English日本語
业务布景
随着医院信息化的发展和“智慧医院”建设过程的不休推动，，医院业务服务也正向着互联网化发展。。中国医疗行业网络安全整体环境日趋恶化，，医疗系统、医疗数据成为了APT组织、黑产组织攻击的指标，，如近年来产生在医疗系统中的勒索病毒事务、医疗数据泄露事务等。。使医院单元辅导越来越清澈地意识到安全建设中安全风险存在的�：�，，也越来越器重安全建设，，更意识到医院安全防护系统建设必要不休美满。。
医疗系统是医院单元的重要信息系统，，是保险医疗业务服务正常运营的底子。。在医疗系统 建设过程中，，思考到医疗业务系统新技术架构下所面对的新风险新问题，，依照国度网络安全等 级珍视《中华人民共和国网络安全法》及制度的有关要求，，需同步规划安全保险系统，，并在医 疗系统建设过程中，，落实安全保险技术措施和治理措施。。
因而，，需结合当前网络安全威胁趋向及医院网络安全近况与将来发展，，凭据国度网络安全 等级珍视及《中华人民共和国网络安全法》的要求，，美满医院的网络安全保险系统。。
安全需要
医院网络安全建设不仅必要切合网络安全等级珍视规范及《中华人民共和国网络安全法》的要求，，还需成立高效不变的业务安全支持平台来保险医院运行秩序和业务系统运行不变安全。。
1. 满足国度等级珍视及政策有关要求
凭据原卫生部2011年颁布的《卫生行业信息安全等级珍视工作的领导定见》的有关划定，，三级甲等医院的主题业务信息系统安全珍视等级准则上不低于第三级，，二级及以上医院主题业务系统安全珍视等级准则上不低于第二级；
2016年国度卫健委颁布的《三级综合医院评审尺度考评法子》划定了重要业务系统必须达到等保三级尺度才满足三级医院评审尺度中对于网络安全的要求；
2018年国度卫健委颁布的《国度健康医疗大数据尺度、安全和服务治理法子（试行）》划定了承载健康医疗大数据的平台必须通过等级珍视（未划定级别），，通常引入大数据技术的医院都是三级甲等医院，，根基以三级等保为主；
2018年国度卫健委颁布的《互联网医院治理法子（试行）》划定了承载互联网医院的平台必须通过等保三级测评。。
2. 保险业务持续运行需要
医疗信息系统运行不变安全直接关系到患者的性命健康以及医院运行秩序，，一旦系统被攻击出故障或是引发信息泄露事务，，其后果极度严重；
随着社会经济环境以及人民医疗健康需要的变动，，医院从自身业务发展需要上来说根基蕴含以下几点：
1、疾病防治等医疗水平的提高急需对外衔接、信息共享，，例如像远程医疗、远程会诊、远程手术、区域卫生信息平台、互联网利用等，，都必要医院逐步对外盛开有关网络和数据。。
2、移动医疗是传统医疗方式迈向个性化医疗服务和健康人群保健服务一个重要的信息延展利用，，已成为当今医疗信息领域钻研的最热点课题。。
3、在小我隐衷泄露严重、电信诳骗日益疯狂、以及网络安全法正式执行等大布景下，，医院火急必要珍视好病患的小我医疗和隐衷信息，，预防隐衷信息的泄露或篡改。。
4、在医疗业务工作越来越依赖于信息系统的环境下，，必须保险临床等重要信息系统7X24小时不中断运行。。
5、医疗信息化的深刻推动，，部署的医疗信息系统逐步增多，，这给运维治理带来较大难度，，人员的不成控行为以及多接口、多系统的数据接见节制、身份甄别系统使得医院信息安全治理难度加大。。
解决规划
1. 等级珍视2.0的安全通用要求变动
● 等保2.0安全通用要求调整了节制措施分类
技术要求分为安全物理环境、安全通讯天堑、安全区域天堑、安全推算环境、安全治理中心，，治理要求分为安全治理制度、安全治理机构、安全人员治理、安全建设治理和安全运维治理。。
安全要求项有所变动：
等保1.0二级系统要求为175项，，等保2.0削减为135项。。
等保1.0三级系统要求为290项，，等保2.0削减为211项。。
等保1.0四级系统要求为318项，，等保2.0削减为228项。。
● 安全防护思路变动
等保1.0防护思路是事前预防、事中响应、过后审计的纵深防御思路。。
等保2.0尺度则在“一个中心、三重防护” 的理念基础上，，正视全方位自动防御、安全可信、动态感知和全面审计。。
● 增长了新内容
等保2.0删除了过期的测评项，，对测评项进行合理性批改，，新增对新型网络攻击行为防护和小我信息珍视等新要求。。
对集中管控提出了明确要求，，集中管控将成为一个新的需重点。。等保2.0中对可信推算及密码技术的利用提出了明确要求，，这将很大推进可信推算及密码技术的推广及利用。。
2. 系统定级
凭据国度有关政策要求，，凭据网络安全等级珍视有关要求，，对医疗行业业务系统等级珍视定级建议如下：
用户类型 | 系统类型 | 等级 | 有关系统 |
医院 （三级及以上） | 主题信息系统 | 三级 | HIS、EMR、LIS、RIS、PACS、CIS、集成平台、数据中心、APP、互联网医疗等 |
非主题信息系统 | 二级 | CRM、HRP、体检系统、监控系统、门户网站及内部办公类等 | |
医院 （二级及以下） | 业务系统 | 二级 | HIS、EMR、PACS、门户网站、内部办公类系统等 |
公共卫朝气构 | 主题信息系统 | 三级 | 中国疾病预防节制信息系统（含子系统）、免疫规划信息治理系统，，妇幼保健信息系统，，卫生监督信息系统，，打算免疫信息系统，，社区卫生服务中心与专业站所主题业务系统等 |
卫健委 | 主题信息系统 | 三级 | 区域全民健康信息平台，，社区卫生信息系统，，卫生统计直报信息系统，，卫生健康委门户网站 |
非主题信息系统 | 三级/二级 | OA等内部办公类 |
3. 安全保险框架
网络安全等级珍视防护框架由技术系统、安全治理系统和安全运维系统三部门组成。。
安全技术系统成立以推算环境安全为基础，，以区域天堑安全、通讯网络安全为保险，，以安全治理中心为主题的信息安全整体保险系统。。
安全治理系统蕴含安全治理制度、安全治理机构、安全治理人员、安全建设治理和安全运维治理五部门。。
在安全治理中心基础上，，成立安全运维中心（安全运营系统），，协调信息系统各个环节所选取的安全防护措施和安全治理身分，，形成互有关联、高度融合的安全防护平台，，实现对安全事务的态势感知、实时监测、实时响应和综合防护，，对网络系统安全防护系统的动态更新，，降低安全风险，，提升的信息安全监管能力。。
4. 整体解决规划
医院业务系统网络安全等级珍视安全解决规划的安全珍视系统从安全技术、安全治理以及安全运维三个维度进行设计。。基于《信息安全技术-网络安全等级珍视安全设计技术要求》（GB/T 25070-2019）的安全防护理念，，构建“纵深防御+自动防御+持续监测”安全防护系统，，即基于等级珍视“一个中心，，三重防护”的纵深防御系统，，融合“网络安全，，以报答本”的理念，，构建自主评估、风险驱动、实时预警、动态防护、安全检测、实时响应于一体的自动防御闭环防护系统，，同时对整个等级珍视对象安全情况持续监测，，实时感知安全态势。。
1) 安全技术系统规划设计
● 安全物理环境
凭据《信息安全技术-网络安全等级珍视根基要求》中的“安全物理环境”要求，，同时参照《信息安全技术-信息系统物理安全技术要求》（GB/T 21052-2007），，对等级珍视对象所涉及的主机房、辅助机房和异地备份机房等进行物理安全设计。。机房与配套设备安全战术的主张是珍视网络中推算机网络通讯有一个优良的电磁兼容工作环境，，并预防犯法用户进入推算机节制室和各类偷窃、粉碎活动产生。。
● 安全通讯网络
安全通讯网络从网络架构、通讯传输和可信验证（可�。。┤龇矫娼猩杓坪桶踩阑�。。
安全通讯网络设计思路及重要思考的内容：
? 清澈界说安全区域，，划分出明确天堑的网络区域；
? 重要网络设备和链路冗余部署；
? 通讯传输加密。。
● 安全区域天堑
凭据等级珍视要求第三级中安全区域天堑有关要求，，结合区域天堑接见节制、区域天堑防护、区域天堑安全审计、区域天堑入侵防备等安全设计要求。。安全区域天堑防护建设重要通过基于地址、和谈、服务端口的接见节制战术；通过安全准入节制、终端安全治理、流量平衡节制、抗DDoS攻击、恶意代码防护、入侵监测/入侵防御、APT攻击检测防护、犯法外联/违规接入网络、无线安全治理，，以及安全审计治理等安全机制来实现区域天堑的综合安全防护。。
● 安全推算环境
凭据等级珍视要求第三级中设备和推算安全、利用和数据安全等有关安全节制项，，结合安全推算环境对于用户身份甄别、自主与象征接见节制、系统安全审计、恶意代码防护、安全接入衔接、安全配置查抄等技术设计要求，，安全推算环境防护建设重要通过身份甄别与权限治理、安全通讯传输、主机安全加固、终端安全基线、入侵监测/入侵防御、缝隙扫描、恶意代码防护、Web利用攻击防护、网络治理监控、安全配置核查、安全审计，，重要节点设备冗余备份，，以及系统和利用自身安全节制等多种安全机制实现。。
● 安全治理中心
安全治理中心作为对网络安全等级珍视对象的安全战术及安全推算环境、安全区域天堑和安全通讯网络的安全机制实现统一治理的系统平台，，实现统一治理、统一监控、统一审计、综合分析和协同防护。。凭据等级珍视要求第三级中安全治理中心有关安全节制项，，结合安全治理中心对系统治理、审计治理、安全治理和集中管控的设计要求，，安全治理中心建设重要通过网络治理系统、综合安全治理平台等机制实现。。
安全技术系统拓扑示意图如下：
2) 安全治理系统规划设计
安全治理是等级珍视安全防护体系统重要组成部门，，“三分技术，，七分治理”，，在技术上无法美满解决的安全问题，，可通过治理伎俩结合技术措施来实现。。齐全的安全治理系统是在安全治理制度的领导下，，对安全人员、建设、安全运维进行全面的治理。。
● 安全治理制度
安全战术和审计制度是对信息安全指标和工作准则的划定，，其阐发大局是一系列安全战术系统文件。。安全战术和审计制度是信息安全保险系统的主题，，是信息安全治理工作、技术工作和运维工作的指标和凭据。。
● 安全治理机构设计
安全治理机构治理建设是整个安全治理系统的重要部门。。信息安全辅导小组应由单元高层辅导和有关部门的治理人员组成，，掌管协调、领导及治理信息安全各个方面的工作。。
● 安全人员治理设计
安全人员治理是加强对安全人员的治理，，人员录用、人员离岗、安全人员的安全意识教育和培训，，以及外部人员接见治理。。
● 安全建设治理设计
安全建设治理当贯通到信息系统整个性命周期，，在系统审批、建设、安全定级与登记、安全规划设计、软件开发与执行、验收与测试、系统交赋予等级测评，，以及服务商选择等过程均必要进行安全治理。。
● 安全运维治理设计
安全运维治理是整个系统安全运营的重要环节，，其内容涵盖机房环境治理、资产治理、介质治理、设备治理、缝隙微风险治理、网络及系统安全治理、恶意代码防备、配置治理、密码治理、调换治理、备份与复原治理、安全应急措置，，以及安全服务治理工作等内容。。
3) 安全运营规划设计
凭据网络安全近况与安全运营需要，，发展安全运营系统建设工作，，安全运营系统如下图所示。。
日常安全运营是安全运营系统的基石，，只有日常安全运营工作到位，，能力实时鉴别、预警、措置各类安全隐患和安全事务。。日常安全运营工作可分为资产（风险）鉴别、监控分析、安全运维三大类以及安全培训服务。。
规划优势
● 专业的安全服务团队
OG东方厅占有国内最专业的安全服务团队，，其团队由一批经验丰硕，，富有责任心和使命感的专业技术人员组成，，多人占有CISP、CISSP、CISA、ISO20000、ISO27001等证书及能力；同时ADLAB占有大批缝隙挖掘和分析人员，，是中国独立挖掘CVE缝隙数量最多的团队，，提交的CVE原创缝隙达130多个，，占CVE缝隙数量的2/3。。
● 丰硕的等保技术堆集
OG东方厅持久亲昵跟踪国度等级珍视有关政策，，占有多位信息安全尺度化委员会WG5、WG7组安全专家，，参加了等级珍视尺度制订与钻研、国度项目等多项有关工作；OG东方厅等级珍视类安全服务能够在最大水平上使得客户等保有关工作切合国度等级珍视有关政策、尺度、规范的要求。。
● 超千项的等保服务经验
OG东方厅是国内最早从事等级珍视征询的公司之一，，拥有金融/当局/移动/电信/大型企业/能源/航空等行业的标志性项目，，得到用户各级辅导认可。。成功案例如：长城资产等级珍视征询项目、中国石油重要信息系统等级珍视征询项目、农业部信息系统安全等级防护设计项目。。
● 尺度化项目治理
OG东方厅安全服务项主张执行和治理凭据国际化的项目治理规范，，充分利用公司内部资源为客户提供更高中意度的服务，，通过执行项目治理能够很好地节制项目领域、功夫、成本和质量，，保障项目可能依照打算按时按质量地顺利实现。。
Copyright ? OG东方厅 版权所有 京ICP备05032414号 
京公网安备11010802024551号
