保护医院等级保护建设网络安全建设-解决方案

医院等级保护建设网络安全建设

解决方案

2018年6月

目录

1 概述 5

1 .1 背景分析 5

1 .2 等级保护建设目标和范围 7

1 .3 方案设计 7

1 .4 参照标准 82 信息系统现状 8

1/61文档可自由编辑

2.1 医院网络安全现状 9

2.2 医院网络安全风险分析 10

2.3 医院网络安全需求 10

2.3.1 物理安全 1 1

2.3.2 网络安全 13

2.3.3 主机安全 14

2.3.4 应用安全 15

2.3.5 数据安全 17

2.3.6 安全域划分及边界防护 183 网络安全建设必要性 21

3.1 等级保护要求 21

3.2 医院系统面临安全威胁 224 网络安全建设目标 22

4.1 满足合规性要求 22

4.2 等级保护技术要求 235 安全技术体系方案设计 29

5.1 物理层安全 29

5.2 网络层安全 30

5.2.1 安全域划分 30

2/61文档可自由编辑

5.2.2 边界访问控制 32

5.2.3 网络审计 33

5.2.4 网络入侵防范 34

5.2.5 边界恶意代码防范 35

5.2.6 网络设备保护 35

5.2.7 主机层安全 35

5.2.8 身份鉴别 36

5.2.9 强制访问控制 36

5.2.10主机入侵防范 37

5.2.11 主机审计 38

5.2.12恶意代码防范 39

5.2.13剩余信息保护 39

5.2.14资源控制 39

5.3 应用层安全 40

5.3.1 身份鉴别 40

5.3.2 访问控制 41

5.3.3 安全审计 41

5.3.4 剩余信息保护 42

5.3.5 通信完整性 42

5.3.6 通信保密性 42

5.3.7 抗抵赖性 42

3/61文档可自由编辑

5.3.8 软件容错 43

5.3.9 资源控制 43

5.4 数据层安全 44

5.4.1 数据完整性 44

5.4.2 数据保密性 45

5.4.3 备份和恢复 476 安全建设方案小结 47

1 .1安全服务汇总 48

1 .2安全产品汇总 49

4/61文档可自由编辑

1 概述

1.1背景分析

《中华人民共和国计算机信息系统安全保护条例》国务院令第147号明确规定我国“计算机信息系统实行安全等级保护”。依据国务院147号令要求而制订发布的强制性国家标准《计算机信息系统安全保护等级划分准则》GB17859-1999为计算机信息系统安全保护等级的划分奠定了技术基础。 《国家信息化领导小组关于加强信息安全保障工作的意见》中办发[2003]27号明确指出实行信息安全等级保护“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统抓紧建立信息安全等级保护制度”。

《关于信息安全等级保护工作的实施意见》公通字[2004]66号和

《信息安全等级保护管理办法》公通字[2007]43号确定了实施信息安全等级保护制度的原则、工作职责划分、实施要求和实施计划明确了开展信息安全等级保护工作的基本内容、工作流程、工作方法等。信息安全等级保护相关法规、政策文件、国家标准和公共安全行业标准的出台为信息安全等级保护工作的开展提供了法律、政策、标准保障。 2007年起公安部组织编制了《信息安全技术信息系统等级保护安全设计技术要求》 为已定级信息系统的设计、整改提供标准依据至2008年11月已报批为国标。与此同时2007年7月全国开展重要信息系统等级保护定级工作标志着信息安全等级保护工

5/61文档可自由编辑

作在我国全面展开。

依据《计算机信息系统安全保护等级划分准则》将信息系统安全保护能力划分为五个等级分别为

第一级用户自主保护级;由用户来决定如何对资源进行保护以及采用何种方式进行保护。

第二级系统审计保护级;本级的安全保护机制支持用户具有更强的自主保护能力。特别是具有访问审记能力即它能创建、维护受保护对象的访问审计跟踪记录记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息所有和安全相关的操作都能够被记录下来以便当系统发生安全问题时可以根据审记记录分析追查事故责任人。

第三级安全标记保护级;具有第二级系统审计保护级的所有功能并对访问者及其访问对象实施强制访问控制。通过对访问者和访问对象指定不同安全标记限制访问者的权限。

第四级结构化保护级;将前三级的安全保护能力扩展到所有访问者和访问对象支持形式化的安全保护策略。其本身构造也是结构化的以使之具有相当的抗渗透能力。本级的安全保护机制能够使信息系统实施一种系统化的安全保护。

第五级访问验证保护级;具备第四级的所有功能还具有仲裁访问者能否访问某些对象的能力。为此本级的安全保护机制不能被攻击、被篡改的具有极强的抗渗透能力。

6/61文档可自由编辑

目前全国范围内的定级工作已经基本完成2009年起将依据标准要求对已定级信息系统进行整改以达到规范安全管理、提高信息安全保障能力到应有水平的目标

1.2等级保护建设目标和范围

为了落实和贯彻自治区政府、公安部、保密局、卫生部、 自治区卫生厅等国家有关部门信息安全等级保护工作要求全面完善医院信息安全防护体系落实“分区分域、等级防护、多层防御”的安全防护策略确保等级保护工作在本单位的顺利实施提高整体信息安全防护水平开展等级保护建设工作。

我们前期对医院网络进行了勘查分析了解与等级保护要求之间的差距提出安全建设方案。本方案主要遵循G B/T22239-2008《信息安全技术信息安全等级保护基本要求》、 《信息安全等级保护管理办法》 公通字[2007]43号、 《信息安全风险评估规范》GB/T20984-2007、 《卫生行业信息安全等级保护工作的指导意见》标准等。

实施的范围包括医院网站安全防护、医院各个信息系统的安全防护。

1.3方案设计

根据等级保护要求以及前期分析了解的结果医院信息系统存在的漏洞、弱点提出相关的整改意见结合等级保护建设标准并最终

7/61文档可自由编辑

形成安全解决方案。

1.4参照标准

G B/T22239-2008 《信息安全技术信息安全等级保护基本要求》

《信息安全等级保护管理办法》公通字[2007]43号

《信息安全技术信息安全风险评估规范》GB/T20984-2007

《卫生行业信息安全等级保护工作的指导意见》

2 信息系统现状

随着网络与信息技术的发展尤其是互联网的广泛普及和应用网络正深刻影响并改变着人类的生活和工作方式。医院已经逐步建立起依赖于网络的医院业务办公信息系统比如门户WEB应用、H IS系统、 L IS系统、电子病历系统、 PACS系统等等在给我们带来便利的同时安全也面临更大的挑战。

对于医疗机构而言数字化、 网络化、信息化是医院实现不断发展的重要形式和发展方向而网络信息功能和内容是通过WEB应用形式表现出来的。外界对医院信息化的了解也是从WEB应用开始的从网上预约挂号、 网上查询检查结果等等一系列工作都是通过WEB来实现的医院门户WEB应用是医院现代化科技服务的窗口,也是医院对外宣传的窗口。而近年来医院WEB应用的公众性质使其成为攻击和威胁的主要目标医院WEB应用所面临的Web应用安全问题越来越复杂安全威胁正在飞速增长尤其混合威胁的风

8/61文档可自由编辑

险如黑客攻击、蠕虫病毒、 DDoS攻击、 SQL注入、跨站脚本、Web应用安全漏洞利用等极大地困扰着医院和公众用户给医院的服务形象、信息网络和核心业务造成严重的破坏。 因此一个优秀的WEB应用安全建设是医院信息化是否能取得成效、充分发挥职能的基础而合规、有效、全面的信息安全体系建设对保障其正常运行至关重要。

2.1医院网络安全现状

目前医疗行业各大医院的信息化办公系统如HIS系统、 LIS系统、电子病历系统、 P AC S系统、 OA系统等各大业务系统全部上线运行给医院的正常办公业务带来极大的便利给医生节省更多的时间来治疗患者同时给患者带来便利的就医环节有的医院由于发展需要建立了自己独立的门户网站对外提供患者网上预约挂号检查结果查询等功能在几大系统中医院OA系统由于内外网同时需要运行业务因此医院设立了DMZ区DMZ区放置医院OA系统服务器、对外网站服务器以后随着医疗信息化的发展全疆医院要实现电子病历共享为了给病人提供更好的服务各大医院将逐步实现网上预约挂号、网上查询等业务这就需要医院内外网连通实现内外网数据互通共享因此内外网互联的安全建设非常重要如何在内外网互联时保证内网信息数据的安全性、完整性是必须考虑的问题。

9/61文档可自由编辑