三甲医院等级测评技术白皮书-V6

三甲医院等级测评 技术白皮书

东软 2012年8月 1

目 录 1 等保建设与等级测评-行业文件及进度要求 ............................................................... 1 2 等保建设及等级评测-三级综合医院评审相关要求 ................................................... 1 3 等保建设及等级测评的流程、内容 ............................................................................ 2 3.1 等保建设的阶段划分 ............................................................................................. 2 3.2 等级测评的流程与方法 ......................................................................................... 3 3.3 等级测评备案 ......................................................................................................... 4 4 等级测评的内容及指标体系 ........................................................................................ 5 4.1 等保三级基本要求-物理安全 ................................................................................ 6 4.2 等保三级基本要求-网络安全 ................................................................................ 7 4.3 等保三级基本要求-主机安全 ................................................................................ 9 4.4 等保三级基本要求-应用安全 .............................................................................. 11 4.5 等保三级基本要求-数据安全及备份恢复 .......................................................... 12 4.6 等保三级基本要求-安全管理制度 ...................................................................... 13 4.7 等保三级基本要求-安全管理机构 ...................................................................... 13 4.8 等保三级基本要求-人员安全管理 ...................................................................... 14 4.9 等保三级基本要求-系统建设管理 ...................................................................... 15 4.10 等保三级基本要求-系统运维管理 .................................................................. 17 5 东软等级保护服务优势 .............................................................................................. 21 6 东软等保差距测评部分典型案例 .............................................................................. 23 6.1 中国国际金融有限公司-等级保护差距测评 ...................................................... 23 6.2 南方电网集团-等级测评与信息安全管理体系梳理 .......................................... 23 6.3 国家质检总局-等级保护咨询评估 ...................................................................... 23 1

1 等保建设与等级测评-行业文件及进度要求 根据《 卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126号），“十二五”期间包括三甲医院在内的所有卫生行业单位全面开展信息系统定级、备案、整改建设和等级测评工作。加强卫生行业等保建设，对于确保公共卫生和医疗信息系统安全稳定运行，维护社会和谐，改善医患关系，保护患者隐私，防止商业秘密泄露具有重要意义。 目前全国各省均己按照卫生部要求积极推动卫生行业等保工作，绝大部分省市均要求在2012年底或2013年底前完成三甲医院的等保定级、备案、整改建设和等级测评工作。以广东为例，根据广东省卫生厅《关于全面开展全省卫生行业信息安全等级保护工作的通知》（粤卫办函〔2012〕2号），广东省各级卫生单位要在2012年12月30日前完成信息安全等级保护建设整改并通过等级测评。陕西省卫生厅也下发了《陕西省卫生厅关于印发陕西省卫生行业信息安全等级保护工作实施方案的通知》（陕卫办发〔2012〕132号），要求在2012年底前完成三级甲等医院的核心业务信息系统的定级、保护和备案工作。各省、市、自治区均依据各自实际情况，制定了相应的等保建设进度安排，以达到卫生部卫办综函〔2011〕1126号文件中所要求的，在2015年底前完成全行业的等保建设整改和测评工作。

2 等保建设及等级评测-三级综合医院评审相关要求 等保建设是三甲医院建设的重要内容。《三级综合医院评审标准实施细则（2011 年版）》第六章对三甲医院有如下要求：“实施国家信息安全等级保护制度，实行信息系统操作权限分级管理，保障网络信息安全，保护患者隐私。推动系统运行维护的规范化管理，落实突发事件响应机制，保证业务的连续性。”，对信息系统的安全措施、防病毒、防入侵、安全监管、安全运维及安全保护等级等作出了详细规定。 2

3 等保建设及等级测评的流程、内容 3.1 等保建设的阶段划分

如上图所示，三甲医院等保项目建设可以划分为系统定级、等保差距测评及规划设计、等保安全集成、等级测评、等级测评备案及安全运维6个阶段。对于三级系统（如三甲医院HIS系统、电子病历系统等），在安全运维阶段还需要每年做一次等级测评及备案工作。具体流程是： 1、按照《信息安全技术信息系统安全等级保护定级指南》开展定级工作，并报属地公安机关及卫生行政部门备案。 2、 按照国家信息安全等级保护工作规范及相关标准开展安全保护现状分析，查找安全隐患及与等保标准之间的差距，确定安全需求；制订等级保护建设整改方案，并经信息安全技术专家委员会论证。 3、按照整改方案，完善安全保护设施，建立安全管理制度，落实安全管理措施，形成信息安全技术防护体系和信息安全管理体系，保障信息系统安全。 4、选择权威等级测评机构，对医院三级及三级以上信息系统进行等级测评。 5、等级测评合格后，将测评报告报属地公安机关及卫生行政部门备案。 6、在日常运维过程中落实相应技术及管理措施，保障信息系统的安全稳定运行。 3

阶段 文档输出成果物 定级备案 《信息系统定级结果报告》：包括信息化现状概述；管理模式；信息系统列表；信息系统的概述；信息系统的边界、设备部署、支撑的业务应用、安全保护等级以及保护要求； 差距测评与规划设计 《差距测评报告》（每个系统一份报告）：包括信息系统现状、信息系统安全测评的方法、信息系统运行环境测评、安全测评内容、残留风险分析与评价； 《安全设计方案》根据等保标准中对三级系统的相关要求以及医院的实际情况编写安全设计方案，包括对系统的安全保护要求、策略和措施等内容； 等保安全集成 《安全建设项目计划》：包含项目所有过程的时间、人员、质量控制等；《项目实施报告》：包含项目工作日志、会议纪要、变更文档等；《项目验收文档》：包含系统交付清单以及产品相关文档等； 等级测评 《等级测评报告》（每个系统一份报告）：内容包括信息系统现状、信息系统安全测评的方法、信息系统运行环境测评、安全测评内容、预估风险分析与符合度评价、残留风险的测试以及控制方法等建议结论。 等级测评备案 《信息系统安全等级保护备案表》 安全运维 《系统运行管理和控制报告》、《系统变更管理和控制报告》、《系统安全状态监控及安全事件处置报告》

3.2 等级测评的流程与方法 根据《卫生行业信息安全等级保护工作的指导意见》，三甲医院的等保相关测评工作主要分为两类：差距测评及等级测评。两类测评依据的标准和内容是相同的。差距测评通常在整改建设前完成，等级测评通常在整改建设完成后进行。 差距测评是依据对安全现状的调研和分析，查找安全隐患及与国家信息安全等级保护标准之间的差距，测评报告和结果主要用于指导等保合规性建设。