醫(yī)療系統(tǒng)信息網(wǎng)絡(luò)安全等級保護設(shè)計方案
發(fā)布時間：2022-05-11 17:25行業(yè)背景
近年來，隨著網(wǎng)絡(luò)的快速發(fā)展，各大醫(yī)院也加強了自身網(wǎng)絡(luò)與信息系統(tǒng)建設(shè)，逐步實現(xiàn)與醫(yī)保、新農(nóng)合、衛(wèi)健委及銀行等單位的互聯(lián)互通，實現(xiàn)了醫(yī)院內(nèi)部辦公網(wǎng)絡(luò)化及自動化。同時在互聯(lián)網(wǎng)方面，也面向患者開放了網(wǎng)上預約掛號、微信支付、醫(yī)囑服務及檢查檢驗報告瀏覽服務等，方便患者就醫(yī)就診，提升醫(yī)院的整體競爭力。然而，醫(yī)院信息化快速發(fā)展的同時，也暴露出了很多信息安全問題，面臨的安全形勢非常嚴峻。
因此，2011年，衛(wèi)生部結(jié)合衛(wèi)生行業(yè)實際，研究制定了《衛(wèi)生行業(yè)信息安全等級保護工作的指導意見》（衛(wèi)辦發(fā)〔2011〕85號）；2017年6月1日《中華人民共和國網(wǎng)絡(luò)安全法》正式實施，其中第二十一條明確規(guī)定：國家實行網(wǎng)絡(luò)安全等級保護制度；2019年5月，網(wǎng)絡(luò)安全等級保護2.0標準正式發(fā)布，等級保護制度也從條例法規(guī)提高到了國家法律層面。所以，為了全面提高醫(yī)院信息安全保障能力和水平，落實等級保護制度，滿足國家法律要求，全國各大醫(yī)院要全面開展信息網(wǎng)絡(luò)安全等級保護工作，建立整體的安全防護體系，為醫(yī)院內(nèi)部信息系統(tǒng)保駕護航。
客戶需求
1. 需要根據(jù)網(wǎng)絡(luò)安全等級保護的基本要求，從網(wǎng)絡(luò)通信、邊界安全、主機安全、Web應用安全、接入安全及系統(tǒng)管理安全等多方面考慮安全防護措施，實現(xiàn)對網(wǎng)絡(luò)中蠕蟲、木馬、病毒、未知威脅、勒索軟件及挖礦病毒等進行檢測和攔截，保證醫(yī)院內(nèi)部信息系統(tǒng)的安全。
2. 需要根據(jù)網(wǎng)絡(luò)安全等級保護的基本要求，結(jié)合醫(yī)院網(wǎng)絡(luò)的實際情況，建立起醫(yī)院完整的安全技術(shù)體系、安全管理體系及安全運營體系，使得醫(yī)院網(wǎng)絡(luò)安全建設(shè)滿足等級保護合規(guī)性要求，符合國家法律規(guī)定。
3. 需要根據(jù)醫(yī)院自身業(yè)務系統(tǒng)的實際情況，構(gòu)建預測、防御、監(jiān)控、回溯的自適應安全防護體系，使得醫(yī)院網(wǎng)絡(luò)安全實現(xiàn)層層遞進、縱深防御，實現(xiàn)從被動到主動的安全防御。
解決方案
方案內(nèi)容
安全防護體系架構(gòu)設(shè)計
安全防護體系架構(gòu)圖
三甲醫(yī)院的信息系統(tǒng)安全保障體系是以“一個中心、三重防護、三個體系”為核心指導思想，構(gòu)建集防護、檢測、響應、恢復于一體的全面的安全保障體系。其中；“一個中心”是指安全運營管理中心，即構(gòu)建先進高效的安全運營管理中心，實現(xiàn)針對系統(tǒng)、產(chǎn)品、設(shè)備、策略、信息安全事件、操作流程等的統(tǒng)一管理。
“三重防護”是指構(gòu)建安全區(qū)域邊界、安全計算環(huán)境、安全通信網(wǎng)絡(luò)三維一體的技術(shù)防御體系。
“三個體系”是指形成安全技術(shù)體系、安全管理體系、安全運營體系三個體系，三個體系相互融合、相互補充，形成一個整體的安全防御體系。其中，安全管理體系是策略方針和指導思想，安全技術(shù)體系是縱深防御體系的具體實現(xiàn)，安全運營體系是支撐和保障。
網(wǎng)絡(luò)安全技術(shù)體系設(shè)計
安全物理環(huán)境：
物理和環(huán)境安全包括機房選址、機房建設(shè)、設(shè)備設(shè)施的防盜防破壞、防火、防水、防盜、電力供應、電磁防護等，在醫(yī)院機房的建設(shè)過程中嚴格按照國家相關(guān)標準進行機房建設(shè)、綜合布線、安防建設(shè)，并經(jīng)過相關(guān)部門的檢測和驗收。
安全通信網(wǎng)絡(luò)：
1. 在醫(yī)院內(nèi)網(wǎng)骨干鏈路采用冗余技術(shù)部署，避免關(guān)鍵節(jié)點產(chǎn)生單點故障，保障網(wǎng)絡(luò)穩(wěn)定性和系統(tǒng)的高可用性，保證系統(tǒng)的可用性；
2. 在醫(yī)院互聯(lián)網(wǎng)邊界部署VPN設(shè)備，實現(xiàn)遠程訪問，如果運維人員需從互聯(lián)網(wǎng)對系統(tǒng)進行遠程維護，也可以通過VPN為運維人員提供運維服務。
安全區(qū)域邊界：
1. 根據(jù)業(yè)務特點進行安全域劃分，并在各個區(qū)域邊界部署防火墻設(shè)備，實現(xiàn)安全訪問控制，實現(xiàn)邊界隔離；同時在醫(yī)院內(nèi)外網(wǎng)邊界區(qū)域部署隔離網(wǎng)閘系統(tǒng)，實現(xiàn)內(nèi)外網(wǎng)的安全隔離；
2. 在各區(qū)域邊界部署入侵防護設(shè)備，并配置相應的防護策略對業(yè)務系統(tǒng)進行安全防護，實現(xiàn)對蠕蟲、木馬、病毒等入侵攻擊行為進行檢測和攔截；
3. 在醫(yī)院內(nèi)部網(wǎng)絡(luò)部署APT檢測設(shè)備，把網(wǎng)絡(luò)中的所有流量采集上來進行檢測分析，實現(xiàn)內(nèi)網(wǎng)的惡意攻擊檢測和未知威脅檢測；
4. 在互聯(lián)網(wǎng)區(qū)域邊界中部署安全防病毒設(shè)備進行惡意代碼防護，避免木馬病毒從互聯(lián)網(wǎng)進來威脅服務器；
5. 在互聯(lián)網(wǎng)邊界處部署上網(wǎng)行為審計設(shè)備，并開啟設(shè)備上的審計策略，實現(xiàn)對非法外聯(lián)及上網(wǎng)行為管控，同時可以對上網(wǎng)行為及操作行為進行審計；
6. 在醫(yī)院內(nèi)網(wǎng)部署安全準入系統(tǒng)，實現(xiàn)內(nèi)部辦公終端的安全準入，只有合規(guī)的終端才能訪問重要服務器；實現(xiàn)對非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查或限制。
安全計算環(huán)境：
1.在醫(yī)院內(nèi)網(wǎng)部署運維審計系統(tǒng)，加強對網(wǎng)絡(luò)設(shè)備、服務器操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的統(tǒng)一管理，同時為不同角色配置不同管理賬號，并分配不同管理權(quán)限，實現(xiàn)權(quán)限控制；也實現(xiàn)運維操作的全程審計；
2. 在醫(yī)院內(nèi)網(wǎng)辦公終端和服務器上安裝企業(yè)版或網(wǎng)絡(luò)版殺毒軟件，定期進行病毒查殺，并且及時更新操作系統(tǒng)安全補??；
3. 在服務器操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)上配置安全審計策略，同時部署日志審計系統(tǒng)對審計數(shù)據(jù)進行收集和保護，保證日志保存時間不少于6個月；
4. 在醫(yī)院內(nèi)網(wǎng)部署漏洞掃描系統(tǒng)，定期對內(nèi)部網(wǎng)絡(luò)設(shè)備、安全設(shè)備、辦公終端及服務器等進行定期掃描，及時發(fā)現(xiàn)內(nèi)部資產(chǎn)存在的漏洞風險，并進行及時加固處理；
5. 在醫(yī)院互聯(lián)網(wǎng)服務器區(qū)邊界部署專業(yè)的Web應用防護系統(tǒng)，實現(xiàn)對互聯(lián)網(wǎng)Web應用系統(tǒng)進行全面的安全防護，避免SQL注入、跨站XSS、惡意掃描、非法上傳/下載等攻擊。
安全管理中心：
1. 在數(shù)據(jù)庫系統(tǒng)上配置安全審計策略，同時部署專業(yè)的數(shù)據(jù)庫審計系統(tǒng)，對數(shù)據(jù)庫的所以訪問、操作行為進行安全審計；
2. 在醫(yī)院內(nèi)網(wǎng)部署日志審計系統(tǒng)對網(wǎng)絡(luò)設(shè)備的日志信息進行收集和保護，保證日志保存時間不少于6個月；3. 在醫(yī)院內(nèi)網(wǎng)部署安全管理系統(tǒng)，實現(xiàn)對內(nèi)部網(wǎng)絡(luò)設(shè)備、安全設(shè)備及服務器等進行集中安全管控及運行狀況進行集中監(jiān)測。
網(wǎng)絡(luò)安全管理體系設(shè)計
除了建立安全技術(shù)防護體系，采用網(wǎng)絡(luò)安全技術(shù)手段防護安全威脅外，還需要建立安全管理體系，安全管理措施也是等級保護建設(shè)中必不可少的一部分，所謂“三分技術(shù)，七分管理”，所以醫(yī)院（特別是三甲醫(yī)院）需要建立完善的安全管理體系，主要從以下內(nèi)容考慮：
安全管理制度：醫(yī)院根據(jù)自身的實際情況，組織相關(guān)部門和相關(guān)人員制定和發(fā)布信息安全工作的總體方針、政策；并根據(jù)安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫行規(guī)定，制定嚴格的制定與發(fā)布流程，方式，范圍等，定期或不定期對安全管理制度進行評審和修訂。
安全管理機構(gòu)：醫(yī)院要建立專門的安全管理機構(gòu)，設(shè)置安全管理崗位，設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并根據(jù)要求配備專職安全員，同時對安全管理人員進行指導。
安全管理人員：醫(yī)院在人員錄用、離崗、考核、教育培訓及第三方人員管理上，都要考慮安全因素。
安全建設(shè)管理：在安全服務商選擇上，醫(yī)院應選擇有實力，有信譽的專業(yè)安全服務廠家。
安全運維管理：采用內(nèi)部管理人員和專業(yè)安全廠家的安全服務相結(jié)合的方式來實現(xiàn)。
網(wǎng)絡(luò)安全運營體系設(shè)計
除了安全技術(shù)體系、安全管理體系外，三甲醫(yī)院還需要建立自身的安全運營體系。
1.對醫(yī)院內(nèi)部資產(chǎn)進行梳理，包括主機/服務器、安全設(shè)備、網(wǎng)絡(luò)設(shè)備、WEB應用、中間件、數(shù)據(jù)庫及郵件系統(tǒng)等，并對資產(chǎn)進行全面監(jiān)控，實現(xiàn)安全運營。
2. 定期對系統(tǒng)進行安全評估、檢查系統(tǒng)的配置是否滿足安全防護的需求，定期檢查設(shè)備的運行狀態(tài)和系統(tǒng)漏洞情況，建立持續(xù)的風險評估機制。
3. 根據(jù)安全風險評估的結(jié)果制定響應信息安全應急響應預案，在重大安全事件、安全檢查和其他對醫(yī)院信息安全造成嚴重威脅等情況下，提供及時有效的應急響應服務。
4. 定期在醫(yī)院內(nèi)部組織網(wǎng)絡(luò)安全培訓，提高醫(yī)院相關(guān)職工的安全意識和安全能力，建立安全責任制度。
客戶價值
本項目建成后，不僅可以提高醫(yī)院IT安全管理水平，全面降低信息安全風險。同時可以幫助醫(yī)院在全區(qū)三甲醫(yī)院中樹立良好的安全形象，還可以促進醫(yī)院業(yè)務的發(fā)展，具有良好的經(jīng)濟效益和社會效益。
1. 協(xié)助醫(yī)院滿足等級保護2.0的合規(guī)性要求，符合國家法律法規(guī)的相關(guān)規(guī)定。
2. 統(tǒng)一規(guī)劃、統(tǒng)一建設(shè)、統(tǒng)一運營，可以充分利用現(xiàn)有網(wǎng)絡(luò)資源和安全資源，節(jié)省投資，減少重復建設(shè)。
3. 加強網(wǎng)絡(luò)安全建設(shè)，提高醫(yī)院的網(wǎng)絡(luò)安全防御體系，減少由病毒及黑客攻擊帶來的間接損失。
4. 完善的網(wǎng)絡(luò)安全防護體系，有效防范網(wǎng)絡(luò)安全問題引發(fā)的社會不良影響；實現(xiàn)醫(yī)院敏感數(shù)據(jù)的安全防護，降低網(wǎng)絡(luò)安全問題可能引發(fā)的法律風險。
應用場景
方案部署如下圖所示：
