互聯網醫院三級等保建設實踐

安徽省胸科醫院 方鐘輝

開展互聯網醫院等級保護通過測評，發現信息系統存在的安全風險和脆弱性，通過等保建設提高信息系統安全防護能力，降低系統遭受各種攻擊的風險，以信息整體安全為目標，以業務需求為主導，構建符合業務需求的綜合安全防護能力。通過安全管理體系的實施，加強了運維過程中的預警監測能力和應急響應能力。根據網絡安全的相關標準、制度和基本要求，本文從網絡安全組織結構、系統體系、網絡安全管理、網絡安全環境等方面提出了醫院網絡安全防護策略的建議。

加快智慧醫院建設，利用互聯網信息技術優化診療流程，讓醫療診療服務更加無憂無慮，鼓勵發展互聯網醫院，積極為患者提供一些常見病和慢性病的在線隨訪服務，以及在保證醫療質量和信息安全的前提下進行隨訪管理和遠程指導，逐步實現患者家庭康復，無需出門即可享受優質高效的隨訪服務。

1 網絡安全管理組織架構制度體系

1.1 組織架構

醫院的網絡安全工作是“一把手”工程，2020 年成立了信息安全管理委員會。黨委書記、院（所）長為主任委員，分管院領導和副院長為副主任委員，委員成員包含醫、護、技等行政后勤等全部科室。“誰使用誰負責，誰管理誰負責”是原則，信息安全委員會的日常管理工作設在信息中心，信息中心主任是網絡安全管理的負責人。領導小組完成醫院網絡安全工作的政策領導、目標規劃和審批，對日常網絡安全工作進行評估，對安全事件的處理進行監督，對年度安全工作成果進行評估，信息中心完成網絡規劃和年度預算的制定和實施，網絡安全策略和設備的配置和啟動。其他部門日常網絡安全運維負責人為本院網絡安全負責人，負責協調完成本院網絡安全管理任務，并向網絡安全領導小組報告。

1.2 制度體系

醫院構建了總體信息安全管理框架，根據公安部、衛健委的總體要求，結合我院系統的實際情況，統一領導我院系統信息安全相關工作;組織審定和發布系統信息安全的發展戰略、總體規劃、重大政策、管理規范和技術標準;負責協調我院系統內部信息安全工作，明確信息安全管理目標、職責，支持和促進我院系統內信息安全的實施；負責信息安全管理重大事項的決策;制定信息安全工作范圍、工作制度和相關人員的崗位職責。

2 網絡安全管理

（1）安全物理環境，互聯網醫院信息系統應用系統部署在移動云系統，通過衛寧互聯網醫院系統對接醫院內部HIS 接口、前置機部署在信息中心機房，機房場地具備基本的防震、防風和防雨能力，信息中心機房出入口設置電子門禁和視頻監控，可對進入人員進行控制、識別和記錄，機房部署了火災自動報警系統，能夠自動檢測機房內火情；信息中心機房部署精密空調，能夠自動調節溫濕度，能夠基本滿足信息設備的使用要求。機房防雷接地、防靜電等環境均滿足設備運行要求；電力供應方面，機房部署了20KVA UPS 負責短期供電，保證系統斷電情況下正常運行。

（2）安全通信網絡，已建立穩定的網絡架構，使用雙機冗余備份、鏈路備份式增加網絡的可靠性。云平臺側出口鏈路為20M 移動云共享帶寬，通過監控彈性公網IP 支持網絡帶寬監控。云平臺側根據目的和重要性將網絡劃分為區域，并按照便于管理和控制的原則為每個子網和網段分配地址段。重要網段部署在云計算資源池，在云平臺服務區邊界處通過云防火墻進行邊界隔離。云平臺側和互聯網接入區鏈路冗余部署，互聯網邊界防火墻使用雙機部署，云防火墻和外網核心交換機通過虛擬化網絡技術進行冗余，服務器部署在虛擬化系統上，應用服務器和數據庫服務器雙機部署，通過虛擬化集提供冗余，能夠保證系統的高可用性。

（3）安全區域邊界，云平臺端在互聯網邊界部署云防火墻，并根據訪問控制策略配置訪問控制規則。在醫院互聯網接入區邊界部署防火墻vFW，開啟了訪問控制功能，通過指定安全域端口對跨越邊界的訪問和數據流進行訪問控制；并在與內網出口邊界防護區和核心業務區邊界部署網閘，用于隔離內外網數據通信。互聯網接入區通過防火墻vFW，并通過安全運維管理區部署的準入系統可以管控服務器USB 接口，且綁定了重要設備的MAC和IP 地址，實現了對非授權設備內聯行為進行檢查和限制。此外，它還可以檢查或限制內部用戶未經授權連接到外部網絡。云防火墻開啟入侵防御功能，入侵特征庫已更新至最新版本，能夠在關鍵網絡節點處檢測、防止和限制從外部或內部發起的網絡攻擊行為。在網絡邊界處部署的云防火墻、云平臺堡壘機、互聯網防火墻均開啟了流量日志等審計功能，審計覆蓋每個用戶，對用戶的重要行為和重要安全事件進行審計，并同步到移動云日志審計系統進行集中保存。

（4）安全計算環境，網絡設備和安全設備、服務器和終端、系統管理軟件、云控制臺均開啟了身份鑒別功能。當進行遠程管理時，設備均開啟了身份鑒別，通過HTTPS 協議登錄云平臺堡壘機和云控制臺，通過SSH 協議登錄云主機服務器和數據庫，業務應用軟件采用HTTPS 協議可防止鑒別信息在網絡傳輸過程中被竊聽。由安全管理員為登錄的用戶分配賬戶和權限，并配置了訪問控制策略，同時部署了移動云日志審計系統，實時收集各個安全組件和云主機審計日志，醫院內部通過深信服日志審計系統收集前置機和安全組件的審計日志。云主機服務器均已安裝云主機安全Agent，由云平臺進行病毒查殺和病毒庫升級、前置機和終端已安裝防病毒軟件進行惡意代碼防范，病毒庫均已升級到最新，可以及時識別病毒行為，并將其有效阻斷。

（5）安全管理中心，劃分了安全管理運維區進行集中管控，互聯網醫院信息系統由系統管理員通過登錄云平臺堡壘機進行系統管理，云平臺堡壘機對系統管理員通過使用帳戶和密碼對系統進行身份驗證，只允許特定的操作界面執行系統管理操作，并審核這些操作。系統管理員登錄云平臺堡壘機進行系統管理。只有系統管理員才能對系統資源和操作進行配置、控制和管理，您可以配置系統資源、加載和啟動系統、處理系統異常，以及備份和恢復數據和設備。移動云日志審計系統部署在云平臺端，用于識別審計管理員，只允許其通過HTTPS方式對集中保存的設備進行安全審計操作，并且這些操作由移動云日志審計系統和云平臺堡壘機進行了審計。通過云控制臺、移動云日志審計系統對運行狀況和安全事件進行監測和報警。

（6）安全管理制度，已制定網絡安全工作的總體方針和安全策略；已建立較為完整的信息安全保障制度體系，包括機房安全管理、資產管理、媒體管理、設備維護管理、網絡與系統安全管理、惡意代碼防范管理、變更管理、備份與恢復管理、安全事件處理等管理系統。

3 建設效果

互聯網醫院信息系統主要包括醫院應用子系統、藥店應用子系統、互聯網醫院居民小程序、互聯網醫院醫生小程序、互聯網醫院藥師小程序、支付平臺、短信平臺、智慧醫院全流程就診服務等系統大類，主要處理業務有醫療服務、遠程門診、健康咨詢、藥品配送等，等保建設實現與醫院信息化建設“同步規劃、同步建設、同步運營”，實現縱深防御目標。向公安部門進行等保備案為三級，本次網絡安全等級測評分為四個活動：評價準備活動、方案準備活動、現場評價活動和報告準備活動，具體如圖1 所示，并于2021 年9 月順利完成等保測評工作。

圖1 測評過程流程圖Fig.Flow chart of the evaluation process

4 結語

隨著網絡安全等級保護2.0 標準體系的推出，對各行各業的網絡安全和其他信息安全建設提出了更高的基本要求。經過三個月的積極整改和保障建設，互聯網醫院實現了基于可信計算的防御體系，從數據完整性、數據保密性、數據備份與恢復、個人信息保護等方面加強了數據安全和患者隱私的網絡保護。

引用

[1] 劉莉莉,呂斌.新形勢下網絡安全等級保護2.0體系建設探索與實踐[J].信息安全研究,2022,8(2):196-199.

[2] 國務院辦公廳發布《關于促進“互聯網+醫療健康”發展的意見》[J].醫學信息學雜志,2018,39(5):94.

[3] 張譯心.三甲醫院等保2.0建設實踐[J].數字技術與應用,2021, 39(11):184-186.

[4] GB/T 22239-2019.信息安全技術網絡安全等級保護基本要求[S].2019.

[5] 劉思思,徐麗娟,路紅,等.醫療行業網絡安全白皮書(2020年)[N].中國計算機報,2020-04-20(008).