XXX医院信息系统等保三级集成方案
2023-智慧医疗系统安全三级等保建设方案V2-1
智慧医疗系统安全三级等保建设方案V2智慧医疗是现代医疗的重要组成部分，极大地提高了医疗效率和质量。
然而，智慧医疗系统的安全问题一直是大众关注的焦点。
为此，国家发布了“智慧医疗系统安全三级等保建设方案V2”，以保障智慧医疗系统的安全运行。
下面我们来分步骤阐述这一方案。
第一步，等级划分。
智慧医疗系统安全三级等保建设方案V2将智慧医疗系统分为三个等级，其中一级是针对普通的医疗信息系统，包括一些基本的医疗信息收集和处理；二级是专业的医疗信息系统，包括一些较为复杂的医疗信息收集和处理，如电子病历、医疗图片数据等；三级是医疗信息管理中心系统，包括病历管理、医学影像管理、医学数据库等较为高级的医疗信息系统。
第二步，安全等级划分。
根据实际情况，将医疗信息系统的风险等级分为三级，即低风险、中风险和高风险，根据风险等级不同，采取不同的安全措施，保护信息系统的安全运行。
第三步，安全措施的实施。
针对不同的风险等级，采取不同的措施，确保医疗信息系统的安全。
对于低风险的信息系统，主要是加强硬件设施的安全及其维护，包括防火墙设置、数据备份、日志审计等。
对于中风险的医疗信息系统，要加强内部管理和技术隔离，建立安全管理制度，加强安全培训和教育，加强访问控制等。
对于高风险的医疗信息系统，则需要采取更加严格的措施，包括建立应急预案、安全审计等。
第四步，安全运行监管。
建立专门的监督管理机构，指导医疗机构加强智慧医疗系统的安全管理，监督医疗信息系统的安全运行情况，并及时处理安全事件。
同时，对于未经授权、销毁数据、私自泄露数据等行为，要加大惩戒力度，形成安全管理的有效制度。
综上所述，“智慧医疗系统安全三级等保建设方案V2”是为确保智慧医疗系统的安全运行而制定的一项重要方案。
医疗机构应当根据实际情况，根据“等级划分”和“安全等级划分”，制定相应的安全措施和安全审查制度，保障智慧医疗系统的安全稳定运行。
同时，也需要社会各界的支持和监督，共同建设一个安全可靠的智慧医疗环境。
某医院信息系统等级保护安全建设整改方案
某医院信息系统等级保护安全建设整改方案1. 引言近年来，随着医院信息系统的广泛应用，医院的信息化程度不断提高。
然而，在信息系统的应用过程中，存在着信息安全风险，对医院的正常运行和患者隐私造成了一定的威胁。
为了保障医院信息系统的安全，本文提出了某医院信息系统等级保护安全建设整改方案。
2. 现状分析目前，某医院信息系统的安全建设存在以下问题：1.医院的信息系统整改工作不完善，缺乏统一的规划和管理。
2.缺乏专业的安全人员，对信息系统的安全风险评估和监控能力不足。
3.医院的信息系统缺乏完善的安全控制机制，容易受到外部攻击和内部泄漏的威胁。
3. 整改目标基于现状分析，制定如下整改目标：1.建立完善的医院信息系统安全管理制度，明确责任部门和人员，规范信息系统的安全管理流程。
2.提升医院安全人员的专业能力，加强安全风险评估和监控能力，及时发现和应对安全威胁。
3.加强医院信息系统安全控制机制，确保信息系统不受外部攻击和内部泄漏的威胁。
4. 整改方案为实现整改目标，本文提出以下整改方案：4.1 建立医院信息系统安全管理制度制定医院信息系统安全管理制度，明确责任部门和人员，规范信息系统的日常运维和安全管理流程。
制度主要包括以下方面的内容：•信息系统安全组织架构和人员职责•信息系统安全管理流程和工作要求•信息系统安全事件处理和应急响应机制4.2 提升安全人员的专业能力加强医院安全人员的培训和专业能力提升，提高其对信息系统安全的认识和理解。
同时，建立安全技术咨询团队，为医院提供专业的安全评估和咨询服务。
4.3 加强信息系统安全监控和防护措施建立完善的信息系统安全监控和防护措施，包括以下方面的措施：•安装并配置防火墙、入侵检测系统等安全设备，加强对外部攻击的防护。
•部署安全审计系统，对关键数据和系统进行实时监控和记录。
•制定密码管理规范，加强对系统用户和密码的管理。
•实施数据备份和恢复策略，以应对数据丢失或损坏的情况。
•加强对内部员工的安全教育和监管，防止内部泄漏的发生。
某医院信息系统等级保护安全建设整改方案
某医院信息系统等级保护安全建设整改方案一、背景说明某医院信息系统是医院重要的管理与运营工具，涉及患者的个人隐私和医疗信息的保护，对医院的运行及服务质量有着重要的影响。
然而，随着信息化进程的加快和网络攻击的日益增多，医院信息系统安全面临较大挑战。
在此背景下，为了提高医院信息系统安全等级保护，制定整改方案势在必行。
二、存在问题1. 信息系统管理不到位：缺乏系统的信息系统管理规范和流程，导致信息系统运作混乱。
2. 安全意识薄弱：大部分员工对信息系统安全认识不足，存在一定的安全风险。
3. 安全措施落后：医院信息系统的安全措施滞后，存在重大安全隐患。
4. 安全漏洞频出：由于系统升级不及时和漏洞修复不完善，导致安全漏洞频繁出现。
三、整改方案1. 建立信息系统管理规范: 制定医院信息系统管理规范，明确信息系统使用、管理、运维等流程，确保信息系统安全稳定运行。
2. 提升安全意识：开展定期的信息安全培训，提高员工对信息安全的认识和重视程度。
3. 加强安全技术措施：更新信息系统安全设备和软件，强化系统防火墙、入侵检测系统、加密技术等安全措施，提高信息系统的安全性。
4. 完善安全管理机制：建立健全的信息安全管理机制，明确安全管理责任，加强对信息系统的监控和审计，及时发现并处理安全事件。
5. 加强漏洞管理：建立漏洞管理制度，及时对系统进行漏洞扫描和修复，提高信息系统的稳定性和安全性。
四、落实措施1.成立信息安全部门，负责信息系统安全管理工作。
2.制定并落实信息系统管理规范，加强对信息系统的日常监管和管理。
3.定期开展信息安全培训，提高员工的安全意识和应对能力。
4.更新信息安全设备和软件，加强对信息系统的安全防护。
5.建立安全事件应急预案，提高对安全事件的响应效率。
五、预期效果1. 提升医院信息系统安全等级保护，确保患者信息的安全和隐私。
2. 减少安全事件的发生，降低信息系统遭受攻击的风险。
3. 提高医院信息系统运行效率和服务质量，为患者提供更安全、便捷的医疗服务。
等级保护技术方案-XX大学附属XX医院-三级
密级：秘密XX大学附属XX医院（信息安全建设整体规划方案）XX有限公司201X年X月X日目录1工程项目背景 (7)2安全建设路线 (8)2.1设计原则 (8)2.1.1等级保护建设原则 (8)2.1.2体系化的设计原则 (8)2.1.3产品的先进性原则 (8)2.1.4按步骤有序建设原则 (8)2.1.5安全服务细致化原则 (9)2.2等级化建设思路 (9)3系统分析 (10)3.1网络结构分析 (10)3.1.1业务内网 (10)3.1.2办公外网 (11)3.2业务系统分析 (12)3.2.1业务内网 (12)3.2.2办公外网 (12)4等级保护建设流程 (14)5方案参照标准 (16)6安全风险与需求分析 (17)6.1安全技术需求分析 (17)6.1.1物理安全风险与需求分析 (17)6.1.2计算环境安全风险与需求分析 (18)6.1.3区域边界安全风险与需求分析 (20)6.1.4通信网络安全风险与需求分析 (21)6.2安全管理需求分析 (23)7技术体系方案设计 (23)7.1方案设计目标 (23)7.2方案设计框架 (24)7.3安全技术体系设计 (25)7.3.1物理安全设计 (25)7.3.2计算环境安全设计 (27)7.3.2.1.................................................... 身份鉴别277.3.2.2.................................................... 访问控制287.3.2.3................................................. 系统安全审计297.3.2.4.................................................... 入侵防范307.3.2.5.............................................. 主机恶意代码防范317.3.2.6.................................................... 软件容错317.3.2.7............................................ 数据完整性与保密性317.3.2.8................................................... 备份与恢复327.3.2.9.................................................... 资源控制337.3.2.10客体安全重用 (34)7.3.2.11抗抵赖 (34)7.3.3区域边界安全设计 (35)7.3.3.1................................................. 边界访问控制357.3.3.2................................................. 安全隔离网闸367.3.3.3.................................................... 流量控制377.3.3.4................................................ 边界完整性检查397.3.3.5................................................. 边界入侵防御397.3.3.6.................................... 边界安全审计（上网行为管理）407.3.3.7................................................... 网页防篡改417.3.3.8...................................... 边界恶意代码防范（防毒墙）417.3.4通信网络安全设计 (42)7.3.4.1................................................. 网络结构安全427.3.4.2................................................. 网络安全审计427.3.4.3................................................. 网络设备防护437.3.4.4................................................... 通信完整性437.3.4.5................................................... 通信保密性447.3.4.6................................................. 网络可信接入447.3.5安全管理中心设计 (45)7.3.5.1.................................................... 系统管理457.3.5.2.................................................... 审计管理467.3.5.3...................................... 网络运维及应用监控管理系统487.3.6不同等级系统互联互通 (48)8安全管理体系设计 (49)9安全运维服务设计 (50)9.1安全扫描 (51)9.2人工检查 (51)9.3安全加固 (52)9.3.1流程 (52)9.3.2内容 (53)9.3.3风险规避 (54)9.4日志分析 (56)9.4.1流程 (56)9.4.2内容 (57)9.5补丁管理 (57)9.5.1流程 (58)9.5.2内容 (58)9.6安全监控 (59)9.6.1流程 (59)9.6.2内容 (60)9.7安全通告 (61)9.8应急响应 (62)9.8.1入侵调查 (62)9.8.2主机、网络异常响应 (62)9.8.3其他紧急事件 (62)9.8.4响应流程 (63)9.9安全运维服务的客户价值 (64)10整体配置方案 (64)10.1安全产品部署说明： (66)11方案合规性分析 (67)12信息安全产品选型及配置清单 (68)12.1产品选型 (68)12.1.1选型建议 (68)12.1.2选型要求 (68)12.2信息安全建设配置清单 (69)12.2.1业务内网安全产品配置清单 (69)12.2.2..................................... 办公外网安全产品配置清单：701工程项目背景医院是一个信息和技术密集型的行业，其计算机网络是一个完善的办公网络系统，作为一个现代化的医疗机构网络,除了要满足高效的内部自动化办公需求以外,还应对外界的通讯保证畅通。
市中医医院网络信息安全等级保护三级等保方案
市中医院信息系统网络安全等级保护三级建设方案北京XX科技有限公司2022年3月目录第1章方案概述 (5)1.1 背景 (5)1.2 方案设计目标 (8)1.3 方案设计原则 (8)1.4 方案设计依据 (9)第2章信息系统定级情况 (12)第3章安全需求分析 (13)3.1 安全指标与需求分析 (13)第4章信息安全体系框架设计 (16)第5章管理体系整改方案 (17)5.1 安全制度制定解决方案 (17)5.1.1 策略结构描述 (17)5.1.2 安全制度制定 (20)5.1.3 满足指标 (21)5.2 安全制度管理解决方案 (21)5.2.1 安全制度发布 (21)5.2.2 安全制度修改与废止 (22)5.2.3 安全制度监督和检查 (22)5.2.4 安全制度管理流程 (23)5.2.5 满足指标 (26)5.3 安全教育与培训解决方案 (27)5.3.1 信息安全培训的对象 (27)5.3.2 信息安全培训的内容 (28)5.3.3 信息安全培训的管理 (29)5.3.4 满足指标 (30)5.4 人员安全管理解决方案 (30)5.4.1 普通员工安全管理 (30)5.4.2 安全岗位人员管理 (32)5.4.3 满足指标 (37)5.5 第三方人员安全管理解决方案 (37)5.5.1 第三方人员短期访问安全管理 (38)5.5.2 第三方人员长期访问安全管理 (39)5.5.3 第三方人员访问申请审批流程信息表 (41)5.5.4 第三方人员访问申请审批流程图 (42)5.5.5 满足指标 (42)5.6 系统建设安全管理解决方案 (43)5.6.1 系统安全建设审批流程 (43)5.6.2 项目立项安全管理 (45)5.6.3 信息安全项目建设管理 (47)5.6.4 满足指标 (53)5.7 等级保护实施管理解决方案 (57)5.7.1 信息系统描述 (59)5.7.2 等级指标选择 (68)5.7.3 安全评估与自测评 (71)5.7.4 方案与规划 (77)5.7.5 建设整改 (79)5.7.6 运维 (84)5.7.7 满足指标 (87)5.8 软件开发安全管理解决方案 (88)5.8.1 软件安全需求管理 (89)5.8.2 软件设计安全管理 (91)5.8.3 软件开发过程安全管理 (96)5.8.4 软件维护安全管理 (99)5.8.5 软件管理的安全管理 (101)5.8.6 软件系统安全审计管理 (102)5.8.7 满足指标 (103)5.9 安全事件处置与应急解决方案 (103)5.9.1 安全事件预警与分级 (104)5.9.2 安全事件处理 (110)5.9.3 安全事件通报 (116)5.9.4 应急响应流程 (118)5.9.5 应急预案的制定 (119)5.9.6 满足指标 (133)5.10 日常安全运维管理解决方案 (135)5.10.1 运维管理 (135)5.10.2 介质管理 (137)5.10.3 恶意代码管理 (139)5.10.4 变更管理管理 (141)5.10.5 备份与恢复管理 (143)5.10.6 设备管理管理 (147)5.10.7 网络安全管理 (152)5.10.8 系统安全管理 (156)5.10.9 满足指标 (160)5.11 安全组织机构设置解决方案 (168)5.11.1 安全组织总体架构 (168)5.11.2 满足指标 (174)5.12 安全沟通与合作解决方案 (176)5.12.1 沟通与合作的分类 (176)5.12.2 风险管理不同阶段中的沟通与合作 (178)5.12.3 满足指标 (179)5.13 定期风险评估解决方案 (180)5.13.1 评估方式 (181)5.13.2 评估内容 (182)5.13.3 评估流程 (184)5.13.4 满足指标 (186)第6章技术整改方案设计 (188)6.1 设计原则 (188)6.2 安全保障体系构成 (191)6.2.1 安全技术体系 (192)6.2.2 安全管理体系 (197)6.2.3 安全运维体系 (197)6.3 安全技术方案详细设计 (198)6.3.1 信息安全拓扑设计 (199)6.3.2 安全计算环境设计 (213)6.3.3 安全区域边界设计 (225)6.3.4 安全通信网络设计 (230)6.3.5 安全管理中心设计 (234)6.4 安全管理体系详细设计 (239)6.4.1 安全管理建设设计指导思想 (239)6.4.2 建立安全管理制度及策略体系的目的 (240)6.4.3 设计原则 (240)6.4.4 安全方针 (241)6.4.5 信息安全策略框架 (242)6.4.6 总体策略 (242)6.4.7 安全管理组织机构 (244)6.4.8 服务交付物 (247)6.5 安全运维体系详细设计 (251)6.5.1 门户网站安全监控 (251)6.5.2 应急响应服务 (256)6.5.3 安全通告服务 (259)6.5.4 网络及安全设备维护 (260)6.5.5 系统安全维护 (262)6.5.6 网络防护 (263)6.5.7 系统加固 (263)第7章技术体系符合性分析 (270)7.1 物理安全 (270)7.2 网络安全 (275)7.3 主机安全 (283)7.4 应用安全 (290)7.5 数据安全与备份恢复 (297)第8章工程建设 (300)8.1 工程一期建设 (300)8.1.1 区域划分 (300)8.1.2 网络环境改造 (301)8.1.3 网络边界安全加固 (301)8.1.4 网络及安全设备部署 (302)8.1.5 安全管理体系建设服务 (339)8.1.6 安全加固服务 (357)8.1.7 应急预案和应急演练 (364)8.1.8 安全等保认证协助服务 (364)8.2 工程二期建设 (365)8.2.1 安全运维管理平台（soc） (365)8.2.2 APT高级威胁分析平台 (369)第9章本期采购安全产品清单 (372)第1章方案概述1.1背景为了保障基于“健康云”、“智慧云”的XX中医院，我公司依据公安部《关于开展信息系统等级保护安全建设整改工作的指导意见》公信安[2009]1389号)的要求，贯彻“通过组织开展信息安全等级保护安全管理制度建设、技术措施建设和等级测评，落实等级保护制度的各项要求，使信息系统安全管理水平明显提高，安全防范能力明显增强，安全隐患和安全事故明显减少，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益”的方针，为市中医院需要在规划、建设和使用相关信息系统的同时对信息安全也要同步建设，全面开展信息安全等级保护建设整改工作。
医院信息系统网络安全等级保护三级建设项目建议书
医院信息系统信息安全等级保护三级建设项目安全方案目录1前言 (5)1.1项目建设目的 (5)1.2设计原则 (6)1.3设计范围 (9)1.4参考标准 (9)1.4.1信息系统安全等级保护标准和规范 (9)1.4.2其他信息安全标准和规范 (11)1.5其他说明 (11)2医院信息化现状 (12)2.1医院业务系统现状 (12)2.2医院信息化建设特点 (18)2.3医院容易出现的安全现象 (18)2.4医院容易出现的安全认识误区 (20)2.5现状总结 (20)3医院信息系统模型 (24)3.1技术模型 (25)3.2管理模型 (26)3.3应用模型 (28)4定级建议 (33)4.1确定定级对象 (34)4.2确定系统定级 (35)4.2.1医院综合管理信息系统（HIS） (35)4.2.2临床信息系统（CIS） (37)4.2.3医学影像存储与传输系统（PACS） (37)4.2.4检验管理信息系统（LIS） (37)4.2.5医院门户网站 (38)4.2.6医院办公自动化系统（OA） (39)4.3定级对象与安全区域对应关系 (41)4.4系统安全域定级建议 (42)4.5系统安全域的安全策略 (43)4.5.1安全技术策略 (43)4.5.2安全管理策略 (46)4.6符合等级保护要求的安全防护需求 (48)4.6.1物理层安全需求 (49)4.6.2网络层安全需求 (50)4.6.3主机层安全需求 (51)4.6.4应用层安全需求 (52)5安全保障体系解决方案 (53)5.1信息安全保障体系等级保护设计思路 (53)5.1.1构建分域的安全体系 (53)5.1.2构建纵深的防御体系 (53)5.1.3保证一致的安全强度 (54)5.1.4实现集中的安全管理 (54)5.2安全保障体系设计原则 (54)5.3安全保障体系总体框架 (56)5.3.1安全管理体系设计 (57)5.3.2安全技术体系设计 (58)5.3.3服务支持体系 (60)5.4医院信息系统安全保障方案 (61)5.4.1医院网络安全域划分 (61)5.4.2医院信息系统网络安全规划设计 (65)5.4.3医院信息系统网络边界安全建设方案 (65)5.4.4医院信息系统主机安全建设方案 (73)5.4.5医院信息系统应用安全建设方案(可选) (79)5.4.6医院信息系统数据安全及备份恢复安全建设方案（可选） (81)5.4.7安全管理中心建设方案 (83)5.4.8医院信息系统物理安全建设方案 (91)5.5医院信息系统安全管理方案 (92)5.5.1安全管理机构规划 (92)5.5.2安全管理制度规划 (103)5.5.3人员安全规划 (106)5.5.4系统建设规划 (108)5.5.5系统运维规划 (114)6医院安全保障体系建设安全设备需求 (122)6.1大型医院(1000及1200床) (122)6.2中型医院（600-800床） (124)6.3小型医院（200-400床） (126)6.4社康中心 (129)1前言1.1项目建设目的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号，以下简称“27号文件”）明确要求我国信息安全保障工作实行等级保护制度，提出“抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。
蚌埠五河人民医院医院信息系统三级等级保护建设项目招
蚌埠市五河县人民医院医院信息系统三级等级保护建设项目招标技术要求方案的概述医院信息系统三级等级保护方案如下：依据国家信息系统安全等级保护基本要求和公安部82号令的相关法规，结合对医院网络安全分析的结果，建议从医院办公内网、办公外网方面在网络接入安全、应用安全、主机安全、数据安全等维度进行安全体系的设计，从而实现医院网络安全的整体防护。
其中办公内网包括了医院内部外联区、核心业务区、安全运维区、互联网接入区（外联区主要包含了各级医保单位、农合、银联、分支接入）。
（1）生产内网外联域（医保网/合作交换平台区域）：该区域说明如下：与对端农合交换平台数据对接（使用IPSec VPN），需识别专网之间流量中的威胁，实现对流量中入侵行为的检测与阻断（使用第二代防火墙）。
（2）内网核心业务区：该安全域主要承载内网核心业务信息系统，需对这些业务信息系统提供2-7层安全威胁识别及阻断攻击行为的能力，如SQL注入、XSS（跨站脚本攻击）、CSRF（跨站请求伪造攻击）、cookie篡改等（使用第二代防火墙）。
（3）安全运维区：使用堡垒主机，数据库审计，日志审计，运维管理一体机，安全态势感知平台等。
形成规范的运维授权管理流程，通过对运维操作内容的记录，提供指令级别的操作控制能力，通过技术手段有效规范运维人员的操作行为，降低内部安全风险，自动分析运维人员操作过程，评估访问风险、并提供完整的合规审计报告，降低IT内控审计工作量（使用堡垒主机产品）；主要存储业务信息系统产生的数据，需对这些数据库的访问权限进行划分，并对数据库的相关操作进行审计，防止医疗统方行为（使用数据库审计产品）；实时不间断地采集汇聚医院网络中不同厂商不同种类的安全设备、网络设备、主机、操作系统、用户业务系统的日志信息，协助用户进行安全分析及合规审计，及时、有效的发现异常安全事件及审计违规（使用日志审计产品）；识别常见网络应用，实现基于业务系统、目标服务器、来源（分支/用户）、协议、会话等多个维度进行流量可视化，监控上网链路质量是否健康、用户上网体验是否正常、网络时延、重传等关键指标，能够实时监视服务器的常见资源使用情况，监视路由器、交换机、防火墙等基础网络设备功能的CPU/内存利用率、网口流量等信息（使用运维管理一体机产品）。
日照市中医医院信息安全三级等保项目[001]
![日照市中医医院信息安全三级等保项目[001]](https://img.taocdn.com/s3/m/944654fd162ded630b1c59eef8c75fbfc77d94c9.png)
日照市中医医院信息安全三级等保项目编号名称技术参数要求数量1病毒过滤网关（防毒墙）1、硬件配置：1U机架式机箱最大可支持26个接口，包括≥2个可插拨的扩展槽，≥4个SFP插槽≥6个10/100/1000BASE-T接口，电口具有至少两组BYPASS接口含3年病毒库升级服务许可（快速+深度）性能：整机吞吐率：≥3Gbps最大并发连接数≥220W病毒检测吞吐率≥900Mbps2、系统要求：设备必须为专业的防病毒网关产品，非防火墙/下一代防火墙、UTM、IPS等具有防病毒功能模块的产品，并出具网关防病毒类产品销售许可证书及公安部计算机病毒防治产品检验中心的检测报告；提供公安部颁发的计算机信息系统安全专用产品（网关防病毒类产品）销售许可证（增强级）；3、要求基于多核多平台并行安全操作系统（提供证明）；支持多核系统，提高硬件资源的利用率；4、病毒检测过滤功能具有双库双引擎病毒检测扫描技术，可选择使用不同的病毒库，而且能够根据不同的被检测协议选择采用不同的扫描引擎（快速扫描引擎或深度扫描引擎）（提供截图）；5、能够防御病毒、木马、蠕虫、间谍软件等恶意软件，且支持对压缩数据、加壳病毒的检测与处理；支持对HTTP、FTP、POP3、SMTP、IMAP等常用协议进行病毒检测与过滤；可实时检测到日益泛滥的蠕虫攻击，并对其进行实时阻断，从而有效防止内部网络因遭受蠕虫攻击而陷于瘫痪支持IPv4和IPv6双栈协议的病毒扫描与过滤（提供截图），支持智能检测应用协议的病毒行为，采用自动智能方式准确识别并扫描检测常用应用协议任意端口的病毒传输行为，而非通过传统手动配置协议端口绑定形式进行病毒扫描（提供截图）；6、★要求病毒检测率不低于98%，并提供国家专业病毒检测机构的证明；病毒库采用国际国内知名主流品牌病毒库，并提供两家及以上专业病毒厂商的授权证明文件；要求具有独立的蠕虫防护规则库，并可通过手动或自动方式进行升级（提供截图）；病毒库提供商应通过VB100认证、病毒库提供商应通过ICSA认证（提供证明）；7、要求病毒网关默认加载的流行病毒库总数大于600万，可本地化完成病毒地检测过滤与处理，无需发送到云端检测（提供截图）；8、支持多接口旁路的病毒传输监听检测方式，可并行监听并检测多个网段内的病毒传输行为；支持多通道防护，可利用同一台病毒过滤网关的多条扫描通道对多个区域的网络实现病毒防护，在增强了安全性的同时还节省了企业的防护成本（提供截图）；9、支持即时报表和定时报表，报表可在线查看也可导出word文档；支持病毒隔离功能，管理员可方便的管理隔离区，可选择把隔离区的内容删除，可选择将隔离内容发送到指定的多个邮箱进行后期的分析处理；当出现病毒突然爆发状况时，可向网络管理员发送报警信息，需支持邮件报警、声音报警、SNMP等报警方式；支持至少3个Syslog服务器，可将不同类型的日志发送到不同服务器（提供截图）；10、资质要求：产品提供公安部颁发的计算机信息系统安全专用产品（网关防病毒类产品）销售许可证（增强级），病毒过滤网关IPv6Ready2资质认证；为保障产品和服务质量要求厂商具有：涉密信息系统集成甲级资质、电信级品质管理体系TL9000认证、中国国家信息安全漏洞库（CNNVD）一级技术支撑单位、国家互联网应急响应中心颁发的国家级网络安全应急服务支撑单位、ISCCC一级风险评估服务资质、ISCCC一级应急能力资质，以上资质要求提供证明文件复印件并加盖原厂公章。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
XXX医院信息系统等级保护安全建设方案目录1方案概述 (6)1.1背景 (6)1.2方案设计目标 (9)1.3方案设计原则 (9)1.4方案设计依据 (10)2信息系统定级情况 (13)3安全需求分析 (14)3.1安全指标与需求分析 (14)4信息安全体系框架设计 (18)5管理体系整改方案 (19)5.1安全制度制定解决方案 (19)5.1.1策略结构描述 (19)5.1.2安全制度制定 (23)5.1.3满足指标 (23)5.2安全制度管理解决方案 (24)5.2.1安全制度发布 (24)5.2.2安全制度修改与废止 (25)5.2.3安全制度监督和检查 (25)5.2.4安全制度管理流程 (26)5.2.5满足指标 (30)5.3安全教育与培训解决方案 (31)5.3.1信息安全培训的对象 (32)5.3.2信息安全培训的内容 (33)5.3.3信息安全培训的管理 (34)5.3.4满足指标 (35)5.4人员安全管理解决方案 (36)5.4.1普通员工安全管理 (36)5.4.2安全岗位人员管理 (38)5.4.3满足指标 (44)5.5第三方人员安全管理解决方案 (46)5.5.1第三方人员短期访问安全管理 (47)5.5.2第三方人员长期访问安全管理 (48)5.5.3第三方人员访问申请审批流程信息表 (50)5.5.4第三方人员访问申请审批流程图 (52)5.5.5满足指标 (53)5.6系统建设安全管理解决方案 (54)5.6.1系统安全建设审批流程 (54)5.6.2项目立项安全管理 (55)5.6.3信息安全项目建设管理 (57)5.6.4满足指标 (63)5.7等级保护实施管理解决方案 (70)5.7.1信息系统描述 (72)5.7.2等级指标选择 (79)5.7.3安全评估与自测评 (82)5.7.4方案与规划 (87)5.7.5建设整改 (89)5.7.6运维 (94)5.7.7满足指标 (97)5.8软件开发安全管理解决方案 (100)5.8.1软件安全需求管理 (101)5.8.2软件设计安全管理 (102)5.8.3软件开发过程安全管理 (107)5.8.4软件维护安全管理 (110)5.8.5软件管理的安全管理 (111)5.8.6软件系统安全审计管理 (112)5.8.7满足指标 (113)5.9安全事件处置与应急解决方案 (114)5.9.1安全事件预警与分级 (115)5.9.2安全事件处理 (120)5.9.3安全事件通报 (126)5.9.4应急响应流程 (127)5.9.5应急预案的制定 (128)5.9.6满足指标 (142)5.10日常安全运维管理解决方案 (146)5.10.1运维管理 (146)5.10.2介质管理 (148)5.10.3恶意代码管理 (150)5.10.4变更管理管理 (151)5.10.5备份与恢复管理 (152)5.10.6设备管理管理 (156)5.10.7网络安全管理 (160)5.10.8系统安全管理 (164)5.10.9满足指标 (167)5.11安全组织机构设置解决方案 (184)5.11.1安全组织总体架构 (184)5.11.2满足指标 (189)5.12安全沟通与合作解决方案 (193)5.12.1沟通与合作的分类 (193)5.12.2风险管理不同阶段中的沟通与合作 (195)5.12.3满足指标 (197)5.13定期风险评估解决方案 (198)5.13.1评估方式 (199)5.13.2评估内容 (200)5.13.3评估流程 (202)5.13.4满足指标 (203)6技术体系整改方案 (204)6.1总体部署说明 (204)6.1.1内网网络部署方案 (204)6.1.2外网网络部署方案 (206)6.1.3DMZ数据交换区域部署方案 (207)6.2边界访问控制解决方案 (208)6.2.1需求分析 (208)6.2.2方案设计 (209)6.2.3方案效果 (211)6.2.4满足指标 (214)6.3边界入侵防御解决方案 (215)6.3.1需求分析 (215)6.3.2方案设计 (216)6.3.3方案效果 (220)6.3.4满足指标 (222)6.4网关防病毒解决方案 (223)6.4.1需求分析 (223)6.4.2方案设计 (224)6.4.3方案效果 (225)6.4.4满足指标 (226)6.5网络安全审计解决方案 (228)6.5.1需求分析 (228)6.5.2方案设计 (229)6.5.3方案效果 (238)6.5.4满足指标 (243)6.6漏洞扫描解决方案 (245)6.6.1需求分析 (245)6.6.2方案设计 (248)6.6.3方案效果 (253)6.6.4满足指标 (256)6.7应用监控解决方案 (258)6.7.1需求分析 (258)6.7.2方案设计 (258)6.7.3方案效果 (261)6.7.4满足指标 (263)6.8安全管理中心解决方案 (265)6.8.1需求分析 (265)6.8.2方案设计 (266)6.8.3方案效果 (285)6.8.4满足指标 (288)7技术体系符合性分析 (290)7.1物理安全 (290)7.2网络安全 (294)7.3主机安全 (301)7.4应用安全 (307)7.5数据安全与备份恢复 (313)8方案整体部图和初步预算 (315)8.1项目预算 (317)1方案概述1.1背景医院是一个信息和技术密集型的行业，其计算机网络是一个完善的办公网络系统，作为一个现代化的医疗机构网络,除了要满足高效的内部自动化办公需求以外,还应对外界的通讯保证畅通。
结合医院复杂的HIS、LIS、PACS等应用系统，要求网络必须能够满足数据、语音、图像等综合业务的传输要求，所以在这样的网络上应运用多种高性能设备和先进技术来保证系统的正常运作和稳定的效率。
同时医院的网络系统连接着Internet、医保网和高校等，访问人员比较复杂，所以如何保证医院网络系统中的数据安全问题尤为重要。
在日新月异的现代化社会进程中，计算机网络几乎延伸到了世界每一个角落，它不停的改变着我们的工作生活方式和思维方式，但是，计算机信息网络安全的脆弱性和易受攻击性是不容忽视的。
由于网络设备、计算机操作系统、网络协议等安全技术上的漏洞和管理体制上的不严密，都会使计算机网络受到威胁。
我们可以想象一下，对于一个需要高速信息传达的现代化医院，如果遭到致命攻击，会给社会造成多大的影响。
为了保障我国关键基础设施和信息的安全，结合我国的基本国情，制定了等级保护制度。
并将等级保护制度作为国家信息安全保障工作的基本制度、基本国策，促进信息化、维护国家信息安全的根本保障。
而针对医疗卫生行业，卫生部于2011年11月分别发布《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126号），卫生部关于印发《卫生行业信息安全等级保护工作的指导意见》的通知（卫办发〔2011〕85号），85号文规定了主要工作内容：1.定级备案（规定了定级范围及级别）2.建设与整改（规定了二级（含）以上系统需进行差距分析与整改）3.等级测评（规定了三级（含）以上需进行等保测评）4.宣传培训（规定了各类卫生机构需进行信息安全培训，提高安全意识）5. 监督检查（规定了信息化工作领导小组对各医疗机构等级保护工作进行督导）全面开展等级保护建设，对医院特别是三级甲等医院的信息化建设提出了更高的要求，其核心业务信息系统的建设应按照不低于等级保护三级的标准进行。
资阳市第一人民医院位是一所集医疗、科研、教学、预防、保健、康复于一体的三级乙等综合性公立医院，是川北医学院教学医院，资阳市“住院医师规范化培训基地、全科医师培训基地、执业医师临床实践技能考核”医院，资阳市、雁江区两级城镇职工基本医疗保险、大病统筹、新农合医疗定点医院，资阳市工伤保险、生育保险和太平洋、平安、中国人寿、泰康人寿等商业保险医疗定点医院。
是四川大学华西医院远程会诊、远程教学定点医院。
医院先后被部、省、市、卫生行政主管部门表彰为“全国卫生工作先进集体”、“全国计划生育工作先进集体”、“四川省文明医院”、“四川省文明单位”、“资阳市最佳文明单位”等光荣称号。
办院理念：突出中心，病人第一；奉献社会，服务第一；奋力攀登，发展第一。
办院目标：一流的管理，一流的技术，一流的质量，一流的服务，一流的环境。
办院方针：科技兴院，质量立院，管理强院，从严治院。
办院办法：人尽其才，财尽其效，物尽其用，地尽其利。
为了保障资阳市第一人民医院的医疗信息化业务的高效运行，以政策性信息安全等级保护建设为指导，根据《GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南》和《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》，进行三级实施保护的优化设计，让资阳市第一人民医院的网络系统达到信息安全的三级等级保护要求。
1.2方案设计目标本次资阳市第一人民医院核心业务系统等级保护安全建设的主要目标是：按照等级保护要求，结合实际业务系统，对医院核心业务系统进行充分调研及详细分析，将医院核心业务系统系统建设成为一个及满足业务需要，又符合等级保护三级系统要求的业务平台。
建设一套符合国家政策要求、覆盖全面、重点突出、持续运行的信息安全保障体系，达到国内一流的信息安全保障水平，支撑和保障信息系统和业务的安全稳定运行。
该体系覆盖信息系统安全所要求的各项内容，符合信息系统的业务特性和发展战略，满足医院信息安全要求。
1.3方案设计原则“全面保障”原则：信息安全风险的控制需要多角度、多层次，从各个环节入手，全面的保障。
“整体规划，分步实施”原则：对信息安全建设进行整体规划，分步实施，逐步建立完善的信息安全体系。
“同步规划、同步建设、同步运行”原则：安全建设应与业务系统同步规划、同步建设、同步运行，在任何一个环节的疏忽都可能给业务系统带来危害。
“适度安全”原则：没有绝对的安全，安全和易用性是矛盾的，需要做到适度安全，找到安全和易用性的平衡点。
“内外并重”原则：安全工作需要做到内外并重，在防范外部威胁的同时，加强规范内部人员行为和访问控制、监控和审计能力。
“标准化”原则：管理要规范化、标准化，以保证在能源行业庞大而多层次的组织体系中有效的控制风险。
“技术与管理并重”原则：网络与信息安全不是单纯的技术问题，需要在采用安全技术和产品的同时，重视安全管理，不断完善各类安全管理规章制度和操作规程，全面提高安全管理水平。
1.4方案设计依据本方案的设计主要依据以下等级保护政策：⏹公安部、国家保密局、国际密码管理局、国务院信息化工作办公室联合转发的《关于信息安全等级保护工作的实施意见》（公通字〔2004〕66号）⏹公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定的《信息安全等级保护管理办法》（公通字〔2007〕43号）⏹公安部颁发的《关于开展信息安全等级保护安全建设整改工作的指导意见》(公信安〔2009〕1429号)⏹公安部《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安〔2010〕303号）⏹⏹本方案的设计主要依据如下等级保护标准：⏹《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）⏹《信息安全技术信息系统等级保护安全设计技术要求》(GB/T 25070-2010)本方案还参考了如下一些政策和标准：⏹《信息安全技术信息系统安全等级保护定级指南》(GB/T 22240-2008)⏹《信息安全技术信息系统安全等级保护实施指南》⏹《信息安全技术信息系统安全等级保护测评要求》⏹《信息安全技术信息系统安全等级保护测评过程指南》⏹《计算机信息系统安全保护等级划分准则》（GB17859-1999）⏹《信息安全技术信息系统通用安全技术要求》（GB/T 20271-2006）⏹《信息安全技术网络基础安全技术要求》（GB/T 20270-2006）⏹《信息安全技术操作系统安全技术要求》（GB/T 20272-2006）⏹《信息安全技术数据库管理系统安全技术要求》（GB/T 20273-2006）⏹《信息安全技术服务器技术要求》（GB/T 21028-2007）⏹《信息安全技术终端计算机系统安全等级技术要求》（GA/T 671-2006）⏹《信息安全技术信息系统安全管理要求》（GB/T 20269-2006）⏹《信息安全技术信息系统安全工程管理要求》（GB/T 20282-2006）⏹GB/T 22080-2008/ISO/IEC 27001:2005《信息技术安全技术信息安全管理体系要求》⏹IATF《信息保障技术框架》2信息系统定级情况资阳市第一人民医院核心业务系统是医院信息系统（Hospital Information System，HIS）和影像归档和通信系统(Picture Archiving and Communication Systems, PACS)、实验室（检验科）信息系统(Laboratory Information System，LIS) 。