构建医院等级保护纵深防护体系—助力医院信息安全建设

构建医院等级保护纵深防护体系—助力医院信息安全建设

作者：张滨

来源：《医学信息》2014年第24期

摘要：参考《卫生信息化\"十二五\"发展规划》的关于\"信息安全体系建设\"的要求，同时伴随医院数字化医疗的安全建设的推进，如何有效构建医院重要信息系统的安全保障体系是未来医院信息化安全关注的焦点。实践证明采取等级保护体系化建设整改，是一个行之有效的全面提升安全保护能力的方法。

关键词：医院；等级保护；体系化；建设整改方案 1需求分析

近日，为贯彻落实国家信息安全等级保护制度，满足三级甲等医院复审任务对医院信息安全等级保护的要求，三级医院开展等级保护建设势在必行。①医院信息系统出现故障，会直接影响医院业务的正常开展，导致医院业务停滞，对社会秩序和公共利益造成严重损害。②由于信息系统中存储着大量患者个人数据，若发生数据泄露，会引起患者不满，激化医患矛盾，同时带来负面社会影响。因此，现代化医院对信息系统的稳定性和安全性尤为关注。

为此，卫生部下发了《关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函 [2011]1126号文），文件中要求三级甲等医院的核心业务信息系统信息安全保护等级不低于第三级，同时要求各医院于2015年12月30日前完成信息安全等级保护建设整改工作，并通过等级测评。随后《卫生行业信息安全等级保护工作的指导意见》（卫办发[20111]85号）的发布，标志着全国卫生行业等级保护进入了提速阶段。

同时作为医院主管信息化的领导也应从风险管理的治理角度出发，按照合规性的要求进行相应级别等级保护建设，就相当于个人或组织买了一份保险，规避出现安全事件的追责问题。 综上所述，按照等级保护要求进行符合国家及行业政策规范的信息安全体系建设，非常符合医院信息化建设的根本利益和业务安全需要。 2医院等级保护建设阶段

2.1医院等级保护全生命周期建设 医院等级保护全生命周期建设主要3个阶段：需求分析->体系化实施->安全运维，具体如下所述。

龙源期刊网 http://www.qikan.com.cn

2.1.1差距测评，确定安全需求 通过系统定级、等级评估等识别系统的安全风险，确定定级对象的信息系统的安全等级，并找出系统安全现状与等级要求的差距，形成完整准确的等级化的安全建设需求。

2.1.2体系化建设，实现纵深安全保障体系 等级保护体系化安全建设的设计思想是采用\"体系化\"的分析和控制方法，以等级保护的\"一个中心、三维防护\"为核心指导思想，不仅构建集防护、检测、响应、恢复于一体的安全防护体系，而且建立符合等级保护整体安全控制要求的安全防护体系。

具体体现为：以全面贯彻落实等级保护制度为核心，打造科学实用的信息安全防护能力、安全风险监测能力、应急响应能力和灾难恢复能力，从安全技术、安全管理、安全运维三个视角构建纵深安全防护体系，切实保障医院信息安全。

2.1.3安全运维 通过安全监控、安全评估、安全加固、现场驻守、应急响应等服务包，实现从事前、事中、事后的整体安全运维，确保医院业务系统的持续安全，满足可持续性、纵深防御、等级化安全建设需求。

2.2医院等级保护体系化实施流程 通过一系列部委级等级保护项目建设的最佳实践，总结并构建等级保护的体系化实施模型，全面覆盖公安部对等级保护实施要求5个规定动作：定级、备案、建设整改、测评、监督检查，使过程方法和PDCA模型更加完善和清晰化，同时补充其他体系化要素，形成完整的信息安全等级保护体系化实施方法。

2.2.1规划阶段 主要任务：系统定级、系统备案、差距测评、建设整改方案设计、安全规划等。

2.2.2实施阶段 主要任务：建设整改实施方案、安全技术措施和安全管理措施实施。 2.2.3自查和测评阶段 主要任务：等级保护自查、系统等级测评。

2.2.4处置阶段 主要任务：等级保护体系持续改进，系统检查，采取纠正措施，防止安全事件再次发生。

3医院等级保护建设整改方案设计

3.1建设整改方案总体设计 三级医院等级保护建设整改方案设计总结来讲就是：\"三个体系（安全技术体系、安全管理体系、安全运维体系）、一个中心（安全管理中心）、三维防护（安全计算环境、安全区域边界、安全通信网络）\"。

3.2安全技术体系设计 三级信息系统的物理安全设计，不在本文所述之列。

龙源期刊网 http://www.qikan.com.cn

3.2.1安全计算环境建设 根据《安全设计技术要求》的三维防护的思想和控制要求，并结合《信息系统安全等级保护基本要求》（GB/T 22239-2008）的主机安全、应用安全和数据安全等相关安全控制项，安全计算环境的建设通过操作系统加固系统、数据库审计、终端管理系统、PKI/CA系统、WAF、网页防篡改以及系统和应用的自身安全控制实现。

3.2.2安全区域边界建设 根据《信息安全技术 信息系统等级保护安全设计技术要求 》（GB/T25070-2010）\"一个中心，三维防护\"的思想和控制要求，并结合《信息系统安全等级保护基本要求》（GB/T 22239-2008）的相关安全控制项，安全区域边界的建设通过防火墙、入侵检测、入侵防御、网络审计等安全产品实现，满足其安全控制措施的要求。

3.2.3安全通信网络建设 根据《信息安全技术 信息系统等级保护安全设计技术要求 》（GB/T25070-2010）\"一个中心，三维防护\"的思想和控制要求，并结合《信息系统安全等级保护基本要求》（GB/T 22239-2008）的相关安全控制项，安全通信网络的建设通过VPN、网络安全审计等安全产品实现，满足其安全控制措施的要求。

3.2.4集中安全管理中心建设 根据《信息安全技术 信息系统等级保护安全设计技术要求 》（GB/T25070-2010）\"一个中心，三维防护\"的思想和控制要求，并结合《信息系统安全等级保护基本要求》（GB/T 22239-2008）的相关安全控制项，安全通信网络的建设通过安全管理平台实现，包括系统管理、审计管理和安全管理满足其安全控制措施的要求。 3.3安全管理和与运维体系设计

3.3.1安全管理体系 安全管理体系主要从三个维度设计：组织、人员和策略。按照信息系统安全等级保护的相关要求，协助建立信息安全保护持续改进机制，梳理医院系统信息安全等级保护管理制度体系，健全和完善信息安全的管理体系。

3.3.2安全运维体系 主要从系统建设管理、安全运维管理及项目管理三个维度进行设计，以保证医院信息安全运维体系的健康运行。 4结论

通过分析医院等级保护安全需求，提出了全生命周期建设和体系化实施流程，以此为基础拟定了等级保护建设整改方案。本文通过以三甲医院拟定级的临床应用系统和临床辅助系统等级保护对象为基础，采用\"三个体系、一个中心、三维防护\"体系化设计方法，建立满足等级保护整体安全控制要求的纵深信息安全防护体系。 编辑/肖慧