医院信息化安全建设项目背景内容目标及建设必要性.doc

《医院信息化安全建设项目背景内容目标及建设必要性.doc》由会员分享，可在线阅读，更多相关《医院信息化安全建设项目背景内容目标及建设必要性.doc（7页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、医院信息化安全建设项目背景内容目标及建设必要性1.1 项目背景随着医院信息化建设的逐步深入，网上业务由单一到多元化，各类应用系统数十个，信息系统承受的压力日益增长，医院信息系统已经成为医院正常运行不可或缺的支撑环境和工作平台，因此按照信息系统等级保护的基本要求，通过建立合理可靠的技术平台，细致的日常管理与及时的故障处理应急预案，将信息系统等级保护措施落实到实处，确保信息系统不间断运行，只有在技术和管理互相提供支撑的前提下才能确保系统的稳定运行。从医院角度依据信息安全等级保护的要求，通过对医院核心信息系统的建设。充分发挥网络在医院信息系统中的应用。从技术安全阐述如何建立合理技术平台，加强安全防护

2、对策。强调了保障网络和信息系统安全，让安全稳定的网络支撑医院走上可持续发展之路。核心业务是医院信息化建设的基础，是医院信息系统运行的平台，对医院运行效率和管理水平都有重要作用，因此创造良好信息系统安全运营环境是医院信息安全的最终目。医疗信息安全工作是我国卫生事业发展的重要组成部分。做好信息安全等级保护工作，对于促进卫生信息化健康发展，保障医药卫生体制改革，维护公共利益、社会秩序和国家安全具有重要意义。为贯彻落实国家信息安全等级保护制度，规范和指导全国卫生行业医疗机构信息安全等级保护工作，卫生部办公厅印发了关于三级甲等医院信息安全等级保护建设的相关通知，具体如：卫生部关于印发卫生行业信息安全等级

3、保护工作的指导意见的通知卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知建设和整改要求：1.对三级甲等医院已确定安全保护等级的第三级信息系统，应当按照国家信息安全等级保护工作规范和医疗机构信息系统安全等级保护基本要求、医疗机构重要信息系统等级保护三级测评技术要求项等国家标准，开展安全保护现状分析，查找安全隐患及与国家信息安全等级保护标准之间的差距，确定安全需求。2.根据信息系统安全保护现状分析结果，按照信息安全技术信息系统安全等级保护基本要求、医疗机构信息系统安全等级保护基本要求、医疗机构重要信息系统等级保护三级测评技术要求项等国家标准，制订信息系统安全等级保护建设整改方案。三级卫生

4、信息系统安全建设整改方案应当经信息安全技术专家委员会论证，完善安全保护设施，建立安全管理制度，落实安全管理措施，形成信息安全技术防护体系和信息安全管理体系，有效保障医院信息系统安全。1.2 建设目标依据国家相关政策要求，依据*医院信息系统的实际需要，基于现代信息系统安全保障理论，采用现代信息安全保护技术，按照一定规则和体系化的信息安全防护策略进行的整体设计。建设目标覆盖以下内容l 完善基础安全防护整体架构，开展并完成信息系统等保工作，使之基本达到（符合）行业等级保护基本要求。l 加强信息安全管理工作，制订科学合理的信息安全工作方针、政策，进一步完善信息安全管理制度体系，实现管理制度的标准化、规

5、范化和流程化。l 建立科学、完备的信息安全运维管理体系，实现信息安全事件的全程全周期管理，切实保障信息系统安全、稳定运行。1.3 建设内容依据国家相关政策要求，对*医院的信息系统进行安全建设，覆盖信息安全的管理体系、技术体系和运维体系三个方面，建设内容覆盖以下各个层面l 物理层面l 网络层面l 主机层面l 应用层面l 数据层面l 管理层面1.4 建设必要性通过近几年的信息化建设，*医院已建成基本稳定的信息系统软、硬件平台，在信息安全方面也进行了基础性的部分建设，使系统有了一定的防护能力。但由于病毒攻击、恶意攻击泛滥，应用软件漏洞层出不穷，*医院的信息安全方面仍面临较大的挑战。另一方面，*医院安

6、全措施比较薄弱，安全防护意识有待加强，安全制度还有待完善。随着信息技术的飞速发展，如今基于信息系统安全防护已不能仅停留在普通网络安全设备的层面上，需要部署完善的、基于保护操作系统、数据、网络和应用的安全防护体系。从等级保护安全要求来看，安全建设的必要性主要体现在两个方面： 安全管理现状与等级保护要求的差距*医院自身信息系统建设及运维基础上，建立了一套满足并能够促进网络运维的安全管理体系，但同等级保护的安全管理要求相比较，现有管理制度不论在涉及方面的健全性，还是具体内容的完善性，都存在差距。主要包括：建立信息安全总体策略、完善各个方面的信息安全管理制度、以及落实各类制度需要的表单。 安全技术现状与等级保护要求的差距整体设计方面的问题，即某些差距项的不满足是由于该系统在整体的安全策略设计上存在问题。同事缺乏相应产品实现安全控制，未能通过对产品的正确选择、部署和恰当配置满足相应要求。另外，由于使用者技术能力、安全意识的原因，或出于对系统运行性能影响的考虑等原因，产品没有得到正确的配置，从而使其相关安全功能没有得到发挥。