内容解读
安全事件不仅包括黑客攻击，也包括误发邮件、错误导出、账号共享、设备遗失、数据损坏和未经批准的二次使用。响应速度取决于事前准备。
在医院IIT临床研究管理中，安全事件不仅包括黑客攻击，也包括误发邮件、错误导出、账号共享、设备遗失、数据损坏和未经批准的二次使用。响应速度取决于事前准备。 这不仅影响单个项目的执行效率，也决定机构能否把分散数据转化为可信、合规、可持续运营的研究能力。
问题不在表面
项目发生误传后，团队第一反应常是删除消息或私下联系接收者，没有保全日志、评估数据范围和通知机构管理部门。另一种问题是技术团队处理系统故障，却没有评估对受试者安全、盲态、数据完整性和研究结论的影响。
本讲核心结论
医院应建立与网络安全、个人信息保护和研究质量体系衔接的事件响应机制。发现事件后及时止损和保全证据，识别数据、受试者、系统与接收方范围，评估对权益、安全、数据完整性和研究连续性的影响，并按适用要求决定报告、通知、补救和CAPA。全过程需记录事实与决策。
问题为什么发生
第一，早期事实不完整，过早定性可能遗漏受影响数据。第二，技术恢复不等于研究影响已经消除。第三，事件是否需要对外报告取决于适用法律、合同、伦理和实际风险，不能由单个项目成员自行决定。
研究助理将含身份信息和AE详情的数据表误发给非项目成员，随后仅要求对方删除。三周后医院才知情，邮件转发范围无法确认，原文件和访问日志也未保留，导致影响评估和后续说明十分困难。
四步改进路径
更可执行的改进路径可以分为四步。第1，建立事件发现、升级、止损、证据保全和联系人的预案；第2，快速确认受影响数据、人员、系统、时间和传播范围；第3，联合科研、伦理、法务、信息安全和PI评估并履行必要报告通知；第4，完成恢复、受试者保护、根因分析、CAPA和效果验证。核心是让医院的治理要求进入真实项目流程，并通过系统控制、责任记录和运行指标持续证明其有效性。
CHINA REGULATORY CALIBRATION
中国法规校准
适用口径：发生或可能发生个人信息泄露、篡改、丢失时，个人信息处理者应立即采取补救措施，并依法向履行个人信息保护职责的部门和个人履行通知义务；网络数据安全事件还应按应急预案处置和报告。是否通知、向谁报告及时间要求取决于事件性质和适用规则，项目不得以“已去标识化”或“供应商负责”为由直接免除医院的判断和处置责任。
法规基准日：2026年8月4日。具体项目仍须结合研究类型及本机构要求确认。项目自查清单
判断提示：若其中两项以上无法明确回答，说明项目或机构仍存在需要优先处理的数据治理风险。
- ✓是否建立个人信息与网络数据安全事件分级、调查、补救和报告流程？已满足 / 待改进
- ✓是否能依法判断向主管部门和个人通知的条件、内容与责任人？已满足 / 待改进
- ✓供应商事件是否能在合同约定时限内升级至医院并保留处置证据？已满足 / 待改进
- ✓演练是否覆盖账号泄露、错误共享、勒索、备份失效和跨境服务中断？已满足 / 待改进
NEED SUPPORT?
把这份清单用于您的真实项目
我们可协助完成方案数据审阅、CRF设计、EDC建库、质量管理与数据资产沉淀。
预约项目诊断 →