構(gòu)建醫(yī)院網(wǎng)絡(luò)安全系統(tǒng)保障信息系統(tǒng)安全

茍文強

（涼山州第一人民醫(yī)院 計算機中心，四川 西昌 615000）

[摘 要] 目的： 醫(yī)院信息系統(tǒng)平臺逐漸成為醫(yī)院醫(yī)療業(yè)務(wù)的核心支撐平臺，須加強醫(yī)院信息系統(tǒng)安全；方法：通過網(wǎng)絡(luò)安全的綜合設(shè)計和實施，采用冗余設(shè)備、三層網(wǎng)絡(luò)架構(gòu)、統(tǒng)一網(wǎng)管中心控制、虛擬網(wǎng)絡(luò)劃分、核心防火墻及IPS、堡壘機統(tǒng)一管理設(shè)備、數(shù)據(jù)庫和網(wǎng)絡(luò)審計等多種技術(shù)，同時結(jié)合安全管理制度等；結(jié)果：構(gòu)建較完備的醫(yī)院網(wǎng)絡(luò)安全體系，取得了良好的效果結(jié)果、結(jié)論 ：信息系統(tǒng)安全是系統(tǒng)工程，要從各方面著手，防止短板。

[關(guān)鍵詞] 網(wǎng)絡(luò)系統(tǒng)安全；安全管理；管理制度；木桶原理

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2017. 05. 088

[中圖分類號] R197.3；TP309 [文獻標識碼] A [文章編號] 1673 - 0194（2017）05- 0164- 03

0 引 言

隨著新醫(yī)改的不斷深入，作為其重要支柱之一的醫(yī)院信息系統(tǒng)建設(shè)進入了高速發(fā)展的快車道，成為醫(yī)院日常醫(yī)療工作和管理工作的基礎(chǔ)平臺。2013年，我院新建了醫(yī)院信息系統(tǒng)項目，包括機房建設(shè)、網(wǎng)絡(luò)建設(shè)、軟件系統(tǒng)建設(shè)、硬件建設(shè)等部分。醫(yī)院特點決定醫(yī)院信息系統(tǒng)必須365*24小時不間斷正常運行，網(wǎng)絡(luò)、系統(tǒng)軟硬件的損壞和故障，或者是數(shù)據(jù)信息泄露，都會醫(yī)院帶來不可估量的損失，影響患者正常就診，甚至危及醫(yī)院的生存和發(fā)展。因此，構(gòu)建安全的醫(yī)院網(wǎng)絡(luò)系統(tǒng)，保障系統(tǒng)和信息系統(tǒng)安全，是各醫(yī)院都很關(guān)心的問題。

醫(yī)院網(wǎng)絡(luò)安全系統(tǒng)是個系統(tǒng)工程，其符合“木桶原理”，系統(tǒng)的安全程度取決于最短的那塊板，我院從硬件、網(wǎng)絡(luò)、系統(tǒng)、審計監(jiān)管、防病毒、安全制度等各個方面采取了多種措施，保障了信息系統(tǒng)安全、網(wǎng)絡(luò)安全。

1 網(wǎng)絡(luò)系統(tǒng)安全

1.1 鏈路安全

為避免核心網(wǎng)絡(luò)系統(tǒng)單點故障，提高網(wǎng)絡(luò)系統(tǒng)的健壯性、容錯性和性能，我院在網(wǎng)絡(luò)核心層采用了H3C的IRF2（Intelligent Resilient Framework，智能彈性架構(gòu)）技術(shù)， IRF2將兩臺華三10508核心交換機通過IRF物理端口連接在一起，虛擬化成一臺邏輯核心交換設(shè)備，集合了兩臺設(shè)備的硬件資源和軟件處理能力，實現(xiàn)兩臺設(shè)備的統(tǒng)一簡化管理和不間斷維護，提高了網(wǎng)絡(luò)對突發(fā)事故的自動容錯能力，最大程序降低了網(wǎng)絡(luò)的失效時間，提高了鏈路的利用率和轉(zhuǎn)發(fā)效率。

在核心層10580交換機與會聚層5800交換機間采用萬兆光纖交叉互聯(lián)，線路間做鏈路聚合，增加鏈路帶寬、實現(xiàn)鏈路傳輸彈性和冗余。同時，核心交換機與會聚層交換機全部配備雙電源和雙風扇組，雙電源分別插兩路不同PDU電源插痤，盡量避免單點故障。

1.2 網(wǎng)絡(luò)層次分明，方便管理

數(shù)據(jù)中心服務(wù)器到所有的桌面終端計算機最多通過三層網(wǎng)絡(luò)，即核心層、會聚層和接入層，三層網(wǎng)絡(luò)交換機各師其職，層次分明。核心層是網(wǎng)絡(luò)的高速交換主干，負責數(shù)據(jù)轉(zhuǎn)發(fā)；匯聚層提供基于策略的連接，是網(wǎng)絡(luò)接入層和核心層的“中介”，工作站接入核心層前須先做匯聚，實施策略、安全、工作組接入、虛擬局域網(wǎng)（VLAN）之間的路由、源地址或目的地址過濾等多種功能，減輕核心層設(shè)備的負荷；接入層提供工作站接入網(wǎng)絡(luò)功能。同時，我院每棟業(yè)務(wù)樓都建設(shè)了網(wǎng)絡(luò)設(shè)備間，安裝了空調(diào)和不間斷電源，統(tǒng)一管理該樓內(nèi)所有的會聚層和接入層交換機，保證所有的設(shè)備都有良好的運行環(huán)境，同時便于管理和維護。

1.3 劃分VLAN，提高性能和安全性

醫(yī)院信息系統(tǒng)服務(wù)主要以訪問數(shù)據(jù)庫服務(wù)器為主，數(shù)據(jù)縱向訪問多，橫向少，同時，我院許多樓又都綜合了門診住院醫(yī)療系統(tǒng)、醫(yī)技系統(tǒng)等，我們根據(jù)其特點，將網(wǎng)絡(luò)按樓宇劃分為10多個VLAN子網(wǎng)，并將有特殊需求的應(yīng)用（如財務(wù)科賬務(wù)專網(wǎng)等），單獨劃分VLAN。通過VLAN劃分，控制廣播范圍，抑制廣播風暴，提高了局域網(wǎng)的整體性能和安全性。

1.4 網(wǎng)絡(luò)核心層安裝防火墻板卡與IPS板卡，保證服務(wù)器區(qū)安全

醫(yī)院服務(wù)器區(qū)是醫(yī)院系統(tǒng)運行核心，一旦被侵入或感染病毒，將影響醫(yī)院的正常醫(yī)療業(yè)務(wù)，影響病人就診，我院每日門診人次3 000多人，住院患者1 600多人，數(shù)據(jù)庫出問題，將造成重大的社會影響和嚴重后果，故我們在核心層華三10 508交換機上安裝了SecBlade FW Enhanced增強型防火墻業(yè)務(wù)處理板卡和PS插卡，設(shè)定了防入侵和攻擊的規(guī)則，過濾非法數(shù)據(jù)，防范病毒確保服務(wù)器區(qū)安全。

1.5 智能網(wǎng)管中心

隨著網(wǎng)絡(luò)應(yīng)用越來越復(fù)雜，網(wǎng)絡(luò)安全控制、性能優(yōu)化、運營管理等問題成為困擾用戶的難題，并直接決定了醫(yī)院核心業(yè)務(wù)能否順利開展。我們采用了專門的網(wǎng)管系統(tǒng)，通過軟件的靈活控制，與相應(yīng)的硬件設(shè)備配合，建立了網(wǎng)絡(luò)安全控制中心、性能優(yōu)化中心和運營管理中心。通過網(wǎng)管系統(tǒng)，我們能實時監(jiān)管網(wǎng)絡(luò)的運行情況，監(jiān)管網(wǎng)絡(luò)的故障和報警，監(jiān)管和分配網(wǎng)絡(luò)流量，優(yōu)化網(wǎng)絡(luò)性能，使整個網(wǎng)絡(luò)可管可控。我院網(wǎng)絡(luò)管理員常用的網(wǎng)管功能有資源管理、拓撲管理和故障（告警/事件）管理等。

網(wǎng)管系統(tǒng)的資源管理可管理網(wǎng)絡(luò)設(shè)備、接口，顯示設(shè)備的詳細信息和接口詳細信息和實時性能狀態(tài)； 拓撲管理可自動發(fā)現(xiàn)全網(wǎng)設(shè)備的拓撲視圖，通過拓撲圖能夠清晰地看到醫(yī)院網(wǎng)絡(luò)的狀態(tài)，包括運行是否正常、網(wǎng)絡(luò)帶寬、連通等。

故障（告警/事件）管理，是網(wǎng)管系統(tǒng)的核心功能之一，包括設(shè)備告警、網(wǎng)管站告警、網(wǎng)絡(luò)性能監(jiān)視告警、終端安全異常告警等，告警事件可通過手機短信或E-mail郵件的方式，及時通知管理員，實現(xiàn)遠程網(wǎng)絡(luò)的監(jiān)控和管理。

1.6 醫(yī)院內(nèi)網(wǎng)、外網(wǎng)間隔離和訪問通道

醫(yī)院內(nèi)部的網(wǎng)絡(luò)分為醫(yī)院辦公外網(wǎng)（用于日常辦公，可上互聯(lián)網(wǎng)）和業(yè)務(wù)內(nèi)網(wǎng)，為保證醫(yī)院內(nèi)部網(wǎng)絡(luò)業(yè)務(wù)系統(tǒng)安全，防止非法入侵、病毒攻擊等醫(yī)院業(yè)務(wù)網(wǎng)與互聯(lián)網(wǎng)必須物理隔離，同時，因醫(yī)院內(nèi)部眾多軟件廠商、服務(wù)器廠商、網(wǎng)絡(luò)設(shè)備、安全廠商，需要遠程維護內(nèi)網(wǎng)設(shè)備，業(yè)務(wù)網(wǎng)和互聯(lián)網(wǎng)之間須有個能訪問的通道，我們采用了SSL VPN+網(wǎng)閘+堡壘機的方式實現(xiàn)了遠程安全登錄和物理隔離。

（1）在醫(yī)院外網(wǎng)防火墻和醫(yī)院內(nèi)網(wǎng)防火墻之間安裝了網(wǎng)神SecSIS 3600網(wǎng)閘，利用其“數(shù)據(jù)擺渡”的工作方式，開放須訪問的端口，實現(xiàn)物理隔離。

（2）遠程用戶通過SSL VPN接入到醫(yī)院外網(wǎng)。利用SSL 的私密性、確認性、可靠性、易用性特性，在遠程用戶和我院外網(wǎng)間建立起專用的VPN加密隧道。在SSL VPN中，將用戶的登錄設(shè)定為自動跳轉(zhuǎn)到堡壘機，通過堡壘機再訪問相關(guān)的設(shè)備和電腦，實現(xiàn)遠程訪問有監(jiān)管有記錄有審計，可管可控。

2 服務(wù)器和存儲備份安全

系統(tǒng)服務(wù)器雙機備份常用的是采用雙機冷備份或通過心跳線熱備份的方式實現(xiàn)。我院結(jié)合自身設(shè)備特點，采用了賽門特克Veritas Cluster Server技術(shù)，在IBM刀片機上建了一個N+1 VCS集群，即多臺服務(wù)器對應(yīng)一臺備份機，當其中一臺出現(xiàn)問題，都會自動切換到備機，實時快速，同時節(jié)約了備份機。兩套IBM DS5020存儲陣列（一臺在主機房、一臺在備份機房）通過光纖直連，采用remote mirror遠程鏡像備份技術(shù)，將主機房存儲的實時數(shù)據(jù)復(fù)制到備份存儲系統(tǒng)，提供于業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)的復(fù)制功能。

3 保證操作系統(tǒng)安全

操作系統(tǒng)是軟件系統(tǒng)基礎(chǔ)，保證其安全是必須的。我們對服務(wù)器進行了主機加固，關(guān)閉了不必要的服務(wù)，安裝了賽門鐵克防火墻、賽門鐵克網(wǎng)絡(luò)版殺毒軟件，萊恩塞克內(nèi)網(wǎng)安全管理系統(tǒng)等來保證內(nèi)網(wǎng)服務(wù)器和工作站操作系統(tǒng)安全。其中內(nèi)網(wǎng)管理系統(tǒng)控制和監(jiān)管了移動介質(zhì)的使用，屏蔽了未經(jīng)授權(quán)的移動介質(zhì)接入網(wǎng)絡(luò)，避免了醫(yī)院數(shù)據(jù)的外泄及感染病毒，同時，還能對內(nèi)網(wǎng)中每一個計算機進行遠程的桌面管理、資產(chǎn)管理、配置管理和系統(tǒng)管理等。

4 核心設(shè)備配置修改和訪問安全

服務(wù)器在注冊表中關(guān)閉了遠程訪問功能， 網(wǎng)絡(luò)交換機都關(guān)閉了TELNET功能，關(guān)閉命令： undo telnet server enable通過網(wǎng)絡(luò)堡壘機可視化的web管理界面統(tǒng)一配置和管理所有服務(wù)器和交換機，利用堡壘機可控制、可審計、可記錄、可追溯的特性，保證對服務(wù)器和交換機的安全管理，避免配置和修改服務(wù)器、交換機時不慎造成故障。

5 數(shù)據(jù)庫和網(wǎng)絡(luò)安全審計系統(tǒng)

為了保障網(wǎng)絡(luò)和數(shù)據(jù)不受來自外部和內(nèi)部用戶的入侵和破壞，我院通過旁掛模式接入了數(shù)據(jù)庫和網(wǎng)絡(luò)安全審計系統(tǒng)，實時收集和監(jiān)控網(wǎng)絡(luò)、數(shù)據(jù)庫中的系統(tǒng)狀態(tài)、安全事件、活動，以便集中報警、記錄、分析、處理，實現(xiàn)“事前評估—事中監(jiān)控—事后審計”，對數(shù)據(jù)庫和網(wǎng)絡(luò)中的操作和更改進行追溯和還原。

6 健全安全管理制度，加強執(zhí)行

建立了嚴格的規(guī)范的規(guī)章制度，規(guī)范網(wǎng)絡(luò)管理、維護人員的各種行為，保障網(wǎng)絡(luò)安全。如建立了“中心機房管理制度”“機房設(shè)備操作制度”“機房出入制度”“設(shè)備巡查制度”“工作站操作制度”等。

我們規(guī)定網(wǎng)管人員每天必須查看智能網(wǎng)管系統(tǒng)、堡壘機、數(shù)據(jù)庫審計、網(wǎng)絡(luò)審計、中心服務(wù)器、殺毒軟件等的日志，做好記錄。通過日志，及時發(fā)現(xiàn)網(wǎng)絡(luò)和設(shè)備故障隱患，發(fā)現(xiàn)非法入侵和使用，不正確的配置和修改。

7 結(jié) 語

隨著醫(yī)院信息化建設(shè)的不斷深入和擴大，信息系統(tǒng)的安全性日益重要，但醫(yī)院信息系統(tǒng)的安全保障是個系統(tǒng)工作，只有采用多種技術(shù)和措施，才能保障。我院從網(wǎng)絡(luò)安全、設(shè)備安全、操作系統(tǒng)安全，系統(tǒng)配置安全，安全審計管理等方面加強保護，健全安全管理制度，切實落實和執(zhí)行，取得了良好的效果。下一步，我們將逐步建立數(shù)據(jù)級、應(yīng)用級的災(zāi)備中心，進一步保障醫(yī)院業(yè)務(wù)系統(tǒng)的連續(xù)可用性及數(shù)據(jù)安全性。