【指南与共识】临床实验室网络安全管理实践专家共识（2026版） ...

随着实验室信息系统（laboratory information systems，LIS）的普及，以及人工智能、大数据、物联网、大模型等新一代信息技术的发展，临床实验室的数智化程度不断提高 ^{［ 1 , 2 , 3 ］} 。然而，临床实验室的高度信息化和数字化，使其成为整个医疗系统中遭受网络攻击的主要目标之一 ^{［ 4 ］} 。网络攻击可能在几分钟内导致实验室网络系统瘫痪，不仅造成临床服务质量下降、医疗风险发生、数据泄露，还带来经济损失及声誉影响。网络安全问题越来越受到关注，国内相继发布了《医疗卫生机构网络安全管理办法》、GB/T 22080-2025 网络安全技术信息安全管理体系要求等法规及行业标准。2026年2月美国食品药品监督管理局（Food and Drug Administration，FDA）发布了关于医疗器械网络安全的最新指导文件，要求将网络安全纳入医疗器械全生命周期的质量管理体系 ^{［ 5 ］} 。尽管国际上已有ISO27001、NIST CSF及BSI Standard 200-1等文件用于指导网络攻击的应对，但提出的建议相对笼统，缺乏针对医学实验室的详细指导 ^{［ 6 ］} 。目前，国内临床实验室对网络安全的重视程度不足，缺乏可指导实践的指南共识。因此，医疗辅助技术（医学检验）国家临床医学研究中心组织专家进行文献复习与讨论，通过德尔菲法进行函询，最终形成专家共识。

（一）专家遴选

本共识由国家医学检验临床医学研究中心组织编写，遴选来自全国医疗机构检验科的专家共同讨论制订。专家遴选标准：（1）担任临床实验室管理工作；（2）10年及以上相关工作经历；（3）自愿参与本研究。成立共识制订工作组，包括指导专家组（2人）、证据评价组（2人）和意见共识组（19人）。

（二）共识形成过程

证据评价组专家针对实验室网络安全相关内容进行文献检索、证据评级并起草问卷调查。截至2026年2月，在PubMed、Embase、Web of Science、中国知网、万方、中华医学期刊全文数据库等数据库上系统检索。主要检索策略为：［网络攻击（cyberattack）或网络安全（cybersecurity）或信息安全（information security）］和［临床实验室（clinical laboratory）或医学检验（medical laboratory）］。纳入证据类型包括国家及行业标准、指南、专家共识、系统评价、综述及研究文献。证据评价组专家独立完成文献筛选和资料提取，按以下标准对证据进行分级：A为行业及以上标准；B为文献或专家共识支持；C为专家经验及常识判断。若存在意见分歧，则由第三名专家复核。采用德尔菲法对意见共识组专家进行函询，经过2轮调查，形成共识终稿。推荐强度：根据专家投票结果形成推荐强度。专家同意率>90%为强推荐；70%~90%为推荐；<70%为未达成共识。

（三）共识目标人群

本共识的目标人群为在临床实验室工作的全体人员，包括实验室管理人员、技术人员、信息技术人员、LIS研发人员等。

（一）临床实验室网络安全防护体系

实验室网络安全是指通过预防、检测和响应网络攻击，确保实验室数据的机密性、完整性和可用性 ^{［ 4 ］} 。常见的网络攻击包括：恶意软件、网络钓鱼、勒索软件、拒绝式服务等。2016年的一项调查显示，41%的网络攻击为恶意软件感染，通常由网络钓鱼或物理插入引起 ^{［ 7 ］} 。一项针对医院网络安全的调查显示，71%~80%使用旧版、不受支持的计算机系统；11%没有安装防火墙；9%没有安装基本的防病毒软件 ^{［ 8 ］} 。软件供应商通常不会为旧版系统提供补丁，因此通常存在更多安全漏洞，更易遭受网络攻击 ^{［ 4 ， 9 ］} 。未授权软件通常没有经过正规的安全检测和认证，可能存在未知安全漏洞或携带恶意软件。移动存储设备、访问外网以及使用“共享文件夹”均会增加恶意软件感染的风险。临床实验室涉及多种形式的数据互联，需加强传输过程中的接口安全控制。扁平化的网络架构会导致病毒迅速扩散，实施网络安全分区管理可降低网络安全风险，例如：将LIS与医院信息系统（hospital information system，HIS）部署在不同的网络区域实现网络隔离。

ISO/IEC 27001：2022以及GB/T 22080-2025 网络安全技术信息安全管理体系要求从人员、物理、技术、组织4大方面进行信息安全管理 ^{［ 10 , 11 ］} 。同样，健康保险流通与责任法案提出从3个层面构建实验室防护体系：物理层面严格控制机房与硬件的访问权限；技术层面部署防火墙、网络分段、防病毒及反恶意软件；管理层面通过风险管理、人员培训与应急计划实现主动防御 ^{［ 12 ］} 。不同级别的医疗机构应根据信息化建设水平及业务规模，制订相应网络安全的预防措施。三级医院的网络架构复杂，建议在物理及技术层面部署更多资源，提高硬件层面的防护能力。基层及二级医院投入在网络安全上的资源有限，建议重点投入管理措施及人员培训。对于第三方医学实验室，由于涉及大量数据交换，重点关注数据安全的管理与实施。

推荐意见1 不同级别的医疗机构应根据信息化建设水平及业务规模，制订相应的网络安全预防措施。实验室应部署物理、技术、管理3个层面的网络安全防护体系。实施严格的网络分区与访问控制。建议将检验仪器设备网、LIS服务器网与医院办公网进行逻辑或物理隔离，并在边界部署防火墙或网闸；严禁私自连接互联网及使用移动存储设备（证据等级A，强推荐）。

实验室设备的维护通常需要厂商远程支持，这为网络攻击提供了潜在入侵途径。2022年发布的《医疗卫生机构网络安全管理办法》建议加强远程运维管理，防止远程端口暴露引发安全事件；加强第三方人员接触网络的审批、登记等管理，防止违规操作引发的安全风险 ^{［ 11 ］} 。必须规范第三方供应商的远程接入行为，应强制使用安全的虚拟专用网络通道或专用堡垒机，遵循“最小权限”原则，开启全程日志审计，并确保维护结束后立即关闭连接通道，防止攻击者通过维护通道入侵核心网络。与医疗设备及软件行业的供应商、开发商建立紧密合作关系，对于提升整体网络安全水平至关重要 ^{［ 6 ］} 。

2026年2月FDA发布的医疗器械网络安全指南明确提出，网络安全必须纳入设备全生命周期的质量管理体系，并通过安全产品开发框架、威胁建模及软件物料清单等手段实现“设计安全” ^{［ 5 ］} 。同时，督促医疗器械制造商主动承担设备网络安全改进责任，构建覆盖评估、开发、运维到退役的管控体系，包括建立网络安全评估标准、加强第三方组件漏洞管理、落实服务变更中的安全验证、在系统开发阶段实施安全编码与组件审查，并在系统退役时执行数据清除与设备处置规范。此外，还需特别防范第三方访问医疗数据所带来的风险，强化共享平台及移动终端的数据安全防护。2026年2月实施的《医疗卫生机构数据安全和个人信息保护管理办法（试行）》规定，医疗机构应加强对医疗数据共享、调用的安全管理，明确不同安全级别医疗数据的加密传输要求，定期监测医疗数据共享调用情况，并设置认证鉴权、威胁告警等安全保护措施。

推荐意见2 规范第三方远程维护安全管理，医疗器械制造商应主动承担设备网络安全改进责任，构建覆盖评估、开发、运维到退役的全生命周期管控体系（证据等级A，强推荐）。

（二）临床实验室数据安全管理

勒索软件、破坏性软件等网络攻击形式通常会加密、修改甚至销毁数据 ^{［ 7 ］} 。当医疗记录被盗或损坏时，数据不能简单地“重置” ^{［ 13 ］} 。研究表明，医院系统在遭受网络攻击后的恢复能力与其数据备份策略成正比 ^{［ 14 ］} 。定期数据备份至关重要，可遵循“3-2-1”规则对LIS数据进行备份，即：使用2种不同形式的媒介保存3个备份，其中1份离线保存 ^{［ 15 ］} 。为进一步保障信息安全，需要对备份数据实施加密，确保数据的不可篡改性，从而防止勒索病毒加密备份文件。此外，需验证备份数据的完整性与可用性，建立数据恢复的演练机制。

推荐意见3 可遵循“3-2-1”备份原则，确保备份数据的不可篡改性以防止勒索病毒加密备份文件，验证备份数据的完整性与可用性，并建立数据恢复演练机制（证据等级B，强推荐）。

账号密码强度不够是导致网络攻击的最常见原因之一 ^{［ 16 ］} 。增加密码复杂性可提升破解密码的难度。一个10字符的纯数字密码可以被立刻破解，若使用复杂密码（数字、大/小写字母和符号的组合）则需要5个月到5年。如果再增加一个字符，估计增加34~400年 ^{［ 17 ］} 。频繁更改复杂密码可能导致用户将密码记录在便签或文档中，反而增加了泄露风险。可采用多因素身份验证来提升账户的安全性，同时应用基于角色的访问控制来限制用户的访问权限 ^{［ 6 ］} 。LIS系统应强制使用定时退出登录机制，防止长时间空闲产生的系统安全问题。

推荐意见4 建议采用“复杂密码+多因素身份验证”机制强化身份认证安全。系统登录时，引入手机短信、动态令牌、生物特征等第二重验证方式，避免依赖单一账号密码（证据等级B，推荐）。

医疗数据价值高，是信息盗窃的主要目标之一。由于医疗数据的保护水平相对滞后，需增加时间与资金投入来强化安全防护，防止非法访问 ^{［ 18 ］} 。未经授权的内部信息泄露是医疗数据泄露的主要形式之一 ^{［ 16 ］} 。文件明确规定，医疗卫生机构应建立覆盖数据收集、存储、使用、加工、传输、提供、公开等全环节的安全管理制度。涉及云服务处理医疗数据时，应选择通过云计算服务安全评估的云服务，将患者敏感数据存储至云端前，必须进行加密处理，同时提升医疗人员安全访问云数据的能力 ^{［ 19 ］} 。需严格限制并审核批量数据导出的权限，按最小授权原则设定数据处理权限，控制数据接触范围；在科研、教学及统计等非临床诊疗场景使用数据时，建议通过“原始数据不出域，数据可用不可见，数据可控可计量”等方式促进数据依法合理利用，除了脱敏处理，还应构建包含严格身份验证、数据加密、防御机制及持续监控的综合安全方案 ^{［ 20 ］} 。

推荐意见5 加强数据的全生命周期安全管理。对存储和传输的患者敏感数据进行加密；严格限制并审核批量数据导出的权限；在科研、教学及统计等非诊疗场景使用数据时，必须进行脱敏处理（证据等级B，强推荐）。

随着人工智能技术不断融入医疗系统，其带来的网络安全影响也不容忽视。人工智能模型依赖患者信息进行训练，可能造成数据泄露。网络恶意攻击篡改患者数据，误导人工智能模型，可能影响诊疗决策 ^［34］。近年来，利用生成式人工智能制造网络攻击、网络钓鱼和恶意软件的情况也越来越普遍，使得网络安全的防御更加困难 ^{［ 6 ］} 。《医疗卫生机构网络安全管理办法》建议应用大数据、人工智能、区块链等新技术时，上线前应评估新技术的安全风险并进行安全管控，达到应用与安全的平衡 ^{［ 11 ］} 。针对人工智能模型应用过程中的数据安全风险，可利用联邦学习在医疗机构的本地数据上进行训练，同时采取数据脱敏、访问权限控制等隐私保护措施，减少数据泄露的可能性。增强人工智能模型的透明度及可解释性，有助于提高模型应用的可信度，并辅助察觉模型是否被恶意篡改。临床实验室应建立人工智能工具使用管理规范，加强人员培训，提高对生成式人工智能相关网络攻击、网络钓鱼及恶意软件的警惕性。

推荐意见6 针对人工智能带来的新型安全风险，应在技术应用前开展安全风险评估，加强数据脱敏和访问权限控制；可采用联邦学习等方式减少数据泄露可能性；加强人工智能模型透明度及可解释性，提高模型应用安全性；提高对生成式人工智能相关网络攻击、网络钓鱼及恶意软件的警惕性（证据等级A，推荐）。

（三）临床实验室网络安全风险评估

风险评估和持续监控是预防网络攻击的核心环节。需要系统识别易受攻击的数字资产，评估各类网络威胁产生的潜在影响，同时模拟不同形式的网络攻击。临床实验室设备或系统的任何变更行为均可能引入网络安全风险，需要提前开展风险评估和模拟测试。并基于评估与模拟结果，进一步优化网络攻击防御策略。研究报道，定期更新系统和修补安全补丁，能有效降低网络安全漏洞 ^{［ 6 ］} 。采用数智化的风险管理软件，有助于实验室的风险管理 ^{［ 21 ］} 。近期研究报道，采用基于ISO 22367开发的风险管理软件，识别出42项临床实验室风险点，通过一系列整改措施提高了实验室信息安全程度。鉴于网络犯罪手段持续演化，相关的安全检测系统与工具必须迭代更新并定期接受测试 ^{［ 6 ］} 。

推荐意见7 风险评估和持续监控是预防网络攻击的核心环节，实验室可使用风险管理软件来检测网络安全情况，安全检测系统与工具必须迭代更新并定期接受测试（证据等级B，强推荐）。

（一）组建跨专业应急响应小组

网络攻击造成的网络瘫痪可能持续数小时，也可能长达数十天，其后续影响及恢复过程可能需要数年 ^{［ 22 , 23 , 24 ］} 。EFLM TF-PLE的调查结果显示，临床实验室普遍缺乏应急预案 ^{［ 25 ］} 。目前已报道的案例中，多数仅提及针对短期网络瘫痪的应急预案，并未考虑到长期网络瘫痪下如何维持实验室的运转。因此，有必要制订针对网络攻击的短期和长期预案。

网络瘫痪将影响实验室全流程，尤其是分析前和分析后阶段。一旦脱离网络，原本自动化、电子化的流程将退回纸质程序，包括检测申请、样本标记与接收、结果报告等环节。因此，需要制订针对纸质流程的人员安排和实施计划。建议预先组建实验室网络攻击应急响应小组，负责协调人员及落实应急预案 ^{［ 26 ］} 。应急响应小组由跨学科专业人员代表组成，包括但不限于：科室行政主任、检验专家、医疗设备工程师、信息技术专家等。

网络瘫痪将对实验室工作效率及检测能力产生巨大影响，短期预案需考虑制订优先恢复的检测项目，并根据患者危急程度进行分级处理。近期报道的网络攻击事件中，临床实验室首先恢复血液学、凝血及尿液检测项目，针对特定病区与患者恢复生化检测，而免疫学、分子等项目均暂停检测直至次日网络恢复 ^{［ 24 ］} 。然而，检测项目的选择性恢复并不适用于长期网络瘫痪。在长期预案中，需要考虑制订样本外送检测的流程，以保障临床检测需求 ^{［ 27 ］} 。

推荐意见8 组建包含检验专家与信息技术专家等成员的跨学科实验室网络攻击应急响应小组；制订针对网络攻击的短期及长期预案；应急预案需全面考虑分析前、分析中及分析后全流程的影响及应对策略；短期预案可制订优先恢复的检测项目以及患者的分级处理流程；长期预案可制订样本外送检测流程（证据等级B，强推荐）。

（二）制订短期及长期预案

1. 检验申请的应急预案：短期预案中，可根据实验室工作体量提前准备一定数量的预打印标签以应对短期网络瘫痪。然而，这种方法并不适用于长期网络瘫痪。在一次持续近1个月的实验室网络安全事件中，预打印标签在几天内就耗尽，实验室不得不回归纸质标签 ^{［ 22 ］} 。因此，实验室及临床科室在离线介质（如未连接网络的加密U盘、移动硬盘）或物理隔离的备用终端中需要存储电子版“检测申请表”，以便在网络瘫痪时仍可打印。“检测申请表”中应包含患者姓名、性别、出生日期、住院号/门诊号、送检科室、样本类型、采样时间等，至少包含2个完整的患者唯一标识符 ^{［ 22 ］} 。

推荐意见9 对于样本检测申请，可提前准备预打印标签应对短期网络瘫痪；保证在离线介质或物理隔离的备用终端中存储电子版“检测申请表”应对短期及长期网络瘫痪；“检测申请表”中至少包含2个完整的患者唯一标识符（证据等级B，推荐）。

2. 样本接收与登记的应急预案：完整准确的样本信息至关重要。既往实验室网络安全事件的报道中提到，网络瘫痪期间，实验室接收的样本信息往往不完整，包括：缺少采集时间、患者唯一标识号、送检科室，导致报告结果无法顺利发放 ^{［ 22 ］} 。因此，在样本接收时，建议安排专职人员核查样本信息，必要信息完整的样本再进行后续检测。

推荐意见10 对于样本接收，应安排专职人员核查样本信息，包括核对唯一患者标识符及送检科室等，以确保危急值通知和报告发放的准确性（证据等级B，强推荐）。

网络瘫痪对自动化仪器的影响相对有限，主要是无法下载样本信息、无法实现自动化结果传输。此外，为了防止恶意软件的传播，仪器供应商通常会中断远程连接，无法实现远程故障排除。需要注意的是，自动化仪器可以脱离网络独立运行，支持手动输入样本信息及操控仪器。网络瘫痪期间，建议设置“仪器级别的标本登记”标准化流程，明确输入的具体内容和方式 ^{［ 22 ］} 。

推荐意见11 自动化仪器可脱离实验室网络运行，手动输入患者信息及检测项目。实验室可提前设置“仪器级别的标本登记”，便于脱机情况下的标准化登记（证据等级B，强推荐）。

网络瘫痪期间，基于手动完成的样本信息输入与检测结果登记，大幅增加了工作量，也提高了出错的可能性。因此，建议搭建“本地化LIS”作为降级运营的方式。在非联网的本地计算机上安装基本版LIS，同时与自动化分析仪、本地打印机以及条形码打印机相连，实现本地化样本登记与结果传输，从而释放一定的人力并减少人为错误。

推荐意见12 建议搭建一套“本地化LIS”，实现非联网状态下的样本登记与结果传输（证据等级B，强推荐）。

网络瘫痪期间，基于自动化及大数据的LIS功能将无法运行，例如：自动化审核、基于患者数据的实时质控等。由于失去与HIS的连接，部分项目无法自动计算，如肾小球滤过率。因此，在应急预案中，实验室需制订相应的替代手段。

推荐意见13 实验室可考虑暂停依赖LIS规则的项目与功能，包括但不限于自动化审核、基于患者数据的实时质控（证据等级B，强推荐）。

3. 检验结果报告的应急预案：网络瘫痪期间，实验室计算机在离线介质（如未连接网络的加密U盘、移动硬盘）或物理隔离的备用终端中需存储电子“样本报告单”模板，实现离线编辑和打印。“样本报告单”模板应至少包含患者姓名、性别、出生日期、住院号/门诊号、送检科室、检测项目、检测结果空白字段、参考范围等。报告结果的输入必须双人双核。对于危急值结果，建议电话通知送检科室；其余结果可通过传真或人工的方式进行发放。由于LIS与HIS失联，临床医生无法及时查看患者检测结果，大量咨询业务可能使实验室无法应对 ^{［ 22 ］} 。因此，长期预案中可以考虑成立报告查询小组，配备足够的人员及通信设备，以应对临床结果的询问。

推荐意见14 实验室应在离线介质或物理隔离的备用终端中存储电子“样本报告单”模板；结果输入需双人核查；通过电话方式报告危急值，人工或传真机发放纸质报告；长期预案可考虑成立报告查询小组（证据等级B，推荐）。

4. 网络攻击后数据恢复与保存的预案：网络恢复后，必须先确认网络环境安全、完成系统病毒查杀与补丁更新。随后，从备份中恢复或重建数据与系统，将本地检测的所有数据同步至LIS系统，以确保临床科室能够随时查询最新结果并与历史数据进行比对。需要对恢复数据的一致性进行校验，所有数据必须经过双人双核，确保报告发布的准确性 ^{［ 6 ］} 。网络瘫痪期间产生的纸质文件，应按照实验室一般文件的规定保存2年 ^{［ 26 ］} 。此外，需要详细记录网络安全事件发生过程中的所有实施步骤，加强整个事件的可追溯性；深入分析网络安全事件发生的原因、应急预案中存在的问题，及时更新预防策略及应急预案 ^{［ 6 ］} 。

推荐意见15 网络瘫痪期间产生的检测数据应在网络恢复并确保网络安全后同步至LIS，上传数据需双人双核，相应的纸质文件（检测申请表、报告表等）应保存2年。详细记录网络安全事件的全过程，及时更新应急预案（证据等级B，推荐）。