8.5 业务应用 8.5.1 各级血站应当推进业务应用系统建设，提高献血供血服务水平和业务流程工作效率与质量，优化献血服务体验和血液资源管理，提升便民服务能力，加强质量监管，保障血液安全和献血者健康。 8.5.2 业务应用系统功能参照《WS/T 811 血站信息系统基本功能标准》，应当覆盖献血者服务与健康检查、血液采集、血液成分制备、血液检测、血液储存、血液发放与运输及质量控制等业务过程。业务应用系统软件应当通过国家或省级信创检测机构的测试与评估，确保其正常运行、性能稳定且安全可靠。 8.5.3 血站其他应用可包括但不限于以下功能： 8.5.3.1 便民服务，包括献血预约服务，个人献血记录、筛查结果和血液去向等查询服务，团体献血记录查询服务，满意度评价、信息推送与公开等。 8.5.3.2 临床服务，疑难血型鉴定及配型检测、血小板抗体检测及配型检测，血液成分再加工等。 8.5.3.3 业务管理，包括血液追溯、血液调剂、应急管理、数据上报管理等。 8.5.3.4 业务协同，包括内部协同、血站间及血站与医疗机构间的区域协同等。 8.5.3.5 运营管理，包括财务管理、预算成本管理、资产管理、设备管理、物资管理等。 8.5.3.6 科研管理，包括科研项目管理等。 8.5.3.7 教育管理，包括学分管理、培训管理、考试管理、继续教育管理等。 8.5.3.8 人力资源管理，包括人力资源信息管理、绩效管理等。 8.5.3.9 后勤管理，包括楼宇智能管理、视频监控、会议管理等。 8.5.4 血站信息标准建设与应用应当遵循国家和行业标准，按照标准先行、规范有序、统一共享、开放融合的基本要求，制定标准应用实施方案，积极采用国家、行业、地方信息标准，鼓励应用团体标准。 8.5.5 血液中心宜开展以业务信息系统为核心的血站信息平台建设，实现血站内部和省级行政区划内各级血站信息资源的高效统一、系统整合、互联互通、信息共享。注重人工智能等新一代信息技术的融合应用，加强对“算力”“算法”资源的利用。 8.5.6 各级血站对人工智能技术应用应当遵循审慎原则和人类监督原则，确保应用安全可靠。 8.5.6.1 人工智能训练数据应当来源合法，确保模型训练的数据质量良好和代表性充分，避免偏见和歧视。 8.5.6.2 通过人工智能系统实现的决策应当受到人类监督，关键决策应当由人工审核确认，且对人工智能系统性能应当进行持续监测，定期评估其效果和影响，及时调整优化。 8.5.7 各级血站使用物联网设备用于血液储存温度监控、运输环境监测和设备运行状态采集等，宜对物联网设备进行全生命周期管理，包括登记、配置、监控和退役等环节。确保只有符合安全要求的设备接入网络。物联网设备应当接入独立网段，与核心业务网络隔离，以降低安全风险。物联网设备宜支持访问控制和数据加密。 8.6 安全防护 8.6.1 各级血站应当遵照《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》等法律法规，坚持“等级保护、突出重点、积极防御、综合防护”的基本要求，落实和实施网络安全等级保护制度，建立健全网络安全管理制度，明确网络安全管理岗位与职责，全面梳理分析网络安全保护需求，建立血站网络安全防护体系和总体安全策略。 8.6.2 各级血站应当参照《GB/T 22240 信息安全技术网络安全等级保护定级指南》进行网络安全等级保护定级、备案、测评、安全建设整改等。业务应用系统的安全保护等级，血液中心宜不低于第三级、中心血站和中心血库宜不低于第二级。 8.6.3 各级血站应当按照《中华人民共和国密码法》等有关法律法规使用商用密码保护信息系统和网络设施，同步规划、同步建设、同步运行商用密码保障系统，定期委托商用密码检测机构开展商用密码应用安全性评估。 8.6.4 各级血站宜每年开展漏洞扫描、渗透测试等形式的安全自查，明确安全自查的频率，及时发现、整改可能存在的问题和隐患，并按要求将相关情况上报有关主管监管机构。 8.6.5 各级血站宜按照网络安全等级保护相关要求加强内部人员和外部人员的安全管理。 8.6.5.1 内部人员安全管理：制定人员录用、管理考核、教育培训、离岗离职、保密协议等相关管理制度。 8.6.5.2 外部人员安全管理：包括软件开发商、产品供应商、系统集成商、设备维护商和服务提供商等外部人员，以及临时来访的第三方人员，制定相应访问管理制度和操作规程。长期驻场的外部人员，参照内部人员安全要求管理。 8.6.6 各级血站运行维护安全管理宜实现体系化，对环境、资产、介质、设备、数据进行综合监控管理，对重要信息系统的资源进行监控保护；对信息系统安全运行维护所需要的密码保护、病毒扫描、变更等事件，建立运行维护管理制度，及时上报网络与信息安全漏洞、事件发生和处理情况。 8.6.7 各级血站宜建立健全设备招标采购、安装调试、运行使用、维护维修、报废处置等相关网络安全管理制度，定期检查或评估设备信息和网络安全，并采取相应的安全管控措施，确保设备网络安全。 8.6.8 各级血站应当遵守《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，履行数据安全保护义务，坚持保障数据安全与发展并重，实行数据分类分级保护。建立健全数据安全和个人信息保护制度。 8.6.9 各级血站信息系统突发事件应急管理的基本要求包括： 8.6.9.1 应对原则：统一领导、分级控制、预防为主、健全制度、快速响应、有效配合。 8.6.9.2 建立突发事件应对体系，包括组织机构、工作职责、应急预案、应急演练、通信系统以及必要的物资储备等。 8.6.9.3 应急预案采用手工、半手工、备用系统等多种可使业务持续运行的手段，对关键业务的处理流程制定应急操作步骤，定期按照计划实施演练。 8.6.9.4 建立信息系统预警等级制度，发生信息系统突发事件，立即上报和确定等级，启动相应应急预案。 系统发生故障时，主责部门应当按应急预案规定及时通报并启动应急机制。各业务部门收到启动应急预案指令，应当按预案采用手工、半手工等手段开展业务工作。系统恢复后，各业务部门应当在规定时间内将应急期间的所有手工记录数据，依据原始单据准确、完整地补录到系统中。数据补录完成后，需进行抽样核查。应急期间发放的血液，应当实现系统的可追溯核查。 8.6.9.5 定期开展应对信息系统突发事件的宣传和技术培训，保证应急预案的有效实施，不断提高信息系统的应急能力。 8.6.10 各级血站业务应用系统宜具备离线采血、应急补录和应急运行模式支持能力，并在系统恢复后支持数据自动校验与同步。
|
鄂公网安备42011102005941号