【文章內(nèi)容簡(jiǎn)介】 處理能力的同時(shí)，不得不承受著巨大的安全威脅。 對(duì)醫(yī)院網(wǎng)絡(luò)而言，一旦遭到破壞，將嚴(yán)重影醫(yī)院工作的正常開(kāi)展；網(wǎng)站如果被篡改，將造成惡劣的社會(huì)影響，降低政府公信度。同時(shí)醫(yī)院信息系統(tǒng)如果遭到病毒木馬的攻擊將對(duì)醫(yī)院內(nèi)網(wǎng)造成不可估量的損失。因此開(kāi)展醫(yī)院網(wǎng)絡(luò)安全建設(shè)，提高政醫(yī)院網(wǎng)絡(luò)抗攻擊能力、事故恢復(fù)能力刻不容緩。4 網(wǎng)絡(luò)安全建設(shè)目標(biāo) 滿足合規(guī)性要求 信息系統(tǒng)的安全保護(hù)等級(jí)由兩個(gè)定級(jí)要素決定：等級(jí)保護(hù)對(duì)象受到破壞時(shí)所侵害的客體和對(duì)客體造成侵害的程度。 三級(jí)甲等醫(yī)院的核心業(yè)務(wù)信息系統(tǒng)安全保護(hù)等級(jí)原則上不低于第三級(jí)。 二級(jí)甲等醫(yī)院、三級(jí)乙等醫(yī)院參考定級(jí)第二級(jí)。序號(hào)系統(tǒng)類別三級(jí)醫(yī)院二級(jí)醫(yī)院一級(jí)醫(yī)院1門(mén)戶網(wǎng)站2級(jí)2級(jí)1級(jí)2內(nèi)部辦公系統(tǒng)2級(jí)2級(jí)1級(jí)3面向患者服務(wù)系統(tǒng)3級(jí)2級(jí)1級(jí)4以電子病歷為核心的醫(yī)院信息系統(tǒng)3級(jí)3級(jí)1級(jí) 等級(jí)保護(hù)技術(shù)要求類別要求二級(jí)等保要求三級(jí)等保要求解決方案網(wǎng)絡(luò)安全結(jié)構(gòu)安全網(wǎng)絡(luò)設(shè)備處理能力和網(wǎng)絡(luò)帶寬冗余；網(wǎng)絡(luò)拓?fù)鋱D繪制；子網(wǎng)劃分和地址分配；網(wǎng)絡(luò)設(shè)備處理能管理和網(wǎng)絡(luò)帶寬冗余；網(wǎng)絡(luò)拓?fù)鋱D繪制；子網(wǎng)劃分和地址分配；終端和服務(wù)器之間建立安全訪問(wèn)路徑；邊界和重要網(wǎng)段之間隔離；網(wǎng)絡(luò)擁堵時(shí)對(duì)重要主機(jī)優(yōu)先保護(hù)；根據(jù)高峰業(yè)務(wù)流量選擇高端設(shè)備，核心交換接入設(shè)備采用雙機(jī)冗余；合理劃分子網(wǎng)、VLAN、安全域，網(wǎng)絡(luò)設(shè)備帶寬優(yōu)先級(jí)規(guī)劃。訪問(wèn)控制部署訪問(wèn)控制設(shè)備，啟用訪問(wèn)控制功能；根據(jù)會(huì)話狀態(tài)提供允許/拒絕訪問(wèn)能力；按訪問(wèn)控制規(guī)則進(jìn)行資源訪問(wèn)控制，粒度到單個(gè)用戶；限制撥號(hào)訪問(wèn)用戶數(shù)量部署訪問(wèn)控制設(shè)備，啟用訪問(wèn)控制功能；根據(jù)會(huì)話狀態(tài)提供允許/拒絕訪問(wèn)能力，控制粒度為端口級(jí)；按訪問(wèn)控制規(guī)則進(jìn)行資源訪問(wèn)控制，粒度到單個(gè)用戶；限制撥號(hào)訪問(wèn)用戶數(shù)量；網(wǎng)絡(luò)信息內(nèi)容過(guò)濾，應(yīng)用層協(xié)議命令級(jí)控制；會(huì)話終止；網(wǎng)絡(luò)流量數(shù)和連接數(shù)控制；重要網(wǎng)段防地址欺騙網(wǎng)絡(luò)邊界部署防火墻，制定相應(yīng)ACL策略安全審計(jì)網(wǎng)絡(luò)設(shè)備狀況、網(wǎng)絡(luò)流量、用戶行為日志記錄網(wǎng)絡(luò)設(shè)備狀況、網(wǎng)絡(luò)流量、用戶行為日志記錄；數(shù)據(jù)分析和報(bào)表生成；審計(jì)記錄保護(hù)部署網(wǎng)絡(luò)安全審計(jì)系統(tǒng)邊界完整性檢查安全準(zhǔn)入控制和非法外聯(lián)監(jiān)控安全準(zhǔn)入控制和非法外聯(lián)監(jiān)控并進(jìn)行有效阻斷部署終端安全管理系統(tǒng)入侵防范攻擊行為檢測(cè)攻擊行為檢測(cè)；攻擊日志記錄和告警部署入侵檢測(cè)系統(tǒng)惡意代碼防范無(wú)要求網(wǎng)絡(luò)邊界病毒查殺；病毒庫(kù)升級(jí)部署入侵保護(hù)系統(tǒng)網(wǎng)絡(luò)設(shè)備防護(hù)身份鑒別；管理員登陸地址限制；用戶標(biāo)識(shí)唯一；登陸失敗處理；鑒別信息加密；身份鑒別；管理員登陸地址限制；用戶標(biāo)識(shí)唯一；登陸失敗處理；鑒別信息加密；身份鑒別采用2種或以上鑒別技術(shù)；特權(quán)權(quán)限分離部署等級(jí)保護(hù)安全配置核查系統(tǒng)主機(jī)安全身份鑒別操作系統(tǒng)和數(shù)據(jù)庫(kù)用戶身份鑒別；登錄失敗處理；鑒別信息傳輸加密；用戶唯一性；操作系統(tǒng)和數(shù)據(jù)庫(kù)用戶身份鑒別；登錄失敗處理；鑒別信息傳輸加密；用戶唯一性；身份鑒別采用2種或以上鑒別技術(shù)部署等級(jí)保護(hù)安全配置核查系統(tǒng)訪問(wèn)控制啟用訪問(wèn)控制功能；操作系統(tǒng)和數(shù)據(jù)庫(kù)特權(quán)用戶權(quán)限分離；默認(rèn)賬戶配置修改；多余過(guò)期用戶刪除啟用訪問(wèn)控制功能；操作系統(tǒng)和數(shù)據(jù)庫(kù)特權(quán)用戶權(quán)限分離；默認(rèn)賬戶配置修改；多余過(guò)期用戶刪除；角色權(quán)限分配，權(quán)限分離和最小權(quán)限原則；重要信息敏感標(biāo)記；強(qiáng)制訪問(wèn)控制部署堡壘機(jī)安全審計(jì)記錄服務(wù)器的系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶的重要安全相關(guān)行為、事件；審計(jì)記錄保護(hù)記錄服務(wù)器和重要客戶端的系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶的重要安全相關(guān)行為、事件；審計(jì)記錄保護(hù)；審計(jì)報(bào)表生成；審計(jì)進(jìn)程保護(hù)部署堡壘機(jī)剩余信息保護(hù)無(wú)鑒別信息再分配前清除，系統(tǒng)文件、目錄、數(shù)據(jù)庫(kù)記錄再分配前清除操作系統(tǒng)及數(shù)據(jù)庫(kù)加固入侵防范操作系統(tǒng)最小安裝原則，定期升級(jí)操作系統(tǒng)最小安裝原則，定期升級(jí)；檢測(cè)對(duì)重要服務(wù)器的入侵行為；重要程序完整性檢測(cè)和破壞后的恢復(fù)。部署網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)、終端管理軟件，漏洞掃描惡意代碼防范安裝防惡意代碼軟件，定期升級(jí)；惡意代碼軟件統(tǒng)一管理安裝防惡意代碼軟件，定期升級(jí)；惡意代碼軟件統(tǒng)一管理；主機(jī)和網(wǎng)絡(luò)防惡意代碼軟件品牌異構(gòu)部署終端殺毒軟件資源控制終端登錄控制；終端超時(shí)鎖定；單個(gè)用戶資源限制終端登錄控制；終端超時(shí)鎖定；單個(gè)用戶資源限制安全加固應(yīng)用安全身份鑒別啟用身份鑒別機(jī)制；登錄失敗處理啟用身份鑒別機(jī)制；登錄失敗處理；身份鑒別采用2種或以上鑒別技術(shù)部署CA認(rèn)證系統(tǒng)訪問(wèn)控制啟用訪問(wèn)控制機(jī)制，控制用戶對(duì)文件、數(shù)據(jù)庫(kù)表等的訪問(wèn)；啟用訪問(wèn)控制策略；賬戶最小權(quán)限原則和權(quán)限制約啟用訪問(wèn)控制機(jī)制，控制用戶對(duì)文件、數(shù)據(jù)庫(kù)表等的訪問(wèn)；啟用訪問(wèn)控制策略；賬戶最小權(quán)限原則和權(quán)限制約；重要信息敏感標(biāo)記；重要信息強(qiáng)制訪問(wèn)控制部署CA認(rèn)證系統(tǒng)安全審計(jì)啟用安全審計(jì)機(jī)制，審計(jì)每個(gè)用戶、系統(tǒng)重要安全事件啟用安全審計(jì)機(jī)制，審計(jì)每個(gè)用戶、系統(tǒng)重要安全事件；審計(jì)報(bào)表生成部署應(yīng)用防護(hù)系統(tǒng)剩余信息保護(hù)無(wú)鑒別信息再分配前清除，系統(tǒng)文件、目錄、數(shù)據(jù)庫(kù)記錄再分配前清除操作系統(tǒng)及數(shù)據(jù)庫(kù)加固通信完整性應(yīng)采用技術(shù)保障信息過(guò)程中數(shù)據(jù)完整性應(yīng)采用密碼技術(shù)保障信息過(guò)程中數(shù)據(jù)完整性部署PKI體系通信保密性會(huì)話初始化驗(yàn)證，通信過(guò)程加密會(huì)話初始化驗(yàn)證，通信過(guò)程整個(gè)報(bào)文或會(huì)話過(guò)程加密部署PKI體系抗抵賴提供數(shù)據(jù)原發(fā)或接收證據(jù)提供數(shù)據(jù)原發(fā)或接收證據(jù)部署PKI體系軟件容錯(cuò)數(shù)據(jù)校驗(yàn)功能，故障時(shí)能繼續(xù)提供一部分功能數(shù)據(jù)校驗(yàn)功能，故障時(shí)能繼續(xù)提供一部分功能代碼審核資源控制會(huì)話超時(shí)自動(dòng)結(jié)束，限制最大并發(fā)連接數(shù)，單個(gè)賬戶多重會(huì)話限制會(huì)話超時(shí)自動(dòng)結(jié)束，限制最大并發(fā)連接數(shù)，單個(gè)賬戶多重會(huì)話限制安全加固數(shù)據(jù)安全與備份恢復(fù)數(shù)據(jù)完整性能檢測(cè)到鑒別信息和業(yè)務(wù)數(shù)據(jù)在傳輸過(guò)程中受到的破壞能檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和業(yè)務(wù)數(shù)據(jù)在傳輸和存儲(chǔ)過(guò)程中受到的破壞，并采取恢復(fù)措施VPN加密，數(shù)據(jù)庫(kù)訪問(wèn)控制數(shù)據(jù)保密性采用加密或其他措施實(shí)現(xiàn)鑒別信息的存儲(chǔ)保密采用加密或其他措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息、重要業(yè)務(wù)數(shù)據(jù)傳輸存儲(chǔ)過(guò)程保密信息加密備份與恢復(fù)重要信息備份恢復(fù)，關(guān)鍵網(wǎng)絡(luò)設(shè)備、線路、數(shù)據(jù)硬件冗余重要信息備份恢復(fù)，關(guān)鍵網(wǎng)絡(luò)設(shè)備、線路、數(shù)據(jù)硬件冗余重要信息定期備份，設(shè)備冗余5 安全技術(shù)體系方案設(shè)計(jì) 物理層安全物理安全主要包括：物理位置的選擇、物理訪問(wèn)控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護(hù)。該部分內(nèi)容參考《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》的三級(jí)標(biāo)準(zhǔn)的要求進(jìn)行建設(shè)。建設(shè)過(guò)程中可以參考的標(biāo)準(zhǔn)主要包括：GB50174－93《電子計(jì)算機(jī)機(jī)房設(shè)計(jì)規(guī)范》GB 50057－1994《建筑物防雷設(shè)計(jì)規(guī)范》GB 288788《計(jì)算站場(chǎng)地安全要求》GB 288789《計(jì)算站場(chǎng)地技術(shù)條件》BMB42000《電磁干擾器技術(shù)要求和測(cè)試方法》 網(wǎng)絡(luò)層安全網(wǎng)絡(luò)層安全主要涉及的方面包括結(jié)構(gòu)安全、訪問(wèn)控制、安全審計(jì)、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護(hù)幾大類安全控制。 安全域劃分安全域劃分原則：216。 業(yè)務(wù)保障原則安全域方法的根本目標(biāo)是能夠更好的保障網(wǎng)絡(luò)上承載的業(yè)務(wù)。在保證安全的同時(shí)，還要保障業(yè)務(wù)的正常運(yùn)行和運(yùn)行效率。216。 適度安全原則在安全域劃分時(shí)會(huì)面臨有些業(yè)務(wù)緊密相連，但是根據(jù)安全要求（信息密級(jí)要求，訪問(wèn)應(yīng)用要求等）又要將其劃分到不同安全域的矛盾。是將業(yè)務(wù)按安全域的要求強(qiáng)性劃分，還是合并安全域以滿足業(yè)務(wù)要求？必須綜合考慮業(yè)務(wù)隔離的難度和合并安全域的風(fēng)險(xiǎn)（會(huì)出現(xiàn)有些資產(chǎn)保護(hù)級(jí)別不夠），從而給出合適的安全域劃分。216。 結(jié)構(gòu)簡(jiǎn)化原則安全域方法的直接目的和效果是要將整個(gè)網(wǎng)絡(luò)變得更加簡(jiǎn)單，簡(jiǎn)單的網(wǎng)絡(luò)結(jié)構(gòu)便于設(shè)計(jì)防護(hù)體系。比如，安全域劃分并不是粒度越細(xì)越好，安全域數(shù)量過(guò)多過(guò)雜可能導(dǎo)致安全域的管理過(guò)于復(fù)雜和困難。216。 等級(jí)保護(hù)原則安全域的劃分要做到每個(gè)安全域的信息資產(chǎn)價(jià)值相近，具有相同或相近的安全等級(jí)安全環(huán)境安全策略等。216。 立體協(xié)防原則安全域的主要對(duì)象是網(wǎng)絡(luò)，但是圍繞安全域的防護(hù)需要考慮在各個(gè)層次上立體防守，包括在物理鏈路網(wǎng)絡(luò)主機(jī)系統(tǒng)應(yīng)用等層次；同時(shí)，在部署安全域防護(hù)體系的時(shí)候，要綜合運(yùn)用身份鑒別訪問(wèn)控制檢測(cè)審計(jì)鏈路冗余內(nèi)容檢測(cè)等各種安全功能實(shí)現(xiàn)協(xié)防。216。 生命周期原則對(duì)于安全域的劃分和布防不僅僅要考慮靜態(tài)設(shè)計(jì)，還要考慮不斷的變化；另外，在安全域的建設(shè)和調(diào)整過(guò)程中要考慮工程化的管理。XX醫(yī)院數(shù)據(jù)中心規(guī)劃以兩臺(tái)核心交換機(jī)作為數(shù)據(jù)中心網(wǎng)絡(luò)的核心，通過(guò)二條專線接入XX醫(yī)院外網(wǎng)，網(wǎng)絡(luò)邊界通過(guò)二臺(tái)防火墻設(shè)備實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)與XX醫(yī)院外網(wǎng)之間的安全隔離與訪問(wèn)控制。業(yè)務(wù)網(wǎng)內(nèi)部根據(jù)業(yè)務(wù)類型及安全需求劃分為如圖所示的多個(gè)安全區(qū)域：外聯(lián)區(qū)：與數(shù)據(jù)中心核心交換機(jī)互聯(lián)，在XX醫(yī)院外網(wǎng)接入處部署防火墻，通過(guò)防火墻進(jìn)行訪問(wèn)控制，實(shí)現(xiàn)安全隔離。數(shù)據(jù)交換區(qū)：用于部署數(shù)據(jù)中心的測(cè)試服務(wù)器、交換服務(wù)器及總線服務(wù)器等數(shù)據(jù)交換服務(wù)器。應(yīng)用服務(wù)器區(qū)：用于部署數(shù)據(jù)中心的核心業(yè)務(wù)應(yīng)用系統(tǒng)，根據(jù)相關(guān)要求通過(guò)部署防火墻、入侵防御來(lái)與其它網(wǎng)絡(luò)進(jìn)行安全隔離，同時(shí)部署WEB應(yīng)用防火墻對(duì)基于WEB的應(yīng)用系統(tǒng)進(jìn)行防護(hù)。核心數(shù)據(jù)區(qū)：主要部署各業(yè)務(wù)系統(tǒng)所需的核心數(shù)據(jù)庫(kù)及后臺(tái)服務(wù)器，該區(qū)域依照等保要求架設(shè)網(wǎng)絡(luò)環(huán)境。安全管理運(yùn)維區(qū)域及辦公服務(wù)器區(qū)域之間通過(guò)合理的VLAN劃分及交換機(jī)的訪問(wèn)控制列表來(lái)加以隔離。并通過(guò)部署審計(jì)系統(tǒng)對(duì)數(shù)據(jù)操作進(jìn)行安全審計(jì)。安全管理區(qū)：用于部署信息系統(tǒng)安全管理及網(wǎng)絡(luò)管理的相關(guān)服務(wù)器及軟硬件系統(tǒng)，依照等保要求架設(shè)網(wǎng)絡(luò)環(huán)境。與業(yè)務(wù)服務(wù)器區(qū)域及互聯(lián)網(wǎng)遠(yuǎn)程接入?yún)^(qū)域之間通過(guò)合理的VLAN劃分及交換機(jī)的訪問(wèn)控制列表來(lái)加以隔離。根據(jù)重點(diǎn)業(yè)務(wù)重點(diǎn)保護(hù)的原則，將核心交換區(qū)、應(yīng)用服務(wù)區(qū)和核心數(shù)據(jù)區(qū)劃分為三級(jí)安全區(qū)域，依據(jù)等級(jí)保護(hù)三級(jí)標(biāo)準(zhǔn)進(jìn)行相應(yīng)的安全建設(shè)；數(shù)據(jù)交換區(qū)劃分為二級(jí)安全區(qū)域，依據(jù)等級(jí)保護(hù)二級(jí)標(biāo)準(zhǔn)進(jìn)行相應(yīng)的安全建設(shè)。 邊界訪問(wèn)控制在網(wǎng)絡(luò)結(jié)構(gòu)中，需要對(duì)各區(qū)域的邊界進(jìn)行訪問(wèn)控制，對(duì)于XX醫(yī)院外網(wǎng)邊界、數(shù)據(jù)交換區(qū)邊界、應(yīng)用服務(wù)區(qū)域邊界及核心數(shù)據(jù)區(qū)邊界，需采取部署防火墻的方式實(shí)現(xiàn)高級(jí)別的訪問(wèn)控制，各區(qū)域訪問(wèn)控制方式說(shuō)明如下：216。 外聯(lián)區(qū)：通過(guò)部署高性能防火墻，實(shí)現(xiàn)數(shù)據(jù)中心網(wǎng)絡(luò)與XX醫(yī)院外網(wǎng)之間的訪問(wèn)控制；216。 數(shù)據(jù)交換區(qū)：通過(guò)核心交換機(jī)的VLAN劃分、訪問(wèn)控制列表以及在出口處部署防火墻實(shí)現(xiàn)對(duì)數(shù)據(jù)交換區(qū)的訪問(wèn)控制。216。 應(yīng)用服務(wù)區(qū)：通過(guò)核心交換機(jī)的VLAN劃分、訪問(wèn)