(一)各医疗卫生机构应加强数据收集合法性管理，明确业务部门和管理部门在数据收集合法性中的主体责任。采取数据脱敏、数据加密、链路加密等防控措施，防止数据收集过程中数据被泄露。

　　(二)在数据分类分级的基础上，进一步明确不同安全级别数据的加密传输要求。加强传输过程中的接口安全控制，确保在通过接口传输时的安全性，防止数据被窃取。

　　(三)各医疗卫生机构应按照有关法规标准，选择合适的数据存储架构和介质在境内存储，并采取备份、加密等措施加强数据的存储安全。涉及到云上存储数据时，应当评估可能带来的安全风险。数据存储周期不应超出数据使用规则确定的保存期限。加强存储过程中访问控制安全、数据副本安全、数据归档安全管控。

　　(四)各医疗卫生机构应严格规定不同人员的权限，加强数据使用过程中的申请及批准流程管理，确保数据在可控范围内使用，加强日志留存及管理工作，杜绝篡改、删除日志的现象发生，防止数据越权使用。各数据使用部门和数据使用人须严格按照申请所述用途与范围使用数据，对数据的安全负责。未经批准，任何部门和个人不得将未对外公开的信息数据传递至部门外，不得以任何方式将其泄露。

　　(五)各医疗卫生机构发布、共享数据时应当评估可能带来的安全风险，并采取必要的安全防控措施;涉及数据上报时，应由数据上报提出方负责解读上报要求，确定上报范围和上报规则,确保数据上报安全可控。

　　(六)各医疗卫生机构开展人脸识别或人脸辨识时，应同时提供非人脸识别的身份识别方式，不得因数据主体不同意收集人脸识别数据而拒绝数据主体使用其基本业务功能，人脸识别数据不得用于除身份识别之外的其他目的，包括但不限于评估或预测数据主体工作表现、经济状况、健康状况、偏好、兴趣等。各医疗卫生机构应采取安全措施存储和传输人脸识别数据，包括但不限于加密存储和传输人脸识别数据，采用物理或逻辑隔离方式分别存储人脸识别和个人身份信息等。

　　(七)数据销毁时应采用确保数据无法还原的销毁方式，重点关注数据残留风险及数据备份风险。

　　第四章 监督管理

　　第二十三条 各医疗卫生机构应积极配合有关主管监管机构监督管理，接受网络安全管理日常检查，做好网络安全防护等工作。

　　第二十四条 各医疗卫生机构应及时整改有关主管监管机构检查过程中发现的漏洞和隐患等问题，杜绝重大网络安全事件发生。

　　第二十五条 发生个人信息和数据泄露、毁损、丢失等安全事件和网络系统遭攻击、入侵、控制等网络安全事件，或者发现网络存在漏洞隐患、网络安全风险明显增大时，各医疗卫生机构应当立即启动应急预案，采取必要的补救和处置措施，及时以电话、短信、邮件或信函等多种方式告知相关主体，并按照要求向有关主管监管部门报告。

　　第二十六条 各级卫生健康行政部门应建立网络安全事件通报工作机制，及时通报网络安全事件。

　　第二十七条 发生网络安全事件时，各医疗卫生机构应及时向卫生健康行政部门、公安机关报告，做好现场保护、留存相关记录，为公安机关等监管部门依法维护国家安全和开展侦查调查等活动提供技术支持和协助。

　　第五章 管理保障

　　第二十八条 各医疗卫生机构应高度重视网络安全管理工作，将其列入重要议事日程，加强统筹领导和规划设计，依法依规落实人员、经费投入、安全保护措施建设等重大问题，保证信息系统建设时安全保护措施同步规划、同步建设和同步使用。