项目背景
2011年，原卫生部制定并印发了《卫生行业信息安全等级保护工作的指导意见》（卫办发[2011]85号），指出卫生行业各单位要按照“谁主管、谁负责，谁运营、谁负责”的要求，落实信息安全责任。
2016年，国务院印发《“十三五”卫生与健康规划》（国发[2016]77号），《规划》提出要“加强健康医疗数据安全保障和患者隐私保护”以及“加强信息安全防护体系建设”。
2017年6月生效的《中华人民共和国网络安全法》明确了我国实行网络安全等级保护制度。
2019年12月1日起，网络安全等级保护2.0时代正式开启，对医疗卫生行业信息系统的网络安全等级保护提出了新的要求和标准。
医院信息系统的安全性直接关系到医院医疗工作的正常运行，一旦网络瘫痪或数据丢失，将会给医院和病人带来巨大的灾难和难以弥补的损失。同时，医院信息系统涉及大量医院经营和患者医疗等私密信息，信息的泄露和传播将会给医院、社会和患者带来安全风险。
因此在某县区域卫生信息化建设过程中，应当正视现在复杂的网络环境，以及可能面临的各种网络安全风险，对网络威胁应给予充分的重视。为了区域卫生信息化平台信息系统和网络的安全稳定运行，确保信息系统安全，根据医院目前的信息系统网络特点及安全需求，本着切合实际、着眼未来的原则，提出新形势下网络安全建设的思路和办法。
用户需求
1. 安全物理环境方面，按照三级等保要求，三个手持干粉灭火器不满足等保要求，需配置七氟丙烷灭火设备；UPS电池组过少，不满足低于4小时供电的需要，或配置柴油发电机；操作间和数据机房通道，需加装门禁系统。
2. 安全通信网络方面，按照三级等保要求，没有建立一套完整的逻辑清晰的、易于扩展和方便管理的体系架构。满足日常安全运维的需要，同时满足网络安全和等级保护的总体需要，充分考虑数据流向、边界安全的需要。另外，某县人民医院信息系统与乡镇卫生院HIS系统进行数据传输时，借助医保网的网络资源，存在较大的安全风险，且在终端未进行安全管控的情况下，容易出现不可估量的责任事故。
3. 安全计算环境方面，按照三级等保，虚拟化资源池容量不足，不便于后期扩展；需要扩大虚拟化资源池，升级虚拟化控制软件；从而满足乡镇卫生院的HIS系统以及业务数据存储的部署需要。另外，没有建立主机防病毒和终端防病毒措施。
4. 安全区域边界方面，按照三级等保，未建立边界区域防护措施，且目前所用设备在网络部署位置以及安全策略配置方面，均未达到要求。边界管控措施未建立，防护措施未建立。需要按照等级保护要求，重新在优化架构时，按照需要补齐安全设备。另外，对访问控制和无线网络没有具体的管理措施。
5. 安全管理中心方面，按照三级等保，需建立安全审计管理体系，需建立安全系统管理体系和集中管控。主要表现为，缺少安全审计类设备，如数据库审计、日志审计、安全运维管理系统和集中管控系统。
6. 安全运维管理方面和安全建设管理方面，均未建设相应的管理体系。
解决方案
构建一套完整的、易于扩展和方便管理的体系架构。满足日常运维的需要，同时满足网络安全和等级保护的总体需要，充分考虑数据流向、边界安全的需要。
进行逻辑清晰的网络区域划分，部分核心业务区域（虚拟化）、内部办公区域（包含2个社区、12个乡镇卫生站和煤矿医疗机构）、外联业务、医保结算区域及链路接入区域进行逻辑隔离和物理隔离；每个区域内部部署边界防护和管控设备。建立符合等保要求安全集中管控、主动监控、动态防御措施。
针对某县区域卫生信息化平台建设特征，对医院信息网络进行分域管理，根据不同功能区的使用要求，将平台网络进行内外网隔离，其中内网划分专线区、办公内网、内网和外网通过网闸进行安全隔离，保障访问安全。
用户收益
● 构建安全合规的纵深防御体系
本项目建设依照等级保护相关要求，通过合理划分安全区域、部署各类安全产品并实行严格的安全防护与控制措施，形成检测、防护、响应和恢复的保障体系，同时引入安全管理咨询服务和专业安全服务，提升了信息化平台整体安全防护能力，从而建立有针对性的合规性安全保障体系框架和安全防护措施
● 提升运维效率，降低人力运维成本
通过本项目的建设，可以实现对医院内安全事件的分析与挖掘，依据真实的网络安全运行数据，可驱动医院今后制定对应的有效决策，有针对性地部署管理，提升整体网络安全防护水平。
● 协同防御，多级联动
参照等级保护2.0要求用户构建多级联动安全防御体系，形成威胁的防御、检测、响应和预测，形成闭环，应对各种攻击。同时，以智能集成联动的方式工作，应对高级网络安全威胁。
Copyright © 启明星辰 版权所有 京ICP备05032414号 
京公网安备11010802024551号
