　　同志们：

　　今天，我们在这里召开全市网络a全工作培训暨医保信息平台安全运维管理会议，主要任务是深入贯彻落实省局有关会议精神，全面提升全市医保系统网络a全意识和防护水平，有效防范重大网络a全事件，切实保障医保信息平台安全稳定运行。参加今天会议的有市局机关各科室主要负责人、各局属单位主要负责人及信息化工作人员，还有中国联通分公司、XX软件股份有限公司、XX网络科技有限公司、XX健康保障服务有限公司、XX软件有限公司医保项目主要负责人。刚才，相关部门和单位围绕网络a全工作和平台运维情况作了汇报发言，讲得都很到位，分析问题深刻，提出措施具体，我完全同意，希望大家认真抓好落实。下面，结合我市医保工作实际，我讲几点意见。

　　一、提高思想认识，深刻把握网络a全工作的重要意义

　　（一）网络a全是保障民生服务的核心底线

　　当前，全市医保信息平台承载着覆盖万参保人员的医保数据管理、余家定点医疗……略……　用弱口令（如“123456”“admin”）登录系统。在某次模拟钓鱼攻击测试中，全市医保系统工作人员点击钓鱼链接的比例高达X%，其中县医保局有名职工因误点链接导致办公电脑中毒，险些泄露内部文件。此外，第三方运维公司在系统更新维护时，存在X%的情况未按规定提交安全评估报告，年月，公司在对医保结算系统升级时，因未做好漏洞扫描，导致系统出现短暂瘫痪，影响了家定点药店的正常结算。

　　（二）平台运维与风险防控存在“漏洞”

　　全市医保信息平台目前部署了台服务器、个数据库，涉及个业务子系统，但安全防护设备仅配备了台防火墙、台入侵检测系统，部分老旧设备的防护能力已无法应对新型网络攻击。在日志审计方面，%的服务器未开启完整日志记录功能，一旦发生安全事件，难以追溯源头。去年月，我市医保平台遭受分布式拒绝服务（DDoS）攻击，由于流量清洗设备性能不足，导致系统卡顿近分钟，影响了X笔医保结算业务。另外，数据备份机制也存在隐患，X个县（区）医保局未实现每日异地备份，区曾因机房硬盘损坏，导致小时内的医保结算数据丢失，虽经技术恢复，但仍造成了不良影响。

　　三、聚焦关键环节，全面提升网络a全防护水平

　　（一）强化责任落实，构建全员参与的安全体系

　　一是严格落实“一把手”负责制。各单位主要负责人要亲自牵头制定网络a全应急预案，每季度至少召开次专题会议研究安全工作。参照市医保局的做法，将网络a全纳入年度考核，实行“一票否决”，对发生重大安全事件的单位，取消评优资格。二是建立“三级责任清单”。市级医保部门要统筹全市安全规划，制定《医保网络a全责任清单》，明确市、县、乡三级职责；县级医保局要抓好辖区内定点机构的安全监管，与家定点医院、家定点药店签订《网络a全责任书》；各科室、单位要落实岗位安全职责，做到“谁使用、谁负责”，去年县医保局通过划分责任网格，将安全任务分解到个岗位，全年未发生安全事件，这种做法值得推广。

　　（二）夯实技术基础，提升平台本质安全水平

　　一是加快安全设备升级改造。今年内，市医保局将投入万元，为核心机房新增台下一代防火墙、台负载均衡设备和套日志审计系统，各县（区）要按比例配套资金，确保月底前完成设备部署。参照省医保局的标准，对超过年使用年限的设备必须强制更换，对未按时完成升级的县（区），将暂停其医保接口审批。二是完善数据安全防护体系。建立医保数据“全生命周期”管理机制，对参保人员姓名、身份证号等敏感信息实行加密存储，在数据共享环节设置级审批流程。今年月前，要完成全市医保数据分类分级梳理，确定类核心数据、X类重要数据，分别采取不同的防护措施，杜绝数据滥用和泄露风险。

　　四、突出实战导向，确保安全运维管理落地见效

　　（一）加强培训演练，提升应急处置能力

　　一是常态化开展安全培训。市医保局每季度至少组织次全市范围的网络a全培训，邀请公安网警、安全专家授课，培训内容要涵盖政策法规、案例分析、实操技能等方面。今年计划培训人次，实现工作人员全覆盖，培训结束后要进行考核，考核不合格者不得接触核心系统。参考市的“以练代训”模式，去年他们通过模拟勒索软件攻击演练，使工作人员的应急响应速度提升了%，我市将在月、月各组织次全市实战演练。二是完善应急预案体系。结合医保业务特点，制定《网络a全事件应急预案》《数据泄露处置预案》等项专项预案，明确预警、响应、处置、恢复等各环节流程。各单位要在月底前完成预案修订，并组织至少次桌面推演，确保遇到突发情况时能“拉得出、打得赢”。

全市网络a全工作培训暨医保信息平台运维管理会议讲话