2026年醫院信息安全管理制度考試題及答案

2026年醫院信息安全管理制度考試題及答案一、單項選擇題（每題2分，共20分）1.根據《醫療數據分類分級指南（2025修訂版）》，以下哪類數據屬于"三級核心數據"？A.門診患者姓名、性別B.住院患者電子病歷（含診斷結論）C.醫院設備采購清單D.公共區域監控視頻（非診療區域）答案：B2.醫院信息系統訪問控制應遵循的核心原則是：A.角色全覆蓋原則B.最小權限原則C.雙人操作原則D.跨部門審批原則答案：B3.依據《醫療機構網絡安全事件應急預案編制規范》，發生Ⅱ級網絡安全事件（系統中斷超4小時）時，應在多長時間內向屬地衛生健康主管部門報告？A.30分鐘B.1小時C.2小時D.4小時答案：B4.醫療物聯網設備（如智能輸液泵）接入醫院內網時，必須實施的安全措施是：A.開放默認端口B.啟用靜態IP地址C.部署設備身份認證D.共享管理賬戶答案：C5.對存儲患者影像數據的移動存儲介質進行銷毀時，應采用的標準是：A.格式化3次B.物理粉碎+數據擦除（符合GB/T28877-2012）C.簡單刪除文件D.覆蓋1次隨機數據答案：B6.醫院AI輔助診斷系統產生的臨時診療數據，其存儲周期最長不超過：A.72小時B.30天C.6個月D.1年答案：A7.根據《個人信息保護法》醫療特殊條款，處理患者敏感個人信息時，除取得單獨同意外還需：A.提供信息處理的算法邏輯B.說明信息共享的具體第三方C.確保處理活動符合診療規范D.公開信息存儲的物理位置答案：C8.醫院信息系統年度安全檢測中，漏洞修復率應達到：A.80%B.85%C.90%D.100%答案：D9.遠程醫療會診系統的通信加密應至少采用：A.TLS1.0B.TLS1.2C.AES-128D.RSA1024位答案：B10.新入職的信息科工程師，其訪問電子病歷系統的權限應：A.由科主任直接授予最高權限B.根據崗位職責設定最小必要權限C.參照同崗位老員工權限設置D.初始設置為只讀權限，3個月后開放讀寫答案：B二、多項選擇題（每題3分，共15分，少選得1分，錯選不得分）11.醫院信息安全管理制度應包含以下哪些內容？A.數據分類分級管理辦法B.移動終端接入安全規范C.第三方運維安全協議模板D.信息安全事件追責機制答案：ABCD12.以下哪些行為違反醫院信息安全規定？A.護士使用自己手機拍攝患者電子病歷屏幕B.工程師將測試賬號共享給實習人員C.醫生通過醫院VPN遠程調閱本院患者病歷D.信息科定期備份核心數據至離線存儲設備答案：AB13.醫療數據脫敏的常用技術包括：A.數據替換（如將姓名替換為"患者X"）B.數據混淆（如將出生日期加減隨機天數）C.數據截斷（如保留身份證號前6位）D.數據加密（使用對稱加密算法）答案：ABC14.醫院信息安全培訓應覆蓋的對象包括：A.臨床醫護人員B.后勤保障人員C.第三方運維人員D.進修實習人員答案：ABCD15.針對勒索軟件攻擊的防范措施包括：A.定期離線備份重要數據B.關閉不必要的端口和服務C.啟用多因素認證（MFA）D.安裝最新版本的防病毒軟件答案：ABCD三、判斷題（每題1分，共10分，正確打√，錯誤打×）16.醫院公共WiFi可以與內網直接互聯，方便患者上網。（）答案：×17.信息系統賬號應定期（每季度）進行權限審計，刪除冗余權限。（）答案：√18.為提高工作效率，護士站可以共享使用同一個登錄賬號。（）答案：×19.存儲患者檢驗報告的服務器必須部署在醫院本地，禁止使用云存儲。（）答案：×（注：符合安全要求的合規云存儲允許使用）20.發生數據泄露事件后，只需向醫院內部管理層報告，無需告知患者。（）答案：×21.醫療設備廠商遠程維護時，必須通過醫院專用VPN并記錄操作日志。（）答案：√22.新上線的信息系統無需進行安全測試，直接接入生產環境。（）答案：×23.員工離職時，只需收回工牌，無需注銷信息系統賬號。（）答案：×24.患者通過互聯網醫院平臺提交的個人信息，存儲期限不得超過診療結束后5年。（）答案：√25.醫院信息安全領導小組應至少每半年召開一次工作會議。（）答案：√四、簡答題（每題8分，共40分）26.簡述醫院核心信息系統（如HIS、EMR）應實施的訪問控制措施。答案要點：①采用基于角色的訪問控制（RBAC），根據崗位職責設定權限；②實施多因素認證（MFA），如賬號+動態令牌/指紋；③建立權限審批流程，新增/變更權限需經部門負責人審核；④定期（每月）進行權限審計，清理冗余賬號；⑤關鍵操作（如修改診斷記錄）需雙人確認并記錄操作日志。27.列舉《數據安全法》對醫療數據處理的三項特殊要求。答案要點：①處理敏感醫療數據應取得患者單獨同意，法律、行政法規另有規定的除外；②醫療數據跨境傳輸需通過安全評估，確保數據主權；③建立醫療數據安全責任制度，明確數據處理者的主體責任；④發生數據安全事件時，需在規定時間內向衛生健康主管部門和數據安全監管部門報告；⑤醫療數據處理活動應符合醫學倫理規范，保護患者隱私和人格尊嚴。28.說明醫院信息系統應急預案應包含的主要內容。答案要點：①應急組織架構（明確總指揮、技術組、協調組等職責）；②事件分級標準（如Ⅰ級：核心系統中斷超8小時，Ⅱ級：4-8小時，Ⅲ級：1-4小時）；③響應流程（監測預警→事件確認→隔離阻斷→數據恢復→原因分析）；④資源保障（備用設備、離線備份、通信聯絡清單）；⑤后期處置（事件報告、責任認定、預案修訂）；⑥演練要求（每年至少2次綜合演練，每季度專項演練）。29.分析移動醫療設備（如便攜B超機）面臨的主要信息安全風險及防范措施。答案要點：風險：①設備易丟失導致數據泄露；②無線傳輸易被竊聽；③第三方APP安裝帶來惡意軟件風險；④設備固件未及時更新存在漏洞。防范措施：①設備綁定唯一標識，安裝定位追蹤模塊；②無線傳輸采用TLS1.3以上加密；③禁用設備應用商店，僅允許安裝經過安全審核的軟件；④建立設備生命周期管理，定期更新固件和安全補丁；⑤存儲數據采用加密芯片，設備丟失后自動銷毀敏感數據。30.闡述醫院信息安全培訓的分層實施策略。答案要點：①管理層培訓（院長、科室主任）：重點培訓法律法規（如《數據安全法》《個人信息保護法》）、安全責任、合規要求，每年至少1次；②技術人員培訓（信息科、設備科）：強化技術防護技能（如漏洞修復、入侵檢測、應急響應），每季度1次實操演練；③醫護人員培訓：側重安全操作規范（如賬號管理、數據查看權限、移動設備使用），每月通過在線學習平臺推送案例；④第三方人員培訓（運維、廠商）：入職前進行安全協議培訓，簽署保密承諾，每次現場維護前進行專項安全交底；⑤患者及家屬宣傳：通過公眾號、院內屏展示數據保護措施，告知信息使用范圍和隱私權利。五、案例分析題（15分）31.某三甲醫院2026年3月發生以下事件：護士張某使用個人手機拍攝患者電子病歷屏幕（含姓名、診斷、用藥信息），并通過微信發送給實習醫生李某用于教學。李某將該圖片保存在個人云盤，后因云盤賬號被盜導致50條患者信息泄露。請分析：（1）事件中存在哪些信息安全違規行為？（5分）（2）醫院應采取的應急處置措施有哪些？（5分）（3）如何完善制度預防類似事件再次發生？（5分）答案要點：（1）違規行為：①張某使用私人設備拍攝含敏感信息的屏幕（違反"禁止使用非授權設備采集醫療數據"規定）；②張某通過非加密即時通訊工具傳輸患者信息（違反"敏感數據需通過專用系統傳輸"要求）；③李某將患者信息存儲于個人云盤（違反"醫療數據須存儲于醫院受控系統"規定）；④李某未妥善保管云盤賬號（違反"個人賬號安全管理"要求）；⑤教學使用患者信息未取得患者單獨同意（違反《個人信息保護法》醫療特殊條款）。（2）應急處置措施：①立即停用張某、李某的系統賬號，凍結云盤賬號并聯系服務商刪除泄露數據；②向患者逐一告知泄露情況，提供身份保護建議（如監測個人信息使用情況）；③2小時內向屬地衛生健康主管部門和網信部門報告事件詳情；④啟動內部調查，固定證據（調取系統日志、微信聊天記錄、云盤訪問記錄）；⑤對受影響患者進行隱私損害評估，必要時提供法律協助或賠償。（3）制度完善措施：①修訂《移動設備使用管理辦法》，明確禁止私人設備拍攝/傳輸醫療