醫(yī)療系統(tǒng)信息網絡安全等級保護設計方案
發(fā)布時間：2022-05-11 17:25行業(yè)背景
近年來，隨著網絡的快速發(fā)展，各大醫(yī)院也加強了自身網絡與信息系統(tǒng)建設，逐步實現與醫(yī)保、新農合、衛(wèi)健委及銀行等單位的互聯互通，實現了醫(yī)院內部辦公網絡化及自動化。同時在互聯網方面，也面向患者開放了網上預約掛號、微信支付、醫(yī)囑服務及檢查檢驗報告瀏覽服務等，方便患者就醫(yī)就診，提升醫(yī)院的整體競爭力。然而，醫(yī)院信息化快速發(fā)展的同時，也暴露出了很多信息安全問題，面臨的安全形勢非常嚴峻。
因此，2011年，衛(wèi)生部結合衛(wèi)生行業(yè)實際，研究制定了《衛(wèi)生行業(yè)信息安全等級保護工作的指導意見》（衛(wèi)辦發(fā)〔2011〕85號）；2017年6月1日《中華人民共和國網絡安全法》正式實施，其中第二十一條明確規(guī)定：國家實行網絡安全等級保護制度；2019年5月，網絡安全等級保護2.0標準正式發(fā)布，等級保護制度也從條例法規(guī)提高到了國家法律層面。所以，為了全面提高醫(yī)院信息安全保障能力和水平，落實等級保護制度，滿足國家法律要求，全國各大醫(yī)院要全面開展信息網絡安全等級保護工作，建立整體的安全防護體系，為醫(yī)院內部信息系統(tǒng)保駕護航。
客戶需求
1. 需要根據網絡安全等級保護的基本要求，從網絡通信、邊界安全、主機安全、Web應用安全、接入安全及系統(tǒng)管理安全等多方面考慮安全防護措施，實現對網絡中蠕蟲、木馬、病毒、未知威脅、勒索軟件及挖礦病毒等進行檢測和攔截，保證醫(yī)院內部信息系統(tǒng)的安全。
2. 需要根據網絡安全等級保護的基本要求，結合醫(yī)院網絡的實際情況，建立起醫(yī)院完整的安全技術體系、安全管理體系及安全運營體系，使得醫(yī)院網絡安全建設滿足等級保護合規(guī)性要求，符合國家法律規(guī)定。
3. 需要根據醫(yī)院自身業(yè)務系統(tǒng)的實際情況，構建預測、防御、監(jiān)控、回溯的自適應安全防護體系，使得醫(yī)院網絡安全實現層層遞進、縱深防御，實現從被動到主動的安全防御。
解決方案
方案內容
安全防護體系架構設計
安全防護體系架構圖
三甲醫(yī)院的信息系統(tǒng)安全保障體系是以“一個中心、三重防護、三個體系”為核心指導思想，構建集防護、檢測、響應、恢復于一體的全面的安全保障體系。其中；“一個中心”是指安全運營管理中心，即構建先進高效的安全運營管理中心，實現針對系統(tǒng)、產品、設備、策略、信息安全事件、操作流程等的統(tǒng)一管理。
“三重防護”是指構建安全區(qū)域邊界、安全計算環(huán)境、安全通信網絡三維一體的技術防御體系。
“三個體系”是指形成安全技術體系、安全管理體系、安全運營體系三個體系，三個體系相互融合、相互補充，形成一個整體的安全防御體系。其中，安全管理體系是策略方針和指導思想，安全技術體系是縱深防御體系的具體實現，安全運營體系是支撐和保障。
網絡安全技術體系設計
安全物理環(huán)境：
物理和環(huán)境安全包括機房選址、機房建設、設備設施的防盜防破壞、防火、防水、防盜、電力供應、電磁防護等，在醫(yī)院機房的建設過程中嚴格按照國家相關標準進行機房建設、綜合布線、安防建設，并經過相關部門的檢測和驗收。
安全通信網絡：
1. 在醫(yī)院內網骨干鏈路采用冗余技術部署，避免關鍵節(jié)點產生單點故障，保障網絡穩(wěn)定性和系統(tǒng)的高可用性，保證系統(tǒng)的可用性；
2. 在醫(yī)院互聯網邊界部署VPN設備，實現遠程訪問，如果運維人員需從互聯網對系統(tǒng)進行遠程維護，也可以通過VPN為運維人員提供運維服務。
安全區(qū)域邊界：
1. 根據業(yè)務特點進行安全域劃分，并在各個區(qū)域邊界部署防火墻設備，實現安全訪問控制，實現邊界隔離；同時在醫(yī)院內外網邊界區(qū)域部署隔離網閘系統(tǒng)，實現內外網的安全隔離；
2. 在各區(qū)域邊界部署入侵防護設備，并配置相應的防護策略對業(yè)務系統(tǒng)進行安全防護，實現對蠕蟲、木馬、病毒等入侵攻擊行為進行檢測和攔截；
3. 在醫(yī)院內部網絡部署APT檢測設備，把網絡中的所有流量采集上來進行檢測分析，實現內網的惡意攻擊檢測和未知威脅檢測；
4. 在互聯網區(qū)域邊界中部署安全防病毒設備進行惡意代碼防護，避免木馬病毒從互聯網進來威脅服務器；
5. 在互聯網邊界處部署上網行為審計設備，并開啟設備上的審計策略，實現對非法外聯及上網行為管控，同時可以對上網行為及操作行為進行審計；
6. 在醫(yī)院內網部署安全準入系統(tǒng)，實現內部辦公終端的安全準入，只有合規(guī)的終端才能訪問重要服務器；實現對非授權設備私自聯到內部網絡的行為進行檢查或限制。
安全計算環(huán)境：
1.在醫(yī)院內網部署運維審計系統(tǒng)，加強對網絡設備、服務器操作系統(tǒng)和數據庫系統(tǒng)的統(tǒng)一管理，同時為不同角色配置不同管理賬號，并分配不同管理權限，實現權限控制；也實現運維操作的全程審計；
2. 在醫(yī)院內網辦公終端和服務器上安裝企業(yè)版或網絡版殺毒軟件，定期進行病毒查殺，并且及時更新操作系統(tǒng)安全補丁；
3. 在服務器操作系統(tǒng)和數據庫系統(tǒng)上配置安全審計策略，同時部署日志審計系統(tǒng)對審計數據進行收集和保護，保證日志保存時間不少于6個月；
4. 在醫(yī)院內網部署漏洞掃描系統(tǒng)，定期對內部網絡設備、安全設備、辦公終端及服務器等進行定期掃描，及時發(fā)現內部資產存在的漏洞風險，并進行及時加固處理；
5. 在醫(yī)院互聯網服務器區(qū)邊界部署專業(yè)的Web應用防護系統(tǒng)，實現對互聯網Web應用系統(tǒng)進行全面的安全防護，避免SQL注入、跨站XSS、惡意掃描、非法上傳/下載等攻擊。
安全管理中心：
1. 在數據庫系統(tǒng)上配置安全審計策略，同時部署專業(yè)的數據庫審計系統(tǒng)，對數據庫的所以訪問、操作行為進行安全審計；
2. 在醫(yī)院內網部署日志審計系統(tǒng)對網絡設備的日志信息進行收集和保護，保證日志保存時間不少于6個月；3. 在醫(yī)院內網部署安全管理系統(tǒng)，實現對內部網絡設備、安全設備及服務器等進行集中安全管控及運行狀況進行集中監(jiān)測。
網絡安全管理體系設計
除了建立安全技術防護體系，采用網絡安全技術手段防護安全威脅外，還需要建立安全管理體系，安全管理措施也是等級保護建設中必不可少的一部分，所謂“三分技術，七分管理”，所以醫(yī)院（特別是三甲醫(yī)院）需要建立完善的安全管理體系，主要從以下內容考慮：
安全管理制度：醫(yī)院根據自身的實際情況，組織相關部門和相關人員制定和發(fā)布信息安全工作的總體方針、政策；并根據安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫行規(guī)定，制定嚴格的制定與發(fā)布流程，方式，范圍等，定期或不定期對安全管理制度進行評審和修訂。
安全管理機構：醫(yī)院要建立專門的安全管理機構，設置安全管理崗位，設立系統(tǒng)管理員、網絡管理員、安全管理員等崗位，并根據要求配備專職安全員，同時對安全管理人員進行指導。
安全管理人員：醫(yī)院在人員錄用、離崗、考核、教育培訓及第三方人員管理上，都要考慮安全因素。
安全建設管理：在安全服務商選擇上，醫(yī)院應選擇有實力，有信譽的專業(yè)安全服務廠家。
安全運維管理：采用內部管理人員和專業(yè)安全廠家的安全服務相結合的方式來實現。
網絡安全運營體系設計
除了安全技術體系、安全管理體系外，三甲醫(yī)院還需要建立自身的安全運營體系。
1.對醫(yī)院內部資產進行梳理，包括主機/服務器、安全設備、網絡設備、WEB應用、中間件、數據庫及郵件系統(tǒng)等，并對資產進行全面監(jiān)控，實現安全運營。
2. 定期對系統(tǒng)進行安全評估、檢查系統(tǒng)的配置是否滿足安全防護的需求，定期檢查設備的運行狀態(tài)和系統(tǒng)漏洞情況，建立持續(xù)的風險評估機制。
3. 根據安全風險評估的結果制定響應信息安全應急響應預案，在重大安全事件、安全檢查和其他對醫(yī)院信息安全造成嚴重威脅等情況下，提供及時有效的應急響應服務。
4. 定期在醫(yī)院內部組織網絡安全培訓，提高醫(yī)院相關職工的安全意識和安全能力，建立安全責任制度。
客戶價值
本項目建成后，不僅可以提高醫(yī)院IT安全管理水平，全面降低信息安全風險。同時可以幫助醫(yī)院在全區(qū)三甲醫(yī)院中樹立良好的安全形象，還可以促進醫(yī)院業(yè)務的發(fā)展，具有良好的經濟效益和社會效益。
1. 協(xié)助醫(yī)院滿足等級保護2.0的合規(guī)性要求，符合國家法律法規(guī)的相關規(guī)定。
2. 統(tǒng)一規(guī)劃、統(tǒng)一建設、統(tǒng)一運營，可以充分利用現有網絡資源和安全資源，節(jié)省投資，減少重復建設。
3. 加強網絡安全建設，提高醫(yī)院的網絡安全防御體系，減少由病毒及黑客攻擊帶來的間接損失。
4. 完善的網絡安全防護體系，有效防范網絡安全問題引發(fā)的社會不良影響；實現醫(yī)院敏感數據的安全防護，降低網絡安全問題可能引發(fā)的法律風險。
應用場景
方案部署如下圖所示：
