English日本語
业务布景
随着医院信息化的发展和“智慧医院”建设过程的不休推动，医院业务服务也正向着互联网化发展。中国医疗行业网络安全整体环境日趋恶化，医疗系统、医疗数据成为了APT组织、黑产组织攻击的指标，如近年来产生在医疗系统中的勒索病毒事务、医疗数据泄露事务等。使医院单元辅导越来越清澈地意识到安全建设中安全风险存在的风险，也越来越器沉安全建设，更意识到医院安全防护系统建设必要不休美满。
医疗系统是医院单元的沉要信息系统，是保险医疗业务服务正常运营的底子。在医疗系统 建设过程中，思考到医疗业务系统新技术架构下所面对的新风险新问题，依照国度网络安全等 级�；ぁ吨谢嗣窆埠凸绨踩ā芳霸於鹊挠泄匾�，需同步规划安全保险系统，并在医 疗系统建设过程中，落实安全保险技术措施和治理措施。
因而，需结合当前网络安全威胁趋向及医院网络安全近况与将来发展，凭据国度网络安全 等级�；ぜ啊吨谢嗣窆埠凸绨踩ā返囊�，美满医院的网络安全保险系统。
安全需要
医院网络安全建设不仅必要切合网络安全等级�；す娣都啊吨谢嗣窆埠凸绨踩ā返囊�，还需成立高效不变的业务安全支持平台来保险医院运行秩序和业务系统运行不变安全。
1. 满足国度等级�；ぜ罢哂泄匾�
凭据原卫生部2011年颁布的《卫生行业信息安全等级�；すぷ鞯牧斓级返挠泄鼗�，三级甲等医院的主题业务信息系统安全�；さ燃蹲荚蛏喜坏陀诘谌�，二级及以上医院主题业务系统安全�；さ燃蹲荚蛏喜坏陀诘诙�；
2016年国度卫健委颁布的《三级综合医院评审尺度考评法子》划定了沉要业务系统必须达到等保三级尺度才满足三级医院评审尺度中对于网络安全的要求；
2018年国度卫健委颁布的《国度健全医疗大数据尺度、安全和服务治理法子（试行）》划定了承载健全医疗大数据的平台必须通过等级�；ぃㄎ椿侗穑�，通常引入大数据技术的医院都是三级甲等医院，根基以三级等保为主；
2018年国度卫健委颁布的《互联网医院治理法子（试行）》划定了承载互联网医院的平台必须通过等保三级测评。
2. 保险业务持续运行需要
医疗信息系统运行不变安全直接关系到患者的性命健全以及医院运行秩序，一旦系统被攻击出故障或是引发信息泄露事务，其后果极度严沉；
随着社会经济环境以及人民医疗健全需要的变动，医院从自身业务发展需要上来说根基蕴含以下几点：
1、疾病防治等医疗水平的提高急需对表衔接、信息共享，例如像远程医疗、远程会诊、远程手术、区域卫生信息平台、互联网利用等，都必要医院逐步对表盛开有关网络和数据。
2、移动医疗是传统医疗方式迈向个性化医疗服务和健全人群保健服务一个沉要的信息延展利用，已成为当今医疗信息领域钻研的最热点课题。
3、在幼我隐衷泄露严沉、电信诳骗日益疯狂、以及网络安全法正式执行等大布景下，医院火急必要�；ず貌』嫉挠孜乙搅坪鸵孕畔�，预防隐衷信息的泄露或篡改。
4、在医疗业务工作越来越依赖于信息系统的环境下，必须保险临床等沉要信息系统7X24幼时不中断运行。
5、医疗信息化的深刻推动，部署的医疗信息系统逐步增多，这给运维治理带来较大难度，人员的不成控行为以及多接口、多系统的数据接见节造、身份甄别系统使得医院信息安全治理难度加大。
解决规划
1. 等级�；�2.0的安全通用要求变动
● 等保2.0安全通用要求调整了节造措施分类
技术要求分为安全物理环境、安全通讯天堑、安全区域天堑、安全推算环境、安全治理中心，治理要求分为安全治理造度、安全治理机构、安全人员治理、安全建设治理和安全运维治理。
安全要求项有所变动：
等保1.0二级系统要求为175项，等保2.0削减为135项。
等保1.0三级系统要求为290项，等保2.0削减为211项。
等保1.0四级系统要求为318项，等保2.0削减为228项。
● 安全防护思路变动
等保1.0防护思路是事前预防、事中响应、过后审计的纵深防御思路。
等保2.0尺度则在“一个中心、三沉防护” 的理想基础上，注沉全方位自动防御、安全可信、动态感知和全面审计。
● 增长了新内容
等保2.0删除了过期的测评项，对测评项进行合理性批改，新增对新型网络攻击行为防护和幼我信息�；さ刃乱�。
对集中管控提出了明确要求，集中管控将成为一个新的需重点。等保2.0中对可信推算及密码技术的利用提出了明确要求，这将很大推进可信推算及密码技术的推广及利用。
2. 系统定级
凭据国度有关政策要求，凭据网络安全等级�；び泄匾�，对医疗行业业务系统等级�；ざ督ㄒ槿缦拢�
用户类型 | 系统类型 | 等级 | 有关系统 |
医院 （三级及以上） | 主题信息系统 | 三级 | HIS、EMR、LIS、RIS、PACS、CIS、集成平台、数据中心、APP、互联网医疗等 |
非主题信息系统 | 二级 | CRM、HRP、体检系统、监控系统、门户网站及内部办公类等 | |
医院 （二级及以下） | 业务系统 | 二级 | HIS、EMR、PACS、门户网站、内部办公类系统等 |
公共卫朝气构 | 主题信息系统 | 三级 | 中国疾病预防节造信息系统（含子系统）、免疫规划信息治理系统，妇幼保健信息系统，卫生监督信息系统，打算免疫信息系统，社区卫生服务中心与专业站所主题业务系统等 |
卫健委 | 主题信息系统 | 三级 | 区域全民健全信息平台，社区卫生信息系统，卫生统计直报信息系统，卫生健全委门户网站 |
非主题信息系统 | 三级/二级 | OA等内部办公类 |
3. 安全保险框架
网络安全等级�；し阑た蚣苡杉际跸低场踩卫硐低澈桶踩宋低橙棵抛槌�。
安全技术系统成立以推算环境安全为基础，以区域天堑安全、通讯网络安全为保险，以安全治理中心为主题的信息安全整体保险系统。
安全治理系统蕴含安全治理造度、安全治理机构、安全治理人员、安全建设治理和安全运维治理五部门。
在安全治理中心基础上，成立安全运维中心（安全运营系统），协调信息系统各个环节所选取的安全防护措施和安全治理身分，形成互有关联、高度融合的安全防护平台，实现对安全事务的态势感知、实时监测、实时响应和综合防护，对网络系统安全防护系统的动态更新，降低安全风险，提升的信息安全监管能力。
4. 整体解决规划
医院业务系统网络安全等级�；ぐ踩饩龉婊陌踩；は低炒影踩际酢踩卫硪约鞍踩宋鑫冉猩杓��；凇缎畔踩际�-网络安全等级�；ぐ踩杓萍际跻蟆罚℅B/T 25070-2019）的安全防护理想，构建“纵深防御+自动防御+持续监测”安全防护系统，即基于等级�；ぁ耙桓鲋行�，三沉防护”的纵深防御系统，融合“网络安全，以报答本”的理想，构建自主评估、风险驱动、实时预警、动态防护、安全检测、实时响应于一体的自动防御关环防护系统，同时对整个等级�；ざ韵蟀踩榭龀中嗖�，实时感知安全态势。
1) 安全技术系统规划设计
● 安全物理环境
凭据《信息安全技术-网络安全等级�；じ蟆分械摹鞍踩锢砘肪场币�，同时参照《信息安全技术-信息系统物理安全技术要求》（GB/T 21052-2007），对等级�；ざ韵笏婕暗闹骰俊⒏ㄖ亢鸵斓乇阜莼康冉形锢戆踩杓��；坑肱涮咨璞赴踩绞醯闹髡攀潜；ね缰型扑慊缤ㄑ队幸桓鲇帕嫉牡绱偶嫒莨ぷ骰肪�，并预防犯法用户进入推算机节造室和各类偷窃、粉碎活动产生。
● 安全通讯网络
安全通讯网络从网络架构、通讯传输和可信验证（可�。┤龇矫娼猩杓坪桶踩阑�。
安全通讯网络设计思路及重要思考的内容：
? 清澈界说安全区域，划分出明确天堑的网络区域；
? 重要网络设备和链路冗余部署；
? 通讯传输加密。
● 安全区域天堑
凭据等级�；ひ蟮谌吨邪踩蛱烨涤泄匾�，结合区域天堑接见节造、区域天堑防护、区域天堑安全审计、区域天堑入侵防备等安全设计要求。安全区域天堑防护建设重要通过基于地址、和谈、服务端口的接见节造战术；通过安全准入节造、终端安全治理、流量平衡节造、抗DDoS攻击、恶意代码防护、入侵监测/入侵防御、APT攻击检测防护、犯法表联/违规接入网络、无线安全治理，以及安全审计治理等安全机造来实现区域天堑的综合安全防护。
● 安全推算环境
凭据等级�；ひ蟮谌吨猩璞负屯扑惆踩⒗煤褪莅踩扔泄匕踩谠煜�，结合安全推算环境对于用户身份甄别、自主与象征接见节造、系统安全审计、恶意代码防护、安全接入衔接、安全配置查抄等技术设计要求，安全推算环境防护建设重要通过身份甄别与权限治理、安全通讯传输、主机安全加固、终端安全基线、入侵监测/入侵防御、缝隙扫描、恶意代码防护、Web利用攻击防护、网络治理监控、安全配置核查、安全审计，沉要节点设备冗余备份，以及系统和利用自身安全节造等多种安全机造实现。
● 安全治理中心
安全治理中心作为对网络安全等级�；ざ韵蟮陌踩绞跫鞍踩扑慊肪场踩蛱烨岛桶踩ㄑ锻绲陌踩焓迪滞骋恢卫淼南低称教�，实现统一治理、统一监控、统一审计、综合分析和协同防护。凭据等级�；ひ蟮谌吨邪踩卫碇行挠泄匕踩谠煜�，结合安全治理中心对系统治理、审计治理、安全治理和集中管控的设计要求，安全治理中心建设重要通过网络治理系统、综合安全治理平台等机造实现。
安全技术系统拓扑示意图如下：
2) 安全治理系统规划设计
安全治理是等级�；ぐ踩阑ぬ逑低吵烈槌刹棵�，“三分技术，七分治理”，在技术上无法美满解决的安全问题，可通过治理伎俩结合技术措施来实现。齐全的安全治理系统是在安全治理造度的领导下，对安全人员、建设、安全运维进行全面的治理。
● 安全治理造度
安全战术和审计造度是对信息安全指标和工作准则的划定，其阐发大局是一系列安全战术系统文件。安全战术和审计造度是信息安全保险系统的主题，是信息安全治理工作、技术工作和运维工作的指标和凭据。
● 安全治理机构设计
安全治理机构治理建设是整个安全治理系统的沉要部门。信息安全辅导幼组应由单元高层辅导和有关部门的治理人员组成，掌管协调、领导及治理信息安全各个方面的工作。
● 安全人员治理设计
安全人员治理是加强对安全人员的治理，人员录用、人员离岗、安全人员的安全意识教育和培训，以及表部人员接见治理。
● 安全建设治理设计
安全建设治理当贯通到信息系统整个性命周期，在系统审批、建设、安全定级与登记、安全规划设计、软件开发与施杏注验收与测试、系统交赋予等级测评，以及服务商选择等过程均必要进行安全治理。
● 安全运维治理设计
安全运维治理是整个系统安全运营的沉要环节，其内容涵盖机房环境治理、资产治理、介质治理、设备治理、缝隙微风险治理、网络及系统安全治理、恶意代码防备、配置治理、密码治理、调换治理、备份与复原治理、安全应急措置，以及安全服务治理工作等内容。
3) 安全运营规划设计
凭据网络安全近况与安全运营需要，发展安全运营系统建设工作，安全运营系统如下图所示。
日常安全运营是安全运营系统的基石，只有日常安全运营工作到位，能力实时鉴别、预警、措置各类安全隐患和安全事务。日常安全运营工作可分为资产（风险）鉴别、监控分析、安全运维三大类以及安全培训服务。
规划优势
● 专业的安全服务团队
宝运莱官方网站占有国内最专业的安全服务团队，其团队由一批经验丰硕，富有责任心和使命感的专业技术人员组成，多人占有CISP、CISSP、CISA、ISO20000、ISO27001等证书及能力；同时ADLAB占有大批缝隙挖掘和分析人员，是中国独立挖掘CVE缝隙数量最多的团队，提交的CVE原创缝隙达130多个，占CVE缝隙数量的2/3。
● 丰硕的等保技术堆集
宝运莱官方网站持久亲昵跟踪国度等级�；び泄卣�，占有多位信息安全尺度化委员会WG5、WG7组安全专家，参加了等级�；こ叨仍於┯胱暄幼⒐认钅康榷嘞钣泄毓ぷ�；宝运莱官方网站等级�；だ喟踩衲芄辉谧畲笏缴鲜沟每突У缺Ｓ泄毓ぷ髑泻瞎鹊燃侗；び泄卣摺⒊叨取⒐娣兜囊�。
● 超千项的等保服务经验
宝运莱官方网站是国内最早从事等级�；ふ餮墓局�，拥有金融/当局/移动/电信/大型企业/能源/航空等行业的标志性项目，得到用户各级辅导认可。成功案例如：长城资产等级�；ふ餮钅俊⒅泄统烈畔⑾低车燃侗；ふ餮钅俊⑴┮挡啃畔⑾低嘲踩燃斗阑ど杓葡钅�。
● 尺度化项目治理
宝运莱官方网站安全服务项主张执行和治理凭据国际化的项目治理规范，充分利用公司内部资源为客户提供更高中意度的服务，通过执行项目治理能够很好地节造项目领域、功夫、成本和质量，保障项目可能依照打算按时按质量地顺利实现。
Copyright ? 宝运莱官方网站 版权所有 京ICP备05032414号 
京公网安备11010802024551号
