMB17-2006确定。

2．涉密信息系统一般应划分安全域，同一系统内的不同安全域根据所处理信息的重要程度，可分别确定密级。

3．表中“□”项，确认划“√”。

4．填报多个涉密信息系统，可复印此表。

国家保密局制