完善医疗卫生行业的信息安全综合防护体系

随着医疗卫生建设的重点逐渐转向信息化和数字化，国内越来越多的医院正加速实施基于信息化平台和医疗信息系统（HIS）的业务体系建设，以提高医院的服务水平与核心竞争力。作为国内领先的信息安全厂商，启明星辰致力于帮助医疗卫生企业建立稳定的信息安全保障体系，提升企业IT系统的生产效能。

医疗卫生行业安全现状和安全需求

医疗卫生行业的信息安全建设主要受两方面的驱动，一方面是外部的合规性要求，另一方面是内部安全管理的需求。

从外部来看，国家政策明确强调我国的信息安全保障工作实施等级保护制度。医疗机构作为涉及国计民生的重要组成部分，其安全保障事关社会稳定，因此必须按照国家政策的相关要求，全面实施信息安全等级保护。从目前来看，各区域的主管部门均要求医疗机构在其信息系统中尽快落实等级保护的相关措施。譬如，上海市卫生局信息中心和上海市信息安全测评认证中心联合制定了《医疗机构信息系统安全等级保护基本要求》，对各级医疗信息系统的定级和实施进行指导。

从企业内部管理来看，医院的信息系统也面临着很大的安全风险，迫切需要建立起完整的信息安全防护体系。这些风险主要在于：

1.医院的信息系统不是一个孤立的系统，同合作单位（如社保部门）甚至互联网都存在接口，存在被黑客入侵、网络攻击的风险。

2.作为医院最核心的业务系统，HIS系统的运营缺少有效的安全保护措施和审计机制，存在账号滥用、业务数据被非法读取的风险。譬如，由于HIS系统缺乏权限管理，任何有机会接触HIS终端的人员均可以通过HIS系统进行药物使用情况的查询，即非法获取"统方"。

3.内外网划分不清晰，缺少内外网隔离措施，有可能存在医院的核心业务信息通过互联网泄密的风险。

4.大部分医院未部署终端安全管理和审计系统，导致不合规的终端也能随时接入内部网络，且出现终端安全事故时无法追查。

5.医院的门户网站缺少必要的安全保护措施，存在被SQL注入攻击、网站挂马的风险。

针对上述的安全风险，目前大多数医疗卫生机构的安全措施仅仅是部署了防火墙和终端防病毒软件，远未达到等级保护、纵深防御的政策要求，也没有建立起一个完整的安全防护体系。不管是从政策合规还是业务保障层面来看，医疗卫生机构信息安全建设的要求都是非常迫切的。

启明星辰医疗卫生行业安全实践

作为国内领先的信息安全厂商，启明星辰拥有完备的安全产品线，能够提供从安全防护、威胁检测、网络审计到终端防护的全系列自主知识产权的安全产品。上述产品在国家卫生部、一些省市的卫生厅以及众多的医院都得到了广泛的应用。

图1 启明星辰多条产品线全面覆盖医疗卫生行业的信息安全需求

针对医疗卫生行业的安全建设需求，启明星辰提出了医疗卫生行业的安全解决方案：

1、区域边界的一体化防护：在安全域边界，如合作单位的接入区域，互联网接入边界部署天清汉马USG一体化安全网关。基于多核硬件架构的天清汉马USG一体化安全网关具有高性能、低延迟、高稳定性的特点，能够提供状态检测防火墙的所有功能，更具有网络入侵防御（默认超过2100条攻击特征库）功能和网络防病毒（默认超过15万条基础病毒库）功能，能够检测并阻断木马连接、蠕虫病毒、网络扫描等各种威胁，同时一体化的部署大大简化了管理员的配置和管理工作。

2、加强Web业务的保护：医院的门户网站和网上诊疗业务是典型的基于Web应用，面临的主要风险是来自互联网的SQL注入攻击、跨站脚本攻击等应用层攻击，这些攻击能够穿越防火墙对Web业务造成毁灭性的破坏。天清IPS是启明星辰完全自主研发的入侵防御类产品，该产品采用专利技术（VISD技术）实现基于入侵原理的攻击识别，可以精确识别SQL注入攻击并予以阻断，是目前最优秀的防SQL注入攻击产品。天清IPS还能够对目标网站进行安全检查，及时发现网页挂马以及Web程序漏洞，并通过电子邮件的方式来通知网站管理员。

3、分析核心网络入侵行为：在核心交换机的位置旁路部署天阗IDS，用来监视网络中的安全事件和流量变化情况，包括端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等各种入侵事件，以及P2P下载等流量信息。当检测到入侵和流量事件时，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。

4、安全审计消除业务风险：在HIS、PACS等核心业务系统之前部署天玥网络安全审计系统，对业务数据进行记录和审计。天玥网络安全审计采用旁路部署的形式，对医院的业务不会造成任何影响，仅需在交换机上作简单的配置即可实现对数据的采集和还原，在这种情况下无论是通过HIS系统访问数据库，还是通过客户端对数据库直接访问，特别是对数据库关键表（处方表、医师表）的联合查询都能够进行记录和审计。#p#

5、终端准入确保内网合规：在《医疗机构信息系统安全等级保护基本要求》中规定，系统应具备记录、允许或拒绝终端PC接入医院网络的能力，应对医院内接入信息系统的终端的设备接口（如光驱、软驱、USB口等）进行管理和控制。通过在医院的合法终端部署天珣终端安全产品既能够防止非法终端私自接入网络，又能够确保合法终端的安全状态都是合乎医院的管理规定的：比如必须安装杀毒软件、注册表状态正常、不能安装P2P应用程序、不能非法使用USB接口等。

6、定期的漏洞和脆弱性评估：在网络中部署天镜脆弱性扫描和风险评估系统，对网络主机、数据库和应用系统定期进行漏洞扫描，对发现的网络、系统安全漏洞进行及时的修补。应定期安装系统的最新补丁程序，并根据厂家提供的可能危害计算机的漏洞进行及时修补，并在安装系统补丁前对现有的重要文件进行备份。

在进行了上述的安全部署之后，医院已经建立起比较完善的信息安全防护体系，能够对内部、外部的安全风险进行控制和管理。在此基础之上，还可以考虑部署启明星辰的泰合信息安全运营中心进行全局的风险管理，将不同位置、不同资产（主机、网络设备和安全设备等）中分散且海量的安全信息进行范式化、汇总、过滤和关联分析，形成基于资产/域的统一等级的威胁与风险管理，并依托安全知识库和工作流程驱动对威胁与风险进行响应和处理，提供了网络架构的安全统一视点。

在进行了上述的安全部署之后，也有助于医院的信息系统通过等级保护的各级要求。等级保护的关键技术要求同安全措施的对应关系如下表所示：

【编辑推荐】

1. 对云计算的安全思考——启明星辰潘柱廷
2. 安全网关测评之启明星辰USG-600C
3. 绿色多核 启明星辰引领互联网万兆安全保障平台
4. 启明星辰中标电子发展基金项目