沃通 CA 助力某市儿童医院密码应用建设，”三同步”一体化构建密码安全能力
2026/10/23
医院信息系统集中承载电子病历、处方医嘱、患者身份信息等敏感数据，向来是数据安全要求最高的行业场景之一。《密码法》实施以来，商用密码应用安全性评估（密评）全面推开，密码应用合规成为医院信息化建设重要一环。某市儿童医院在新建第二院区时，选择把密码保障体系与院区信息化建设同步规划、同步建设、同步运行。本文以该项目为例，介绍沃通CA如何帮助医院信息化系统把密码防护落到各个层面，并建立持续的密码安全防护能力。
01、政策背景
《密码法》明确规定，关键信息基础设施应当使用商用密码进行保护，并开展商用密码应用安全性评估。《商用密码管理条例》进一步提出“三同步”要求——密码保障体系与信息系统同步规划、同步建设、同步运行，并定期开展评估。GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》从物理和环境、网络和通信、设备和计算、应用和数据、安全管理五个层面提出分级要求，其中身份鉴别、重要数据传输和存储的机密性完整性等列为高风险测评项，高风险项未有效缓解的密评难以通过。
近年来，医疗行业陆续出台专项政策法规、管理办法，都对保障网络安全、使用商用密码等提出了明确要求。比如，2022 年 8 月，国家卫生健康委、国家中医药局、国家疾控局联合印发《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29 号），要求医疗卫生机构落实网络安全等级保护制度，并在网络建设过程中同步规划、同步建设、同步运行密码保护措施；同年 11 月，三部门联合印发《“十四五” 全民健康信息化规划》，提出严格落实网络安全等级保护制度及商用密码应用等基础安全保障制度，全面推广商用密码应用、建设卫生健康行业网络可信体系。
02、项目背景
某市儿童医院启动第二院区建设时，就把密码应用建设纳入整体考量，同步开展密码应用方案设计，把密码全面应用于身份认证、安全隔离、信息加密、数据保护等关键环节，从源头防范患者及医疗敏感信息泄露，实现密码保障体系与新院区信息化系统同步规划、同步建设、同步运行。
该项目把“三同步”贯穿建设全程：密码应用方案与院区信息化规划一体编制，密码资源与机房、网络同步部署，业务系统上线前即完成密码对接，从源头规避二次改造。同时，项目充分复用医院既有合规资源，建设投入更加经济。
该项目面临的安全现状，在医疗行业颇具代表性：
业务系统众多——医院HIS、LIS、PACS、EMR 等业务系统众多、多院区互联，终端与访问关系交错，安全传输风险、隐私窃取风险突出；
人员与终端构成复杂——医护、患者、运维人员流动性大，接入终端多样，身份真实性难判断、访问权限难把控、操作责任难追溯；
敏感数据高度密集——处方医嘱、检验检查报告等医学电子文档，以及个人属性、健康状况、医疗支付等健康数据，对机密性、完整性保护提出全面要求。
针对这些痛点，沃通CA依托成熟的行业实践经验，深度参与提供涵盖密码应用方案设计、密码产品与服务供给、业务系统对接改造、测评配合整改的整体密码应用建设服务。
03、方案设计与建设落地
密码应用建设方案以 GB/T 39786-2021 第三级要求为核心依据，充分复用医院既有合规的电子病历云签署、时间戳服务，按需补充安全网关、密码机等设备，四个层面逐项推进，把密码能力嵌入业务关键环节：
物理和环境
机房门禁与视频监控同步国密化，从设备资质到进出、视频记录落实“身份可信、记录防改”，守住密评第一道关口。
网络和通信
对全院通信链路逐条研判，移动端、机房互联、运维接入、医护终端等场景分别以缓解措施、专线直连、国密隧道、反向代理等方式落实数据传输安全，实现双向身份鉴别与传输机密性、完整性保护。
设备和计算
运维入口统一纳入具备国密资质的堡垒机，配合 Ukey 与国密客户端证书实现双因子强身份鉴别，密码设备管理通道全部国密化，杜绝越权运维。
应用和数据
围绕登录身份鉴别、访问控制信息完整性、重要数据存储机密性与完整性、医疗行为不可否认五个环节部署密码能力，以服务器密码机、签名验签服务器为核心密码资源，实现重要数据加密存储、完整性保护与医疗行为不可否认，按需启用电子签章、时间戳、协同签名系统，同步建立密码安全管理制度体系。
得益于“三同步”规划，密码应用建设与院区信息化建设、密评工作一体推进，配合密评取证与多方协同，避免了“为测评而测评”的返工，为通过密评打下坚实基础。
04、方案价值
项目落地后，某市儿童医院得到的远不止一份合格的密评结果，而是一整套可持续的安全与管理能力。
合规达标，与行业政策同频
五个层面密码保障措施到位，密评基础扎实，密码管理制度体系同步建立，把密码合规“事前内置”。合规不再是迎检式冲刺，而是建立起常态化的安全管理能力。
安全升级，覆盖医疗业务全流程
从机房门禁到病历签名，身份可信、传输加密、存储防篡改、行为不可否认环环相扣，患者敏感数据与医疗核心业务获得全生命周期密码保护；医患数字身份真实可溯，医疗行为责任清晰，双方信息安全都有据可依。
业务提效，密码建设不拖后腿
新院区复用总部既有合规资源，配合定制化方案，密码建设没有拖累业务，反而支撑起业务提效能力。
总结
沃通CA是第三方电子认证服务机构及综合密码应用服务商，具备《电子认证服务许可证》《电子认证服务使用密码许可证》《电子政务电子认证服务机构资质证书》等核心资质，先后通过 ISO9001、ISO20000、ISO27001、ISO45001 等体系认证，是国家级高新技术企业；公司密码应用产品均通过商用密码产品认证，在金融、政务、医疗、教育、能源等行业领域积累丰富的实践案例。
面向医疗行业数字化转型与数据安全强监管并行的趋势，沃通CA将持续以“密码产品 + 认证服务 + 整体建设方案”的综合能力，提供高质量的密码应用建设方案，为医疗行业客户构建持续安全管理运营能力，筑牢数字安全与信任的坚实底座。