張云 王胤濤

昆明醫科大學第一附屬醫院信息中心 云南 650032

0 引言

我院是一所綜合性三級甲等醫院，醫院信息系統歷經10多年的努力已完成了門診、住院 HIS、LIS、PACS、麻醉手術管理、輸血管理等系統建設，建成了擁有 3500多個信息點、1800多個終端工作站的有線和無線局域網絡系統。醫院網絡已覆蓋門診、住院、檢查、檢驗、治療、實驗室及管理部門(科室)。軟件及相關系統也多次升級改造，已建成一套基于醫院信息系統應用的服務于醫、教、研、管理、辦公的全流程、多系統、網絡化的體系。系統的安全性將直接影響到醫療活動能否正常運作。因此，建立一個完整的安全體系，顯得越來越重要。許多醫院曾經因此蒙受過巨大的損失，為了有效避免網絡災難的發生，我們有針對性的從理論與實踐的角度進行了初步的探索和研究，逐步形成了一套實用、有效的安全管理體系，取得了較好的效果。

根據《信息安全技術 信息系統安全等級保護基本要求》，結合醫院實際，制定了我院信息系統安全策略：實體可信，行為可控，資源可管，事件可查，運行可靠的原則。

1 依據及技術

《計算機信息系統安全保護等級劃分準則》GB17859-1999、《中華人民共和國計算機信息系統安全保護條例》、《信息安全技術 信息系統安全等級保護基本要求》GB/T 22239—2008。防惡意代碼技術：主要通過防毒、終端防護等手段實現；數據防護技術：主要通過終端防護、數據防泄露、數據加密等手段實現；PC生命周期管理：通過資產生命周期管理產品，配合采購、使用、維護、報廢等資產管理各環節的操作流程，進行標準化、流程化管理；通過身份認證、備份恢復等技術手段加強終端安全的管理；網絡訪問控制：主要是通過終端的網絡準入機制進行策略遵從和強制策略執行，并實施網絡接入的控制；通過防火墻、隔離網閘實現網絡不通安全區域分隔；管理和報告問題：通常需要建立一個安全管理平臺將上述技術手段、產品相關的事件、日志等進行集中收集和分析，形成綜合性的管理性報告，滿足管理需要。

2 總體框架

任何一個安全工作的落實，都依賴于組織(人)、技術、流程作為支撐。結合醫院的實際情況，我們提出了從網絡、系統、數據，終端的行為，以及整體管理幾個方面的全方位安全總體規劃框架(圖1)，并提出了相應的規劃內容。

圖1 總體規劃框架

3 安全策略內容

3.1 機房及物理線路安全

機房的設計和管理要符合國家規范。建立較為完善的機房監控設施，包括：門禁、供電、漏水、溫濕度等，設置警戒值并能通過聲、光及短信報警。機房應采用兩路供電系統，設置專用配電箱，與其它負荷應分別供電。主機房配備的不間斷電源(UPS)，保證8h的后備供電量。還須做好防火、防雷、防靜電和接地工作，確保機房安全。在各棟的樓層設置專用配線間，專人負責管理，主干光纜冗余布放。

3.2 網絡安全與準入控制

遵循安全分區、橫向隔離、縱向認證的原則。內網與外網應用(醫保、新農合等)，使用防火墻、IDS(入侵檢測)、隔離網閘設備，實現網絡訪問控制、流量及連接數控制、內容過濾、入侵檢測、VPN(虛擬專用網)接入。院區局域網為 3層架構，交換機均為cisco產品。按科室(部門)及工作站用途(如醫生、護士、財務)規劃ip地址和vlan，在核心交換機上配置多生成樹協議(Multiple Spanning Tree Protocol,MSTP)+GLBP(Gateway Load Balancing Protocol，網關負載均衡協議)進行vlan融合和邏輯隔離，在接入層交換機上進行cisco的端口安全配置，當 MAC地址改變時，端口將自動變遷為shutdown狀態，阻止非授權設備接入內部網絡，實現不同安全區域的獨立化、差異化防護。

通過用戶名+口令和標準的RADIUS服務器配合，完成對用戶的身份認證的強制檢查。進行基于角色的訪問控制技術，實現用戶的分級管理及系統管理員、安全管理員與審計管理員的三權分立。通過終端準入控制、Windows2003的活動目錄或RADIUS 服務器來控制第三方合作人員準入。

3.3 系統及應用安全

虛擬機服務器的管理已經成為服務器管理中很重要的一部分，通過虛擬機管理解決方案，通過統一的平臺架構對于VMWARE ESX進行統一有效的管理，將虛擬機服務器管理納入服務器管理規范中。

內部網絡部署Symantec? Endpoint Protection 12.1基于特征的防病毒和反間諜軟件防護。它提供代理端，通過管理控制臺即可進行管理，從而簡化端點安全管理，如策略更新、統一的集中報告及授權許可和維護計劃。使用威脅防御能力，能夠保護端點免遭目標性攻擊以及之前沒有發現的未知攻擊。使用主動防御，從而建立一個覆蓋全網的、可伸縮、抗打擊的防病毒體系。建立統一部署、統一管理的個人防火墻，個人防火墻依據應用程序、主機ip地址及vlan、通訊特征，制定過濾規則，阻止/容許端口和協議進出。利用個人防火墻技術，一方面可以防止病毒利用漏洞滲透進入終端，另一方面，可以有效地阻斷病毒傳播路徑。在核心交換機上將各 vlan轉發的數據包鏡像到入侵檢測系統(IDS)上，入侵檢測和防火墻設備聯動，產生自動阻斷識別的攻擊行為和誤操作，這樣即實現了各網段黑客攻擊行為的檢測，也及時對重要區域的攻擊行為進行阻斷。定期對相關日志進行收集、審計、分析，以發現系統的脆弱性和漏洞。定期進行安全檢查、風險分析和安全隱患整改。

配置主域、備份域服務器，應用Windows2003的活動目錄，根據科室(部門)及工作站用途及用戶角色，建立域樹、域，規劃組織單元，建立組策略規則，利用組策略管理組織單元中的用戶，實現應用程序的統一部署，保證各類工作站具有統一的用戶界面、統一的應用軟件版本，同時軟件限制策略可以防止計算機環境中被安裝運行未知的或不被信任的軟件(阻止通過exe文件進行軟件安裝；阻止終端透過msi文件進行軟件安裝)；并能實現補丁的統一發布。

3.4 數據備份與容災

對數據庫采用日備份、差量備份策略，將生產數據庫數據備份到帶庫中，即便當天數據出現了錯誤的情況下仍然可以將數據庫恢復到前2小時的狀態，保障將數據損失控制在最小情況；建立在線存儲、近線存儲和離線存儲的三級存儲機制，每天將 30天前的生產數據轉儲到近線存儲和離線存儲陣列中，這樣既保證了歷史數據的安全，也確保了新增數據存儲的高效響應。在院區相距1500米的另1樓體內，建設雙活應用級容災被用機房，以保證醫院24h系統不間斷運行。

3.5 資產管理與運維

建立運維管理系統，對終端以及服務器進行全面管理，從購買到部署、使用到管理，維護到報廢。控制臺可對資產變更自動監控，及時反映資產變化狀況，能實現全面的收集，快速統計分析，快速生成滿足各個部門所需要的資產報表，為資產評估以及更新提供依據。資產信息自動收集(如計算機硬件信息、安裝的軟件包、操作系統配置等)，可協助實現終端以及服務器管理的合規性、可管理性。同時，也作為故障申報平臺，記錄申報的設備故障、維修維護結果記錄，從而建立運維知識庫，提高信息設備資產的維護、管理效率。

3.6 安全管理組織機構

建立以信息主管副院長為負責人、信息中心為安全技術實施、管理負責、科室設置安全管理員的三級安全組織機構，堅持“誰主管誰負責，誰運行誰負責”的原則。

3.7 安全管理制度

我院制定了一套較為健全完善的安全管理制度建立并有效執行，安全管理制度包括：《信息中心崗位職責》、《信息中心保密制度》、《信息中心值班制度》、《中心機房管理制度》、《信息中心設備管理制度》、《信息系統設備維修流程》、《信息中心網站管理辦法》、《信息系統查詢統計功能和規定》、《信息系統安全巡檢制度》、《信息系統人員權限設置制度》、《醫院信息變更與發布管理制度》、《計算機信息資源共享管理制度》、《個人桌面終端管理辦法》、《醫院計算機網絡安全管理制度》、《信息中心應急預案》等，從組織和制度上強化安全管理。

4 結束語

我們清楚的認識到，無論所使用安全技術有多先進，都只是實現信息安全的手段而已，三分技術，七分管理，信息安全源于有效的管理，為此，我們建立了信息安全管理機構，堅持“誰主管誰負責，誰運行誰負責”的原則；堅持決策層參與信息安全管理工作，建立健全了安全管理制度，它是計算機網絡安全的重要保證，需要不斷加大計算機信息網絡的規范化管理力度。我們也清楚的認識到信息安全建設、管理工作要堅持從實際出發，區分不同情況，分級、分類、分階段進行信息安全建設和管理。加強各工作站操作人員的教育和培訓，在醫務人員中普及安全知識，對安全管理人員進行專門培訓和考核。只有從安全技術、安全服務、和安全管理三個方面高度重視，不斷提高，才能保障醫院信息系統健康穩定的運行。

[1]楊俊志.醫院信息系統安全體系建設實踐[J].醫學信息.2011.

[2]GB50174-2008.電子信息系統機房設計規范.[S].

[3]GB9361,計算站場地安全要求[S].

[4]GB2887.計算站場地技術條件[S].

[5]曾凡.醫院信息系統安全策略中值得關注的問題[J].重慶醫學.2009.

[6]李娜,盧沙林.軍隊醫院網絡信息系統的安全分析[J].計算機與現代化.2011.

[7]胡建理,李小華,周斌.醫院信息系統安全保障策略探析[J].中國數字醫學.2010.

[8]王越,楊平利,李衛軍.涉密計算機信息安全管理體系的設計與實現[J].計算機工程與設計.2010.

[9]王保中,莊軍,劉侃等.應用活動目錄加強醫院網絡管理[J].醫療衛生裝備.2008.

[10]張展.組策略在 Windows域管理中的應用[J].電腦知識與技術.2011.