医院等级保护知识和方案Word格式.doc

1、等保知识/业界动态深圳卫生部门与警方合作保护医院信息系统上海市已经全面启动数字化医院话安全（出现过的安全问题）信息安全与医院业务连续性安全问题关系到病人的利益，如何保障医院信息安全，确保业务连续性，是各大医院面临的共同挑战。现在，很多行业正在开展信息安全等级保护的评级和检查工作，医疗卫生行业也是如此。在IT技术日益深入到医院运营管理各方面的今天，信息化建设已经成为医院发展的重要内容，其中，信息安全问题也日益突出。如今，无论是医务工作者还是病患，每天都需要借助信息系统的辅助支持完成日常工作和就诊。在门诊方面，挂号、收费、发药、护士分诊、大夫看病都是借助门诊信息系统；病房方面，每天大夫查房，开医嘱

2、、护士给患者发药等都借助住院信息系统；患者在医院做化验、照片子等都要借助医院信息系统完成。医院信息系统已经成为医院不可缺少的工具。在这种情况下，医院信息系统一旦出现问题，整个医院将无法运行，所以说，医院信息系统的安全问题直接关系到病人的利益，医院信息系统出现故障，将造成病人无法就诊、无法及时得到有效的治疗。确保医院业务连续性通常，医院信息系统的组成，包括网络、服务器、存储设备、操作系统、数据库、应用软件等。在这个系统中，只要有一个子系统或部件出现故障，都将造成整个系统瘫痪。同时，医院的信息系统和其它行业相比，有其自身的特点所在。医院信息系统分类多。在医院内部，信息系统有医疗业务信息系统、办公信

3、息系统、科研信息系统、教学信息系统、图书管理信息系统等。在上述信息系统中，对安全性要求最高的是医疗业务信息系统。它是直接为病人服务的，它的可用性直接影响医院业务运行的连续性。业务连续性要求高。医疗机构的特点是24小时营业，其它行业一般都有停止营业休息时间，而医院没有，医院一年365天每天24小时开门营业。这样对信息系统连续性要求特别高，要求一年365天每天24小时信息系统保持正常运行状态。系统缺少维护时间。由于医院没有休息时间，信息系统就没有停机检修时间。其它行业为了信息系统的升级改造，可以向社会发布公告，通知社会各界，在预定时间停止营业，这对于医院来说，是无法想像的事情。由于缺少维护时间，造

4、成信息系统很多时间是带故障运行，容易造成信息系统出现灾难性故障。排除故障时间要求短。由于医院业务连续性要求高，在信息系统出现故障时必须在最短时间内排除故障，恢复正常的医院业务活动。这样就使得排除故障时间越短越好。对于一些特大医院，由于门诊量非常大，在排除故障时间方面要求十分苛刻。医院独特的信息安全要求。医院在信息安全方面有其独到的要求。对于一般医院，业务信息在抗篡改和一致性保障方面，抗抵赖的电子责任方面要求不是很高。对于医院信息，主要保证患者信息的隐私性，保证信息的可用性，而做到这些从技术角度和可操作性角度来看，难度相对不高。目前威胁医院信息安全的主要因素是信息系统的故障率、不稳定性和不可用性

5、。要保证信息系统的可用性，需要在网络、服务器、存储设备、数据库、系统病毒防范等各方面从规划、设计、实施、到日常维护等全过程进行控制，以保障医院业务的连续性。评估信息安全的要求针对以上情况，医院在保障信息安全、确保业务连续性时，需要在信息系统上做如下几方面工作。正确认识医院信息安全。医院信息安全是一个系统，它不是一个独立的或孤立的，而是一个系统问题。对于系统问题，特别要注意到各子系统之间的互相依赖性和互相影响对信息安全的威胁。不能把信息安全仅仅看成设置口令，保证硬件无故障、防范病毒等比较单纯的孤立问题。正确评估医院信息安全。对于医院信息安全，应该根据医院业务的特点和规模确定信息安全的要求。对于有

6、些特定的医院，由于医院的性质决定，它的信息安全要求要比别的医院高很多，对于这些医院，不但在抗篡改和一致性保障方面，抗抵赖的电子责任方面有要求，甚至在防止非法获取信息方面都有要求。而对于一般医院，信息安全的重要性更多的是表现在医院业务的持续性上。所以，在开始解决医院信息安全之前，首先要弄清楚本医院对信息安全的要求，然后才能够搞好信息安全。整体与细节并重。信息安全是一个系统问题，需要用系统工程方法解决。所以，保证信息安全要从信息系统的各个方面进行工作，从信息系统规划开始，从信息系统基础平台开始，全方位、全过程的保证信息安全。同时，具体的技术细节也不能忽略。日常工作中，信息技术的细节地方要特别关注，

7、千万不要忽略任何威胁信息安全的技术细节。3：等级保护方案3.1前言国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号，以下简称27号文件）明确要求我国信息安全保障工作实行等级保护制度，提出抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南。2004年9月发布的关于信息安全等级保护工作的实施意见（公通字200466号，以下简称66号文件）进一步强调了开展信息安全等级保护工作的重要意义，规定了实施信息安全等级保护制度的原则、内容、职责分工、基本要求和实施计划，部署了实施信息安全等级保护工作的操作办法。27号文件和66号文件不但为各行业开展信息安全等级保护工作

8、指明了方向，同时也为各行业如何根据自身特点做好信息安全等级保护工作提出了更高的要求。医疗机构作为涉及国计民生的重要组成部分，其安全保障事关社会稳定，必须按照27号文件要求，全面实施信息安全等级保护。3.2范围和目标医疗机构信息系统的基本保护要求包括基本技术要求和基本管理要求。适用于指导医疗机构分等级的信息系统的安全建设、正常维护、监督管理，保证医疗结构信息系统的安全运作，保障国家的稳定。3.3定级指导作为定级对象，信息系统安全等级保护管理办法中将信息系统划分为五级，前3级分别为：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和共利益。第二级，

9、信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。,/br从医疗机构信息系统遭到破坏后的影响程度来看，基本只损害到部分公民的就医权利，造成对社会秩序和公共利益的损害不至严重程度，属于第二级范畴。3.4威胁分析不同等级系统所应对抗的威胁主要从威胁源（自然、环境、系统、人为）动机（不可抗外力、无意、有意）范围（局部、全局）能力（工具、技术、资源等）四个要素来考虑。威胁源-是指任何能够导致非预期的不利事件发生的因素，通常分为自然（如自然灾害）环

10、境（如电力故障）IT系统（如系统故障）和人员（如心怀不满的员工）四类。动机-与威胁源和目标有着密切的联系，不同的威胁源对应不同的目标有着不同的动机，通常可分为不可抗外力（如自然灾害）无意的（如员工的疏忽大意）和故意的（如情报机构的信息收集活动）。范围-是指威胁潜在的危害范畴，分为局部和整体两种情况；如病毒威胁，有些计算机病毒的传染性较弱，危害范围是有限的；但是蠕虫类病毒则相反，它们可以在网络中以惊人的速度迅速扩散并导致整个网络瘫痪。能力-主要是针对威胁源为人的情况，它是衡量攻击成功可能性的主要因素。能力主要体现在威胁源占有的计算资源的多少、工具的先进程度、人力资源（包括经验）等方面。通过对威胁

11、主要因素的分析，我们组合以上因素得到第二级的威胁：1）危害范围为局部的环境或者设备故障；2）无意的员工失误；3）危害局部的较严重的自然事件；4）具备中等能力、有预设目标的威胁情景。3.5实施方案医疗机构信息系统模型的构造是对信息系统进行威胁分析，从而确定安全保障目标的基础。对医疗机构信息系进行等级保护测评可以分别从技术、管理和业务应用三个层面提出各自的参考模型，具体如下。技术模型、管理模型和应用模型既是三个相对独立的体系，又是两两相互作用，存在密切关系的有机耦合体。技术模型支持应用模型的实现，管理模型是技术模型正常工作的保障，应用模型又是技术模型和管理模型支持和管理的核心。3.5.1技术模型参

12、考国际标准化组织（ISO）制定的开放系统互联标准（OSI）标准和TCP/IP标准对信息系统技术组成的构造方法，结合医疗机构信息系统业务应用分类，给出医疗机构信息系统的技术模型，如下图所示。医疗机构信息系统的技术参考模型描述主要从物理环境、网络系统、主机系统、应用系统4个层面进行描述。a.物理环境包括机房、场地、布线、设备、存储媒体等内容。b.网络系统指医疗机构信息系统所基于的网络标准和网络结构；网络标准主要基于TCP/IP协议、IPX/SPX的网络标准，网络结构主要采用LAN、WAN的结构。c.主机系统主机系统指服务器操作系统平台及公共应用平台。服务器操作系统主要采用服务器版的操作系统，通常有

13、Windows、Unix等类型；公共应用平台主要有数据库平台和WEB、Mail、中间件等。数据库平台一般采用可提供多个事务共享数据的网络数据库系统，常用的数据系统SQLSERVER,ORACLE,DB2,SYBASE等，数据访问通常采用两层或三层中间件结构。d.应用系统医院信息系统目前主要可分为综合业务、临床业务、行政管理三种类型。3.5.2管理模型参考国家标准GB/T 19716信息技术信息安全管理实用规则和ISO/IEC 17799Information technology：Code of practice for Information Security Management管理模型的构造方式，结合医疗机构信息系统业务管理特点，将管理模型分为信息安全管理基础（管理机构、管理制度、人员安全）和信息安全管理生命周期管理方法（建设管理、运维管理），具体如下图所示。a.管理制度主要包括管理制度、制定和发布、评审和修订3个控制点。b.管理机构主要包括岗位设置、人员配备、授权和审批、沟通和合作以及审核和检查5个控制点。c.人员安全主要包括人员录用、人员离岗、人员考核、安全意识教育培训、外部人员访问管理等5个控制点。d.建设管理主要包括系统定级、方案设计、产品采购、自行开发、外包开发、工程实施、测试验收、系统交付、系统备案、等级测评和安全服务