医院信息等级保护解决方案(共3页).docx

《医院信息等级保护解决方案(共3页).docx》由会员分享，可在线阅读，更多相关《医院信息等级保护解决方案(共3页).docx（3页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、精选优质文档-倾情为你奉上医院信息等级保护解决方案一、 安全等保的测评对象医院的信息系统有几十种，除了明确定级为三级的核心业务信息系统，其它业务系统如何处理？拿上海为例，HIS、LIS和RIS定级为三级信息系统，那么这3个系统之外的如EMR、临床路径系统等如何考虑？实际上等保的第一项工作即是给本单位信息系统分类定级，根据系统重要性的不同，进行不同级别的定级。如果某个系统与核心业务系统同样重要，可另外定为三级；其它系统可以定为二级。定为二级的系统按照二级安全等保标准进行建设和测评。对于二级或三级的业务信息系统，其安全运行所需要的机房、链路、网络、服务器、存储、操作系统、应用软件等都是测评对象。二

2、、 三级安全等保解决方案1. 网络访问控制管理一般规模的医院网络都采用二层结构，即全院网关终结在核心交换机；同时医院的数据流量绝大部分都是纵向流量（即终端访问服务器的流量），横向流量（终端之间的访问流量）基本没有。在这样的流量模型下，尽管内网与公网隔离，但还有如下内容要进行安全保护。l 服务器区域：要防范的是“家贼”，即内部数据泄露或病毒DDoS攻击。l 与无线网络的连接链路：无线网络的开放性使其通常被认为是不安全的。l 与外联单位的连接链路：外联单位属于网络边界。安全插卡的优势体现在两点： 传统医院服务器大都直接连在核心交换机上，在进行服务器的防范时，如果采用外接安全设备，不得不把安全设备串

3、接在服务器和核心交换机之间或者进行流量重定向，即需要对原来的网络结构进行改造； （如图2所示）所有的硬件安全产品（FW、IPS和流量探针）都采用插卡形式，通过其虚拟化功能，即1块插在交换机中的安全插卡可以虚拟化成多个同功能的安全产品，可以进行上述不同线路上的安全防范。安全插卡解决方案可以满足三级等保网络安全技术条款中的11条（网络访问控制、入侵防范和恶意代码防范）。2. 审计报表规范医院业务关系到民生，而且是7*24小时提供服务，因此医院的网络建设首先要考虑可靠性，因此选择的网络产品通常会高于业务流量的实际需求，引发的问题是大部分医院并不知道自己实际的流量模型，即各个服务器、各种业务的访问高峰

4、、整个网络流量分布图等。3. 网络边界完整性检查目前医院的网络分布，在很多地方是既有内网口又有外网口。医务人员对工作地点的网络结构熟悉后，会出现自行把医用终端从内网移到外网，违规访问外网后再接回内网的情况。目前针对此问题，医院想到的方法通常是MAC地址和端口绑定，但引发的问题是维护工作量巨大，使得很多医院对此解决方案望而却步。同时，随着各种医务自助机应用的普及，内网接入点也延伸到公共区域，给医院内网新增了不安全性。三级等保安全标准7.1.2.4节中对边界完整性检查有2条明确要求： 应能够对非授权设备私自联到网络的行为进行检查，并准确定出位置，对其进行有效阻断； 应能够对内部网络用户私自联到外部

5、网络的行为进行检查，准确定出位置，并对其进行有效阻断。可以看出，单纯的MAC地址与端口绑定已不能满足三级等保标准的要求；同时存在仿冒MAC地址的漏洞，即非法终端可以把自己MAC地址改成合法MAC后接入网络。为解决这些问题，采用端点终入控制系统来进行医用终端的安全接入。EAD中的iNode客户端可以防MAC篡改，即iNode发现终端的物理MAC和管理MAC不一致时禁止认证。同时，防内网外联功能，使得医用终端只能接入内网。退一步讲，如果医院认为无法接受医用终端上安装客户端软件，在能接受存在仿冒MAC地址漏洞的前提下，可以使用以MAC地址为认证信息的哑终端认证方式。它与传统的MAC地址端口绑定方案的

6、优势是所有管理维护工作都在集中的服务器侧，而不是分散的网络交换机侧，从而大大降低维护工作量。4. 网络设备防护目前医院的网络设备管理通常有两种方式：集成管理平台和设备分散远程登录管理。对于后者，目前主流管理方法还是通过Telnet远程管理。由于设备数量多维护工程量大，出于维护的便利性，设备的登录用户口令通常是所有设备相同且永远不变，甚至网管人员更换后也不会更换设备的用户口令。对于设备的远程登录管理，等保标准也有一些要求，如采用加密的SSH替代明文的Telnet、双因子认证等。三、 无线安全解决方案从医院无线网络的建议模式来看，通常分为运营商代建和医院自建两种。无论哪种建设模式，无线技术本身安全

7、性的问题都无法回避。不像有线网络，只要不提供接入点，就无法侵入；无线是开放的，任何外来人员都可以和内部人员一样接收到无线信号，所以必须进行接入认证安全保护。但如果像家庭一样只提供密码接入保护，那么无线网络的安全形同虚设，因为整网单一的密码很容易外泄。除了文章开篇提到内网及外网业务，运营商代建的无线网络还提供公共无线网接入(如电信的ChinaNet、移动的CMCC等)。公网和私网的混用还会引入更多的安全问题。另外，无线终端比传统的医用终端更容易做接入网络切换，而考虑到病毒和木马的防范，医院不希望用于内网的无线终端在访问外网后再接入内网。医院的无线网络安全方案的构建需要考虑以下几个问题： 考虑到医

8、院的业务模式，传统的用户名口令无法作为唯一的认证因素，原因是医生护士的用户名口令几乎是半公开的。那么如何识别医院的合法移动终端？ 随着平板电脑和智能手机的普及，传统的移动推车+PDA的应用受到冲击。如何支持新型的移动终端？ 如何防止合法终端接入运营商提供的无线网络？ 对于运营商承建的无线网络，如何防止登录公共无线网络的用户的黑客入侵？这三种方案的共性都是在无线网络中提供认证网关。如果无线网是医院自建的，则AC可以兼做认证网关。结束语医院的三级安全等保技术要求，既有与其它行业要求的共性，又有其自己的特点。这些要求中除了网络层面的，还包括机房、主机、应用和数据安全。三级安全等保对医院既是一次命题考试，又是一次切实提升医院安全能力的好机会。作为安全等保技术要求的主要部分网络安全，因其分散、覆盖面广和难以管理，也是整个等保安全的难点。从网络与安全融合、终端与边界融合、集中与分级融合等多个维度，覆盖了包括结构安全、访问控制、安全审计、边界完整性、入侵防范、恶意代码入侵和设备防护在内的绝大多数技术要求，提供了完整的医院三级等保方案。专心-专注-专业