福建医科大学附属第一医院数据安全管理服务

序号

产品

名称

服务内容

单位

数量

备注

1

AI数据安全资产能力

1.提供数据安全监管升级服务（升级AI数据安全资产梳理能力），搭载AI算力实现数据自动化分类分级，通过主动扫描全面发现、识别数据资产，构建完整的数据资产底账，同时完成数据库账号权限梳理。

2.通过AI数据安全资产梳理能力中内置的丰富行业模型完成数据分类分级建设，识别敏感数据分布，刻画数据价值，持续监测数据资产变更情况。

3.通过AI数据安全资产梳理能力，为智慧医疗一体化平台（HIS、EMR、集成平台）提供数据分类分级更新服务。

项

1

2

全院数据安全运维管控服务

需充分利用院方一体化数据安全风险防控能力的平台，提供数据安全防护、数据安全监测、数据安全审计等三类数据安全基础能力（包括数据安全访问、高危操作管控、数据脱敏、数据水印和数据访问审计等安全能力），同时，结合全院的安全设备、网络设备、业务场景，开展医院安全运维体系建设与落地支撑服务，内容主要包括：

1. 边界策略改造:对医院网段进行划分、对安全运维途径进行管控；
2.项目统筹与计划管理：负责项目需求调研确认、运维使用场景梳理，编制实施计划，组织项目会议沟通，对各项工作任务进行跟踪督办；
3.制度规程建设：完善运维管理相关制度办法，制定第三方运维操作规程，优化第三方运维申请表单，规范运维事项审批管理流程；
4.联调测试配合：配合医院堡垒机、网络准入控制系统、零信任平台、防火墙等厂家完成完成运维访问通道收敛、访问阻断、策略放行;
5.系统配置与验证：针对院内新增的核心业务系统，调整优化网络安全防护策略，并完成相关功能测试与效果验证；
6.咨询与培训：编制专项培训资料，开展运维管理流程宣贯培训，为设备厂商、院内业务科室提供技术答疑支撑；
7.试点落地技术支持：选取医院指定区域开展项目试运行保障，记录试运行期间问题，开展误告警原因分析，迭代优化运维工作流程；
8.全院推广实施协助：负责项目全院范围内落地推广工作，提供远程及现场技术支撑，开展安全策略复核校验，及时处置实施过程问题，实现问题闭环管理；

9. 完成医院核心业务系统间的数据流转识别工作，全面梳理所监管的各类系统间的数据流转情况，建立数据流向图谱。

10.阶段总结与验收材料编制：建立问题反馈台账，梳理风险隐患整改清单，撰写阶段工作总结、项目成果汇报材料，提供全套项目验收支撑文档。

项

1

3

全院数据安全运营服务

数据安全运营服务主要包括：

1.基于数据分类分级成果与数据监管、数据库堡垒机、数据库审计实时联动；基于AI分类分级实时更新结果，策略动态更新，提高准确性效果。

2.为互联网+医疗健康系统每季度开展不少于1次数据库资产风险分析服务，提供对数据库的资产盘点、个人敏感数据梳理、暗资产分析、系统脆弱性分析、数据库账号风险分析、数据库事件分析、运维高危访问分析。最终输出《数据库风险分析报告》。

3.在服务期限内对院内的数据安全设备（含数据安全监管系统、API安全审计系统、数据库审计系统等）常态化开展深度分析服务，进行告警事件研判、数据库高危操作行为梳理及关联日志分析，形成《月度数据安全分析报告》并提出整改建议，并跟踪整改。服务商须建立告警分级机制，高危及以上告警4小时内响应、48小时内要求第三方厂家进行闭环处置；中危告警在8小时内响应、72小时要求第三方厂家进行闭环处置。每季度梳理优化告警规则，****中心确认后无效告警占比控制在30%以内，单系统月均告警总量较首月下降不低于20%。服务期内每日巡检，服务范围内系统的新增资产在15个工作日内纳入服务范围。服务商须建立问题跟踪台账，整****医院信息中心复核，双方就整改结果签署。

4.根据院方实际需求，对院方当前梳理的相关重要信息系统的数据分类分级结果定制开发标准化的对接接口，供院内各业务系统及第三方厂商对接调用。当相关人员因业务需要申请调用数据库中的表或字段时，通过接口自动识别申请数据的数据类型与级别，为数据审批人员提供客观、准确的判断依据，有效解决人工审批中难以准确判定数据敏感度与重要性的问题。实现重要数据分类分级的自动化精准识别，确保不同级别数据实现差异化管控。

5.为医院现有已部署的数据水印、静态脱敏等各类数据安全防护工具提供使用支持，保障工具可稳定适配院内现有业务系统运行环境，满足日常数据安全防护工作的调用需求；****医院不同场景下（包括但不限于运维场景、科研场景、对外共享场景等）的实际业务需求，规范完成对外交互共享数据文件的脱敏处理与水印添加工作。

6.根据院方实际需求，利用AI能力，对院方内网的API安全审计系统提供使用支持，保障API安全审计系统可稳定适配现有内网运行环境，满足日常安全防护工作的各项使用需求；持续开展常态化API安全监测与风险预警工作；依托API安全审计系统自带的智能研判分析功能，精准识别高频爬虫恶意爬取、未授权越权调用接口、通过接口批量拉取患者敏感信息等违规异常访问行为；基于监测到的访问日志自动构建完整的API访问链路，追踪数据交互轨迹，精准研判当前访问行为是否存在数据外泄风险。

项

1

4

数据安全人员驻点服务

驻点人员提供数据安全相关服务内容：

参与医院信息化部日常运维工作；须派驻1名工程师提供每周不少于2 8小时采购人现场驻点服务，其余时段（含周末、法定节假日等）保持听班；

拟派驻的驻点工程师须具备本科及以上学历；

每月提交1份《驻点运维服务报告》。

项

1