醫院應用內網安全管理系統的實踐

曾凡，歐東，黃昊

第三軍醫大學大坪醫院野戰外科研究所信息科，重慶400042

隨著醫院信息系統應用深度和廣度的不斷拓展，使醫院對信息系統的依賴程度越來越高，醫院信息系統不間斷運行成為信息系統使用者最基本的要求，它的任何故障都可能影響醫院醫療工作的正常進行［1］。第三軍醫大學大坪醫院從1999年起，先后投入4 000余萬元用于醫院信息化建設，實現了“軍字一號”工程所有子系統的全面應用，實施了醫院信息系統(hospital information system，HIS)、實驗室信息系統(laboratory information system，LIS)、影像歸檔和通信系統(picture archiving and communication system，PACS)、合理用藥監測系統(prescription automatic screening system，PASS)、網絡自動化辦公等輔助系統，目前醫院信息系統聯網計算機1 500余臺。為了加強醫院信息系統的安全性，減少網絡安全隱患，規范使用者的行為，杜絕移動存儲設備的違規使用，提高信息維護響應時間，在更好地為臨床提供信息服務的基礎上，用信息技術手段加強網絡管理的力度［2］，我院于2010年上半年引進北京圣博潤高新技術股份有限公司的LanSecS內網安全管理系統，對內網和客戶端面臨的信息安全問題進行綜合管理，取得了良好的效果。

1 醫院信息系統面臨的桌面安全問題

1．1 網絡共享導致游戲與網絡小說泛濫

醫院網絡內只要一臺客戶端安裝了游戲與網絡小說，通過網絡共享方式就會導致全院性的游戲與網絡小說流行。雖然醫院明文規定醫院信息系統聯網計算機嚴禁安裝電腦游戲，但相關職能科室很難使用行政手段杜絕此類行為。醫師在上班時間玩電腦游戲或看網絡小說被患者發現，有損于醫師在患者心目中的形象，引發患者對醫師的不信任，一旦發生醫患糾紛，給雙方都將造成嚴重影響。國內某大醫院“醫師工作時間玩游戲貽誤患者搶救”事件就是一起典型案例。

1．2 擅自安裝光驅與使用USB移動存儲設備

醫院規定信息系統終端計算機一律拆除光驅，CMOS(complementary metal oxide semiconductor，互補金屬氧化物半導體，電壓控制的一種放大器件。在計算機領域，CMOS常指保存計算機基本啟動信息，如日期、時間、啟動設置等的芯片)禁止通用串行總線(universal serial BUS，USB)端口，但仍有個別工作人員私自外接光驅到客戶機上或將主板電池放電重置CMOS設定，達到客戶機可以使用光驅與USB移動存儲設備，將游戲、網絡小說安裝到客戶機上，從而引發醫院網絡內游戲與網絡小說的不斷更新與增多，并帶來病毒，增加醫院信息系統的安全風險［3］。尤其是隨著計算機技術的普遍應用，普通人掌握計算機操作技能有很大提高。因此，發生這類問題也越來越多。數據顯示，第三軍醫大學大坪醫院信息系統2009年半年時間就感染病毒2次，從殺毒軟件服務器的日志可以看出，這2次感染均有外接存儲設備的使用。所以說，違規使用外接存儲設備是網絡安全的一大隱患［4］。

1．3 擅自修改IP地址

絕大多數醫院信息系統軟件采用C/S構架，且醫院網絡的核心交換機未設置虛擬局域網(virtual local area network，VLAN)。客戶端修改IP地址，輕則導致網絡不通，增加計算機中心維護工作量;重則如客戶端IP地址與數據庫服務器一致未及時發現，將影響客戶端訪問數據庫服務器，且計算機中心工作人員很難發現該客戶機的具體物理位置，影響信息系統的正常運行。

1．4 擅自拆換內存、CPU等硬件設備

隨著醫院全院性PACS的運行與無膠片化的實現，要求客戶端計算機硬件配置較高的CPU與較大的內存［5］。個別工作人員在單獨一人值班時，將低檔的CPU換取醫院計算機高檔CPU，或醫院計算機配置多條內存條時拆除其中一根，不影響客戶端運行，當職能部門事后發現時已很難追查，導致醫院財產損失。

1．5 計算機病毒感染

隨著醫院信息系統終端計算機的不斷增多，計算機管理部門很難做到及時逐臺更新補丁程序、升級維護客戶端操作系統。一旦網絡內某臺計算機發生病毒感染就會導致網絡、服務器癱瘓，信息系統停止運行。

1．6 安裝編程開發工具與黑客軟件非法獲取數據庫密碼

有調查顯示，80%甚至更高比例的網絡安全威脅來自企業內部網絡［6］。醫院內個別計算機水平高超的年輕工作人員，通過黑客軟件非法獲取數據庫訪問密碼，安裝編程開發工具非法訪問醫院核心數據庫，對信息安全造成非常大的隱患。一旦心懷不軌，蓄意破壞，將會給醫院信息系統以毀滅性的打擊，造成無可挽回的損失。

1．7 聯網計算機資產管理難度較大

醫院計算機分批采購，聯網客戶端數量達到一定程度以上時，計算機中心工作人員很難精確了解每臺聯網計算機具體CPU、內存、操作系統等配置情況，對于計算機的更新換代缺乏信息支持。

2 加強系統安全所采取的措施

2．1 主機準入控制

對接入醫院信息系統的終端計算機進行身份鑒別和安全狀態檢查，阻止未授權或安全不達標的終端計算機接入醫院信息系統［7］。通過準入控制，將外來計算機阻擋在醫院信息系統網絡之外，也可將醫院信息系統中安全性較差(例如:未及時安裝補丁和防火墻軟件)的計算機隔離出去，從而保證接入醫院信息系統的終端計算機均是受信任的，其安全狀況是符合要求的。

2．2 終端監控審計

對終端計算機的運行狀況、用戶操作、安全狀況及資源使用情況等進行集中監測和審計。通過終端運行監控，對終端計算機上運行的程序、進程和服務等進行全面監測和控制;通過用戶操作監控，對用戶執行的文件訪問、文檔打印、設備操作及撥號上網等行為進行實時監測;通過安全基線管理，保證醫院信息系統中的終端計算機的安全狀況達到一個基線要求，提升終端計算機的總體安全水平;通過資源使用監控，獲知全網終端計算機的CPU、內存、磁盤和網絡帶寬等資源的使用狀況［8］。

2．3 移動存儲介質管理

對醫院信息系統中使用的移動存儲介質進行統一注冊管理，使未經注冊的移動存儲介質在信息系統中無法使用，注冊的移動存儲介質在脫離信息系統環境時也無法使用。以保證信息系統通過移動存儲介質進行數據中轉的安全性，有效杜絕移動存儲介質在醫院信息系統中的濫用。

2．4 補丁管理

通過補丁管理技術，實現對終端計算機的安全漏洞掃描，并針對掃描到的安全漏洞分發、安裝相應的補丁程序，以增強安全漏洞修補的時效性，大大減少醫院信息系統中由于操作系統和應用軟件漏洞所帶來的安全隱患和潛在的安全威脅。

2．5 防病毒軟件管理

定期收集防病毒軟件信息，包括防病毒軟件名稱、軟件版本和病毒庫版本等，并對防病毒軟件的安裝、運行及病毒庫更新等狀況進行動態監控。當防病毒軟件不符合安全策略要求時，采取報警、阻斷、本地消息通知和郵件通知等多種響應方式，提醒用戶并限制終端計算機通信。通過防病毒軟件管理，確保接入醫院信息系統的終端計算機安裝了符合安全策略要求的防病毒軟件，且防病毒軟件的病毒庫得到及時更新。

2．6 終端配置管理

通過收集終端計算機的各種信息和系統參數配置，如主機名、IP地址、網絡參數、賬戶信息、安裝軟件清單、硬件清單、驅動程序清單、服務清單、進程清單和系統日志等，使網絡管理人員準確掌握每臺終端計算機的配置狀況和運行參數，并為終端計算機的維護和故障診斷提供參考;通過終端網絡參數配置，可以規范終端計算機IP地址的使用。

3 內網安全管理系統的應用體會

3．1 網絡安全管理必須以制度為保障

在建立制度的基礎上，通過技術手段保障制度的強制執行。沒有制度保障，網絡安全不可能有效落實;同樣沒有技術手段保障制度的有效落實，網絡安全制度也是一紙空文。只有制度與技術手段二者互相配套，網絡安全才能真正到位［9］。因此，在確保醫院信息系統正常運行中，內網安全管理系統作為網絡安全管理制度的手段，具有十分重要的作用。

3．2 內網安全管理技術手段保障了系統的穩定可靠運行及信息系統安全

醫院信息系統內絕大多數計算機為終端客戶機，因此，只有保證客戶端的安全，才能有效保障整個信息系統的安全。由于應用了內網安全管理系統，杜絕了光驅、USB存儲設備私自接入所導致的病毒感染，從根源上解決了醫院信息系統終端客戶機對服務器與數據庫安全的影響，最大程度上保障信息系統穩定安全運行［10］。2010年以來，大坪醫院未發生一起因外接存儲設備而導致的病毒感染。

3．3 有效杜絕了終端計算機非法程序的安裝

通過內網安全管理系統黑名單、白名單功能，對終端計算機準予運行的程序進行了控制。在今年醫院進行的多次網絡安全檢查中，沒有發現私自安裝電腦游戲等非法程序現象，真正從根源上控制了計算機游戲與網絡小說的泛濫，使醫院計算機網絡管理制度得到真正的有效落實，有利于維護醫院的良好形象。

3．4 計算機資產管理更加準確

應用內網安全管理系統后，醫院信息系統終端計算機數量和配置能夠更加準確的反映到系統內，從而進一步加強了計算機管理。

3．5 提高了工程技術人員的工作效率

安裝使用內網安全管理系統后，其遠程桌面管理功能，可以十分方便地向客戶端分發軟件，實現遠程系統的升級功能，同時也可以遠程解決終端計算機的部分軟件應用故障，服務響應時間得到明顯提高，服務滿意率也得到提升。

［1］曾凡．醫院信息系統安全策略中值得關注的問題［J］．重慶醫學，2009，21(38):2649-2650

［2］李北巖．數字化醫院內網安全與管理［J］．計算機安全，2010，(8):77-79

［3］孫海．醫院桌面終端信息安全管理思考［J］．現代醫院，2011，5(11):140-142

［4］黃昊．開放環境下的醫院信息系統安全［J］．重慶醫學，2009，21(38):2654-2655

［5］楊帆，劉紅秀．醫院院內網安全隱患分析［J］．現代醫藥衛生，2010，26(8):1257-1259

［6］張志雄，李曉云．企業信息化建設中的網絡安全問題探討［J］．中國高新技術企業，2008，(20):145

［7］潘玉珣．桌面安全管理技術現狀與發展趨勢［J］．信息安全與技術，2010，(8):13-16

［8］胡衛，張昌宏，廖巍．計算機桌面安全防護系統安全管理功能設計［J］．計算機工程與設計，2010，31(19):4172-4174，4181

［9］王道．醫院內網安全管理的實踐與思考［J］．現代醫院，2010，10(1):145-147

［10］鄔海光．計算機網絡接入管理信息系統的設計［J］．計算機與現代化，2010，(10):154-157