XX医院医疗信息系统安全保障体系设计开发可行性研究方案Word格式.docx

1、卫生信息平台的核心数据区、应用服务区及系统运维参照公安部、国家保密局、国家密码管理局、国务院信息化办公室联合印发的信息安全等级保护管理办法（公通字200743号）的要求l、数据交换服务区参照二级信息安全等级保护要求建设、核心部分参照三级信息安全等级保护要求建设.信息系统名称安全保护等级业务信息安全等级系统服务安全等级某市第三人民医院医疗信息系统33.2.2等级保护技术要求类别要求三级等保要求解决方案网络安全结构安全网络设备处理能管理和网络带宽冗余；网络拓扑图绘制；子网划分和地址分配；终端和服务器之间建立安全访问路径；边界和重要网段之间隔离；网络拥堵时对重要主机优先保护；根据高峰业务流量选择高端

2、设备l、核心交换接入设备采用双机冗余；合理划分子网、VLAN、安全域l、网络设备带宽优先级规划.访问控制部署访问控制设备l、启用访问控制功能；根据会话状态提供允许/拒绝访问能力l、控制粒度为端口级；按访问控制规则进行资源访问控制l、粒度到单个用户；限制拨号访问用户数量；网络信息内容过滤l、应用层协议命令级控制；会话终止；网络流量数和连接数控制；重要网段防地址欺骗网络边界部署防火墙l、制定相应ACL策略安全审计网络设备状况、网络流量、用户行为日志记录；数据分析和报表生成；审计记录保护部署网络安全审计系统边界完整性检查安全准入控制和非法外联监控并进行有效阻断部署终端安全管理系统入侵防范攻击行为检测

3、；攻击日志记录和告警部署入侵检测系统恶意代码防范网络边界病毒查杀；病毒库升级部署入侵保护系统网络设备防护身份鉴别；管理员登陆地址限制；用户标识唯一；登陆失败处理；鉴别信息加密；身份鉴别采用2种或以上鉴别技术；特权权限分离部署等级保护安全配置核查系统主机安全身份鉴别操作系统和数据库用户身份鉴别；登录失败处理；鉴别信息传输加密；用户唯一性；身份鉴别采用2种或以上鉴别技术启用访问控制功能；操作系统和数据库特权用户权限分离；默认账户配置修改；多余过期用户删除；角色权限分配l、权限分离和最小权限原则；重要信息敏感标记；强制访问控制部署堡垒机记录服务器和重要客户端的系统用户和数据库用户的重要安全相关行为、

4、事件；审计记录保护；审计报表生成；审计进程保护剩余信息保护鉴别信息再分配前清除l、系统文件、目录、数据库记录再分配前清除操作系统及数据库加固操作系统最小安装原则l、定期升级；检测对重要服务器的入侵行为；重要程序完整性检测和破坏后的恢复.部署网络入侵检测系统、终端管理软件l、漏洞扫描安装防恶意代码软件l、定期升级；恶意代码软件统一管理；主机和网络防恶意代码软件品牌异构部署终端杀毒软件资源控制终端登录控制；终端超时锁定；单个用户资源限制安全加固应用安全启用身份鉴别机制；部署CA认证系统启用访问控制机制l、控制用户对文件、数据库表等的访问；启用访问控制策略；账户最小权限原则和权限制约；重要信息强制访

5、问控制启用安全审计机制l、审计每个用户、系统重要安全事件；审计报表生成部署应用防护系统通信完整性应采用密码技术保障信息过程中数据完整性部署PKI体系通信保密性会话初始化验证l、通信过程整个报文或会话过程加密抗抵赖提供数据原发或接收证据软件容错数据校验功能l、故障时能继续提供一部分功能代码审核会话超时自动结束l、限制最大并发连接数l、单个账户多重会话限制数据安全与备份恢复数据完整性能检测到系统管理数据、鉴别信息和业务数据在传输和存储过程中受到的破坏l、并采取恢复措施VPN加密l、数据库访问控制数据保密性采用加密或其他措施实现系统管理数据、鉴别信息、重要业务数据传输存储过程保密信息加密备份与恢复重

6、要信息备份恢复l、关键网络设备、线路、数据硬件冗余重要信息定期备份l、设备冗余3.3系统安全分层需求分析根据基于健康档案的区域卫生信息平台建设指南中的安全要求部分l、并参照等级保护三级的技术要求l、通过风险分析及信息安全建设情况调研l、确认以下安全需求：3.3.1物理层安全需求某市三院中心机房是整个三级医疗信息系统平台的关键节点l、是系统运行的基础l、因此必须保证物理环境的安全l、主要包括以下几个方面：信息基础设备应安置在专用的机房l、具有良好的电磁兼容工作环境l、包括防磁、防尘、防水、防火、防静电、防雷保护l、抑制和防止电磁泄漏；机房环境应达到国家相关标准；关键设备应有冗余后备系统；具有足够

7、容量的UPS后备电源；电源要有良好的接地.3.3.2网络层安全需求结构安全： 应保证网络各个部分的带宽满足业务高峰期需要； 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； 应避免将重要网段部署在网络边界处且直接连接外部信息系统l、重要网段与其他网段之间采取可靠的技术隔离手段； 应按照对业务服务的重要次序来指定带宽分配优先级别l、保证在网络发生拥堵的时候优先保护重要主机.访问控制： 应在网络边界部署访问控制设备l、启用访问控制功能； 重要网段应采取技术手段防止地址欺骗； 应按用户和系统之间的允许访问规则l、决定允许或拒绝用户对受控系统进行资源访问l、控制粒度为单个用户； 应限制具有

8、拨号访问权限的用户数量.安全审计： 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录l、并生成审计报表； 应对审计记录进行保护l、避免受到未预期的删除、修改或覆盖等.边界完整性检查： 应能够对非授权设备私自联到业务网络的行为进行检查l、准确定出位置l、并对其进行有效阻断； 应能够对业务网络用户私自联到外部网络的行为进行检查l、准确定出位置l、并对其进行有效阻断.入侵防范： 应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等； 当检测到攻击行为时l、记录攻击源IP、攻击类型、攻击目的、攻击时间l、在发生严

9、重入侵事件时应提供报警.恶意代码防范： 应在网络边界处对恶意代码进行检测和清除； 应维护恶意代码库的升级和检测系统的更新.网络设备防护： 应对网络设备的管理员登录地址进行限制； 身份鉴别信息应具有不易被冒用的特点l、口令应有复杂度要求并定期更换； 应具有登录失败处理功能l、可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施； 当对网络设备进行远程管理时l、应采取必要措施防止鉴别信息在网络传输过程中被窃听； 应实现设备特权用户的权限分离.3.3.3主机层安全需求身份鉴别： 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点l、口令应有复杂度要求并定期更换； 应启用登录失败

10、处理功能l、可采取结束会话、限制非法登录次数和自动退出等措施； 当对服务器进行远程管理时l、应采取必要措施l、防止鉴别信息在网络传输过程中被窃听； 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别. 应启用访问控制功能l、依据安全策略控制用户对资源的访问； 应根据管理用户的角色分配权限l、实现管理用户的权限分离l、仅授予管理用户所需的最小权限； 应严格限制默认帐户的访问权限l、重命名系统默认帐户l、修改这些帐户的默认口令l、及时删除多余的、过期的帐户l、避免共享帐户的存在. 应对重要信息资源设置敏感标记； 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作. 应实现主机系统的安全

11、审计l、审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户； 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件； 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； 应能够根据记录数据进行分析l、并生成审计报表； 应保护审计进程l、避免受到未预期的中断； 应保护审计记录l、避免受到未预期的删除、修改或覆盖等.剩余信息保护： 应保证操作系统和数据库系统用户的鉴别信息所在的存储空间l、被释放或再分配给其他用户前得到完全清除l、无论这些信息是存放在硬盘上还是在内存中； 应确保系统内的文件、目录和数据库记录等资源所在的存储空间

12、l、被释放或重新分配给其他用户前得到完全清除. 应能够检测到对重要服务器进行入侵的行为l、能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间l、并在发生严重入侵事件时提供报警； 应能够对重要程序的完整性进行检测l、并在检测到完整性受到破坏后具有恢复的措施； 操作系统应遵循最小安装的原则l、仅安装需要的组件和应用程序l、并通过设置升级服务器等方式保持系统补丁及时得到更新.资源控制： 应根据安全策略设置登录终端的操作超时锁定； 应对重要服务器进行监视l、包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况； 应限制单个用户对系统资源的最大或最小使用限度； 应能够对系统的服务水平降低到预先

13、规定的最小值进行检测和报警.3.3.4应用层安全需求（说明：此部分内容需要在应用系统开发与维护过程中予以实现.） 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别； 应提供用户身份标识唯一和鉴别信息复杂度检查功能l、保证应用系统中不存在重复用户身份标识l、身份鉴别信息不易被冒用； 应提供登录失败处理功能l、可采取结束会话、限制非法登录次数和自动退出等措施； 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能l、并根据安全策略配置相关参数. 应由授权主体配置访问控制策略l、并严格限制默认帐户的访问权限； 应具有对重要信息资源设置敏感标记的功能； 应

14、提供覆盖到每个用户的安全审计功能l、对应用系统重要安全事件进行审计； 应保证无法单独中断审计进程l、无法删除、修改或覆盖审计记录； 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等； 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能. 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除l、无论这些信息是存放在硬盘上还是在内存中； 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除.通信完整性： 应采用密码技术保证通信过程中数据的完整性.通信保密性： 在通信双方建立连接之前l、应用系统应利用密码

15、技术进行会话初始化验证； 应对通信过程中的整个报文或会话过程进行加密.抗抵赖： 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能； 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能.软件容错： 应提供数据有效性检验功能l、保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求； 应提供自动保护功能l、当故障发生时自动保护当前所有状态l、保证系统能够进行恢复. 当应用系统的通信双方中的一方在一段时间内未作任何响应l、另一方应能够自动结束会话； 应能够对系统的最大并发会话连接数进行限制； 应能够对单个帐户的多重并发会话进行限制； 应能够对一个时间段内可能

16、的并发会话连接数进行限制； 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额； 应能够对系统服务水平降低到预先规定的最小值进行检测和报警； 应提供服务优先级设定功能l、并在安装后根据安全策略设定访问帐户或请求进程的优先级l、根据优先级分配系统资源.3.3.5数据及备份安全需求数据完整性： 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏l、并在检测到完整性错误时采取必要的恢复措施； 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏l、并在检测到完整性错误时采取必要的恢复措施.数据保密性： 应采用加密或其他有效措施实现系统管理

17、数据、鉴别信息和重要业务数据传输保密性； 应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性.备份和恢复： 应提供本地数据备份与恢复功能l、完全数据备份至少每天一次l、备份介质场外存放； 应提供异地数据备份功能l、利用通信网络将关键数据定时批量传送至备用场地； 应采用冗余技术设计网络拓扑结构l、避免关键节点存在单点故障； 应提供主要网络设备、通信线路和数据处理系统的硬件冗余l、保证系统的高可用性.3.4虚拟化、云计算带来的安全问题分析为了区域卫生平台云计算应用的健康发展l、就不能忽视对云计算面临的各类安全威胁的研究和分析l、从而制定和建立相应的政策、技术体系l、应对即将

18、到来的云浪潮. 3.4.1法规遵从 在不同的国家和地区、企业或个人的信息需要符合该国家和地区规定的法规l、但在云计算环境下l、用户可能根本无法知道其数据存储位置l、更不用说哪个国家或地区了.目前国家层面、行业层面对各类合规性要求l、这些合规性要求IT部门必须全面控制关键信息的自主可控性l、而云计算依赖虚拟化技术提供服务l、数据可能会在某市三院中心机房和物理主机之间移动l、以确保负载均衡l、如果合规要求必须找出数据的精确位置实现可控目标时l、公共云的应用是一个值得考虑的问题.而且所有数据放在公共云上l、并且使用共享资源l、就很难证明遵从了法规的要求l、云平台的安全等级建设是否符合所服务业务和数据

19、的安全等级要求也是要考虑的问题.3.4.2核心技术国产化问题面对云计算l、我们必须认识到：在我国建设云计算平台l、并不能保证我们就能够控制云平台中的信息资源l、也不能保证我们就是唯一的控制者.由于很多技术仍然控制在国外企业手中l、大规模的云计算平台可能增加了国外控制中国的手段l、一些通过购买获得的自主知识产权而不加以认真研究的所谓自主产品l、更在很大程度麻痹了国人l、这种自主知识产权的本质就是买下了推广他人产品的权利.应该针对云计算所带来的新的安全需求进行技术研究和开发l、预见到未来的技术发展方向l、积极探索新形势下可能出现的信息安全新问题l、在部分领域推出有自己特色的云计算平台和云安全服务平

20、台l、满足国内信息服务对云计算的应用需求和安全需求l、实现对整个链条的控制和管理.3.4.3大量迅猛涌现的Web安全漏洞 在云计算安全梯上仅采用传统的网络安全技术是远远不够的.云计算的安全问题还必须考虑比网络安全更为复杂的问题l、比如应用层面安全.云计算服务推动了Internet的Web化趋势.与传统的操作系统、数据库、C/S系统的安全漏洞相比l、多客户、虚拟化、动态、业务逻辑服务复杂、用户参与等这些Web2.0和云服务的特点对网络安全来说意味着巨大的挑战l、甚至是灾难. 3.4.4拒绝服务攻击 服务和数据的随时可用性本身不仅是一项非常重要的安全指标l、而且其质量的保证在一个存在恶意攻击的环境里会造成其实施复杂度大大增加.如何防止以破坏正常应用的DDOS攻击是一个很大的挑战.由于云平台的大规模与高性能l、一旦遭受DDOS（抗拒绝服务攻击）l、云平台服务商是否有能力提供应对的技术手段l、使正常的应用不受影响l、是评价一个云计算服务提供商重要指标.拒绝服务攻击DoS和DDoS不是云服务所特有的.但是l、在云服务的技术环境中l、企业中的关键核心数据、服务离开了企业网l、迁移到了云服务中心.更多的应用和集成业务开始依靠互联网.拒绝服务带来的后果和破坏将会明显地超过传统的企业网环境. 3.4.5内部的数据泄漏和滥用 相对而言l、安装在现有内部环境中的应用更易于检查l