医疗行业等保定级要点：三级怎么判断、整改怎么排期
医疗行业做等级保护，和普通企业最大的差别在三点：系统数量多、业务几乎不能停、数据敏感度高。门诊叫号、电子病历、检验检查、医保结算、影像归档……几乎每一个业务环节背后都有一套相对独立的系统，而这些系统是否都要纳入等级保护范围，往往不是信息科单独能拍板的。实践中真正拖慢项目进度的，通常不是测评实施本身，而是前期的定级判断和后期的整改排期。
一、先划边界：哪些系统要进入定级范围
定级的最小单元是"信息系统"，而不是"整家医院"。实务中常按业务类别或系统所有者来切分定级对象，切得太粗会导致测评范围失控，切得太细则管理工作量陡增。
- 对外提供服务或与外部专网对接的系统，一般需要单独纳入：例如互联网医院平台、预约挂号入口、医保结算接口等。
- 支撑核心诊疗业务的系统是重点对象：电子病历、护理系统、检验检查、影像归档等一旦中断，直接影响诊疗秩序。
- 内部管理类系统（仅院内小范围使用）等级可能偏低，但不建议直接默认排除，仍要书面留存判定依据。
- 部署在云平台上的系统要分清责任边界：云平台自身的安全责任与院方在租户侧的安全责任需要分开说明。
边界梳理清楚后，定级流程的具体步骤可以对照等保定级栏目。
二、三级还是二级：判断依据落在两个维度
按照《网络安全法》确立的框架以及 GB/T 22239-2019 等保 2.0 标准要求，安全保护等级由"受侵害客体"和"侵害程度"两个维度共同决定，等级从第一级到第五级逐级增高。医疗行业的特殊性在于：一旦系统瘫痪或数据泄露，受影响的往往不只是单个自然人，还可能波及其他公众。
判定时可以参考三个观察点：
- 是否涉及大量患者诊疗记录、身份信息、结算信息。若集中承载这类数据，受侵害客体通常指向公民合法权益层面。
- 中断影响是否外溢。区域性平台、医联体主数据系统出故障，影响范围不局限于一家机构。
- 是否有明确的行业或属地口径要求。部分地区对特定医疗系统的最低等级有具体规定，这部分以属地要求为准。
这里要提醒一句：定级结论不是越低越好，定低了后期可能被要求重新评审；也不是越高越好，等级每上升一级，测评项数量、安全设备投入和日常运维成本都会明显增加。合理的做法是先用"自主定级—专家评审—主管部门审核—公安机关备案审查"的顺序走一遍，把结论固化下来。
三、整改环节：医疗行业的高频问题清单
差距分析之后就是整改建设，这一阶段的工作量基本决定整个项目的周期。医疗场景下最常见的问题有这么几类：
- 业务连续性与整改窗口冲突：核心诊疗系统不能长时间停机，整改动作往往要压到夜间或节假日窗口执行，方案阶段就要把停机计划排进去。
- 历史设备和软件版本老旧：院内终端、中间件、数据库长期未升级，补丁验证成本高，部分老旧版本已在厂商侧停止支持。
- 冗余系统没人认领：业务已停用但没有下线的系统仍在网运行，测评时会被计入测评范围，反而成为失分项。
- 制度与执行脱节：安全管理制度文件齐全，但缺少对应的操作记录、审批留痕和定期评审证据。
- 备份与恢复验证缺失：不仅要有备份，还要有可回溯的恢复演练记录，很多机构卡在这一条。
针对加固思路和设备选型的落地方式，可以参考等保整改栏目的清单。
四、周期与费用：把节奏排清楚
从定级启动到完成等级测评，不同机构的跨度很大，常见的区间从几个月到一年以上不等。首次开展等级保护工作、且整改量较大的机构，周期通常更长。比较实用的排法如下：
- 准备期：系统梳理与自评，形成定级对象清单和责任分工。
- 定级备案期：组织专家评审、报主管部门审核、向公安机关提交备案材料并领取备案证明。
- 差距摸底期：对照对应等级要求逐项核对，输出问题清单和整改优先级。
- 整改实施期：按优先级分批落地，先处理高风险项，再补全管理类制度与记录。
- 测评期：委托具备相应资质的测评机构开展等级测评，完成后按属地要求提交并配合后续监督检查。
需要注意的是，三级系统之后通常每年测评一次，二级系统原则上每两年一次，具体执行口径以属地要求为准。费用方面，二级与三级的投入差异主要体现在测评项数量和整改工程量上，整体从几万元到十余万元不等，受地区、系统数量与整改范围影响明显，实际报价同样以属地要求为准。预算构成可以进一步看等保费用栏目。
五、几个容易被踩的误区
- 认为"上了云就不用自己整改"：云服务商承担的是云平台自身的部分安全责任，租户侧的配置、账号权限、数据保护仍要院方自己落实。
- 认为"先把系统改好、文档最后补"：管理制度和运行记录是测评必查项，事后补齐很难还原真实时间线。
- 认为"等级定高一点显得更重视安全"：等级应与业务实际影响相匹配，一味拔高会带来持续的测评和运维负担。
小结
医疗行业的等级保护工作，本质上是一次"业务、系统、合规"三方对齐的过程：先把系统边界和定级结论定扎实，再把整改按优先级排出可执行的时间表，测评环节反而会顺利很多。若需要按行业口径逐条核对摘录，可以从等保标准栏目入手；涉及测评实施细节的部分，则可查看等保测评栏目的相关内容。