把脈醫療信息系統

伴隨著醫院信息系統的快速發展，網絡信息安全及病人信息安全等問題日益突出。病毒泛濫、系統漏洞、黑客攻擊等諸多問題，已經直接影響到醫院網絡的正常運行及病人信息安全。如何應對網絡安全威脅、確保網絡安全，提供可靠的網絡保障，是每個醫院不得不關注的問題。

醫院信息系統平臺的業務依賴一個高效和安全穩定運行的信息化網絡系統，對于醫院平臺辦公網絡，客戶端病毒庫更新、系統及時分發補丁、集中統一用戶安全策略，保證用戶終端的安全、阻止威脅入侵網絡，是保證醫院HIS 電子病歷 PACS等系統安全運行的前提，因此需要對用戶接入網絡惟一身份進行合法性認證，對用戶的網絡訪問行為進行有效地控制及實時監控，避免對醫院業務及病人信息造成不可估量的損失。

三分技術 七分管理

網絡安全問題的解決，三分靠技術，七分靠管理，嚴格管理是醫療機構及用戶免受網絡安全問題威脅的重要措施。事實上，多數醫療機構都缺乏有效的制度和手段管理網絡安全。網絡用戶不及時升級系統補丁、病毒庫的現象普遍存在；隨意接入網絡、私設代理服務器、私自訪問保密資源等行為在醫療網中也比比皆是。管理的欠缺不僅會直接影響用戶網絡的正常運行，還可能使醫院蒙受巨大的損失。

目前，多數網絡安全事件都是由脆弱的用戶終端和“失控”的網絡使用行為引起的。“失控”的用戶終端一旦接入網絡，就等于給潛在的安全威脅敞開了大門，使安全威脅在更大范圍內快速擴散。保證用戶終端的安全、阻止威脅入侵網絡，對用戶的網絡訪問行為進行有效的控制，是保證醫院網絡安全運行的前提，也是目前醫院網絡安全管理急需解決的問題。

傳統的網絡安全產品對于網絡安全問題的解決，通常是被動防御、事后補救。為了解決現有網絡安全管理中存在的不足，應對網絡安全威脅，我們認真比較，采用終端準入技術。終端準入技術是從用戶終端準入控制入手，整合網絡接入控制與終端安全產品，通過安全客戶端、安全策略服務器、網絡設備以及第三方軟件的聯動，對接入網絡的用戶終端強制實施安全策略，嚴格控制終端用戶的網絡使用行為，以加強用戶終端的主動防御能力，大幅度提高網絡安全。

分析現狀 理清思路

終端準入系統要求在用戶接入網絡前，強制檢查用戶終端的安全狀況，并根據對用戶終端安全狀態的檢查結果，強制實施用戶接入控制策略，對不符合醫院安全標準的用戶進行“隔離”，并強制用戶進行病毒庫升級、系統補丁安裝等操作；在保證用戶終端具備自防御能力并安全接入的前提下，合理控制用戶的網絡行為，提升整網的安全防御能力。終端準入系統的部署實施可以幫助系統網絡平臺更好地執行醫院的各種安全策略，并且在防范內部病毒的網絡傳播、防止外部人員的非法接入、內部人員的越權訪問等方面為醫院建立起主動自我防御、自我安全加固的自免疫安全系統，從而提高信息系統網絡平臺的整體安全水平。

終端準入系統技術實現思路是通過將網絡接入控制和用戶終端安全策略控制相結合，以用戶終端對安全策略的符合度為條件，控制用戶訪問網絡的接入權限，從而降低病毒、非法訪問等安全威脅對醫院網絡帶來的危害。為達到以上目的，我們建議包括檢查——隔離——修復——監控的整體解決思路。

為了有效實現用戶終端安全準入控制，需要實現終端安全信息采集點、終端安全信息決策點和終端安全信息執行點的分離，同時還需要提供有效的技術手段，對用戶終端存在的安全問題進行修復，使之符合醫院終端安全策略，順利接入網絡進行工作。

結合需求 對癥下藥

醫院信息網絡的終端工作站，是醫院信息網絡的重要組成部分，其分布區域較多，而且面廣，往往不易于管理。很多時候就是由于終端工作站的小問題，造成整個信息網絡的大問題，并且還會影響到醫患關系，產生醫療糾紛。

在醫院多年的大規模信息網絡應用中，我們發現桌面終端的主要問題有：擅自拆換硬件設備、擅自安裝外接存儲設備以及擅自進行網絡共享等等。這些行為給醫院信息系統帶來的隱患是巨大的。以擅自安裝外接存儲設備為例，這一行為主要表現為連接USB移動存儲設備，進行計算機私用，由于私人USB移動存儲設備往往帶有病毒，這就會大大增加醫院信息系統的安全風險。再加上少數醫務人員使用私人終端，并利用網絡共享，相互傳播這些內容，就更加加劇了風險性，這些對于醫院的信息系統的安全是大大不利的。

針對以上問題，在實際工作中，我們采取了一系列的解決辦法。在數據中心部署終端準入系統，首先實現安全準入，即在終端工作站部署控制點，支持用戶ID與IP地址及MAC地址的綁定，用戶登錄時只有信息核對通過后才能接入局域網。對不同部門或具有不同管理權限的用戶指定不同的控制策略，分配到特定的用戶組，可以針對普通用戶、訪客用戶、VIP用戶分別提供不同的安全控制力度，并明確其可訪問的網絡資源。其次，通過定制化的智能管理平臺、用戶行為審計系統、網絡流量分析系統三部分，不僅實現對網絡設備的統一管理，更實現對用戶上網行為的審計以及對異常流量的實時分析。在具體的管理過程中，實現基于用戶的行為審計和流量分析，實時監測并記錄用戶的訪問目標和訪問流量，更通過與網絡設備的聯通，對非安全終端、非法行為進行強制管理，有效防止病毒傳播和帶寬濫用。同時，實現對原有網絡設備及各病毒、補丁等系統的聯動和融合。

另外，當終端工作站試圖接入網絡時，首先通過安全客戶端上傳用戶信息至安全策略服務器進行用戶身份認證，非法用戶將被拒絕接入網絡。合法用戶將被要求進行安全狀態認證，由安全策略服務器驗證補丁版本、病毒庫版本等信息是否合格，不合格用戶將被安全聯動設備放到隔離區。終端工作站的安全狀態是指操作系統補丁、第三方軟件版本、病毒庫版本、是否感染病毒等反映終端防御能力的狀態信息。通過對終端安全狀態進行評估，使得只有符合醫院安全標準的終端才能正常訪問網絡。進入隔離區的用戶可以根據醫院網絡安全策略，通過第三方服務器進行安裝系統補丁、升級病毒庫、檢查終端系統信息等操作，直到接入終端符合醫院網絡安全策略。 安全狀態合格的用戶將實施由安全策略服務器下發的安全設置，并由安全聯動設備提供基于身份的網絡服務。終端在通過病毒、補丁等安全信息檢查后，可基于終端用戶的角色，向安全客戶端下發系統配置的安全策略，按照用戶角色權限規范用戶的網絡使用行為。終端的ACL訪問策略、QoS策略、是否禁止使用代理、是否禁止使用雙網卡等安全措施設置均可由管理員統一管理，并實時應用實施。

在醫院網絡終端安全準入系統項目中，根據醫院當前的需求和未來的發展，考慮全局，我們堅持長遠發展規劃，建設成一個起點高、安全可靠、易于擴充和升級、便于管理和使用的系統。醫院終端安全準入系統具有如下特點：

嚴格的身份認證。除可采用用戶名和密碼的身份認證外，安全準入還支持身份與接入終端的MAC地址、IP地址等信息進行綁定，支持智能卡、數字證書認證，增強身份認證的安全性。

完備的安全狀態評估。根據管理員配置的安全策略，安全準入客戶端能夠對終端進行包括病毒庫版本、補丁、安裝的應用軟件、代理、撥號配置等安全認證檢查；同時，此終端準入系統還支持和微軟SMS/WSUS系統的配合使用，可以和瑞星、江民、金山、Symantec、McAfee、趨勢科技、卡巴斯基等國內外主流防病毒廠商聯動。

基于角色的網絡授權。安全準入可基于終端用戶的角色，向安全聯動設備下發事先配置的接入控制策略，按照角色權限規范用戶的網絡使用行為。

用戶與網絡融合管理。終端準入方案將用戶管理和網絡管理進行了智能融合，通過網絡拓撲不僅能夠了解到網絡設備信息和狀態，還可以實現對接入用戶的直觀管理，實時查看用戶信息、強制用戶下線、執行安全檢查等操作。

靈活的安全策略模式。針對不同身份的用戶，定制不同的安全檢查和處理模式，包括VIP模式、訪客模式、隔離模式和下線模式。

桌面資產管理。通過終端準入客戶端提供了對網絡終端資產全方位的監控和管理功能，可以對網絡終端軟硬件使用情況、變更情況進行監控，同時還支持網絡終端資產的配置管理和軟件的統一分發，實現對資產的有效管理。

數字化醫院網絡安全是一個系統工程，安全管理已成為人們關注的熱點。高度重視數字化醫院信息安全問題，把醫院信息系統的安全管理工作作為一項艱巨且長期的工作，就要求網絡管理人員結合醫院的實際情況，全方位、多角度地考察網絡安全漏洞和弱點，遵循整體安全性原則，制定出合理的網絡安全體系結構，落實好一系列安全管理措施，才能真正做到整個系統的安全，才能保證龐大的數字化醫院體系安全、健康、穩定、高效地運行。