關(guān)于醫(yī)院信息安全的分析

景仲昊

摘要：本文以醫(yī)院信息安全面臨的問(wèn)題和解決問(wèn)題的策略為主題，對(duì)其進(jìn)行探討。

[關(guān)鍵詞]信息安全 網(wǎng)絡(luò)技術(shù) 醫(yī)院信息系統(tǒng) 信息資源

隨著醫(yī)院信息化的迅速發(fā)展，以及其業(yè)務(wù)范圍的不斷擴(kuò)大，醫(yī)院的各個(gè)環(huán)節(jié)都引入了信息系統(tǒng)，使得醫(yī)院信息系統(tǒng)分布大規(guī)模增加，信息安全的風(fēng)險(xiǎn)也隨之而來(lái)，包括由于計(jì)算機(jī)設(shè)備故障，系統(tǒng)缺陷，病毒侵害，黑客攻擊等。為了保證醫(yī)院信息管理系統(tǒng)中的信息資源的安全和完整，避免醫(yī)療數(shù)據(jù)的丟失、損壞、被篡改、被盜取以及信息泄露等情況發(fā)生，加強(qiáng)醫(yī)院信息安全愈發(fā)重要。

1 醫(yī)院信息管理安全現(xiàn)狀及分析

1.1 當(dāng)前醫(yī)院信息安全的現(xiàn)狀

通過(guò)實(shí)際調(diào)查以及新聞報(bào)道，我們可以得知，在醫(yī)院的各個(gè)環(huán)節(jié)都進(jìn)入了信息系統(tǒng)的今天，醫(yī)療信息尤其是病人在醫(yī)院治療的各種信息，成為了醫(yī)院及醫(yī)療系統(tǒng)中重要的信息資源。由于網(wǎng)絡(luò)具有開(kāi)放性，黑客或者不法分子可以通過(guò)網(wǎng)絡(luò)手段或其他手段對(duì)醫(yī)院信息管理系統(tǒng)造成破壞，篡改，盜取數(shù)據(jù)信息用于非法活動(dòng)，甚至直接導(dǎo)致醫(yī)院信息系統(tǒng)崩潰、癱瘓。這不僅僅會(huì)影響到醫(yī)院的正常工作和發(fā)展，而且還會(huì)給社會(huì)帶來(lái)了不穩(wěn)定因素。

1.2 醫(yī)院信息安全問(wèn)題的分析

1.2.1 對(duì)系統(tǒng)用戶權(quán)限分配管理存在的問(wèn)題

在醫(yī)院工作的人員眾多，按照職能可將員工分為醫(yī)生、護(hù)理人員、行政管理人員、醫(yī)療技術(shù)人員、后勤管理人員等幾大類工種，每個(gè)工種下面又根據(jù)級(jí)別不同可以按級(jí)別再次分類。由于每個(gè)工種的職責(zé)不同，不同級(jí)別的權(quán)力不同，這使得不同的工種，不同級(jí)別的人員對(duì)可共享信息資源訪問(wèn)和操作的權(quán)限是不同的。每個(gè)工作人員都具有自己獨(dú)有的用戶賬號(hào)和密碼，但是由于有些工作人員缺乏信息安全意識(shí)，從未修改自己的初始密碼，或者將自己的用戶賬號(hào)和密碼告知他人直接讓他人使用，這就從某種程度上已造成了用戶權(quán)限的泄露。

此外，由于醫(yī)院信息系統(tǒng)的大規(guī)模增加，對(duì)于不明網(wǎng)絡(luò)、計(jì)算機(jī)終端接入有所忽視，使得某些未經(jīng)授權(quán)的用戶可隨意連接進(jìn)入醫(yī)院內(nèi)網(wǎng)，對(duì)醫(yī)院網(wǎng)絡(luò)信息安全構(gòu)成了極大地威脅。1.2.2信息管理系統(tǒng)終端存在的信息安全隱患

醫(yī)院信息系統(tǒng)的終端，即客戶端。用戶隨意插接USB、硬盤(pán)等外接設(shè)備，安裝一些非法軟件或不明插件都有可能使黑客或者病毒入侵，導(dǎo)致信息系統(tǒng)的安全受到極大的威脅和破壞。

1.2.3 服務(wù)器端存在的信息安全隱患

作為醫(yī)院信息管理系統(tǒng)的核心，服務(wù)器的安全和穩(wěn)定是整個(gè)醫(yī)院信息系統(tǒng)安全運(yùn)行的根本。服務(wù)器機(jī)房的安全決定了服務(wù)器物理上的安全。通過(guò)實(shí)際調(diào)查可知，醫(yī)院服務(wù)器機(jī)房由于失火、被盜、進(jìn)水、斷電、被雷擊等突發(fā)狀況直接致使醫(yī)院信息系統(tǒng)癱瘓或者為醫(yī)院帶來(lái)不同程度上的損失，例如數(shù)據(jù)丟失等。另一方面，由于目前大部分操作系統(tǒng)采用Windows操作系統(tǒng)，由于操作系統(tǒng)未能及時(shí)更新，以及防火墻處于關(guān)閉狀態(tài)，長(zhǎng)時(shí)間不進(jìn)行系統(tǒng)安全檢測(cè)，這將使系統(tǒng)處于極大的安全威脅中，甚至導(dǎo)致服務(wù)器系統(tǒng)崩潰或者數(shù)據(jù)庫(kù)被破壞。

2 醫(yī)院信息系統(tǒng)安全對(duì)策探討

2.1 保障醫(yī)院服務(wù)器及服務(wù)器機(jī)房的安全

服務(wù)器及機(jī)房是承載整個(gè)醫(yī)院信息系統(tǒng)的基礎(chǔ)，由于服務(wù)器、交換機(jī)、路由器等設(shè)備都集中在機(jī)房中，故其安全性不言而喻。首先，要為機(jī)房和設(shè)備提供安全的物理環(huán)境，包括：機(jī)房?jī)?nèi)適當(dāng)?shù)臏囟取穸龋ＷC機(jī)器設(shè)備易于散熱;使服務(wù)器機(jī)房?jī)?nèi)處于防火、防盜、防雷擊、防電磁輻射騷擾的安全環(huán)境下，以此保障設(shè)備不被直接造成物理?yè)p壞;定時(shí)打掃機(jī)房;限制服務(wù)器機(jī)房的使用權(quán)限，減少服務(wù)器機(jī)房?jī)?nèi)的人員流動(dòng);在服務(wù)器機(jī)房?jī)?nèi)安裝監(jiān)視器;保證機(jī)房的不間斷供電，配備備用電源，使機(jī)房在斷電狀態(tài)下各設(shè)備能夠繼續(xù)工作。

此外，在醫(yī)院信息系統(tǒng)中的信息資源，包括科室醫(yī)生信息，病人信息，醫(yī)療數(shù)據(jù)，藥品信息，病例檔案信息等，其安全和完整關(guān)乎整個(gè)醫(yī)院信息系統(tǒng)的正常運(yùn)行。因此，數(shù)據(jù)庫(kù)的備份至關(guān)重要。可采用雙機(jī)熱備份與磁盤(pán)陣列技術(shù)相結(jié)合，若主服務(wù)器因故障停止工作，備用服務(wù)器立即代替主服務(wù)器工作，待主服務(wù)器恢復(fù)正常后再將數(shù)據(jù)上傳至主服務(wù)器，確保數(shù)據(jù)的完整性和正確性。

2.2 限制用戶的使用權(quán)限和用戶對(duì)終端的操作

由于用戶隨意插接USB、硬盤(pán)等外接設(shè)備，安裝一些非法軟件或不明插件，有可能會(huì)導(dǎo)致黑客或者病毒入侵，對(duì)信息系統(tǒng)安全造成威脅。對(duì)此，須對(duì)用戶權(quán)限進(jìn)行限制，除因工作需要必須使用外接設(shè)備的終端，其余終端的USB接口和光驅(qū)禁用，對(duì)外來(lái)的USB、硬盤(pán)等外接設(shè)備做好病毒查殺或者格式化操作，以此避免病毒通過(guò)終端進(jìn)行傳播，威脅整個(gè)醫(yī)院網(wǎng)絡(luò)。強(qiáng)制各個(gè)工作人員修改其用戶密碼，保證個(gè)人用戶權(quán)限不被外人使用，加強(qiáng)工作人員的網(wǎng)絡(luò)安全意識(shí)。

2.3 對(duì)計(jì)算機(jī)病毒的防治及阻止黑客入侵

當(dāng)今網(wǎng)絡(luò)技術(shù)高速發(fā)展，計(jì)算機(jī)病毒傳染與黑客入侵手段也是層出不窮，伴隨著計(jì)算機(jī)病毒與黑客入侵手段的發(fā)展，病毒防治與反黑客入侵技術(shù)的進(jìn)步也是日新月異。對(duì)于醫(yī)院信息系統(tǒng)這一龐大且具有廣泛數(shù)據(jù)資源的網(wǎng)絡(luò)，對(duì)病毒防治及反黑客入侵必不可少。若僅僅依靠定期檢測(cè)是不能確保醫(yī)院網(wǎng)絡(luò)安全的，必須依靠長(zhǎng)效的防治手段與機(jī)制。主要的對(duì)策有：

（1）醫(yī)院信息網(wǎng)絡(luò)中接入的計(jì)算機(jī)均安裝正版操作系統(tǒng)，并且要定期更新版本;

（2）為醫(yī)院信息系統(tǒng)安裝防火墻，阻止來(lái)自外部的惡意程序或者病毒的入侵;

（3）為醫(yī)院信息系統(tǒng)安裝正版企業(yè)版殺毒軟件，并定期進(jìn)行病毒查殺和檢測(cè)系統(tǒng)漏洞;

（4）實(shí)行醫(yī)院內(nèi)網(wǎng)與外網(wǎng)之間的有效控制，除個(gè)別因工作需要必須連接外網(wǎng)的計(jì)算機(jī)，其余系統(tǒng)內(nèi)計(jì)算機(jī)不得連接外網(wǎng)，確保醫(yī)院內(nèi)網(wǎng)安全;

（5）實(shí)時(shí)對(duì)醫(yī)院網(wǎng)絡(luò)流量、設(shè)備狀態(tài)、用戶行為實(shí)行監(jiān)控。根據(jù)記錄數(shù)據(jù)進(jìn)行分析，一旦發(fā)現(xiàn)流量出現(xiàn)異常，則立刻采取流量限制措施，并且對(duì)流量數(shù)據(jù)進(jìn)行分析，保證網(wǎng)絡(luò)效率及內(nèi)網(wǎng)的穩(wěn)定性;

（6）對(duì)未經(jīng)授權(quán)私自連接進(jìn)入醫(yī)院內(nèi)網(wǎng)的設(shè)備進(jìn)行監(jiān)控，確定位置，并且阻止其繼續(xù)訪問(wèn);

（7）對(duì)數(shù)據(jù)庫(kù)采取防SQL注入攻擊，同

時(shí)在Webservice接口函數(shù)中增加防止SQL注入，保證數(shù)據(jù)庫(kù)的完整與保密。

3 其他

醫(yī)院的信息安全，不僅要靠技術(shù)和硬件設(shè)備的支持，還需要相應(yīng)的管理制度。明確醫(yī)院不同職位的員工在醫(yī)院信息系統(tǒng)中的權(quán)限，對(duì)違規(guī)操作導(dǎo)致信息丟失、泄露的員工進(jìn)行相應(yīng)的懲罰。在新版本的信息系統(tǒng)上線后對(duì)醫(yī)院?jiǎn)T工展開(kāi)使用流程培訓(xùn)，同時(shí)普及網(wǎng)絡(luò)安全常識(shí)以及宣傳醫(yī)院信息管理制度。

4 結(jié)論

醫(yī)院的信息安全作為一個(gè)長(zhǎng)期存在的問(wèn)題，關(guān)乎醫(yī)院的正常運(yùn)行以及社會(huì)的穩(wěn)定，醫(yī)院的信息管理人員責(zé)任重大。本文以此為主題，分析了當(dāng)下醫(yī)院信息管理中存在的信息安全問(wèn)題，并由此總結(jié)了一些行之有效的防治對(duì)策和技術(shù)手段。有效的技術(shù)手段，加之相應(yīng)的管理是保證醫(yī)院信息系統(tǒng)安全的關(guān)鍵。

參考文獻(xiàn)

[1]高晨光，馬寶英，高照彥，范書(shū)平。醫(yī)院信息系統(tǒng)網(wǎng)絡(luò)安全問(wèn)題及對(duì)策研究[J].中國(guó)農(nóng)村衛(wèi)生事業(yè)管理，2013（03）.

[2]周雪，醫(yī)院信息管理系統(tǒng)中的安全問(wèn)題及對(duì)策探討[J].電腦知識(shí)與技術(shù)，2014（05）.

[3]趙峰，加強(qiáng)醫(yī)院信息管理系統(tǒng)安全的策略[J].網(wǎng)友世界，2013（07）.

[4]許耀文。信息安全管理的建設(shè)在醫(yī)院信息化建設(shè)中的作用探討[J].現(xiàn)代經(jīng)濟(jì)信息，2018（08）.