中科网威三甲医院信息安全等保解决方案

一、医疗行业背景

随着信息技术的发展与医疗卫生事业的深化改革，国家金卫工程的实施使医院管理信息化的进程大大加快，医院的信息化建设取得了很大进展。计算机和网络作为现代医院重要的工具，在日常办公和业务过程中发挥着越来越重要的角色。计算机和计算机网络已经成为医疗机构、医院和其它各种远程就诊等领域的重要信息载体和传输渠道。很明显，计算机、计算机网络和其所带来的信息数字化大幅度提高了工作效率，也使得海量的信息存储和处理成为了现实。但是，在享受到计算机以及计算机网络所带来的方便性的同时，也带来了信息安全隐患。

近年来三甲医院为了提升竞争力、方便患者就医，逐步与银行、社保、新农保等单位互联互通，开始向患者提供互联网上的医嘱服务、病历调阅服务、检查检验报告的浏览服务，医院信息化在快速发展的同时，也逐渐暴露出了安全建设的不足。另外，随着移动医疗和远程医疗的日趋广泛的应用，如何保障移动医疗和远程医疗的应用安全也是一个极其严峻的挑战。任何的安全事件所导致的医院业务系统宕机，都会降低患者的就医满意度，损害医院的信誉，处理不当则可能会引起医患纠纷、法律问题甚至社会问题。

二、医院等保网络安全方案设计

1、医院网上在线业务的服务保障

随着网上挂号、网上门诊等新的远程医疗形式的推广，医院网站的实质业务作用也显得越来越重要。如何保障医院网上平台的高效、可靠运行，网上服务的质量如果保障。 

2、医院信息网络域划分及访问控制

医院信息系统安全等级保护基本要求规定：应根据各科室的工作职能、重要性、所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段。医院信息系统重要网段（如服务器网段），应能根据会话状态信息（包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息），为数据流提供明确的允许/拒绝访问的能力。

3、医院网络边界入侵防护

医疗机构信息系统安全等级保护基本要求规定：应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生。当检测到入侵事件时，应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。

4、医院IDC机房网络设备安全运维管理

医疗机构信息系统安全等级保护基本要求规定：网络设备身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；应具有登录失败处理功能，如：结束会话、限制非法登录次数，当网络登录连接超时，自动退出。 

5、医院信息系统统一强身份认证

医疗机构信息系统安全等级保护基本要求规定：操作系统和数据库系统身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等。

6、医院安全事件分析及日志审计

医疗机构信息系统安全等级保护基本要求规定：应分析信息系统的类型、网络连接特点和信息系统用户特点，了解本系统和同类系统已发生的安全事件，识别本系统需要防止发生的安全事件，事件可能来自攻击、错误、故障、事故或灾难。

三、中科网威医院等保网络安全方案

三甲医院等级保护信息安全方案图

1、信息系统等保安全方案说明：

在上述六个安全层面的建设中，中科网威结合自身优势为医疗行业提供了一套完整、安全、可行的医疗行业信息安全解决方案。

• 医院信息安全建设将从事前预防，事中减损，和事后纠正三个方面提供全面的防护策略，全面提升提高医院安全防护能力；

• 重点防护对外WEB应用，降低数据泄露风险、支撑WEB可用性以及控制恶意访问；

• 采用VPN技术保证医院与分支医疗机构、医院与上下级机构以及医院与移动医护工作者的的安全数据交换；

• 加强主动防御能力，通过全方位、多视角的风险分析，完善医院信息系统漏洞，降低安全风险，提高信息系统健壮性；

• 提升医院IT设备运维审计能力，最小化避免操作失误以及蓄意破坏带来的损失。采用集中统一的安全管理形式，提高安全管理效率；

• 根据上级主管部门的政策指导，依据信息安全等级保护要求，对业务系统进行等级保护建设；

该方案通过中科网威SSL/IPSEC VPN网关、下一代防火墙、IPS入侵检测、网络行为审计、运维审计堡垒机、中科网警网管系统与Web应用防火墙、数据库及业务审计系统等安全产品，共同构建出了一个固若金汤的多层安全防御预防体系。

1）网络攻击防护（入侵防御系统）

当医院网络系统遇到互联网的非法攻击和入侵的时候，势必对网上应用和交易系统产生影响，造成访问效率下降、网络拥堵等状况，采用主动式入侵防御系统利用高可靠识别攻击，精确判断入侵及攻击行为并作出相应的反应来解决客户遇到的上述问题。

2）链路负载均衡（下一代防火墙）

为了避免出现链路单点故障，保证链路接入的高可用性，医院单位一般采用不同运营商的多条链路接入，采用链路负载均衡产品，把访问外网资源的内网用户按照要求负载均衡到两条链路，任何一条链路出现故障，都能够实时发现，自动把请求转发至正常的链路；同时把访问内网资源的用户自动导向到访问质量最优的链路，并实时监控链路的状态，如果某一链路出现故障，自动切换到其他正常链路。

3）安全区域划分和隔离（入侵防火墙）

医院网络在数据中心根据不同的安全级别划分出不同的访问区域，不同的区域之间互相访问需要通过安全设备进行隔离，根据不同的安全级别设定策略进行访问控制，通过多种检测机制，发现攻击流量，实时进行阻断，提高应用系统的安全性。

4）远程办公安全接入（VPN安全网关）

医院网络为加强远程办公终端的安全性和易用性，采用SSLVPN的接入方式，利用对客户端安全检查、灵活定制访问策略和权限的技术手段，满足远程分支办公用户或社康中心接入数据中心简单方便。

5）Web应用安全防护，服务器防护（WEB应用防火墙）

医院网络在数据中心的建设过程中Web服务也是核心业务系统，建议采用Web防火墙对Web服务器进行安全保护，避免针对服务器应用层和源代码攻击的风险，中科网威Web应用防护系统（ANYSEC-WAF）是中科网威公司结合多年在应用安全领域实践经验积累的基础上，自主研发的一款Web应用安全防护系统。在提供Web应用实现深度防御的同时，实现Web应用安全防护，黑客漏洞攻击防护，恶意扫描及探测防护，DDOS/CC攻击防御，URL自学习保护、Web漏洞扫描、服务器防护、网页防篡改，数据库防篡改，网站访问统计，Web负载均衡等常见及最新的安全问题，为Web应用提供全方位的安全防护解决方案。

6）服务器、网络设备运维操作审计（运维审计堡垒机系统）

医院网络在数据中心的建设过程中最重要的就是核心业务系统，它包含了至关重要的应用系统服务器和核心数据服务器，因此各类服务器及医院应用系统的安全防护是客户最关心的重点，建议采用运维审计（堡垒机）系统进行安全审计保护，避免针对服务器应用层和源代码攻击的风险，采用堡垒机系统安全审计平台对各类数据库操作，数据表调用和修改的动作进行审计和告警，保证在数量繁多的用户访问数据库的情况下行为能够进行审计。中科网威堡垒机系统动态口令认证系统确保网上交易系统用户帐户和口令的密码保护，形成"双因素"强身份认证。

中科网威运维堡垒机（又称IT运维管理系统/设备）是针对管理“IT管理员”的设备，可对企业IT运维人员在运维操作过程中进行统一身份认证、统一授权、统一审计、统一监控，消除了传统运维过程中的盲区，实现了运维简单化、操作可控化、过程可视化，它通过Web方式对主机、服务器、网络设备、安全设备、数据库、应用等实施统一认证、授权、审计、分析；具有与身份认证系统无缝结合接口,支持用户密码、手机动态口令双因子认证。实现对操作过程的全程监控与审计录像回放，以及对违规操作行为的实时阻断,保证只有合法用户才能使用其拥有运维权限的关键资源。为组织在操作风险控制、内控安全及规范性等提供一套完善、有效的审计手段。

7）机房服务器、网络设备、动力环境运维监控报警（运维监控系统）

医院信息中心运维管理层部署一套运维监控网管系统，为医院运维人员提供统一的运维设备状态短信报警。中科网威自主研发的运维审计系统（中科网警系统）产品以高性能、高稳定性和实用设计为原则，运行于安全可靠的Linux操作系统，采用多层高性能架构设计，可管理上万个监控对象。全中文WEB架构，全面支持IP网络上的SNMP、WMI、SYSLOG和IPMI协议以及自有的SECROS协议，动力环境监控的Modbus协议，提供非常丰富IT网络监控和动力环境监控功能，操作简单，是追求高稳定性和高性价比的企业用户、政府、医院单位的首选产品，通过中科网警系统，医院系统运维人员可对单位内所有网络安全设备、应用系统服务器、机房动力环境的运行状况进行全方面的动态监控及故障短信告警。

2、信息安全等保方案应用效果

合规：满足等保要求，建立、健全了一个中心的三重防御体系。

全面：从事前、事中、事后进行全方位的安全部控，同时采取网络层面、主机层面、应用层面、数据层面、管理层面等不同层面的安全防护措施，建立立体的防御体系，为业务系统搭建了一个安全、稳定、高可用、协同的运行平台。

整合：将分散的安全转向实现集中的、可管理的安全，强调各类安全设备的协同，例如：中心医院VPN和社康中心VPN的互备，安全管理平台和医院信息系统的整合、WEB应用防火墙和杀下一代防火墙的纵深防御、堡垒机和网管监控系统的协同运维审计防护等等。