【文章內(nèi)容簡介】 一旦遭到破壞，將嚴(yán)重影醫(yī)院工作的正常開展；網(wǎng)站如果被篡改，將造成惡劣的社會影響，降低政府公信度。同時醫(yī)院信息系統(tǒng)如果遭到病毒木馬的攻擊將對醫(yī)院內(nèi)網(wǎng)造成不可估量的損失。因此開展醫(yī)院網(wǎng)絡(luò)安全建設(shè)，提高政醫(yī)院網(wǎng)絡(luò)抗攻擊能力、事故恢復(fù)能力刻不容緩。4 網(wǎng)絡(luò)安全建設(shè)目標(biāo) 滿足合規(guī)性要求 信息系統(tǒng)的安全保護(hù)等級由兩個定級要素決定：等級保護(hù)對象受到破壞時所侵害的客體和對客體造成侵害的程度。 三級甲等醫(yī)院的核心業(yè)務(wù)信息系統(tǒng)安全保護(hù)等級原則上不低于第三級。 二級甲等醫(yī)院、三級乙等醫(yī)院參考定級第二級。序號系統(tǒng)類別三級醫(yī)院二級醫(yī)院一級醫(yī)院1門戶網(wǎng)站2級2級1級2內(nèi)部辦公系統(tǒng)2級2級1級3面向患者服務(wù)系統(tǒng)3級2級1級4以電子病歷為核心的醫(yī)院信息系統(tǒng)3級3級1級 等級保護(hù)技術(shù)要求類別要求二級等保要求三級等保要求解決方案網(wǎng)絡(luò)安全結(jié)構(gòu)安全網(wǎng)絡(luò)設(shè)備處理能力和網(wǎng)絡(luò)帶寬冗余；網(wǎng)絡(luò)拓?fù)鋱D繪制；子網(wǎng)劃分和地址分配；網(wǎng)絡(luò)設(shè)備處理能管理和網(wǎng)絡(luò)帶寬冗余；網(wǎng)絡(luò)拓?fù)鋱D繪制；子網(wǎng)劃分和地址分配；終端和服務(wù)器之間建立安全訪問路徑；邊界和重要網(wǎng)段之間隔離；網(wǎng)絡(luò)擁堵時對重要主機(jī)優(yōu)先保護(hù)；根據(jù)高峰業(yè)務(wù)流量選擇高端設(shè)備，核心交換接入設(shè)備采用雙機(jī)冗余；合理劃分子網(wǎng)、VLAN、安全域，網(wǎng)絡(luò)設(shè)備帶寬優(yōu)先級規(guī)劃。訪問控制部署訪問控制設(shè)備，啟用訪問控制功能；根據(jù)會話狀態(tài)提供允許/拒絕訪問能力；按訪問控制規(guī)則進(jìn)行資源訪問控制，粒度到單個用戶；限制撥號訪問用戶數(shù)量部署訪問控制設(shè)備，啟用訪問控制功能；根據(jù)會話狀態(tài)提供允許/拒絕訪問能力，控制粒度為端口級；按訪問控制規(guī)則進(jìn)行資源訪問控制，粒度到單個用戶；限制撥號訪問用戶數(shù)量；網(wǎng)絡(luò)信息內(nèi)容過濾，應(yīng)用層協(xié)議命令級控制；會話終止；網(wǎng)絡(luò)流量數(shù)和連接數(shù)控制；重要網(wǎng)段防地址欺騙網(wǎng)絡(luò)邊界部署防火墻，制定相應(yīng)ACL策略安全審計網(wǎng)絡(luò)設(shè)備狀況、網(wǎng)絡(luò)流量、用戶行為日志記錄網(wǎng)絡(luò)設(shè)備狀況、網(wǎng)絡(luò)流量、用戶行為日志記錄；數(shù)據(jù)分析和報表生成；審計記錄保護(hù)部署網(wǎng)絡(luò)安全審計系統(tǒng)邊界完整性檢查安全準(zhǔn)入控制和非法外聯(lián)監(jiān)控安全準(zhǔn)入控制和非法外聯(lián)監(jiān)控并進(jìn)行有效阻斷部署終端安全管理系統(tǒng)入侵防范攻擊行為檢測攻擊行為檢測；攻擊日志記錄和告警部署入侵檢測系統(tǒng)惡意代碼防范無要求網(wǎng)絡(luò)邊界病毒查殺；病毒庫升級部署入侵保護(hù)系統(tǒng)網(wǎng)絡(luò)設(shè)備防護(hù)身份鑒別；管理員登陸地址限制；用戶標(biāo)識唯一；登陸失敗處理；鑒別信息加密；身份鑒別；管理員登陸地址限制；用戶標(biāo)識唯一；登陸失敗處理；鑒別信息加密；身份鑒別采用2種或以上鑒別技術(shù)；特權(quán)權(quán)限分離部署等級保護(hù)安全配置核查系統(tǒng)主機(jī)安全身份鑒別操作系統(tǒng)和數(shù)據(jù)庫用戶身份鑒別；登錄失敗處理；鑒別信息傳輸加密；用戶唯一性；操作系統(tǒng)和數(shù)據(jù)庫用戶身份鑒別；登錄失敗處理；鑒別信息傳輸加密；用戶唯一性；身份鑒別采用2種或以上鑒別技術(shù)部署等級保護(hù)安全配置核查系統(tǒng)訪問控制啟用訪問控制功能；操作系統(tǒng)和數(shù)據(jù)庫特權(quán)用戶權(quán)限分離；默認(rèn)賬戶配置修改；多余過期用戶刪除啟用訪問控制功能；操作系統(tǒng)和數(shù)據(jù)庫特權(quán)用戶權(quán)限分離；默認(rèn)賬戶配置修改；多余過期用戶刪除；角色權(quán)限分配，權(quán)限分離和最小權(quán)限原則；重要信息敏感標(biāo)記；強(qiáng)制訪問控制部署堡壘機(jī)安全審計記錄服務(wù)器的系統(tǒng)用戶和數(shù)據(jù)庫用戶的重要安全相關(guān)行為、事件；審計記錄保護(hù)記錄服務(wù)器和重要客戶端的系統(tǒng)用戶和數(shù)據(jù)庫用戶的重要安全相關(guān)行為、事件；審計記錄保護(hù)；審計報表生成；審計進(jìn)程保護(hù)部署堡壘機(jī)剩余信息保護(hù)無鑒別信息再分配前清除，系統(tǒng)文件、目錄、數(shù)據(jù)庫記錄再分配前清除操作系統(tǒng)及數(shù)據(jù)庫加固入侵防范操作系統(tǒng)最小安裝原則，定期升級操作系統(tǒng)最小安裝原則，定期升級；檢測對重要服務(wù)器的入侵行為；重要程序完整性檢測和破壞后的恢復(fù)。部署網(wǎng)絡(luò)入侵檢測系統(tǒng)、終端管理軟件，漏洞掃描惡意代碼防范安裝防惡意代碼軟件，定期升級；惡意代碼軟件統(tǒng)一管理安裝防惡意代碼軟件，定期升級；惡意代碼軟件統(tǒng)一管理；主機(jī)和網(wǎng)絡(luò)防惡意代碼軟件品牌異構(gòu)部署終端殺毒軟件資源控制終端登錄控制；終端超時鎖定；單個用戶資源限制終端登錄控制；終端超時鎖定；單個用戶資源限制安全加固應(yīng)用安全身份鑒別啟用身份鑒別機(jī)制；登錄失敗處理啟用身份鑒別機(jī)制；登錄失敗處理；身份鑒別采用2種或以上鑒別技術(shù)部署CA認(rèn)證系統(tǒng)訪問控制啟用訪問控制機(jī)制，控制用戶對文件、數(shù)據(jù)庫表等的訪問；啟用訪問控制策略；賬戶最小權(quán)限原則和權(quán)限制約啟用訪問控制機(jī)制，控制用戶對文件、數(shù)據(jù)庫表等的訪問；啟用訪問控制策略；賬戶最小權(quán)限原則和權(quán)限制約；重要信息敏感標(biāo)記；重要信息強(qiáng)制訪問控制部署CA認(rèn)證系統(tǒng)安全審計啟用安全審計機(jī)制，審計每個用戶、系統(tǒng)重要安全事件啟用安全審計機(jī)制，審計每個用戶、系統(tǒng)重要安全事件；審計報表生成部署應(yīng)用防護(hù)系統(tǒng)剩余信息保護(hù)無鑒別信息再分配前清除，系統(tǒng)文件、目錄、數(shù)據(jù)庫記錄再分配前清除操作系統(tǒng)及數(shù)據(jù)庫加固通信完整性應(yīng)采用技術(shù)保障信息過程中數(shù)據(jù)完整性應(yīng)采用密碼技術(shù)保障信息過程中數(shù)據(jù)完整性部署PKI體系通信保密性會話初始化驗證，通信過程加密會話初始化驗證，通信過程整個報文或會話過程加密部署PKI體系抗抵賴提供數(shù)據(jù)原發(fā)或接收證據(jù)提供數(shù)據(jù)原發(fā)或接收證據(jù)部署PKI體系軟件容錯數(shù)據(jù)校驗功能，故障時能繼續(xù)提供一部分功能數(shù)據(jù)校驗功能，故障時能繼續(xù)提供一部分功能代碼審核資源控制會話超時自動結(jié)束，限制最大并發(fā)連接數(shù)，單個賬戶多重會話限制會話超時自動結(jié)束，限制最大并發(fā)連接數(shù)，單個賬戶多重會話限制安全加固數(shù)據(jù)安全與備份恢復(fù)數(shù)據(jù)完整性能檢測到鑒別信息和業(yè)務(wù)數(shù)據(jù)在傳輸過程中受到的破壞能檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和業(yè)務(wù)數(shù)據(jù)在傳輸和存儲過程中受到的破壞，并采取恢復(fù)措施VPN加密，數(shù)據(jù)庫訪問控制數(shù)據(jù)保密性采用加密或其他措施實現(xiàn)鑒別信息的存儲保密采用加密或其他措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息、重要業(yè)務(wù)數(shù)據(jù)傳輸存儲過程保密信息加密備份與恢復(fù)重要信息備份恢復(fù)，關(guān)鍵網(wǎng)絡(luò)設(shè)備、線路、數(shù)據(jù)硬件冗余重要信息備份恢復(fù)，關(guān)鍵網(wǎng)絡(luò)設(shè)備、線路、數(shù)據(jù)硬件冗余重要信息定期備份，設(shè)備冗余5 安全技術(shù)體系方案設(shè)計 物理層安全物理安全主要包括：物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護(hù)。該部分內(nèi)容參考《信息系統(tǒng)安全等級保護(hù)基本要求》的三級標(biāo)準(zhǔn)的要求進(jìn)行建設(shè)。建設(shè)過程中可以參考的標(biāo)準(zhǔn)主要包括：GB50174－93《電子計算機(jī)機(jī)房設(shè)計規(guī)范》GB 50057－1994《建筑物防雷設(shè)計規(guī)范》GB 288788《計算站場地安全要求》GB 288789《計算站場地技術(shù)條件》BMB42000《電磁干擾器技術(shù)要求和測試方法》 網(wǎng)絡(luò)層安全網(wǎng)絡(luò)層安全主要涉及的方面包括結(jié)構(gòu)安全、訪問控制、安全審計、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護(hù)幾大類安全控制。 安全域劃分安全域劃分原則：216。 業(yè)務(wù)保障原則安全域方法的根本目標(biāo)是能夠更好的保障網(wǎng)絡(luò)上承載的業(yè)務(wù)。在保證安全的同時，還要保障業(yè)務(wù)的正常運(yùn)行和運(yùn)行效率。216。 適度安全原則在安全域劃分時會面臨有些業(yè)務(wù)緊密相連，但是根據(jù)安全要求（信息密級要求，訪問應(yīng)用要求等）又要將其劃分到不同安全域的矛盾。是將業(yè)務(wù)按安全域的要求強(qiáng)性劃分，還是合并安全域以滿足業(yè)務(wù)要求？必須綜合考慮業(yè)務(wù)隔離的難度和合并安全域的風(fēng)險（會出現(xiàn)有些資產(chǎn)保護(hù)級別不夠），從而給出合適的安全域劃分。216。 結(jié)構(gòu)簡化原則安全域方法的直接目的和效果是要將整個網(wǎng)絡(luò)變得更加簡單，簡單的網(wǎng)絡(luò)結(jié)構(gòu)便于設(shè)計防護(hù)體系。比如，安全域劃分并不是粒度越細(xì)越好，安全域數(shù)量過多過雜可能導(dǎo)致安全域的管理過于復(fù)雜和困難。216。 等級保護(hù)原則安全域的劃分要做到每個安全域的信息資產(chǎn)價值相近，具有相同或相近的安全等級安全環(huán)境安全策略等。216。 立體協(xié)防原則安全域的主要對象是網(wǎng)絡(luò)，但是圍繞安全域的防護(hù)需要考慮在各個層次上立體防守，包括在物理鏈路網(wǎng)絡(luò)主機(jī)系統(tǒng)應(yīng)用等層次；同時，在部署安全域防護(hù)體系的時候，要綜合運(yùn)用身份鑒別訪問控制檢測審計鏈路冗余內(nèi)容檢測等各種安全功能實現(xiàn)協(xié)防。216。 生命周期原則對于安全域的劃分和布防不僅僅要考慮靜態(tài)設(shè)計，還要考慮不斷的變化；另外，在安全域的建設(shè)和調(diào)整過程中要考慮工程化的管理。XX醫(yī)院數(shù)據(jù)中心規(guī)劃以兩臺核心交換機(jī)作為數(shù)據(jù)中心網(wǎng)絡(luò)的核心，通過二條專線接入XX醫(yī)院外網(wǎng)，網(wǎng)絡(luò)邊界通過二臺防火墻設(shè)備實現(xiàn)內(nèi)部網(wǎng)絡(luò)與XX醫(yī)院外網(wǎng)之間的安全隔離與訪問控制。業(yè)務(wù)網(wǎng)內(nèi)部根據(jù)業(yè)務(wù)類型及安全需求劃分為如圖所示的多個安全區(qū)域：外聯(lián)區(qū)：與數(shù)據(jù)中心核心交換機(jī)互聯(lián)，在XX醫(yī)院外網(wǎng)接入處部署防火墻，通過防火墻進(jìn)行訪問控制，實現(xiàn)安全隔離。數(shù)據(jù)交換區(qū)：用于部署數(shù)據(jù)中心的測試服務(wù)器、交換服務(wù)器及總線服務(wù)器等數(shù)據(jù)交換服務(wù)器。應(yīng)用服務(wù)器區(qū)：用于部署數(shù)據(jù)中心的核心業(yè)務(wù)應(yīng)用系統(tǒng)，根據(jù)相關(guān)要求通過部署防火墻、入侵防御來與其它網(wǎng)絡(luò)進(jìn)行安全隔離，同時部署WEB應(yīng)用防火墻對基于WEB的應(yīng)用系統(tǒng)進(jìn)行防護(hù)。核心數(shù)據(jù)區(qū)：主要部署各業(yè)務(wù)系統(tǒng)所需的核心數(shù)據(jù)庫及后臺服務(wù)器，該區(qū)域依照等保要求架設(shè)網(wǎng)絡(luò)環(huán)境。安全管理運(yùn)維區(qū)域及辦公服務(wù)器區(qū)域之間通過合理的VLAN劃分及交換機(jī)的訪問控制列表來加以隔離。并通過部署審計系統(tǒng)對數(shù)據(jù)操作進(jìn)行安全審計。安全管理區(qū)：用于部署信息系統(tǒng)安全管理及網(wǎng)絡(luò)管理的相關(guān)服務(wù)器及軟硬件系統(tǒng)，依照等保要求架設(shè)網(wǎng)絡(luò)環(huán)境。與業(yè)務(wù)服務(wù)器區(qū)域及互聯(lián)網(wǎng)遠(yuǎn)程接入?yún)^(qū)域之間通過合理的VLAN劃分及交換機(jī)的訪問控制列表來加以隔離。根據(jù)重點業(yè)務(wù)重點保護(hù)的原則，將核心交換區(qū)、應(yīng)用服務(wù)區(qū)和核心數(shù)據(jù)區(qū)劃分為三級安全區(qū)域，依據(jù)等級保護(hù)三級標(biāo)準(zhǔn)進(jìn)行相應(yīng)的安全建設(shè)；數(shù)據(jù)交換區(qū)劃分為二級安全區(qū)域，依據(jù)等級保護(hù)二級標(biāo)準(zhǔn)進(jìn)行相應(yīng)的安全建設(shè)。 邊界訪問控制在網(wǎng)絡(luò)結(jié)構(gòu)中，需要對各區(qū)域的邊界進(jìn)行訪問控制，對于XX醫(yī)院外網(wǎng)邊界、數(shù)據(jù)交換區(qū)邊界、應(yīng)用服務(wù)區(qū)域邊界及核心數(shù)據(jù)區(qū)邊界，需采取部署防火墻的方式實現(xiàn)高級別的訪問控制，各區(qū)域訪問控制方式說明如下：216。 外聯(lián)區(qū)：通過部署高性能防火墻，實現(xiàn)數(shù)據(jù)中心網(wǎng)絡(luò)與XX醫(yī)院外網(wǎng)之間的訪問控制；216。 數(shù)據(jù)交換區(qū)：通過核心交換機(jī)的VLAN劃分、訪問控制列表以及在出口處部署防火墻實現(xiàn)對數(shù)據(jù)交換區(qū)的訪問控制。216。 應(yīng)用服務(wù)區(qū)：通過核心交換機(jī)的VLAN劃分、訪問控制列表以及在出口處部署防火墻實現(xiàn)對應(yīng)用服務(wù)區(qū)的訪問控制。216。 核心數(shù)據(jù)區(qū)：通過核心交換機(jī)的VLAN劃