張云 王胤濤

昆明醫(yī)科大學(xué)第一附屬醫(yī)院信息中心 云南 650032

0 引言

我院是一所綜合性三級甲等醫(yī)院，醫(yī)院信息系統(tǒng)歷經(jīng)10多年的努力已完成了門診、住院 HIS、LIS、PACS、麻醉手術(shù)管理、輸血管理等系統(tǒng)建設(shè)，建成了擁有 3500多個信息點、1800多個終端工作站的有線和無線局域網(wǎng)絡(luò)系統(tǒng)。醫(yī)院網(wǎng)絡(luò)已覆蓋門診、住院、檢查、檢驗、治療、實驗室及管理部門(科室)。軟件及相關(guān)系統(tǒng)也多次升級改造，已建成一套基于醫(yī)院信息系統(tǒng)應(yīng)用的服務(wù)于醫(yī)、教、研、管理、辦公的全流程、多系統(tǒng)、網(wǎng)絡(luò)化的體系。系統(tǒng)的安全性將直接影響到醫(yī)療活動能否正常運作。因此，建立一個完整的安全體系，顯得越來越重要。許多醫(yī)院曾經(jīng)因此蒙受過巨大的損失，為了有效避免網(wǎng)絡(luò)災(zāi)難的發(fā)生，我們有針對性的從理論與實踐的角度進(jìn)行了初步的探索和研究，逐步形成了一套實用、有效的安全管理體系，取得了較好的效果。

根據(jù)《信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求》，結(jié)合醫(yī)院實際，制定了我院信息系統(tǒng)安全策略：實體可信，行為可控，資源可管，事件可查，運行可靠的原則。

1 依據(jù)及技術(shù)

《計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》GB17859-1999、《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》、《信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求》GB/T 22239—2008。防惡意代碼技術(shù)：主要通過防毒、終端防護(hù)等手段實現(xiàn)；數(shù)據(jù)防護(hù)技術(shù)：主要通過終端防護(hù)、數(shù)據(jù)防泄露、數(shù)據(jù)加密等手段實現(xiàn)；PC生命周期管理：通過資產(chǎn)生命周期管理產(chǎn)品，配合采購、使用、維護(hù)、報廢等資產(chǎn)管理各環(huán)節(jié)的操作流程，進(jìn)行標(biāo)準(zhǔn)化、流程化管理；通過身份認(rèn)證、備份恢復(fù)等技術(shù)手段加強(qiáng)終端安全的管理；網(wǎng)絡(luò)訪問控制：主要是通過終端的網(wǎng)絡(luò)準(zhǔn)入機(jī)制進(jìn)行策略遵從和強(qiáng)制策略執(zhí)行，并實施網(wǎng)絡(luò)接入的控制；通過防火墻、隔離網(wǎng)閘實現(xiàn)網(wǎng)絡(luò)不通安全區(qū)域分隔；管理和報告問題：通常需要建立一個安全管理平臺將上述技術(shù)手段、產(chǎn)品相關(guān)的事件、日志等進(jìn)行集中收集和分析，形成綜合性的管理性報告，滿足管理需要。

2 總體框架

任何一個安全工作的落實，都依賴于組織(人)、技術(shù)、流程作為支撐。結(jié)合醫(yī)院的實際情況，我們提出了從網(wǎng)絡(luò)、系統(tǒng)、數(shù)據(jù)，終端的行為，以及整體管理幾個方面的全方位安全總體規(guī)劃框架(圖1)，并提出了相應(yīng)的規(guī)劃內(nèi)容。

圖1 總體規(guī)劃框架

3 安全策略內(nèi)容

3.1 機(jī)房及物理線路安全

機(jī)房的設(shè)計和管理要符合國家規(guī)范。建立較為完善的機(jī)房監(jiān)控設(shè)施，包括：門禁、供電、漏水、溫濕度等，設(shè)置警戒值并能通過聲、光及短信報警。機(jī)房應(yīng)采用兩路供電系統(tǒng)，設(shè)置專用配電箱，與其它負(fù)荷應(yīng)分別供電。主機(jī)房配備的不間斷電源(UPS)，保證8h的后備供電量。還須做好防火、防雷、防靜電和接地工作，確保機(jī)房安全。在各棟的樓層設(shè)置專用配線間，專人負(fù)責(zé)管理，主干光纜冗余布放。

3.2 網(wǎng)絡(luò)安全與準(zhǔn)入控制

遵循安全分區(qū)、橫向隔離、縱向認(rèn)證的原則。內(nèi)網(wǎng)與外網(wǎng)應(yīng)用(醫(yī)保、新農(nóng)合等)，使用防火墻、IDS(入侵檢測)、隔離網(wǎng)閘設(shè)備，實現(xiàn)網(wǎng)絡(luò)訪問控制、流量及連接數(shù)控制、內(nèi)容過濾、入侵檢測、VPN(虛擬專用網(wǎng))接入。院區(qū)局域網(wǎng)為 3層架構(gòu)，交換機(jī)均為cisco產(chǎn)品。按科室(部門)及工作站用途(如醫(yī)生、護(hù)士、財務(wù))規(guī)劃ip地址和vlan，在核心交換機(jī)上配置多生成樹協(xié)議(Multiple Spanning Tree Protocol,MSTP)+GLBP(Gateway Load Balancing Protocol，網(wǎng)關(guān)負(fù)載均衡協(xié)議)進(jìn)行vlan融合和邏輯隔離，在接入層交換機(jī)上進(jìn)行cisco的端口安全配置，當(dāng) MAC地址改變時，端口將自動變遷為shutdown狀態(tài)，阻止非授權(quán)設(shè)備接入內(nèi)部網(wǎng)絡(luò)，實現(xiàn)不同安全區(qū)域的獨立化、差異化防護(hù)。

通過用戶名+口令和標(biāo)準(zhǔn)的RADIUS服務(wù)器配合，完成對用戶的身份認(rèn)證的強(qiáng)制檢查。進(jìn)行基于角色的訪問控制技術(shù)，實現(xiàn)用戶的分級管理及系統(tǒng)管理員、安全管理員與審計管理員的三權(quán)分立。通過終端準(zhǔn)入控制、Windows2003的活動目錄或RADIUS 服務(wù)器來控制第三方合作人員準(zhǔn)入。

3.3 系統(tǒng)及應(yīng)用安全

虛擬機(jī)服務(wù)器的管理已經(jīng)成為服務(wù)器管理中很重要的一部分，通過虛擬機(jī)管理解決方案，通過統(tǒng)一的平臺架構(gòu)對于VMWARE ESX進(jìn)行統(tǒng)一有效的管理，將虛擬機(jī)服務(wù)器管理納入服務(wù)器管理規(guī)范中。

內(nèi)部網(wǎng)絡(luò)部署Symantec? Endpoint Protection 12.1基于特征的防病毒和反間諜軟件防護(hù)。它提供代理端，通過管理控制臺即可進(jìn)行管理，從而簡化端點安全管理，如策略更新、統(tǒng)一的集中報告及授權(quán)許可和維護(hù)計劃。使用威脅防御能力，能夠保護(hù)端點免遭目標(biāo)性攻擊以及之前沒有發(fā)現(xiàn)的未知攻擊。使用主動防御，從而建立一個覆蓋全網(wǎng)的、可伸縮、抗打擊的防病毒體系。建立統(tǒng)一部署、統(tǒng)一管理的個人防火墻，個人防火墻依據(jù)應(yīng)用程序、主機(jī)ip地址及vlan、通訊特征，制定過濾規(guī)則，阻止/容許端口和協(xié)議進(jìn)出。利用個人防火墻技術(shù)，一方面可以防止病毒利用漏洞滲透進(jìn)入終端，另一方面，可以有效地阻斷病毒傳播路徑。在核心交換機(jī)上將各 vlan轉(zhuǎn)發(fā)的數(shù)據(jù)包鏡像到入侵檢測系統(tǒng)(IDS)上，入侵檢測和防火墻設(shè)備聯(lián)動，產(chǎn)生自動阻斷識別的攻擊行為和誤操作，這樣即實現(xiàn)了各網(wǎng)段黑客攻擊行為的檢測，也及時對重要區(qū)域的攻擊行為進(jìn)行阻斷。定期對相關(guān)日志進(jìn)行收集、審計、分析，以發(fā)現(xiàn)系統(tǒng)的脆弱性和漏洞。定期進(jìn)行安全檢查、風(fēng)險分析和安全隱患整改。

配置主域、備份域服務(wù)器，應(yīng)用Windows2003的活動目錄，根據(jù)科室(部門)及工作站用途及用戶角色，建立域樹、域，規(guī)劃組織單元，建立組策略規(guī)則，利用組策略管理組織單元中的用戶，實現(xiàn)應(yīng)用程序的統(tǒng)一部署，保證各類工作站具有統(tǒng)一的用戶界面、統(tǒng)一的應(yīng)用軟件版本，同時軟件限制策略可以防止計算機(jī)環(huán)境中被安裝運行未知的或不被信任的軟件(阻止通過exe文件進(jìn)行軟件安裝；阻止終端透過msi文件進(jìn)行軟件安裝)；并能實現(xiàn)補(bǔ)丁的統(tǒng)一發(fā)布。

3.4 數(shù)據(jù)備份與容災(zāi)

對數(shù)據(jù)庫采用日備份、差量備份策略，將生產(chǎn)數(shù)據(jù)庫數(shù)據(jù)備份到帶庫中，即便當(dāng)天數(shù)據(jù)出現(xiàn)了錯誤的情況下仍然可以將數(shù)據(jù)庫恢復(fù)到前2小時的狀態(tài)，保障將數(shù)據(jù)損失控制在最小情況；建立在線存儲、近線存儲和離線存儲的三級存儲機(jī)制，每天將 30天前的生產(chǎn)數(shù)據(jù)轉(zhuǎn)儲到近線存儲和離線存儲陣列中，這樣既保證了歷史數(shù)據(jù)的安全，也確保了新增數(shù)據(jù)存儲的高效響應(yīng)。在院區(qū)相距1500米的另1樓體內(nèi)，建設(shè)雙活應(yīng)用級容災(zāi)被用機(jī)房，以保證醫(yī)院24h系統(tǒng)不間斷運行。

3.5 資產(chǎn)管理與運維

建立運維管理系統(tǒng)，對終端以及服務(wù)器進(jìn)行全面管理，從購買到部署、使用到管理，維護(hù)到報廢?？刂婆_可對資產(chǎn)變更自動監(jiān)控，及時反映資產(chǎn)變化狀況，能實現(xiàn)全面的收集，快速統(tǒng)計分析，快速生成滿足各個部門所需要的資產(chǎn)報表，為資產(chǎn)評估以及更新提供依據(jù)。資產(chǎn)信息自動收集(如計算機(jī)硬件信息、安裝的軟件包、操作系統(tǒng)配置等)，可協(xié)助實現(xiàn)終端以及服務(wù)器管理的合規(guī)性、可管理性。同時，也作為故障申報平臺，記錄申報的設(shè)備故障、維修維護(hù)結(jié)果記錄，從而建立運維知識庫，提高信息設(shè)備資產(chǎn)的維護(hù)、管理效率。

3.6 安全管理組織機(jī)構(gòu)

建立以信息主管副院長為負(fù)責(zé)人、信息中心為安全技術(shù)實施、管理負(fù)責(zé)、科室設(shè)置安全管理員的三級安全組織機(jī)構(gòu)，堅持“誰主管誰負(fù)責(zé)，誰運行誰負(fù)責(zé)”的原則。

3.7 安全管理制度

我院制定了一套較為健全完善的安全管理制度建立并有效執(zhí)行，安全管理制度包括：《信息中心崗位職責(zé)》、《信息中心保密制度》、《信息中心值班制度》、《中心機(jī)房管理制度》、《信息中心設(shè)備管理制度》、《信息系統(tǒng)設(shè)備維修流程》、《信息中心網(wǎng)站管理辦法》、《信息系統(tǒng)查詢統(tǒng)計功能和規(guī)定》、《信息系統(tǒng)安全巡檢制度》、《信息系統(tǒng)人員權(quán)限設(shè)置制度》、《醫(yī)院信息變更與發(fā)布管理制度》、《計算機(jī)信息資源共享管理制度》、《個人桌面終端管理辦法》、《醫(yī)院計算機(jī)網(wǎng)絡(luò)安全管理制度》、《信息中心應(yīng)急預(yù)案》等，從組織和制度上強(qiáng)化安全管理。

4 結(jié)束語

我們清楚的認(rèn)識到，無論所使用安全技術(shù)有多先進(jìn)，都只是實現(xiàn)信息安全的手段而已，三分技術(shù)，七分管理，信息安全源于有效的管理，為此，我們建立了信息安全管理機(jī)構(gòu)，堅持“誰主管誰負(fù)責(zé)，誰運行誰負(fù)責(zé)”的原則；堅持決策層參與信息安全管理工作，建立健全了安全管理制度，它是計算機(jī)網(wǎng)絡(luò)安全的重要保證，需要不斷加大計算機(jī)信息網(wǎng)絡(luò)的規(guī)范化管理力度。我們也清楚的認(rèn)識到信息安全建設(shè)、管理工作要堅持從實際出發(fā)，區(qū)分不同情況，分級、分類、分階段進(jìn)行信息安全建設(shè)和管理。加強(qiáng)各工作站操作人員的教育和培訓(xùn)，在醫(yī)務(wù)人員中普及安全知識，對安全管理人員進(jìn)行專門培訓(xùn)和考核。只有從安全技術(shù)、安全服務(wù)、和安全管理三個方面高度重視，不斷提高，才能保障醫(yī)院信息系統(tǒng)健康穩(wěn)定的運行。

[1]楊俊志.醫(yī)院信息系統(tǒng)安全體系建設(shè)實踐[J].醫(yī)學(xué)信息.2011.

[2]GB50174-2008.電子信息系統(tǒng)機(jī)房設(shè)計規(guī)范.[S].

[3]GB9361,計算站場地安全要求[S].

[4]GB2887.計算站場地技術(shù)條件[S].

[5]曾凡.醫(yī)院信息系統(tǒng)安全策略中值得關(guān)注的問題[J].重慶醫(yī)學(xué).2009.

[6]李娜,盧沙林.軍隊醫(yī)院網(wǎng)絡(luò)信息系統(tǒng)的安全分析[J].計算機(jī)與現(xiàn)代化.2011.

[7]胡建理,李小華,周斌.醫(yī)院信息系統(tǒng)安全保障策略探析[J].中國數(shù)字醫(yī)學(xué).2010.

[8]王越,楊平利,李衛(wèi)軍.涉密計算機(jī)信息安全管理體系的設(shè)計與實現(xiàn)[J].計算機(jī)工程與設(shè)計.2010.

[9]王保中,莊軍,劉侃等.應(yīng)用活動目錄加強(qiáng)醫(yī)院網(wǎng)絡(luò)管理[J].醫(yī)療衛(wèi)生裝備.2008.

[10]張展.組策略在 Windows域管理中的應(yīng)用[J].電腦知識與技術(shù).2011.