医院信息系统安全等保实践——信息系统安全策略

张云 王胤涛

昆明医科大学第一附属医院信息中心 云南 650032

0 引言

我院是一所综合性三级甲等医院，医院信息系统历经10多年的努力已完成了门诊、住院 HIS、LIS、PACS、麻醉手术管理、输血管理等系统建设，建成了拥有 3500多个信息点、1800多个终端工作站的有线和无线局域网络系统。医院网络已覆盖门诊、住院、检查、检验、治疗、实验室及管理部门(科室)。软件及相关系统也多次升级改造，已建成一套基于医院信息系统应用的服务于医、教、研、管理、办公的全流程、多系统、网络化的体系。系统的安全性将直接影响到医疗活动能否正常运作。因此，建立一个完整的安全体系，显得越来越重要。许多医院曾经因此蒙受过巨大的损失，为了有效避免网络灾难的发生，我们有针对性的从理论与实践的角度进行了初步的探索和研究，逐步形成了一套实用、有效的安全管理体系，取得了较好的效果。

根据《信息安全技术 信息系统安全等级保护基本要求》，结合医院实际，制定了我院信息系统安全策略：实体可信，行为可控，资源可管，事件可查，运行可靠的原则。

1 依据及技术

《计算机信息系统安全保护等级划分准则》GB17859-1999、《中华人民共和国计算机信息系统安全保护条例》、《信息安全技术 信息系统安全等级保护基本要求》GB/T 22239—2008。防恶意代码技术：主要通过防毒、终端防护等手段实现；数据防护技术：主要通过终端防护、数据防泄露、数据加密等手段实现；PC生命周期管理：通过资产生命周期管理产品，配合采购、使用、维护、报废等资产管理各环节的操作流程，进行标准化、流程化管理；通过身份认证、备份恢复等技术手段加强终端安全的管理；网络访问控制：主要是通过终端的网络准入机制进行策略遵从和强制策略执行，并实施网络接入的控制；通过防火墙、隔离网闸实现网络不通安全区域分隔；管理和报告问题：通常需要建立一个安全管理平台将上述技术手段、产品相关的事件、日志等进行集中收集和分析，形成综合性的管理性报告，满足管理需要。

2 总体框架

任何一个安全工作的落实，都依赖于组织(人)、技术、流程作为支撑。结合医院的实际情况，我们提出了从网络、系统、数据，终端的行为，以及整体管理几个方面的全方位安全总体规划框架(图1)，并提出了相应的规划内容。

图1 总体规划框架

3 安全策略内容

3.1 机房及物理线路安全

机房的设计和管理要符合国家规范。建立较为完善的机房监控设施，包括：门禁、供电、漏水、温湿度等，设置警戒值并能通过声、光及短信报警。机房应采用两路供电系统，设置专用配电箱，与其它负荷应分别供电。主机房配备的不间断电源(UPS)，保证8h的后备供电量。还须做好防火、防雷、防静电和接地工作，确保机房安全。在各栋的楼层设置专用配线间，专人负责管理，主干光缆冗余布放。

3.2 网络安全与准入控制

遵循安全分区、横向隔离、纵向认证的原则。内网与外网应用(医保、新农合等)，使用防火墙、IDS(入侵检测)、隔离网闸设备，实现网络访问控制、流量及连接数控制、内容过滤、入侵检测、VPN(虚拟专用网)接入。院区局域网为 3层架构，交换机均为cisco产品。按科室(部门)及工作站用途(如医生、护士、财务)规划ip地址和vlan，在核心交换机上配置多生成树协议(Multiple Spanning Tree Protocol,MSTP)+GLBP(Gateway Load Balancing Protocol，网关负载均衡协议)进行vlan融合和逻辑隔离，在接入层交换机上进行cisco的端口安全配置，当 MAC地址改变时，端口将自动变迁为shutdown状态，阻止非授权设备接入内部网络，实现不同安全区域的独立化、差异化防护。

通过用户名+口令和标准的RADIUS服务器配合，完成对用户的身份认证的强制检查。进行基于角色的访问控制技术，实现用户的分级管理及系统管理员、安全管理员与审计管理员的三权分立。通过终端准入控制、Windows2003的活动目录或RADIUS 服务器来控制第三方合作人员准入。

3.3 系统及应用安全

虚拟机服务器的管理已经成为服务器管理中很重要的一部分，通过虚拟机管理解决方案，通过统一的平台架构对于VMWARE ESX进行统一有效的管理，将虚拟机服务器管理纳入服务器管理规范中。

内部网络部署Symantec™ Endpoint Protection 12.1基于特征的防病毒和反间谍软件防护。它提供代理端，通过管理控制台即可进行管理，从而简化端点安全管理，如策略更新、统一的集中报告及授权许可和维护计划。使用威胁防御能力，能够保护端点免遭目标性攻击以及之前没有发现的未知攻击。使用主动防御，从而建立一个覆盖全网的、可伸缩、抗打击的防病毒体系。建立统一部署、统一管理的个人防火墙，个人防火墙依据应用程序、主机ip地址及vlan、通讯特征，制定过滤规则，阻止/容许端口和协议进出。利用个人防火墙技术，一方面可以防止病毒利用漏洞渗透进入终端，另一方面，可以有效地阻断病毒传播路径。在核心交换机上将各 vlan转发的数据包镜像到入侵检测系统(IDS)上，入侵检测和防火墙设备联动，产生自动阻断识别的攻击行为和误操作，这样即实现了各网段黑客攻击行为的检测，也及时对重要区域的攻击行为进行阻断。定期对相关日志进行收集、审计、分析，以发现系统的脆弱性和漏洞。定期进行安全检查、风险分析和安全隐患整改。

配置主域、备份域服务器，应用Windows2003的活动目录，根据科室(部门)及工作站用途及用户角色，建立域树、域，规划组织单元，建立组策略规则，利用组策略管理组织单元中的用户，实现应用程序的统一部署，保证各类工作站具有统一的用户界面、统一的应用软件版本，同时软件限制策略可以防止计算机环境中被安装运行未知的或不被信任的软件(阻止通过exe文件进行软件安装；阻止终端透过msi文件进行软件安装)；并能实现补丁的统一发布。

3.4 数据备份与容灾

对数据库采用日备份、差量备份策略，将生产数据库数据备份到带库中，即便当天数据出现了错误的情况下仍然可以将数据库恢复到前2小时的状态，保障将数据损失控制在最小情况；建立在线存储、近线存储和离线存储的三级存储机制，每天将 30天前的生产数据转储到近线存储和离线存储阵列中，这样既保证了历史数据的安全，也确保了新增数据存储的高效响应。在院区相距1500米的另1楼体内，建设双活应用级容灾被用机房，以保证医院24h系统不间断运行。

3.5 资产管理与运维

建立运维管理系统，对终端以及服务器进行全面管理，从购买到部署、使用到管理，维护到报废。控制台可对资产变更自动监控，及时反映资产变化状况，能实现全面的收集，快速统计分析，快速生成满足各个部门所需要的资产报表，为资产评估以及更新提供依据。资产信息自动收集(如计算机硬件信息、安装的软件包、操作系统配置等)，可协助实现终端以及服务器管理的合规性、可管理性。同时，也作为故障申报平台，记录申报的设备故障、维修维护结果记录，从而建立运维知识库，提高信息设备资产的维护、管理效率。

3.6 安全管理组织机构

建立以信息主管副院长为负责人、信息中心为安全技术实施、管理负责、科室设置安全管理员的三级安全组织机构，坚持“谁主管谁负责，谁运行谁负责”的原则。

3.7 安全管理制度

我院制定了一套较为健全完善的安全管理制度建立并有效执行，安全管理制度包括：《信息中心岗位职责》、《信息中心保密制度》、《信息中心值班制度》、《中心机房管理制度》、《信息中心设备管理制度》、《信息系统设备维修流程》、《信息中心网站管理办法》、《信息系统查询统计功能和规定》、《信息系统安全巡检制度》、《信息系统人员权限设置制度》、《医院信息变更与发布管理制度》、《计算机信息资源共享管理制度》、《个人桌面终端管理办法》、《医院计算机网络安全管理制度》、《信息中心应急预案》等，从组织和制度上强化安全管理。

4 结束语

我们清楚的认识到，无论所使用安全技术有多先进，都只是实现信息安全的手段而已，三分技术，七分管理，信息安全源于有效的管理，为此，我们建立了信息安全管理机构，坚持“谁主管谁负责，谁运行谁负责”的原则；坚持决策层参与信息安全管理工作，建立健全了安全管理制度，它是计算机网络安全的重要保证，需要不断加大计算机信息网络的规范化管理力度。我们也清楚的认识到信息安全建设、管理工作要坚持从实际出发，区分不同情况，分级、分类、分阶段进行信息安全建设和管理。加强各工作站操作人员的教育和培训，在医务人员中普及安全知识，对安全管理人员进行专门培训和考核。只有从安全技术、安全服务、和安全管理三个方面高度重视，不断提高，才能保障医院信息系统健康稳定的运行。

[1]杨俊志.医院信息系统安全体系建设实践[J].医学信息.2011.

[2]GB50174-2008.电子信息系统机房设计规范.[S].

[3]GB9361,计算站场地安全要求[S].

[4]GB2887.计算站场地技术条件[S].

[5]曾凡.医院信息系统安全策略中值得关注的问题[J].重庆医学.2009.

[6]李娜,卢沙林.军队医院网络信息系统的安全分析[J].计算机与现代化.2011.

[7]胡建理,李小华,周斌.医院信息系统安全保障策略探析[J].中国数字医学.2010.

[8]王越,杨平利,李卫军.涉密计算机信息安全管理体系的设计与实现[J].计算机工程与设计.2010.

[9]王保中,庄军,刘侃等.应用活动目录加强医院网络管理[J].医疗卫生装备.2008.

[10]张展.组策略在 Windows域管理中的应用[J].电脑知识与技术.2011.