南京市衛生12320網站等級保護建設要點和思考

李維冬，殷偉東，陳平

南京市衛生信息中心 運行科，江蘇南京 210003

南京市衛生12320網站等級保護建設要點和思考

李維冬，殷偉東，陳平

南京市衛生信息中心 運行科，江蘇南京 210003

南京市衛生12320網站作為一個服務性網站，為全市人民提供了預約掛號、檢驗結果查詢、居民電子健康檔案查詢、心理健康咨詢等服務。本文以南京市衛生12320網站為例，闡述了對醫療衛生網站進行信息安全等級保護定級的過程和等級保護建設要點思路和體會。

信息安全；等級保護；網站安全；公益性網站；等保備案

0 前言

隨著衛生信息化的快速發展，醫療服務信息化系統已經深入到醫療工作的各個環節，民眾的日常就醫也和醫療服務系統息息相關。目前，信息安全越來越受到重視，因為系統一旦發生故障，將無法保證實時地為民眾提供醫療服務。

國家衛計委（原衛生部）針對醫療信息行業的信息安全現狀印發了《衛生行業信息安全等級保護工作的指導意見》，根據這份文件的要求，三甲醫院的核心業務系統的定級原則上不低于第三級。按照實際經驗和工作要求，不僅僅是三甲醫院的核心系統定級為第三級，所有重要性與之相等的系統（不僅僅局限于醫院的信息系統），包括信息中心業務系統和重要網站，定級都不應低于第三級[1]。

1 南京市衛生12320網站概述

南京市衛生12320網是由南京市衛生局主管，市衛生信息中心主辦的網站，是政府為了方便廣大市民預約掛號，打擊販號子、倒號而建成的公益性網站。隨著醫療改革的進行，南京市衛生12320網站將成為市民看病、就醫、普及健康知識的窗口。其初級目標是面對患者，提供預約掛號服務、專家咨詢、基本藥物目錄查詢、健康知識等功能，其他功能則兼具政府職能。從開通到現在，患者使用頻率比較高的主要是預約掛號服務及專家頻道。

2 網站安全體系架構

安全體系框架設計與業務架構、應用架構和數據架構緊密結合，滿足門戶上各類業務應用、數據整合標準及規范，從物理、網絡、主機、應用、數據及管理方面對關鍵的安全防護子要素進行說明和設計，它是門戶安全保障體系的指導性架構。南京市衛生12320網站的安全體系架構，見圖1。

從安全管理平臺角度來看，技術安全和管理安全同等重要，而在實際工作中，網站維護人員常常忽視管理層面的安全防護，如安全制度的建立和長期執行，機房登記制度等。只有技術安全和管理安全都得到了有效執行，才能說網站的安全體系是完備的[2]。

圖1 安全體系架構圖

3 12320網站信息安全等級保護建設流程和要點

3.1 信息安全等級保護定級

等級保護需要考慮的問題：① 12320網站受到侵入時受侵害的客體有哪些；② 客體受侵害的程度如何。綜合這2個因素進行等級保護定級。信息安全等級保護等級從低到高分別是：自主保護級、指導保護級、監督保護級、強制保護級、專控保護級5個級別[3]。

12320網站每天為數以萬計的群眾提供預約掛號服務（包括網站預約、手機APP預約、微信預約、電話預約）,如果網站被攻擊導致癱瘓，必然會有大量患者涌入醫院進行現場掛號，容易導致醫院窗口排隊，甚至引發群體性事件。再者，網站被黑客攻擊極易導致患者信息被盜，而患者病理信息屬于敏感信息，因此會導致負面的社會影響[4]。綜上所述，定義為對“社會秩序，公共利益”造成“嚴重損害”，即信息安全等級保護定義為第三級，涉及到與預約掛號、醫檢結果查詢相關的系統。

3.2 評審與備案

按照等級保護辦法和定級指南要求，在完成對12320網站的自主定級后，應將定級結果上報到省衛生廳進行審批。審批過程中，省廳組織相關信息安全專家進行評審。

完成評審后，12320網站的管理部門南京市衛生信息中心應填寫《信息系統安全等級保護備案表》和《信息系統安全等級保護定級報告》，其填寫范例可在“中國信息安全等級保護網”查看。根據規定，對定級為二級以上（含二級）的信息系統或網站，應當報管轄范圍內公安機關備案。因此，南京市衛生信息中心持評審意見，備案表和定級報告到南京市公安局辦理備案手續，最終拿到備案回執和審核結果通知后完成定級備案。

3.3 網站安全建設與整改

在完成備案后需要對12320網站進行常態性的安全建設和整改，主要分為以下幾個步驟。

3.3.1 風險評估和差距分析

在實施等級保護時，可綜合考慮12320網站的復雜性和成本要求，采取比較靈活的風險評估方式。信息安全風險評估的典型過程主要分為風險評估準備、資產識別、威脅識別、脆弱性識別、已有安全措施確認和風險分析6個階段。通過資產評估、安全漏洞掃描、審計、網絡架構分析、數據流分析方式，分析12320網站的資產現狀、網站架構、安全設備、網絡的弱點、威脅和風險，這些內容形成了《風險評估報告》[5]。依據等保相應級別的技術和管理安全要求，對網站和信息系統進行安全體系的差距分析，填寫《等級保護差距分析報告》。

3.3.2 建設整改方案設計

根據風險評估和差距分析的情況，結合網站安全實際需求，通過分級的方法，制定出安全整改方案，三級以上（含三級）信息系統的安全整改建設方案，應經過信息安全技術專家委員會論證和評審[6]。

根據南京市衛生信息中心業務運行狀況和網絡數據流的重要性，劃分為4大網絡區域，分別為Internet網絡區域、合作單位網絡區域、核心數據交換區域、核心業務區域。Internet網絡區域用于南京市衛生信息中心對外提供服務的應用，如：南京衛生12320網。南京衛生12320網有聯通和電信2條外網線路，接入到外網防火墻上，同時部署入侵防御系統（IPS）、防火墻（WAF）來保護網站，防范來自Internet網絡的攻擊行為。核心業務區域運行南京市衛生信息中心各網站后臺服務器和數據庫，包括南京衛生12320網。

所有網絡安全區域的劃分都是根據業務的關聯性、近似程度、安全重要級別來劃分。網絡安全區域重要性從高到低分別為核心業務區域、核心數據交換區域、合作單位網絡區域、Internet網絡區域。幾大區域的安全性保護主要通過防火墻來防護，控制不同訪問數據的訪問目標和端口，同時在和Internet相關聯的網絡區域部署防范攻擊的保護設備，及針對內部管理人員的運維審計設備[7]。需要注意的是，安全域的劃分不能單純從安全角度考慮，而是應該以業務角度為主，輔以安全角度，并充分參照現有網絡結構和管理現狀，才能以較小的代價既完成安全域劃分和網絡梳理，同時又能保障其安全性。

劃分安全域后，在不同的信任級別的安全區域之間就形成了網絡邊界。實施邊界安全防護措施，既可以使邊界內部免遭外部攻擊，也可以遏制內部不法人員跨越邊界而向外部實施攻擊。南京市衛生12320網站所在的核心業務區和其他區域之間都部署了IPS、WAF等設備，保障了網絡區域邊界的安全。

表1 等保整改建議表

3.3.3 開展等級測評

開展等級測評需要找公安局認可的具有“DJCP”認證的測評機構，機構名稱可以在“中國信息安全等級保護網”查詢。測評的主要流程有：

（1）準備階段。主要是測評公司（南京市衛生12320網站的測評公司是江蘇君立華域信息安全技術有限公司）與市衛生信息中心進行溝通，主要溝通網絡拓撲結構、硬件設備情況等。

（2）方案制定階段。測評公司會確定測評的內容，編制測評方案書。之后會與市衛生信息中心共同確定現場測評的時間和流程。

（3）現場測評階段。這個階段測評機構會駐場到市衛生信息中心，會對一共290個控制項進行逐一測評。需要注意的是，測評時不要影響正常業務的進行，因此盡量在下班之后進行。測評之前一定要準備好，要保證其對現有業務不會造成任何影響。在這個階段，信息中心的網絡工程師、信息安全工程師、系統工程師、審計工程師需要在場進行配合[8]。

（4）報告編制階段。這個階段，測評機構會將分項的測評結果進行判定、匯總后給出測評報告，告之客戶網站的風險點、整改建議和測評結果。整改建議以表格形式列出，主要信息有測評項、測評結果、整改建議。在對12320網站的某次等保測評后出具的針對某路由器的整改建議表，見表1。

測評結果分為：全部符合、部分符合和不符合。不符合選項為沒有通過測評，其他兩項為通過測評。根據相關要求，290個控制項，達到80%以上符合的即可通過測評[9]。

（5）自查和監管部門檢查。根據相關要求，當網站或系統定為第三級時，每年應至少進行一次等級保護自查，且監管部門每年至少來現場檢查一次[10]。監管部門為本市市屬公安部門，每年定期會對三級系統進行上門檢查，檢查內容是管理文檔和現場實地勘察。檢查完成之后公安部門會對檢查結果進行評定，并對下一步安全工作給出指導意見。級保護的要求進行運維、管理和監督，根據整改建議對服務器和交換機進行必要的整改，可以有效增強網站及其服務器的安全性。因此，開展等級保護對網站及其服務器的安全性都有著重要的意義。

信息安全作為一項常態性工作對業務系統和網站的正常運行起著關鍵性的作用，而等級保護作為信息安全工作的重要組成部分，充當著業務系統和網站每年一次或每年多次的“體檢員”的角色。等級保護工作需要網絡工程師、信息安全工程師、系統工程師、審計工程師共同配合完成，需要各方人員細致和耐心地對照檢查項逐項檢查。可以說，沒有做等級保護的系統和網站是不完整的。因此，梳理等級保護建設的要點和步驟對同類網站的等保建設是有益和值得借鑒的。

4 總結和思考

本文以南京市衛生12320網站為例，通過對信息安全等級保護制度的闡述和分析，初步探討了信息安全等級保護的實施策略和流程。本文表明，服務器維護人員按照等

[1] 辛均益,陳啟岳,王宏宇.關于醫院重要信息系統信息安全等級保護工作的探討[A].第28次全國計算機安全學術交流會論文集[C].2013.

[2] 王麗娜,張東軍.醫療衛生行業信息安全等級保護的現狀與對策[J].醫療衛生裝備,2013,(6):87-88.

[3] 韓作為.醫院信息安全等級保護三級建設流程與要點[J].中國數字醫學, 2013,(5):34-35.

[4] 吳海翔.淺談內部網絡安全問題及對策[J].電子技術與軟件,2014, (1):234.

[5] 郝惠英,王才有.醫院信息安全體系設計方法[J].中國數字醫學,2010,(3):61-63.

[6] 彭坤,冷金昌,孫曉瑋,等.基于等級保護的跨區域醫療信息安全保障體系研究[J].中國數字醫學,2013,(6):88-90.

[7] 郎漫芝,王暉,鄧小虹.醫院信息系統信息安全等級保護的實施探討[J].計算機應用與軟件,2013,(1):206-208.

[8] 王俊.基于等級保護的醫院網絡區域邊界安全研究[J].中國數字醫學,2013,(3):96-97.

[9] 李享,李婧,張紅,等.醫院與社區信息協同共享模式網絡安全解決方案[J].中國醫療設備,2014,29(10):38-40.

[10] 鄭攀,王暉,張杰,等.數字醫療設備信息安全防護探討[J].中國數字醫學,2014,(7):33-35.

Key Points and Several Thoughts on the Construction of the Grading Protection of Nanjing Health 12320 Website

LI Wei-dong, YIN Wei-dong, CHEN Ping
Department of Operation, Nanjing Health Information Center, Nanjing Jiangsu 210003, China

As a service website, Nanjing Health 12320 website can provide the following services for the whole city: appointment register, query of the test results and electronic health records, mental health consultation. Taking Nanjing Health 12320 website as an example, this paper expounds the process of grading the level of information security protection, and then puts forward the key points and several thoughts on the construction of grading protection.

information security; grading protection; websites security; websites for public welfare; grading protection record

R197.324

C

10.3969/j.issn.1674-1633.2016.01.049

1674-1633(2016)01-0153-03

2015-03-22

2015-12-06

陳平，碩士，高級工程師，南京市衛生信息中心副主任。

作者郵箱：cheney_lee1985@163.com