醫療機構信息安全探析

周 毅 潘 敢 殷 鳴

(湘潭市中心醫院信息科 湘潭 411100)

1 引言

迅速發展的網絡[1]通訊技術在帶給人們極大便利的同時也隱藏著種種危機。2017年6月國家正式實施網絡安全法，其中明確規定實行網絡安全等級保護制度，要求按照網絡安全等級保護制度履行安全保護義務，保障網絡免受干擾、破壞或未經授權的訪問，防止網絡數據泄露或被竊取、篡改。

2018年2月湖南省某醫院由于受到勒索病毒[2]的攻擊，系統癱瘓1天。2016年7月香港衛生署信息系統遭黑客入侵，近10萬人受影響。2015年美國第2大醫療保險公司Anthem遭黑客入侵，8 000萬用戶數據遭泄露，同年美國UCLA醫院遭黑客入侵，450萬份醫療記錄遭泄露。醫療行業逐漸成為黑客入侵的高危行業，信息安全[3]必須引起高度重視，做好信息安全工作是醫療行業安全工作的重中之重。三甲醫院核心業務保護等級應不低于3級。

2 現狀及存在的問題

針對信息安全和等保評級，為更清楚地了解信息安全工作現狀和最新動態，邀請有專業資質的評測公司對醫院信息安全工作進行徹底全面的評估。經評估在安全管理和安全技術[4]方面存在不足，在信息安全方面與3級等保要求和自身業務安全需求還在一定差距。第一，安全管理方面，只有普通的信息化相關制度，缺乏專門、體系化制度，包括頂層信息安全管理策略[5]方針、細化的管理制度和流程、外包服務安全管理制度，外包開發系統上線前未進行安全評測。第二，安全技術方面，信息安全基礎設施投入不足，沒有入侵檢測系統、日志審計系統等安全防護設備，多個服務器、中間件、數據庫及應用系統存在弱口令，存在入侵攻擊風險、服務器補丁更新不及時、漏洞等隱患[6]。

3 整改措施

3.1 概述

針對評測結果給予高度重視，湘潭市中心醫院組織科室全體人員學習上級整改意見，參照《信息安全技術 網絡安全等級保護基本要求》[7]，見圖1，結合自身實際進行全面整改。

圖1 信息安全技術 網絡安全等級保護要求

3.2 安全策略和管理制度

明確“統一領導，責權明確，技管并重，重點防護”的思想。新增和修訂《系統管理規定》、《數據管理規定》、《網絡管理規定》、《用戶管理規定》、《信息系統應急預案》、《外包項目管理規定》，這些制度和章程的確立使管理更加規范。

3.3 安全管理機構和人員

成立以主管院長為組長的信息安全管理領導小組，涵蓋部門，見圖2。小組制定信息安全工作總體方針和安全策略，全面負責信息網絡安全建設和重大信息網絡安全突發事件的應急處理。通過設置該機構能夠協調和調動全院資源實施信息網絡安全規劃，組織應急演練和處置。領導小組配備專職安全、系統、網絡、數據庫管理員，由專職安全管理員[8]加強與公安網監和市網信辦的聯絡。對人員權限進行清理，對長期閑置賬號予以注銷，對權限過大的賬戶進行變更，與關鍵崗位人員簽署崗位責任和保密協議。

圖2 信息安全管理領導小組

3.4 安全建設管理

根據使用系統的不同和重要性分別劃分各部門的保護邊界和安全等級并向主管部門和公安機關報批和備案，將等保工作細化。對購入的信息安全產品要求供應商出具權威測評機構的測試報告給院方，要求軟件開發單位提供源代碼，以審查[9]軟件中是否存在已知的后門和隱蔽信道，在上線前進行安全測試。

3.5 安全運維管理

對機房安裝門禁，嚴格機房出入管理并加裝監控攝像頭，對機房人員活動實時監控。對官方發布的漏洞和風險即時采取必要措施并記錄在案。將全院所有計算機進行交換機端口的綁定并將計算機地理位置登記造冊，錄入自主研發的IP登記系統以便于管理，任何沒有在交換機上綁定的計算機不能接入內網。所有需開通互聯網的計算機應出具書面報告，交領導簽字認可并納入上網行為管理范疇。重新清理網絡設備，對設備具體型號、軟件組件、版本信息建立科室臺賬，重新繪制網絡拓撲結構圖。對原有的備份方法進行優化處理，增加備份方式以提高數據安全性。細化《信息系統應預案》中啟動預案的條件、處理流程、恢復流程、事后總結和培訓規定，規定每半年舉行1次多部門合作應急演練[10]。

3.6 物理和環境安全

對現有機房設施進行整改，對機柜、服務器、UPS等設備加裝防雷保護器。將物聯網技術加入到藥品和試劑冷鏈系統平臺上，實時采集溫濕度數據形成報表，超過設定閥值立即發送短信至機房管理員。將原來3 000伏安的UPS換成10 000伏安，達到接入更多設備和供電更長時間的目的。

3.7 網絡和通訊安全

在原來HP 3層核心交換機基礎上增加邁普核心交換機形成網絡核心冗余。根據服務器角色的重要性對網絡進行安全域劃分，在內外網的安全域邊界設置訪問控制策略，配置到具體端口，禁用不必要的端口。在交換機上添加策略，禁止使用3 389和445端口。防火墻按照第1層基于IP的訪問控制，第2層基于用戶身份的訪問控制[11]。設置策略控制非法登錄次數和超時退出。遠程管理使用加密協議SSH。定期升級特征庫。設置字母、數字、符號相疊加的復雜口令并定期更換。在網絡邊界處部署入侵防護手段，防御并記錄入侵行為，對網絡中的用戶行為日志和安全事件信息進行記錄和審計，對安全設備、網絡設備和服務器進行集中管理。

3.8 設備和計算安全

實行系統分級管理，操作系統和數據庫系統特權用戶分離，由不同管理員管理特權。重命名系統默認賬戶，對權限嚴格限制并修改口令。采用旁路接入的方式部署數據庫審計系統，深度解析訪問行為，記錄操作人用戶名、操作時間、主機名、IP地址、客戶端軟件名稱等，便于追溯。旁路阻斷非授權訪問，靈活識別可疑操作并即時短信告警，確保日志安全存儲、穩定可靠。操作系統遵循最小安裝原則，僅開啟需要的服務，安裝需要的程序和組件，最大限度降低系統遭受攻擊[12]的可能性。建設信息集成平臺，監控服務器的CPU、內存、硬盤和網絡資源使用情況。

3.9 應用和數據安全

應用安全策略限制單用戶不能同時多點登錄，配置應用根據不同用戶的資源使用優先級分配系統資源[13]。利用校驗和加密技術保證數據在傳輸和存儲過程中的完整性和保密性。對重要信息系統在原來IBM雙機的基礎上再加上DG實現異地容災。

4 結語

習總書記指出“沒有網絡安全就沒有國家安全”，網絡安全已經上升為國家戰略高度。針對網絡安全需要樹立動態的綜合防護理念。從最初的收費管理到當前的臨床大數據，越來越多的醫院業務[14]正依靠信息網絡技術運行。內外網的融合加大醫療信息的潛在威脅，來自于內外網的大量信息[15]交互使醫院信息系統面臨日益嚴重的安全威脅。醫院信息系統等級保護測評提供一種良好、具有標準化參考價值的依據，通過定級、備案、建設整改、等級評測以及策劃-實施-檢查-改進(Plan-Do-Check-Adjust，PDCA)循環迭代的改造，使醫院的安全邊界更加牢固、安全策略更加可靠。等保是功能的要求，不是設備的羅列，醫院信息系統整體安全目標的實現除必要的安全技術手段外還需有相適應的安全管理體系，只有管理和技術并重才能不斷提升醫院安全管理水平，從而實現為公眾提供安全、高效的醫療衛生服務這一目標。