XX医院医疗信息系统安全三级等保建设可行性方案.docx

XX医院医疗信息系统安全三级等保建设可行性方案.docx

《XX医院医疗信息系统安全三级等保建设可行性方案.docx》由会员分享，可在线阅读，更多相关《XX医院医疗信息系统安全三级等保建设可行性方案.docx（41页珍藏版）》请在冰豆网上搜索。

XX医院医疗信息系统安全三级等保建设可行性方案

XX医院医疗信息系统安全三级等保建设可行性方案

目录

1、某市三院医疗信息系统现状分析4

1.1拓扑图4

1.2网站/BS应用现状4

1.3漏洞扫描5

1.4边界入侵保护5

1.5安全配置加固5

1.6密码账号统一管理6

1.7数据库审计、行为审计6

1.8上网行为管理6

2、某市三院医疗信息系统潜在风险6

2.1黑客入侵造成的破坏和数据泄露6

2.2医疗信息系统漏洞问题7

2.3数据库安全审计问题8

2.4平台系统安全配置问题8

2.5平台虚拟化、云化带来的新威胁9

3、某市三院医疗信息系统安全需求分析10

3.1医疗信息系统建设安全要求10

3.2医疗等级保护要求分析11

3.3系统安全分层需求分析16

3.4虚拟化、云计算带来的安全问题分析22

4、医疗信息系统安全保障体系设计25

4.1安全策略设计25

4.2安全设计原则26

4.3等级保护模型27

4.4系统建设依据28

4.5遵循的标准和规范29

5、安全管理体系方案设计29

5.1组织体系建设建议29

5.2管理体系建设建议30

6、安全服务体系方案设计32

6.1预警通告32

6.2技术风险评估32

6.3新上线系统评估33

6.4渗透测试33

6.5安全加固33

6.6虚拟化安全加固服务34

6.7应急响应35

7、安全技术体系方案设计35

7.1物理层安全35

7.2网络层安全36

7.3主机层安全40

7.4应用层安全43

7.5数据层安全46

7.6虚拟化、云计算安全解决方案48

8、平台安全建设方案小结49

8.1安全产品汇总50

8.2产品及服务选型53

1、某市三院医疗信息系统现状分析

1.1系统现状

某市第三人民医院（以下简称某三院）作为三级甲等医院，已经建成全院网络覆盖，医院内网已覆盖行政楼、老病房1/2F、门诊一期、门诊二期以及门诊一期中心机房，医院外网与新农合、市社保机构互联。

医院内网采用“核心-接入”二层交换架构，行政楼、病房、门诊通过接入交换机连接至中心机房核心交换机。

HIS、LIS系统作为三院核心业务系统直接部署在中心机房，系统服务器直接挂载在中心机房核心交换机上。

近期三院将在中心机房区域部署一套电子病历系统已完善三院医疗信息系统。

在出口方向，医院有两条出口与外网互联，一条通过防火墙完成与新农合、市医保机构的互联，另一条通过ISA服务器接入互联网。

2、某市三院医疗信息系统潜在风险

2.1黑客入侵造成的破坏和数据泄露

随着医疗信息化的普及，个人信息逐渐以电子健康档案、电子病历和电子处方为载体，其中包括了个人在疾病控制、体检、诊断、治疗、医学研究过程中涉及到的肌体特征、健康状况、遗传基因、病史病历等个人信息。

其中个人医疗健康信息的秘密处于隐私权的核心部位，而保障病人的隐私安全是医院和医护人员的职责。

某市三院医疗信息系统某市三院中心机房汇集了大量的病人隐私信息，而这些数据在传输过程中极易被窃取或监听。

同时基于电子健康档案和电子病历大量集中存储的情况，一旦系统被黑客控制，可能导致病人隐私外泄，数据恶意删除和恶意修改等严重后果。

病人隐私信息外泄将会给公民的生活、工作以及精神方面带来很大的负面影响和损失，同时给平台所辖区域造成不良社会影响，严重损害机构的公共形象，甚至可能引发法律纠纷。

而数据的恶意删除和篡改会导致电子健康档案和电子病历的丢失以及病人信息的错误，给医护人员的工作造成影响，甚至可能引发医疗事故。

另一方面，随着便携式数据处理和存储设备的广泛应用，由于设备丢失而导致的数据泄漏威胁也越来越严重。

因此电子健康档案和电子病历数据作为卫生平台某市三院中心机房的重要资产，必须采取有效措施以防止物理上的丢失和黑客监听、入侵行为造成的破坏，保证数据的保密性，安全性和可用性。

2.2医疗信息系统漏洞问题

自计算机技术的出现以来，由于技术发展局限、编码错误等种种原因，漏洞无处不在并且已成为直接或间接威胁系统和应用程序的脆弱点。

操作系统和应用程序漏洞能够直接威胁数据的完整性和机密性，流行蠕虫的传播通常也依赖与严重的安全漏洞，黑客的主动攻击也往往离不开对漏洞的利用。

事实证明，99%以上攻击都是利用已公布并有修补措施但用户未修补的漏洞。

某市三院医疗信息系统某市三院中心机房建设涉及到大量的网络设备，服务器，存储设备，主机等，其中不可避免地存在着可被攻击者利用的安全弱点和漏洞，主要表现在操作系统、网络服务、TCP/IP协议、应用程序（如数据库、浏览器等）、网络设备等几个方面。

正是这些弱点给蓄意或无意的攻击者以可乘之机，一旦系统的漏洞利用成功，势必影响到系统的稳定、可靠运行，更严重的导致系统瘫痪和数据丢失，从而影响平台的公众形象。

因此能够及时的发现和修补漏洞对于平台某市三院中心机房网络安全有着重要意义。

另一方面，基于某市三院中心机房设备、系统、应用量大的情况，通过人工进行漏洞发现和修补非常耗费人力和时间，因此有必要借助漏洞扫描设备和补丁服务器机制来实现自动化的漏洞扫描和补丁下发。

2.3数据库安全审计问题

医疗行业信息化建设在带来各种便捷的同时也引入了新的隐患。

随着病人信息和药品信息的数据化，加之内部安全管理制度不够完善，医疗机构内部运维人员可以借助自身职权，利用数据库操作窃取药品统方信息，修改药品库存数据，修改医保报销项目等，来牟取个人私利。

其中药品统方行为是医疗行业高度重视的问题，其背后涉及的药品和医用耗材灰色交易严重扰乱医疗行业秩序，败坏医德医风，影响医院的公众形象，是医疗机构必须坚决制止和查处的行为。

其次修改药品库存信息和修改医保报销项目等行为也会给医疗机构和社会造成损失。

某市三院医疗信息系统某市三院中心机房汇集的两大应用系统（HIS、LIS）和即将建设的电子病历数据库涉及医疗行业的各方面信息，内部人员的违规操作可能造成严重的社会影响和给医疗机构造成重大损失。

因此有必要通过有效手段对数据库的各种操作进行审计，准确记录各种操作的源、目的、时间、结果等，及时发现各种业务上的违规操作并进行告警和记录，同时提供详细的审计记录以便事后进行追查。

2.4平台系统安全配置问题

随着公共卫生，医疗服务，医疗监管，综合管理，新农合五大业务的应用系统不断发展，医疗信息系统应用不断增加，网络规模日益扩大，其管理、业务支撑系统的网络结构也变得越来越复杂，各项系统的使用和配置也变得十分复杂，维护和检查成为一项繁重的工作。

在医疗行业里，随着各类通信和IT设备采用通用操作系统、通用数据库，及各类设备间越来越多的使用IP协议进行通信，其配置安全问题更为凸出。

在黑客攻击行为中，利用系统缺省、未修改的安全配置攻入系统已屡见不鲜，因此，加强对网元配置的安全防护成为重点。

其中，重要应用和服务器的数量及种类日益增多，一旦发生维护人员误操作，或者采用一成不变的初始系统设置而忽略了对于安全控制的要求，就可能会极大的影响系统的正常运转。

另外，为了维持整个业务系统生命周期信息安全，必须从入网测试、工程验收和运行维护等阶段，设备全生命周期各个阶段加强和落实信息安全要求，也需要有一种方式进行风险的控制和管理。

3、某市三院医疗信息系统安全需求分析

3.1医疗信息系统建设安全要求

基于医疗信息系统信息平台的可靠安全的运行不仅关系到某市三院中心机房本身的运行，还关系其他业务部门相关系统的运行，因此它的网络，主机，存储备份设备，系统软件，应用软件等部分应该具有极高的可靠性；同时为保守企业和用户秘密，维护企业和用户的合法权益，某市三院中心机房应具备良好的安全策略，安全手段，安全环境及安全管理措施。

众所周知，信息系统完整的安全体系包括以下四个层次，最底层的是物理级安全，其包括计算机安全，硬件安全等,其次是网络级安全，主要包括链路冗余，防火墙等等，再次是系统级安全包括数据灾备，病毒防范等，最后是应用级安全包括统一身份认证，统一权限管理等，而贯穿整个体系的是安全管理制度和安全标准，以实现非法用户进不来，无权用户看不到，重要内容改不了，数据操作赖不掉。

整个平台的安全体系如下图：

平台安全体系结构图

3.2医疗等级保护要求分析

医疗机构作为涉及国计民生的重要组成部分，其安全保障事关社会稳定，有必要按照国家信息安全等级保护要求，全面实施信息安全等级保护。

卫生信息平台的核心数据区、应用服务区及系统运维参照公安部、国家保密局、国家密码管理局、国务院信息化办公室联合印发的《信息安全等级保护管理办法》（公通字[2007]43号）的要求，数据交换服务区参照二级信息安全等级保护要求建设、核心部分参照三级信息安全等级保护要求建设。

信息系统名称

安全保护等级

业务信息安全等级

系统服务安全等级

某市第三人民医院医疗信息系统

3

3

3

3.2.2等级保护技术要求

类别

要求

三级等保要求

解决方案

网络安全

结构安全

网络设备处理能管理和网络带宽冗余；网络拓扑图绘制；子网划分和地址分配；终端和服务器之间建立安全访问路径；边界和重要网段之间隔离；网络拥堵时对重要主机优先保护；

根据高峰业务流量选择高端设备，核心交换接入设备采用双机冗余；合理划分子网、VLAN、安全域，网络设备带宽优先级规划。

访问控制

部署访问控制设备，启用访问控制功能；根据会话状态提供允许/拒绝访问能力，控制粒度为端口级；按访问控制规则进行资源访问控制，粒度到单个用户；限制拨号访问用户数量；网络信息内容过滤，应用层协议命令级控制；会话终止；网络流量数和连接数控制；重要网段防地址欺骗

网络边界部署防火墙，制定相应ACL策略

安全审计

网络设备状况、网络流量、用户行为日志记录；数据分析和报表生成；审计记录保护

部署网络安全审计系统

边界完整性检查

安全准入控制和非法外联监控并进行有效阻断

部署终端安全管理系统

入侵防范

攻击行为检测；攻击日志记录和告警

部署入侵检测系统

恶意代码防范

网络边界病毒查杀；病毒库升级

部署入侵保护系统

网络设备防护

身份鉴别；管理员登陆地址限制；用户标识唯一；登陆失败处理；鉴别信息加密；身份鉴别采用2种或以上鉴别技术；特权权限分离

部署等级保护安全配置核查系统

主机安全

身份鉴别

操作系统和数据库用户身份鉴别；登录失败处理；鉴别信息传输加密；用户唯一性；身份鉴别采用2种或以上鉴别技术

部署等级保护安全配置核查系统

访问控制

启用访问控制功能；操作系统和数据库特权用户权限分离；默认账户配置修改；多余过期用户删除；角色权限分配，权限分离和最小权限原则；重要信息敏感标记；强制访问控制

部署堡垒机

安全审计

记录服务器和重要客户端的系统用户和数据库用户的重要安全相关行为、事件；审计记录保护；审计报表生成；审计进程保护

部署堡垒机

剩余信息保护

鉴别信息再分配前清除，系统文件、目录、数据库记录再分配前清除

操作系统及数据库加固

入侵防范

操作系统最小安装原则，定期升级；检测对重要服务器的入侵行为；重要程序完整性检测和破坏后的恢复。

部署网络入侵检测系统、终端管理软件，漏洞扫描

恶意代码防范

安装防恶意代码软件，定期升级；恶意代码软件统一管理；主机和网络防恶意代码软件品牌异构

部署终端杀毒软件

资源控制

终端登录控制；终端超时锁定；单个用户资源限制

安全加固

应用安全

身份鉴别

启用身份鉴别机制；登录失败处理；身份鉴别采用2种或以上鉴别技术

部署CA认证系统

访问控制

启用访问控制机制，控制用户对文件、数据库表等的访问；启用访问控制策略；账户最小权限原则和权限制约；重要信息敏感标记；重要信息强制访问控制

部署CA认证系统

安全审计

启用安全审计机制，审计每个用户、系统