XX医院医疗信息系统安全三级等保建设可行性方案

2023年12月4日发(作者：习惯的养成)

-

XX医院医疗信息系统安全三级等保建设可行性方案

目 录 1 、某市三院医疗信息系统现状分析 ............................................................................... 4

1.1拓扑图 ...................................................................................................................... 4

1.2网站/BS应用现状 ............................................................... 错误！未定义书签。

1.3漏洞扫描 ............................................................................... 错误！未定义书签。

1.4边界入侵保护 ....................................................................... 错误！未定义书签。

1.5安全配置加固 ....................................................................... 错误！未定义书签。

1.6密码账号统一管理 .............................................................. 错误！未定义书签。

1.7数据库审计、行为审计 ...................................................... 错误！未定义书签。

1.8上网行为管理 ....................................................................... 错误！未定义书签。

2 、某市三院医疗信息系统潜在风险 ............................................................................... 5

2.1黑客入侵造成的破坏和数据泄露 ........................................................................ 5

2.2医疗信息系统漏洞问题 ......................................................................................... 6

2.3数据库安全审计问题 ............................................................................................. 6

2.4平台系统安全配置问题 ......................................................................................... 7

2.5平台虚拟化、云化带来的新威胁 ..................................... 错误！未定义书签。

3、某市三院医疗信息系统安全需求分析 ........................................................................ 7

3.1医疗信息系统建设安全要求 ................................................................................. 7

3.2医疗等级保护要求分析 ......................................................................................... 8

3.3系统安全分层需求分析 ....................................................................................... 13

3.4虚拟化、云计算带来的安全问题分析 .............................................................. 20

4、医疗信息系统安全保障体系设计 ............................................................................... 24

4.1安全策略设计 ........................................................................................................ 24 4.2安全设计原则 ........................................................................................................ 25

4.3等级保护模型 ........................................................................................................ 26

4.4系统建设依据 ........................................................................................................ 27

4.5遵循的标准和规范 ............................................................................................... 28

5、安全管理体系方案设计 ............................................................................................... 28

5.1组织体系建设建议 ............................................................................................... 29

5.2管理体系建设建议 ............................................................................................... 29

6、安全服务体系方案设计 ............................................................................................... 31

6.1预警通告 ................................................................................................................ 31

6.2技术风险评估 ........................................................................................................ 32

6.3新上线系统评估 .................................................................................................... 32

6.4渗透测试 ................................................................................................................ 32

6.5安全加固 ................................................................................................................ 33

6.6虚拟化安全加固服务 ........................................................................................... 34

6.7应急响应 ................................................................................................................ 34

7、安全技术体系方案设计 ............................................................................................... 35

7.1物理层安全 ............................................................................................................ 35

7.2网络层安全 ............................................................................................................ 36

7.3主机层安全 ............................................................................................................ 40

7.4应用层安全 ............................................................................................................ 44

7.5数据层安全 ............................................................................................................ 47

7.6虚拟化、云计算安全解决方案 ........................................................................... 49

8、平台安全建设方案小结 ............................................................................................... 51 8.1安全产品汇总 ........................................................................................................ 51

8.2产品及服务选型 .................................................................................................... 54

1、某市三院医疗信息系统现状分析

1.1系统现状

某市第三人民医院（以下简称某三院）作为三级甲等医院，已经建成全院网络覆盖，医院内网已覆盖行政楼、老病房1/2F、门诊一期、门诊二期以及门诊一期中心机房，医院外网与新农合、市社保机构互联。医院内网采用“核心-接入”二层交换架构，行政楼、病房、门诊通过接入交换机连接至中心机房核心交换机。HIS、LIS系统作为三院核心业务系统直接部署在中心机房，系统服务器直接挂载在中心机房核心交换机上。近期三院将在中心机房区域部署一套电子病历系统已完善三院医疗信息系统。在出口方向，医院有两条出口与外网互联，一条通过防火墙完成与新农合、市医保机构的互联，另一条通过ISA服务器接入互联网。

2、某市三院医疗信息系统潜在风险

2.1黑客入侵造成的破坏和数据泄露

随着医疗信息化的普及，个人信息逐渐以电子健康档案、电子病历和电子处方为载体，其中包括了个人在疾病控制、体检、诊断、治疗、医学研究过程中涉及到的肌体特征、健康状况、遗传基因、病史病历等个人信息。其中个人医疗健康信息的秘密处于隐私权的核心部位，而保障病人的隐私安全是医院和医护人员的职责。

某市三院医疗信息系统某市三院中心机房汇集了大量的病人隐私信息，而这些数据在传输过程中极易被窃取或监听。同时基于电子健康档案和电子病历大量集中存储的情况，一旦系统被黑客控制，可能导致病人隐私外泄，数据恶意删除和恶意修改等严重后果。病人隐私信息外泄将会给公民的生活、工作以及精神方面带来很大的负面影响和损失，同时给平台所辖区域造成不良社会影响，严重损害机构的公共形象，甚至可能引发法律纠纷。而数据的恶意删除和篡改会导致电子健康档案和电子病历的丢失以及病人信息的错误，给医护人员的工作造成影响，甚至可能引发医疗事故。另一方面，随着便携式数据处理和存储设备的广泛应用，由于设备丢失而导致的数据泄漏威胁也越来越严重。

因此电子健康档案和电子病历数据作为卫生平台某市三院中心机房的重要资产，必须采取有效措施以防止物理上的丢失和黑客监听、入侵行为造成的破坏，保证数据的保密性，安全性和可用性。 2.2医疗信息系统漏洞问题

自计算机技术的出现以来，由于技术发展局限、编码错误等种种原因，漏洞无处不在并且已成为直接或间接威胁系统和应用程序的脆弱点。操作系统和应用程序漏洞能够直接威胁数据的完整性和机密性，流行蠕虫的传播通常也依赖与严重的安全漏洞，黑客的主动攻击也往往离不开对漏洞的利用。事实证明，99%以上攻击都是利用已公布并有修补措施但用户未修补的漏洞。

某市三院医疗信息系统某市三院中心机房建设涉及到大量的网络设备，服务器，存储设备，主机等，其中不可避免地存在着可被攻击者利用的安全弱点和漏洞，主要表现在操作系统、网络服务、TCP/IP协议、应用程序（如数据库、浏览器等）、网络设备等几个方面。正是这些弱点给蓄意或无意的攻击者以可乘之机，一旦系统的漏洞利用成功，势必影响到系统的稳定、可靠运行，更严重的导致系统瘫痪和数据丢失，从而影响平台的公众形象。因此能够及时的发现和修补漏洞对于平台某市三院中心机房网络安全有着重要意义。另一方面，基于某市三院中心机房设备、系统、应用量大的情况，通过人工进行漏洞发现和修补非常耗费人力和时间，因此有必要借助漏洞扫描设备和补丁服务器机制来实现自动化的漏洞扫描和补丁下发。

2.3数据库安全审计问题

医疗行业信息化建设在带来各种便捷的同时也引入了新的隐患。随着病人信息和药品信息的数据化，加之内部安全管理制度不够完善，医疗机构内部运维人员可以借助自身职权，利用数据库操作窃取药品统方信息，修改药品库存数据，修改医保报销项目等，来牟取个人私利。其中药品统方行为是医疗行业高度重视的问题，其背后涉及的药品和医用耗材灰色交易严重扰乱医疗行业秩序，败坏医德医风，影响医院的公众形象，是医疗机构必须坚决制止和查处的行为。其次修改药品库存信息和修改医保报销项目等行为也会给医疗机构和社会造成损失。

某市三院医疗信息系统某市三院中心机房汇集的两大应用系统（HIS、LIS）和即将建设的电子病历数据库涉及医疗行业的各方面信息，内部人员的违规操作可能造成严重的社会影响和给医疗机构造成重大损失。因此有必要通过有效手段对数据库的各种操作进行审计，准确记录各种操作的源、目的、时间、结果等，及时发现各种业务上的违规操作并进行告警和记录，同时提供详细的审计记录以便事后进行追查。

2.4平台系统安全配置问题

随着公共卫生，医疗服务，医疗监管，综合管理，新农合五大业务的应用系统不断发展，医疗信息系统应用不断增加，网络规模日益扩大，其管理、业务支撑系统的网络结构也变得越来越复杂，各项系统的使用和配置也变得十分复杂，维护和检查成为一项繁重的工作。

在医疗行业里，随着各类通信和IT设备采用通用操作系统、通用数据库，及各类设备间越来越多的使用IP协议进行通信，其配置安全问题更为凸出。在黑客攻击行为中，利用系统缺省、未修改的安全配置攻入系统已屡见不鲜，因此，加强对网元配置的安全防护成为重点。其中，重要应用和服务器的数量及种类日益增多，一旦发生维护人员误操作，或者采用一成不变的初始系统设置而忽略了对于安全控制的要求，就可能会极大的影响系统的正常运转。另外，为了维持整个业务系统生命周期信息安全，必须从入网测试、工程验收和运行维护等阶段，设备全生命周期各个阶段加强和落实信息安全要求，也需要有一种方式进行风险的控制和管理。

3、某市三院医疗信息系统安全需求分析

3.1医疗信息系统建设安全要求

基于医疗信息系统信息平台的可靠安全的运行不仅关系到某市三院中心机房本身的运行，还关系其他业务部门相关系统的运行，因此它的网络，主机，存储备份设备，系统软件，应用软件等部分应该具有极高的可靠性；同时为保守企业和用户秘密，维护企业和用户的合法权益，某市三院中心机房应具备良好的安全策略，安全手段，安全环境及安全管理措施。

众所周知，信息系统完整的安全体系包括以下四个层次，最底层的是物理级安全，其包括计算机安全，硬件安全等,其次是网络级安全，主要包括链路冗余，防火墙等等，再次是系统级安全包括数据灾备，病毒防范等，最后是应用级安全包括统一身份认证，统一权限管理等，而贯穿整个体系的是安全管理制度和安全标准，以实现非法用户进不来，无权用户看不到，重要内容改不了，数据操作赖不掉。整个平台的安全体系如下图：

平台安全体系结构图

3.2医疗等级保护要求分析

医疗机构作为涉及国计民生的重要组成部分，其安全保障事关社会稳定，有必要按照国家信息安全等级保护要求，全面实施信息安全等级保护。 卫生信息平台的核心数据区、应用服务区及系统运维参照公安部、国家保密局、国家密码管理局、国务院信息化办公室联合印发的《信息安全等级保护管理办法》（公通字[2007]43号）的要求，数据交换服务区参照二级信息安全等级保护要求建设、核心部分参照三级信息安全等级保护要求建设。

信息系统名称 安全保护等级

业务信息安全等系统服务安全等级 级

某市第三人民医院医疗信息系统

3.2.2等级保护技术要求

类别 要求

3 3 3

三级等保要求

网络设备处理能管理和网络带解决方案

根据高峰业务流量选择高端网络结构安安全 全 宽冗余；网络拓扑图绘制；子网设备，核心交换接入设备采用划分和地址分配；终端和服务器双机冗余；合理划分子网、之间建立安全访问路径；边界和VLAN、安全域，网络设备带重要网段之间隔离；网络拥堵时宽优先级规划。

对重要主机优先保护；

访问控制

部署访问控制设备，启用访问控网络边界部署防火墙，制定相制功能；根据会话状态提供允许应ACL策略

/拒绝访问能力，控制粒度为端口级；按访问控制规则进行资源访问控制，粒度到单个用户；限制拨号访问用户数量；网络信息内容过滤，应用层协议命令级控制；会话终止；网络流量数和连接数控制；重要网段防地址欺骗

安全审计

网络设备状况、网络流量、用户部署网络安全审计系统

行为日志记录；数据分析和报表

生成；审计记录保护

边界完整性检查

入侵防范

恶意代码防范

网络设备防护

身份鉴别；管理员登陆地址限部署等级保护安全配置核查攻击行为检测；攻击日志记录和部署入侵检测系统

告警

网络边界病毒查杀；病毒库升级 部署入侵保护系统

安全准入控制和非法外联监控并进行有效阻断

部署终端安全管理系统

制；用户标识唯一；登陆失败处系统

理；鉴别信息加密；身份鉴别采用2种或以上鉴别技术；特权权限分离

主机身份鉴安全 别

操作系统和数据库用户身份鉴部署等级保护安全配置核查别；登录失败处理；鉴别信息传系统

输加密；用户唯一性；身份鉴别采用2种或以上鉴别技术

访问控启用访问控制功能；操作系统和部署堡垒机 制 数据库特权用户权限分离；默认账户配置修改；多余过期用户删除；角色权限分配，权限分离和最小权限原则；重要信息敏感标记；强制访问控制

安全审计

记录服务器和重要客户端的系统用户和数据库用户的重要安全相关行为、事件；审计记录保护；审计报表生成；审计进程保护

部署堡垒机

剩余信息保护

鉴别信息再分配前清除，系统文操作系统及数据库加固

件、目录、数据库记录再分配前清除

入侵防范

操作系统最小安装原则，定期升部署网络入侵检测系统、终端级；检测对重要服务器的入侵行管理软件，漏洞扫描

为；重要程序完整性检测和破坏后的恢复。

恶意代码防范

安装防恶意代码软件，定期升级；恶意代码软件统一管理；主机和网络防恶意代码软件品牌异构

部署终端杀毒软件

资源控制

终端登录控制；终端超时锁定；安全加固

单个用户资源限制 应用身份鉴安全 别

启用身份鉴别机制；登录失败处部署CA认证系统

理；身份鉴别采用2种或以上鉴别技术

访问控制

启用访问控制机制，控制用户对部署CA认证系统

文件、数据库表等的访问；启用访问控制策略；账户最小权限原则和权限制约；重要信息敏感标记；重要信息强制访问控制

安全审计

启用安全审计机制，审计每个用部署应用防护系统

户、系统重要安全事件；审计报表生成

剩余信息保护

鉴别信息再分配前清除，系统文操作系统及数据库加固

件、目录、数据库记录再分配前清除

通信完整性

通信保密性

抗抵赖

软件容错

资源控制

应采用密码技术保障信息过程中数据完整性

部署PKI体系

会话初始化验证，通信过程整个部署PKI体系

报文或会话过程加密

提供数据原发或接收证据 部署PKI体系

数据校验功能，故障时能继续提代码审核

供一部分功能

会话超时自动结束，限制最大并安全加固

发连接数，单个账户多重会话限制

数据数据完安全整性

与备份恢复

数据保密性

能检测到系统管理数据、鉴别信VPN加密，数据库访问控制

息和业务数据在传输和存储过程中受到的破坏，并采取恢复措施

采用加密或其他措施实现系统管理数据、鉴别信息、重要业务数据传输存储过程保密

备份与恢复

重要信息备份恢复，关键网络设重要信息定期备份，设备冗余

备、线路、数据硬件冗余

信息加密

3.3系统安全分层需求分析

根据《基于健康档案的区域卫生信息平台建设指南》中的安全要求部分，并参照等级保护三级的技术要求，通过风险分析及信息安全建设情况调研，确认以下安全需求：

3.3.1物理层安全需求

某市三院中心机房是整个三级医疗信息系统平台的关键节点，是系统运行的基础，因此必须保证物理环境的安全，主要包括以下几个方面：

信息基础设备应安置在专用的机房，具有良好的电磁兼容工作环境，包括防磁、防尘、防水、防火、防静电、防雷保护，抑制和防止电磁泄漏；

机房环境应达到国家相关标准；

关键设备应有冗余后备系统；

具有足够容量的UPS后备电源；电源要有良好的接地。 3.3.2网络层安全需求

结构安全：

 应保证网络各个部分的带宽满足业务高峰期需要；

 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；

 应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；

 应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。

访问控制：

 应在网络边界部署访问控制设备，启用访问控制功能；

 重要网段应采取技术手段防止地址欺骗；

 应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；

 应限制具有拨号访问权限的用户数量。

安全审计：

 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录，并生成审计报表；

 应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

边界完整性检查：

 应能够对非授权设备私自联到业务网络的行为进行检查，准确定出位置，并对其进行有效阻断；

 应能够对业务网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。 入侵防范：

 应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；

 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。

恶意代码防范：

 应在网络边界处对恶意代码进行检测和清除；

 应维护恶意代码库的升级和检测系统的更新。

网络设备防护：

 应对网络设备的管理员登录地址进行限制；

 身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

 应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；

 当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

 应实现设备特权用户的权限分离。

3.3.3主机层安全需求

身份鉴别：

 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

 应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；

 当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；

 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。

访问控制：

 应启用访问控制功能，依据安全策略控制用户对资源的访问；

 应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；

 应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令，及时删除多余的、过期的帐户，避免共享帐户的存在。

 应对重要信息资源设置敏感标记；

 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。

安全审计：

 应实现主机系统的安全审计，审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；

 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；

 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；

 应能够根据记录数据进行分析，并生成审计报表；

 应保护审计进程，避免受到未预期的中断；

 应保护审计记录，避免受到未预期的删除、修改或覆盖等。

剩余信息保护：

 应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；

 应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。

入侵防范：

 应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；

 应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；

 操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。

资源控制：

 应根据安全策略设置登录终端的操作超时锁定；

 应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况；

 应限制单个用户对系统资源的最大或最小使用限度；

 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。

3.3.4应用层安全需求

（说明：此部分内容需要在应用系统开发与维护过程中予以实现。）

身份鉴别：

 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；

 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；

 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；

 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

访问控制：

 应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；

 应具有对重要信息资源设置敏感标记的功能；

 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。

安全审计：

 应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；

 应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；

 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等；

 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。

剩余信息保护：

 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；

 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。

通信完整性：

 应采用密码技术保证通信过程中数据的完整性。

通信保密性：

 在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；

 应对通信过程中的整个报文或会话过程进行加密。

抗抵赖：

 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；  应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。

软件容错：

 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；

 应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。

资源控制：

 当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；

 应能够对系统的最大并发会话连接数进行限制；

 应能够对单个帐户的多重并发会话进行限制；

 应能够对一个时间段内可能的并发会话连接数进行限制；

 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；

 应能够对系统服务水平降低到预先规定的最小值进行检测和报警；

 应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。

3.3.5数据及备份安全需求

数据完整性：

 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；

 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。

数据保密性：  应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；

 应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。

备份和恢复：

 应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；

 应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；

 应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；

 应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。

3.4虚拟化、云计算带来的安全问题分析

为了区域卫生平台云计算应用的健康发展，就不能忽视对云计算面临的各类安全威胁的研究和分析，从而制定和建立相应的政策、技术体系，应对即将到来的云浪潮。

3.4.1法规遵从

在不同的国家和地区、企业或个人的信息需要符合该国家和地区规定的法规，但在云计算环境下，用户可能根本无法知道其数据存储位置，更不用说哪个国家或地区了。目前国家层面、行业层面对各类合规性要求，这些合规性要求IT部门必须全面控制关键信息的自主可控性，而云计算依赖虚拟化技术提供服务，数据可能会在某市三院中心机房和物理主机之间移动，以确保负载均衡，如果合规要求必须找出数据的精确位置实现可控目标时，公共云的应用是一个值得考虑的问题。 而且所有数据放在公共云上，并且使用共享资源，就很难证明遵从了法规的要求，云平台的安全等级建设是否符合所服务业务和数据的安全等级要求也是要考虑的问题。

3.4.2核心技术国产化问题

面对云计算，我们必须认识到：在我国建设云计算平台，并不能保证我们就能够控制云平台中的信息资源，也不能保证我们就是唯一的控制者。由于很多技术仍然控制在国外企业手中，大规模的云计算平台可能增加了国外控制中国的手段，一些通过购买获得的自主知识产权而不加以认真研究的所谓自主产品，更在很大程度麻痹了国人，这种自主知识产权的本质就是买下了推广他人产品的权利。

应该针对云计算所带来的新的安全需求进行技术研究和开发，预见到未来的技术发展方向，积极探索新形势下可能出现的信息安全新问题，在部分领域推出有自己特色的云计算平台和云安全服务平台，满足国内信息服务对云计算的应用需求和安全需求，实现对整个链条的控制和管理。

3.4.3大量迅猛涌现的Web安全漏洞

在云计算安全梯上仅采用传统的网络安全技术是远远不够的。云计算的安全问题还必须考虑比网络安全更为复杂的问题，比如应用层面安全。云计算服务推动了Internet的Web化趋势。与传统的操作系统、数据库、C/S系统的安全漏洞相比，多客户、虚拟化、动态、业务逻辑服务复杂、用户参与等这些Web2.0和云服务的特点对网络安全来说意味着巨大的挑战，甚至是灾难。

3.4.4拒绝服务攻击

服务和数据的随时可用性本身不仅是一项非常重要的安全指标，而且其质量的保证在一个存在恶意攻击的环境里会造成其实施复杂度大大增加。如何防止以破坏正常应用的DDOS攻击是一个很大的挑战。 由于云平台的大规模与高性能，一旦遭受DDOS（抗拒绝服务攻击），云平台服务商是否有能力提供应对的技术手段，使正常的应用不受影响，是评价一个云计算服务提供商重要指标。

拒绝服务攻击DoS和DDoS不是云服务所特有的。但是，在云服务的技术环境中，企业中的关键核心数据、服务离开了企业网，迁移到了云服务中心。更多的应用和集成业务开始依靠互联网。拒绝服务带来的后果和破坏将会明显地超过传统的企业网环境。

3.4.5内部的数据泄漏和滥用

相对而言，安装在现有内部环境中的应用更易于检查，而且我们也拥有了完善的检查技术，然而，对安装在外部的云计算应用如果没有妥善的保护，这些数据可能从外部云计算被非法泄露，而且对其进行检查的难度非常大。

当用户的敏感数据在云端处理的时候，企业的重要数据和业务应用处于云服务提供商的IT系统中，用户无法对风险进行直接的控制，数据的拥有者不能控制，甚至不知道数据的存储位置，计算任务可能在多台机器上运行，可能会在多个储存网络备份，也可能会在您不知情时导出。

在多用户环境中，云服务提供商很难提供与单独客户环境相同的资源隔离等级和相关保障，该数据甚至可能与竞争对手的应用和数据保存在相同的资源上，如何保证云服务商自身内部的安全管理和职责分离体系、审计保障等？如何避免云计算环境中多客户共存带来的潜在风险？这些都成为云计算环境下用户的最严肃的安全顾虑或挑战之一。 3.4.6身份管理（身份鉴定、授权和审计）

原先为了安全放在防火墙内的数据，现在放在了外部云计算环境中，可以使用简单的用户名/密码进行鉴定，访问单位付费的计算资源，对穿插于各种服务中的用户账号的提供及取消。如何在多项服务中应用角色/策略的管理、多个身份有效管理、身份鉴定均面临着很大的安全挑战。

对员工、客户、参与者和工作负载的身份鉴定、授权和审计是云计算安全性的未来方向。

3.4.7不同云之间的互联互通（可移植性）

最为云计算平台用户关注的是，应当能够无障、安全、合乎规则地获得完成其工作所需的所有计算服务，云计算应当保障平台的安全、合规和可移植性。

但目前云计算厂商各自未战，尚未在业界形成一个统一的标准化体系，无论是云平台还是云服务的统一标准都没有形成，这就给云计算产业的发展带来了瓶颈，各个企业为了自己的云服务发展推出各自的平台和服务标准，使得众多云平台和用户的利益和长远发展得不到保证，更极大地阻碍着云计算通用性和替代性以及软件的适合性和继承性的发展。

为争取国际竞争地位，我国应尽快建立云计算行业标准化组织，积极参与国际标准化组织的活动，推进云计算国际标准化工作。

3.4.8潜在的合同纠纷和法律诉讼

云服务合同、服务商的SLA和IT流程、安全策略、事件处理和分析等都可能存在不完善。虚拟化带来的物理位置不确定性和国际相关法律法规的复杂性都使得潜在的合同纠纷和法律诉讼成为成功利用云服务的重大威胁。 如果云计算提供商违反了合同，并且涉及到安全问题，应该负多大程度的法律责任，造成的损失又如何评估，这些问题在法律和政策领域都还有待解答。

4、医疗信息系统安全保障体系设计

4.1安全策略设计

为应对上述所面临的威胁和风险，实现某市三院医疗信息系统的安全建设目标，安全建设应遵循以下总体安全策略和基本安全策略：

总体安全目标：

 遵循国家相关政策、法规和标准；

 贯彻等级保护原则，特别是对不同类别关键业务的单独保护。

 一手抓技术、一手抓管理；管理与技术并重，互为支撑，互为补充，相互协同，形成有效的综合预防、追查及应急响应的安全保障体系。

总体安全策略：

 物理安全策略

在现有物理安全措施基础上，从环境、设备、介质、配电的故障切换、冗余等方面，完善物理安全保障措施，保障某市三院医疗信息系统免受因上述内容破坏造成的服务停止或数据损失。

 网络安全策略

明确等级保护措施；合理划分安全域，确定各安全域的物理边界和逻辑边界，明确不同安全域之间的信任关系。在安全域的网络边界建立有效的访问控制措施。通过安全区域最大限度的实施数据源隐藏，结构化和纵深化区域防御防止和抵御各种网络攻击，保证某市三院医疗信息系统各个网络系统的持续、稳定、可靠运行。

 系统安全策略

对操作系统、数据库及服务系统进行漏洞修补和安全加固，对关键业务的服务器建立严格的审核机制。最大限度解决由操作系统、数据库系统、服务系统、网络协议漏洞带来的安全问题，解决黑客入侵、非法访问、系统缺陷、病毒等安全隐患。

 应用安全策略

针对某市三院医疗业务系统的安全需求特点，解决服务发布内容更新和审核等方面的权限控制、信息保密、数据完整性、责任认定、不可否认性等几个方面建立相应措施。

 安全管理策略

针对某市三院医疗信息系统安全管理需求，在安全管理上需要在完善人员管理、资产管理、站点维护管理、灾难管理、应急响应、安全服务、人才管理等方面机制、制度的同时，与管理技术紧密结合，形成一套比较完备的某市三院医疗信息系统安全管理保障体系。

4.2安全设计原则

由于本方案内容涉及很多方面，因此进行分析时要本着多层面、多角度的原则，从理论到实际，从软件到硬件，从组件到人员，制定详细的实施方案和安全策略，避免遗漏。为确保本方案能够在后期顺利的推广和执行，绿盟科技将遵循以下原则：

合规性原则

安全体系的建立必须遵循相关法规，不能与现行法规和标准产生任何冲突。重点遵循的标准有：

 《信息安全技术信息系统安全等级保护基本要求》

 卫生部《基于健康档案的区域卫生信息平台建设指南》

实用性原则

系统安全设计必须与某市三院医疗现实需求相一致，其采取的安全措施必须针对突出的、亟待解决的安全问题。

整体性原则

安全产品必须能相互配套，并与现有网络与应用软件兼容，从而组成一个完整的信息系统。

可靠性和安全性原则

系统设计要具备较高可靠性和安全性，保证安全措施尽可能小地影响某市三院医疗内部业务系统。

高扩展性原则

系统设计所选择的软硬件产品应具有一定的通用性，采用标准的技术、结构、系统组件和用户接口，支持所有流行的网络标准及协议，便于今后网络规模和业务的扩展。

先进性原则

安全技术应具有一定的先进性、前瞻性，以实现整个安全保障体系的相对稳定性。

可管理性原则

保证整个信息系统应具备较高的资源利用率并便于管理和维护。

4.3等级保护模型

为了提升网络安全系统的防护能力，某市三院医疗网络安全系统在建设过程中充分考虑到整个系统的安全性，将在本期建设中从信息安全管理体系、信息安全服务体系、信息安全技术体系三个方面着手建立统一的安全保障体系，力保网络信息安全。

在整个系统的安全规划和建设过程中，在等级保护的指导下，要求以P2DR的安全保障模型为基本建设思路，安全体系将按照事前防护、事中检测、事后审计的策略来建设。结合安全管理、安全产品及安全服务等多个层次，保障某市三院医疗的信息系统的安全。

图 1.1 P2DR的安全保障模型图

安全措施的实施不是一个静态的过程，它是变化的，经过一次安全策略的实施后，网络的安全风险和相关的安全漏洞会降低，在一定时期内，网络的安全问题不再很突出，但是，随着网络应用和网络系统的扩展和丰富，相关系统的安全问题又会增加，而且，黑客攻击手段的变化，更增加了网络的安全威胁。这时候，就需要对网络资产和风险进行评估，实施相应的安全策略，因此，本期网络安全保障系统的建设也是一个循序渐进的过程，要求在整体的安全策略的控制和指导下，综合利用安全防护、检测、响应以及其他辅助措施组成了一个完整的、动态的安全循环，在安全策略的指导下保证信息系统的安全。

4.4系统建设依据

 《党中央、国务院关于深化医药卫生体制改革的意见》；

 《国务院医药卫生体制改革近期重点实施方案（2009—2011年）》；

 国家卫生部等5部委发布的《关于公立医院改革试点的指导意见》；

 卫生部《电子病历基本架构与数据标准（试行）》；  卫生部《健康档案基本架构与数据标准（试行）》；

 卫生部《基于健康档案的区域卫生信息平台建设指南》；

 卫生部《基于健康档案的区域卫生信息平台建设技术解决方案（试行）》；

 《卫生部办公厅关于印发2010年基于电子健康档案、电子病历、门诊统筹管理的基层医疗卫生信息系统试点项目管理方案的通知》；

 《2010年基于电子健康档案、电子病历、门诊统筹管理的基层医疗卫生信息系统试点项目技术方案》等。

4.5遵循的标准和规范

 《国家信息化领导小组关于加强信息安全保障工作的意见》（27号文）

 公通字[2007]43号《信息安全等级保护管理办法》

 《信息安全技术信息系统安全等级保护基本要求》

 《信息安全技术信息安全等级保护定级指南》

 《信息安全技术信息系统安全等级保护实施指南》

 GB/T 9387.2-1995 开放系统互连 基本参考模型第2部分：安全体系结构

 RFC 1825 TCP/IP安全体系结构

 ISO 10181:1996 信息技术 开放系统互连开放系统安全框架

 GB/T 18237-2000 信息技术 开放系统互连通用高层安全

 AS/NZS 4360: 1999 《风险管理标准》

 GAO/AIMD-00-33《信息安全风险评估》

 IATF《信息保障技术框架》

5、安全管理体系方案设计

根据对某市三院医疗系统的安全需求分析，下面针对某市三院医疗信息系统的组织和管理体系的安全问题提出信息安全管理建议方案。 5.1组织体系建设建议

5.1.1安全组织建设

某市三院医疗信息系统的组织体系应实行“统一组织、分散管理”的方式，在平台内建立一个独立的信息安全部门或以信息中心作为某市三院医疗的信息安全管理机构，负责整个平台范围的信息安全管理和维护工作。这样在区域平台范围内形成信息安全管理的专一工作，从而各级信息技术部门也因此会很好配合安全推行工作。

5.1.2安全岗位建设

安全岗位是某市三院医疗信息系统安全管理机构根据系统安全需要设定的负责某一个或某几个安全事务的职位，岗位在系统内部可以是具有垂直领导关系的若干层次的一个序列，一个人可以负责一个或几个安全岗位，但一个人不得同时兼任安全岗位所对应的系统管理员或具体业务岗位。因此岗位并不是一个机构，它由管理机构设定，由人事机构管理。

5.1.3人员安全培训

安全培训是确保信息系统安全的前提。某市三院医疗信息安全培训的内容应包括：法律法规培训、内部制度培训、岗位操作培训、普遍安全意识和与岗位相关的重点安全意识相结合的培训、业务素质与技能技巧培训等。培训的对象应包括信息系统有关的所有人员（不仅仅是从事安全管理和业务的人员），以提高他们的安全意识和安全技术水平。

5.2管理体系建设建议

除了在某市三院医疗信息系统功能上增加安全技术手段外，安全管理是必要的安全保障条件。安全管理建设强调通过管理手段实现管理方式的安全保护，主要内容包括安全制度管理、资产安全管理、物理安全管理、技术安全管理和安全风险管理五个部分。对这些方面要求的有效执行，可以对上面所有的风险进行影响，包括减小、转移甚至避免某些风险。

5.2.1安全制度管理

安全管理制度是信息系统内部依据某市三院医疗信息系统必要的安全需求制定的一系列内部规章制度，主要内容包括：安全管理和执行机构的行为规范、岗位设定及其操作规范、岗位人员的素质要求及其行为规范等。安全制度管理是法律管理的形式化、具体化、法规与管理的接口，是信息安全得以实现的重要保证。

5.2.2资产安全管理

资产是构成某市三院医疗信息系统的基本要素，它的安全是整个信息系统安全的直接原因，所有的安全技术和安全管理措施都是围绕着资产的安全为中心的。资产的安全管理的内容包括信息系统设备的安全、软件的安全、数据的安全和文档的安全。

5.2.3物理安全管理

物理安全管理是保护某市三院医疗信息系统网络设备、设施以及其它媒介免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括机房安全管理、环境安全管理和物理控制管理等方面内容。

5.2.4技术安全管理

建设某市三院医疗技术安全管理的目标是通过各种管理措施实现对网络、系统、应用生命周期的过程管理，做到如下两个方面：有效的利用已有的安全技术和专用的安全产品；使用现有网络设备、主机和应用自身的安全特性进行日常的安全管理。

5.2.5安全风险管理

风险管理是安全管理体系中相当重要的一个部分，只有通过有效的风险管理，才能持续性的发现安全问题并能进行预防性的保护。缺乏安全风险管理机制的组织，经常会遇到发生安全问题以后才进行弥补的情况。根据国际信息安全标准的要求，风险管理需要对资产、威胁和脆弱性的状况进行管理。风险管理对于如何提供安全性，在那些方面提供安全性以及所应采取的安全控制的类型和力度等方面都有着重要意义。

6、安全服务体系方案设计

6.1预警通告

安全问题目前正以每周新增几十甚至几百例的速度在全世界得到反馈，同时涉及信息技术的众多领域，安全管理员所掌握的安全知识的更新速度所受到的压力非常大。某市三院医疗信息系统范围内的系统种类非常多，包括众多的操作系统和应用系统。这些系统中每一个新增加的安全漏洞，如果不能得到及时的修补，都可能导致一系列的安全事件的发生。

某市三院医疗由于业务范围的限制，需要将各种资源包括人力资源投放在提高区域卫生平台的核心竞争力方面，不可能有太多的时间关注数十个不同厂商不定期发布的漏洞信息，更不可能时刻关注整个安全界的技术发展。

绿盟科技从1999年就开始稳定的维护着国内最早，也是最大的中文安全资料库。绿盟科技安全研究院作为国内领先的安全技术研究中心，在世界范围内对某些流行的攻击手段方面的研究走到了攻击者的前面，几年来一直负责为绿盟科技和客户收集整理分析来源于全球的各类安全信息，而且这个信息库每天还在不断的增加。

绿盟科技以安全通告的形式为您提供最新的安全动态、技术和定制的安全信息，包括实时安全漏洞通知、定期安全通告汇总、临时安全解决方案和安全知识库更新等。 6.2技术风险评估

在网络安全体系的建设中， 安全扫描工具花费低、效果好、见效快、与网络的运行相对独立、安装运行简单，可以大规模减少安全管理员的手工劳动，有利于保持全网安全政策的统一和稳定，是进行风险分析的有力工具。安全扫描工作主要是通过评估工具以远程扫描的方式对评估范围内的系统和网络进行安全扫描，发现网络结构、网络设备、服务器主机、数据和用户账号/口令等安全对象目标存在的安全风险、漏洞和威胁。

本项服务中我们将借助绿盟科技漏洞扫描系统对某市三院医疗信息系统进行全面的扫描，严格按照某市三院医疗要求的扫描范围和扫描时间实施，在获得结果后及时提交扫描结果、汇总表和报告。

此外，每次扫描结束后，绿盟科技的技术人员将现场协助某市三院医疗的技术人员对扫描结果进行分析，并提供相应的技术建议。

6.3新上线系统评估

新系统上线评估服务即在新系统上线前对其进行安全评估，检查其是否达到等级保护的安全要求，同时配合代码级审计和整改，对某市三院中心机房的主要医疗业务系统代码进行离线分析。从渗透测试的角度对源代码进行审计，找出编码中存在安全漏洞和安全隐患的地方，提出对应的漏洞修补和安全优化建议，保证新系统的合规性同时减少上线后的维护成本。

6.4渗透测试

渗透测试过程主要依据安全专家已经掌握的安全漏洞信息，模拟黑客的真实攻击方法对系统和网络进行非破坏性质的攻击性测试。发现区域卫生平台信息系统网络中潜在的脆弱点，测试其可被利用的价值以及可能对信息系统造成的破坏，最终给出完整的入侵过程和技术细节，并提供相应的加固建议。

6.5安全加固

系统安全是信息安全中的基础组成部分，关键数据和信息直接由系统平台提供。支持分布式计算环境中不断增长的系统平台面临各种安全威胁，包括数据窃取、数据篡改、非授权访问等。这时就需要专业的安全服务以保障运行和存贮在这些系统平台上的数据的的机密性、完整性和可用性。

绿盟科技的系统安全加固服务利用多种技术手段对您信息系统中的操作系统平台和重要的网络设备提供安全加固和配置优化，同时将其集成到客户已有的环境中。

系统安全加固是指通过一定的技术手段，提高操作系统或网络设备安全性和抗攻击能力，通常这些技术手段，只能为实施这项技术的这一台主机服务。常见的安全加固服务手段有：

1．

2．

3．

4．

5．

6．

7．

8．

基本安全配置检测和优化

密码系统安全检测和增强

系统后门检测

提供访问控制策略和工具

增强远程维护的安全性

文件系统完整性审计

增强的系统日志分析

系统升级与补丁安装

经过良好配置的系统或设备的抗攻击性有极大的增强。在对系统作相应的安全配置后，结合定期的安全评估和维护服务就使得系统保持在一个较高的安全线之上。 6.6虚拟化安全加固服务

1、虚拟化某市三院中心机房（VDC）加固要素

虚拟化某市三院中心机房（VDC）面临的各种威胁与挑战，相应的解决措施可形成一个技术体系，包括Hypervisor自身加固、虚拟化防火墙、虚拟IDS/IPS、VM镜像加固和配置优化等，它们自动构成了VDC的加固要素。

2、Hypervisor自身加固

Hypervisor中的各种漏洞攻击是虚拟机逃逸的根源，因此反虚拟机逃逸、或者漏洞攻击的防御技术，则成为目前研究者关注的问题。Hypervisor加固归根到底仍是软件安全问题，只要是软件就无法从根本上阻止漏洞的产生，因此安全加固的重点是对漏洞攻击或漏洞利用的防御上。根据信息安全工程理论及经验，凡是对某软件层进行加固的时候，在其下一层软件做文章通常是最可靠的方法。

3、VM镜像加固

虚拟某市三院中心机房管理员通常负责维护成百上千的VM，因此VM镜像（IMG）的加固便显得极其关键。VM镜像加固，主要是通过技术手段，从VM外围增强VM镜像自身或VM中系统安全性，主要考虑VM镜像完整性保护、补丁技术、反病毒/恶意软件和配置优化等几个环节。

6.7应急响应

目前许多卫生平台自身尚没有足够的资源和能力对安全事故作出反应，甚至在当今的信息社会，更多的组织还没有准备面对信息安全问题的挑战。网络安全的发展日新月异，谁也无法实现一劳永逸的安全服务，所以当紧急安全问题发生，一般技术人员又无法迅速解决的时候，及时发现问题、解决问题就必须依靠紧急响应来实现。 绿盟科技的紧急响应服务提供高效的信息安全事故反应体系以帮助客户尽快对万一的信息安全破坏事故作出反应。在安全事件发生后，根据您的需求以电话->远程支持->现场支持的方式提供服务，包括事故处理及恢复、事后的事故描述报告以及后续的安全状况跟踪。

当主机或网络正遭到攻击或发现入侵成功的痕迹，而又无法当时解决和追查来源时。我们将根据客户的要求，以最快的速度赶到现场，协助客户解决问题，查找后门，保存证据和追查来源。此项紧急响应服务由绿盟科技响应安全技术服务小组负责。可以与客户自己的网络安全中心以及反应体系配合协作，共同完成对客户网络安全事件的紧急响应和处理。

作为一个规范的网络安全服务商，绿盟科技有一整套完整的紧急响应机制，也有大量具备处理应急事务经验的专业安全工程师。

7、安全技术体系方案设计

7.1物理层安全

物理安全主要包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护。

该部分内容参考《信息系统安全等级保护基本要求》的三级标准的要求进行建设。

建设过程中可以参考的标准主要包括：

GB50174－93《电子计算机机房设计规范》

GB 50057－1994《建筑物防雷设计规范》

GB 2887-88《计算站场地安全要求》

GB 2887-89《计算站场地技术条件》

BMB4-2000《电磁干扰器技术要求和测试方法》 7.2网络层安全

网络层安全主要涉及的方面包括结构安全、访问控制、安全审计、入侵防范、恶意代码防范、网络设备防护几大类安全控制。

7.2.1安全域划分

某市三院医疗信息平台某市三院中心机房规划以两台核心交换机作为某市三院中心机房网络的核心，通过二条专线接入区域农合以及市医保机构，网络边界通过二台防火墙设备实现内部网络与区域外网之间的安全隔离与访问控制。业务网内部根据业务类型及安全需求划分为如图所示的多个安全区域：

外联区：

与某市三院中心机房核心交换机互联，在区域卫生平台外网接入处部署防火墙，通过防火墙进行访问控制，实现安全隔离。 数据交换区：

用于部署某市三院中心机房的测试服务器、交换服务器及总线服务器等数据交换服务器。

应用服务器区：

用于部署某市三院中心机房的核心业务应用系统，根据相关要求通过部署防火墙来与其它网络进行安全隔离，同时部署WEB应用防火墙对基于WEB的应用系统进行防护。

核心数据区：

主要部署各业务系统所需的核心数据库及后台服务器，该区域依照等保要求架设网络环境。安全管理运维区域及办公服务器区域之间通过合理的VLAN划分及交换机的访问控制列表来加以隔离。并通过部署审计系统对数据操作进行安全审计。

安全管理区：

用于部署信息系统安全管理及网络管理的相关服务器及软硬件系统，依照等保要求架设网络环境。与业务服务器区域及互联网远程接入区域之间通过合理的VLAN划分及交换机的访问控制列表来加以隔离。

根据重点业务重点保护的原则，将核心交换区、应用服务区和核心数据区划分为三级安全区域，依据等级保护三级标准进行相应的安全建设；数据交换区划分为二级安全区域，依据等级保护二级标准进行相应的安全建设。

7.2.2边界访问控制

在网络结构中，需要对各区域的边界进行访问控制，对于区域卫生平台外网边界、数据交换区边界、应用服务区域边界及核心数据区边界，需采取部署防火墙的方式实现高级别的访问控制，各区域访问控制方式说明如下：

 外联区：通过部署高性能防火墙，实现某市三院中心机房网络与区域卫生平台外网之间的访问控制；

 数据交换区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对数据交换区的访问控制。

 应用服务区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对应用服务区的访问控制，通过部署WEB应用防火墙保护基于WEB的应用服务器。

 核心数据区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对核心数据区的访问控制。

7.2.3网络审计

网络安全审计系统主要用于监视并记录网络中的各类操作，侦查系统中存在的现有和潜在的威胁，实时地综合分析出网络中发生的安全事件，包括各种外部事件和内部事件。在某市三院中心机房核心交换机处旁路部署网络行为监控与审计系统，形成对全网网络数据的流量检测并进行相应安全审计，同时和其他网络安全设备共同为集中安全管理提供监控数据用于分析及检测。

网络行为监控和审计系统将独立的网络传感器硬件组件连接到网络中的数据汇聚点设备上，对网络中的数据包进行分析、匹配、统计，通过特定的协议算法，从而实现入侵检测、信息还原等网络审计功能，根据记录生成详细的审计报表。网络行为监控和审计系统采取旁路技术，不用在目标主机中安装任何组件。同时玩了个审计系统可以与其他网络安全设备进行联动，将各自的监控记录送往安全管理安全域中的安全管理服务器，集中对网络异常、攻击和病毒进行分析和检测。

7.2.4网络入侵防范

根据某市三院中心机房的业务安全需求和等级保护三级对入侵防范的要求，需要在网络中部署入侵检测产品。

入侵检测和产品通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测产品应支持深度内容检测、技术。配合实时更新的入侵攻击特征库，可检测网络攻击行为，包括病毒、蠕虫、木马、间谍软件、可疑代码、探测与扫描等各种网络威胁。当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。

同时基于某市三院中心机房对网络攻击行为的可控性，入侵检测产品有限的响应方式以及和防火墙联动的延迟和兼容性问题，这里推荐部署入侵保护产品，实现在入侵检测的基础上对攻击行为进行阻断，实现对入侵行为实时有效的防范。入侵检测/保护产品部署于外联区防火墙之后，是某市三院中心机房继防火墙边界访问控制后的第二道防线。

7.2.5边界恶意代码防范

根据某市三院中心机房业务风险分析和等级保护三级对边界恶意代码防范的要求，需要在互联网边界部署防病毒产品。防病毒产品应具备针对HTTP、FTP、SMTP、POP3、IMAP以及MSN协议的内容检查、清除病毒的能力。支持查杀引导区病毒、文件型病毒、宏病毒、蠕虫病毒、特洛伊木马、后门程序、恶意脚本等各种恶意代码。并定期提供对病毒库版本的升级。

这里推荐在入侵保护产品上集成防病毒功能，一方面减少网络出口串联设备部署数量，减少网络中单点故障的几率。另一方面在同一台设备上同时实现入侵检测和恶意代码防范，减少对数据包的二次处理，减少网络时延。同时要保障网络防病毒产品与主机防病毒产品来自不同品牌，由两类病毒防护产品共同构成立体病毒防护体系。 7.2.6网络设备保护

对于网络中关键的交换机、路由器设备，也需要采用一定的安全设置及安全保障手段来实现网络层的控制。主要是根据等级保护基本要求配置网络设备自身的身份鉴别与权限控制，包括：登录地址、标识符、口令复杂度、失败处理、传输加密、特权用户权限分配等方面对网络设备进行安全加固。

由于不同网络设备安全配置的不同、配置维护工作繁杂，且信息安全是动态变化的，因此这里推荐通过自动化的配置核查设备，对网络层面和主机层的安全配置进行定期扫描核查，及时发现不满足基线要求的相关配置，并根据等级保护的安全配置要求提供相对应的安全配置加固指导。

7.3主机层安全

主机层安全主要从身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制等方面来进行防护。

7.3.1身份鉴别

为提高主机系统安全性，保障各种应用的正常运行，对主机系统需要进行一系列的加固措施，包括：

 对登录操作系统和数据库系统的用户进行身份标识和鉴别，且保障用户名的唯一性。某市三院医疗信息系统所有用户应当具备独一无二的标识符以便跟踪后续行为，从而可以将责任对应到人。用户ID不得表示用户的权限级别，比如经理或主管等等。

 根据基本要求配置用户名/口令，口令必须具备采用3中以上字符、长度不少于8位并定期更换。

 启用登录失败处理功能，登录失败后采取结束会话、限制非法登录次数和自动退出等措施，重要的主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别。

 远程管理时应启用SSH等管理方式，加密管理数据，防止被网络窃听。

 对主机管理员登录采取双因素认证方式，采用USBkey+密码进行身份鉴别。

7.3.2强制访问控制

应在主机层启用强制访问控制功能，依据安全策略控制用户对资源的访问，对重要信息资源设置敏感标记，安全策略严格控制用户对有敏感标记重要信息资源的操作。

强制访问控制主要是对核心数据区的文件、数据库等资源的访问进行控制，避免越权非法使用。采用的措施主要包括以下几个方面。

 启用访问控制功能：制定严格的访问控制安全策略，根据策略控制用户对应用系统的访问，特别是文件操作、数据访问等，控制粒度主体为用户级，客体为文件或者数据库表级别。

 权限控制：对于制定的访问控制规则要能清楚的覆盖资源访问相关的主题、客体及它们之间的操作。对于不同的用户授权原则是进行能够完成工作的最小化授权，避免授权范围过大，并在它们之间形成互相支援的关系。

 账号管理：严格限制默认账户的访问权限，重命名默认账户，修改默认口令，及时删除多余的、过期的账户，避免共享账户的存在。

 访问控制的实现主要是采取两种方式：采用安全操作系统，或对操作系统进行安全改造，且使用效果要达到以上要求。

对于强制访问控制中的权限分配和账号管理部分可以通过等级保护配置核查产品进行定期扫描核查，及时发现与基线要求不符的配置并进行加固。同时账号管理和权限控制部分还可以通过堡垒机产品来进行强制管控，满足强制访问控制的要求。 7.3.3主机入侵防范

根据等级保护三级要求，需要对主机入侵行为进行防范。针对主机的入侵防范，可以从以下多个角度进行处理：

 部署入侵检测/保护系统，在防范网络入侵的同时对关键主机的操作系统提供保护，提供根据入侵事件的风险程度进行分类报警。

 部署漏洞扫描进行安全性检测，及时发现主机漏洞并进行修补，减少攻击者可利用的对象。

 操作系统的安全遵循最小安装的原则，仅安装需要的组件和应用程序，关闭多余服务等，减少组件、应用程序和服务中可能存在的漏洞。

 根据系统类型进行安全配置的加固处理。

7.3.4主机审计

主机层审计记录系统用户和数据库用户重要的安全相关事件。

系统用户审计主要包括重要用户行为、系统资源的异常使用和重要程序功能的执行等；还包括数据文件的打开关闭，具体的行动，诸如读取、编辑和删除记录，以及打印报表等。对于系统用户审计建议可以通过堡垒机来实现，堡垒机是集账号权限管控以及用户行为审计与一体的安全运维产品，能够通过录屏，记录命令行等方式记录用户对重要服务器的访问行为以及所做的各种操作。

数据库用户审计主要包括用户的各种数据库操作，如插入、更新、删除、修改等行为。对于某些对数据可用性、保密性和完整性方面十分敏感的应用，要求能够捕捉到每个所改变记录的事前和事后的情况。对于数据库用户审计建议可以通过网络审计产品来实现，网络审计产品以旁路方式接入网络，不会对网络造成影响，能够对所有数据库操作行为进行细粒度的记录，以便事后追查。 7.3.5恶意代码防范

针对病毒风险，应在某市三院中心机房所有服务器和终端主机上部署防病毒系统，加强终端主机的病毒防护能力并及时升级恶意代码软件版本以及恶意代码库。同时部署防病毒服务器，负责制定终端主机防病毒策略，进行防病毒系统的统一管理。终端防病毒系统应与网络防病毒系统为不同品牌，以构成立体防护体系。

7.3.6剩余信息保护

为实现剩余信息保护，达到客体安全重用，应及时清除剩余信息存储空间，建议通过对操作系统及数据库系统进行安全加固配置，使得操作系统和数据库系统具备及时清除剩余信息的功能，从而保证用户的鉴别信息、文件、目录、数据库记录等敏感信息所在的存储空间（内存、硬盘）被及时释放或者再分配给其他用户前得到完全清除。

7.3.7资源控制

对主机层面的资源控制可以通过以下几个方面来实现：

 登录条件限制：在交换、路由设定终端接入控制，或使用主机防护软件设定终端接入限制，对网络地址范围等条件限制用户终端登录。

 用户可用资源阈值：限制单个用户对系统资源的最大最小使用限度，保障正常合理的资源占用。

 设定安全策略对在终端登录超时的用户进行锁定，使用主机监控产品对重要的服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况，并对用户的资源使用情况做出大小使用度限制。当系统的服务水平降低到预先规定的最小值进行检测和报警。

 通过内网终端管理系统实现对用户的接入方式、登陆超时锁定、主机资源、网络资源等进行告警及控制。

建议根据基本要求通过安全加固措施对主机资源进行限定，还可以通过部署监控管理系统进行资源监控。

7.4应用层安全

7.4.1身份鉴别

为提高应用服务安全性，保障各种业务的正常运行，应在应用系统开发过程中进行相应身份鉴别功能的开发，包括：

 根据基本要求配置用户名/口令，口令必须具备采用3中以上字符、长度不少于8位并定期更换。

 保证系统用户名具有唯一性。

 启用登录失败处理功能，登录失败后采取结束会话、限制非法登录次数和自动退出等措施。

 对用户登录采取双因素认证方式，采用USBkey+密码进行身份鉴别或者通过CA系统进行身份鉴别。

7.4.2访问控制

应用层访问控制可以通过以下几个方面实现：

 根据等级保护基本要求进行访问控制的配置，包括：权限定义、默认账号的权限管理、控制粒度的确定等。

 通过安全加固措施制定严格的用户权限策略，保证账号、口令等符合安全策略要求。

 通过防火墙制定符合基本要求的ACL策略。 7.4.3安全审计

应用层安全审计是对业务应用系统行为的审计，需要与应用系统紧密结合，此审计功能应与应用系统统一开发。

某市三院中心机房业务系统审计应记录系统重要安全时间的日期、时间、发起者信息、类型、描述和结果等，并保护好审计结果，阻止非法删除、修改或覆盖审计记录。同时能够对记录数据进行统计、查询、分析及生产审计报表。

同时可以部署数据库审计系统对用户行为、用户事件及系统状态加以审计、范围覆盖到每个用户，从而把握数据库系统的整体安全性。

7.4.4剩余信息保护

为实现剩余信息保护，达到客体安全重用，应及时清除剩余信息存储空间，建议通过对操作系统及数据库系统进行安全加固配置，使得操作系统和数据库系统具备及时清除剩余信息的功能，从而保证用户的鉴别信息、文件、目录、数据库记录等敏感信息所在的存储空间（内存、硬盘）被及时释放或者再分配给其他用户前得到完全清除。

7.4.5通信完整性

对于信息传输和存储的完整性校验可采用消息摘要机制确保完整性校验，应在应用系统开发过程中进行数据完整性校验功能开发。

对于信息传输的完整性校验应由传输加密系统完成，可以通过部署VPN系统以保证远程数据传输的数据完整性。对于信息存储的完整性校验应由应由系统和数据库系统完成。

7.4.6通信保密性

应用层的通信保密性主要由应用系统完成，应在应用系统开发过程中进行数据加密的开发。在通信双方建立连接之前，应用系统应利用密码技术进行绘画初始化验证，并对通信过程中的敏感信息字段进行加密。对于信息传输的通信保密性应由加密系统完成。可以通过部署VPN系统以保证远程数据传输的数据机密性。

7.4.7抗抵赖性

抗抵赖性可以通过数字签名技术实现，通过数字签名及签名验证技术，可以判断数据的发送方是否是真是存在的用户。数字签名是不对称加密算法的典型应用。数字签名的应用过程是：数据源发送方是用自己的四月对数据校验和对其他与数据内容有关的便利进行加密处理，完成对数据的合法“签名”，数据接收方则利用对方的公钥来解读收到的“数字签名”，并将解读结果用于对数据完整性的检验，以确认签名的合法性的同时，通过对签名的验证，可以判断数据在传输过程中是否被更改。从而，可以实现数据的发送方不能对发送的数据进行抵赖，发送的数据是完整的，实现系统的抗抵赖性和完整性需求。

7.4.8软件容错

对于软件容错应在应用系统开发过程中进行相应容错功能的开发，并在上线之前进行代码审核，对输入数据进行校验，保证复核规定；且应具备自动保护功能设计，故障后可以恢复。

7.4.9资源控制

应用层面的资源控制可以通过系统安全加固措施进行系统资源限定来实现：

 会话自动结束：当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话，释放资源；

 会话限制：对应用系统的最大并发会话连接数进行限制，对一个时间段内可能的并发会话连接数进行限制，对单个帐户的多重并发会话进行限制，设定相关阈值，保证系统可用性。

 超时锁定：根据安全策略设置应用会话超时锁定。

 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；

 应能够对系统服务水平降低到预先规定的最小值进行检测和报警；

 应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。

7.5数据层安全

7.5.1数据完整性

某市三院中心机房中传输的重要数据，其安全要求较高，尤其是血液系统中的数据信息和精神卫生管理系统中的隐私信息，建议采用消息摘要机制来确保完整性校验。其方法是：发送方使用散列函数，如（SHA，MD5等）对要发送的信息进行摘要计算，得到信息的鉴别码，联通信息一起发送给接收方，将信息也信息摘要进行打包后插入身份鉴别标识，发送给接收方。接收方对接收到的信息，首先确认发送方的身份信息，解包后，重新计算，将得到的鉴别码与收到的鉴别码进行比较，若二者相同，则可以判定信息未被篡改，信息完整性没有受到破坏。在传输过程中可以通过VPN系统来保证数据包是完整性、保密性和可用性。

数据存储过程中的完整性可以通过数据库的访问控制来实现。

(1) 读访问控制

必须制定相应的控制措施，以确保获准访问数据库或数据库表的个体，能够在数据库数据的信息分类级别的合适的级别得到验证。通过使用报表或者查询工具提供的读访问必须由数据所有人控制和批准，以确保能够采取有效的控制措施控制谁可以读取哪些数据。 (2) 读取/写入访问控制

对于那些提供读访问的数据库而言，每个访问该数据的自然人以及/或者对象或进程都必须确立相应的账户。该ID可以在数据库内直接建立，或者通过那些提供数据访问功能的应用予以建立。这些账户必须遵从本标准规定的计算机账户标准。

用户验证机制必须基于防御性验证技术（比如用户ID/密码），这种技术可以应用于每一次登录尝试或重新验证，并且能够根据登录尝试的被拒绝情况指定保护措施。

为了保证数据库的操作不会绕过应用安全，定义角色的能力不得成为默认的用户特权。访问数据库配置表必须仅限于数据库管理员，以防未经授权的插入、更新和删除。

7.5.2数据保密性

关于数据保密性，可以通过一些具体的技术保护手段，在数据和文档的生命周期过程中对其进行安全相关防护，确保内部数据和文档在整个生命周期的过程中的安全。

1) 加强对于数据的认证管理

操作系统须设置相应的认证手段；数据本身也须设置相应的认证手段，对于重要的数据应对其本身设置相应的认证机制。

2) 加强对于数据的授权管理

对文件系统的访问权限进行一定的限制；对网络共享文件夹进行必要的认证和授权。除非特别必要，可禁止在个人的计算机上设置网络文件夹共享。

3) 数据和文档加密

保护数据和文档的另一个重要方法是进行数据和文档加密。数据加密后，即使别人获得了相应的数据和文档，也无法获得其中的内容。

网络设备、操作系统、数据库系统和应用程序的鉴别信息、敏感的系统管理数据和敏感的用户数据应采用加密或其他有效措施实现传输保密性和存储保密性。 当使用便携式和移动式设备时，应加密或者采用可移动磁盘存储敏感信息。

4) 加强对数据和文档日志审计管理

使用审计策略对文件夹、数据和文档进行审计，审计结果记录在安全日志中，通过安全日志就可查看哪些组或用户对文件夹、文件进行了什么级别的操作，从而发现系统可能面临的非法访问，并通过采取相应的措施，将这种安全隐患减到最低。

5) 进行通信保密

用于特定业务通信的通信信道应符合相关的国家规定，密码算法和密钥的使用应符合国家密码管理规定。

7.5.3备份和恢复

针对数据的备份和恢复要求，应用数据的备份和恢复应具有以下功能：

 应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；

 应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；

 应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；

 应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。

7.6虚拟化、云计算安全解决方案

在云计算虚拟化环境安全保障中，传统的防护手段所起到的作用是不应该忽视的，云环境的全面安全防护和保障的还是应该采用传统安全保障技术手段和虚拟化保障技术手段结合的方法。在不同物理实体之间（服务器与服务器、某市三院中心机房和某市三院中心机房）应采用传统的技术手段与虚拟化的技术手段进行防护。而对于同一物理实体之上的虚拟化应用则应采取有针对性的虚拟化技术手段进行防护。

-