三甲醫(yī)院等級保護建設經(jīng)驗分享

在面對醫(yī)療信息泄密事件頻發(fā)的同時,國家對醫(yī)療信息化安全也越來越重視。2011年,信息安全等級保護已列入《三級綜合醫(yī)院評審標準》中信息化規(guī)范建設的重要考核依據(jù)與指標。同年12月份,衛(wèi)生部發(fā)布《衛(wèi)生部辦公廳關于全面開展衛(wèi)生行業(yè)信息安全等級保護工作的通知》,要求衛(wèi)生行業(yè)“全面開展信息安全等級保護工作”。為貫徹落實國家信息安全等級保護制度,規(guī)范和指導全省衛(wèi)生行業(yè)信息安全等級保護工作,按照衛(wèi)生部《關于印發(fā)衛(wèi)生行業(yè)信息安全等級保護工作的指導意見》(衛(wèi)辦發(fā)〔2011〕85號)和《關于全面開展衛(wèi)生行業(yè)信息安全等級保護工作的通知》(衛(wèi)辦綜函〔2011〕1126號)要求,黑龍江省衛(wèi)生廳早在2013年就制定了《三甲醫(yī)院開展信息安全等級保護工作實施方案》,可以看出信息系統(tǒng)的安全已經(jīng)被提高到重要的地位。


黑龍江省自2013年進行醫(yī)院等級保護測評3年多以來,從實際效果來看,目前通過測評的醫(yī)院并不多。據(jù)哈醫(yī)大二院信息中心主任陳偉介紹,盡管現(xiàn)在很多醫(yī)院在信息化建設方面都非常重視,同時也意識到信息化建設對各醫(yī)院管理、提高醫(yī)療服務質量與患者滿意度方面都起到了關鍵性作用,但在安全方面重視度還不夠。

陳偉結合醫(yī)院自身情況與大家分享等級保護建設經(jīng)驗,希望可以對各個醫(yī)院起到一定的幫助作用。等保實施的方向主要體現(xiàn)在七方面,管理安全,數(shù)據(jù)安全及備份恢復,數(shù)據(jù)庫,網(wǎng)絡安全、物理安全和應用系統(tǒng),還有主機設備。


等保實施意義


1、等級保護是完善醫(yī)院信息系統(tǒng)安全的一個持續(xù)的、長期的過程。


2、通過等級保護會發(fā)現(xiàn)工作中的不足,是對系統(tǒng)安全進行重新梳理的過程。


3、等級保護是對我們現(xiàn)有的工作方式進行規(guī)范的過程。


4、等級保護是提高我們信息工作人員的安全意識、處理安全事件能力的過程。


完成三級等保要素


物理方面:


1、電磁防護:電源線和通信線纜隔離鋪設,避免相互干擾。


2、邊界完整性檢查和身份鑒別:應能夠對內(nèi)部網(wǎng)絡中出現(xiàn)的內(nèi)部用戶未經(jīng)允許私自聯(lián)網(wǎng)的行為進行檢查。(內(nèi)網(wǎng)、用戶名密碼、電子簽名、IP和mac和交換機端口綁定等)


主機方面:


1、當對服務器進行遠程管理時,防止鑒別信息在傳輸過程中被監(jiān)聽。(管理制度完善、防止非法接入內(nèi)網(wǎng)等、盡量少用遠程管理、日志審計能對其操作進行詳細的記錄)


2、采用校驗碼技術保證通信過程中數(shù)據(jù)的完整性。


3、采用密碼技術進行會話初始化驗證,應對敏感數(shù)據(jù)進行加密。


機房方面:


1、應鑒別和記錄出入人員。(指紋門禁、監(jiān)控、機房管理制度)


2、機房劃分區(qū)域進行管理,并有隔離裝置,有防雷、自動滅火、空調(diào)、UPS、備用電源系統(tǒng)、防盜報警、防水檢測和報警。(環(huán)境監(jiān)測)


網(wǎng)絡方面:


1、應避免將重要網(wǎng)絡部署在網(wǎng)絡邊界處,重要網(wǎng)段之間采用可靠的技術隔離手段;能夠對數(shù)據(jù)流提供允許和拒絕訪問能力;能實現(xiàn)對 http、ftp、telnet、smtp等協(xié)議命令級控制(防火墻、網(wǎng)閘、訪問控制列表)


2、應在網(wǎng)絡邊界處監(jiān)視以下攻擊行為:端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、網(wǎng)絡蠕蟲攻擊等,應在網(wǎng)絡邊界處對惡意代碼進行檢測和清除。(入侵檢測、入侵防御、防病毒網(wǎng)關)


數(shù)據(jù)服務器方面:


1、能夠根據(jù)數(shù)據(jù)進行分析并生成統(tǒng)計報表。應能對重要服務器進行監(jiān)視,包括CPU、硬盤、內(nèi)存、網(wǎng)絡等資源的使用情況。(數(shù)據(jù)庫審計、日志審計、環(huán)境監(jiān)測)


2、應定期掃描系統(tǒng)等主要設備漏洞。(漏洞掃描)


備份方面:


1、應提供本地數(shù)據(jù)備份和恢復功能,完全備份至少每天一次,備份介質場外存儲。


2、應提供異地備份功能,采用冗余技術設計網(wǎng)絡拓撲結構,應提供核心網(wǎng)絡設備、服務器等硬件冗余。


管理方面:


1、應委托第三方進行測試,并出具安全性測試報告;至少每年對系統(tǒng)進行一次等級測評,不合格及時整改。


2、應確保介質存放在安全的環(huán)境中,對各類介質進行控制和保護,并需專人管理。


3、應對通信線路、主機、網(wǎng)絡和應用軟件的運行狀況、網(wǎng)絡流量、用戶行為等進行檢測和報警,形成記錄并妥善保存。(網(wǎng)管、數(shù)據(jù)庫審計、日志審計、內(nèi)網(wǎng)、入侵檢測、漏洞掃描、環(huán)境監(jiān)測、制度文檔等)


4、應組織相關人員對監(jiān)測和報警記錄進行分析、評審,發(fā)現(xiàn)可疑行為,形成分析報告,并采取相應措施。(數(shù)據(jù)庫審計、日志審計、漏洞掃描、制度文檔、入侵防御)


5、應建立安全管理中心,對設備狀態(tài)、惡意代碼、補丁升級、安全審計、漏洞等進行集中管理,應定期檢查違法安全策略行為,應根據(jù)安全策略允許或拒絕便攜式或移動設備的網(wǎng)絡接入。(防毒、補丁服務器、入侵檢測、防病毒網(wǎng)關、內(nèi)網(wǎng)管理、無線安全設備、主要設備IP地址和MAC地址綁定、管理規(guī)定等)


主要設備


1、防火墻、防毒墻、入侵檢測、入侵防御、數(shù)據(jù)庫審計、日志審計、漏洞掃描。


2、綜合樓災備服務器、時間同步服務器、電池環(huán)境監(jiān)測、瑞星和內(nèi)網(wǎng)升級等。


醫(yī)院網(wǎng)絡外聯(lián)現(xiàn)狀分析


以前,考慮到安全方面,醫(yī)院的網(wǎng)絡往往會進行物理隔離。如今,隨著互聯(lián)網(wǎng)的發(fā)展與便捷,銀行、銀聯(lián)、醫(yī)保、預約掛號、互聯(lián)網(wǎng)等都需要接入到醫(yī)院的網(wǎng)絡,那安全問題怎么解決?這是各醫(yī)院都面臨的一個現(xiàn)實的問題。

等保實施展望


1、需通過不斷深入的探討和分部實施,逐步解決面臨的問題。


2、應以實施等級保護為契機,使醫(yī)院信息網(wǎng)絡安全上一個新的臺階。


3、通過等級保護學習新知識、新技術,(云虛擬化平臺、數(shù)據(jù)引流、鏡像、防火墻、防毒墻等)提升我們團隊的技術能力和水平。


等保實施建議


1、核心服務器采用雙機。


2、核心交換采用雙機,能支持VRRP或irf虛擬化,最好能插入防火墻板卡,三層交換機,做好核心交換的訪問控制列表。


3、安全設備可根據(jù)實際情況進行投入,如:一臺一體化安全網(wǎng)關可同時實現(xiàn)入侵防御、防病毒、防火墻等多種功能。


4、入侵檢測、數(shù)據(jù)庫審計、日志審計是必須的設備。


5、不可能所有都滿足等保要求,但可以通過安全設備間功能互相彌補,設備上無法實現(xiàn)的,可通過管理制度去完善。


6、結合醫(yī)院建設情況進行逐步投入,可按實際醫(yī)院情況分布實施。


7、做好溝通工作,做到知己知彼。


(以上根據(jù)哈醫(yī)大二院信息中心主任陳偉發(fā)言由HC3i中數(shù)新醫(yī)速記整理)