構建醫院等級保護縱深防護體系—助力醫院信息安全建設

摘要：參考《衛生信息化\"十二五\"發展規劃》的關于\"信息安全體系建設\"的要求，同時伴隨醫院數字化醫療的安全建設的推進，如何有效構建醫院重要信息系統的安全保障體系是未來醫院信息化安全關注的焦點。實踐證明采取等級保護體系化建設整改，是一個行之有效的全面提升安全保護能力的方法。

關鍵詞：醫院；等級保護；體系化；建設整改方案

1需求分析

近日，為貫徹落實國家信息安全等級保護制度，滿足三級甲等醫院復審任務對醫院信息安全等級保護的要求，三級醫院開展等級保護建設勢在必行。①醫院信息系統出現故障，會直接影響醫院業務的正常開展，導致醫院業務停滯，對社會秩序和公共利益造成嚴重損害。②由于信息系統中存儲著大量患者個人數據，若發生數據泄露，會引起患者不滿，激化醫患矛盾，同時帶來負面社會影響。因此，現代化醫院對信息系統的穩定性和安全性尤為關注。

為此，衛生部下發了《關于全面開展衛生行業信息安全等級保護工作的通知》（衛辦綜函 [2011]1126號文），文件中要求三級甲等醫院的核心業務信息系統信息安全保護等級不低于第三級，同時要求各醫院于2015年12月30日前完成信息安全等級保護建設整改工作，并通過等級測評。隨后《衛生行業信息安全等級保護工作的指導意見》（衛辦發[20111]85號）的發布，標志著全國衛生行業等級保護進入了提速階段。

同時作為醫院主管信息化的領導也應從風險管理的治理角度出發，按照合規性的要求進行相應級別等級保護建設，就相當于個人或組織買了一份保險，規避出現安全事件的追責問題。

綜上所述，按照等級保護要求進行符合國家及行業政策規范的信息安全體系建設，非常符合醫院信息化建設的根本利益和業務安全需要。

2醫院等級保護建設階段

2.1醫院等級保護全生命周期建設 醫院等級保護全生命周期建設主要3個階段：需求分析->體系化實施->安全運維，具體如下所述。

2.1.1差距測評，確定安全需求 通過系統定級、等級評估等識別系統的安全風險，確定定級對象的信息系統的安全等級，并找出系統安全現狀與等級要求的差距，形成完整準確的等級化的安全建設需求。

2.1.2體系化建設，實現縱深安全保障體系 等級保護體系化安全建設的設計思想是采用\"體系化\"的分析和控制方法，以等級保護的\"一個中心、三維防護\"為核心指導思想，不僅構建集防護、檢測、響應、恢復于一體的安全防護體系，而且建立符合等級保護整體安全控制要求的安全防護體系。

具體體現為：以全面貫徹落實等級保護制度為核心，打造科學實用的信息安全防護能力、安全風險監測能力、應急響應能力和災難恢復能力，從安全技術、安全管理、安全運維三個視角構建縱深安全防護體系，切實保障醫院信息安全。

2.1.3安全運維 通過安全監控、安全評估、安全加固、現場駐守、應急響應等服務包，實現從事前、事中、事后的整體安全運維，確保醫院業務系統的持續安全，滿足可持續性、縱深防御、等級化安全建設需求。

2.2醫院等級保護體系化實施流程 通過一系列部委級等級保護項目建設的最佳實踐，總結并構建等級保護的體系化實施模型，全面覆蓋公安部對等級保護實施要求5個規定動作：定級、備案、建設整改、測評、監督檢查，使過程方法和PDCA模型更加完善和清晰化，同時補充其他體系化要素，形成完整的信息安全等級保護體系化實施方法。

2.2.1規劃階段 主要任務：系統定級、系統備案、差距測評、建設整改方案設計、安全規劃等。

2.2.2實施階段 主要任務：建設整改實施方案、安全技術措施和安全管理措施實施。

2.2.3自查和測評階段 主要任務：等級保護自查、系統等級測評。

2.2.4處置階段 主要任務：等級保護體系持續改進，系統檢查，采取糾正措施，防止安全事件再次發生。

3醫院等級保護建設整改方案設計

3.1建設整改方案總體設計 三級醫院等級保護建設整改方案設計總結來講就是：\"三個體系（安全技術體系、安全管理體系、安全運維體系）、一個中心（安全管理中心）、三維防護（安全計算環境、安全區域邊界、安全通信網絡）\"。

3.2安全技術體系設計 三級信息系統的物理安全設計，不在本文所述之列。

3.2.1安全計算環境建設 根據《安全設計技術要求》的三維防護的思想和控制要求，并結合《信息系統安全等級保護基本要求》（GB/T 22239-2008）的主機安全、應用安全和數據安全等相關安全控制項，安全計算環境的建設通過操作系統加固系統、數據庫審計、終端管理系統、PKI/CA系統、WAF、網頁防篡改以及系統和應用的自身安全控制實現。

3.2.2安全區域邊界建設 根據《信息安全技術 信息系統等級保護安全設計技術要求 》（GB/T25070-2010）\"一個中心，三維防護\"的思想和控制要求，并結合《信息系統安全等級保護基本要求》（GB/T 22239-2008）的相關安全控制項，安全區域邊界的建設通過防火墻、入侵檢測、入侵防御、網絡審計等安全產品實現，滿足其安全控制措施的要求。

3.2.3安全通信網絡建設 根據《信息安全技術 信息系統等級保護安全設計技術要求 》（GB/T25070-2010）\"一個中心，三維防護\"的思想和控制要求，并結合《信息系統安全等級保護基本要求》（GB/T 22239-2008）的相關安全控制項，安全通信網絡的建設通過VPN、網絡安全審計等安全產品實現，滿足其安全控制措施的要求。

3.2.4集中安全管理中心建設 根據《信息安全技術 信息系統等級保護安全設計技術要求 》（GB/T25070-2010）\"一個中心，三維防護\"的思想和控制要求，并結合《信息系統安全等級保護基本要求》（GB/T 22239-2008）的相關安全控制項，安全通信網絡的建設通過安全管理平臺實現，包括系統管理、審計管理和安全管理滿足其安全控制措施的要求。

3.3安全管理和與運維體系設計

3.3.1安全管理體系 安全管理體系主要從三個維度設計：組織、人員和策略。按照信息系統安全等級保護的相關要求，協助建立信息安全保護持續改進機制，梳理醫院系統信息安全等級保護管理制度體系，健全和完善信息安全的管理體系。

3.3.2安全運維體系 主要從系統建設管理、安全運維管理及項目管理三個維度進行設計，以保證醫院信息安全運維體系的健康運行。

4結論

通過分析醫院等級保護安全需求，提出了全生命周期建設和體系化實施流程，以此為基礎擬定了等級保護建設整改方案。本文通過以三甲醫院擬定級的臨床應用系統和臨床輔助系統等級保護對象為基礎，采用\"三個體系、一個中心、三維防護\"體系化設計方法，建立滿足等級保護整體安全控制要求的縱深信息安全防護體系。

編輯/肖慧