医院信息等级保护解决方案

医院信息等级保护解决方案

一、安全等保的测评对象

医院的信息系统有几十种，除了明确定级为三级的核心业务信息系统，其它业务系统如何处理？拿上海为例，HIS、LIS和RIS定级为三级信息系统，那么这3个系统之外的如EMR、临床路径系统等如何考虑？实际上等保的第一项工作即是给本单位信息系统分类定级，根据系统重要性的不同，进行不同级别的定级。如果某个系统与核心业务系统同样重要，可另外定为三级；其它系统可以定为二级。定为二级的系统按照二级安全等保标准进行建设和测评。

对于二级或三级的业务信息系统，其安全运行所需要的机房、链路、网络、服务器、存储、操作系统、应用软件等都是测评对象。

二、三级安全等保解决方案

1.网络访问控制管理

一般规模的医院网络都采用二层结构，即全院网关终结在核心交换机；同时医院的数据流量绝大部分都是纵向流量（即终端访问服务器的流量），横向流量（终端之间的访问流量）基本没有。在这样的流量模型下，尽管内网与公网隔离，但还有如下内容要进行安全保护。

●服务器区域：要防范的是“家贼”，即内部数据泄露或病毒DDoS攻击。

●与无线网络的连接链路：无线网络的开放性使其通常被认为是不安全的。

●与外联单位的连接链路：外联单位属于网络边界。

安全插卡的优势体现在两点：

?传统医院服务器大都直接连在核心交换机上，在进行服务器的防范时，如果采用外接安全设备，不得不把安全设备串接在服务器和核心交换机之间或者进行流量重定

向，即需要对原来的网络结构进行改造；

?（如图2所示）所有的硬件安全产品（FW、IPS和流量探针）都采用插卡形式，通过其虚拟化功能，即1块插在交换机中的安全插卡可以虚拟化成多个同功能的安全

产品，可以进行上述不同线路上的安全防范。

安全插卡解决方案可以满足三级等保网络安全技术条款中的11条（网络访问控制、入侵防范和恶意代码防范）。

2.审计报表规范

医院业务关系到民生，而且是7*24小时提供服务，因此医院的网络建设首先要考虑可靠性，因此选择的网络产品通常会高于业务流量的实际需求，引发的问题是大部分医院并不知道自己实际的流量模型，即各个服务器、各种业务的访问高峰、整个网络流量分布图等。

3.网络边界完整性检查

目前医院的网络分布，在很多地方是既有内网口又有外网口。医务人员对工作地点的网络结构熟悉后，会出现自行把医用终端从内网移到外网，违规访问外网后再接回内网的情况。目前针对此问题，医院想到的方法通常是MAC地址和端口绑定，但引发的问题是维护工作量巨大，使得很多医院对此解决方案望而却步。同时，随着各种医务自助机应用的普及，内网

接入点也延伸到公共区域，给医院内网新增了不安全性。三级等保安全标准7.1.2.4节中对边界完整性检查有2条明确要求：

?应能够对非授权设备私自联到网络的行为进行检查，并准确定出位置，对其进行有效阻断；

?应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。

可以看出，单纯的MAC地址与端口绑定已不能满足三级等保标准的要求；同时存在仿冒MAC地址的漏洞，即非法终端可以把自己MAC地址改成合法MAC后接入网络。为解决这些问题，采用端点终入控制系统来进行医用终端的安全接入。EAD中的iNode客户端可以防MAC 篡改，即iNode发现终端的物理MAC和管理MAC不一致时禁止认证。同时，防内网外联功能，使得医用终端只能接入内网。退一步讲，如果医院认为无法接受医用终端上安装客户端软件，在能接受存在仿冒MAC地址漏洞的前提下，可以使用以MAC地址为认证信息的哑终端认证方式。它与传统的MAC地址端口绑定方案的优势是所有管理维护工作都在集中的服务器侧，而不是分散的网络交换机侧，从而大大降低维护工作量。

4.网络设备防护

目前医院的网络设备管理通常有两种方式：集成管理平台和设备分散远程登录管理。对于后者，目前主流管理方法还是通过Telnet远程管理。由于设备数量多维护工程量大，出于维护的便利性，设备的登录用户口令通常是所有设备相同且永远不变，甚至网管人员更换后也不会更换设备的用户口令。

对于设备的远程登录管理，等保标准也有一些要求，如采用加密的SSH替代明文的Telnet、双因子认证等。

三、无线安全解决方案

从医院无线网络的建议模式来看，通常分为运营商代建和医院自建两种。无论哪种建设模式，无线技术本身安全性的问题都无法回避。不像有线网络，只要不提供接入点，就无法侵入；无线是开放的，任何外来人员都可以和内部人员一样接收到无线信号，所以必须进行接入认证安全保护。但如果像家庭一样只提供密码接入保护，那么无线网络的安全形同虚设，因为整网单一的密码很容易外泄。

除了文章开篇提到内网及外网业务，运营商代建的无线网络还提供公共无线网接入(如电信的ChinaNet、移动的CMCC等)。公网和私网的混用还会引入更多的安全问题。

另外，无线终端比传统的医用终端更容易做接入网络切换，而考虑到病毒和木马的防范，医院不希望用于内网的无线终端在访问外网后再接入内网。

医院的无线网络安全方案的构建需要考虑以下几个问题：

?考虑到医院的业务模式，传统的用户名口令无法作为唯一的认证因素，原因是医生护士的用户名口令几乎是半公开的。那么如何识别医院的合法移动终端？

?随着平板电脑和智能手机的普及，传统的移动推车+PDA的应用受到冲击。如何支持新型的移动终端？

?如何防止合法终端接入运营商提供的无线网络？

?对于运营商承建的无线网络，如何防止登录公共无线网络的用户的黑客入侵？

这三种方案的共性都是在无线网络中提供认证网关。如果无线网是医院自建的，则AC 可以兼做认证网关。

结束语

医院的三级安全等保技术要求，既有与其它行业要求的共性，又有其自己的特点。这些要求中除了网络层面的，还包括机房、主机、应用和数据安全。

三级安全等保对医院既是一次命题考试，又是一次切实提升医院安全能力的好机会。作为安全等保技术要求的主要部分——网络安全，因其分散、覆盖面广和难以管理，也是整个等保安全的难点。从网络与安全融合、终端与边界融合、集中与分级融合等多个维度，覆盖了包括结构安全、访问控制、安全审计、边界完整性、入侵防范、恶意代码入侵和设备防护在内的绝大多数技术要求，提供了完整的医院三级等保方案。