省医疗保障局关于印发《湖北省医疗保障信息平台运维管理暂行办法》的通知

湖北省医疗保障信息平台运维管理暂行办法

第一章总则

第一条 为做好湖北省医疗保障信息平台(以下简称“省医保平台”)运维管理工作,保障省医保平台安全、稳定、高效运行,依据《关于做好医保信息化运维管理工作的指导意见》的通知(医保办发〔2022)14号〕、《关于印发〈医疗保障信息平台问题和需求处理暂行办法〉的通知》(医保网信办〔2022)3号〕等,按照“标准规范全国统一、开发部署省级统筹、推广使用分级负责、数据应用集中管理”的工作原则,制定本办法。

第二条 本办法运维管理是指为保障省医保平台内部统一门户子系统、内部控制子系统、跨省异地就医管理子系统、支付方式管理子系统、医疗服务价格管理子系统、药品和医用耗材招采管理子系统、公共服务子系统、信用评价管理子系统、基金运行及审计监管子系统、医疗保障智能监管子系统、宏观决策大数据应用子系统、运行监测子系统、基础信息管理子系统、医保业务基础子系统、基金财务子系统、后续新增信息子系统、业务网络和设备终端正常运行提供的各种支持服务。

第三条 省医保平台基础设施通过购买第三方服务方式予以保障,其运维管理由第三方服务提供单位负责,相关运维管理方案向省医保局报备。

第四条 未按照《湖北省医疗保障局信息化项目建设管理暂行办法》建设的各类信息系统,不得纳入省医保平台使用和运维管理。

第二章组织与职责

第五条 湖北省医疗保障局网络安全和信息化领导小组(以下简称“省局网信领导小组”)负责统筹运维管理工作,研究部署运维管理相关政策、决策运维管理工作重大事项,领导运维管理应急事件处置。

第六条 省局网信领导小组办公室(以下简称“省局网信办”)负责省医保平台运维管理工作的督办落实,拟定、修改运维制度,审定各地需求处理意见,协调处理运维应急事件。

第七条 省局规划财务和政策法规处负责运维项目资金统筹安排、资产管理等工作。

第八条 省局医疗保障信息中心是运维管理的实施单位,在省局网信办的领导下组织开展省医保平台运维管理工作。

第九条 省局业务处室单位职责。

1.根据工作实际需要,提出省医保平台问题和需求。

2.审核市州医保部门提出的问题和需求。

3.配合做好省医保平台运维管理应急事件处置。

第十条 市州医保部门职责

1.负责梳理、收集、汇总、审定、上报本地医保部门问题和需求。

2.负责审核本地定点医药机构接入省医保专网,做好日常网络安全防护和监测。

3.通过购买人员服务的方式,配合做好省医保平台在本地的业务管理、业务分析、业务配置、系统培训和实施推广、数据治理、数据处理、统计分析和安全运行等运营工作。

4.配合做好省医保平台运维应急事件处置。

第十一条 运维团队在省局医疗保障信息中心的组织和管理下负责具体运维工作。根据运维工作实际,设置综合管理组、平台运维组、数据运维组和网络安全组。具体职责如下:

(一)综合管理运维组主要职责。

1.协助做好省医保平台运维团队日常管理。

2.协助督导省医保平台运维团队及时做好问题和需求的审核、处理等工作。

3.协助审核省医保平台运维团队提出的省医保基础设施资源申请。

4.协助发布版本变更、停机公告、应急处置等省医保平台运维管理相关信息。

(二)平台运维组主要职责。

1.负责省医保平台日常性维护,包括运行状态监控、日常检查、故障诊断与排除、日志管理、定期备份、垃圾信息清理、技术支持等日常性工作。

2.负责业务子系统纠错性维护,包括修正省医保平台可能存在的软件缺陷和错误,以及其它未曾预见的错误等工作。

3.负责省医保平台适应性维护,包括因适应硬件环境和系统软件变化而进行的性能检测、系统优化、配置变更等局部性修改工作。

4.负责省医保平台为扩充功能和改善性能而进行的一般性修改。

5.负责为各级医保部门工作人员正常开展业务,提供省医保平台操作指导,解答各类咨询。

6.负责协作做好各级医保部门工作人员相关技术培训。

(三)数据运维组主要职责。

1.数据导出和传输的管理与监控、数据一致性的核对检查和维护、数据质量的管理和维护以及数据运维管理相关工具的日常检查、问题排查、软件升级等工作。

2.负责数据一致性检查和维护、数据复制/传输工具的维护、数据导出和数据传输工具状态检查和维护、数据质量的管理和维护、数据运维的总结与汇报。

(四)网络安全组主要职责。

1.负责督导省医保平台基础设施服务提供商做好安全监控、态势感知、流量分析、行为审计、数据脱敏、终端检测与防护等。

2.负责督导省医保平台基础设施服务提供商做好安全风险评估、安全防护政策落实,包括等保测评、密码测评、漏洞扫描、渗透测试以及重点时期安全保障工作。

3.负责督导省医保平台基础设施服务提供商做好入侵类安全事件和泄密类安全事件的处理,以及重大突发安全事件的应急处理。

4.负责督导省医保平台基础设施服务提供商做好省医保平台数字证书系统维护。

5.负责协调省大数据中心、横向网络接入汇聚点服务提供商做好全省医保业务网络运维和保障工作。

第十二条 所有参与运维工作人员应签署保密协议和廉洁承诺,严格遵守党纪政纪和国家的法律法规,保守秘密,廉洁自律。

第三章需求管理

第十三条 需求主要包含政策及业务流程调整需求、数据支持需求、资源申请需求等。其中,政策及业务流程调整需求是指因医保业务政策、业务流程的新增或调整,而产生的省医保平台功能修改需求。数据支持需求是指各级医保部门和外部单位提出的临时性数据提取等需求。资源申请需求是指省医保平台运维团队根据工作需要,提出的基础设施资源申请需求,包括计算、存储、网络等资源申请及变更,堡垒机账户、云平台账户、数据库账户及权限申请及变更。

第十四条 为提高省医保平台问题和需求处理效率和规范化水平,全省各级医保部门应通过“湖北省医疗保障信息平台需求管理模块”(以下简称“需求管理模块”),提交省医保平台需求。

第十五条 需求处理坚持统一领导、归口管理、一体化推进。具体把握以下原则:统筹规划、统一标准;整合共享、业务协同;分级上报、逐级审核;灵活实用、确保安全。

第十六条 需求申请。市(州)、县医保局需求,由本级医保业务部门按要求填写《湖北省医疗保障信息平台需求(问题)处理申请单》(见附件4),经本级信息化部门技术审核后,通过需求管理模块,由市州医保局报至省局网信办,政策及业务流程调整需求需附带省局审批备案材料。省局各处室、单位的需求,按要求填写《湖北省医疗保障信息平台需求(问题)处理申请单》(见附件4),经单位负责人审核后提交至省局网信办。运维管理团队提出的资源需求,通过需求管理模块,经省局网信办审核后,交省医保平台基础设施资源提供商分配相关资源。

第十七条 需求评审。省局相关业务部门在收到市州医保局需求申请后,应在5个工作日内完成需求业务评审,并将审核意见提交至省局医疗保障信息中心组织技术评审。省局医疗保障信息中心应在5个工作日内完成需求技术评审。原则上,紧急需求应在1个工作日内完成业务评审和技术评审。须报国家医保局审核的需求,由省局网信办汇总后统一上报。

第十八条 需求实现。通过技术评审后,由省局网信办分发至运维管理团队组织开发。

第十九条 需求验证。平台运维组完成开发,提交需求申请单位在内部测试环境验证后,在正式环境变更发布。变更发布执行时间应考虑省医保平台运行规律,对于影响业务连续性的变更,时间窗口应避开业务运行高峰期。

第二十条 效果评估和需求验收。对重大的需求进行评估验收,应建立验收文档,包括但不限于业务需求文档、技术开发文档、需求实施文档、操作培训手册等,验收材料应由需求提出单位、需求开发单位、省局网信办签字,整理后归档。

第二十一条 原则上需求应在新业务功能计划试运行前至少两个月提出申请。紧急需求由省局网信办统一安排处理。

第二十二条 需求涉及项目立项建设的,按照《湖北省医疗保障局信息化项目建设管理暂行办法》相关规定办理。

第四章问题管理

第二十三条 问题范围主要包括省医保平台运行过程中发现的缺陷、隐患和错误、数据处理、业务咨询等。

第二十四条 问题提出。各市州医保局负责汇总整理地医保部门提出的问题,包括数据的修正、导入,程序问题产生的数据问题。由市州医保业务部门和信息化部门审核通过后,按要求填写《湖北省医疗保障信息平台需求(问题)处理申请单》(见附件4)或《湖北省医疗保障信息平台数据处理申请表》(见附件5),通过需求管理模块提交至省局网信办。省局业务处室、单位提出的问题,按要求填写《湖北省医疗保障信息平台需求(问题)处理申请单》(见附件4)或《湖北省医疗保障信息平台数据处理申请表》(见附件5),通过需求管理模块提交至省局网信办。

第二十五条 问题处理。省局组织相关单位进行技术评审,会同相关业务部门形成问题处理方案并组织实施,问题解决结果逐级反馈至提出单位。

第二十六条 问题验证。问题提出单位对问题解决结果进行测试验证。

第五章配置管理

第二十七条 配置管理是将省医保平台软硬件等配置和设置进行识别和定义,记录和报告配置状态、变更请求,以及检验配置项的正确性和完整性等的过程。

第二十八条 本章节适用于省医保平台的硬件、系统软件、应用系统等的配置管理。硬件资源配置管理由第三方服务提供商负责。配置管理方案向省医保局报备。

第二十九条 配置管理的核心要素是配置管理数据库(以下筒称“配置库”)、配置项和配置基线。

第三十条 配置库是管理省医保平台相关的配置项信息及配置项之间关联关系的数据库。

第三十一条 配置项是省医保平台中的各组件配置和设置信息,包括基础设施、云平台、业务子系统、数据中台等软硬件的配置和设置信息。

第三十二条 配置基线是在服务或服务组件生命周期过程中特定时间段正式指定的配置信息。

第三十三条 应建立统一的配置库,配置库应每月定期备份一次。

第三十四条 应合理设置配置库中配置项的属性。配置项至少应包括编号、名称、描述、维护责任人、运行状态、关联关系等信息,且编号唯一。配置项的添加、修改、替换、删除等操作应有变更记录。

第三十五 条初始化配置库数据后应制定首个配置基线,每半年制定配置基线,配置基线保留期限为一年。在实施重大变更或重大投产前,应建立配置基线。

第三十六条 引发配置项变更的情况。

(一)资源申请和回收。

(二)业务应用系统上线、升级。

(三)硬件设备发生变化。

(四)配置审核出现配置项差异。

(五)其它引起配置项发生变化的情况。

第三十七条 所有设备和系统上线前必须按配置管理要求导入配置库,确保配置信息与实际运行环境一致。

第三十八条 配置库变更前应由申请人提交配置库变更申请,描述变更需求、确认变更来源和变更影响范围,进行初步变更风险评估,同时提交变更方案。

第三十九条 配置库变更前应对变更申请、变更方案和相关系统运行情况进行可行性、风险性评估与审核,审核通过后方可实施。

第四十条 配置库变更前应备份配置库。

第四十一条 配置库变更后应进行验证。

第四十二条 综合管理组定期开展配置审核工作,编制审核计划,确定审核范围和抽样比例,每半年至少开展一次配置审核工作。

第四十三条 省医保平台运维团队应安排专人负责根据审核计划执行配置检查工作,检查配置信息的正确性、完整性和一致性,不一致的配置信息应及时纠正并留存记录。

第六章变更管理

第四十四条 变更管理包括应用变更和系统变更。应用变更是指业务子系统和相关应用软件的变更,包括版本升级、缺陷修复等。系统变更是指系统软件和硬件的变更,包括网络、云平台、安全和机房环境等。系统变更由省医保平台基础设施第三方服务提供商负责管理,相关方案及变更过程记录向省医保局报备。

第四十五条 为保障省医保平台的稳定运行,变更须经过审批后方可实施。

第四十六条 变更管理流程分为变更申请、变更审批、变更实施三个阶段,分别由变更申请角色、变更审批角色、变更实施角色负责。

第四十七条 变更申请角色负责提交变更申请材料,发起变更流程。

第四十八条 变更审批角色包括业务审批角色和技术审批角色。其中,业务审批角色负责应用变更的审批,由省局业务系统牵头负责部门负责。技术审批角色负责应用变更和系统变更的审批,由省局医疗保障信息中心负责。应用变更申请,需先通过业务审批,再进行技术审批。

第四十九条 变更实施角色包含操作人员和复核人员。操作人员负责制定变更方案和实施变更操作,复核人员负责检查和验证变更结果,完成变更总结以及对相关程序、补丁、方案、总结等材料的归档。

第五十条 根据省医保平台变更的重要程度、影响范围、风险等级,将变更分为重大变更和一般变更两个级别。

(一)满足以下条件之一的,认定为重大变更。

1.业务服务时间内计划停机时间超过30分钟。

2.长时间影响信息系统主要业务服务。

3.影响其他信息系统正常服务。

4.影响范围涉及地级以上市州医保部门医保业务。

5.其他可认定为重大变更的情形。

(二)不满足重大变更条件的变更即为一般变更。

第五十一条 按照变更实施紧急程度,将变更分为正常变更和紧急变更两个类别。

(一)正常变更是指按计划实施的变更,正常变更必须满足

以下所有条件:

1.不影响业务和服务。

2.变更风险程度较低。

3.具备标准实施步骤且反复实施。

4.经过审批授权。

(二)紧急变更是指因故障、缺陷或其他要求需紧急处理的变更。

第五十二条 变更窗口是指变更操作的时间节点,分为定期变更窗口和临时变更窗口。

第五十三条 定期变更窗口是根据业务峰值、影响范围等因素确定的固定变更时间节点,主要用于信息系统的正常变更,定期性变更原则上为每周一次。

第五十四条 临时变更窗口用于临时性的信息系统变更,主要用于紧急变更。临时变更窗口由变更申请角色在变更申请中提出,通过省局网信办审批后确定。

第五十五条 变更申请角色在提交变更申请前,须完成以下工作:

(一)通过测试验证。系统变更前须完成测试,并在变更申请材料中填写测试结论。测试内容可包括源代码安全扫描、软件系统测试、第三方软件质量测评和业务部门用户验证测试等。

(二)完成风险评估。对变更实施的影响和风险进行评估,制订变更方案,对可能存在的各类风险制订应急或回退方案。重大变更在方案编制完成后,需进行全过程演练,并根据演练结果优化方案。

(三)确定实施时间。正常变更应选择定期变更窗口实施。变更实施中需要信息系统停机的,要与相关业务部门协商确定计划停机时间。

第五十六条 变更申请角色根据变更类型,向变更审批角色提交变更申请材料,发起变更申请流程。变更申请材料包含变更申请单和变更方案。

第五十七条 应用变更的审批。

(一)应用变更申请首先由业务审批角色审批,主要审核变更方案、应用测试情况、变更窗口和对业务的影响等事项。对未批准的变更申请,退回变更申请角色或终止变更,对批准的变更申请,转交技术审批角色审批。

(二)技术审批角色负责应用变更的技术审批,从技术角度审核资源需求、执行脚本、应急回退方案等事项,形成审核结论。对批准的变更申请,转交变更实施角色执行。

第五十八条 系统变更审批。

(一)系统变更申请直接由技术审批角色审批,主要审核变更方案、变更窗口、变更影响范围、资源需求、执行脚本、应急回退方案等事项的可行性的合理性,评估变更实施风险及关联影响,形成审核结论。

(二)对未通过审批的系统变更申请,退回变更申请角色或终止变更,对批准的变更申请,转交变更实施角色执行。

第五十九条 变更审批按照以下情形作出处理或回应:

(一)材料不齐全、要素内容不完整的,退回变更申请角色进行补充。

(二)变更级别或类别不准确的,退回变更申请角色,重新进行核定和调整。

(三)变更方案不可行或者存在缺陷的,退回变更申请角色。

第六十条 变更申请通过审批后方可实施。未经批准的变更申请,不得擅自实施。

第六十一条 变更实施过程中涉及停机的,在变更实施前要做好停机信息通告。

第六十二条 变更实施遵照以下要求执行:

(一)变更实施过程中,要按照变更方案的要求执行变更操作。变更实施过程必须遵循“双人临岗,一人操作、一人复核”,操作人员实施变更操作,复核人员完成操作复核。

(二)变更实施过程中,需要进行应急处置或回退的,须严格按变更方案要求进行处置。

(三)变更实施完成后,须检查执行结果。

(四)对变更实施后需重点关注的监控要点,变更实施角色须向相关运维人员进行交接和说明。

(五)变更实施过程须严格按照审批后的变更方案执行。严禁实施变更方案范围外的操作。

第七章备份恢复管理

第六十三条 系统备份是指对应用软件、系统软件的备份。

第六十四条 系统备份由网络安全运维组、平台运维组共同负责。各运维组应制定备份计划,确定备份周期、备份方式、备份保存期限。

第六十五条 执行备份操作时应仔细检查备份作业执行结果,核实目标备份与源备份内容是否一致,确保备份文件的完整性和正确性,定期进行备份文件的可恢复性验证。

第六十六条 系统备份采取定期备份与临时备份相结合原则。定期备份是指按一定周期有计划进行的备份;临时备份是指当信息系统发生重大变更前进行的备份。

第六十七条 应用软件备份要求。

(一)应用软件备份包括应用的程序、配置文件和日志文件。

(二)应用软件的配置文件和日志文件应至少每月备份一次。

(三)在安装应用软件补丁前须执行应用软件备份。

(四)应用软件备份应至少保留三个月。

第六十八条 系统软件备份要求。

(一)系统软件备份包括系统的程序、配置文件和日志文件。

(二)系统软件的配置文件和日志文件应至少每月备份一次。

(三)系统在安装补丁、升级、修改配置或其它可导致系统改变的情况发生前须进行备份。

(四)系统软件备份应至少保留三个月。

第六十九条 数据库备份是指对数据库的数据和日志进行的备份,数据库备份由网络安全运维组负责。

第七十条 数据库备份应安排专人负责。备份管理人员负责制订备份恢复策略,组织实施备份恢复操作,指导备份介质的取放、更换和登记工作。日常备份操作可由备份管理人员或计划任务自动完成。

第七十一条 确保备份数据安全,禁止未经授权访问备份数据;备份须有标识,标明备份内容和日期。

第七十二条 数据库备份策略应包括全量备份和增量备份,需依据系统性能、存储容量、数据增长量等因素制定备份策略。

第七十三条 数据库备份应建立备份目录清单,备份后应及时记录备份情况,更记录等信息。包括备份周期、时间、内容、保存期限、相关变更。

第七十四条 数据库备份要求。

(一)数据库的备份范围包括数据库的日志文件、数据文件。

(二)在安装数据库补丁、应用系统补丁、数据库升级或其它导致数据库改变的操作前须备份完整的数据文件。

(三)当数据库发生故障时,如需进行系统恢复,应先备份故障数据库以及数据文件。

(四)数据文件应至少每周备份一次,日志文件应每天进行增量备份,所有的数据库日志文件和数据文件备份应至少保留半年。

第七十五条 各类日志除定期备份外,还应建立集中日志服务系统,实时采集各类硬件设备、应用软件、系统软件的日志。

第七十六条 日志服务系统采集的日志应通过加密或签名后集中存储,防止日志被篡改和丢失,集中存储的日志至少保留三个月。

第七十七条系统或数据库的恢复操作按变更管理相关流程实施。

第七十八条 恢复前需对涉及的系统或数据库进行备份。

第七十九条恢复后需进行验证,确保已恢复的系统或数据库完整、可用。

第八十条   网络安全运维组应制定灾难恢复应急预案,并进行完整的测试和演练,灾难恢复演练应每年至少举行一次。

第八章巡检与报告

第八十一条 运维团队应通过定期巡检、实时监测、异常处理和问题收集等多种方式确保应用系统运行稳定。

第八十二条 运维团队应根据系统运行实际情况建立巡检机制,平常以周为单位,每周五提交系统巡检报告;次月3日前提供月度巡检报告;每半年提供一次深度巡检,提交深度巡检报告及系统改进计划。巡检中发现的问题应及时进行处理,并提交半年总结及下半年工作计划。年终提交年度工作总结及下一年度运维工作计划。

第八十三条 若发生系统故障,自发生之日起至故障解决后三天内,相关运维组需每天提交系统巡检报告至省信息化管理部门。

第九章绩效考核管理

第八十四条 运维结果考核管理,由省局网信办会同市州医保部门,对运维服务提供商进行周期性绩效考核工作,考核维度包服务满意度、运维内容、巡检及报告等,考核结果作为支付运维服务商运维费用的重要依据。