试析医院信息系统的网络安全管理与维护措施

◆侯均 王野平

（1.安徽省六安市人民医院安徽 237000；2.北京赛西科技发展有限责任公司北京市 100000）

作为医院现代化建设中不可或缺的组成部分之一，医院的信息系统在现代医院的日常管理中发挥着非常重要的作用。正因如此，医院信息系统的网络安全管理也显得尤为重要。

对医院来说，信息系统可以利用网络技术和计算机技术等现代信息互联网技术确保财务、人员和资金、物资等要素的正常合理流动，并对其进行记录、管理，将医院在管理运行过程中所有的医疗行为信息化并纳入其中，以方便集中管理。这种途径模式下的管理是促进医院的和谐整体运作，从而在医院实现现代化信息管理的一种互联网时代背景下的新的经营管理模式，对提高医院的业务水平和医疗服务质量有非常重要的作用。

1 医院信息系统网络安全管理存在主要问题

随着医院信息系统的深入推广，其自身存在的网络安全隐患问题也引来了人们越来越多的关注。为更好地促进医院信息系统在医院日常管理中发挥作用，有必要对其所带来的安全问题以及理应采取的必要管理维护措施进行探讨。

（1）杀毒、系统补丁等措施更新慢

众所周知，确保信息网络安全，安装杀毒软件和系统补丁是最常用也相对可靠的重要措施。但在医院的日常管理中，由于医院业务主机数量比较多，日常维护存在诸多困难，这导致信息管理和维护人员因工作量大往往难以保障主机能够全部及时安装最新的杀毒软件和系统补丁，这就给医院信息系统的网络安全带来了很大隐患[1]。

（2）地址绑定没有现实意义

现实当中，很多医院为提升信息系统的网络安全管理质量，防范有人恶意攻击医院数据系统，经常会在接入层交换机端口绑定MAC、IP地址。但实际上这样的做法存在着一定的先天缺陷：首先，这样的绑定需要网络安全管理人员对医院拥有的所有电脑逐台进行设置。由于医院的业务主机本身数量就多，这无形中增加了安全管理人员的日常工作量、工作难度，在现实中很难行得通。其次，随着计算机互联网技术的应用和普及，一些拥有一定计算机网络基础的专业人员能够很轻松地对医院信息系统的MAC和IP地址进行修改。从这点上看，医院通过绑定MAC和IP地址来实现网络信息安全保护的效果并不会达到预期效果，缺少现实意义。

（3）入侵检测系统无法发挥正常作用

当前，许多医院为了确保信息系统的网络安全，大多采取安装IDS入侵检测系统进行防范。但现实的效果是，由于该入侵检测系统自身功能不够完善，在实际应用中遇到外部攻击时，仅仅能做出简单的预警提示，而不能采取相应的防御保护措施[2]。这种入侵检测与防御保护机制脱钩的现状往往会给医院信息管理系统的安全管理制造隐患，因此并不具有实用性。

（4）数据库安全审计定位不明

要提升医院信息系统的网络安全管理质量，加强数据加密和访问权限的规范设置是必不可少的措施。如果这一点能够落到实处，对提升医院信息系统的网络安全性大有裨益。但现实中的很多医院人员并非人人都具有专业的网络安全防范意识和专业知识，在设置加密密码时大多会采用便于自己熟记而且相对简单的方式。不仅如此，很多医院的计算机网络访问权限还存在着设置不规范等问题。如此一来，数据库的安全审计软件就无法保证能够对IP地址所在的人员进行对应匹配和查找以及绑定，从而在很大程度上降低了医院信息系统网络安全管理的质量，并且加大了现实中追究相关人员责任的难度。

2 医院信息系统网络安全管理的现实意义

（1）加强网络安全有助于保障医院信息系统的正常安全运行

由于医院的计算机终端相对较多，用户类型复杂多样，这就需要加强医院信息系统的网络安全管理，确保医院信息系统的正常安全运行。一般来说，从用户端口来保障网络安全采取的措施主要是加强对用户的访问控制和身份验证[3]。对医院来说，可以将用户类型以及用户对医院信息操作的重要性作为依据，来判断是否需要对访问用户进行身份验证。与此同时，最好也能针对不同的用户采取不同的身份验证方式。医院借助以上方式可以对访问者的行为进行管理和约束，在保障医院信息系统安全的前提下方便用户对信息系统的访问和使用。

（2）加强网络安全管理有助于医院信息资产的安全保障

加强网络安全管理有助于医院信息系统自主检测和处理相关安全问题，可以在很大程度上提升医院信息系统屏蔽网络危险行为的能力，减少网络安全事故的发生，确保网络通信操作行为的合法合规合理性，这也是对医院信息资产的一种有力保障。

3 医院信息系统网络安全管理的几点维护措施

（1）打造安全可靠的硬件设备环境

从构造上来看，医院信息系统的硬件保护对象主要包括服务器、硬件接口设备、中心机房和工作站等。作为医院信息系统的核心部位，中心机房的优劣对网络安全维护工作起着决定性的作用。中心机房环境有了保障，服务器等的安全才能有保障的前提[4]。一般情况下，中心机房的安全维护需要从设备的实际需求出发，从室内温、湿度，供电设施、避雷设施和门禁制度等几个方面采取安全措施。比如，机房温度最好常年维持在25度左右，相对湿度保持在40%～70%；尽可能地避免人员走动干扰，确保机房处于无尘半封闭状态。再如，采取两路供电系统，配置不间断电源、防电磁干扰、避雷等设施，降低机房断电、遭雷击等安全问题出现的可能。

医院信息系统要二十四小时正常运行，离不开一个强大、安全又可靠的服务器。医院信息系统网络安全管理部门应当确保服务器全天候稳定运行，可以通过多机热备份、双服务器或者多级容错等来进一步提升服务器自身的稳定性。此外，为服务器配置高质量的电源也是必不可少的措施。

医院医护人员的终端设备共同组成了医院信息系统的工作站，对工作站的网络安全管理的一大举措是将其作为信息系统中的独立模块来进行日常管理与维护。为确保工作站的网络安全和稳定性，网络安全管理部门应当明确对光盘、移动硬盘等的使用和操作指南，加强对用户行为的监测力度，以此确保医院信息系统的网络安全[5]。

除了上述几项措施，医院信息网络安全管理部门还应当注意对网络设备的日常检测与维护。比如对路由器、集线器、光纤收发器等及时做定期检测，对硬件设施定期采取防水除污等维护措施。

（2）建设完善的网络安全防护体系

在当前的计算机信息网络技术前提下，如果网络安全防护体系无法跟上信息技术的发展，很容易使信息系统暴露在恶劣的网络环境中，从而引发一系列数据安全问题。鉴于此，建设完善的网络安全防护体系就成为医院信息系统网络安全管理部门亟待解决的问题。

建设网络安全防护体系，首先要对信息系统的网络安全防护进行评估。网络安全管理部门通过详细扫描来排查安全漏洞，并针对不同问题制定对应的修补解决方案。与此同时，还需要对网络访问权限建立一套科学合理的分级管理机制，以此加强对核心数据的保护。其次，建设完善入侵检测系统以及病毒防护体系。这两大防护体系可以有效抵御各种的病毒攻击和非法入侵，为保护医院信息系统提供强有力的安全保障。最后，医院信息系统网络安全管理部门应当通过全院范围内的网络安全管理和防护制度，通过宣传普及加强医院工作人员的信息网络安全意识，敦促他们定期按时杀毒和对杀毒、防护软件升级更新，进一步减少安全问题的产生。

（3）强化账户管理，设置防火墙保障信息安全

通常情况下，只要有用户登录医院信息系统进行实时的数据浏览、修改乃至保存等行为，就不可避免地使医院的信息数据发生变更，数据丢失、损坏、发生问题等风险往往集中出现在这个过程中。从这一点上看，设置防火墙、强化账户管理就有很强的现实意义[6]。设置防火墙可以防止外部的恶意入侵，但是应当注意的是，在设置防火墙的同时还应当增加一道密码措施来进一步加强安全保障。有条件的话，最好尽可能增加破译密码的难度。

（4）安全隔离医院网络，确保信息系统安全

在医院的实际管理运行中，通过网络进行信息共享已经成为一项常规操作，但这项操作在方便了医院运营管理外，也不可避免地带来一些网络安全问题。要解决这个问题，网络安全管理部门可以采取建立子网层级，对重要部门和用户进行针对性的网络隔离措施，清理非正常访问用户等方式来规避。

4 结束语

在现代信息社会，网络安全问题事关医院信息系统的安全稳定运行。只有不断加强网络安全意识和网络安全管理措施，才能保证医院的正常管理运营，也为医院未来的长远发展提供可靠有力的安全保障。