医疗系统信息网络安全等级保护设计方案

行业背景

近年来，随着网络的快速发展，各大医院也加强了自身网络与信息系统建设，逐步实现与医保、新农合、卫健委及银行等单位的互联互通，实现了医院内部办公网络化及自动化。同时在互联网方面，也面向患者开放了网上预约挂号、微信支付、医嘱服务及检查检验报告浏览服务等，方便患者就医就诊，提升医院的整体竞争力。然而，医院信息化快速发展的同时，也暴露出了很多信息安全问题，面临的安全形势非常严峻。
因此，2011年，卫生部结合卫生行业实际，研究制定了《卫生行业信息安全等级保护工作的指导意见》（卫办发〔2011〕85号）；2017年6月1日《中华人民共和国网络安全法》正式实施，其中第二十一条明确规定：国家实行网络安全等级保护制度；2019年5月，网络安全等级保护2.0标准正式发布，等级保护制度也从条例法规提高到了国家法律层面。所以，为了全面提高医院信息安全保障能力和水平，落实等级保护制度，满足国家法律要求，全国各大医院要全面开展信息网络安全等级保护工作，建立整体的安全防护体系，为医院内部信息系统保驾护航。

客户需求

1.需要根据网络安全等级保护的基本要求，从网络通信、边界安全、主机安全、Web应用安全、接入安全及系统管理安全等多方面考虑安全防护措施，实现对网络中蠕虫、木马、病毒、未知威胁、勒索软件及挖矿病毒等进行检测和拦截，保证医院内部信息系统的安全。
2.需要根据网络安全等级保护的基本要求，结合医院网络的实际情况，建立起医院完整的安全技术体系、安全管理体系及安全运营体系，使得医院网络安全建设满足等级保护合规性要求，符合国家法律规定。
3.需要根据医院自身业务系统的实际情况，构建预测、防御、监控、回溯的自适应安全防护体系，使得医院网络安全实现层层递进、纵深防御，实现从被动到主动的安全防御。

解决方案

方案内容

安全防护体系架构设计

<span 微软雅黑",sans-serif'="" style=";padding: 0px;border: 0px;font-style: inherit;font-variant: inherit;font-weight: inherit;font-stretch: inherit;font-size: inherit;line-height: inherit;vertical-align: baseline;font-family: -apple-system, 'Helvetica Neue', Helvetica, Arial, 'PingFang SC', 'Hiragino Sans GB', STHeiti, 'Microsoft YaHei', 'Microsoft JhengHei', SimSun, sans-serif !important">安全防护体系架构图

三甲医院的信息系统安全保障体系是以“一个中心、三重防护、三个体系”为核心指导思想，构建集防护、检测、响应、恢复于一体的全面的安全保障体系。其中；“一个中心”是指安全运营管理中心，即构建先进高效的安全运营管理中心，实现针对系统、产品、设备、策略、信息安全事件、操作流程等的统一管理。
“三重防护”是指构建安全区域边界、安全计算环境、安全通信网络三维一体的技术防御体系。
“三个体系”是指形成安全技术体系、安全管理体系、安全运营体系三个体系，三个体系相互融合、相互补充，形成一个整体的安全防御体系。其中，安全管理体系是策略方针和指导思想，安全技术体系是纵深防御体系的具体实现，安全运营体系是支撑和保障。

网络安全技术体系设计

安全物理环境：

物理和环境安全包括机房选址、机房建设、设备设施的防盗防破坏、防火、防水、防盗、电力供应、电磁防护等，在医院机房的建设过程中严格按照国家相关标准进行机房建设、综合布线、安防建设，并经过相关部门的检测和验收。

安全通信网络：

1.在医院内网骨干链路采用冗余技术部署，避免关键节点产生单点故障，保障网络稳定性和系统的高可用性，保证系统的可用性；
2.在医院互联网边界部署VPN设备，实现远程访问，如果运维人员需从互联网对系统进行远程维护，也可以通过VPN为运维人员提供运维服务。

安全区域边界：

1.根据业务特点进行安全域划分，并在各个区域边界部署防火墙设备，实现安全访问控制，实现边界隔离；同时在医院内外网边界区域部署隔离网闸系统，实现内外网的安全隔离；
2.在各区域边界部署入侵防护设备，并配置相应的防护策略对业务系统进行安全防护，实现对蠕虫、木马、病毒等入侵攻击行为进行检测和拦截；
3.在医院内部网络部署APT检测设备，把网络中的所有流量采集上来进行检测分析，实现内网的恶意攻击检测和未知威胁检测；
4.在互联网区域边界中部署安全防病毒设备进行恶意代码防护，避免木马病毒从互联网进来威胁服务器；
5.在互联网边界处部署上网行为审计设备，并开启设备上的审计策略，实现对非法外联及上网行为管控，同时可以对上网行为及操作行为进行审计；
6.在医院内网部署安全准入系统，实现内部办公终端的安全准入，只有合规的终端才能访问重要服务器；实现对非授权设备私自联到内部网络的行为进行检查或限制。

安全计算环境：

1.在医院内网部署运维审计系统，加强对网络设备、服务器操作系统和数据库系统的统一管理，同时为不同角色配置不同管理账号，并分配不同管理权限，实现权限控制；也实现运维操作的全程审计；
2.在医院内网办公终端和服务器上安装企业版或网络版杀毒软件，定期进行病毒查杀，并且及时更新操作系统安全补丁；
3.在服务器操作系统和数据库系统上配置安全审计策略，同时部署日志审计系统对审计数据进行收集和保护，保证日志保存时间不少于6个月；
4.在医院内网部署漏洞扫描系统，定期对内部网络设备、安全设备、办公终端及服务器等进行定期扫描，及时发现内部资产存在的漏洞风险，并进行及时加固处理；
5.在医院互联网服务器区边界部署专业的Web应用防护系统，实现对互联网Web应用系统进行全面的安全防护，避免SQL注入、跨站XSS、恶意扫描、非法上传/下载等攻击。

安全管理中心：

1.在数据库系统上配置安全审计策略，同时部署专业的数据库审计系统，对数据库的所以访问、操作行为进行安全审计；
2.在医院内网部署日志审计系统对网络设备的日志信息进行收集和保护，保证日志保存时间不少于6个月；
3.在医院内网部署安全管理系统，实现对内部网络设备、安全设备及服务器等进行集中安全管控及运行状况进行集中监测。

网络安全管理体系设计

除了建立安全技术防护体系，采用网络安全技术手段防护安全威胁外，还需要建立安全管理体系，安全管理措施也是等级保护建设中必不可少的一部分，所谓“三分技术，七分管理”，所以医院（特别是三甲医院）需要建立完善的安全管理体系，主要从以下内容考虑：
安全管理制度：医院根据自身的实际情况，组织相关部门和相关人员制定和发布信息安全工作的总体方针、政策；并根据安全管理制度的基本要求制定各类管理规定、管理办法和暂行规定，制定严格的制定与发布流程，方式，范围等，定期或不定期对安全管理制度进行评审和修订。
安全管理机构：医院要建立专门的安全管理机构，设置安全管理岗位，设立系统管理员、网络管理员、安全管理员等岗位，并根据要求配备专职安全员，同时对安全管理人员进行指导。
安全管理人员：医院在人员录用、离岗、考核、教育培训及第三方人员管理上，都要考虑安全因素。
安全建设管理：在安全服务商选择上，医院应选择有实力，有信誉的专业安全服务厂家。
安全运维管理：采用内部管理人员和专业安全厂家的安全服务相结合的方式来实现。

网络安全运营体系设计

除了安全技术体系、安全管理体系外，三甲医院还需要建立自身的安全运营体系。
1.对医院内部资产进行梳理，包括主机/服务器、安全设备、网络设备、WEB应用、中间件、数据库及邮件系统等，并对资产进行全面监控，实现安全运营。
2.定期对系统进行安全评估、检查系统的配置是否满足安全防护的需求，定期检查设备的运行状态和系统漏洞情况，建立持续的风险评估机制。
3.根据安全风险评估的结果制定响应信息安全应急响应预案，在重大安全事件、安全检查和其他对医院信息安全造成严重威胁等情况下，提供及时有效的应急响应服务。
4.定期在医院内部组织网络安全培训，提高医院相关职工的安全意识和安全能力，建立安全责任制度。

客户价值

本项目建成后，不仅可以提高医院IT安全管理水平，全面降低信息安全风险。同时可以帮助医院在全区三甲医院中树立良好的安全形象，还可以促进医院业务的发展，具有良好的经济效益和社会效益。
1.协助医院满足等级保护2.0的合规性要求，符合国家法律法规的相关规定。
2.统一规划、统一建设、统一运营，可以充分利用现有网络资源和安全资源，节省投资，减少重复建设。
3.加强网络安全建设，提高医院的网络安全防御体系，减少由病毒及黑客攻击带来的间接损失。
4.完善的网络安全防护体系，有效防范网络安全问题引发的社会不良影响；实现医院敏感数据的安全防护，降低网络安全问题可能引发的法律风险。

应用场景

方案部署如下图所示：

<span 微软雅黑",sans-serif'="" style=";padding: 0px;border: 0px;font-style: inherit;font-variant: inherit;font-weight: inherit;font-stretch: inherit;font-size: inherit;line-height: inherit;vertical-align: baseline;font-family: -apple-system, 'Helvetica Neue', Helvetica, Arial, 'PingFang SC', 'Hiragino Sans GB', STHeiti, 'Microsoft YaHei', 'Microsoft JhengHei', SimSun, sans-serif !important">方案部署图