一．背景介紹
近年來(lái)，信息技(jì)術(shù)對健康醫(yī)療事業的影(yǐng)響日趨明(míng)顯，以大(dà)數(shù)據、雲計(jì)算(suàn)、移動互聯等新興信息技(jì)術(shù)為(wèi)核心的新一輪科技(jì)革命，推動了人(rén)口健康信息化和(hé)健康醫(yī)療大(dà)數(shù)據應用發展，為(wèi)人(rén)口健康信息化創造了廣闊的空(kōng)間(jiān)，同時(shí)也為(wèi)醫(yī)療行(xíng)業帶來(lái)網絡安全問題，針對醫(yī)院的勒索、挖礦、信息洩露等信息安全事件層出不窮，醫(yī)院網絡已經成為(wèi)了不法黑(hēi)客的重點攻擊對象之一。
2011 年，國家(jiā)衛計(jì)委為(wèi)貫徹落實國家(jiā)信息安全等級保護制(zhì)度，規範和(hé)指導全國衛生(shēng)行(xíng)業信息安全等級保護工作(zuò)，結合衛生(shēng)行(xíng)業實際情況印發了《衛生(shēng)行(xíng)業信息安全等級保護工作(zuò)的指導意見》，旨在全面提高(gāo)衛生(shēng)行(xíng)業信息安全保障能力和(hé)水(shuǐ)平，保障和(hé)促進衛生(shēng)信息化健康發展。醫(yī)療信息數(shù)據與公衆生(shēng)命安全、民生(shēng)息息相關，重要性不言而喻，通(tōng)過體(tǐ)系化的網絡安全建設，保護醫(yī)院網絡、信息數(shù)據安全勢在必行(xíng)。
二．方案概述
天融信遵循縱深防禦、安全互補、強度一緻、統一支撐和(hé)集中管理(lǐ)的思路，嚴格遵照國家(jiā)及醫(yī)療行(xíng)業相關要求，為(wèi)醫(yī)院網絡建立滿足等級保護三級要求的安全保障體(tǐ)系。首先，将醫(yī)院信息網絡及診療系統作(zuò)為(wèi)安全保護對象，為(wèi)醫(yī)院網絡建設“一個(gè)中心，三重防護”的縱深防禦技(jì)術(shù)體(tǐ)系；其次，結合安全管理(lǐ)體(tǐ)系與安全運維體(tǐ)系，落實安全管理(lǐ)和(hé)安全技(jì)術(shù)兩大(dà)維度的具體(tǐ)實施與維護；最後，以診療系統的安全運營為(wèi)信息安全保障建設的核心，并輔以安全服務貫穿信息安全保障體(tǐ)系的全過程，實現網絡安全風險可(kě)控。
三．安全技(jì)術(shù)措施設計(jì)
1、通(tōng)用安全設計(jì)
醫(yī)院網絡安全技(jì)術(shù)體(tǐ)系的設計(jì)內(nèi)容主要涵蓋安全管理(lǐ)中心、安全通(tōng)信網絡、安全區(qū)域邊界、安全計(jì)算(suàn)環境：
安全通(tōng)信網絡設計(jì)
l關鍵網絡節點、設備及鏈路需進行(xíng)冗餘建設，保證高(gāo)可(kě)用性；
l部署防火(huǒ)牆提供可(kě)靠的安全域隔離；
l部署VPN保證遠程通(tōng)信過程中數(shù)據的保密性及完整性。
安全區(qū)域邊界設計(jì)
l部署網絡準入控制(zhì)系統，對非授權設備私自接入內(nèi)部網絡的行(xíng)為(wèi)進行(xíng)控制(zhì)；
l部署EDR，對內(nèi)部用戶非法外聯行(xíng)為(wèi)進行(xíng)控制(zhì)；
l部署防火(huǒ)牆系統實現基于應用協議和(hé)應用內(nèi)容的訪問控制(zhì)；
l部署雙向網閘、數(shù)據安全交換平台實現醫(yī)院內(nèi)外網數(shù)據的安全隔離與交換；
l部署抗DDoS功能（集成于防火(huǒ)牆）、IPS、WAF、IDS、APT安全監測等，在關鍵網絡節點處檢測網絡攻擊行(xíng)為(wèi)，對網絡攻擊特别是新型網絡攻擊行(xíng)為(wèi)進行(xíng)檢測、分析、告警和(hé)防範；
l部署防病毒網關、僵木蠕系統，在關鍵網絡節點處對惡意代碼進行(xíng)檢測和(hé)防範；
l部署網絡審計(jì)系統，對用戶的網絡訪問行(xíng)為(wèi)進行(xíng)審計(jì)和(hé)數(shù)據分析。
安全計(jì)算(suàn)環境設計(jì)
l部署堡壘主機對用戶進行(xíng)身份鑒别，對管理(lǐ)用戶進行(xíng)權限管理(lǐ)；
l部署數(shù)據庫審計(jì)系統，對重要的用戶行(xíng)為(wèi)和(hé)重要安全事件進行(xíng)集中審計(jì)；
l 部署漏洞管理(lǐ)、基線管理(lǐ)、終端威脅防禦等系統保障終端及服務器(qì)安全；
l采用密碼技(jì)術(shù)，保障重要數(shù)據的完整性、保密性；
l部署容災備份系統，保障重要數(shù)據的可(kě)用性；
l對重要網站(zhàn)系統提供網頁防篡改、網站(zhàn)安全監控等保護機制(zhì)；
安全管理(lǐ)中心設計(jì)
l通(tōng)過堡壘主機實現集中的身份鑒别、訪問授權和(hé)操作(zuò)審計(jì)；
l部署網絡管理(lǐ)系統，對網絡和(hé)信息基礎設施的運行(xíng)狀況進行(xíng)集中監控；
l部署日志(zhì)審計(jì)系統，對分散在網絡中的審計(jì)數(shù)據進行(xíng)收集彙總和(hé)集中分析；
l內(nèi)網部署态勢感知平台，支撐安全監測、分析、預警、響應、處置、追溯等安全管理(lǐ)和(hé)運維工作(zuò)；外網部署數(shù)據采集代理(lǐ)服務器(qì)，收集外網安全數(shù)據形成分析結果，通(tōng)過網閘發送到內(nèi)網平台。
2、雲計(jì)算(suàn)安全設計(jì)
l部署安全資源池，實現對雲租戶南北向流量的檢測與防護；
l部署虛拟化分布式防火(huǒ)牆，實現對雲主機東西向流量的檢測與防護；
l部署EDR，實現雲主機本地的威脅檢測與防護；
l部署雲安全管理(lǐ)中心完成統一的策略管理(lǐ)、安全監控、策略遷移和(hé)自動化部署。
3、移動互聯安全設計(jì)
無線接入安全設計(jì)
l在受控邊界處部署防火(huǒ)牆與有(yǒu)線網絡實現安全隔離；
l部署無線管理(lǐ)平台集中管理(lǐ)無線AP的位置、數(shù)量、信道(dào)等；
l通(tōng)過無線管理(lǐ)平台提供符合國密算(suàn)法的身份認證；
l部署EMM對接入終端的進行(xíng)定位和(hé)準入；
移動終端安全設計(jì)
通(tōng)過EMM實現醫(yī)護終端登記注冊，提供全生(shēng)命周期管控，終端遺失後，可(kě)定位位置、遠程鎖定設備、遠程擦除敏感數(shù)據，防止數(shù)據洩露。
移動應用安全設計(jì)
l采用EMM對APP進行(xíng)上(shàng)線前安全檢測、安全加固、提供黑(hēi)白名單功能，确保應用安全性。
