近年来,医院信息系统在带给民众日常就医与政府社会治理便捷的同时,也面临着信息系统安全风险带来的新问题。医院信息系统因涉及大量医疗隐私信息,过去一直运行于相对封闭的内部环境中。随着“互联网+医疗健康”等新理念、新技术逐渐普及,迫使医院信息系统变得更加开放,随之而来的即信息安全风险的显著增加。因此,如何做好新形势下医院信息系统安全风险管理,减少信息安全事件发生频次、降低风险事件带来的各类损失,是多数医院面临的一个共性问题。回顾现有研究,同时结合国内医院信息系统安全风险管理现状不难发现,与传统的金融、航天航空等信息系统风险管理优势领域相比,医院信息系统的安全风险管理相对起步较晚。国家颁布的《信息安全技术网络安全等级保护基本要求》已成为多数公立医院在风险评估工作中的主要参考标准,然而这一标准在针对性、实用性上与医院的实际情况仍存在一定差距。在上述背景下,如何做好医院信息系统安全风险管理,特别是其中的风险评估工作,成为本文的主要研究方向。本文选取医院信息系统（Hospital Information System,简称HIS）,对其信息安全风险评估开展系统性的研究:1)首先分析了医院信息系统、信息安全、信息安全风险管理及信息安全风险评估等相关概念,总结风险评估的常用方法及适用范围,并选取本研究适用方法。2)以F医院HIS为例,在对软硬件等架构进行介绍的基础上,重点对其安全风险管理评估现状进行说明,分析目前等级保护测评的局限性。3)构建一套针对医院信息系统的,具有一定普适性的风险评估指标体系。具体过程包括风险识别、风险清单构建、风险评估指标确定、风险等级标准确定。本套风险评估指标体系共有6个一类指标及25个二类指标。4)应用上述指标体系给出F医院HIS的定量风险评估结果。首先采用网络层次分析法对指标权重值进行计算;其次利用模糊综合评价法给出案例医院的整体风险定量评估结果;最后通过单因素模糊综合评价计算二级指标的风险评估排序以进一步明确F医院HIS的风险处理项。5)F医院HIS的风险处理。根据上述定量评估结果,从物理安全、网络安全、主机安全、应用安全、数据安全以及安全管理六个方面提出具体处置和管理措施。采用本文提出的管理办法后经再次评估,F医院HIS信息安全风险等级下降,基本达成预定目标。通过上述研究与实践的开展,对F医院的信息系统安全风险管理起到了良好的提升作用。此外,鉴于医院信息系统在医疗机构使用的普遍性,该研究成果对各类医疗机构信息安全风险评估具有一定借鉴意义。