新形勢下的醫院網絡安全建設探討

◆楊葓靚 張 朝

（1.泰達醫院信息部 天津 300457；2.泰達醫院 天津 300457）

在中國，計算機應用已經深入到百姓生活的方方面面，可以說衣食住行都離不開計算機系統給我們提供的日常服務。醫療行業特別是醫院又是信息化建設的先行者，各種信息系統如HIS、PIAS、LIS、電子病歷、不僅極大地提高了醫護人員的工作效率，也提高了廣大患者的就醫體驗。但是勒索病毒的出現使我們見識到新型計算機病毒的巨大破壞力和傳播速度。2017 年6 月1 日《中華人民共和國網絡安全法》正式實施，從此我國網絡安全工作有了基礎性的法律框架，有了網絡安全的“基本法”，醫院作為承擔著特殊社會職能的單位，有著保護廣大患者隱私，維護醫患和諧的特殊作用，所以我們必須按照網絡安全法所規定的內容，做好網絡安全工作，彌補之前只重視信息系統功能建設而不重視信息安全建設的短板。本文主要從信息系統安全防范和本院網絡安全設計上進行討論。

1 醫院網絡安全建設總體原則

為了保證我院重要信息系統、服務器、數據存儲不受外部或內部人員的入侵、攻擊、篡改，我院信息安全建設根據網絡應用現狀和網絡結構，可以將網絡安全防范分為物理層安全、系統層安全、網絡層安全、應用層安全4 個層次，總體建設原則圍繞進不來、拿不走、看不懂、改不了、走不脫這個目標。

1.1 物理層安全

該層次安全主要包括機房安全、通信線路安全，物理設備安全。本院機房建設符合電子信息系統機房B 級標準，機房供電采用專用配電柜，雙路市電輸入，并配有單獨UPS 電源及電池組，可以在市電中斷狀況下保證機房2 小時供電，機房配有2 臺精密空調1 主1 備，來保證機房空調系統的穩定性和可靠性。在通信線路和物理設備安全方面，我院所有樓層接入交換機全部采用雙光纖上聯到機房2 臺核心交換機上，為保證全院核心網絡的高可用和高可靠，核心網絡采用現今成熟的網絡虛擬化方案，把多臺核心交換機虛擬成一臺分布式設備，使用這種虛擬化技術可以實現多臺設備的協同工作、統一管理和不間斷維護。

1.2 系統層安全

該層次的安全問題來自網絡內使用的操作系統的安全，主要表現在三方面，一是操作系統本身缺陷帶來的不安全因素，主要包括身份認證、訪問控制、系統漏洞等。二是對操作系統的安全配置問題。三是計算機病毒對操作系統的威脅。結合以上3 個方面和醫護人員的計算機水平，我院采用Windows 域架構和部署內部wsus 來解決上述問題，通過加入域環境，所有的網絡資源，包括用戶，均是在域控制器上維護，便于集中管理。所有用戶只要登入域，在域內均能進行身份驗證，我們還可以通過制定域策略來實現對計算機資源的訪問控制，規劃用戶的訪問權限，統一用戶配置環境，自動分發軟件和系統補丁，限制移動存儲設備的使用，統一全院計算機的安全配置策略，包括賬戶安全策略，本地安全策略，密碼安全策略，防火墻安全策略等。此外針對計算機病毒對操作系統的威脅，我們在全院統一部署企業版殺毒軟件，定期更新病毒庫，通過域控制定計劃任務，定時查殺病毒。

1.3 網絡層安全

該層次的安全問題主要體現在網絡方面的安全性，包括網絡隔離、網絡層身份認證，網絡資源的訪問控制，數據傳輸的保密與完整性，遠程接入的安全，路由系統的安全，入侵檢測的手段，網絡設施防病毒等。針對網絡層安全，我們首先把院內網絡根據不同的業務需求，劃分為辦公網、業務網、醫保銀行專網幾個部分，并通過防火墻、網閘等設備進行網絡隔離，在接入層交換機上開啟端口安全策略，進行端口與MAC 地址綁定，防止未經授權的計算機接入院內網絡，配置訪問控制列表（ACL）來對網絡訪問行為進行控制，對IP 地址段訪問特定網絡資源進行控制。在三層設備上開啟IP-MAC 地址綁定來防止ARP 欺騙攻擊。對于網管型交換機和路由器，務必設置web 與console 口密碼，而且盡量開啟設備上的ssl 功能，防止密碼通過明文的方式傳輸。另外要嚴格控制管理設備的接入地址，只允許特定地址登錄，定期更新設備密碼，定期備份設備的配置文件，對于嚴重的網絡設備安全漏洞，要及時更新設備的（軟件）固件。對于需要遠程接入處理問題的科室人員和軟件廠商人員，可以通過ipsecVPN 或者sslvpn 接入院內網絡，并通過堡壘機訪問院內服務器。

1.4 應用層安全

該層次的安全問題主要由提供服務所采用的應用軟件和數據的安全性產生，包括Web 服務、數據庫服務、DNS 服務等。目前基本上每家醫院都建有自己的網站來對外提供服務，在常見的Web 系統中，最常見的幾種安全問題有：SQL 注入，XSS 漏洞，CSRF 攻擊（跨站點請求偽造）。那么我們如何做到防范以上攻擊呢，對于SQL 注入要對用戶的輸入進行校驗，可以通過正則表達式，或限制長度，對單引號和雙引號進行轉換，不要使用動態拼裝SQL，可以使用參數化的SQL 或者直接使用存儲過程進行數據查詢存取，不要使用管理員權限的數據庫連接，為每個應用使用單獨的權限有限的數據庫連接，不要把機密信息明文存放，請加密或者hash 掉密碼和敏感的信息，另外對于oracle 和sqlserver 數據庫請禁用默認用戶，并且制定符合安全標準的密碼策略，防止被暴力破解口令。

2 網絡安全管理

安全管理包括安全技術和設備的管理、安全管理制度、部門與人員的組織規則等，網絡安全體系是一個復雜的系統工程，涉及人、技術、操作等要素，單靠技術或單靠管理都不可能實現。因此，必須將各種安全技術與運行管理機制、人員思想教育與技術培訓、安全規章制度建設相結合，為此我院專門成立了網絡信息安全領導小組，來總體負責制定醫院信息安全策略，明確信息安全目標與責任。

2.1 建立健全網絡和信息安全管理制度

全院要按照網絡與信息安全的有關法律、法規規定和工作要求，制定并組織實施本院網絡與信息安全管理規章制度。要明確網絡與信息安全工作中的各種責任，規范計算機信息網絡系統內部控制及管理制度，切實做好本院網絡與信息安全保障工作。

2.2 選拔合格的網絡管理人員

首先應當熟悉網絡安全法的相關條款。有工作責任心，有一定的信息處理能力。工作上可以合理規劃、設計網絡。制定相關的制度，建立整理好數據檔案，工作日志。熟知各類設備的安全保障，定期接受新知識，新政策的相關培訓。

3 結語

網絡安全建設是一個長期而復雜的任務，尤其是在我國這樣一個信息和網絡安全防護能力較差、基礎信息產業嚴重依靠國外、全社會的網絡安全意識淡薄的環境下，如何做好網絡的安全防護工作，是我們需要長期思考的問題，網絡安全已成為各國關注的焦點，也關系國家的安全，必須在法律、管理、技術、道德各方面采取切實可行的有效措施，來確保網絡安全建設的質量達能我們期望的目標。