醫院二級等保建設的實踐性研究

叢亮

摘 要 二級等保建設是二級醫院根據信息化系統運行的實際情況，制定和采取必要的安全防護措施，保證數據中心、終端、網絡等方面的安全的實踐性工作。雖然近年來醫院不斷加大二級等保建設方面的資源投入，防范和管控各種安全風險，但信息化發展中存在的黑客惡意攻擊、蠕蟲病毒、木馬等安全性隱患仍然是威脅醫院網絡安全的突出問題。文章在介紹醫院信息系統的安全現狀的基礎上，就醫院二級等保建設的實踐性策略進行探討研究，以豐富醫院二級等保建設的思路和方法。

關鍵詞 醫院信息系統;二級等保;信息安全

前言

2018年4月，衛健委發布的《全國醫院信息化建設標準與規范》從軟硬件建設、安全保障、新興技術應用等幾個方面規范了醫院信息化建設的主要內容和要求[1]，為二級醫院信息化建設提供了明確的方向指引。該標準中將醫院信息化建設中的安全防護劃分為數據中心安全、終端安全、網絡安全、容災備份等4個類別，這使得二級等保建設覆蓋了醫院臨床業務和管理工作開展的各方面，使醫院二級等保建設的目標和內容更加全面、科學。然而，對于二級醫院來說，如何將標準中明確的安全防護的具體內容落實到實踐性活動中，切實實現安全防護的目標，是需要根據醫院信息化建設的實際情況進行思考和探索的[2]。

1醫院信息系統的安全現狀

圖1是目前二級醫院所使用的信息系統的拓撲圖。通過該圖可以看出，現階段的醫院信息系統主要有專網互聯區和外網互聯區兩個網絡專區，對應的端口有連接醫保專網的端口和連接互聯網的端口。從安全防護的角度來審視醫院信息系統可以發現，目前除了醫保專網有出口防護墻進行安全防護以外，其他端口和區域均沒有部署相應的安全防護措施，這就使得醫院信息系統的局部及整體都存在較大的安全隱患。總體來看，目前的醫院信息系統運行中的安全性問題主要有以下幾方面。

1.1 網絡邊界區域缺乏必要的防護措施

網絡邊界區域是指不同網絡功能區的過渡性、交叉性區域，這里往往是網絡安全防護的薄弱之處。通過圖1可以看出，目前系統中的網絡出口邊界區域和互聯網邊界區域是防護比較脆弱的地方。其中網絡出口的邊界區域缺少相應的入侵防護系統，這容易使系統對可能來自外部的惡意軟件，及蠕蟲、木馬、病毒等入侵性強的風險缺少有效的防護;互聯網邊界區域則缺乏相應的防病毒系統，容易導致信息系統對來自外部網絡的惡意代碼供給和病毒等不安全性因素的檢測和攔截失效，威脅信息系統整體的安全[3]。

1.2 系統缺乏必要的安全運維

安全運維是借助系統的安全審計和維護功能來進行系統的自我安全運營、維護，以保證系統運行的安全性。目前，醫院信息系統中存在的安全運維問題主要表現在兩方面：其一，內部網絡種缺乏相應的安全審計系統，導致系統對內部網絡行為、服務器訪問操作等進行基礎性的審計，導致內部網絡安全缺乏常態化的維護;其二，內部網絡審計系統的缺乏使得內部服務器、數據庫、網絡設備及安全設備的統一性安全運維變得困難重重，內部服務器中的重要數據信息缺乏基本的安全防護，容易遭受各種病毒的攻擊。（圖見文末）

2 醫院開展二級等保建設的具體策略

通過對醫院當前使用的信息系統的安全防護問題分析可以看出，目前醫院二級等保建設的關注點應當放在網絡邊界區域的安全防護和常態化的網絡運維。因此，醫院可以將這兩方面作為二級等保建設的側重點，以此為參考來尋求具體的策略。

2.1 加強網絡邊界區域的安全防護

鑒于網絡邊界區域在安全方面的脆弱性，在等保建設過程中，要通過諸如醫保專網運行所設立的出口防火墻一樣的防護措施，通過在醫院專網互聯區的邊界處設置相應的防火墻，來增強內部服務器的基礎性安全防護，防止蠕蟲、木馬等不安全性因素對網絡的侵襲[4]。同時，要通過加強網絡邊界區域的安全訪問權限控制來減少不必要人員對網絡信息的訪問，保證服務器的安全性。

2.2 強化系統的安全審計和運維

審計是及時發現問題和進行安全預警的重要措施。根據當前醫院信息系統建設的實際情況，要通過在核心交換機處設置安全審計系統的方式來增強系統的安全審計功能，借助數據的實施動態監測和審計來及時發現各種敏感信息和違規網絡行為，并及時進行網絡報警，確保網絡防護工作做到位[5]。同時，要在系統的運維管理區部署相應的安全運維堡壘主機，來對網絡設備進行常態化的運營維護和監測，保證系統運行的安全性。

3結束語

隨著醫院規模的持續擴大、信息化進程的持續推進，醫院二級等保建設工作的重要性和必要性日益凸顯。針對當前醫院信息系統安全防護方面存在的問題，要通過相應的技術手段加以發現和消除，切實保證系統運行的安全性和穩定性。

參考文獻

[1] 毛丹，孔玉玲.全國二級和三級醫院信息化建設及運行現狀[J].現代醫院管理，2019，17（3）：57-60.

[2] 魏勤，劉艷亭，郭敬鵬，等.基于三級等保標準的醫院信息安全體系建設實踐[J].醫學信息學雜志，2019，40（2）：35-39.

[3] 董春梅.某市二級及以上醫院信息化建設與管理現狀研究[J].臨床醫藥文獻電子雜志，2017，4（90）：17797-17798.

[4] 王麗娜，張東軍.河南省37所醫院信息化建設的現狀調查[J].中國衛生統計，2017，34（3）：492-493，496.

[5] 顏海威.醫院信息系統三級等保建設思路[J].電腦知識與技術，2016，12（30）：40-41.