某市医院三级等保建设方案.docx

《某市医院三级等保建设方案.docx》由会员分享，可在线阅读，更多相关《某市医院三级等保建设方案.docx（50页珍藏版）》请在装配图网上搜索。

1、某市三院医疗信息系统安全三级等保建设方案2012-09-25目录1 、某市三院医疗信息系统现状分析41.1拓扑图41.2网站/BS应用现状41.3漏洞扫描51.4边界入侵保护51.5安全配置加固51.6密码账号统一管理61.7数据库审计、行为审计61.8上网行为管理62 、某市三院医疗信息系统潜在风险62.1黑客入侵造成的破坏和数据泄露62.2医疗信息系统漏洞问题72.3数据库安全审计问题82.4平台系统安全配置问题82.5平台虚拟化、云化带来的新威胁93、某市三院医疗信息系统安全需求分析103.1医疗信息系统建设安全要求103.2医疗等级保护要求分析113.3系统安全分层需求分析163.4虚

2、拟化、云计算带来的安全问题分析224、医疗信息系统安全保障体系设计254.1安全策略设计254.2安全设计原则264.3等级保护模型274.4系统建设依据284.5遵循的标准和规范295、安全管理体系方案设计295.1组织体系建设建议295.2管理体系建设建议306、安全服务体系方案设计326.1预警通告326.2技术风险评估326.3新上线系统评估336.4渗透测试336.5安全加固336.6虚拟化安全加固服务346.7应急响应357、安全技术体系方案设计357.1物理层安全357.2网络层安全367.3主机层安全407.4应用层安全437.5数据层安全467.6虚拟化、云计算安全解决方案4

3、88、平台安全建设方案小结498.1安全产品汇总508.2产品及服务选型531 、某市三院医疗信息系统现状分析1.1系统现状 某市第三人民医院（以下简称某三院）作为三级甲等医院，已经建成全院网络覆盖，医院内网已覆盖行政楼、老病房1/2F、门诊一期、门诊二期以及门诊一期中心机房，医院外网与新农合、市社保机构互联。医院内网采用“核心-接入”二层交换架构，行政楼、病房、门诊通过接入交换机连接至中心机房核心交换机。HIS、LIS系统作为三院核心业务系统直接部署在中心机房，系统服务器直接挂载在中心机房核心交换机上。近期三院将在中心机房区域部署一套电子病历系统已完善三院医疗信息系统。在出口方向，医院有两条

4、出口与外网互联，一条通过防火墙完成与新农合、市医保机构的互联，另一条通过ISA服务器接入互联网。2 、某市三院医疗信息系统潜在风险2.1黑客入侵造成的破坏和数据泄露随着医疗信息化的普及，个人信息逐渐以电子健康档案、电子病历和电子处方为载体，其中包括了个人在疾病控制、体检、诊断、治疗、医学研究过程中涉及到的肌体特征、健康状况、遗传基因、病史病历等个人信息。其中个人医疗健康信息的秘密处于隐私权的核心部位，而保障病人的隐私安全是医院和医护人员的职责。某市三院医疗信息系统某市三院中心机房汇集了大量的病人隐私信息，而这些数据在传输过程中极易被窃取或监听。同时基于电子健康档案和电子病历大量集中存储的情况，

5、一旦系统被黑客控制，可能导致病人隐私外泄，数据恶意删除和恶意修改等严重后果。病人隐私信息外泄将会给公民的生活、工作以及精神方面带来很大的负面影响和损失，同时给平台所辖区域造成不良社会影响，严重损害机构的公共形象，甚至可能引发法律纠纷。而数据的恶意删除和篡改会导致电子健康档案和电子病历的丢失以及病人信息的错误，给医护人员的工作造成影响，甚至可能引发医疗事故。另一方面，随着便携式数据处理和存储设备的广泛应用，由于设备丢失而导致的数据泄漏威胁也越来越严重。因此电子健康档案和电子病历数据作为卫生平台某市三院中心机房的重要资产，必须采取有效措施以防止物理上的丢失和黑客监听、入侵行为造成的破坏，保证数据的

6、保密性，安全性和可用性。2.2医疗信息系统漏洞问题自计算机技术的出现以来，由于技术发展局限、编码错误等种种原因，漏洞无处不在并且已成为直接或间接威胁系统和应用程序的脆弱点。操作系统和应用程序漏洞能够直接威胁数据的完整性和机密性，流行蠕虫的传播通常也依赖与严重的安全漏洞，黑客的主动攻击也往往离不开对漏洞的利用。事实证明，99%以上攻击都是利用已公布并有修补措施但用户未修补的漏洞。某市三院医疗信息系统某市三院中心机房建设涉及到大量的网络设备，服务器，存储设备，主机等，其中不可避免地存在着可被攻击者利用的安全弱点和漏洞，主要表现在操作系统、网络服务、TCP/IP协议、应用程序（如数据库、浏览器等）、

7、网络设备等几个方面。正是这些弱点给蓄意或无意的攻击者以可乘之机，一旦系统的漏洞利用成功，势必影响到系统的稳定、可靠运行，更严重的导致系统瘫痪和数据丢失，从而影响平台的公众形象。因此能够及时的发现和修补漏洞对于平台某市三院中心机房网络安全有着重要意义。另一方面，基于某市三院中心机房设备、系统、应用量大的情况，通过人工进行漏洞发现和修补非常耗费人力和时间，因此有必要借助漏洞扫描设备和补丁服务器机制来实现自动化的漏洞扫描和补丁下发。2.3数据库安全审计问题医疗行业信息化建设在带来各种便捷的同时也引入了新的隐患。随着病人信息和药品信息的数据化，加之内部安全管理制度不够完善，医疗机构内部运维人员可以借助

8、自身职权，利用数据库操作窃取药品统方信息，修改药品库存数据，修改医保报销项目等，来牟取个人私利。其中药品统方行为是医疗行业高度重视的问题，其背后涉及的药品和医用耗材灰色交易严重扰乱医疗行业秩序，败坏医德医风，影响医院的公众形象，是医疗机构必须坚决制止和查处的行为。其次修改药品库存信息和修改医保报销项目等行为也会给医疗机构和社会造成损失。某市三院医疗信息系统某市三院中心机房汇集的两大应用系统（HIS、LIS）和即将建设的电子病历数据库涉及医疗行业的各方面信息，内部人员的违规操作可能造成严重的社会影响和给医疗机构造成重大损失。因此有必要通过有效手段对数据库的各种操作进行审计，准确记录各种操作的源、

9、目的、时间、结果等，及时发现各种业务上的违规操作并进行告警和记录，同时提供详细的审计记录以便事后进行追查。2.4平台系统安全配置问题随着公共卫生，医疗服务，医疗监管，综合管理，新农合五大业务的应用系统不断发展，医疗信息系统应用不断增加，网络规模日益扩大，其管理、业务支撑系统的网络结构也变得越来越复杂，各项系统的使用和配置也变得十分复杂，维护和检查成为一项繁重的工作。在医疗行业里，随着各类通信和IT设备采用通用操作系统、通用数据库，及各类设备间越来越多的使用IP协议进行通信，其配置安全问题更为凸出。在黑客攻击行为中，利用系统缺省、未修改的安全配置攻入系统已屡见不鲜，因此，加强对网元配置的安全防护

10、成为重点。其中，重要应用和服务器的数量及种类日益增多，一旦发生维护人员误操作，或者采用一成不变的初始系统设置而忽略了对于安全控制的要求，就可能会极大的影响系统的正常运转。另外，为了维持整个业务系统生命周期信息安全，必须从入网测试、工程验收和运行维护等阶段，设备全生命周期各个阶段加强和落实信息安全要求，也需要有一种方式进行风险的控制和管理。3、某市三院医疗信息系统安全需求分析3.1医疗信息系统建设安全要求基于医疗信息系统信息平台的可靠安全的运行不仅关系到某市三院中心机房本身的运行，还关系其他业务部门相关系统的运行，因此它的网络，主机，存储备份设备，系统软件，应用软件等部分应该具有极高的可靠性；同

11、时为保守企业和用户秘密，维护企业和用户的合法权益，某市三院中心机房应具备良好的安全策略，安全手段，安全环境及安全管理措施。众所周知，信息系统完整的安全体系包括以下四个层次，最底层的是物理级安全，其包括计算机安全，硬件安全等,其次是网络级安全，主要包括链路冗余，防火墙等等，再次是系统级安全包括数据灾备，病毒防范等，最后是应用级安全包括统一身份认证，统一权限管理等，而贯穿整个体系的是安全管理制度和安全标准，以实现非法用户进不来，无权用户看不到，重要内容改不了，数据操作赖不掉。整个平台的安全体系如下图：平台安全体系结构图3.2医疗等级保护要求分析医疗机构作为涉及国计民生的重要组成部分，其安全保障事关

12、社会稳定，有必要按照国家信息安全等级保护要求，全面实施信息安全等级保护。卫生信息平台的核心数据区、应用服务区及系统运维参照公安部、国家保密局、国家密码管理局、国务院信息化办公室联合印发的信息安全等级保护管理办法（公通字200743号）的要求，数据交换服务区参照二级信息安全等级保护要求建设、核心部分参照三级信息安全等级保护要求建设。信息系统名称安全保护等级业务信息安全等级系统服务安全等级某市第三人民医院医疗信息系统3333.2.2等级保护技术要求类别要求三级等保要求解决方案网络安全结构安全网络设备处理能管理和网络带宽冗余；网络拓扑图绘制；子网划分和地址分配；终端和服务器之间建立安全访问路径；边界

13、和重要网段之间隔离；网络拥堵时对重要主机优先保护；根据高峰业务流量选择高端设备，核心交换接入设备采用双机冗余；合理划分子网、VLAN、安全域，网络设备带宽优先级规划。访问控制部署访问控制设备，启用访问控制功能；根据会话状态提供允许/拒绝访问能力，控制粒度为端口级；按访问控制规则进行资源访问控制，粒度到单个用户；限制拨号访问用户数量；网络信息内容过滤，应用层协议命令级控制；会话终止；网络流量数和连接数控制；重要网段防地址欺骗网络边界部署防火墙，制定相应ACL策略安全审计网络设备状况、网络流量、用户行为日志记录；数据分析和报表生成；审计记录保护部署网络安全审计系统边界完整性检查安全准入控制和非法外

14、联监控并进行有效阻断部署终端安全管理系统入侵防范攻击行为检测；攻击日志记录和告警部署入侵检测系统恶意代码防范网络边界病毒查杀；病毒库升级部署入侵保护系统网络设备防护身份鉴别；管理员登陆地址限制；用户标识唯一；登陆失败处理；鉴别信息加密；身份鉴别采用2种或以上鉴别技术；特权权限分离部署等级保护安全配置核查系统主机安全身份鉴别操作系统和数据库用户身份鉴别；登录失败处理；鉴别信息传输加密；用户唯一性；身份鉴别采用2种或以上鉴别技术部署等级保护安全配置核查系统访问控制启用访问控制功能；操作系统和数据库特权用户权限分离；默认账户配置修改；多余过期用户删除；角色权限分配，权限分离和最小权限原则；重要信息敏

15、感标记；强制访问控制部署堡垒机安全审计记录服务器和重要客户端的系统用户和数据库用户的重要安全相关行为、事件；审计记录保护；审计报表生成；审计进程保护部署堡垒机剩余信息保护鉴别信息再分配前清除，系统文件、目录、数据库记录再分配前清除操作系统及数据库加固入侵防范操作系统最小安装原则，定期升级；检测对重要服务器的入侵行为；重要程序完整性检测和破坏后的恢复。部署网络入侵检测系统、终端管理软件，漏洞扫描恶意代码防范安装防恶意代码软件，定期升级；恶意代码软件统一管理；主机和网络防恶意代码软件品牌异构部署终端杀毒软件资源控制终端登录控制；终端超时锁定；单个用户资源限制安全加固应用安全身份鉴别启用身份鉴别机制

16、；登录失败处理；身份鉴别采用2种或以上鉴别技术部署CA认证系统访问控制启用访问控制机制，控制用户对文件、数据库表等的访问；启用访问控制策略；账户最小权限原则和权限制约；重要信息敏感标记；重要信息强制访问控制部署CA认证系统安全审计启用安全审计机制，审计每个用户、系统重要安全事件；审计报表生成部署应用防护系统剩余信息保护鉴别信息再分配前清除，系统文件、目录、数据库记录再分配前清除操作系统及数据库加固通信完整性应采用密码技术保障信息过程中数据完整性部署PKI体系通信保密性会话初始化验证，通信过程整个报文或会话过程加密部署PKI体系抗抵赖提供数据原发或接收证据部署PKI体系软件容错数据校验功能，故障

17、时能继续提供一部分功能代码审核资源控制会话超时自动结束，限制最大并发连接数，单个账户多重会话限制安全加固数据安全与备份恢复数据完整性能检测到系统管理数据、鉴别信息和业务数据在传输和存储过程中受到的破坏，并采取恢复措施VPN加密，数据库访问控制数据保密性采用加密或其他措施实现系统管理数据、鉴别信息、重要业务数据传输存储过程保密信息加密备份与恢复重要信息备份恢复，关键网络设备、线路、数据硬件冗余重要信息定期备份，设备冗余3.3系统安全分层需求分析根据基于健康档案的区域卫生信息平台建设指南中的安全要求部分，并参照等级保护三级的技术要求，通过风险分析及信息安全建设情况调研，确认以下安全需求：3.3.1

18、物理层安全需求某市三院中心机房是整个三级医疗信息系统平台的关键节点，是系统运行的基础，因此必须保证物理环境的安全，主要包括以下几个方面：信息基础设备应安置在专用的机房，具有良好的电磁兼容工作环境，包括防磁、防尘、防水、防火、防静电、防雷保护，抑制和防止电磁泄漏；机房环境应达到国家相关标准；关键设备应有冗余后备系统；具有足够容量的UPS后备电源；电源要有良好的接地。3.3.2网络层安全需求结构安全： 应保证网络各个部分的带宽满足业务高峰期需要； 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； 应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技

19、术隔离手段； 应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。访问控制： 应在网络边界部署访问控制设备，启用访问控制功能； 重要网段应采取技术手段防止地址欺骗； 应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户； 应限制具有拨号访问权限的用户数量。安全审计： 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录，并生成审计报表； 应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。边界完整性检查： 应能够对非授权设备私自联到业务网络的行为进行检查，准确定出位置，并对其进行有效阻断； 应

20、能够对业务网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。入侵防范： 应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等； 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。恶意代码防范： 应在网络边界处对恶意代码进行检测和清除； 应维护恶意代码库的升级和检测系统的更新。网络设备防护： 应对网络设备的管理员登录地址进行限制； 身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换； 应具有登录失败处理功能，可采取结束会话、限制非法登录次数

21、和当网络登录连接超时自动退出等措施； 当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听； 应实现设备特权用户的权限分离。3.3.3主机层安全需求身份鉴别： 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换； 应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； 当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听； 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。访问控制： 应启用访问控制功能，依据安全策略控制用户对资源的访问； 应根据管理用户的角色分配权限，实现管理用户

22、的权限分离，仅授予管理用户所需的最小权限； 应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令，及时删除多余的、过期的帐户，避免共享帐户的存在。 应对重要信息资源设置敏感标记； 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。安全审计： 应实现主机系统的安全审计，审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户； 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件； 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； 应能够根据记录数据进行分析，并生成审计报表； 应保护审计进程，避免受到

23、未预期的中断； 应保护审计记录，避免受到未预期的删除、修改或覆盖等。剩余信息保护： 应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中； 应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。入侵防范： 应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警； 应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施； 操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序

24、，并通过设置升级服务器等方式保持系统补丁及时得到更新。资源控制： 应根据安全策略设置登录终端的操作超时锁定； 应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况； 应限制单个用户对系统资源的最大或最小使用限度； 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。3.3.4应用层安全需求（说明：此部分内容需要在应用系统开发与维护过程中予以实现。）身份鉴别： 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别； 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用； 应提供登录失败处理功能，可

25、采取结束会话、限制非法登录次数和自动退出等措施； 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。访问控制： 应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限； 应具有对重要信息资源设置敏感标记的功能； 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。安全审计： 应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计； 应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录； 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等； 应提供对审计记录数据进行统计、查询、分析及

26、生成审计报表的功能。剩余信息保护： 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中； 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。通信完整性： 应采用密码技术保证通信过程中数据的完整性。通信保密性： 在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证； 应对通信过程中的整个报文或会话过程进行加密。抗抵赖： 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能； 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。软件容错： 应提供数据有效性检

27、验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求； 应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。资源控制： 当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话； 应能够对系统的最大并发会话连接数进行限制； 应能够对单个帐户的多重并发会话进行限制； 应能够对一个时间段内可能的并发会话连接数进行限制； 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额； 应能够对系统服务水平降低到预先规定的最小值进行检测和报警； 应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，

28、根据优先级分配系统资源。3.3.5数据及备份安全需求数据完整性： 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施； 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。数据保密性： 应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性； 应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。备份和恢复： 应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放； 应提供异地数据备份功能，利用通信网络将

29、关键数据定时批量传送至备用场地； 应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障； 应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。3.4虚拟化、云计算带来的安全问题分析为了区域卫生平台云计算应用的健康发展，就不能忽视对云计算面临的各类安全威胁的研究和分析，从而制定和建立相应的政策、技术体系，应对即将到来的云浪潮。 3.4.1法规遵从 在不同的国家和地区、企业或个人的信息需要符合该国家和地区规定的法规，但在云计算环境下，用户可能根本无法知道其数据存储位置，更不用说哪个国家或地区了。目前国家层面、行业层面对各类合规性要求，这些合规性要求IT部门必须全面控制关键

30、信息的自主可控性，而云计算依赖虚拟化技术提供服务，数据可能会在某市三院中心机房和物理主机之间移动，以确保负载均衡，如果合规要求必须找出数据的精确位置实现可控目标时，公共云的应用是一个值得考虑的问题。而且所有数据放在公共云上，并且使用共享资源，就很难证明遵从了法规的要求，云平台的安全等级建设是否符合所服务业务和数据的安全等级要求也是要考虑的问题。3.4.2核心技术国产化问题面对云计算，我们必须认识到：在我国建设云计算平台，并不能保证我们就能够控制云平台中的信息资源，也不能保证我们就是唯一的控制者。由于很多技术仍然控制在国外企业手中，大规模的云计算平台可能增加了国外控制中国的手段，一些通过购买获得

31、的自主知识产权而不加以认真研究的所谓自主产品，更在很大程度麻痹了国人，这种自主知识产权的本质就是买下了推广他人产品的权利。应该针对云计算所带来的新的安全需求进行技术研究和开发，预见到未来的技术发展方向，积极探索新形势下可能出现的信息安全新问题，在部分领域推出有自己特色的云计算平台和云安全服务平台，满足国内信息服务对云计算的应用需求和安全需求，实现对整个链条的控制和管理。3.4.3大量迅猛涌现的Web安全漏洞 在云计算安全梯上仅采用传统的网络安全技术是远远不够的。云计算的安全问题还必须考虑比网络安全更为复杂的问题，比如应用层面安全。云计算服务推动了Internet的Web化趋势。与传统的操作系统

32、、数据库、C/S系统的安全漏洞相比，多客户、虚拟化、动态、业务逻辑服务复杂、用户参与等这些Web2.0和云服务的特点对网络安全来说意味着巨大的挑战，甚至是灾难。 3.4.4拒绝服务攻击 服务和数据的随时可用性本身不仅是一项非常重要的安全指标，而且其质量的保证在一个存在恶意攻击的环境里会造成其实施复杂度大大增加。如何防止以破坏正常应用的DDOS攻击是一个很大的挑战。由于云平台的大规模与高性能，一旦遭受DDOS（抗拒绝服务攻击），云平台服务商是否有能力提供应对的技术手段，使正常的应用不受影响，是评价一个云计算服务提供商重要指标。拒绝服务攻击DoS和DDoS不是云服务所特有的。但是，在云服务的技术环

33、境中，企业中的关键核心数据、服务离开了企业网，迁移到了云服务中心。更多的应用和集成业务开始依靠互联网。拒绝服务带来的后果和破坏将会明显地超过传统的企业网环境。 3.4.5内部的数据泄漏和滥用 相对而言，安装在现有内部环境中的应用更易于检查，而且我们也拥有了完善的检查技术，然而，对安装在外部的云计算应用如果没有妥善的保护，这些数据可能从外部云计算被非法泄露，而且对其进行检查的难度非常大。当用户的敏感数据在云端处理的时候，企业的重要数据和业务应用处于云服务提供商的IT系统中，用户无法对风险进行直接的控制，数据的拥有者不能控制，甚至不知道数据的存储位置，计算任务可能在多台机器上运行，可能会在多个储存

34、网络备份，也可能会在您不知情时导出。在多用户环境中，云服务提供商很难提供与单独客户环境相同的资源隔离等级和相关保障，该数据甚至可能与竞争对手的应用和数据保存在相同的资源上，如何保证云服务商自身内部的安全管理和职责分离体系、审计保障等？如何避免云计算环境中多客户共存带来的潜在风险？这些都成为云计算环境下用户的最严肃的安全顾虑或挑战之一。 3.4.6身份管理（身份鉴定、授权和审计）原先为了安全放在防火墙内的数据，现在放在了外部云计算环境中，可以使用简单的用户名/密码进行鉴定，访问单位付费的计算资源，对穿插于各种服务中的用户账号的提供及取消。如何在多项服务中应用角色/策略的管理、多个身份有效管理、身

35、份鉴定均面临着很大的安全挑战。 对员工、客户、参与者和工作负载的身份鉴定、授权和审计是云计算安全性的未来方向。3.4.7不同云之间的互联互通（可移植性）最为云计算平台用户关注的是，应当能够无障、安全、合乎规则地获得完成其工作所需的所有计算服务，云计算应当保障平台的安全、合规和可移植性。但目前云计算厂商各自未战，尚未在业界形成一个统一的标准化体系，无论是云平台还是云服务的统一标准都没有形成，这就给云计算产业的发展带来了瓶颈，各个企业为了自己的云服务发展推出各自的平台和服务标准，使得众多云平台和用户的利益和长远发展得不到保证，更极大地阻碍着云计算通用性和替代性以及软件的适合性和继承性的发展。为争取

36、国际竞争地位，我国应尽快建立云计算行业标准化组织，积极参与国际标准化组织的活动，推进云计算国际标准化工作。3.4.8潜在的合同纠纷和法律诉讼 云服务合同、服务商的SLA和IT流程、安全策略、事件处理和分析等都可能存在不完善。虚拟化带来的物理位置不确定性和国际相关法律法规的复杂性都使得潜在的合同纠纷和法律诉讼成为成功利用云服务的重大威胁。如果云计算提供商违反了合同，并且涉及到安全问题，应该负多大程度的法律责任，造成的损失又如何评估，这些问题在法律和政策领域都还有待解答。4、医疗信息系统安全保障体系设计4.1安全策略设计为应对上述所面临的威胁和风险，实现某市三院医疗信息系统的安全建设目标，安全建设

37、应遵循以下总体安全策略和基本安全策略：总体安全目标：l 遵循国家相关政策、法规和标准；l 贯彻等级保护原则，特别是对不同类别关键业务的单独保护。l 一手抓技术、一手抓管理；管理与技术并重，互为支撑，互为补充，相互协同，形成有效的综合预防、追查及应急响应的安全保障体系。总体安全策略：l 物理安全策略在现有物理安全措施基础上，从环境、设备、介质、配电的故障切换、冗余等方面，完善物理安全保障措施，保障某市三院医疗信息系统免受因上述内容破坏造成的服务停止或数据损失。 l 网络安全策略明确等级保护措施；合理划分安全域，确定各安全域的物理边界和逻辑边界，明确不同安全域之间的信任关系。在安全域的网络边界建立

38、有效的访问控制措施。通过安全区域最大限度的实施数据源隐藏，结构化和纵深化区域防御防止和抵御各种网络攻击，保证某市三院医疗信息系统各个网络系统的持续、稳定、可靠运行。l 系统安全策略对操作系统、数据库及服务系统进行漏洞修补和安全加固，对关键业务的服务器建立严格的审核机制。最大限度解决由操作系统、数据库系统、服务系统、网络协议漏洞带来的安全问题，解决黑客入侵、非法访问、系统缺陷、病毒等安全隐患。 l 应用安全策略针对某市三院医疗业务系统的安全需求特点，解决服务发布内容更新和审核等方面的权限控制、信息保密、数据完整性、责任认定、不可否认性等几个方面建立相应措施。 l 安全管理策略针对某市三院医疗信息

39、系统安全管理需求，在安全管理上需要在完善人员管理、资产管理、站点维护管理、灾难管理、应急响应、安全服务、人才管理等方面机制、制度的同时，与管理技术紧密结合，形成一套比较完备的某市三院医疗信息系统安全管理保障体系。4.2安全设计原则由于本方案内容涉及很多方面，因此进行分析时要本着多层面、多角度的原则，从理论到实际，从软件到硬件，从组件到人员，制定详细的实施方案和安全策略，避免遗漏。为确保本方案能够在后期顺利的推广和执行，绿盟科技将遵循以下原则：合规性原则安全体系的建立必须遵循相关法规，不能与现行法规和标准产生任何冲突。重点遵循的标准有：l 信息安全技术信息系统安全等级保护基本要求l 卫生部基于健

40、康档案的区域卫生信息平台建设指南实用性原则系统安全设计必须与某市三院医疗现实需求相一致，其采取的安全措施必须针对突出的、亟待解决的安全问题。整体性原则安全产品必须能相互配套，并与现有网络与应用软件兼容，从而组成一个完整的信息系统。可靠性和安全性原则系统设计要具备较高可靠性和安全性，保证安全措施尽可能小地影响某市三院医疗内部业务系统。高扩展性原则系统设计所选择的软硬件产品应具有一定的通用性，采用标准的技术、结构、系统组件和用户接口，支持所有流行的网络标准及协议，便于今后网络规模和业务的扩展。先进性原则安全技术应具有一定的先进性、前瞻性，以实现整个安全保障体系的相对稳定性。可管理性原则保证整个信息

41、系统应具备较高的资源利用率并便于管理和维护。4.3等级保护模型为了提升网络安全系统的防护能力，某市三院医疗网络安全系统在建设过程中充分考虑到整个系统的安全性，将在本期建设中从信息安全管理体系、信息安全服务体系、信息安全技术体系三个方面着手建立统一的安全保障体系，力保网络信息安全。在整个系统的安全规划和建设过程中，在等级保护的指导下，要求以P2DR的安全保障模型为基本建设思路，安全体系将按照事前防护、事中检测、事后审计的策略来建设。结合安全管理、安全产品及安全服务等多个层次，保障某市三院医疗的信息系统的安全。图 1.1 P2DR的安全保障模型图安全措施的实施不是一个静态的过程，它是变化的，经过一

42、次安全策略的实施后，网络的安全风险和相关的安全漏洞会降低，在一定时期内，网络的安全问题不再很突出，但是，随着网络应用和网络系统的扩展和丰富，相关系统的安全问题又会增加，而且，黑客攻击手段的变化，更增加了网络的安全威胁。这时候，就需要对网络资产和风险进行评估，实施相应的安全策略，因此，本期网络安全保障系统的建设也是一个循序渐进的过程，要求在整体的安全策略的控制和指导下，综合利用安全防护、检测、响应以及其他辅助措施组成了一个完整的、动态的安全循环，在安全策略的指导下保证信息系统的安全。4.4系统建设依据l 党中央、国务院关于深化医药卫生体制改革的意见；l 国务院医药卫生体制改革近期重点实施方案（2

43、0092011年）；l 国家卫生部等5部委发布的关于公立医院改革试点的指导意见；l 卫生部电子病历基本架构与数据标准（试行）；l 卫生部健康档案基本架构与数据标准（试行）；l 卫生部基于健康档案的区域卫生信息平台建设指南；l 卫生部基于健康档案的区域卫生信息平台建设技术解决方案（试行）；l 卫生部办公厅关于印发2010年基于电子健康档案、电子病历、门诊统筹管理的基层医疗卫生信息系统试点项目管理方案的通知；l 2010年基于电子健康档案、电子病历、门诊统筹管理的基层医疗卫生信息系统试点项目技术方案等。4.5遵循的标准和规范l 国家信息化领导小组关于加强信息安全保障工作的意见（27号文）l 公通字

44、200743号信息安全等级保护管理办法l 信息安全技术信息系统安全等级保护基本要求l 信息安全技术信息安全等级保护定级指南l 信息安全技术信息系统安全等级保护实施指南l GB/T 9387.2-1995 开放系统互连 基本参考模型第2部分：安全体系结构l RFC 1825TCP/IP安全体系结构l ISO 10181:1996信息技术 开放系统互连开放系统安全框架l GB/T 18237-2000信息技术 开放系统互连通用高层安全l AS/NZS 4360: 1999 风险管理标准l GAO/AIMD-00-33信息安全风险评估l IATF信息保障技术框架5、安全管理体系方案设计根据对某市三院

45、医疗系统的安全需求分析，下面针对某市三院医疗信息系统的组织和管理体系的安全问题提出信息安全管理建议方案。5.1组织体系建设建议5.1.1安全组织建设某市三院医疗信息系统的组织体系应实行“统一组织、分散管理”的方式，在平台内建立一个独立的信息安全部门或以信息中心作为某市三院医疗的信息安全管理机构，负责整个平台范围的信息安全管理和维护工作。这样在区域平台范围内形成信息安全管理的专一工作，从而各级信息技术部门也因此会很好配合安全推行工作。5.1.2安全岗位建设安全岗位是某市三院医疗信息系统安全管理机构根据系统安全需要设定的负责某一个或某几个安全事务的职位，岗位在系统内部可以是具有垂直领导关系的若干层

46、次的一个序列，一个人可以负责一个或几个安全岗位，但一个人不得同时兼任安全岗位所对应的系统管理员或具体业务岗位。因此岗位并不是一个机构，它由管理机构设定，由人事机构管理。5.1.3人员安全培训安全培训是确保信息系统安全的前提。某市三院医疗信息安全培训的内容应包括：法律法规培训、内部制度培训、岗位操作培训、普遍安全意识和与岗位相关的重点安全意识相结合的培训、业务素质与技能技巧培训等。培训的对象应包括信息系统有关的所有人员（不仅仅是从事安全管理和业务的人员），以提高他们的安全意识和安全技术水平。5.2管理体系建设建议除了在某市三院医疗信息系统功能上增加安全技术手段外，安全管理是必要的安全保障条件。安

47、全管理建设强调通过管理手段实现管理方式的安全保护，主要内容包括安全制度管理、资产安全管理、物理安全管理、技术安全管理和安全风险管理五个部分。对这些方面要求的有效执行，可以对上面所有的风险进行影响，包括减小、转移甚至避免某些风险。5.2.1安全制度管理安全管理制度是信息系统内部依据某市三院医疗信息系统必要的安全需求制定的一系列内部规章制度，主要内容包括：安全管理和执行机构的行为规范、岗位设定及其操作规范、岗位人员的素质要求及其行为规范等。安全制度管理是法律管理的形式化、具体化、法规与管理的接口，是信息安全得以实现的重要保证。5.2.2资产安全管理资产是构成某市三院医疗信息系统的基本要素，它的安全

48、是整个信息系统安全的直接原因，所有的安全技术和安全管理措施都是围绕着资产的安全为中心的。资产的安全管理的内容包括信息系统设备的安全、软件的安全、数据的安全和文档的安全。5.2.3物理安全管理物理安全管理是保护某市三院医疗信息系统网络设备、设施以及其它媒介免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括机房安全管理、环境安全管理和物理控制管理等方面内容。5.2.4技术安全管理建设某市三院医疗技术安全管理的目标是通过各种管理措施实现对网络、系统、应用生命周期的过程管理，做到如下两个方面：有效的利用已有的安全技术和专用的安全产品；使用现有网络设备、主

49、机和应用自身的安全特性进行日常的安全管理。5.2.5安全风险管理风险管理是安全管理体系中相当重要的一个部分，只有通过有效的风险管理，才能持续性的发现安全问题并能进行预防性的保护。缺乏安全风险管理机制的组织，经常会遇到发生安全问题以后才进行弥补的情况。根据国际信息安全标准的要求，风险管理需要对资产、威胁和脆弱性的状况进行管理。风险管理对于如何提供安全性，在那些方面提供安全性以及所应采取的安全控制的类型和力度等方面都有着重要意义。6、安全服务体系方案设计6.1预警通告安全问题目前正以每周新增几十甚至几百例的速度在全世界得到反馈，同时涉及信息技术的众多领域，安全管理员所掌握的安全知识的更新速度所受到

50、的压力非常大。某市三院医疗信息系统范围内的系统种类非常多，包括众多的操作系统和应用系统。这些系统中每一个新增加的安全漏洞，如果不能得到及时的修补，都可能导致一系列的安全事件的发生。某市三院医疗由于业务范围的限制，需要将各种资源包括人力资源投放在提高区域卫生平台的核心竞争力方面，不可能有太多的时间关注数十个不同厂商不定期发布的漏洞信息，更不可能时刻关注整个安全界的技术发展。绿盟科技从1999年就开始稳定的维护着国内最早，也是最大的中文安全资料库。绿盟科技安全研究院作为国内领先的安全技术研究中心，在世界范围内对某些流行的攻击手段方面的研究走到了攻击者的前面，几年来一直负责为绿盟科技和客户收集整理分

51、析来源于全球的各类安全信息，而且这个信息库每天还在不断的增加。绿盟科技以安全通告的形式为您提供最新的安全动态、技术和定制的安全信息，包括实时安全漏洞通知、定期安全通告汇总、临时安全解决方案和安全知识库更新等。6.2技术风险评估在网络安全体系的建设中， 安全扫描工具花费低、效果好、见效快、与网络的运行相对独立、安装运行简单，可以大规模减少安全管理员的手工劳动，有利于保持全网安全政策的统一和稳定，是进行风险分析的有力工具。安全扫描工作主要是通过评估工具以远程扫描的方式对评估范围内的系统和网络进行安全扫描，发现网络结构、网络设备、服务器主机、数据和用户账号/口令等安全对象目标存在的安全风险、漏洞和威

52、胁。本项服务中我们将借助绿盟科技漏洞扫描系统对某市三院医疗信息系统进行全面的扫描，严格按照某市三院医疗要求的扫描范围和扫描时间实施，在获得结果后及时提交扫描结果、汇总表和报告。此外，每次扫描结束后，绿盟科技的技术人员将现场协助某市三院医疗的技术人员对扫描结果进行分析，并提供相应的技术建议。6.3新上线系统评估新系统上线评估服务即在新系统上线前对其进行安全评估，检查其是否达到等级保护的安全要求，同时配合代码级审计和整改，对某市三院中心机房的主要医疗业务系统代码进行离线分析。从渗透测试的角度对源代码进行审计，找出编码中存在安全漏洞和安全隐患的地方，提出对应的漏洞修补和安全优化建议，保证新系统的合规

53、性同时减少上线后的维护成本。6.4渗透测试渗透测试过程主要依据安全专家已经掌握的安全漏洞信息，模拟黑客的真实攻击方法对系统和网络进行非破坏性质的攻击性测试。发现区域卫生平台信息系统网络中潜在的脆弱点，测试其可被利用的价值以及可能对信息系统造成的破坏，最终给出完整的入侵过程和技术细节，并提供相应的加固建议。6.5安全加固系统安全是信息安全中的基础组成部分，关键数据和信息直接由系统平台提供。支持分布式计算环境中不断增长的系统平台面临各种安全威胁，包括数据窃取、数据篡改、非授权访问等。这时就需要专业的安全服务以保障运行和存贮在这些系统平台上的数据的的机密性、完整性和可用性。 绿盟科技的系统安全加固服

54、务利用多种技术手段对您信息系统中的操作系统平台和重要的网络设备提供安全加固和配置优化，同时将其集成到客户已有的环境中。系统安全加固是指通过一定的技术手段，提高操作系统或网络设备安全性和抗攻击能力，通常这些技术手段，只能为实施这项技术的这一台主机服务。常见的安全加固服务手段有：1基本安全配置检测和优化2密码系统安全检测和增强3系统后门检测4提供访问控制策略和工具5增强远程维护的安全性6文件系统完整性审计7增强的系统日志分析8系统升级与补丁安装经过良好配置的系统或设备的抗攻击性有极大的增强。在对系统作相应的安全配置后，结合定期的安全评估和维护服务就使得系统保持在一个较高的安全线之上。6.6虚拟化安

55、全加固服务 1、虚拟化某市三院中心机房（VDC）加固要素虚拟化某市三院中心机房（VDC）面临的各种威胁与挑战，相应的解决措施可形成一个技术体系，包括Hypervisor自身加固、虚拟化防火墙、虚拟IDS/IPS、VM镜像加固和配置优化等，它们自动构成了VDC的加固要素。2、Hypervisor自身加固Hypervisor中的各种漏洞攻击是虚拟机逃逸的根源，因此反虚拟机逃逸、或者漏洞攻击的防御技术，则成为目前研究者关注的问题。Hypervisor加固归根到底仍是软件安全问题，只要是软件就无法从根本上阻止漏洞的产生，因此安全加固的重点是对漏洞攻击或漏洞利用的防御上。根据信息安全工程理论及经验，凡是

56、对某软件层进行加固的时候，在其下一层软件做文章通常是最可靠的方法。3、VM镜像加固虚拟某市三院中心机房管理员通常负责维护成百上千的VM，因此VM镜像（IMG）的加固便显得极其关键。VM镜像加固，主要是通过技术手段，从VM外围增强VM镜像自身或VM中系统安全性，主要考虑VM镜像完整性保护、补丁技术、反病毒/恶意软件和配置优化等几个环节。6.7应急响应目前许多卫生平台自身尚没有足够的资源和能力对安全事故作出反应，甚至在当今的信息社会，更多的组织还没有准备面对信息安全问题的挑战。网络安全的发展日新月异，谁也无法实现一劳永逸的安全服务，所以当紧急安全问题发生，一般技术人员又无法迅速解决的时候，及时发现

57、问题、解决问题就必须依靠紧急响应来实现。绿盟科技的紧急响应服务提供高效的信息安全事故反应体系以帮助客户尽快对万一的信息安全破坏事故作出反应。在安全事件发生后，根据您的需求以电话-远程支持-现场支持的方式提供服务，包括事故处理及恢复、事后的事故描述报告以及后续的安全状况跟踪。当主机或网络正遭到攻击或发现入侵成功的痕迹，而又无法当时解决和追查来源时。我们将根据客户的要求，以最快的速度赶到现场，协助客户解决问题，查找后门，保存证据和追查来源。此项紧急响应服务由绿盟科技响应安全技术服务小组负责。可以与客户自己的网络安全中心以及反应体系配合协作，共同完成对客户网络安全事件的紧急响应和处理。作为一个规范的

58、网络安全服务商，绿盟科技有一整套完整的紧急响应机制，也有大量具备处理应急事务经验的专业安全工程师。7、安全技术体系方案设计7.1物理层安全物理安全主要包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护。该部分内容参考信息系统安全等级保护基本要求的三级标准的要求进行建设。建设过程中可以参考的标准主要包括：GB5017493电子计算机机房设计规范GB 500571994建筑物防雷设计规范GB 2887-88计算站场地安全要求GB 2887-89计算站场地技术条件BMB4-2000电磁干扰器技术要求和测试方法7.2网络层安全网络层安全

59、主要涉及的方面包括结构安全、访问控制、安全审计、入侵防范、恶意代码防范、网络设备防护几大类安全控制。7.2.1安全域划分某市三院医疗信息平台某市三院中心机房规划以两台核心交换机作为某市三院中心机房网络的核心，通过二条专线接入区域农合以及市医保机构，网络边界通过二台防火墙设备实现内部网络与区域外网之间的安全隔离与访问控制。业务网内部根据业务类型及安全需求划分为如图所示的多个安全区域：外联区：与某市三院中心机房核心交换机互联，在区域卫生平台外网接入处部署防火墙，通过防火墙进行访问控制，实现安全隔离。数据交换区：用于部署某市三院中心机房的测试服务器、交换服务器及总线服务器等数据交换服务器。应用服务器

60、区：用于部署某市三院中心机房的核心业务应用系统，根据相关要求通过部署防火墙来与其它网络进行安全隔离，同时部署WEB应用防火墙对基于WEB的应用系统进行防护。核心数据区：主要部署各业务系统所需的核心数据库及后台服务器，该区域依照等保要求架设网络环境。安全管理运维区域及办公服务器区域之间通过合理的VLAN划分及交换机的访问控制列表来加以隔离。并通过部署审计系统对数据操作进行安全审计。安全管理区：用于部署信息系统安全管理及网络管理的相关服务器及软硬件系统，依照等保要求架设网络环境。与业务服务器区域及互联网远程接入区域之间通过合理的VLAN划分及交换机的访问控制列表来加以隔离。根据重点业务重点保护的原

61、则，将核心交换区、应用服务区和核心数据区划分为三级安全区域，依据等级保护三级标准进行相应的安全建设；数据交换区划分为二级安全区域，依据等级保护二级标准进行相应的安全建设。7.2.2边界访问控制在网络结构中，需要对各区域的边界进行访问控制，对于区域卫生平台外网边界、数据交换区边界、应用服务区域边界及核心数据区边界，需采取部署防火墙的方式实现高级别的访问控制，各区域访问控制方式说明如下： 外联区：通过部署高性能防火墙，实现某市三院中心机房网络与区域卫生平台外网之间的访问控制； 数据交换区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对数据交换区的访问控制。 应用服务区：通过

62、核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对应用服务区的访问控制，通过部署WEB应用防火墙保护基于WEB的应用服务器。 核心数据区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对核心数据区的访问控制。7.2.3网络审计网络安全审计系统主要用于监视并记录网络中的各类操作，侦查系统中存在的现有和潜在的威胁，实时地综合分析出网络中发生的安全事件，包括各种外部事件和内部事件。在某市三院中心机房核心交换机处旁路部署网络行为监控与审计系统，形成对全网网络数据的流量检测并进行相应安全审计，同时和其他网络安全设备共同为集中安全管理提供监控数据用于分析及检测。网络行为监控和审计系统将独立的网络传感器硬件组件连接到网络中的数据汇聚点设备上，对网络中的数据包进行分析、匹配、统计，通过特定的协议算法，从而实现入侵检测、信息还原等网络审计功能，根据记录生成详细的审计报表。网络行为监控和审计系统采取旁路技术，不用在目标主机中安装任何组件。同时玩了个审计系统可以与其他网络安全设备进行联动，将