基于等級保護2.0標準體系醫(yī)院信息化安全建設探尋

摘要：本文以等級保護2.0標準體系為基礎，從技術層面探討醫(yī)院信息化安全建設。結合醫(yī)院信息化的特點，結合實施等級保護2.0試點的新要求，從內網(wǎng)保護、主機接入控制、數(shù)據(jù)備份等方面，系統(tǒng)地闡述了醫(yī)院內網(wǎng)保護建設的新特點。

關鍵詞：等級保護2.0;內外網(wǎng)防護;數(shù)據(jù)備份;準入控制

引言

為了貫徹國家信息安全等級保護制度，規(guī)范和指導全國衛(wèi)生行業(yè)信息安全等級保護工作，衛(wèi)生部辦公廳于2011年12月下發(fā)了衛(wèi)生部《關于衛(wèi)生行業(yè)信息安全等級保護工作的指導意見》，從物理安全、主機安全、應用安全、數(shù)據(jù)安全與備份恢復四個層面上融合，本文主要論述了目前系統(tǒng)現(xiàn)狀，并按照《信息安全技術信息系統(tǒng)安全等級保護基本要求》2.0版本和系統(tǒng)現(xiàn)狀進行了對比，分析了系統(tǒng)安全等級二級的要求，提出了解決方案。

1等級保護2.0概述

1.1什么是等級保護2.0網(wǎng)絡

安全等級保護制度是國家網(wǎng)絡安全領域的一項基本制度，它對提高國民經(jīng)濟和社會信息化進程中信息安全保障的能力和水平，維護國家網(wǎng)絡空間安全具有重要意義。網(wǎng)絡安全等級保護制度2.0國家標準于2019年5月10日發(fā)布，標志著我國網(wǎng)絡安全等級保護制度進入一個嶄新的階段。

1.2等級保護的定義

對國家安全、社會秩序、公共利益以及相關公民、法人和其他組織的合法權益的危害程度等因素，將網(wǎng)絡安全等級保護分為國家安全、社會秩序、公共利益以及相關公民、法人和其他組織的合法權益的危害程度，按照其重要性和危害程度，將其分為5個安全保護等級。

1.3等級保護2.0的變化

等保2.0強調“一個中心、三重防護”的理念，標準安全要求由基本要求變更為安全通用要求和安全擴展要求。標準體系名稱更名為《信息安全技術網(wǎng)絡安全等級保護基本要求》，與網(wǎng)絡安全法有關條文保持一致。《網(wǎng)絡安全法》明確規(guī)定網(wǎng)絡運營者應當按照網(wǎng)絡安全等級保護制度的要求，履行安全保護義務，法律地位明顯提升。等保2.0標準不再自主定級，系統(tǒng)定級必須經(jīng)過專家評審和主管部門審核。定級對象由原來的信息系統(tǒng)改為等級保護對象（云計算、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)、移動互聯(lián)等場景）。

1.4等級保護2.0的實施流程

定級——備案——建設整改——等級測評——監(jiān)督檢查。

2.等級保護2.0建設思想

在以“一個中心，三重防護”為思想的合規(guī)建設基礎上，同時貫徹“智能化、實戰(zhàn)化、持續(xù)化”的新安全理念，以攻促防，全面提升安全態(tài)勢感知能力、漏洞管理能力。建立常態(tài)化安全運營體系，不斷完善運營體系和網(wǎng)絡安全防御體系建設，實現(xiàn)網(wǎng)絡安全綜合防御能力的提升，建立可信、可控、可管的自適應閉環(huán)安全防護體系。

3等級保護2.0醫(yī)院信息化建設方案

3.1安全指標說明

以信息系統(tǒng)實施等級保護二級為例，根據(jù)技術5大類（物理安全、網(wǎng)絡安全、主機安全、應用安全和數(shù)據(jù)安全）和管理5大類（安全管理機構、安全管理制度、人員安全管理、系統(tǒng)建設管理、系統(tǒng)運維管理），共計有66個子類，175個檢項。

3.2方案框架

因為醫(yī)院作為一種比較特殊的行業(yè)服務機構，在我國因特網(wǎng)飛速發(fā)展、科技日新月異的時代背景下，醫(yī)院不僅要為相關人員提供特殊的信息服務，而且要面對自己的服務體系暴露和網(wǎng)絡安全的挑戰(zhàn)。一旦醫(yī)療機構的重要信息系統(tǒng)數(shù)據(jù)被泄露，將給整個社會帶來不良影響。為此，按照等級保護2.0的建設理念，明確本單位信息系統(tǒng)安全等級保護的相關制度，制定有效的等級保護相關對策，提高相應的等級保護能力成為當務之急。

根據(jù)本單位現(xiàn)有網(wǎng)絡架構情況及重要業(yè)務信息系統(tǒng)情況，形成以技術保障為基礎、以監(jiān)測預警為核心、以協(xié)同響應為目標的網(wǎng)絡安全縱深防御體系，將安全物理環(huán)境、“一個中心”管理下的安全通信網(wǎng)絡、安全區(qū)域邊界、安全計算環(huán)境、安全管理制度、安全管理機構、安全管理人員、安全建設管理、安全運維管理等各個層面的安全需求，全部轉化為可以實現(xiàn)的技術防護、安全管理措施、安全運營手段，構建可信、可控、可管的安全防護體系。積極進行本單位信息化建設，其投入水平將直接決定本單位未來幾年的信息化發(fā)展水平。相對于本單位現(xiàn)有網(wǎng)絡安全投入，信息化建設還有相當大的進步空間，從決策層到執(zhí)行層必須統(tǒng)一思想，加大投入力度，促進本單位信息化業(yè)務發(fā)展，從根本上減少重要業(yè)務信息系統(tǒng)發(fā)生問題的可能性。

3.3方案設計

3.3.1拓撲說明

此次網(wǎng)絡方案設計嚴格安全信息安全等級化保護二建設級標準設計，并滿足二級等級保護建設要求。網(wǎng)絡共分為兩套，外網(wǎng)一套內網(wǎng)一套，兩張網(wǎng)絡中間采用數(shù)據(jù)隔離網(wǎng)閘進行數(shù)據(jù)“擺渡”，既做到了兩網(wǎng)的安全隔離，又確保了內網(wǎng)與外網(wǎng)數(shù)據(jù)交互的問題。內網(wǎng)出口部署專用防火墻、入侵防御保障主干鏈路安全。外網(wǎng)部署上網(wǎng)行為保證上網(wǎng)安全。運維管理區(qū)部署日至審計、入侵檢測IDS、數(shù)據(jù)庫審計、終端殺毒、堡壘機、備份一體機、準入系統(tǒng)，保障內部醫(yī)療數(shù)據(jù)安全，并記錄分析、追溯。

（1）內網(wǎng)防火墻。采用防火墻技術，對網(wǎng)絡邊界進行邊界保護，可以對所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴格的安全規(guī)則進行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，防范各類攻擊行為，杜絕越權訪問，防止非法攻擊。通過合理布局，形成多級的縱深防御體系。（2）外網(wǎng)上網(wǎng)行為管理。基于互聯(lián)網(wǎng)的應用從最初的文件共享、文件傳輸（FTP）、靜態(tài)網(wǎng)頁瀏覽（HT-ML）等內容單一、靜態(tài)的、簡單應用，逐步發(fā)展為包括E-Mail、ERP、OA、CRM、新聞信息、文件共享、視頻會議、VoP、即時通訊、網(wǎng)絡游戲、電子商務、電子政務等等在內的動態(tài)的、復雜應用。網(wǎng)絡承載的內容日益豐富，變得更加復雜、多樣化。當今，互聯(lián)網(wǎng)進入了應用級網(wǎng)絡時代，逐步成為一個虛擬的真實社會。P2P傳輸、網(wǎng)絡電視、網(wǎng)絡游戲、在線聊天、Web視頻、股票軟件、網(wǎng)上銀行、數(shù)據(jù)庫、物流供應鏈、各種論壇以及大量未知的內容和信息紛紛涌進網(wǎng)絡。（3）內網(wǎng)入侵防御系統(tǒng)。串聯(lián)部署IPS入侵防御系統(tǒng)，通過IPS入侵特征庫對流經(jīng)服務器的所有請求流量進行過濾查殺。在此基礎上增加安全審計產品可以更好的對入侵和安全事件進行關聯(lián)和管理，并采取短信、郵件等形式的提供告警，實現(xiàn)及時、準確的入侵告警提醒。（4）數(shù)據(jù)庫審計系統(tǒng)。數(shù)據(jù)庫審計系統(tǒng)通過細粒度的數(shù)據(jù)庫行為審計和SOL注入、XSS攻擊防護，幫助用戶有效監(jiān)控數(shù)據(jù)庫相關訪問行為，防止敏感信息外泄。實時記錄、分析數(shù)據(jù)庫訪問行為，及時發(fā)現(xiàn)安全事件并實時記錄、告警、定位，方便管理員在安全事件發(fā)生后第一時間采取管控措施，加快對安全事件的響應速度，做到有效及時的防范安全風險。（5）入侵檢測系統(tǒng)。入侵檢測技術（IDS）其設計宗旨是預先對入侵活動和攻擊性網(wǎng)絡流量進行發(fā)現(xiàn)，通過監(jiān)視網(wǎng)絡或系統(tǒng)資源，避免其造成損失尋找違反安全策略的行為或攻擊跡象，并發(fā)出報警，可與防火墻互補聯(lián)動，實現(xiàn)對攻擊的檢測與防御，構筑有效的安全防護鏈。

3.3.2主機安全準入控制系統(tǒng)

入網(wǎng)規(guī)范管理系統(tǒng)是基于第三代準入控制技術基礎的，面向下一代準入控制（NG?NAC）的，純硬件高性能網(wǎng)絡準入控制設備。網(wǎng)規(guī)范管理系統(tǒng)主要從終端、網(wǎng)絡、人員、管理4個維度，對網(wǎng)絡使用、安全、管理中的各種元素進行全面的管控。第一，對網(wǎng)絡中的終端進行終端授權管理;第二，基于網(wǎng)絡層面對接入網(wǎng)絡的各種設備進行設備定位透視、網(wǎng)絡拓撲結構透視;第三，提供各種靈活的人員認證機制;第四，通過報表輸出外部接口提供方便的管理手段。數(shù)據(jù)安全體系建立：備份存儲一體機具有最廣泛的備份功能，支持多種數(shù)據(jù)類型的備份，如數(shù)據(jù)庫備份、文件備份、應用備份、操作系統(tǒng)備份等，涵蓋從Windows、Linux到Unix操作系統(tǒng)平臺，備份的數(shù)據(jù)可以通過多種方式進行存儲，它利用成熟結構來完成對數(shù)據(jù)的存儲備份。

4.結論

等級保護2.0標準的發(fā)布，為信息安全建設提出了更高的要求，防御理念由被動轉變?yōu)橹鲃?，防御手段融合了更多的新興技術，如態(tài)勢感知，可信計算，此外從安全管理上也提出了更多的要求。本方案以等級保護2.0標準為基礎，構建了完備的安全管理體系和技術體系，從“機構’、“制度”和“人員”三方面全面提升，完全滿足網(wǎng)絡安全法和等級保護2.0體系標準要求。

參考文獻：

[1]肖勇.中醫(yī)藥項目預算監(jiān)控平臺信息安全等級保護實踐[J].醫(yī)學信息雜志，2014.09.

[2]劉署生.淺談信息安全風險評估與風險分析方法的應用[J].網(wǎng)絡空間安全，2017，z2.

作者簡介：余雪梅（1982.01）女，壯族，廣西南寧市人，本科，網(wǎng)絡工程師，主要從事醫(yī)院信息安全管理工作。