今天简单分享下卫生行业用户的等级保护工作如何合理地进行开展，等保第一第二步我们知道是定级和备案工作，测评和整改每个行业都大差不差，有很多相同的地方，但是定级和备案每个行业都有自己的特色和特点。今天的实战就讲卫生行业用户如何准确对系统进行定级备案。

卫生行业用户分为：卫生计生行政机构，如各级卫计委；公共卫生和计生服务机构，如各级疾控中心、各级药品集中采购中心等下属单位；医疗机构：各类型医院，三甲、三乙等医院。另外一些下属的卫生学校，这次就不做说明，学校的定级备案参照高校的定级备案进行开展。卫生部在2011年11月2日，发过一个通知：卫生部关于印发《卫生行业信息安全等级保护工作的指导意见》的通知，要求各单位积极开展等级保护工作。指导意见中要求以下重要卫生信息系统安全保护等级原则上不低于第三级：

（1）卫生统计网络直报系统、传染性疾病报告系统、卫生监督信息报告系统、突发公共卫生事件应急指挥信息系统等跨省全国联网运行的信息系统；

（2）国家、省、地市三级卫生信息平台，新农合、卫生监督、妇幼保健等国家级数据中心；

（3）三级甲等医院的核心业务信息系统；

（4）卫生部网站系统；

这里可以确定的涉及到以上信息系统至少是三级，卫生部的一些系统是理论上可以定到四级，没有接触过，不做评价，但是在各地省、市两级的这些系统是肯定需要定到三级的。

结合江苏省卫生和计划生育委员会在二〇一六年三月发布的《江苏省卫生计生信息系统安全等级保护工作指南》，要求以下重要卫生计生信息系统的安全保护等级原则上确定不低于第三级：

1、省、市级区域健康信息平台（含全员人口信息管理平台），省级传染病、重症精神疾病报告信息系统，全省计划免疫预防接种系统、医疗机构药品网上采购与监管平台、新农合省级信息平台； 

2、三级医院基于电子病历的医院信息平台及医院核心业务信息系统；

3、省、市级卫生计生/健康综合服务门户网站；

各省市可以结合这两个指南要求去开展工作，卫生计生行政机构的省、市级的区域健康信息平台（含全员人口信息管理平台）；公共卫生和计生服务机构涉及到的省级传染病、重症精神疾病报告信息系统，全省计划免疫预防接种系统、医疗机构药品网上采购与监管平台、新农合省级信息平台；省、市两级综合门户网站；这些系统都需要定到三级。另外需要注意的部分区县的健康信息平台也可以酌情定到三级，比如所在区县的人口在50万人以上，建议定到三级，因为这样的一个信息量还是非常大的，遭到破坏或泄漏，造成的侵害严重，定到三级并不为过。

三级医院的医院信息管理系统（HIS）是要定到三级的，实验室信息系统（LIS）、影像归档和通信系统（PACS）和门户网站系统可以定到二级，想定三级的也可以。二甲医院，特别是想要升三级医院的，医院信息管理系统（HIS）建议可以直接定到三级，其余定二级。这里有一点，江苏省的等级保护指南中指出：三级医院基于电子病历的医院信息平台是要定到三级，这点之前没有足够重视，目前不得不等接触的医院电子病历系统基本都是定到二级，在后面开展等保工作的过程中，就需要向三级医院指出电力病历需要定到三级。今年8月份国家卫计委发布的《关于进一步推进以电子病历为核心的医疗机构信息化建设工作的通知》中明确了要将电子病历信息化建设列为重点工作任务，将其作为推进现代医院管理制度建设的重要抓手，强化电子病历在医疗机构信息化建设过程中的核心地位。作为核心地位建设的电子病历系统，那么系统按照等保3级去保护是非常有必要的。

定级备案结束了，那就抓紧开展等保工作吧，好的开始是成功的一半，定级合理准确才能更好地做好等保工作，做好网络安全工作，近一两年来勒索病毒在很多医疗客户系统里爆发，说明我们医疗行业用户的网络安全工作还有很大进步空间。今天听广播还听到某县医院暂时无法给新生幼儿开具出生证明，影响一些民众办事。因为系统有故障，工程师还在维修，如果只是普通的硬件故障倒还好，如果是数据有问题那就麻烦了。网络安全问题一直在我们身边，我们需要高度重视并将工作落在实处。

摘自《 等级保护测评》