【正文】 在西安捷潤數(shù)碼科技有限公司針對醫(yī)療集團(tuán)核心醫(yī)院醫(yī)療集團(tuán)本部信息化現(xiàn)狀調(diào)研、分析后出具的《延大附院安全整改建議書 詳細(xì) 》的基礎(chǔ)上，依據(jù)上述建議書所反映的醫(yī)療集團(tuán)的相關(guān)安全問題和信息系統(tǒng)現(xiàn)狀所出具的等級保護(hù)整改建議方案書。后期進(jìn)入項(xiàng)目實(shí)施階段后，根據(jù)信息系統(tǒng)的最新安全現(xiàn)狀和具體的產(chǎn)品部署環(huán)境，該建議方案書可能還需要有局部的調(diào)整和更進(jìn)一步的細(xì)化與優(yōu)化。依照國家《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》 、 《信息系統(tǒng)安全等級保護(hù)基本要求》 、 《信息系統(tǒng)安全保護(hù)等級定級指南》等標(biāo)準(zhǔn)，以及醫(yī)療集團(tuán)對信息系統(tǒng)等級保護(hù)工作的有關(guān)規(guī)定和要求，醫(yī)療集團(tuán)已經(jīng)對網(wǎng)絡(luò)和信息系統(tǒng)進(jìn)行等級保護(hù)定級，并按信息系統(tǒng)逐個(gè)編制了定級報(bào)告和定級備案表，定級材料已經(jīng)提交當(dāng)?shù)毓矙C(jī)關(guān)備案。通過上述兩個(gè)方面的建設(shè)使得醫(yī)療集團(tuán)網(wǎng)絡(luò)信息系統(tǒng)最終既可以滿足等級保護(hù)的相關(guān)要求，又能夠全方位為醫(yī)療集團(tuán)的業(yè)務(wù)系統(tǒng)提供立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護(hù)能力。建立安全管理組織機(jī)構(gòu)，成立信息安全工作小組，信息中心負(fù)責(zé)人為安全責(zé)任人，擬定實(shí)施醫(yī)院信息系統(tǒng)安全等級保護(hù)的具體方案，并制定相應(yīng)的崗位責(zé)任制，確保信息安全等級保護(hù)工作順利實(shí)施。建立健全信息系統(tǒng)安全管理制度，根據(jù)信息安全等級保護(hù)的要求，制定各項(xiàng)信息系統(tǒng)安全管理制度，對安全管理人員或操作人員執(zhí)行的重要管理操作建立操作規(guī)程和執(zhí)行記錄文檔。應(yīng)急預(yù)案是安全等級保護(hù)的重要組成部分，按可能出現(xiàn)問題的不同情形制定相應(yīng)的應(yīng)急措施，在系統(tǒng)出現(xiàn)故障和意外且無法短時(shí)間恢復(fù)的情況下能確保醫(yī)療活動(dòng)持續(xù)進(jìn)行。5 / 65 項(xiàng)目參考標(biāo)準(zhǔn)東軟公司有充分的能力和豐富的經(jīng)驗(yàn)在遵循國家信息安全等級保護(hù)指南等最新安全標(biāo)準(zhǔn)的前提下協(xié)助醫(yī)療集團(tuán)開展各項(xiàng)等級保護(hù)整改建設(shè)工作，并助力和配合醫(yī)療集團(tuán)通過相關(guān)組織的等級保護(hù)測評工作。 ? 規(guī)范性原則：東軟在各項(xiàng)安全服務(wù)工作中的過程和文檔，都具有很好的規(guī)范性（《東軟安全服務(wù)實(shí)施規(guī)范》），可以便于項(xiàng)目的跟蹤和控制； ? 可控性原則：服務(wù)所使用的工具、方法和過程都會(huì)在東軟公司與醫(yī)療集團(tuán)雙方認(rèn)可的范圍之內(nèi)，服務(wù)進(jìn)度遵守進(jìn)度表的安排，保證雙方對服務(wù)工作的可控性； ? 整體性原則：服務(wù)的范圍和內(nèi)容整體全面，涉及到 IT 運(yùn)行的各個(gè)層面，避免由于遺漏造成未來的安全隱患； ? 最小影響原則：服務(wù)工作力求盡可能小的影響信息系統(tǒng)的正常運(yùn)行，不會(huì)對現(xiàn)有業(yè)務(wù)造成明顯影響。? 先進(jìn)性原則：為滿足后續(xù)不斷增長的業(yè)務(wù)需求、對安全產(chǎn)品、安全技術(shù)都充分考慮前瞻性要求，采用先進(jìn)、成熟的安全產(chǎn)品和先進(jìn)的管理方法。? 服務(wù)細(xì)致化原則：在項(xiàng)目咨詢、建設(shè)過程中東軟公司將充分結(jié)合自身的專業(yè)技術(shù)積累與行業(yè)經(jīng)驗(yàn)，結(jié)合醫(yī)療集團(tuán)的實(shí)際信息系統(tǒng)量身定做才可以保障其信息系統(tǒng)安全穩(wěn)定的運(yùn)行。7 / 65 現(xiàn)狀描述醫(yī)療集團(tuán)本部目前分為本部，東關(guān)分院兩大部分，兩院網(wǎng)絡(luò)相對獨(dú)立，通過專線連通，本部和東關(guān)分院網(wǎng)絡(luò)結(jié)構(gòu)如下圖：8 / 659 / 65 電子病歷系統(tǒng)醫(yī)療集團(tuán)本部“電子病歷系統(tǒng)”是醫(yī)院的核心業(yè)務(wù)系統(tǒng)，為整個(gè)醫(yī)院的醫(yī)療科研業(yè)務(wù)提供信息支持，為患者提供健康信息服務(wù)。HIS 應(yīng)用系統(tǒng)HIS 應(yīng)用系統(tǒng)是醫(yī)療集團(tuán)本部非常重要的系統(tǒng)。其他重要業(yè)務(wù)系統(tǒng)基本都與 HIS 系統(tǒng)做了接口，實(shí)現(xiàn)功能跳轉(zhuǎn)和數(shù)據(jù)共享等。該系統(tǒng)為醫(yī)療集團(tuán)本部核心生產(chǎn)系統(tǒng)，實(shí)時(shí)性要求非常高，不僅連接醫(yī)療集團(tuán)本部內(nèi)部眾多系統(tǒng)，而且連接醫(yī)保網(wǎng)絡(luò)。 LIS 應(yīng)用系統(tǒng)LIS 系統(tǒng)（Laboratory Information Management System） ，將實(shí)驗(yàn)儀器與計(jì)算機(jī)相連，快速實(shí)現(xiàn)對病人樣品登錄、實(shí)驗(yàn)數(shù)據(jù)存取、報(bào)告審核、打印分發(fā)等功能，實(shí)驗(yàn)數(shù)據(jù)統(tǒng)計(jì)分析等繁雜的操作過程實(shí)現(xiàn)了智能化、自動(dòng)化和規(guī)范化管理。該系統(tǒng)為醫(yī)療集團(tuán)本部重要業(yè)務(wù)系統(tǒng)，具有最多的接入終端。該系統(tǒng)為醫(yī)療集團(tuán)本部重要業(yè)務(wù)系統(tǒng)，需傳輸大量的影像視頻數(shù)據(jù)，對網(wǎng)絡(luò)帶寬有很高的要求。體檢系統(tǒng)能夠提供規(guī)范的體檢結(jié)果報(bào)告，并能進(jìn)行分析，使體檢報(bào)告更具科學(xué)性。 臨床路徑應(yīng)用系統(tǒng)臨床路徑應(yīng)用系統(tǒng)保證治療項(xiàng)目精細(xì)化、標(biāo)準(zhǔn)化、程序化，減少治療過程的隨意化，并和 HIS 應(yīng)用系統(tǒng)做了接口連接；提高我院資源的管理和利用，加強(qiáng)臨床治療的風(fēng)險(xiǎn)控制；縮短住院周期，減低費(fèi)用；臨床路徑應(yīng)用系統(tǒng)還可以為無相關(guān)經(jīng)驗(yàn)人員提供教育學(xué)習(xí)機(jī)會(huì)。 EMR 應(yīng)用系統(tǒng)EMR 系統(tǒng)（電子病歷系統(tǒng)）是醫(yī)學(xué)專用軟件。涉及病人信息的采集、存儲、傳輸、質(zhì)量控制、統(tǒng)計(jì)和利用。 HIS 就診卡/一卡通系統(tǒng)醫(yī)療集團(tuán)本部將于近期上線的“HIS 就診卡/ 一卡通系統(tǒng) ”，該系統(tǒng)與其他做 HIS 接口系統(tǒng)不同的是：是集成在 HIS 系統(tǒng)中的一個(gè)收費(fèi)模塊，與其他接口系統(tǒng)做了數(shù)據(jù)綁定，實(shí)現(xiàn) RIS、LIS 、心電圖等業(yè)務(wù)系統(tǒng)的電子化計(jì)費(fèi)、收費(fèi)等功能，其相關(guān)財(cái)務(wù)數(shù)據(jù)存于 HIS數(shù)據(jù)庫中。由于該系統(tǒng)與 HIS 數(shù)據(jù)和其他業(yè)務(wù)數(shù)據(jù)具有緊密的聯(lián)系，預(yù)計(jì)在將來可能會(huì)與醫(yī)院現(xiàn)有財(cái)務(wù)管理系統(tǒng)做接口，實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)和財(cái)務(wù)數(shù)據(jù)的徹底綁定，所以其安全的保密性、完整性、可用性的要求與 HIS 系統(tǒng)、財(cái)務(wù)系統(tǒng)等重要業(yè)務(wù)系統(tǒng)同等重要。? 信息機(jī)房序號 機(jī)房名稱 物理位置1 醫(yī)療集團(tuán)本部中心機(jī)房 醫(yī)療集團(tuán)本部 21 層（共 21 層）2 醫(yī)療集團(tuán)本部東關(guān)分院中心機(jī)房醫(yī)療集團(tuán)本部東關(guān)分院行政樓 7 層（共 7層）12 / 65? 主要業(yè)務(wù)應(yīng)用系統(tǒng)序號 系統(tǒng)名稱 系統(tǒng)描述 等保級別1. 電子病歷系統(tǒng)核心業(yè)務(wù)系統(tǒng)，包括 HIS、RIS、LIS、PACS、體檢、臨床路徑、心電圖、EMR 等多個(gè)功能模塊三級2.HIS 就診卡 /一卡通系統(tǒng)重要業(yè)務(wù)系統(tǒng)，實(shí)現(xiàn) RIS、LIS 、心電圖等業(yè)務(wù)系統(tǒng)的電子化計(jì)費(fèi)、收費(fèi)等功能。 三級? 主要主機(jī)/存儲設(shè)備序號設(shè)備名稱 操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng) 重要程度1 HIS應(yīng)用服務(wù)器1IBMX366 SQLSever2022 重要2 HIS應(yīng)用服務(wù)器3 DellP2950 SQLSever2022 重要3 體檢服務(wù)器 IBM X3650 SQLSever2022 重要4 網(wǎng)管管理服務(wù)器DellP2950 SQLSever2022 重要5 PACS 數(shù)據(jù)庫服務(wù)器DellR710 SQLSever2022 重要6 RIS 數(shù)據(jù)庫服務(wù)器DellR710 SQLSever2022 重要7 LIS應(yīng)用服務(wù)器4IBMX3650M4 SQLSever2022 重要8 HIS應(yīng)用服務(wù)器1IBMX366 DB2 數(shù)據(jù)庫 重要9 HIS應(yīng)用服務(wù)器2 IBMX3850 DB2 數(shù)據(jù)庫 重要10 HIS應(yīng)用服務(wù)器3 DellP2950 DB2 數(shù)據(jù)庫 重要11 手麻 IBM X3650 DB2 數(shù)據(jù)庫 重要12 HIS數(shù)據(jù)庫服務(wù)器主IBMP730 DB2 數(shù)據(jù)庫 重要13 / 6513 HIS數(shù)據(jù)庫服務(wù)器備 IBMP750 DB2 數(shù)據(jù)庫 重要14HIS應(yīng)用服務(wù)器5 IBMX3650M4DB2 數(shù)據(jù)庫 重要15HIS應(yīng)用服務(wù)器4 IBMX3650M4DB2 數(shù)據(jù)庫 重要16 財(cái)務(wù)科服務(wù)器 IBM X3650 M3 Oracle 數(shù)據(jù)庫 重要17 HIS應(yīng)用服務(wù)器1IBMX366 WindowsServer2022SP2 重要18 HIS應(yīng)用服務(wù)器2 IBMX3850 WindowsServer2022SP2 重要19HIS應(yīng)用服務(wù)器3 IBMX3650M4WindowsServer2022SP2 重要20HIS應(yīng)用服務(wù)器4 IBMX3650M4WindowsServer2022SP2 重要21HIS應(yīng)用服務(wù)器5 IBMX3650M4WindowsServer2022SP2 重要22 財(cái)務(wù)科服務(wù)器 IBM X3650 M3 WindowsServer2022SP2 重要23 手麻體檢服務(wù)器 IBM X3650 WindowsServer2022SP2 重要24 綜合管理服務(wù)器DellP2950 WindowsServer2022SP2 重要25 PACS、 RIS 數(shù)據(jù)庫服務(wù)器 WindowsServer2022SP2 重要26 PACS 服務(wù)器 2DellR710 WindowsServer2022SP2 重要27 內(nèi)網(wǎng)服務(wù)器 DellP2950 WindowsServer2022SP2 重要28 圖像引擎服務(wù)器本部DellT550 Windows7 重要29 圖像引擎服務(wù)器東關(guān) DellT550 Windows7 重要30 圖像引擎服務(wù)器洛川 DellT550 Windows7 重要14 / 6531 HIS數(shù)據(jù)庫服務(wù)器主IBMP730 重要32 HIS數(shù)據(jù)庫服務(wù)器備IBMP750 重要33心電服務(wù)器 IBMX3650M4（東關(guān)）WindowsServer2022SP3 重要34臨床路徑服務(wù)器IBMX3650M4（東關(guān)）WindowsServer2022SP3 重要35物流服務(wù)器IBMX3650M4（東關(guān)）WindowsServer2022SP3 重要36HIS 應(yīng)用 1輸血IBMX3650M4（東關(guān)）WindowsServer2022SP3 重要37HIS 應(yīng)用 2綜合業(yè)務(wù)IBMX3650M4（東關(guān)）WindowsServer2022SP3 重要38HIS 應(yīng)用 3IBMX3650M4（東關(guān)）WindowsServer2022SP3 重要39心電服務(wù)器 IBMX3650M4（東關(guān)）SQLServer2022 重要40臨床路徑服務(wù)器IBMX3650M4（東關(guān)）SQLServer2022 重要41物流服務(wù)器IBMX3650M4（東關(guān)）SQLServer2022 重要42HIS 應(yīng)用 1輸血IBMX3650M4（東關(guān)）DB2 數(shù)據(jù)庫 重要43HIS 應(yīng)用 2綜合業(yè)務(wù)IBMX3650M4（東關(guān)）DB2 數(shù)據(jù)庫 重要15 / 6544HIS 應(yīng)用 3IBMX3650M4（東關(guān)）DB2 數(shù)據(jù)庫 重要? 主要網(wǎng)絡(luò)互連設(shè)備序號 操作系統(tǒng)名稱 設(shè)備名稱1 Cisco IOS v 核心交換機(jī)CiscoN7010主2 Cisco IOS v 核心交換機(jī)Cisco6509備3 Cisco IOS v Sever1Cisco49484 Cisco IOS v Sever2Cisco49485 Cisco IOS v HIS服務(wù)器接入交換機(jī)Cisco29606 Cisco IOS v p1r1Cicso29607 Cisco IOS v 樓層接入交換機(jī)1F Cisco29608 Cisco IOS v 樓層接入交換機(jī)5F Cisco29609 Cisco IOS v 樓層接入交換機(jī)10F Cisco296010 Cisco IOS v 樓層接入交換機(jī)15F Cisco296011 Cisco IOS v 樓層接入交換機(jī)20F Cisco296012 Cisco IOS v 樓層接入交換機(jī)住院樓 Cisco296013 Cisco IOS v 樓層接入交換機(jī)檢驗(yàn)樓 Cisco296014 Cisco IOS v 樓層接入交換機(jī)仿古樓 Cisco296015 Cisco IOS v 樓層接入交換機(jī)兒科樓 Cisco296016 Cisco IOS v 樓層接入交換機(jī)CT 樓 Cisco296017 Cisco IOS v 核心交換機(jī)Cisco6509主18 Cisco IOS v 核心交換機(jī)Cisco3560備16 / 6519 Cisco IOS v dgfynei5Cisco C2960S20 Cisco IOS v dgfynei4Cisco C2960S21 Cisco IOS v dgfynei3Cisco C2960S22 Cisco IOS v dgfynei2Cisco C2960S23 Cisco IOS v dgfynei1Cisco C2960S24 Cisco IOS v dgfynei0Cisco C2960S? 主要網(wǎng)絡(luò)安全設(shè)備序號 設(shè)備名稱 數(shù)量 用 途 重要程度1. ？？？ 1 防火墻 重要2.3. 物理安全現(xiàn)狀延大附中的信息機(jī)房分布于本部和東關(guān)分院兩處，機(jī)房建設(shè)時(shí)間較早，在建設(shè)初期，國家相關(guān)的法規(guī)和標(biāo)準(zhǔn)不夠健全，故在機(jī)房選址和基本的物理安全方面缺少對于相關(guān)安全要求的考慮，在機(jī)房選址、訪問控制、防盜防破壞、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護(hù)方面均有不同程度的安全隱患和防護(hù)建設(shè)需求。17 / 65 主機(jī)安全現(xiàn)狀：主機(jī)系統(tǒng)主要采用 windows 202windows202windows7 的微軟操作系統(tǒng)和AIX 操作系統(tǒng)，所有的操作系統(tǒng)的配置均使用默認(rèn)的缺省配置，未進(jìn)行危險(xiǎn)配置項(xiàng)的規(guī)避操作和系統(tǒng)漏洞的升級和加固工作。 應(yīng)用安全現(xiàn)狀：應(yīng)用系統(tǒng)多為 CS 架構(gòu)，系統(tǒng)設(shè)計(jì)開發(fā)之初并未充分考慮系統(tǒng)的安全需求和相關(guān)的合規(guī)性要求，系統(tǒng)建設(shè)和開發(fā)主要以實(shí)現(xiàn)功