国家网信办通报医院案：设备都在，防护却停了

Yu
Yu

TJXFire

2026年11月7日 09:53
江西

去阅读

11 月 2 日，国家网信办通报 10 起执法典型案例。其中第四起，是十起里唯一一起「查了两次」的案件：第一次查出体检系统弱口令漏洞，网信办责令全面整改；复核时却发现，防火墙、IDS、漏扫、日志审计、数据库审计、堡垒机六类安全设备因授权过期全部失效，终端仍存 700 个漏洞、含 73 个可利用的高危，风险一点没降。

这起案件真正的处罚理由不是弱口令，而是「整改无效」——弱口令是导火索，复核查出设备授权过期才是落点。本文拆开这次整改为什么等于没整改，并给出一张可以直接下发到医院信息科与设备管理岗的自查表。

全文约 7600 字，预计阅读 21 分钟。本文为防守向合规自查指引，不提供任何攻击方法，也不推测通报未公开的案件细节。

一、先把通报原文完整摆出来

4.河南某医院数据泄露风险案。网信部门核查发现，该医院体检系统存在弱口令漏洞，通过该漏洞能获取就诊病例等数据，属地网信办责令医院全面整改后复核发现，该医院网络防火墙、入侵防御系统、漏洞扫描工具、日志审计系统、数据库审计系统、堡垒机等安全设备因授权过期导致失效，网络系统终端仍然存在 700 个安全漏洞，包括 73 个可被利用的高危漏洞，数据泄露风险仍未消除。该医院未依法履行网络和数据安全保护义务，违反《网络安全法》《数据安全法》《网络数据安全管理条例》等法律规定。属地网信办已依法责令其改正，予以警告、罚款，并对直接负责的主管人员予以罚款处罚，同时通报属地卫生健康部门。

这段原文不长，但结构极其清晰。把它拆开，是三段各自独立的认定：

请注意这三段之间的逻辑关系——第一查和第二查之间，隔了一次「责令全面整改」。

也就是说，这家医院是按照监管要求去整改了。它不是躺平不动，它是认认真真整改完了，然后被复核出来：你整改的那套东西，本身是失效的。

这就是这起案件比其余九起更值得读的原因。

二、「授权过期」为什么比「设备坏了」严重得多

2.1 设备坏了，会有人知道

防火墙宕机、堡垒机连不上、漏扫工具跑不起来——这些都是会「响」的问题。监控里有告警，运维日志里有记录，登录时弹个错，年度预算盘点时也一眼能看出来。

2.2 授权过期，是一台不会响的设备

安全设备授权过期后的状态是：

设备还立在机房里，管理界面还能登进去，账号密码还是那套，配置页面一切正常。

这就是最麻烦的地方——它看起来完全正常。从管理界面看，这家医院的安全体系是完整的：防火墙有、IDS 有、漏扫有、日志审计有、数据库审计有、堡垒机有。六项齐全，一项不缺。

但从攻击者视角看，这套环境的实际防护能力，与「什么都没买」没有区别。 甚至更糟——「什么都没买」至少是诚实的，买了一套不会响的设备，会让人误以为自己是被保护着的。

「授权过期」最本质的危害，是制造虚假的安全感，而不是明显的漏洞。
明显的漏洞会推动人去修；沉默的失效只会让人安心地不修。 而且它几乎不可能靠自查发现——没有任何一台设备会告诉你「我已经过期了」。你必须主动去看。

2.3 弱口令 + 授权过期 = 一条完整的失效链

单独看弱口令：是个老问题，改个密码、加上访问控制，就算整改了。单独看授权过期：是个运维问题，续个费、升个版本，就算整改了。

但这起案件把它们叠在一起，形成了一条完整的失效链：弱口令 → 攻击者能进体检系统 → 能获取就诊病例 → 但医院即使加了设备，「整改复核」发现设备全在过期状态 → 漏洞仍在、数据仍在流出、风险仍未消除。

这里最关键的一句是通报的最后半句：「数据泄露风险仍未消除。」

不是「已经造成泄露」，也不是「可能造成泄露」——是「风险仍未消除」。通报用的措辞非常克制，指向的是防护状态，而不是已确认的失陷后果。

2.4 为什么「复核」这一步是全篇最重的信号

监管检查通常是看当下的状态。而这起案件的第二查，看的是整改之后的状态。

这个动作意味着：监管在问的不再是「你有没有发现问题」，而是「你发现问题之后，做的到底有没有用」。

对江西医疗行业客户来说，这个转向带来的直接影响是——「整改回执」「整改报告」「已完成修复」这类材料，单独存在的证明力在下降。 因为现在要问的是：整改完的东西，最后一次更新是什么时候？最后一次有效检测是什么时候？

三、通报没直说、但压力最实的那一层：卫健委也在看着

通报最后写了一句容易被读过去的话：「同时将相关情况通报属地卫生健康部门。」

这不是一个程序性表述。它意味着这起案件同时进入了两套监管视野。

3.1 医疗行业已有一套自己的数据安全规则

2026 年 2 月，国家卫生健康委、公安部、国家互联网信息办公室、国家中医药局、国家疾控局联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（国卫规划发〔2026〕6 号），全文共七章四十条。这份文件里有几条与本案的查处逻辑直接咬合：

把这份文件与本案并排看，会发现一件有意思的事：通报认定的「日志审计系统失效」，直接对应《办法》第十九条的日志留存义务；通报认定的「漏洞扫描工具失效 + 73 个高危漏洞」，直接对应《办法》第十条、第十二条的风险评估与等保要求。

换句话说，这起案件罚的不只是「弱口令」，而是同时踩了行业监管的义务线。

3.2 通报卫健部门，意味着什么

对一家医院来说，被网信办处罚是一个问题；被通报到卫健部门，是另一个问题——因为它会进入本机构的行业管理体系。

江西的医院客户，特别是三级医院评审、电子病历分级评价、互联互通测评的参评单位，需要清楚一件事：数据安全在这几项考核里都是硬性指标。一个被通报数据安全问题的机构，在这些评审里是会被问到的。

这是「双线追责」的雏形：网信部门查的是网络安全与数据安全义务，卫健部门查的是行业管理责任。两条线各有各的问询逻辑，但指向的是同一个整改结果。

3.3 湖南的对照：这条执法线正在铺开

同一天（11 月 2 日），湖南省网信办也公布了「亮剑湖湘·民生领域个人信息保护」专项执法行动的医疗健康领域执法案例，8 起，其中 6 起直接涉及医院。

这批案例的执法数据更值得看：

这组数字说明两件事。

第一，医疗行业的执法密度非常高。 46 次现场检查、74 次约谈、63 次责令整改——大多数问题是被「约谈 + 责令整改」解决的，不是靠罚款。 换句话说，绝大多数医院在检查阶段就被处理了，根本没走到立案。

第二，「约谈」这个处置手段，比罚款更值得重视。 74 次约谈对应 11 起立案处罚——约谈对象是单位负责人。被约谈的，是院长或分管院长；被立案的，是机构。

把这两份通报合起来看，河南案是国家网信办点名通报 + 通报卫健部门，湖南是省级网信办联合卫健部门现场检查 + 约谈 + 立案。两条线指向同一件事：医疗数据安全已经从「网信一家的事」，变成「网信 + 卫健共同管」。

3.4 湖南 8 起案例里，有三个和江西医院直接相关

注意案例 2 和案例 8——两起都指向「体检」这条线。 一是体检报告查询功能本身有漏洞，二是开发运维体检系统的技术公司有漏洞未修。

而河南案里被查出的第一个问题，恰恰也是体检系统的弱口令。

三个地方、三份通报、三次都指向「体检」这条业务线。 这不是巧合——体检业务的特点是：面向大批量非固定人群、数据字段密集（姓名、身份证、手机号、诊断结果、影像报告）、访问入口多（公众号、小程序、自助机、报告查询），而这些系统往往不是医院信息科的核心管辖对象，有的甚至由第三方技术公司开发运维。

如果这份通报只让读者记住一句话，应该是这句——体检这条线，是当下医疗数据防护最薄弱的一段，也是最容易在检查中被翻出来的。

四、给江西医疗行业客户的一张自查表

以下自检表按本案认定的具体问题 + 湖南省 8 起案例的认定维度整理，可直接下发到医院信息科、设备管理岗与体检中心。

第一组：安全设备「活着」吗（对应本案核心，最该先做）

· 防火墙、IDS、漏扫工具、日志审计、数据库审计、堡垒机，各自的授权 / 维保 / 订阅到期日是否在同一个台账里？
· 有没有专人负责到期提醒？过期后多久会被发现？（关键：不能靠设备自己报错）
· 特征库 / 规则库 / 漏洞库最近一次更新是什么时候？更新失败有没有告警？
· 日志审计系统现在还在落盘吗？留存周期是多少？
· 堡垒机的运维审计会话记录完整吗？高危操作能不能追溯到人？
· 有没有做过一次「设备能力抽检」——故意触发一条规则，看这套体系到底还拦不拦得住？

第二组：整改闭环「有效」吗（对应本案「复核」逻辑）

· 过去 12 个月收到的整改要求，每一条都复核过效果吗？还是只做了「已完成修复」的回复？
· 每条整改事项是否记录了验证方式与验证时间？（不是「已处理」，是「已验证拦截有效」）
· 有没有出现过「设备或服务到期后功能不可用，但无人知晓」的情况？
· 安全设备的版本与授权状态，是否纳入等保测评的证据材料？

第三组：体检这条线，单独查一遍

· 体检系统（含体检报告查询、结果打印、影像调阅）的访问控制是谁在管？弱口令、默认口令、共享账号查过了吗？
· 微信服务号 / 小程序上的「体检报告查询」「预约挂号」「结果查询」功能，是否做过专门的漏洞检测？
· 开发运维体检系统的第三方技术公司，合同里有没有写清漏洞修复时限与安全责任？
· 体检数据涉及姓名、身份证、手机号、诊断结论、影像报告——这些字段在传输和存储环节是否加密？查询接口有没有防枚举、防批量拉取？

第四组：日志与追溯，够不够用

· 按《医疗卫生机构数据安全和个人信息保护管理办法（试行）》第十九条：重要数据处理活动的日志留存不少于一年，涉及安全事件处置、溯源的不少于三年。本院目前是多久？
· 涉及安全事件处置与溯源的日志，能否真的在需要时调出来？（留存了但调不出来，等于没有）
· 数据库审计、堡垒机审计、边界流量日志，时间是否同步？跨设备时间对不上，追溯时无法串成时间线。
· 医院是否已按《办法》要求每年开展风险评估并向省级以上卫健部门报送？处理重要数据的机构，这是硬性动作。

第五组：责任链与外部接口

· 主要负责人是数据安全第一责任人这件事，在本院是书面文件上的，还是真的知道？领导小组是否按《办法》要求每年至少开过一次数据安全会议？
· 对外提供的接口（体检合作机构、第三方开发运维方、区域平台）——数据接收方的安全义务有没有约定？有没有监督机制？
· 委托处理或共同处理数据的，审批程序走完了吗？（《办法》第十六条明确：委托不改变数据安全责任）

五组里，第一组是所有医院都该今天就做的。 第二组（整改闭环有效性）是最新、最容易被检查穿透的一组；第三组（体检线）是本批通报的共同指向；第四、五组是行业《办法》已经明文规定的硬性动作，不按《办法》做，本身就是违法，与有没有出事无关。

五、几点判断

判断一 ｜ 这起案件真正的处罚理由是「整改无效」，不是「弱口令」。 弱口令是导火索，复核查出设备授权过期才是落点。监管的判罚逻辑已经变了：从「你有没有发现问题」变成「你整改完的东西到底还有没有用」。 这对所有做等保整改、做安全运营汇报的单位，是一次判罚标准的升级。

判断二 ｜ 「授权过期」制造的是虚假的安全感。 设备不坏、界面能登、配置正常，但病毒库停在历史版本、日志不再落盘、运维操作不再留痕。明显的漏洞会推动人去修，沉默的失效只会让人安心地不修。 更麻烦的是，它不会告警——没有任何一台设备会告诉你「我已经过期了」，只能主动去看。

判断三 ｜ 医疗数据安全已经是「网信 + 卫健」两条线在管。 河南案把案件通报属地卫生健康部门；湖南网信办则联合省卫健委现场检查，74 次约谈对象是单位负责人。对三级医院评审、电子病历分级评价、互联互通测评的参评单位来说，这不是网信部门一家的事。

判断四 ｜ 「体检」是当下医疗数据防护最薄弱的一条线。 河南案查出的是体检系统弱口令；湖南案例 2 是「体检报告查询」功能漏洞、案例 8 是开发运维体检系统的技术公司漏洞未修。三个地方、三份通报、三次指向同一条业务线——因为它面向大批量非固定人群、字段密集、入口多，而系统往往不在医院信息科的核心管辖范围内。

判断五 ｜ 别等通报才查。 湖南 46 次现场检查、74 次约谈、63 次责令整改，只有 11 起走到立案。这说明绝大多数问题是在检查阶段被「约谈 + 责令整改」解决的。换句话说，这批执法的主观目的不是罚你，是让你在检查之前把问题改掉。 等通报来了，处置已经从「责令整改」升级到「罚款 + 罚主管人员 + 通报行业主管部门」。

信息来源

本文全部案件事实与数据来自以下官方通报与官方文件原文，未作推测：

1. 国家网信办《近期网络安全、数据安全、个人信息保护等领域执法典型案例》（绍兴网警转载，2026-11-02 13:23）：
   www.toutiao.com/article/7703022399533171219
   （同一通报全文，宜兴市人民政府网转载，2026-10-06）：
   www.yixing.gov.cn/doc/2026/10/06/1417452.shtml

2. 湖南省网信办《医疗健康领域个人信息保护专项行动执法案例》（新浪财经转载「湘潭发布」，2026-11-02）：
   finance.sina.com.cn/jjxw/2026-11-02/doc-inixiuey2882214.shtml

3. 《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（国卫规划发〔2026〕6 号，国家卫生健康委、公安部、国家互联网信息办公室、国家中医药局、国家疾控局联合印发，2026 年 2 月）：
   www.sdca.com.cn/uploads/file/2604/09/2604091953428eosb.pdf

4. 国家卫生健康委《对十四届全国人大四次会议第 0805 号建议的答复》（2026-06-26）：
   www.nhc.gov.cn/wjw/jiany/202609/053b215bb0cd418ebb4ecfea6da5a449.shtml

核验方式：本文引用的每个案例的省份、案由、经查事实、法律依据、处置结果，以及湖南专项行动的六项统计数据，均可在上述通报原文中逐字比对。表中「设备授权过期后的实际表现」「体检线对照」等表格，以及五组自检表与五点判断，均为本文基于官方原文所做的分析与归纳，不代表监管部门官方分类。

适用法条版本说明：本案适用的《网络安全法》系 2026 年 1 月 1 日起施行的修订版（2025-10-28 全国人大常委会修正），条号与旧版不同；《医疗卫生机构数据安全和个人信息保护管理办法（试行）》为 2026 年 2 月印发的试行版本，具体条款以现行有效文本为准。本文按官方原文引用法律与文件名称，未自行标注条款序号。

官方确认事实与未公开事项

官方明确确认的事实：河南某医院体检系统存在弱口令漏洞，通过该漏洞能获取就诊病例等数据；属地网信办责令医院全面整改后复核发现，其网络防火墙、入侵防御系统、漏洞扫描工具、日志审计系统、数据库审计系统、堡垒机等安全设备因授权过期导致失效；网络系统终端仍存在 700 个安全漏洞，包括 73 个可被利用的高危漏洞，数据泄露风险仍未消除；属地网信办已责令其改正，予以警告、罚款，对直接负责的主管人员予以罚款处罚，并通报属地卫生健康部门。湖南省网信办专项行动的六项统计数据与 8 起案例案情、处置结果，以及《办法》的联合印发主体、印发时间、章节结构与相关条款内容，均按官方原文引用。

官方未公开、本文不作推测的事项：涉事医院的名称、机构性质与等级；体检系统弱口令漏洞的发现时间、发现方式与影响范围；就诊病例数据的实际泄露规模、是否已发生数据外泄（通报表述为「数据泄露风险仍未消除」，不等于已确认泄露）；授权过期设备的具体数量、授权起止日期与最后一次有效更新时间；700 个漏洞与 73 个高危漏洞的类型分布；整改期间做了什么、为什么复核仍不合格；各案适用的具体法律条款序号与罚款金额；被处罚主管人员的职务、姓名与责任认定细节；网信部门开展核查与复核的技术手段、检查次数——以上均为未公开。

本文的归纳性内容：设备授权过期后各项能力变化对照表、体检业务线对照表、五组自检表的整理、五点判断，以及「医疗数据安全已进入网信与卫健双线监管」「整改闭环有效性成为新的核查重点」等整体解读，均为基于官方通报与官方文件的分析与建议，不代表监管部门观点。

免责声明

本文为合规与防守向分析，仅用于风险提示与自查指引，不提供任何攻击方法，也不推测通报未公开的案件细节。所有案件事实以官方通报原文为准。涉及具体合规判断时，请结合本单位实际情况并咨询专业法律意见。