ISO 27799:2025是医疗健康信息安全的国际标准，基于ISO/IEC 27002，专门针对医疗健康行业提供信息安全控制措施指南。该标准帮助医疗健康组织保护个人健康信息（PHI）和其他敏感医疗数据的安全、完整性和可用性。标准涵盖了医疗健康信息系统的全生命周期安全，内容包括医疗健康信息安全方针、组织安全、人员安全、物理和环境安全、通信和操作安全、访问控制、系统开发和维护、供应商关系安全、信息安全事件管理、业务连续性管理及合规性。标准特别强调了患者隐私保护、医疗设备安全、电子健康记录（EHR）保护、远程医疗安全和临床研究数据保护。该标准适用于医院、诊所、医疗保险公司、医药企业及其他处理健康信息的组织，通过实施可显著降低医疗数据泄露风险，满足HIPAA等医疗隐私法规要求。
ISO 27799:2025 医疗健康信息安全管理体系
ISO 27799:2025是医疗健康信息安全的国际标准，基于ISO/IEC 27002，专门针对医疗健康行业提供信息安全控制措施指南。该标准帮助医疗健康组织保护个人健康信息（PHI）和其他敏感医疗数据的安全、完整性和可用性。标准涵盖了医疗健康信息系统的全生命周期安全，内容包括医疗健康信息安全方针、组织安全、人员安全等。
标准信息
国际标准
ISO 27799:2025
国家标准
无
标准名称
Health informatics — Information security management in health
标准名称
医疗健康信息安全管理体系
发布机构
ISO 国际标准化组织
发布机构
无
发布日期
2025年12月
发布日期
无
标准简介
标准目的
- 保护医疗信息规范医疗健康信息（如患者病历、诊疗记录、个人健康信息）的收集、存储、使用、传输全流程管理，保护医疗信息安全与患者隐私
- 合规医疗要求确保医疗健康信息安全管理活动符合国家医疗健康、数据安全、个人信息保护相关法律法规及行业规范
- 防范医疗信息风险识别并管控医疗健康信息管理全流程中的风险（如医疗信息泄露、篡改、丢失），降低医疗信息安全事件发生率
- 保障医疗服务连续通过医疗信息安全管控，确保医疗信息的可用性，保障医疗服务的连续性与准确性，提升医疗服务质量
- 规范医疗信息管理统一医疗健康信息安全管理流程与标准，明确医护人员、管理人员的信息安全职责，提升全员医疗信息保护意识
适用范围
- 行业覆盖适用于所有涉及医疗健康信息处理的组织，涵盖医院、诊所、医疗科研机构、医疗器械企业、医疗数据服务商等医疗健康行业
- 规模覆盖适配小型诊所、中型医院、大型医疗集团、医疗科研机构等不同规模组织，可根据医疗信息处理量灵活调整管控措施
- 场景覆盖涵盖患者病历管理、诊疗信息录入、医疗数据存储、远程诊疗、医疗信息共享、应急处置等全医疗信息处理场景
- 管理覆盖覆盖医疗信息安全方针制定、风险评估、安全防护、权限管理、合规审计、持续改进等全管理环节
- 认证覆盖支持单一站点、多站点、医疗集团化等不同组织架构的认证模式，满足各级医疗机构信息安全一体化管理需求
核心要素
管理控制
核心维度覆盖占比
人工智能（AI）定义
人工智能（AI）定义
人工智能的三大核心要素
三大要素能力图
信息安全核心：CIA 三要素
核心概念定义
IT服务管理三要素
IT服务管理过程
CS能力评估等级体系
服务类型细分
部署模式细分
全等级综合对比
能力维度雷达对比
ITSS咨询设计核心说明
标准内容
- 1 范围
- 2 规范性引用
- 3 术语、定义和缩略语
- 4 本标准结构
-
-
- 5.1.1 信息安全策略
- 5.1.2 信息安全策略的评审
-
-
-
- 6.1.1 信息安全角色和职责
- 6.1.2 职务分离
- 6.1.3 与官方联系
- 6.1.4 与特殊利益团体联系
- 6.1.5 项目管理中的信息安全
-
- 6.2.1 移动设备策略
- 6.2.2 远程工作
-
-
-
- 7.1.1 审查
- 7.1.2 任用条款及条件
-
- 7.2.1 管理责任
- 7.2.2 信息安全意识、教育和培训
- 7.2.3 纪律处分流程
-
- 7.3.1 任用终止或变更的责任
-
-
-
- 8.1.1 资产清单
- 8.1.2 资产所有者
- 8.1.3 资产的可接受使用
- 8.1.4 资产归还
-
- 8.2.1 信息分类
- 8.2.2 信息标记
- 8.2.3 资产处理
-
- 8.3.1 可移动介质的管理
- 8.3.2 介质处置
- 8.3.3 物理介质转移
-
-
-
- 9.1.1 访问控制策略
- 9.1.2 访问网络和网络服务
-
- 9.2.1 用户注册和注销
- 9.2.2 用户访问权限配置
- 9.2.3 特权访问权限的管理
- 9.2.4 管理用户的秘密认证信息
- 9.2.5 评审用户访问权
- 9.2.6 删除或调整访问权限
-
- 9.3.1 使用秘密身份验证信息
-
- 9.4.1 信息访问限制
- 9.4.2 安全登录程序
- 9.4.3 密码管理系统
- 9.4.4 特权实用程序的使用
- 9.4.5 访问控制程序源代码
-
-
-
- 10.1.1 使用密码控制的策略
- 10.1.2 密钥管理
-
-
-
- 11.1.1 物理安全边界
- 11.1.2 物理入口控制
- 11.1.3 保护办公室、房间和设施
- 11.1.4 防范外部和环境威胁
- 11.1.5 在安全区域工作
- 11.1.6 交接区
-
- 11.2.1 设备安置和保护
- 11.2.2 支持性设施
- 11.2.3 布缆安全
- 11.2.4 设备维护
- 11.2.5 资产的移动
- 11.2.6 组织场所外的设备与资产安全
- 11.2.7 设备的安全处置或再利用
- 11.2.8 无人值守的用户设备
- 11.2.9 清空桌面和屏幕策略
-
-
-
- 12.1.1 文件化的操作规程
- 12.1.2 变更管理
- 12.1.3 容量管理
- 12.1.4 开发、测试和运行环境分离
-
- 12.2.1 恶意代码的控制
-
- 12.3.1 信息备份
-
- 12.4.1 事态日志
- 12.4.2 日志信息的保护
- 12.4.3 管理员和操作员日志
- 12.4.4 时钟同步
-
- 12.5.1 业务系统上软件安装
-
- 12.6.1 技术漏洞的管理
- 12.6.2 软件安装限制
-
- 12.7.1 信息系统审计控制
-
-
-
- 13.1.1 网络控制
- 13.1.2 安全网络服务
- 13.1.3 网络隔离
-
- 13.2.1 信息传播策略和程序
- 13.2.2 信息传输协议
- 13.2.3 电子消息
- 13.2.4 保密或不披露协议
-
-
-
- 14.1.1 信息安全要求分析和规范
- 14.1.2 公共网络上应用服务的安全保护
- 14.1.3 应用程序服务事务的保护
-
- 14.2.1 安全的开发策略
- 14.2.2 系统变更控制规程
- 14.2.3 运行平台变更后对应用程序的技术评审
- 14.2.4 软件包变更的限制
- 14.2.5 系统安全工程原则
- 14.2.6 安全的开发环境
- 14.2.7 外包开发
- 14.2.8 系统安全测试
- 14.2.9 系统验收测试
-
- 14.3.1 测试数据的保护
-
-
-
- 15.1.1 供应商关系的信息安全策略
- 15.1.2 在供应商协议中解决安全问题
- 15.1.3 信息和通信技术供应链
-
- 15.2.1 供应商服务交付的监视和评审
- 15.2.2 管理供应商服务交付的变更
-
-
-
- 16.1.1 责任和程序
- 16.1.2 报告信息安全事件
- 16.1.3 报告信息安全弱点
- 16.1.4 信息安全事件的评估和决策
- 16.1.5 响应信息安全事件
- 16.1.6 从信息安全事件中学习
- 16.1.7 收集证据
-
-
-
- 17.1.1 规划信息安全连续性
- 17.1.2 实施信息安全连续性
- 17.1.3 验证、评审和评价信息安全连续性
-
- 17.2.1 信息处理设施的可用性
-
-
-
- 18.1.1 识别适用的法律法规和合同要求
- 18.1.2 知识产权
- 18.1.3 记录的保护
- 18.1.4 隐私和个人身份信息保护
- 18.1.5 密码控制法规
-
- 18.2.1 信息安全的独立评审
- 18.2.2 符合安全策略和标准
- 18.2.3 技术符合性评审
-
体系运行过程模型
| 阶段 | ISO27799中的定义 | 在标准中的核心映射 |
|---|---|---|
| P (策划) | 识别信息资产和风险，明确安全目标、适用控制和治理策略。 | 第4章、5章、6章（上下文、领导作用、风险策划） |
| D (实施) | 落地安全控制、职责分工、运行流程与监控机制。 | 第7章、8章（支持与运行）及控制域实施 |
| C (检查) | 通过监控、审计、评审验证控制有效性并识别差距。 | 第9章（监视测量、内审、管理评审） |
| A (处置) | 处理安全事件和不符合，更新风险评估与控制措施。 | 第10章（不符合、纠正和持续改进） |
ISO27799 标准解读
- 暂无对应标准解读，欢迎联系我们获取专项方案。
信息安全运行控制
云服务信息安全控制措施
核心维度覆盖占比
个人身份信息(PII)保护控制措施
核心维度覆盖占比
个人信息安全规范控制措施
核心维度覆盖占比
公有云隐私控制措施
核心维度数量占比
隐私概念
隐私控制者 vs 隐私处理者 核心区别
| 对比维度 | 隐私控制者 | 隐私处理者 |
|---|
隐私控制措施分类
隐私控制措施分类占比
七项质量管理基本原则
领域控制措施
核心维度覆盖占比
数据安全能力成熟度等级
数据安全过程
认证咨询流程
→→→→→→→→→
初次获证要求
- 合规性证明需持有法律地位证明文件（如营业执照）
- 资质许可特殊认证范围，需提供必要的行政许可、资质证书、强制性认证证书
- 成立周期公司成立超过3个月
- 运行周期体系运行超过3个月
- 体系要求依据ISO27799标准建立符合的医疗健康信息安全管理体系
- 运行要求有健全的医疗健康信息安全管理体系运行证据
- 内审管评必须有一次完整的内审和管理评审
- 现场审核通过一二阶段现场审核，并完成不符合整改
证书维护要求
- 证书有效期医疗健康信息安全管理体系证书是三年有效期
- 监督审核医疗健康信息安全管理体系证书需每年一次监督审核，与上次审核间隔不超过12个月
- 再认证审核医疗健康信息安全管理体系证书有效期3年，到期前需进行一次换证审核，审核通过后，换发新三年周期的有效证书
- 变更审核当组织的医疗健康信息安全管理体系发生变化，比如公司业务调整、办公地址变化、组织机构调整、人员变化等，可申请证书变更，可结合监督审核 / 换证审核一起进行变更，也可以单独申请变更
- 证书暂停当证书超出监督审核周期时，证书进行暂停状态，暂停期间不可以使用证书
- 证书撤销当证书超出三年有效期而没有进行换证审核，或者在暂停截至日期前没有进行有效的监督审核，或发生重大质量安全事故或有严重违法违规行为，或被列入质量信用严重失信企业名单，证书会进行撤销处理
实施 ISO27799 的价值
- 风险可控识别信息资产风险并建立控制措施。
- 合规治理满足数据安全与隐私合规要求。
- 客户信任提升客户对平台与服务的安全信心。
- 业务连续减少安全事件对业务运行的影响。
- 治理能力形成跨部门协同的安全管理机制。
- 持续防护通过监测审计持续提升防护能力。
与其他体系结合
标准名称
推荐率
常见问题及误区
Q1：ISO27799就是ISO27001在医疗行业的简单改名，无专属要求？
A：不是，ISO27799在ISO27001基础上，结合医疗健康行业的业务特点，增加了医疗信息的专属安全要求，如电子病历安全、患者数据保护、医疗系统互联互通安全等。
Q2：只有医院才需要ISO27799认证，其他医疗相关组织无需关注？
A：不是，适用于所有医疗健康行业相关组织，包括体检中心、诊所、医药企业、医疗科技公司、远程诊疗平台等，只要处理医疗健康信息，均需管控信息安全风险。
Q3：医疗健康信息仅在内部系统存储，就不会有安全风险，无需建立体系？
A：不是，医疗健康信息涉及患者隐私，存在内部人员操作不当、系统漏洞、外部攻击等多重安全风险，体系可指导组织建立全维度的安全管控机制，防范风险。
Q4：通过ISO27799认证，医疗健康信息就不会发生泄露？
A：不是，认证是对信息安全管理体系的有效性认可，而安全风险是动态变化的（如新型网络攻击、业务流程调整），体系要求组织持续识别新风险，更新安全措施。
Q5：医疗健康信息的安全管理，只需要保障技术安全，无需考虑合规性？
A：不是，体系强调技术安全与合规性的结合，要求医疗健康信息的处理符合医疗行业的法律法规、行业规范，如患者隐私保护、医疗数据共享的相关规定，规避合规风险。
认证及咨询费用
费用影响因素占比
组织地理位置（及多个办公场所）15%
一线城市或多办公场所会增加差旅与审核组织成本，偏远地区可能有额外服务费用。
组织人员数量20%
人员规模影响审核人日和咨询工作量，人数越多，评估与辅导投入越高。
组织业务范围10%
业务线越多、范围越广，体系边界与过程设计越复杂，实施成本会同步增加。
选择认证机构25%
不同认证机构的品牌影响力、审核规则与项目组织方式不同，费用差异较明显。
咨询质量要求25%
资深顾问、定制化交付与全流程辅导方案，通常较基础辅导投入更高。
认证周期要求10%
加急周期会带来额外资源协调成本，常规周期通常更具费用优势。
最终费用，请联系我们
