基于等級保護2.0標準體系醫院信息化安全建設探尋

摘要：本文以等級保護2.0標準體系為基礎，從技術層面探討醫院信息化安全建設。結合醫院信息化的特點，結合實施等級保護2.0試點的新要求，從內網保護、主機接入控制、數據備份等方面，系統地闡述了醫院內網保護建設的新特點。

關鍵詞：等級保護2.0;內外網防護;數據備份;準入控制

引言

為了貫徹國家信息安全等級保護制度，規范和指導全國衛生行業信息安全等級保護工作，衛生部辦公廳于2011年12月下發了衛生部《關于衛生行業信息安全等級保護工作的指導意見》，從物理安全、主機安全、應用安全、數據安全與備份恢復四個層面上融合，本文主要論述了目前系統現狀，并按照《信息安全技術信息系統安全等級保護基本要求》2.0版本和系統現狀進行了對比，分析了系統安全等級二級的要求，提出了解決方案。

1等級保護2.0概述

1.1什么是等級保護2.0網絡

安全等級保護制度是國家網絡安全領域的一項基本制度，它對提高國民經濟和社會信息化進程中信息安全保障的能力和水平，維護國家網絡空間安全具有重要意義。網絡安全等級保護制度2.0國家標準于2019年5月10日發布，標志著我國網絡安全等級保護制度進入一個嶄新的階段。

1.2等級保護的定義

對國家安全、社會秩序、公共利益以及相關公民、法人和其他組織的合法權益的危害程度等因素，將網絡安全等級保護分為國家安全、社會秩序、公共利益以及相關公民、法人和其他組織的合法權益的危害程度，按照其重要性和危害程度，將其分為5個安全保護等級。

1.3等級保護2.0的變化

等保2.0強調“一個中心、三重防護”的理念，標準安全要求由基本要求變更為安全通用要求和安全擴展要求。標準體系名稱更名為《信息安全技術網絡安全等級保護基本要求》，與網絡安全法有關條文保持一致。《網絡安全法》明確規定網絡運營者應當按照網絡安全等級保護制度的要求，履行安全保護義務，法律地位明顯提升。等保2.0標準不再自主定級，系統定級必須經過專家評審和主管部門審核。定級對象由原來的信息系統改為等級保護對象（云計算、物聯網、工業控制系統、移動互聯等場景）。

1.4等級保護2.0的實施流程

定級——備案——建設整改——等級測評——監督檢查。

2.等級保護2.0建設思想

在以“一個中心，三重防護”為思想的合規建設基礎上，同時貫徹“智能化、實戰化、持續化”的新安全理念，以攻促防，全面提升安全態勢感知能力、漏洞管理能力。建立常態化安全運營體系，不斷完善運營體系和網絡安全防御體系建設，實現網絡安全綜合防御能力的提升，建立可信、可控、可管的自適應閉環安全防護體系。

3等級保護2.0醫院信息化建設方案

3.1安全指標說明

以信息系統實施等級保護二級為例，根據技術5大類（物理安全、網絡安全、主機安全、應用安全和數據安全）和管理5大類（安全管理機構、安全管理制度、人員安全管理、系統建設管理、系統運維管理），共計有66個子類，175個檢項。

3.2方案框架

因為醫院作為一種比較特殊的行業服務機構，在我國因特網飛速發展、科技日新月異的時代背景下，醫院不僅要為相關人員提供特殊的信息服務，而且要面對自己的服務體系暴露和網絡安全的挑戰。一旦醫療機構的重要信息系統數據被泄露，將給整個社會帶來不良影響。為此，按照等級保護2.0的建設理念，明確本單位信息系統安全等級保護的相關制度，制定有效的等級保護相關對策，提高相應的等級保護能力成為當務之急。

根據本單位現有網絡架構情況及重要業務信息系統情況，形成以技術保障為基礎、以監測預警為核心、以協同響應為目標的網絡安全縱深防御體系，將安全物理環境、“一個中心”管理下的安全通信網絡、安全區域邊界、安全計算環境、安全管理制度、安全管理機構、安全管理人員、安全建設管理、安全運維管理等各個層面的安全需求，全部轉化為可以實現的技術防護、安全管理措施、安全運營手段，構建可信、可控、可管的安全防護體系。積極進行本單位信息化建設，其投入水平將直接決定本單位未來幾年的信息化發展水平。相對于本單位現有網絡安全投入，信息化建設還有相當大的進步空間，從決策層到執行層必須統一思想，加大投入力度，促進本單位信息化業務發展，從根本上減少重要業務信息系統發生問題的可能性。

3.3方案設計

3.3.1拓撲說明

此次網絡方案設計嚴格安全信息安全等級化保護二建設級標準設計，并滿足二級等級保護建設要求。網絡共分為兩套，外網一套內網一套，兩張網絡中間采用數據隔離網閘進行數據“擺渡”，既做到了兩網的安全隔離，又確保了內網與外網數據交互的問題。內網出口部署專用防火墻、入侵防御保障主干鏈路安全。外網部署上網行為保證上網安全。運維管理區部署日至審計、入侵檢測IDS、數據庫審計、終端殺毒、堡壘機、備份一體機、準入系統，保障內部醫療數據安全，并記錄分析、追溯。

（1）內網防火墻。采用防火墻技術，對網絡邊界進行邊界保護，可以對所有流經防火墻的數據包按照嚴格的安全規則進行過濾，將所有不安全的或不符合安全規則的數據包屏蔽，防范各類攻擊行為，杜絕越權訪問，防止非法攻擊。通過合理布局，形成多級的縱深防御體系。（2）外網上網行為管理。基于互聯網的應用從最初的文件共享、文件傳輸（FTP）、靜態網頁瀏覽（HT-ML）等內容單一、靜態的、簡單應用，逐步發展為包括E-Mail、ERP、OA、CRM、新聞信息、文件共享、視頻會議、VoP、即時通訊、網絡游戲、電子商務、電子政務等等在內的動態的、復雜應用。網絡承載的內容日益豐富，變得更加復雜、多樣化。當今，互聯網進入了應用級網絡時代，逐步成為一個虛擬的真實社會。P2P傳輸、網絡電視、網絡游戲、在線聊天、Web視頻、股票軟件、網上銀行、數據庫、物流供應鏈、各種論壇以及大量未知的內容和信息紛紛涌進網絡。（3）內網入侵防御系統。串聯部署IPS入侵防御系統，通過IPS入侵特征庫對流經服務器的所有請求流量進行過濾查殺。在此基礎上增加安全審計產品可以更好的對入侵和安全事件進行關聯和管理，并采取短信、郵件等形式的提供告警，實現及時、準確的入侵告警提醒。（4）數據庫審計系統。數據庫審計系統通過細粒度的數據庫行為審計和SOL注入、XSS攻擊防護，幫助用戶有效監控數據庫相關訪問行為，防止敏感信息外泄。實時記錄、分析數據庫訪問行為，及時發現安全事件并實時記錄、告警、定位，方便管理員在安全事件發生后第一時間采取管控措施，加快對安全事件的響應速度，做到有效及時的防范安全風險。（5）入侵檢測系統。入侵檢測技術（IDS）其設計宗旨是預先對入侵活動和攻擊性網絡流量進行發現，通過監視網絡或系統資源，避免其造成損失尋找違反安全策略的行為或攻擊跡象，并發出報警，可與防火墻互補聯動，實現對攻擊的檢測與防御，構筑有效的安全防護鏈。

3.3.2主機安全準入控制系統

入網規范管理系統是基于第三代準入控制技術基礎的，面向下一代準入控制（NG?NAC）的，純硬件高性能網絡準入控制設備。網規范管理系統主要從終端、網絡、人員、管理4個維度，對網絡使用、安全、管理中的各種元素進行全面的管控。第一，對網絡中的終端進行終端授權管理;第二，基于網絡層面對接入網絡的各種設備進行設備定位透視、網絡拓撲結構透視;第三，提供各種靈活的人員認證機制;第四，通過報表輸出外部接口提供方便的管理手段。數據安全體系建立：備份存儲一體機具有最廣泛的備份功能，支持多種數據類型的備份，如數據庫備份、文件備份、應用備份、操作系統備份等，涵蓋從Windows、Linux到Unix操作系統平臺，備份的數據可以通過多種方式進行存儲，它利用成熟結構來完成對數據的存儲備份。

4.結論

等級保護2.0標準的發布，為信息安全建設提出了更高的要求，防御理念由被動轉變為主動，防御手段融合了更多的新興技術，如態勢感知，可信計算，此外從安全管理上也提出了更多的要求。本方案以等級保護2.0標準為基礎，構建了完備的安全管理體系和技術體系，從“機構’、“制度”和“人員”三方面全面提升，完全滿足網絡安全法和等級保護2.0體系標準要求。

參考文獻：

[1]肖勇.中醫藥項目預算監控平臺信息安全等級保護實踐[J].醫學信息雜志，2014.09.

[2]劉署生.淺談信息安全風險評估與風險分析方法的應用[J].網絡空間安全，2017，z2.

作者簡介：余雪梅（1982.01）女，壯族，廣西南寧市人，本科，網絡工程師，主要從事醫院信息安全管理工作。