医院信息安全建设方案.docx
《医院信息安全建设方案.docx》由会员分享，可在线阅读，更多相关《医院信息安全建设方案.docx（43页珍藏版）》请在冰点文库上搜索。
医院信息安全建设方案
密级：
秘密
XX大学附属XX医院
（信息安全建设整体规划方案）
XX有限公司
2010年4月8日
1工程项目背景
医院是一个信息和技术密集型的行业，其计算机网络是一个完善的办公网络系统，作为一个现代化的医疗机构网络,除了要满足高效的内部自动化办公需求以外,还应对外界的通讯保证畅通。
结合医院复杂的HIS、RIS、PACS等应用系统，要求网络必须能够满足数据、语音、图像等综合业务的传输要求，所以在这样的网络上应运用多种高性能设备和先进技术来保证系统的正常运作和稳定的效率。
同时医院的网络系统连接着Internet、医保网和高校等，访问人员比较复杂，所以如何保证医院网络系统中的数据安全问题尤为重要。
在日新月异的现代化社会进程中，计算机网络几乎延伸到了世界每一个角落，它不停的改变着我们的工作生活方式和思维方式，但是，计算机信息网络安全的脆弱性和易受攻击性是不容忽视的。
由于网络设备、计算机操作系统、网络协议等安全技术上的漏洞和管理体制上的不严密，都会使计算机网络受到威胁。
我们可以想象一下，对于一个需要高速信息传达的现代化医院，如果遭到致命攻击，会给社会造成多大的影响。
在医院行业的信息化建设过程中，信息安全的建设虽然只是一个很小的部分，但其重要性不容忽视。
便捷、开放的网络环境，是医院信息化建设的基础，在数据传递和共享的过程当中，数据的安全性要切实地得到保障，才能保障医院信息化业务的正常运行。
然而，我们的数据却面临着越来越多的安全风险，时刻对业务的正常运行带来威胁。
为此，国家公安部、保密局、国家密码管理局、国务院信息化领导小组办公室于2007年联合颁布了861号文件《关于开展全国重要信息系统安全等级保护定级工作的通知》和《信息安全等级保护管理办法》，要求涉及国计民生的信息系统应达到一定的安全等级，根据文件精神和等级划分的原则，医院信息系统构筑至少应达到二级或以上防护要求。
所以，在XXX大学XXX医院的信息化建设过程中，我们应当正视可能面临的各种安全风险，对网络威胁给予充分的重视。
为了XXX医院信息网络的安全稳定运行，确保医院信息系统建设项目的顺利实施，结合具体的网络和应用系统情况，作为有着丰富医疗行业大型安全项目实施经验的XXX有限公司，将以极大的信心和饱满的热情，根据XXX医院目前的计算机信息网网络特点及安全需求，本着切合实际、保护投资、着眼未来的原则，提出本技术方案。
2安全建设路线
2.1设计原则
2.1.1等级保护建设原则
XX医院计算机网络系统属国计民生的重要信息系统，其安全建设不能忽视国家相关政策要求，在安全保障体系建设上最终所要达到的保护效果应符合《信息系统安全等级保护基本要求》。
2.1.2体系化的设计原则
系统设计应充分考虑到各个层面的安全风险，构建完整的安全防护体系，充分保证系统的安全性。
同时，应确保方案中使用的信息安全产品和技术方案在设计和实现的全过程中有具体的措施来充分保证其安全性。
2.1.3产品的先进性原则
XX医院的安全保障体系建设规模庞大，意义深远。
对所需的各类安全产品提出了很高的要求。
必须认真考虑各安全产品的技术水平、合理性、先进性、安全性和稳定性等特点，共同打好工程的技术基础。
2.1.4按步骤有序建设原则
XX医院的安全保障体系的建设是一项长期的工程，并非一蹴而就解决所有安全问题。
因此，在实际建设过程中要根据实际情况分轻重缓急，分期、分批的进行部署。
2.1.5安全服务细致化原则
要使得安全保障体系发挥最大的功效，除安全产品的部署外还应提供有效的安全服务，根据XX医院的网络系统具体现状及承载的重要业务，全面而细致的安全服务会提升日常运维及应急处理风险的能力。
安全服务就需要把安全服务商的专业技术经验与行业经验相结合，结合XX医院的实际信息系统量身定做才可以保障其信息系统安全稳定的运行。
2.2等级化建设思路
“等级化安全体系”是依据国家信息安全等级保护制度，根据系统在不同阶段的需求、业务特性及应用重点，采用等级化与体系化相结合的安全体系设计方法，帮助构建一套覆盖全面、重点突出、节约成本、持续运行的安全防御体系。
根据等级化安全保障体系的设计思路，等级保护的设计与实施通过以下步骤进行：
1.系统识别与定级：
通过分析系统所属类型、所属信息类别、服务范围以及业务对系统的依赖程度确定系统的等级。
通过此步骤充分了解系统状况，包括系统业务流程和功能模块，以及确定系统的等级，为下一步安全域设计、安全保障体系框架设计、安全要求选择以及安全措施选择提供依据。
2.安全域设计：
根据第一步的结果，通过分析系统业务流程、功能模块，根据安全域划分原则设计系统安全域架构。
通过安全域设计将系统分解为多个层次，为下一步安全保障体系框架设计提供基础框架。
3.安全保障体系框架设计：
根据安全域框架，设计系统各个层次的安全保障体系框架（包括策略、组织、技术和运作），各层次的安全保障体系框架形成系统整体的安全保障体系框架。
4.确定安全域安全要求：
参照国家相关等级保护安全要求，设计等级安全指标库。
通过安全域适用安全等级选择方法确定系统各区域等级，明确各安全域所需采用的安全指标。
5.评估现状：
根据各等级的安全要求确定各等级的评估内容，根据国家相关风险评估方法，对系统各层次安全域进行有针对性的等级风险评估。
通过等级风险评估，可以明确各层次安全域相应等级的安全差距，为下一步安全技术解决方案设计和安全管理建设提供依据。
6.安全技术解决方案设计：
针对安全要求，建立安全技术措施库。
通过等级风险评估结果，设计系统安全技术解决方案。
7.安全管理建设：
针对安全要求，建立安全管理措施库。
通过等级风险评估结果，进行安全管理建设。
通过如上步骤，XX医院的网络信息系统可以形成整体的等级化的安全保障体系，同时根据安全技术建设和安全管理建设，保障系统整体的安全。
3系统分析
3.1网络结构分析
从目前XX医院的全局网络结构上看，可以分为两大部分，用于日常医疗信息交换的业务网以及实时获取Internet信息资源的办公网。
其中，医院内部业务网是医院业务开展的重要平台，承载着核心业务，同时具有相应链路与卫生局、社保和银行等其他机构交换数据；而办公网主要对外提供信息发布门户，对内提供Internet网络接入等服务。
3.1.1业务内网
XX医院的业务内网是由在建的新办公大楼中心机房、各业务大楼（如：
门诊大楼、急诊大楼、住院大楼、科学楼、医技楼、肝病大楼等）以及萝岗医院（包括灾备中心）等几部分组成，其中新办公大楼中心机房是整个业务网络的核心，主要提供医疗数据交换、存储和医院业务系统的运维。
各业务大楼主要提供医护人员的日常业务的开展。
整个XX医院的业务网络由核心层、汇聚层和接入层的网络交换设备组成网络的骨干，然后通过各楼层交换机接入到各个业务大楼，为了防止网络设备由于单点故障而影响业务系统的可用性，在主要的核心节点设备上都采用了双机冗余的方式在线运行。
此外，还有相应的VPN专线连接到卫生局、社保和银行等外部单位，进行相关的医疗业务数据交换。
XX医院的业务内网拓朴图所下所示：
【图一：
XX医院业务内网】
3.1.2办公外网
办公外网主要由门诊楼中心机房、各接入业务大楼、Internet接入区和中大校园网出口等几部分组成；办公外网的组网方式与业务网有些类似，但其主要职能是供本院医职人员的互联网浏览服务以及对外网站的发布，所以办公外网采用的是成本更低廉单核心网络架构，以满足一般性的外网业务需求。
XX医院的办公外网拓扑图如下所示：
【图二：
XX医院办公外网】
3.2业务系统分析
3.2.1业务内网
经过近十多年的发展，XX医院信息系统（HospitalInformationSystem，HIS）建设初具规模，日趋完善。
信息系统的发展经历了从单机系统、局部网络系统到整个医院信息系统的多个阶段，可以说，HIS系统是XX医院医疗信息化的最核心资产。
另外，内网还运行有CLS系统、PACS系统、ES系统、CRS系统和B超等业务应用系统，它们也是XX医院日常业务正常开展的重要组成部分。
3.2.2办公外网
办公外网是XX医院对外综合性服务系统的载体，和Internet直接连接,并且按照医院相关规定和运行HIS系统的业务内网物理隔离。
主要应用有：
信息发布网站：
各级医疗系统的Web网站是其公众形象的重要体现形式之一，其主要功能是发布正式的医院官方的文件和信息等。
邮件和Internet浏览服务：
除了提供对外网站发布服务，医院办公网络系统还对内部人员提供邮件服务和Internet浏览服务。
外网OA系统：
则主要指用于日常办公的终端、办公自动化应用服务器和数据库，对于XX医院OA系统，主要包含的应用有：
电子邮件、公文传递及批复、文件传输和内部主页等日常办公文件处理。
4等级保护建设流程
XXX公司提出的“按需防御的等级化安全体系”是依据国家信息安全等级保护制度，根据系统在不同阶段的需求、业务特性及应用重点，采用等级化的安全体系设计方法，帮助构建一套覆盖全面、重点突出、节约成本、持续运行的等级化安全防御体系。
“等级化”设计方法，是根据需要保护的信息系统确定不同的安全等级，根据安全等级确定不同等级的安全目标，形成不同等级的安全措施进行保护。
等级保护的精髓思想就是“等级化”。
等级保护可以把业务系统、信息资产、安全边界等进行“等级化”，分而治之，从而实现信息安全等级保护的“等级保护、适度安全”思想。
整体的安全保障体系包括技术和管理两大部分，其中技术部分根据《信息系统安全等级保护基本要求》分为物理安全、网络安全、主机安全、应用安全、数据安全五个方面进行建设；而管理部分根据《信息系统安全等级保护基本要求》则分为安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五个方面。
整个安全保障体系各部分既有机结合，又相互支撑。
之间的关系可以理解为“构建安全管理机构，制定完善的安全管理制度及安全策略，由相关人员，利用技术工手段及相关工具，进行系统建设和运行维护。
”
根据等级化安全保障体系的设计思路，等级保护的设计与实施通过以下步骤进行：
1.系统识别与定级：
确定保护对象，通过分析系统所属类型、所属信息类别、服务范围以及业务对系统的依赖程度确定系统的等级。
通过此步骤充分了解系统状况，包括系统业务流程和功能模块，以及确定系统的等级，为下一步安全域设计、安全保障体系框架设计、安全要求选择以及安全措施选择提供依据。
2.安全域设计：
根据第一步的结果，通过分析医院系统业务流程、功能模块，根据安全域划分原则设计系统安全域架构。
通过安全域设计将系统分解为多个层次，为下一步安全保障体系框架设计提供基础框架。
3.确定安全域安全要求：
参照国家相关等级保护安全要求，设计不同安全域的安全要求。
通过安全域适用安全等级选择方法确定系统各区域等级，明确各安全域所需采用的安全指标。
4.评估现状：
根据各等级的安全要求确定各等级的评估内容，根据国家相关风险评估方法，对系统各层次安全域进行有针对性的等级风险评估。
并找出系统安全现状与等级要求的差距，形成完整准确的按需防御的安全需求。
通过等级风险评估，可以明确各层次安全域相应等级的安全差距，为下一步安全技术解决方案设计和安全管理建设提供依据。
5.安全保障体系方案设计：
根据安全域框架，设计系统各个层次的安全保障体系框架以及具体方案。
包括：
各层次的安全保障体系框架形成系统整体的安全保障体系框架；详细安全技术设计、安全管理设计。
6.安全建设：
根据方案设计内容逐步进行安全建设，满足方案设计并要符合的安全需求，满足等级保护相应等级的基本要求，实现按需防御。
7.持续安全运维：
通过安全预警、安全监控、安全加固、安全审计、应急响应等，从事前、事中、事后三个方面进行安全运行维护，确保系统的持续安全，满足持续性按需防御的安全需求。
通过如上步骤，系统可以形成整体的等级化的安全保障体系，同时根据安全技术建设和安全管理建设，保障XX医院系统整体的安全。
而应该特别注意的是：
等级保护不是一个项目，它应该是一个不断循环的过程，所以通过整个安全项目、安全服务的实施，来保证XX医院等级保护的建设能够持续的运行，能够使整个系统随着环境的变化达到持续的安全。
5方案参照标准
GB/T21052-2007信息安全等级保护信息系统物理安全技术要求
信息安全技术信息系统安全等级保护基本要求
信息安全技术信息系统安全保护等级定级指南
信息安全技术信息安全等级保护实施指南
信息安全技术信息系统安全等级保护测评指南
GB/T20271-2006信息安全技术信息系统通用安全技术要求
GB/T20270-2006信息安全技术网络基础安全技术要求
GB/T20984-2007信息安全技术信息安全风险评估规范
GB/T20269-2006信息安全技术信息系统安全管理要求
GB/T20281-2006信息安全技术防火墙技术要求与测试评价方法
GB/T20275-2006信息安全技术入侵检测系统技术要求和测试评价方法
GB/T20278-2006信息安全技术网络脆弱性扫描产品技术要求
GB/T20277-2006信息安全技术网络脆弱性扫描产品测试评价方法
GB/T20279-2006信息安全技术网络端设备隔离部件技术要求
GB/T20280-2006信息安全技术网络端设备隔离部件测试评价方法
等。
6安全风险与需求分析
伴随着XX医院信息化的快速发展，信息安全问题日益显现。
从医院安全建设角度，目前还没有成规模的部署安全产品，采用最多的只是桌面防病毒、网络防火墙和IDS入侵检测等传统安全技术手段，无论是业务网还是办公网均面临着来自网络外部和内部的一系列新型复杂的安全威胁；因此，必须认清威胁，明确需求，采取措施“攮外”与“安内”并举，才能确保XX医院信息化的顺利进行。
需要说明的是，业务网上承载着最核心HIS系统，整个安全建设将围绕保障业务系统的安全运行为目标。
其次是办公外网，既在诸如终端防护上具备和业务网类似的安全需求，又因边界的不同属性需要采取不同的个性化解决方案。
6.1安全技术需求分析
6.1.1物理安全风险与需求分析
物理安全风险主要是指网络周边的环境和物理特性引起的网络设备和线路的不可使用，从而会造成网络系统的不可使用，甚至导致整个网络的瘫痪。
它是整个网络系统安全的前提和基础，只有保证了物理层的可用性，才能使得整个网络的可用性，进而提高整个网络的抗破坏力。
例如：
机房缺乏控制，人员随意出入带来的风险；
网络设备被盗、被毁坏；
线路老化或是有意、无意的破坏线路；
设备在非预测情况下发生故障、停电等；
自然灾害如地震、水灾、火灾、雷击等；
电磁干扰等。
因此，在通盘考虑安全风险时，应优先考虑物理安全风险。
保证网络正常运行的前提是将物理层安全风险降到最低或是尽量考虑在非正常情况下物理层出现风险问题时的应对方案。
6.1.2计算环境安全风险与需求分析
计算环境的安全主要指主机以及应用层面的安全风险与需求分析，包括：
身份鉴别、访问控制、系统审计、入侵防范、恶意代码防范、软件容错、数据完整性与保密性、备份与恢复、资源合理控制、剩余信息保护、抗抵赖等方面。
身份鉴别
身份鉴别包括主机和应用两个方面。
主机操作系统登录、数据库登陆以及应用系统登录均必须进行身份验证。
过于简单的标识符和口令容易被穷举攻击破解。
同时非法用户可以通过网络进行窃听，从而获得管理员权限，可以对任何资源非法访问及越权操作。
因此必须提高用户名/口令的复杂度，且防止被网络窃听；同时应考虑失败处理机制。
访问控制
访问控制包括主机和应用两个方面。
访问控制主要为了保证用户对主机资源和应用系统资源的合法使用。
非法用户可能企图假冒合法用户的身份进入系统，低权限的合法用户也可能企图执行高权限用户的操作，这些行为将给主机系统和应用系统带来了很大的安全风险。
用户必须拥有合法的用户标识符，在制定好的访问控制策略下进行操作，杜绝越权非法操作。
系统审计
系统审计包括主机审计和应用审计两个方面。
对于登陆主机后的操作行为则需要进行主机审计。
对于服务器和重要主机需要进行严格的行为控制，对用户的行为、使用的命令等进行必要的记录审计，便于日后的分析、调查、取证，规范主机使用行为。
而对于应用系统同样提出了应用审计的要求，即对应用系统的使用行为进行审计。
重点审计应用层信息，和业务系统的运转流程息息相关。
能够为安全事件提供足够的信息，与身份认证与访问控制联系紧密，为相关事件提供审计记录。
入侵防范
主机操作系统面临着各类具有针对性的入侵威胁，常见操作系统存在着各种安全漏洞，并且现在漏洞被发现与漏洞被利用之间的时间差变得越来越短，这就使得操作系统本身的安全性给整个系统带来巨大的安全风险，因此对于主机操作系统的安装，使用、维护等提出了需求，防范针对系统的入侵行为。
恶意代码防范
病毒、蠕虫等恶意代码是对计算环境造成危害最大的隐患，当前病毒威胁非常严峻，特别是蠕虫病毒的爆发，会立刻向其他子网迅速蔓延，发动网络攻击和数据窃密。
大量占据正常业务十分有限的带宽，造成网络性能严重下降、服务器崩溃甚至网络通信中断，信息损坏或泄漏。
严重影响正常业务开展。
因此必须部署恶意代码防范软件进行防御。
同时保持恶意代码库的及时更新。
软件容错
软件容错的主要目的是提供足够的冗余信息和算法程序,使系统在实际运行时能够及时发现程序设计错误,采取补救措施,以提高软件可靠性,保证整个计算机系统的正常运行。
数据安全
主要指数据的完整性与保密性。
数据是信息资产的直接体现。
所有的措施最终无不是为了业务数据的安全。
因此数据的备份十分重要，是必须考虑的问题。
应采取措施保证数据在传输过程中的完整性以及保密性；保护鉴别信息的保密性
备份与恢复
数据是信息资产的直接体现。
所有的措施最终无不是为了业务数据的安全。
因此数据的备份十分重要，是必须考虑的问题。
对于关键数据应建立数据的备份机制，而对于网络的关键设备、线路均需进行冗余配置，备份与恢复是应对突发事件的必要措施。
资源合理控制
资源合理控制包括主机和应用两个方面。
主机系统以及应用系统的资源是有限的，不能无限滥用。
系统资源必须能够为正常用户提供资源保障。
否则会出现资源耗尽、服务质量下降甚至服务中断等后果。
因此对于系统资源进行控制，制定包括：
登陆条件限制、超时锁定、用户可用资源阈值设置等资源控制策略。
剩余信息保护
对于正常使用中的主机操作系统和数据库系统等，经常需要对用户的鉴别信息、文件、目录、数据库记录等进行临时或长期存储，在这些存储资源重新分配前，如果不对其原使用者的信息进行清除，将会引起用户信息泄漏的安全风险，因此，需要确保系统内的用户鉴别信息文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除
对于动态管理和使用的客体资源，应在这些客体资源重新分配前，对其原使用者的信息进行清除，以确保信息不被泄漏。
抗抵赖
对于数据安全，不仅面临着机密性和完整性的问题，同样还面临着抗抵赖性（不可否认性）的问题，应采用技术手段防止用户否认其数据发送和接收行为，为数据收发双方提供证据。
6.1.3区域边界安全风险与需求分析
区域边界的安全主要包括：
边界访问控制、边界完整性检测、边界入侵防范以及边界安全审计等方面。
边界访问控制
对于各类边界最基本的安全需求就是访问控制，对进出安全区域边界的数据信息进行控制，阻止非授权及越权访问。
边界完整性检测
边界的完整性如被破坏则所有控制规则将失去效力，因此需要对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查，维护边界完整性。
边界入侵防范
各类网络攻击行为既可能来自于大家公认的互联网等外部网络，在内部也同样存在。
通过安全措施，要实现主动阻断针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口扫描、DoS/DDoS等，实现对网络层以及业务系统的安全防护，保护核心信息资产的免受攻击危害。
边界安全审计
在安全区域边界需要建立必要的审计机制，对进出边界的各类网络行为进行记录与审计分析，可以和主机审计、应用审计以及网络审计形成多层次的审计系统。
并可通过安全管理中心集中管理。
边界恶意代码防范
现今，病毒的发展呈现出以下趋势:
病毒与黑客程序相结合、蠕虫病毒更加泛滥，目前计算机病毒的传播途径与过去相比已经发生了很大的变化，更多的以网络（包括Internet、广域网、局域网）形态进行传播，因此为了安全的防护手段也需以变应变。
迫切需要网关型产品在网络层面对病毒予以查杀。
6.1.4通信网络安全风险与需求分析
XX医院通信网络的安全主要包括：
网络结构安全、网络安全审计、网络设备防护、通信完整性与保密性等方面。
网络结构
网络结构是否合理直接影响着是否能够有效的承载业务需要。
因此网络结构需要具备一定的冗余性；带宽能够满足业务高峰时期数据交换需求；并合理的划分网段和VLAN。
网络安全审计
由于用户的计算机相关的知识水平参差不齐，一旦某些安全意识薄弱的管理用户误操作，将给信息系统带来致命的破坏。
没有相应的审计记录将给事后追查带来困难。
有必要进行基于网络行为的审计。
从而威慑那些心存侥幸、有恶意企图的少部分用户，以利于规范正常的网络应用行为。
网络设备防护
由于XX医院在建网络系统将会使用大量的网络设备和安全设备，如交换机、防火墙、入侵检测设备等。
这些设备的自身安全性也会直接关系到涉密网和各种网络应用的正常运行。
如果发生网络设备被不法分子攻击，将导致设备不能正常运行。
更加严重情况是设备设置被篡改，不法分子轻松获得网络设备的控制权，通过网络设备作为跳板攻击服务器，将会造成无法想象的后果。
例如，交换机口令泄漏、防火墙规则被篡改、入侵检测设备失灵等都将成为威胁网络系统正常运行的风险因素。
通信完整性与保密性
由于网络协议及文件格式均具有标准、开发、公开的特征，因此数据在网上存储和传输过程中，不仅仅面临信息丢失、信息重复或信息传送的自身错误，而且会遭遇信息攻击或欺诈行为，导致最终信息收发的差异性。
因此，在信息传输和存储过程中，必须要确保信息内容在发送、接收及保存的一致性；并在信息遭受篡改攻击的情况下，应提供有效的察觉与发现机制，实现通信的完整性。
而数据在传输过程中，为能够抵御不良企图者采取的各种攻击，防止遭到窃取，应采用加密措施保证数据的机密性。
网络可信接入
对于一个不断发展的网络而言，为方便办公，在网络设计时保留大量的接入端口，这对于随时随地快速接入到XX医院业务网络进行办公是非常便捷的，但同时也引入了安全风险，一旦外来用户不加阻拦的接入到网络中来，就有可能破坏网络的安全边界，使得外来用户具备对网络进行破坏的条件，由此而引入诸如蠕虫扩散、文件泄密等安全问题。
因此需要对非法客户端实现禁入，能监控网络，对于没有合法认证的外来机器，能够阻断其网络访问，保护好已经建立起来的安全环境。
6.2安全管理需求分析
“三分技术、七分管理”更加突出的是管理层面在安全体系中的重要性。
除了技术管理措施外，安全管理是保障安全技术手段发挥具体作用的最有效手段，建立健全安全管理体系不但是国家等级保护中的要求，也是作为一个安全体系来讲，不可或缺的重要组成部分。
安全管理体系依赖于国家相关标准、行业规范、国际安全标准等规范和标准来指导，形成可操作的体系。
主要包括：
安全管理制度
安全管理机构
人员安全管理
系统建设管理
系统运维管理
根据等级保护的要求在上述方面建立
升级会员 