淺談網閘在醫院中的應用

邯鄲市中心醫院 信息科，河北 邯鄲 056001

淺談網閘在醫院中的應用

趙妍，邵偉

邯鄲市中心醫院 信息科，河北 邯鄲 056001

本文從目前醫療行業中的網絡現狀出發，系統介紹了網閘的發展歷程、概念和工作原理。并結合網閘在我院的應用實踐，提出了保障醫院內部網絡可靠、安全、高效運行的策略，實現與外網的數據交換。

網絡安全；安全隔離網閘；數據交換

0 前言

隨著醫療行業各項業務對Internet的依賴性日趨增強，醫院對相關應用的安全性需求也日趨提高。在許多關鍵業務中，如何保證信息系統運行的安全性，促進信息化進程健康、有序的發展，對醫院的信息管理人員提出了嚴峻的挑戰，因此，對醫院管理來說，保障計算機網絡安全是一項極其重要的工作。

網絡安全最大的威脅就是病毒，幾乎每天都有新的病毒出現在Internet上，其傳播速度極快。即使采取了殺毒軟件、防火墻等安全措施，網絡病毒、木馬等對內網的攻擊也不可能完全避免。為了保障醫院網絡和數據的安全性，必須采用物理技術將內外網完全隔離，但是這種策略在阻斷網絡的同時，也禁止了一切數據交換，是一種消極的防御。本文介紹采用隔離網閘技術實現既能夠保障醫院內網的數據安全，同時又能夠高效地與外網進行數據交換。

1 安全隔離網閘的產生

20世紀90年代中期，俄羅斯人Ry Jones首先提出了“AirGap”隔離概念，簡稱“GAP”——安全隔離網閘。然后，以色列成功研制出物理隔離卡，實現網絡之間的完全隔離；其后，美國Whale Communications公司和以色列SpearHead公司先后推出了e-Cap和NetGap產品，利用專有硬件實現了兩個網絡在不連通的情況下進行數據交換和資源共享[1]。

我國第一款安全隔離網閘產生于2000年，目前廣泛應用于政府、金融、交通，醫療等行業。

2 安全隔離網閘的概念

安全隔離網閘簡稱網閘，又稱安全隔離與信息交換系統，是模擬人工在兩個隔離網絡之間的信息交換，中斷兩個網絡間的所有通信協議連接，包括TCP/IP、IPX/SPX、NetBEUI等，使之不能直接進行網絡協議通信[2]。它是新一代高安全度的企業級信息安全防護設備，不僅使得信息網絡的抗攻擊能力大大增強，而且有效地防范了信息外泄事件的發生。

3 安全隔離網閘的原理

正常情況下，安全隔離網閘、外網和內網是完全斷開的，當外網需要向內網傳輸數據時，外部的服務器立即發起對隔離設備的非TCP/IP協議的數據連接，隔離設備將所有的協議剝離，對數據包進行數據分析與病毒掃描，把經過檢測后的安全原始數據寫入存儲介質中，當數據完全寫入后，隔離設備立即中斷與外網的連接，轉而發起對內網的非TCP/IP協議的數據連接[3-4]。隨后，數據被推向內網，并交給應用系統，在控制臺收到完整的交換信號后，隔離設備立即切斷與內網的直接連接；當數據需要由內網向外網傳遞時，也遵從相似過程。

綜上所述，網閘是將數據包的協議剝離，還原為原始數據，并對其內容進行安全檢測，即實現“協議落地、內容檢測”，再將確認安全的數據“擺渡”到網絡的另一側，實現了內外網數據的動態交換，這樣既保證了內外網數據永遠不會直接相連，滿足了內外網物理隔離的要求，又有效地抵御了各種黑客和木馬病毒的攻擊，為用戶創造安全可靠的網絡環境。

4 醫院內外網數據交換的實際應用

我院是一家大型綜合性三級甲等醫院，是農村合作醫療、城鎮居民和市居民醫療保險指定的報銷單位，為了能夠實現病人出院后的實時報銷，必須保證我院內部網絡與農合醫保等外網相連，這需要在醫院內部網絡建立起有效的安全保護系統。以下介紹網閘在我院的具體應用。

4.1 網絡現狀

我院目前存在2個物理隔離的網絡：內部網和外部網。內部網用于支撐醫院日常業務的運行，其中包括醫院信息系統（HIS）、實驗室信息系統（LIS）、醫學影像存檔與通信系統（PACS）等醫用工作系統，有上千臺客戶端和25臺服務器；外部網主要包括醫保和農合網絡。醫保網絡能夠實現與醫保中心互聯；農合網絡能夠實現與我市19個縣區農合中心服務器的互聯。

4.2 內外網隔離需求

醫院內網涉及患者檔案和病歷數據，必須確保數據的安全性和保密性。一般情況下禁止其他任何網絡訪問內部網絡，只有在必要的時候允許外部網絡某些訪問要求，例如：農合醫保等外網需要提取住院病人在院的個人資料及費用信息。雖然內部網絡有殺毒軟件和防火墻等措施提供安全保護，但是仍然應當防范外網對內網可能造成的影響，內外網物理隔離的宗旨就是把內網的安全風險降到最低。

4.3 網閘實現安全隔離的解決方案

（1）具體解決方案，見圖1。

圖1 網閘實現安全隔離方案

（2）具體配置步驟。① 配置網閘的內網1口地址192.168.0.20/16，外網1口地址192.168.20.20/16。② 在隔離網閘配置從外網到內網的HIS的ORACLE數據庫映射，配置192.168.20.20到192.168.0.10的映射，點擊立即生效即可。

5 結束語

上述方案自2009年起已在我院運行了3年多，不僅保證了內外網的安全隔離，滿足醫院內網核心業務安全持續的運轉需求，又能夠實現內外網實時、高速的進行數據交換[5-6]，方便了患者就診，提高了醫院工作效率。

[1] 林達俊,任忠敏,干峰,等．隔離網閘在醫療行業中的應用[J]．醫學信息學,2010,23(9):3284-3286．

[2] 苗元青,辛海燕,徐浩．網閘在醫院網絡安全管理中的應用[J]．中國數字醫學,2009,4(9):67-68．

[3] 胡建理,李小華,周斌．一種基于安全隔離網閘技術的醫院內部網絡安全解決方案[J]．醫療衛生裝備,2010,31(7):44-45,58．

[4] 張驍,李紅信．信息安全建設中的隔離網閘技術應用研究[J]．山西師范大學學報(自然科學版),2010,(2):43-47．

[5] 路萬里．內網安全管理系統在醫院網絡中的作用[J]．中國醫療設備,2010,25(4):73-74．

[6] 李秋甸,李初民,李軍．醫院區域醫療接口的網絡安全設計與實現[J]．重慶醫學,2011,40(35):3576-3577．

Discussion on Application of Gatekeeper in Hospitals

ZHAO Yan, SHAO Wei
Information Department, Handan Central Hospital, Handan Hebei 056001, China

Introduction of development process, concept and principle of GAP(gatekeeper) is made systematically in this paper based on the status quo of GAP in the medical feld. In view of practice of GAP in Handan Central Hospital, solutions are put forward in this paper to strengthen the reliability, security and high effciency of internal network in the hospital and realize data exchange with external network.

network security; gatekeeper; data exchange

R197.324；TP393.08

C

10.3969/j.issn.1674-1633.2013.05.032

1674-1633(2013)05-0092-02

2012-07-16

作者郵箱：646722183@qq．com