《等级医院资料》20120505-296 阜外医院信息安全等级保护建设方案.pdf

《《等级医院资料》20120505-296 阜外医院信息安全等级保护建设方案.pdf》由会员分享，可在线阅读，更多相关《《等级医院资料》20120505-296 阜外医院信息安全等级保护建设方案.pdf（3页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、阜外医院阜外医院信息安全信息安全等级保护等级保护建设建设方案方案 韩作为 郝倩 赵韡 阜外心血管病医院，100037，北京市西城区北礼士路 167 号 摘 要 近年来， 医院信息化发展迅速， 为整个医院的业务以及患者提供了极大的方便与帮助，但是医疗信息的安全问题也伴随而来，目前已暴露出许多相关的问题，国家因此推行了等级保护政策， 本文介绍了阜外医院根据国家卫生部的等级保护建设要求而对本院情况所做的分析以及等级保护建设项目的内容， 相信通过等级保护建设项目的实施， 可以达到国家卫生部等级保护的要求， 更保护了医院医疗信息的安全， 为之后的信息化建设打下良好的基础。 关键词 等级保护 医院信息化

2、等级保护三级 信息安全 1 引言 近几年医院信息化迅猛发展，正逐步建立统一高效、资源整合、互联互通、信息共享、透明公开、 使用便捷的医院信息系统， 医院信息系统是关乎国计民生和社会发展的关键基础设施。因此，医院信息系统在世界各国，普遍被列入关键信息基础设施的范畴。而我国各大医院在医院信息化发展过程中，面临着诸多问题，如：因网络访问控制和终端准入控制不力导致的对核心业务的威胁； 医院的统计信息、 孕妇新生儿信息被打包出售等较为恶性的数据安全事件；由于蠕虫、病毒的入侵导致的系统故障等信息安全事件等。同时，随着医疗改革的逐步深入， 医保卡的使用使得医疗机构与银行、 社保等机构需要更多的数据交换及实时

3、结算，在这种情况下，如何保证信息安全是医院信息化建设必须解决的关键问题之一。因此，按照等级保护要求进行符合国家及行业政策规范的信息安全体系建设， 符合医院信息化建设的根本利益。 2 项目背景 等级保护是国家推行的具有强制执行力的重要政策， 经过多年的发展， 迄今为止已经发布了众多的政策文件， 开展卫生行业等级保护工作既加强了医院信息系统的整体安全， 也落实了卫生行业主管部门关于国家信息安全等级保护的相关要求。 对于非涉密的信息系统，等级保护划分主要根据信息系统遭到破坏后对公民、法人、社会秩序、公共利益、国家安全等造成不同级别的破坏，由低到高共分为五级，对于不同级别的管理办法也不尽相同，第一级为

4、自主保护、第二级为指导保护、第三级为监督检查、第四级为强制监督检查、第五级为专门监督检查。 根据等级保护要求， 等级保护三级的信息系统受到破坏后， 会对社会秩序和公共利益造成严重损害， 或者对国家安全造成损害。 三级甲等医院的核心业务信息系统的安全保护等级原则上不低于三级。 第三级安全保护能力是指应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害， 能够发现安全漏洞和安全事件， 在系统遭到损害后，能够较快恢复绝大部分功能。 3 项目建设过程 信息安全工作是一个整体性很强的工作， 结合

5、医院自身实际情况， 以及等级保护三级的具体要求，将等保三级建设工作主要划分为定级备案、建设整改、等级测评、宣传培训、监督检查五个步骤。 首先是定级备案，根据卫生部相关要求，三级医院核心信息系统不得低于三级，因此对于大多数医院核心系统需要定为三级， 其他信息系统定为二级。 三级系统的定级需要通过技术专家委员会的评审，因此需要组织专家就网络架构、信息系统实际情况进行技术论证、评审， 方可决定哪些系统定为三级， 而二级系统则在自我评定后将定级材料上报辖区公安机关备案即可。 第二步为建设整改，根据系统定级情况的不同，首先需要将信息系统进行区域划分，对系统进行风险评估、差距分析，最后根据相关标准制定信息

6、安全等级保护建设整改方案，并组织专家进行评审，通过评审后按照制定的方案逐步进行整改。以我院（阜外医院）为例，为此专门组建了信息安全工作小组， 小组首先对现有系统进行了区域划分， 并对等级保护技术要求进行学习， 结合我院自身特点选择了等级保护三级中的 S1A3G3 定级组合进行整改 （S为信息安全类要求、A 为服务保证类要求、G 为通用安全保护类要求） 。根据风险评估和差距分析报告共罗列技术类子项目 7 个，管理类子项目 4 个，制定详细计划逐一完成。其中技术差异共细分为 6 个子项目，主要包括： 3.1 网络结构调整 等级保护的主体思想为分区域保护，为了将医院核心业务系统与普通办公网络进行有效

7、区别保护， 首先需要对网络结构进行调整， 将最核心的系统放置在网络架构最里端，进行包括准入控制及边界管理，实施完成后可实现对网络分区域的管理，不同区域进行不同级别的安全控制，极大提高网络架构的安全性。 3.2 访问控制 对于重点区域的网络访问控制采用目前的 IP 层控制已经不能达到三级的要求，需要将访问控制精细化，对传输层甚至应用层进行有效控制， 以对服务器的各业务最小授权控制，是时候可以极大提高服务器抵抗攻击的能力。 3.3 电子签名 建设医院统一身份认证平台，所有信息系统登录采用一套便于管理、安全性高的身份认证系统进行认证， 并配合 CA 系统为医生发放 UKey， 可实现医师身份的安全验

8、证，并实现处方与医师的准确匹配和记录，极大提高电子病历的数据输入的不可抵赖性。 3.4 舆情监测 该项目主要是指对互联网上传播的有关医院相关热点、焦点话题所持的有较强影响力、倾向性的言论和观点进行的一种监测和预估，该项目的推进，能够有效监控舆论情况，缓解舆论危机，提升院所口碑。 3.5 设备防护 使用堡垒主机对所有交换机、服务器的远程操作进行控制，为有权限操作的人员分配对应设备的权限， 并且设计管监分离的管理制度， 设备操作人员的所有操作均会被堡垒主机记录，安全审计人员定期对操作记录进行审计。 实施完成后可对重要信息系统设备管理人员进行设备操作审计， 从管理上梳理重要设备的操作规范，从技术上进

9、行有效审计，提高系统安全级别。 3.6 备份系统 建立一套完整的异地备份体系，备份系统包括：所有信息系统数据库及重要文件。主要包括 Oracle 数据库：HIS、电子病历、LIS、移动护理； SQL Server 数据库：麻醉体外信息系统、财务系统、输血系统、赛门铁克杀毒系统、Landesk 桌面管理系统、信息中心 ITIL 系统；文件系统主要包括：病历扫描文件、系统代码备份、信息中心域文件。备份系统使用服务器-存储-磁带的架构， 每日使用存储进行自动在线备份， 每月进行磁带库的离线备份。实施完成后可极大提高数据备份效率，提升数据安全级别。 第三步为等级测评， 在完成建设整改后， 医院应该已经

10、达到了相应等级技术及管理要求，根据要求三级及以上的信息系统需要选择具有资质的测评机构开展定级测评工作， 只有测评合格方可认定所备案的信息系统达到三级。 第四步为宣传培训， 信息安全工作是一个长期工作， 对于安全管理人员需要有严格的考核指标和岗位准入机制， 因此需要定期组织培训并进行相应考核。 而信息安全同样是一个管理工作，对于日常使用信息系统的人员同样需要定期开展培训，加强安全意识，培养良好的信息安全习惯。 最后一步为监督检查， 三级系统的管理办法为监督检查， 因此被列为三级的信息系统每年定期会有上级部门对医院三级信息系统进行检查， 医院自身则需要定期开展自查工作， 及时进行整改，配合上级部门

11、将每年的监督检查工作做好，切实做好信息安全的长效机制，为医院信息化奠定良好的安全基础。 4 讨论 建设符合国家等级保护三级要求的安全管理制度及相关技术体系， 不仅为未来医院信息化建设的整体规划和建设提供了一个“入口统一、标准统一、平台统一”的高效、稳定、安全、可扩展、可移植的信息化平台，还提供了高标准、高效率的安全防护体系，加强了安全管理规定的执行效力，从整体上提高了医院对信息安全风险的控制、预警与评价能力，为之后医疗信息化的进一步建设打下坚实基础,为提供优质的医疗服务和科研工作提供数据安全保障。 参考文献 1 肖国煜. 信息系统等级保护建设思路.中国传媒科技-2011. 2 吕春梅. 等级保护在信息安全中的应用研究. 计算机光盘 软件与应用-2011. 3 钱卫星. 浅析等级保护方案设计中的几个问题. 计算机光盘软件与应用-2011. 4 范启勇. 医疗机构信息系统安全等级保护框架设计与要求.