（高清版）GBT 28827.8-2022 信息技術服務 運行維護 第8部分：醫院信息系統管理要求（含2024第1號修改單）

ICS35.080GB/T28827.8—2022信息技術服務運行維護第8部分：醫院信息系統管理要求國家市場監督管理總局國家標準化管理委員會IGB/T28827.8—2022 Ⅲ 12規范性引用文件 13術語和定義 14事件管理流程 2 24.2分類管理 24.3接收管理 24.4分派管理 24.5執行管理 24.6評價管理 34.7評審管理 34.8日志與記錄 3 35.1業務影響度定級 35.2數據安全性定級 45.3組織與人員 45.4資源保障 4 56供應商服務管理 56.1外包服務管理 5 56.3評估與驗收 5 6 67.2協同管理 67.3溝通管理 6 68.1配置管理 68.2監控管理 78.3日常巡檢管理 78.4備份與恢復管理 7ⅡGB/T28827.8—20229應急響應管理 79.1應急方案管理 9.2備用與保障 9.3應急人員管理 810安全運維管理 810.1網絡安全區域劃分 810.2信息安全管理 8參考文獻 9ⅢGB/T28827.8—2022本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結構和起草規則》的規定起草。本文件為GB/T28827《信息技術服務運行維護》的第8部分。GB/T28827已發布以下7個部分：--—第1部分：通用要求；--—第3部分：應急響應規范；——第8部分：醫院信息系統管理要求。請注意本文件的某些內容可能涉及專利。本文件的發布機構不承擔識別專利的責任。本文件由全國信息技術標準化技術委員會(SAC/TC28)提出并歸口。立醫院、復旦大學附屬腫瘤醫院、中國人民解放軍空軍軍醫大學第一附屬醫院、陸軍軍醫大學第一附屬認證中心服務有限公司、神州數碼信息服務股份有限公司、上海溪盎科技有限公司北京分公司、北京賽迪認證中心有限公司、北京中科金財科技股份有限公司、金蝶醫療軟件科技有限公司、南京海泰醫療信息系統有限公司、神州數碼系統集成服務有限公司、四川久遠銀海軟件股份有限公司、安徽省水恒科技有限公司、上海安翼保信息技術服務有限公司。GB/T28827.8—2022GB/T28827《信息技術服務運行維護》分為8個部分：——第1部分：通用要求。目的在于提出信息系統運行維護的基本組成要素，以及提供運行維護服務的各類組織在這些要素方面應具備的條件和能力，指導供方改進和提升其運行維護服務能力，并為需方提供選擇和評價供方的依據。——第2部分：交付規范。目的在于為運行維護服務交付過程中涉及的交付管理、交付內容、交付方式、交付成果提供指導，可作為需方選擇供方的依據，也可作為供方改進運行維護服務交付能力的指南。——第3部分：應急響應規范。目的在于提出應急響應的基本過程，以及過程管理要求，提升組織 —第4部分：數據中心服務要求。目的在于規定數據中心運維服務的對象、服務策略、交付內容等——第5部分：桌面及外圍設備規范。目的在于規范桌面及外圍設備運行維護服務提供方服務行-—第6部分：應用系統服務要求。目的在于提出應用系統運行維護服務模型，規定運行維護對應——第7部分：成本度量規范。目的在于規定運維成本度量的方法及過程，包括運維成本的構成及運維成本度量過程。——第8部分：醫院信息系統管理要求。目的在于指導醫院信息系統服務組織改進和提升其信息系統管理能力。本文件細化事件管理為多個環節，對配置管理等部分進行擴延、細化，同時根據行業特點重點強調了供應商管理、應急響應等方面的管理要求。對于GB/T28827中已經提過的管理規范和要求，本文件不再重復。本文件的第4章將事件管理過程細分為分類管理、接收管理、分派管理、執行管理、評價管理、評審管理，并規定了6個細分過程應該產生的日志與記錄的內容。本文件的第5章規定了需要醫院領導、信息部門、業務部門共同參與的工作內容，確定信息化相關本文件的第6章規定了供應商服務作為信息部門對外提供服務的組成部分，信息部門對其做好管控的相關要求。本文件的第7章明確了溝通與協同作為運維活動管理的重要組成部分，貫穿事件處理的各個環節，是形成部分記錄的主要方法，該章規定了溝通與協同的相關管理要求。本文件的第8章對配置管理細化與擴延，細化擴延了監控的運維要求。本文件的第9章規定了醫院應急管理需要的三個要素，應急方案、備用與保障、應急人員的相關管理內容與要求。本文件的第10章規定了網絡安全管理中醫院應重點強調的相關管理內容與要求。1GB/T28827.8—2022信息技術服務運行維護第8部分：醫院信息系統管理要求2規范性引用文件下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文本文件。GB/T28827.1信息技術服務運行維護第1部分：通用要求GB/T28827.2—2012信息技術服務運行維護第2部分：交付規范GB/T28827.3—2012信息技術服務運行維護第3部分：應急響應規范GB/T29264—2012信息技術服務分類與代碼SJ/T11693.1—2017信息技術服務服務管理第1部分：通用要求GB/T28827.1、GB/T28827.2—2012、GB/T28827.3—2012、2017界定的以及下列術語和定義適用于本文件。3.1外部信息技術服務供應商為醫院提供特定信息技術服務的過程。3.2醫院信息系統hospitalinformationsystem;H3.33.4在治療過程中病情變化調整治療方案。2GB/T28827.8—20224事件管理流程應對服務過程中的各類事件進行分類管理，并規定不同管理流程，至少應包括如下內容。a)識別需要管控的服務過程，并制定文件化的過程管理流程，至少應包括：1)響應支持管理過程；2)巡檢管理過程；3)需求管理過程；4)事項管理過程。b)建立需求分類分級制度與流程，需求來源識別的流程與制度。c)建立事件優先度管理的制度與流程，優先處理影響就診流程和患者隱私保護需求。d)與事件流程相關人員溝通并確認其管理職責。4.3接收管理應制定信息技術服務需求管理制度與流程，至少應包括：a)不同種類事件應建立受理制度與流程，設立事件受理評審組織，應包括信息人員、業務操作與種方式。4.4分派管理a)建立事件分派制度與流程，設立事件分派評審組織，應包括信息人員、業務操作與管理人員b)建立事件的分派過程管理制度與流程，確保事件分派到責任人；c)建立事件分派過程跟蹤和反饋等制度與流程，應有明確的通知記錄，并對責任人的接收也有明d)建立事件接收的監督和考核制度與流程。4.5執行管理事件執行過程中，應及時對事件處理過程進行記錄與反饋，對事件的影響變化做出及時記錄，包括：a)對事件的處理要及時記錄進展情況，同時應及時反饋給相關人員；b)事件的處理要有期限要求管理，至少應包括記錄處理時間、結束時間；c)事件的處理過程變化應及時反饋給相關人員；d)及時對事件進行分析，可能引起重大醫療事故，嚴重泄密事件，規定3GB/T28827.8—20224.6評價管理醫院信息技術服務質量管理組織應制定專家與用戶評價管理制度與流程，至少應包括：a)專家與用戶評價流程；e)專家與用戶評價記錄的保存要求。4.7評審管理醫院信息技術服務質量管理組織應制定服務評審與改進管理制度與流程，至少應包括：b)服務過程的評審要求；c)對供應商服務評審的要求；d)服務改進需求識別；e)服務改進流程；f)服務改進跟蹤驗證要求。事件管理流程中，應完善各個管理環節的日志與記錄，便于后期評審與追溯，日志與記錄至少包含以下內容：a)任務規劃完成目標及定性、定量的衡量標準；b)完成事件規劃和實際使用的技術、人員與資源；c)完成事件應遵循的流程與操作規范；e)審計日志，應包括存在的問題與改進意見。5服務規劃5.1業務影響度定級應根據信息系統對醫院正常運營影響情況的重要性、緊急性等進行分級。醫院信息系統分類分級應包括以下四級系統。a)一級系統影響患者生命安全的系統：指涉及患者搶救，一旦出現故障會影響患者生命安全保障的信息系統。b)二級系統影響醫護診療流程的系統：指涉及醫患診療業務，一旦出現故障會嚴重影響醫患診療業務流程正常運轉的信息系統。c)三級系統影響醫院運行流程的系統：指涉及醫院診療活動，一旦出現故障會影響醫院日常運行流程，但可以通過應急措施保障患者就醫需求不受影響的信息系統。4GB/T28827.8—2022d)四級系統影響醫院管理流程的系統：指保障醫院正常運營，不涉及醫院診療活動的信息系統。應針對不同分級的信息系統區分制定管理要求和目標，包括資源保障、組織與人員要求、服務過程5.2數據安全性定級應根據信息系統對醫院信息數據的安全性進行分級，涵蓋患者隱私保護與醫生知識產權保護，系統應支持設定維護權限，制定與外部交互時的管理規范與流程。定級應至少包括以下級別。a)一級系統涉及醫院核心運營數據，同時包括識別患者的信息、b)二級系統涉及醫院一般運營數據，同時包括識別患者的信息、患者客觀診療記錄。c)三級系統同時包含識別患者信息，診療活動數據或客觀診療信息。5.3組織與人員息技術服務執行人員與信息技術服務質量管理組織，以滿足醫院當前和未來的信息技術服務需求。a)信息技術服務管理組織醫院應設置專職的信息技術服務管理組織，負責醫院信息服務的管理工作，最高機構為醫院信少應包括：2)醫院信息系統日常維護流程與制度的制定、執行監督、評估；3)對信息技術服務供應商評估、選擇；5)對信息技術服務工作人員評價。注：醫院信息技術服務管理組織可以包括信息技術服務供應商的組織與成員。b)信息技術服務執行人員醫院應設立信息技術服務崗位，并配備專職工作人員，至少應包括：1)信息系統項目執行的規劃及管理人員；2)信息系統服務需求分析人員；3)信息技術服務供應商管理人員；4)信息安全管理人員。醫院信息技術服務管理人員包含醫院專職人員與信息技術服務供應商人員。c)質量管理組織醫院應設置質量管理組織，負責建立、實施、評價、改進醫院信息技術服務質量管理制度與流程，針對醫院的各項信息技術服務進行質量管控，確保高效高質量的服務交付。應對信息技術服務所需的資源，包括外部服務供應商所需的資源進行規劃，并制定資源保障管理制5GB/T28827.8—2022b)醫院管理層應采取措施，保障醫院信息系統管理所需資源的有效獲取，至少應包括；5.5目錄與質量應建立并維護提供給醫院各部門、醫院服務對象的服務目錄并明確服務質量評價方法，應通過醫院有效開展，發現服務流程中的問題，并提出改進意見。至少應a)服務對象與范圍；b)服務內容與定性、定量評價要求；c)服務定級要求；d)服務評價與評審規范。6供應商服務管理6.1外包服務管理應制定外包服務管理制度與流程，至少應包括：a)外包服務范圍與內容；b)應明確醫院與供應商的職責與權力；d)外包服務人員的駐場要求，人員更換調整流程；e)文件化的服務級別管理要求。6.2服務安全要求應制定服務安全管理制度與流程，至少應包括：a)應與服務供應商簽訂安全與保密協議，應涵蓋患者隱私保護條例；b)外部人員應熟悉醫療就診服務相關法律，熟悉患者隱私保護要求，簽訂承諾書；c)應制定外部服務人員的醫院信息系統相關權限分配與回收管理流程。6.3評估與驗收c)外包服務的服務級別管理要求；d)應制定安裝部署的定量、定性等驗收指標；e)應制定運行保障的驗收的定量、定性要求；6GB/T28827.8—2022f)外包服務商的績效考核要求與合約中止條件約定。7溝通與協同管理7.2協同管理a)建立用于溝通交流的通訊錄，同時具備隱私防護功能。c)建立不同級別的通知要求：建立通知反饋要求、不同級別通知要求應采用的溝通渠道與反饋要求。確保及時宣傳信息系統變更、緊急情況處理等通知能及時、準確地被獲得。d)建立與醫院各科室及外部供應商的協同管理制度與流程。e)定期評價協同管理制度與流程。7.3溝通管理溝通管理包括如下內容：a)定期對自身工作內容、特點、服務目錄等進行b)有完善的通知體系，能夠實現通知方式升級與職務升級，并能確認通知結果；c)建立多種信息化網上調研方法和手段，快速了解各方的需求和想法；d)建立與醫院各科室及外部供應商的溝通管理制度與流程；e)定期評價宣傳溝通管理制度與流程。8配置與監控管理應對醫院信息系統制定配置管理制度與流程并實施，至少應包括：a)配置項分類分級原則；b)配置管理對象范圍及其完成率要求；c)配置項的基本信息與定級信息；d)按業務識別并管理配置項之間的關聯關系；e)建立配置管理與變更管理的關聯關系；i)將設備基本信息、設備配置文件、系統軟件安裝包、系統備份文件及媒體納入配置管理；j)確保業務系統運行的所有運維對象，統一管理網絡配置與數據傳輸接口需求，應包括診療設備7GB/T28827.8—2022k)使用信息化工具進行配置管理。a)監控范圍與監控對象界定。b)監控參數設置及定期優化。3)影響的系統服務。d)制定監控告警處理制度與流程。e)定義告警信息的通知方式。f)定義監控日志及告警信息的保存期限。g)定義定期評價監控結果和告警處理結果的要求。h)定義定期評價及改進監控管理的要求。a)巡檢管理范圍；b)巡檢執行方式；d)巡檢記錄要求；e)巡檢記錄保存要求；f)巡檢工作復核要求；g)巡檢作業手冊管理要求。d)符合備份恢復的RTO[恢復時間目標(RecoveryTimeObjective)]、RPO[恢復點目標(RecoveryPointObjective)]要求；f)定期進行系統恢復演練。8GB/T28827.8—2022a)明確應急方案執行響應后的目標和效果；c)建立獨立的演練工作組，演練測試環境；d)應急與演練方案的評價、評審要求；e)應急與演練改進跟蹤驗證要求。9.2備用與保障圍繞針對醫院診療與運營流程，梳理出關鍵環節，并配備冗余設備，保障故障發生時能及時補充。根據不同級別系統，至少配備以下設備：b)終端電源保障，手術室、ICU[重癥加強護理病房(IntensiveCareUnit)]等涉及生命安全的軟件系統設備，應配備UPS[不間斷電源(U