简介《医院网络安全运营能力成熟度评估指南》试行版由中国医院协会信息专业委员会CHIMA组织编写面向医院管理者、信息部门技术人员及医疗信息化从业者旨在为医院安全运营建设提供科学、系统、规范的评估标准与验证流程帮助机构准确评估自身网络安全运营现状发现短板并建立持续改进机制。资源包内含1个PDF文件大小约4.59MB即指南完整正文涵盖前言、编制说明、编者名单、目录及概述等章节围绕安全策略与制度、风险管理、安全技术措施、人员能力与安全意识、应急响应能力和持续改进机制等维度构建成熟度评估框架。指南以南昌大学第一附属医院为范本结合北京协和医院、北京大学肿瘤医院等十余家三甲医院的实践经验融入医疗设备安全准入、患者隐私数据保护等标杆案例并引入“成熟度”标尺从长期和整体视角审视医院网络安全工作。目前已有227人学习关注适合需要对照行业标准开展自评、优化安全体系或制定战略决策的医疗信息化相关人员参考。1. 医院网络安全运营成熟度评估一份能直接落地的自评框架很多医院信息科的同仁都有类似的困惑安全设备买了一堆等保也过了但真被问到“我们医院的安全运营到底处于什么水平”往往只能凭感觉回答。这份《医院网络安全运营能力成熟度评估指南》试行版解决的正是这个问题——它把安全运营拆成可量化、可打分的指标项让医院能像做体检一样定期给自己的安全体系打分。指南由中国医院协会信息专业委员会CHIMA组织编写南昌大学第一附属医院作为核心参编单位贡献了医疗设备安全准入、患者隐私数据保护等实践案例北京协和、北大肿瘤、瑞金等十余家三甲医院的信息专家参与了场景验证。它适合医院信息科负责人、安全运营工程师以及需要向院领导汇报安全建设成效的技术骨干。核心价值在于把“安全运营做得好不好”从主观判断变成有据可查的成熟度等级。2. 三维评估框架拆解过程域、能力域、层级域怎么配合打分2.1 IPDRV-M过程域安全运营的六个阶段与对应工作项指南的核心骨架是IPDRV-M模型把安全运营全生命周期拆成六个阶段。这个模型参考了NIST CSF的识别、保护、检测、响应、恢复五大功能同时结合金融行业FCS-CMM的评估体系做了医疗场景适配——新增了验证Verify维度来强化防护效果闭环合并了响应恢复维度来突出实战协同。六个阶段的具体工作项如下过程域代号核心工作项风险预测I资产识别梳理、暴露面检测、变更审核、新上线评估、情报预警、渗透测试、漏洞扫描、弱口令发现、基线核查、高危端口识别、移动应用合规与风险发现、风险量化评估主动防御P安全风险闭环、风险编排处置、安全设备防护、安全设备运维、设备策略管理深度监测D网站监测、终端监测、流量监测、威胁分析响应恢复R备份恢复、事件报告、响应与处置模拟验证V攻防演练、应急预案与演练、入侵模拟验证、重大时期保障运营管理M供应链管理、网络安全培训、风险通报整改、迎检安全检查、等级保护合规这张表建议打印出来贴在工位上。评估时逐项对照哪一列空着哪一列就是短板。比如“弱口令发现”这一项如果医院从来没有做过系统性的弱口令扫描那风险预测阶段的能力等级就不可能高。2.2 能力域四维度组织人员、技术工具、制度流程、工作执行过程域回答“做什么”能力域回答“怎么做”。每个工作项都要从四个维度去评估支撑能力组织人员有没有明确的责任人是专职还是兼职人员技能是否匹配技术工具有没有自动化工具支撑工具覆盖率多少是手动操作还是平台化制度流程有没有标准化的操作流程SOP流程是否文档化是否定期评审更新工作执行实际执行记录是否完整执行频率是否达标执行效果是否有量化数据举个例子评估“漏洞扫描”这个工作项时不能只看“有没有买扫描器”。要追问谁负责扫组织人员用什么工具扫、覆盖多少资产技术工具多久扫一次、扫描流程是否文档化制度流程扫描报告是否有人跟进整改、整改率多少工作执行四个维度都到位这个工作项才能拿到高分。2.3 层级域五级进阶从L1初始级到L5持续改进的判定标准层级域是评估的标尺分五级L1 初始级工作靠个人经验驱动没有固定流程出了问题才被动响应。L2 可重复级关键工作有基本流程能重复执行但依赖特定人员。L3 充分定义级流程标准化、文档化人员变动不影响工作连续性。L4 量化管理级工作效果有量化指标如MTTR、MTTC、漏洞修复率能基于数据做决策。L5 持续改进级建立“评估-改进-再评估”闭环能主动优化流程和技术。判定时有个常见误区以为买了SOAR平台就是L4。实际上L4的核心是“量化管理”——你得有数据证明响应时间在缩短、漏洞修复率在提升。工具只是手段数据才是证据。2.4 编码规则与评估指标项的对应关系指南的评估指标项有统一的编码规则方便在评估表中定位和引用。编码结构通常是“过程域代号-能力域代号-层级代号-序号”的形式。比如风险预测I下“网络资产识别及梳理”这个工作项在组织人员维度、L3等级的评估条目会有对应的编码。实际操作中建议用Excel建一张评估表列头设为过程域、工作项、能力域维度、层级要求、当前状态、佐证材料、得分、改进优先级。每一行对应一个评估条目逐项打分。这样最后能自动汇总出每个过程域的平均分和整体成熟度等级。3. 实操评估流程从组建团队到输出改进清单3.1 三类团队的角色分工与组建建议指南明确要求组建跨职能团队分三层决策团队负责定目标等级、批资源、监督进度。成员建议包括分管信息化的院领导、信息科主任、财务负责人。他们的核心动作是评估前明确“今年我们要达到L几”评估后根据结果决定预算投向。执行团队负责数据收集、自评估、落实整改。成员包括安全运营工程师、系统管理员、网络管理员。他们需要做的是按评估表逐项收集佐证材料截图、日志、制度文档、会议纪要给出初步评分。协同团队负责技术支撑和专家意见。可以是外部安全服务商、行业专家也可以是院内其他部门如设备科、医务处的配合人员。他们的价值在于提供第三方视角避免自评估“既当运动员又当裁判员”。组建时注意一点执行团队里一定要有实际动手操作安全设备的人不能全是管理层。否则评估结果会严重偏离实际。3.2 五步评估法明确目标等级、收集佐证、执行评估、层级分析、优化改进指南给出的评估流程分五步我把它拆成可操作的清单第一步明确目标等级。决策团队根据医院业务规模、信息化战略、合规要求确定本次评估的目标等级。比如一家三甲医院核心业务系统已过等保三级目标可以定为L3如果已经建了SOC且有量化指标可以冲L4。第二步收集佐证材料。执行团队按评估表逐项收集。常见佐证包括资产清单、扫描报告、整改工单、应急预案、演练记录、培训签到表、制度文件、设备配置截图、日志导出文件。注意佐证材料要有时间戳过期材料不算数。第三步执行评估。对照每个工作项的层级要求判定当前等级。这里建议采用“就低原则”——四个能力域维度中只要有一个维度不满足整个工作项就不能算达到该层级。第四步层级分析。汇总各过程域的得分画出雷达图。重点看三个东西哪些过程域整体偏低哪些工作项在多个过程域中反复出现短板哪些短板对业务连续性影响最大第五步优化改进。根据分析结果输出改进清单明确整改目标、实施路径、责任主体、时间节点。改进清单要按优先级排序优先解决“高风险低成熟度”的项。3.3 佐证材料清单与评分表示例以下是一份简化的评分表模板可以直接复制到Excel里用过程域工作项能力域维度目标层级当前状态佐证材料得分改进优先级I 风险预测网络资产识别及梳理技术工具L3有资产扫描工具覆盖率80%扫描报告2025-032高I 风险预测弱口令发现工作执行L3每季度扫描一次有整改记录扫描报告整改工单3中P 主动防御安全风险闭环制度流程L3有流程文档但未定期评审流程文件2高D 深度监测流量监测技术工具L4有流量分析平台但无量化指标平台截图2高R 响应恢复备份恢复工作执行L4有备份策略RTO/RPO未量化备份策略文档2中V 模拟验证攻防演练组织人员L3每年一次无专职红队演练报告2中M 运营管理网络安全培训工作执行L3每年两次覆盖率60%签到表课件2低评分建议用1-5分对应L1-L5。最后按过程域求平均最低的那个过程域就是下一阶段的建设重点。3.4 从评估结果到改进路线图的转化方法评估不是目的改进才是。拿到评分表后按这个逻辑转化先做“影响度-成熟度”矩阵。横轴是成熟度得分纵轴是对业务连续性的影响程度。落在“高影响低成熟度”象限的项就是必须优先解决的。然后定阶段性目标。比如当前整体在L2目标一年内达到L3。那就把L3要求中差距最大的3-5个工作项列为年度重点每个项指定责任人和完成时间。最后建跟踪机制。建议每季度复盘一次改进清单更新评分表。指南强调的“评估-改进-再评估”循环关键就在这个跟踪机制上。没有跟踪评估就是一次性运动。4. 避坑与常见问题评估落地时最容易翻车的五个地方4.1 把成熟度评估当成等保测评来做现象评估表填得满满当当但全是“已部署XX设备”“已通过等保三级”这类描述没有过程域和能力域的具体佐证。原因等保测评关注的是“有没有”成熟度评估关注的是“做得好不好、能不能持续”。两者逻辑不同。等保是合规基线成熟度是能力标尺。解决评估前先给团队做一次培训讲清楚区别。填表时强制要求每个得分项附佐证材料没有佐证的一律按L1算。4.2 佐证材料收集变成“补材料”现象评估通知下发后各科室突击补制度文档、补培训签到表、补演练记录材料日期集中在评估前一周。原因日常没有养成记录习惯把评估当成了“迎检”。解决把佐证材料收集融入日常运维。比如每次漏洞扫描后自动归档报告每次应急演练后24小时内上传记录。评估时直接调取而不是临时补。4.3 层级判定时“就高不就低”现象某个工作项四个维度里三个达标、一个不达标评估人员倾向于算达标理由是“大部分都做到了”。原因面子心态或者不想暴露短板。解决严格执行“就低原则”。四个维度中有一个不满足就不能算达到该层级。这个原则要在评估启动会上明确并由决策团队监督执行。4.4 评估结果与资源分配脱节现象评估报告写得很详细短板也找出来了但第二年预算还是按老样子分配短板依然是短板。原因评估结果没有和决策团队的资源规划挂钩。执行团队评完就完了决策团队没参与后续。解决评估报告必须包含“改进优先级”和“资源需求估算”两部分。决策团队在评估总结会上直接拍板哪些项今年给预算哪些项排到明年。评估结果要成为预算编制的输入。4.5 忽视协同团队的外部视角现象全部由信息科自己评结果每个项都觉得自己做得不错整体评分偏高。原因自评估盲区。自己看自己容易看到苦劳看不到差距。解决至少邀请一家外部单位兄弟医院、安全服务商、行业专家参与关键项的评审。协同团队的价值就在于提供对标视角指出“你们觉得L3但同类医院已经做到L4了”。5. 进阶用法把成熟度评估嵌入日常安全运营的闭环5.1 用评估指标反向设计安全运营KPI成熟度评估的指标项可以直接转化为安全运营团队的KPI。比如风险预测域资产覆盖率≥95%、漏洞修复率≥90%、弱口令清零周期≤7天主动防御域安全风险闭环率≥85%、设备策略变更审核率100%深度监测域告警响应时间≤15分钟、威胁分析报告每周≥1份响应恢复域MTTR≤4小时、MTTC≤1小时、备份恢复演练每季度≥1次模拟验证域攻防演练每年≥1次、应急预案更新每年≥1次运营管理域安全培训覆盖率≥90%、供应链安全评估覆盖率100%这些KPI和成熟度层级是挂钩的。L3要求流程标准化KPI就是流程执行率的量化L4要求量化管理KPI就是效果指标的持续改善。5.2 季度自评与年度深度评估的节奏安排建议采用“季度轻量自评年度深度评估”的节奏季度自评只评3-5个重点改进项每个项花半天时间更新评分和佐证。目的是跟踪改进进度防止年中松懈。年度深度评估全量评估所有过程域和工作项更新完整评分表输出年度改进路线图。建议安排在Q4和次年预算编制衔接。这样既不会让评估成为负担又能保持持续改进的节奏。5.3 评估数据与SOC/SOAR平台的联动如果医院已经建了SOC或SOAR平台可以把评估数据接进去。具体做法把评估指标项映射到平台的检测规则和响应剧本。比如“弱口令发现”对应平台的弱口令扫描任务“风险闭环”对应工单系统的闭环率统计。平台自动采集执行数据扫描次数、响应时间、闭环率减少人工填报。评估看板直接展示各过程域的实时成熟度得分管理层随时可看。这样评估就从“一年一次的运动”变成了“持续在线的仪表盘”。5.4 一个具体技巧用“差距热力图”锁定下一阶段重点最后分享一个我常用的技巧。把评估结果做成热力图横轴是六个过程域纵轴是五个成熟度层级每个格子填该过程域在该层级的达标项数占比。颜色越浅代表差距越大。比如风险预测域在L3的达标率是70%主动防御域在L3的达标率是40%那热力图上主动防御域的颜色就更浅一眼就能看出下一阶段的重点在主动防御。这个方法的好处是不用看几十页报告一张图就能让决策团队明白钱该往哪投。从那以后我每次做完评估都会先出这张热力图再写详细报告。希望帮到你。本文还有配套的精品资源点击获取