三甲医院等级保护建设经验分享

在面对医疗信息泄密事件频发的同时，国家对医疗信息化安全也越来越重视。2011年，信息安全等级保护已列入《三级综合医院评审标准》中信息化规范建设的重要考核依据与指标。同年12月份，卫生部发布《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》，要求卫生行业“全面开展信息安全等级保护工作”。为贯彻落实国家信息安全等级保护制度，规范和指导全省卫生行业信息安全等级保护工作，按照卫生部《关于印发卫生行业信息安全等级保护工作的指导意见》(卫办发〔2011〕85号)和《关于全面开展卫生行业信息安全等级保护工作的通知》(卫办综函〔2011〕1126号)要求，黑龙江省卫生厅早在2013年就制定了《三甲医院开展信息安全等级保护工作实施方案》，可以看出信息系统的安全已经被提高到重要的地位。

黑龙江省自2013年进行医院等级保护测评3年多以来，从实际效果来看，目前通过测评的医院并不多。据哈医大二院信息中心主任陈伟介绍，尽管现在很多医院在信息化建设方面都非常重视，同时也意识到信息化建设对各医院管理、提高医疗服务质量与患者满意度方面都起到了关键性作用，但在安全方面重视度还不够。

陈伟结合医院自身情况与大家分享等级保护建设经验，希望可以对各个医院起到一定的帮助作用。等保实施的方向主要体现在七方面，管理安全，数据安全及备份恢复，数据库，网络安全、物理安全和应用系统，还有主机设备。

等保实施意义

1、等级保护是完善医院信息系统安全的一个持续的、长期的过程。

2、通过等级保护会发现工作中的不足，是对系统安全进行重新梳理的过程。

3、等级保护是对我们现有的工作方式进行规范的过程。

4、等级保护是提高我们信息工作人员的安全意识、处理安全事件能力的过程。

完成三级等保要素

物理方面：

1、电磁防护：电源线和通信线缆隔离铺设，避免相互干扰。

2、边界完整性检查和身份鉴别：应能够对内部网络中出现的内部用户未经允许私自联网的行为进行检查。(内网、用户名密码、电子签名、IP和mac和交换机端口绑定等)

主机方面：

1、当对服务器进行远程管理时，防止鉴别信息在传输过程中被监听。(管理制度完善、防止非法接入内网等、尽量少用远程管理、日志审计能对其操作进行详细的记录)

2、采用校验码技术保证通信过程中数据的完整性。

3、采用密码技术进行会话初始化验证，应对敏感数据进行加密。

机房方面：

1、应鉴别和记录出入人员。(指纹门禁、监控、机房管理制度)

2、机房划分区域进行管理，并有隔离装置，有防雷、自动灭火、空调、UPS、备用电源系统、防盗报警、防水检测和报警。(环境监测)

网络方面：

1、应避免将重要网络部署在网络边界处，重要网段之间采用可靠的技术隔离手段;能够对数据流提供允许和拒绝访问能力;能实现对 http、ftp、telnet、smtp等协议命令级控制(防火墙、网闸、访问控制列表)

2、应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、网络蠕虫攻击等，应在网络边界处对恶意代码进行检测和清除。(入侵检测、入侵防御、防病毒网关)

数据服务器方面：

1、能够根据数据进行分析并生成统计报表。应能对重要服务器进行监视，包括CPU、硬盘、内存、网络等资源的使用情况。(数据库审计、日志审计、环境监测)

2、应定期扫描系统等主要设备漏洞。(漏洞扫描)

备份方面：

1、应提供本地数据备份和恢复功能，完全备份至少每天一次，备份介质场外存储。

2、应提供异地备份功能，采用冗余技术设计网络拓扑结构，应提供核心网络设备、服务器等硬件冗余。

管理方面：

1、应委托第三方进行测试，并出具安全性测试报告;至少每年对系统进行一次等级测评，不合格及时整改。

2、应确保介质存放在安全的环境中，对各类介质进行控制和保护，并需专人管理。

3、应对通信线路、主机、网络和应用软件的运行状况、网络流量、用户行为等进行检测和报警，形成记录并妥善保存。(网管、数据库审计、日志审计、内网、入侵检测、漏洞扫描、环境监测、制度文档等)

4、应组织相关人员对监测和报警记录进行分析、评审，发现可疑行为，形成分析报告，并采取相应措施。(数据库审计、日志审计、漏洞扫描、制度文档、入侵防御)

5、应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计、漏洞等进行集中管理，应定期检查违法安全策略行为，应根据安全策略允许或拒绝便携式或移动设备的网络接入。(防毒、补丁服务器、入侵检测、防病毒网关、内网管理、无线安全设备、主要设备IP地址和MAC地址绑定、管理规定等)

主要设备

1、防火墙、防毒墙、入侵检测、入侵防御、数据库审计、日志审计、漏洞扫描。

2、综合楼灾备服务器、时间同步服务器、电池环境监测、瑞星和内网升级等。

医院网络外联现状分析

以前，考虑到安全方面，医院的网络往往会进行物理隔离。如今，随着互联网的发展与便捷，银行、银联、医保、预约挂号、互联网等都需要接入到医院的网络，那安全问题怎么解决?这是各医院都面临的一个现实的问题。

等保实施展望

1、需通过不断深入的探讨和分部实施，逐步解决面临的问题。

2、应以实施等级保护为契机，使医院信息网络安全上一个新的台阶。

3、通过等级保护学习新知识、新技术，(云虚拟化平台、数据引流、镜像、防火墙、防毒墙等)提升我们团队的技术能力和水平。

等保实施建议

1、核心服务器采用双机。

2、核心交换采用双机，能支持VRRP或irf虚拟化，最好能插入防火墙板卡，三层交换机，做好核心交换的访问控制列表。

3、安全设备可根据实际情况进行投入，如：一台一体化安全网关可同时实现入侵防御、防病毒、防火墙等多种功能。

4、入侵检测、数据库审计、日志审计是必须的设备。

5、不可能所有都满足等保要求，但可以通过安全设备间功能互相弥补，设备上无法实现的，可通过管理制度去完善。

6、结合医院建设情况进行逐步投入，可按实际医院情况分布实施。

7、做好沟通工作，做到知己知彼。

（以上根据哈医大二院信息中心主任陈伟发言由HC3i中数新医速记整理）