区域卫生平台安全建设解决方案

区域卫生平台安全建设方案

一. 前言

2009年4月中共中央、国务院授权新华网发布《关于深化医药卫生体制改革的意见》；要求“建立实用共享的医药卫生信息系统，以推进公共卫生、医疗、医保、药品、财务监管信息化建设为着力点，整合资源，加强信息标准化和公共服务信息平台建设，逐步实现统一高效、互联互通”；信息化成为新医改的重要支撑，卫生信息化蓬勃发展，卫生信息化建设步伐明显加快；2012年6月，《卫生部国家中医药管理局关于加强卫生信息化建设的指导意见》卫办发〔2012〕38号发布，明确重点任务之一“建立国家、省、区域（地市或县级）三级卫生信息平台”，实现跨省或跨地区信息共享及业务协同，实时采集生成汇总数据，为决策者、管理者提供信息服务；区域卫生信息化管理平台在全国各地广泛开展建设。

伴随着卫生信息化而来的不良信息、非法入侵、系统漏洞、蠕虫病毒等对卫生网络和应用系统产生巨大的威胁，卫生非法统方事件、患者信息泄密事件、卫生假证事件、医院信息系统病毒宕机事件等不时见诸报端，卫生网络系统的信息安全问题逐渐呈现。2011年11月“卫生部关于印发《卫生行业信息安全等级保护工作的指导意见》的通知”卫办发〔2011〕85号发布，明确贯彻落实国家信息安全等级保护制度；“做好信息安全等级保护工作，对于促进卫生信息化健康发展，保障医药卫生体制改革，维护公共利益、社会秩序和国家安全具有重要意义”。因此，如何设计一个稳定、可靠、安全和经济的区域卫生信息管理平台，应对日益增多的网络攻击、病毒破坏和黑客入侵等问题，已成为卫生行业信息化建设和运营关注的重点。

XX科技作为专注于网络安全技术的产品和服务提供商，是中国第一批专业网络安全产品和服务公司之一，XX科技一直保持了高速增长并在国内信息安全行业处于领先地位；作为国内信息安全的领导厂商之一，XX科技为国内各大行业客户提供了安全解决方案与配套的产品、服务；多年的行业信息安全建设与服务经验，让我们有足够的信心为卫生信息化建设提供优质的方案与服务，分享XX科技在信息安全领域的研究和体会。

二. 区域卫生平台业务简介

基于健康档案的区域卫生信息平台是区域卫生信息化的核心和基础，是整个区域医疗卫生机构实现信息共享与交换、流程整合与协作、资源管理和配置、业务监督与考核的支撑平台，是构建整个区域居民统一的电子健康档案乃至全国统一的居民健康档案，推动和支持医疗卫生体制改革的支撑平台。

2.1 平台应用架构

基于健康档案的区域卫生信息平台在技术上实现各医院之间的业务流程整合、跨系统的医疗信息共享与交换，并实现跨医疗机构的预约与转诊，基本病历资料的信息共享和医生处方、检验结果的互认机制和信息共享，实现医疗卫生服务共同体的数字化、自动化、智能化和交互性运营。整个平台系统的总体框架规划如下图：

图6-1 平台应用架构图

如上图所示，整个区域卫生信息化主要包括区域卫生健康档案数据中心，基于健康档案的区域卫生信息平台，电子健康档案EHR管理系统，公共医疗信息服务平台,各种基础业务信息系统等几大部分。整个平台建立在各卫生服务机构现有基础业务信息系统的基础上，通过基于健康档案的区域卫生信息平台的标准化接口群完成各系统之间的健康档案数据交换与共

享，实现整个区域的个人健康数据整合和业务整合，每一个业务系统在整个规划中既是一个数据服务的提供者，同时也是数据服务的消费者。

各个系统向整个区域内的卫生业务系统提供自身的业务数据，也可以发出数据请求消息，由基于健康档案的区域卫生信息平台找到能提供这个请求的最佳服务对象，并把请求结果准确的返回给请求者。在此基础上形成卫生健康档案数据中心，在基于健康档案的区域卫生信息平台的基础上建立电子健康档案EHR管理系统，公共信息服务平台等等，通过应用门户使整个信息系统采用统一的入口进行使用和管理。同时通过数据共享与交换平台还可以方便地实现与外部其他信息系统的健康个人信息的共享与交换。

2.2 平台硬件技术架构

为了实现上述的要求，建立一个稳定核心适用全国各地的软件平台，满足各地区域卫生信息化的基本需要，同时还要满足区域卫生信息化持续性发展的需求，因此我们将基于健康档案的区域卫生信息平台的总体技术框架设计如下：

图5-1 总体技术架构图

如上图所示，基于健康平台的区域卫生信息平台主要包括硬件网络基础设施层、数据中心数据层、业务服务层、数据交换层四个层次，还包括贯穿四个层次的标准规范体系和安全保障体系两大体系。

硬件网络层是指支撑区域卫生信息平台的硬件设备和网络平台，其是区域卫生信息平台的基础设施。数据中心层主要是实现基于健康档案的区域卫生信息平台的数据存储，需要解

决数据存储的结构、模型、内容、数据库管理软件的选型等。数据交换层和业务服务层主要实现基于健康档案的区域卫生信息平台的数据采集、交换与共享，数据交换层是直接与外部系统进行沟通的技术层，业务服务层是基于数据交换层根据数据结构设计各种业务服务组件来完成平台数据的采集，存储与共享。标准规范体系是区域卫生信息平台中必须遵循和管理的数据标准，是平台运行和应用的数据基础。安全保障体系是从物理安全到应用安全保障整个平台的正常运营。

三. 区域卫生平台业务潜在风险

3.1 黑客入侵造成的破坏和数据泄露

随着医疗信息化的普及，个人信息逐渐以电子健康档案、电子病历和电子处方为载体，其中包括了个人在疾病控制、体检、诊断、治疗、医学研究过程中涉及到的肌体特征、健康状况、遗传基因、病史病历等个人信息。其中个人医疗健康信息的秘密处于隐私权的核心部位，而保障病人的隐私安全是医疗卫生机构和医护人员的职责。

区域医疗信息系统数据中心汇集了大量的病人隐私信息，而这些数据在传输过程中极易被窃取或监听。同时基于电子健康档案和电子病历大量集中存储的情况，一旦系统被黑客控制，可能导致病人隐私外泄，数据恶意删除和恶意修改等严重后果。病人隐私信息外泄将会给公民的生活、工作以及精神方面带来很大的负面影响和损失，同时给平台所辖区域造成不良社会影响，严重损害医疗卫生机构的公共形象，甚至可能引发法律纠纷。而数据的恶意删除和篡改会导致电子健康档案和电子病历的丢失以及病人信息的错误，给医护人员的工作造成影响，甚至可能引发医疗事故。另一方面，随着便携式数据处理和存储设备的广泛应用，由于设备丢失而导致的数据泄漏威胁也越来越严重。

因此电子健康档案和电子病历数据作为卫生平台数据中心的重要资产，必须采取有效措施以防止物理上的丢失和黑客监听、入侵行为造成的破坏，保证数据的保密性，安全性和可用性。

3.2 卫生平台业务系统漏洞问题

自计算机技术的出现以来，由于技术发展局限、编码错误等种种原因，漏洞无处不在并且已成为直接或间接威胁系统和应用程序的脆弱点。操作系统和应用程序漏洞能够直接威胁数据的完整性和机密性，流行蠕虫的传播通常也依赖与严重的安全漏洞，黑客的主动攻击也

往往离不开对漏洞的利用。事实证明，99%以上攻击都是利用已公布并有修补措施但用户未修补的漏洞。

区域卫生平台信息系统数据中心建设涉及到大量的网络设备，服务器，存储设备，主机等，其中不可避免地存在着可被攻击者利用的安全弱点和漏洞，主要表现在操作系统、网络服务、TCP/IP协议、应用程序（如数据库、浏览器等）、网络设备等几个方面。正是这些弱点给蓄意或无意的攻击者以可乘之机，一旦系统的漏洞利用成功，势必影响到系统的稳定、可靠运行，更严重的导致系统瘫痪和数据丢失，从而影响平台的公众形象。因此能够及时的发现和修补漏洞对于平台数据中心网络安全有着重要意义。另一方面，基于数据中心设备、系统、应用量大的情况，通过人工进行漏洞发现和修补非常耗费人力和时间，因此有必要借助漏洞扫描设备和补丁服务器机制来实现自动化的漏洞扫描和补丁下发。

3.3 数据库安全审计问题

医疗卫生行业信息化建设在带来各种便捷的同时也引入了新的隐患。随着病人信息和药品信息的数据化，加之内部安全管理制度不够完善，医疗机构内部运维人员可以借助自身职权，利用数据库操作窃取药品统方信息，修改药品库存数据，修改医保报销项目等，来牟取个人私利。其中药品统方行为是医疗行业高度重视的问题，其背后涉及的药品和医用耗材灰色交易严重扰乱医疗行业秩序，败坏医德医风，影响医院的公众形象，是医疗机构必须坚决制止和查处的行为。其次修改药品库存信息和修改医保报销项目等行为也会给医疗机构和社会造成损失。

区域卫生平台信息系统数据中心汇集的五大应用系统和电子健康档案、电子病历数据库涉及医疗卫生行业的各方面信息，内部人员的违规操作可能造成严重的社会影响和给医疗卫生机构造成重大损失。因此有必要通过有效手段对数据库的各种操作进行审计，准确记录各种操作的源、目的、时间、结果等，及时发现各种业务上的违规操作并进行告警和记录，同时提供详细的审计记录以便事后进行追查。

3.4 平台系统安全配置问题

随着公共卫生，医疗服务，医疗监管，综合管理，新农合五大业务的应用系统不断发展，卫生系统的信息系统应用不断增加，网络规模日益扩大，其管理、业务支撑系统的网络结构也变得越来越复杂，各项系统的使用和配置也变得十分复杂，维护和检查成为一项繁重的工作。

在医疗行业里，随着各类通信和IT设备采用通用操作系统、通用数据库，及各类设备间越来越多的使用IP协议进行通信，其配置安全问题更为凸出。在黑客攻击行为中，利用系统缺省、未修改的安全配置攻入系统已屡见不鲜，因此，加强对网元配置的安全防护成为重点。其中，重要应用和服务器的数量及种类日益增多，一旦发生维护人员误操作，或者采用一成不变的初始系统设置而忽略了对于安全控制的要求，就可能会极大的影响系统的正常运转。另外，为了维持整个业务系统生命周期信息安全，必须从入网测试、工程验收和运行维护等阶段，设备全生命周期各个阶段加强和落实信息安全要求，也需要有一种方式进行风险的控制和管理。

四. 区域卫生平台安全需求分析

4.1 卫生“平台建设指南”安全要求

基于健康档案的区域卫生信息平台的可靠安全的运行不仅关系到数据中心本身的运行，还关系其他业务部门相关系统的运行，因此它的网络，主机，存储备份设备，系统软件，应用软件等部分应该具有极高的可靠性；同时为保守卫生行业和用户秘密，维护卫生行业和用户的合法权益，数据中心应具备良好的安全策略，安全手段，安全环境及安全管理措施。

众所周知，信息系统完整的安全体系包括以下四个层次，最底层的是物理级安全，其包括计算机安全，硬件安全等,其次是网络级安全，主要包括链路冗余，防火墙等等，再次是系统级安全包括数据灾备，病毒防范等，最后是应用级安全包括统一身份认证，统一权限管理等，而贯穿整个体系的是安全管理制度和安全标准，以实现非法用户进不来，无权用户看不到，重要内容改不了，数据操作赖不掉。整个平台的安全体系如下图：

平台安全体系结构图

4.2 卫生等级保护要求分析

医疗卫生机构作为涉及国计民生的重要组成部分，其安全保障事关社会稳定，有必要按照国家信息安全等级保护要求，全面实施信息安全等级保护。

4.2.1 等级保护定级

基于电子健康档案的三级卫生信息平台所涉及信息包括：病人的基本健康信息，病人的诊疗数据，卫生资源数据等等。这些业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益。一旦业务信息遭到非法入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损坏等），会对公民、法人和其他组织的合法权益造成影响和损害，表现为：影响正常工作的开展，导致业务能力下降，造成不良影响，引起法律纠纷等。程度表现为严重损害，即工作职能受到严重影响，业务能力显著下降，出现较严重的法律问题，较大范围的不良影响等。根据以上描述卫生部确定基于健康档案的三级卫生信息平台业务信息安全保护等级为第二级。

基于健康档案的三级卫生信息平台属于为国计民生、经济建设等提供服务的信息系统，其服务范围为区域范围内的普通公民、医疗机构等。该业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益，同时也侵害社会秩序和公共利益但不损害国家安全。客观方面表现的侵害结果为：（1）对公民、法人和其他组织的合法权益造成侵害（影响正常工作的开展，导致业务能力下降，造成不良影响，引起法律纠纷等）；（2）对社会秩序公共利益造成侵害（造成社会不良影响，引起公共利益的损害等）。根据《定级指南》的要求，

出现上述两个侵害客体时，优先考虑社会秩序和公共利益，另外一个不做考虑。上述结果的程度表现为：对社会秩序和公共利益造成严重损害，即会出现较大范围的社会不良影响和较大程度的公共利益的损害等。对比表格要求，则业务信息安全保护等级为第三级。

信息系统的安全保护等级由业务信息安全等级和系统服务安全等级的较高者决定。所以，卫生部将基于健康档案的三级卫生信息平台安全保护等级定为第三级。

卫生信息平台的核心数据区、应用服务区及系统运维参照公安部、国家保密局、国家密码管理局、国务院信息化办公室联合印发的《信息安全等级保护管理办法》（公通字[2007]43号）的要求，数据交换服务区参照二级信息安全等级保护要求建设、核心部分参照三级信息安全等级保护要求建设。

4.2.2 等级保护技术要求

4.3 平台系统安全分层需求分析

根据《基于健康档案的区域卫生信息平台建设指南》中的安全要求部分，并参照等级保护三级的技术要求，通过风险分析及信息安全建设情况调研，确认以下安全需求：

4.3.1 物理层安全需求

卫生数据中心是整个基于健康档案的三级卫生信息平台的关键节点，是系统运行的基础，因此必须保证物理环境的安全，主要包括以下几个方面：

信息基础设备应安置在专用的机房，具有良好的电磁兼容工作环境，包括防磁、防尘、防水、防火、防静电、防雷保护，抑制和防止电磁泄漏；

机房环境应达到国家相关标准；

关键设备应有冗余后备系统；

具有足够容量的UPS后备电源；电源要有良好的接地。

4.3.2 网络层安全需求

结构安全：

应保证网络各个部分的带宽满足业务高峰期需要；

应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；

应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；

应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时

候优先保护重要主机。

访问控制：

应在网络边界部署访问控制设备，启用访问控制功能；

重要网段应采取技术手段防止地址欺骗；

应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；

应限制具有拨号访问权限的用户数量。

安全审计：

应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录，并生成审计报表；

应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

边界完整性检查：

应能够对非授权设备私自联到业务网络的行为进行检查，准确定出位置，并对其进行有效阻断；

应能够对业务网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。

入侵防范：

应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；

当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。

恶意代码防范：

应在网络边界处对恶意代码进行检测和清除；

应维护恶意代码库的升级和检测系统的更新。

网络设备防护：

应对网络设备的管理员登录地址进行限制；

身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；

当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被

窃听；

应实现设备特权用户的权限分离。

4.3.3 主机层安全需求

身份鉴别：

操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；

当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；

应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。

访问控制：

应启用访问控制功能，依据安全策略控制用户对资源的访问；

应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；

应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令，及时删除多余的、过期的帐户，避免共享帐户的存在。

应对重要信息资源设置敏感标记；

应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。

安全审计：

应实现主机系统的安全审计，审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；

审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；

审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；

应能够根据记录数据进行分析，并生成审计报表；

应保护审计进程，避免受到未预期的中断；

应保护审计记录，避免受到未预期的删除、修改或覆盖等。

剩余信息保护：

应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；

应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。

入侵防范：

应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；

应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；

操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。

资源控制：

应根据安全策略设置登录终端的操作超时锁定；

应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况；

应限制单个用户对系统资源的最大或最小使用限度；

应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。

4.3.4 应用层安全需求

（说明：此部分内容需要在应用系统开发与维护过程中予以实现。）

身份鉴别：

应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；

应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；

应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；

应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

访问控制：

应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；

应具有对重要信息资源设置敏感标记的功能；

应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。

安全审计：

应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；

应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；

审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等； 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。

剩余信息保护：

应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；

应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。

通信完整性：

应采用密码技术保证通信过程中数据的完整性。

通信保密性：

在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；

应对通信过程中的整个报文或会话过程进行加密。

抗抵赖：

应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；

应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。

软件容错：

应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；

应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。

资源控制：

当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；

应能够对系统的最大并发会话连接数进行限制；

应能够对单个帐户的多重并发会话进行限制；

应能够对一个时间段内可能的并发会话连接数进行限制；

应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；

应能够对系统服务水平降低到预先规定的最小值进行检测和报警；

应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。

4.3.5 数据及备份安全需求

数据完整性：

应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；

应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。

数据保密性：

应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；

应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。

备份和恢复：

应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；

应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；

应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；

应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。