基于等级保护2.0标准体系医院信息化安全建设探寻

摘要：本文以等级保护2.0标准体系为基础，从技术层面探讨医院信息化安全建设。结合医院信息化的特点，结合实施等级保护2.0试点的新要求，从内网保护、主机接入控制、数据备份等方面，系统地阐述了医院内网保护建设的新特点。

关键词：等级保护2.0;内外网防护;数据备份;准入控制

引言

为了贯彻国家信息安全等级保护制度，规范和指导全国卫生行业信息安全等级保护工作，卫生部办公厅于2011年12月下发了卫生部《关于卫生行业信息安全等级保护工作的指导意见》，从物理安全、主机安全、应用安全、数据安全与备份恢复四个层面上融合，本文主要论述了目前系统现状，并按照《信息安全技术信息系统安全等级保护基本要求》2.0版本和系统现状进行了对比，分析了系统安全等级二级的要求，提出了解决方案。

1等级保护2.0概述

1.1什么是等级保护2.0网络

安全等级保护制度是国家网络安全领域的一项基本制度，它对提高国民经济和社会信息化进程中信息安全保障的能力和水平，维护国家网络空间安全具有重要意义。网络安全等级保护制度2.0国家标准于2019年5月10日发布，标志着我国网络安全等级保护制度进入一个崭新的阶段。

1.2等级保护的定义

对国家安全、社会秩序、公共利益以及相关公民、法人和其他组织的合法权益的危害程度等因素，将网络安全等级保护分为国家安全、社会秩序、公共利益以及相关公民、法人和其他组织的合法权益的危害程度，按照其重要性和危害程度，将其分为5个安全保护等级。

1.3等级保护2.0的变化

等保2.0强调“一个中心、三重防护”的理念，标准安全要求由基本要求变更为安全通用要求和安全扩展要求。标准体系名称更名为《信息安全技术网络安全等级保护基本要求》，与网络安全法有关条文保持一致。《网络安全法》明确规定网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，法律地位明显提升。等保2.0标准不再自主定级，系统定级必须经过专家评审和主管部门审核。定级对象由原来的信息系统改为等级保护对象（云计算、物联网、工业控制系统、移动互联等场景）。

1.4等级保护2.0的实施流程

定级——备案——建设整改——等级测评——监督检查。

2.等级保护2.0建设思想

在以“一个中心，三重防护”为思想的合规建设基础上，同时贯彻“智能化、实战化、持续化”的新安全理念，以攻促防，全面提升安全态势感知能力、漏洞管理能力。建立常态化安全运营体系，不断完善运营体系和网络安全防御体系建设，实现网络安全综合防御能力的提升，建立可信、可控、可管的自适应闭环安全防护体系。

3等级保护2.0医院信息化建设方案

3.1安全指标说明

以信息系统实施等级保护二级为例，根据技术5大类（物理安全、网络安全、主机安全、应用安全和数据安全）和管理5大类（安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理），共计有66个子类，175个检项。

3.2方案框架

因为医院作为一种比较特殊的行业服务机构，在我国因特网飞速发展、科技日新月异的时代背景下，医院不仅要为相关人员提供特殊的信息服务，而且要面对自己的服务体系暴露和网络安全的挑战。一旦医疗机构的重要信息系统数据被泄露，将给整个社会带来不良影响。为此，按照等级保护2.0的建设理念，明确本单位信息系统安全等级保护的相关制度，制定有效的等级保护相关对策，提高相应的等级保护能力成为当务之急。

根据本单位现有网络架构情况及重要业务信息系统情况，形成以技术保障为基础、以监测预警为核心、以协同响应为目标的网络安全纵深防御体系，将安全物理环境、“一个中心”管理下的安全通信网络、安全区域边界、安全计算环境、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等各个层面的安全需求，全部转化为可以实现的技术防护、安全管理措施、安全运营手段，构建可信、可控、可管的安全防护体系。积极进行本单位信息化建设，其投入水平将直接决定本单位未来几年的信息化发展水平。相对于本单位现有网络安全投入，信息化建设还有相当大的进步空间，从决策层到执行层必须统一思想，加大投入力度，促进本单位信息化业务发展，从根本上减少重要业务信息系统发生问题的可能性。

3.3方案设计

3.3.1拓扑说明

此次网络方案设计严格安全信息安全等级化保护二建设级标准设计，并满足二级等级保护建设要求。网络共分为两套，外网一套内网一套，两张网络中间采用数据隔离网闸进行数据“摆渡”，既做到了两网的安全隔离，又确保了内网与外网数据交互的问题。内网出口部署专用防火墙、入侵防御保障主干链路安全。外网部署上网行为保证上网安全。运维管理区部署日至审计、入侵检测IDS、数据库审计、终端杀毒、堡垒机、备份一体机、准入系统，保障内部医疗数据安全，并记录分析、追溯。

（1）内网防火墙。采用防火墙技术，对网络边界进行边界保护，可以对所有流经防火墙的数据包按照严格的安全规则进行过滤，将所有不安全的或不符合安全规则的数据包屏蔽，防范各类攻击行为，杜绝越权访问，防止非法攻击。通过合理布局，形成多级的纵深防御体系。（2）外网上网行为管理。基于互联网的应用从最初的文件共享、文件传输（FTP）、静态网页浏览（HT-ML）等内容单一、静态的、简单应用，逐步发展为包括E-Mail、ERP、OA、CRM、新闻信息、文件共享、视频会议、VoP、即时通讯、网络游戏、电子商务、电子政务等等在内的动态的、复杂应用。网络承载的内容日益丰富，变得更加复杂、多样化。当今，互联网进入了应用级网络时代，逐步成为一个虚拟的真实社会。P2P传输、网络电视、网络游戏、在线聊天、Web视频、股票软件、網上银行、数据库、物流供应链、各种论坛以及大量未知的内容和信息纷纷涌进网络。（3）内网入侵防御系统。串联部署IPS入侵防御系统，通过IPS入侵特征库对流经服务器的所有请求流量进行过滤查杀。在此基础上增加安全审计产品可以更好的对入侵和安全事件进行关联和管理，并采取短信、邮件等形式的提供告警，实现及时、准确的入侵告警提醒。（4）数据库审计系统。数据库审计系统通过细粒度的数据库行为审计和SOL注入、XSS攻击防护，帮助用户有效监控数据库相关访问行为，防止敏感信息外泄。实时记录、分析数据库访问行为，及时发现安全事件并实时记录、告警、定位，方便管理员在安全事件发生后第一时间采取管控措施，加快对安全事件的响应速度，做到有效及时的防范安全风险。（5）入侵检测系统。入侵检测技术（IDS）其设计宗旨是预先对入侵活动和攻击性网络流量进行发现，通过监视网络或系统资源，避免其造成损失寻找违反安全策略的行为或攻击迹象，并发出报警，可与防火墙互补联动，实现对攻击的检测与防御，构筑有效的安全防护链。

3.3.2主机安全准入控制系统

入网规范管理系统是基于第三代准入控制技术基础的，面向下一代准入控制（NG NAC）的，纯硬件高性能网络准入控制设备。网规范管理系统主要从终端、网络、人员、管理4个维度，对网络使用、安全、管理中的各种元素进行全面的管控。第一，对网络中的终端进行终端授权管理;第二，基于网络层面对接入网络的各种设备进行设备定位透视、网络拓扑结构透视;第三，提供各种灵活的人员认证机制;第四，通过报表输出外部接口提供方便的管理手段。数据安全体系建立：备份存储一体机具有最广泛的备份功能，支持多种数据类型的备份，如数据库备份、文件备份、应用备份、操作系统备份等，涵盖从Windows、Linux到Unix操作系统平台，备份的数据可以通过多种方式进行存储，它利用成熟结构来完成对数据的存储备份。

4.结论

等级保护2.0标准的发布，为信息安全建设提出了更高的要求，防御理念由被动转变为主动，防御手段融合了更多的新兴技术，如态势感知，可信计算，此外从安全管理上也提出了更多的要求。本方案以等级保护2.0标准为基础，构建了完备的安全管理体系和技术体系，从“机构’、“制度”和“人员”三方面全面提升，完全满足网络安全法和等级保护2.0体系标准要求。

参考文献：

[1]肖勇.中医药项目预算监控平台信息安全等级保护实践[J].医学信息杂志，2014.09.

[2]刘署生.浅谈信息安全风险评估与风险分析方法的应用[J].网络空间安全，2017，z2.

作者简介：余雪梅（1982.01）女，壮族，广西南宁市人，本科，网络工程师，主要从事医院信息安全管理工作。