某市医院三级等保建设方案.docx

1、某市医院三级等保建设方案某市三院医疗信息系统安全三级等保建设方案2012-09-251、 某市三院医疗信息系统现状分析 31.1拓扑图 31.2网站/BS应用现状 错误！未定义书签。1.3漏洞扫描 错误！未定义书签。1.4边界入侵保护 错误！未定义书签。1.5安全配置加固 错误！未定义书签。1.6密码账号统一管理 错误！未定义书签。1.7数据库审计、行为审计 错误！未定义书签。1.8上网行为管理 错误！未定义书签。2、某市三院医疗信息系统潜在风险 42.1黑客入侵造成的破坏和数据泄露 42.2医疗信息系统漏洞问题 42.3数据库安全审计问题 52.4平台系统安全配置问题 62.5平台虚拟化、云

2、化带来的新威胁 错误！未定义书签。3、某市三院医疗信息系统安全需求分析 63.1医疗信息系统建设安全要求 63.2医疗等级保护要求分析 73.3系统安全分层需求分析 113.4虚拟化、云计算带来的安全问题分析 164、医疗信息系统安全保障体系设计 204.1安全策略设计 204.2安全设计原则 214.3等级保护模型 224.4系统建设依据 234.5遵循的标准和规范 235、安全管理体系方案设计 245.1组织体系建设建议 245.2管理体系建设建议 256、安全服务体系方案设计 266.1预警通告 266.2技术风险评估 276.3新上线系统评估 276.4渗透测试 276.5安全加固 2

3、86.6虚拟化安全加固服务 286.7应急响应 297、安全技术体系方案设计 307.1物理层安全 307.2网络层安全 307.3主机层安全 347.4应用层安全 387.5数据层安全 407.6虚拟化、云计算安全解决方案 438、平台安全建设方案小结 448.1安全产品汇总 458.2产品及服务选型 481、某市三院医疗信息系统现状分析1.1系统现状某市第三人民医院（以下简称某三院）作为三级甲等医院，已经建成全院网络覆盖，医院内 网已覆盖行政楼、老病房 1/2F 、门诊一期、门诊二期以及门诊一期中心机房，医院外网与 新农合、市社保机构互联。医院内网采用“核心 -接入”二层交换架构，行政楼、

4、病房、门诊通过接入交换机连接至中心机房核心交换机。 HIS 、 LIS 系统作为三院核心业务系统直接部署在中心机房， 系统服务器直接挂载在中心机房核心交换机上。 近期三院将在中心机房区 域部署一套电子病历系统已完善三院医疗信息系统。 在出口方向， 医院有两条出口与外网互 联，一条通过防火墙完成与新农合、市医保机构的互联，另一条通过 ISA 服务器接入互联 网。2、某市三院医疗信息系统潜在风险2.1黑客入侵造成的破坏和数据泄露随着医疗信息化的普及， 个人信息逐渐以电子健康档案、 电子病历和电子处 方为载体，其中包括了个人在疾病控制、体检、诊断、治疗、医学研究过程中涉 及到的肌体特征、健康状况、遗

5、传基因、病史病历等个人信息。其中个人医疗健 康信息的秘密处于隐私权的核心部位， 而保障病人的隐私安全是医院和医护人员 的职责。某市三院医疗信息系统某市三院中心机房汇集了大量的病人隐私信息， 而这 些数据在传输过程中极易被窃取或监听。 同时基于电子健康档案和电子病历大量 集中存储的情况， 一旦系统被黑客控制， 可能导致病人隐私外泄， 数据恶意删除 和恶意修改等严重后果。 病人隐私信息外泄将会给公民的生活、 工作以及精神方 面带来很大的负面影响和损失， 同时给平台所辖区域造成不良社会影响， 严重损 害机构的公共形象， 甚至可能引发法律纠纷。 而数据的恶意删除和篡改会导致电 子健康档案和电子病历的丢

6、失以及病人信息的错误， 给医护人员的工作造成影响， 甚至可能引发医疗事故。 另一方面，随着便携式数据处理和存储设备的广泛应用， 由于设备丢失而导致的数据泄漏威胁也越来越严重。因此电子健康档案和电子病历数据作为卫生平台某市三院中心机房的重要 资产，必须采取有效措施以防止物理上的丢失和黑客监听、 入侵行为造成的破坏， 保证数据的保密性，安全性和可用性。2.2医疗信息系统漏洞问题自计算机技术的出现以来， 由于技术发展局限、 编码错误等种种原因， 漏洞 无处不在并且已成为直接或间接威胁系统和应用程序的脆弱点。 操作系统和应用 程序漏洞能够直接威胁数据的完整性和机密性， 流行蠕虫的传播通常也依赖与严 重

7、的安全漏洞，黑客的主动攻击也往往离不开对漏洞的利用。事实证明， 99%以 上攻击都是利用已公布并有修补措施但用户未修补的漏洞。某市三院医疗信息系统某市三院中心机房建设涉及到大量的网络设备， 服务 器，存储设备， 主机等，其中不可避免地存在着可被攻击者利用的安全弱点和漏 洞，主要表现在操作系统、网络服务、 TCP/IP 协议、应用程序（如数据库、浏 览器等）、网络设备等几个方面。正是这些弱点给蓄意或无意的攻击者以可乘之 机，一旦系统的漏洞利用成功，势必影响到系统的稳定、可靠运行，更严重的导 致系统瘫痪和数据丢失， 从而影响平台的公众形象。 因此能够及时的发现和修补 漏洞对于平台某市三院中心机房网

8、络安全有着重要意义。 另一方面， 基于某市三 院中心机房设备、 系统、应用量大的情况， 通过人工进行漏洞发现和修补非常耗 费人力和时间，因此有必要借助漏洞扫描设备和补丁服务器机制来实现自动化的 漏洞扫描和补丁下发。2.3数据库安全审计问题医疗行业信息化建设在带来各种便捷的同时也引入了新的隐患。 随着病人信 息和药品信息的数据化， 加之内部安全管理制度不够完善， 医疗机构内部运维人 员可以借助自身职权，利用数据库操作窃取药品统方信息，修改药品库存数据， 修改医保报销项目等， 来牟取个人私利。 其中药品统方行为是医疗行业高度重视 的问题，其背后涉及的药品和医用耗材灰色交易严重扰乱医疗行业秩序， 败

9、坏医 德医风，影响医院的公众形象， 是医疗机构必须坚决制止和查处的行为。 其次修 改药品库存信息和修改医保报销项目等行为也会给医疗机构和社会造成损失。某市三院医疗信息系统某市三院中心机房汇集的两大应用系统 （ HIS 、LIS ） 和即将建设的电子病历数据库涉及医疗行业的各方面信息， 内部人员的违规操作 可能造成严重的社会影响和给医疗机构造成重大损失。 因此有必要通过有效手段 对数据库的各种操作进行审计，准确记录各种操作的源、目的、时间、结果等， 及时发现各种业务上的违规操作并进行告警和记录， 同时提供详细的审计记录以 便事后进行追查。2.4平台系统安全配置问题随着公共卫生，医疗服务，医疗监管

10、，综合管理，新农合五大业务的应用系 统不断发展，医疗信息系统应用不断增加，网络规模日益扩大，其管理、业务支 撑系统的网络结构也变得越来越复杂，各项系统的使用和配置也变得十分复杂， 维护和检查成为一项繁重的工作。在医疗行业里，随着各类通信和 IT 设备采用通用操作系统、通用数据库， 及各类设备间越来越多的使用 IP 协议进行通信，其配置安全问题更为凸出。在 黑客攻击行为中，利用系统缺省、未修改的安全配置攻入系统已屡见不鲜， 因此， 加强对网元配置的安全防护成为重点。 其中，重要应用和服务器的数量及种类日 益增多，一旦发生维护人员误操作， 或者采用一成不变的初始系统设置而忽略了 对于安全控制的要求

11、， 就可能会极大的影响系统的正常运转。 另外，为了维持整 个业务系统生命周期信息安全，必须从入网测试、工程验收和运行维护等阶段， 设备全生命周期各个阶段加强和落实信息安全要求， 也需要有一种方式进行风险 的控制和管理。3、某市三院医疗信息系统安全需求分析3.1医疗信息系统建设安全要求 基于医疗信息系统信息平台的可靠安全的运行不仅关系到某市三院中心机 房本身的运行，还关系其他业务部门相关系统的运行，因此它的网络，主机，存 储备份设备， 系统软件， 应用软件等部分应该具有极高的可靠性； 同时为保守企 业和用户秘密， 维护企业和用户的合法权益， 某市三院中心机房应具备良好的安 全策略，安全手段，安全

12、环境及安全管理措施。众所周知，信息系统完整的安全体系包括以下四个层次， 最底层的是物理级 安全，其包括计算机安全， 硬件安全等 ,其次是网络级安全， 主要包括链路冗余， 防火墙等等，再次是系统级安全包括数据灾备， 病毒防范等， 最后是应用级安全 包括统一身份认证， 统一权限管理等， 而贯穿整个体系的是安全管理制度和安全 标准，以实现非法用户进不来，无权用户看不到，重要内容改不了，数据操作赖 不掉。整个平台的安全体系如下图：应用安全进不来 看不到 茂丰了 绩不悼绕一身您认证 軌一 IRIW理劇B保密与充冲 日志审计全理-IP全准 安管上一安标系统安全 1数据克备，病毒陆i范,擁柞義统安全.漏洞检

13、杏网络左金链路兀余防火墙，入侵检測一物理安全机房安全,礎件安至电源安全,阳玄防盲一丄平台安全体系结构图3.2医疗等级保护要求分析医疗机构作为涉及国计民生的重要组成部分， 其安全保障事关社会稳定，有必要按照国家信息安全等级保护要求，全面实施信息安全等级保护。卫生信息平台的核心数据区、应用服务区及系统运维参照公安部、国家保密 局、国家密码管理局、国务院信息化办公室联合印发的信息安全等级保护管理 办法（公通字200743号）的要求，数据交换服务区参照二级信息安全等级保 护要求建设、核心部分参照三级信息安全等级保护要求建设。信息系统名称安全保护等级业务信息安全等级系统服务安全等级某市第三人民医院医疗信

14、息系统3333.2.2等级保护技术要求类别要求三级等保要求解决方案 |网络安全结构安全网络设备处理能管理和网络带宽 冗余；网络拓扑图绘制；子网划分 和地址分配；终端和服务器之间建 立安全访问路径；边界和重要网段 之间隔离；网络拥堵时对重要主机 优先保护；根据咼峰业务流量选择咼端设 备，核心交换接入设备采用双机 冗余；合理划分子网、VLAN安 全域，网络设备带宽优先级规 戈叽访问控制部署访问控制设备，启用访问控制 功能；根据会话状态提供允许/拒 绝访冋能力，控制粒度为端口级； 按访问控制规则进行资源访问控 制，粒度到单个用户；限制拨号访 问用户数量；网络信息内容过滤， 应用层协议命令级控制；会话

15、终 止；网络流量数和连接数控制；重 要网段防地址欺骗网络边界部署防火墙，制定相应ACL策略安全审计网络设备状况、网络流量、用户行 为日志记录；数据分析和报表生 成；审计记录保护部署网络安全审计系统边界完整性检查安全准入控制和非法外联监控并进行有效阻断部署终端安全管理系统入侵防范攻击行为检测；攻击日志记录和告警部署入侵检测系统恶意代码防范网络边界病毒查杀；病毒库升级部署入侵保护系统网络设备防护身份鉴别；管理员登陆地址限制；用户标识唯一；登陆失败处理；鉴 别信息加密；身份鉴别采用2种或部署等级保护安全配置核查系统以上鉴别技术；特权权限分离主机安全身份鉴别操作系统和数据库用户身份鉴别；登录失败处理；

16、鉴别信息传输加 密；用户唯一性；身份鉴别采用2 种或以上鉴别技术部署等级保护安全配置核查系统访问控制启用访问控制功能；操作系统和数 据库特权用户权限分离；默认账户 配置修改；多余过期用户删除；角 色权限分配，权限分离和最小权限 原则；重要信息敏感标记；强制访 问控制部署堡垒机安全审计记录服务器和重要客户端的系统 用户和数据库用户的重要安全相 关行为、事件；审计记录保护； 审计报表生成；审计进程保护部署堡垒机剩余信息保护鉴别信息再分配前清除，系统文件、目录、数据库记录再分配前清除操作系统及数据库加固入侵防范操作系统最小安装原则，定期升 级；检测对重要服务器的入侵行 为；重要程序完整性检测和破坏后

17、 的恢复。部署网络入侵检测系统、终端管理软件，漏洞扫描恶意代码防范安装防恶意代码软件，定期升级； 恶意代码软件统一管理； 主机和网 络防恶意代码软件品牌异构部署终端杀毒软件资源控制终端登录控制；终端超时锁定；单个用户资源限制安全加固应用安全身份鉴别启用身份鉴别机制；登录失败处理；身份鉴别采用2种或以上鉴别部署CA认证系统技术访问控制启用访问控制机制，控制用户对文 件、数据库表等的访问；启用访问 控制策略；账户最小权限原则和权 限制约；重要信息敏感标记；重要 信息强制访问控制部署CA认证系统安全审计启用安全审计机制，审计每个用 户、系统重要安全事件；审计报表 生成部署应用防护系统剩余信息保护鉴别

18、信息再分配前清除，系统文件、目录、数据库记录再分配前清除操作系统及数据库加固通信完整性应米用密码技术保障信息过程中数据完整性部署PKI体系通信保密性会话初始化验证，通信过程整个报文或会话过程加密部署PKI体系抗抵赖提供数据原发或接收证据部署PKI体系软件容错数据校验功能，故障时能继续提供一部分功能代码审核资源控制会话超时自动结束，限制最大并发连接数，单个账户多重会话限制安全加固数据 安全 与备 份恢 复数据完整性能检测到系统管理数据、鉴别信息和业务数据在传输和存储过程中受到的破坏，并米取恢复措施VPN加密，数据库访问控制数据保密性米用加密或其他措施实现系统管理数据、鉴别信息、重要业务数据传输存

19、储过程保密信息加密备份与恢复重要信息备份恢复，关键网络设 备、线路、数据硬件冗余重要信息定期备份，设备冗余3.3系统安全分层需求分析根据基于健康档案的区域卫生信息平台建设指南 中的安全要求部分， 并 参照等级保护三级的技术要求， 通过风险分析及信息安全建设情况调研， 确认以 下安全需求：3.3.1物理层安全需求某市三院中心机房是整个三级医疗信息系统平台的关键节点， 是系统运行的 基础，因此必须保证物理环境的安全，主要包括以下几个方面：信息基础设备应安置在专用的机房， 具有良好的电磁兼容工作环境， 包括防 磁、防尘、防水、防火、防静电、防雷保护，抑制和防止电磁泄漏；机房环境应达到国家相关标准；

20、关键设备应有冗余后备系统； 具有足够容量的 UPS 后备电源；电源要有良好的接地。3.3.2网络层安全需求结构安全： 应保证网络各个部分的带宽满足业务高峰期需要； 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； 应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网 段与其他网段之间采取可靠的技术隔离手段； 应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发 生拥堵的时候优先保护重要主机。访问控制： 应在网络边界部署访问控制设备，启用访问控制功能； 重要网段应采取技术手段防止地址欺骗； 应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统 进行资源访

21、问，控制粒度为单个用户； 应限制具有拨号访问权限的用户数量。安全审计： 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志 记录，并生成审计报表； 应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。边界完整性检查： 应能够对非授权设备私自联到业务网络的行为进行检查， 准确定出位置， 并对其进行有效阻断； 应能够对业务网络用户私自联到外部网络的行为进行检查，准确定出位 置，并对其进行有效阻断。入侵防范： 应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻 击、拒绝服务攻击、缓冲区溢出攻击、 IP 碎片攻击和网络蠕虫攻击等； 当检测到攻击行为时，记录攻击源IP、攻击

22、类型、攻击目的、攻击时间， 在发生严重入侵事件时应提供报警。恶意代码防范： 应在网络边界处对恶意代码进行检测和清除； 应维护恶意代码库的升级和检测系统的更新。网络设备防护： 应对网络设备的管理员登录地址进行限制； 身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更 换； 应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网 络登录连接超时自动退出等措施； 当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传 输过程中被窃听；应实现设备特权用户的权限分离。3.3.3主机层安全需求身份鉴别： 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口 令应有复杂

23、度要求并定期更换；应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动 退出等措施；当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传 输过程中被窃听； 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。访问控制： 应启用访问控制功能，依据安全策略控制用户对资源的访问； 应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管 理用户所需的最小权限； 应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户 的默认口令，及时删除多余的、过期的帐户，避免共享帐户的存在。 应对重要信息资源设置敏感标记； 应依据安全策略严格控制用户对有敏感标记重要信息资源的

24、操作。安全审计： 应实现主机系统的安全审计，审计范围应覆盖到服务器和重要客户端上 的每个操作系统用户和数据库用户； 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的 使用等系统内重要的安全相关事件； 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果 等；应能够根据记录数据进行分析，并生成审计报表； 应保护审计进程，避免受到未预期的中断； 应保护审计记录，避免受到未预期的删除、修改或覆盖等。剩余信息保护： 应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放 或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还 是在内存中； 应确保系统内的文件、目

25、录和数据库记录等资源所在的存储空间，被释 放或重新分配给其他用户前得到完全清除。入侵防范：应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源 IP、攻 击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报 警；应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具 有恢复的措施；操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通 过设置升级服务器等方式保持系统补丁及时得到更新。资源控制：应根据安全策略设置登录终端的操作超时锁定；应对重要服务器进行监视，包括监视服务器的 CPU、硬盘、内存、网络等资源的使用情况；应限制单个用户对系统资源的最大或最小使用限度；

26、应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。3.3.4应用层安全需求（说明：此部分内容需要在应用系统开发与维护过程中予以实现。 ） 身份鉴别：应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中 不存在重复用户身份标识，身份鉴别信息不易被冒用； 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动 退出等措施；应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度 检查以及登录失败处理功能，并根据安全策略配置相关参数。访问控制：应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；

27、应具有对重要信息资源设置敏感标记的功能； 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。安全审计：应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行 审计； 应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录； 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描 述和结果等；应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。 剩余信息保护：应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到 完全清除，无论这些信息是存放在硬盘上还是在内存中；应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放 或重新分配给其他用户前得到

28、完全清除。通信完整性：应采用密码技术保证通信过程中数据的完整性。 通信保密性：在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验 证；应对通信过程中的整个报文或会话过程进行加密。抗抵赖：应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能; 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。 软件容错：应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输 入的数据格式或长度符合系统设定要求；应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统 能够进行恢复。资源控制：当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应 能够自动

29、结束会话；应能够对系统的最大并发会话连接数进行限制；应能够对单个帐户的多重并发会话进行限制；应能够对一个时间段内可能的并发会话连接数进行限制；应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小 限额；应能够对系统服务水平降低到预先规定的最小值进行检测和报警；应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或 请求进程的优先级，根据优先级分配系统资源。3.3.5数据及备份安全需求数据完整性： 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完 整性受到破坏，并在检测到完整性错误时采取必要的恢复措施； 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中

30、完 整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。数据保密性： 应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数 据传输保密性；应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数 据存储保密性。备份和恢复： 应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介 质场外存放；应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备 用场地；应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障； 应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统 的高可用性。3.4虚拟化、云计算带来的安全问题分析为了区域卫生平台云计算应用的健康发展，就不能忽视对云计算面临的各类 安全威胁的研究和分析， 从而制定和建立相应的政策、 技术体系， 应对即将到来 的云浪潮。3.4.1法规遵从在不同的国家和地区、 企业或个人的信息需要符合该国家和地区规定的法规， 但 在云计算环境下， 用户可能根本无法知道其数据存储位置， 更不用说哪个国家或 地区了。目前国家层面、行业层面对各类合规性要求，这些合规性要求 IT 部门 必须全面控制关键信息的自主可控性， 而云计算依赖虚拟化技术提供服务， 数据 可能会在某市三院中心机房和物理主机之间移动， 以确保负载均衡， 如果合规要 求必须找出数据的精确位置实现可控目标时， 公共云的应用是一个值得考