新规密集出台，等保合规迎来“强监管”时代
2025年春季，公安部连续发布公网安〔2025〕1001号与1846号两份重要文件，为全国的网络安全等级保护工作划下了新的重点。文件明确要求各单位必须深化系统备案更新、摸清数据资源家底、并切实进行风险整改。这一系列新规的落地，标志着等保合规已进入一个要求更高、监管更严的新阶段。对于医疗行业来说，一场关乎数据安全的“大考”已全面展开。
“三级等保”，这个词如今已成为悬在每一位医疗机构管理者心头的“达摩克利斯之剑”。它听起来复杂、实施起来繁琐，但又是一道关乎机构生死存亡的“必答题”。
然而，对于许多医疗机构的IT团队而言，‘三级等保’的具体要求、实施路径以及不同部署方式（如本地部署与云部署）下的责任归属，仍然是一个复杂的议题。
今天，我们就来彻底讲清楚这件事。
1. “三级等保”，国家为何如此重视？
“三级等保”的要求并非空穴来风，其法律基础源于《中华人民共和国网络安全法》。
《网络安全法》第二十一条规定： 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。
《网络安全法》第三十一条规定： 关键信息基础设施的运营者，在等级保护制度的基础上，要实行重点保护。
医疗行业因其业务的特殊性和数据的敏感性，其核心信息系统（如HIS、EMR、PACS等）已被普遍视为国家网络安全的关键保护对象。因此，无论机构规模大小，只要系统承载着核心诊疗业务，通常都需要按照第三级系统的标准进行安全建设和认证。
2. 哪些医疗信息系统需要做“三级等保”？
根据《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020），定级的核心依据是信息系统在国家安全、社会秩序、公共利益以及公民权益中遭到破坏后所侵害的客体和造成的损害程度。
对于医疗信息系统，我们可以这样理解：
定级对象： 是“信息系统”，而不是“医疗机构”本身。一个医院可以有多个信息系统，需要分别定级。
定级核心：
业务信息安全： 系统被破坏后，是否会严重影响医疗业务的正常运行？（例如，HIS瘫痪导致无法挂号、收费、开药）
系统服务安全： 系统服务中断后，是否会造成社会秩序混乱或公共利益严重受损？（例如，区域医保系统中断）
《信息系统安全等级保护定级指南》明确举例：
“三级甲等医院的核心业务系统（如HIS、EMR等）” 属于第三级系统。
这为整个行业划定了一条清晰的基准线。它意味着，尽管机构规模可能不同，但只要其信息系统所承载的业务核心性、处理的数据敏感性与三甲医院的HIS系统相当——即直接关系到诊疗流程的正常运转和大量患者的生命健康信息安全——那么该系统就理应参照同等级别的安全要求进行保护，即定为第三级并完成相应的认证。
3. 本地HIS、云HIS、互联网医院，有何区别？
本地部署的HIS系统：
是否需要完成三级等保？需要。任何承载核心诊疗业务的本地HIS系统，因其对业务连续性和数据安全的关键作用，理应被定为第三级，并完成相应的定级、备案和测评认证。
责任主体： 医疗机构自身需要承担几乎全部的安全建设和测评责任，包括物理机房、网络设备、安全设备、应用系统、管理制度等所有方面。成本高、难度大。
云HIS系统：
是否需要完成三级等保？同样需要。部署方式的改变，并未降低系统核心性与数据敏感性。因此，采用云HIS的医疗机构，其系统同样需要通过三级等保认证，以满足国家合规要求。
责任主体： 变为“共同责任模型”。云平台负责底层基础设施安全，云HIS厂商负责应用软件安全，医疗机构负责上层的管理和使用安全。这大大减轻了医疗机构自身的建设和认证压力。
互联网医院：
是否需要完成三级等保？更是硬性规定。 互联网医院直接暴露于公网，面临更高的安全风险。因此，国家卫健委在其管理办法中强制要求，互联网医院信息系统必须实施第三级信息安全等级保护。
云上“三级等保”，谁来负责？—— “共同责任模型”
当您使用云HIS时，数据安全不再是您一家机构的责任，而是一个由“云服务商（IaaS/PaaS）”、“云HIS提供商（SaaS）”和“医疗机构（用户）”三方构成的“共同责任模型”。
我们可以用一个形象的比喻来理解：
云服务商（如阿里云、腾讯云）： 他们负责提供“土地和建筑框架”的安全。比如物理环境安全、网络基础设施安全等。他们确保整栋大楼是坚固且安保严密的。
尚医云·云HIS（SaaS提供商）： 我们负责“精装公寓”的安全。我们基于安全的“建筑框架”，为您打造了一个功能完善、安全可靠的“家”。这包括应用软件自身的安全、数据的加密存储与传输、严格的访问控制、安全审计日志等。我们确保您的“公寓”门是防盗的、窗是牢固的、水电管线是安全的。
医疗机构（用户）： 您负责“家庭内部”的安全管理。比如，给谁配钥匙（账号权限管理）、家庭成员的行为规范（内部人员操作规范）、以及访客登记（数据访问流程）。
尚医云·云HIS如何为您“分忧解难”，铺平认证之路？
看到这里您可能明白了，对于医疗机构来说，最复杂、技术门槛最高的“建筑框架”和“精装公寓”部分，如果选择一个不可靠的厂商，就需要自己投入巨大的人力物力去建设和认证。
而选择尚医云·云HIS，意味着您直接获得了一个已经满足“三级等保”核心技术要求的“精装安全屋”。
我们的作用体现在以下三个层面：
1. 坚实可靠的“安全地基”：
尚医云·云HIS的底层架构，构建于已通过三级等保认证的国内顶级云平台之上。我们已经为您选择并加固了最安全的“地基”，您无需再为底层基础设施的合规性担忧。
2. 系统内嵌的“安全基因”：
我们的云HIS产品在设计之初就严格遵循“三级等保”的技术要求，从身份鉴别、访问控制、安全审计、数据加密到入侵防范，安全能力已深度融入系统的每一个模块。
3. 全程陪伴的专家服务：
我们不仅提供一个安全的产品，更提供专业的VIP服务。尚医云团队拥有丰富的医疗行业等保认证经验。
对于医疗机构而言，自主完成全套三级等保认证，无疑是一项成本高昂、周期漫长且充满不确定性的挑战。而选择尚医云·云HIS，您得到的不仅是一套功能强大的业务系统，更是一个已经为您承担了绝大部分技术安全责任、并能指导您轻松完成剩余管理认证的“安全合规伙伴”。
安全，是医疗信息的生命线。在通往“三级等保”的路上，尚医云愿与您并肩同行，让合规变得简单，让安全触手可及。
EndFragment
三级等保，医疗机构的“必答题”，尚医云·云HIS如何帮您拿高分？
