醫院網絡信息安全等級保護三級系統建設實踐與思考

關鍵詞：網絡信息安全；保護系統；建設

一、引言

（一）我國網絡發展現狀

互聯網的誕生本身就是在安全框架之下所產生的產物，并且從網絡誕生之初開始網絡安全問題就一直同步存在，共存于互聯網發展的各個階段當中。計算機和網絡技術的快速發展加速了全球信息化的步伐，而信息化也成為我國社會的主流發展趨勢。互聯網作為面向大眾的信息共享平臺，在現代社會的進程當中起到了非常重要的促進作用。與此同時，我國的互聯網普及工作已經基本完成，在辦公中使用計算機的比例基本已經保持在90% 以上[1]。

（二）網絡安全法與網絡安全等級保護標準的實施

網絡安全法是我國第一部用于全面規范網絡空間安全管理而制定的基礎性法律，也是我國網絡空間法治建設的重要里程碑。值得一提的是，近年來網絡安全法對一些有效的管理措施進行了制度化改進，目的在于為今后推進的制度創新工作提供原則性規定，并為網絡信息安全提供切實有效的法律依據。相關部門或監察單位在進行各項監測工作時可以得到非常有效的參考和幫助。從網絡安全法的整體框架來看，除了包含基礎的網絡運行安全和網絡信息安全監測之外，還包含法律責任的有關模塊。制定網絡安全法的意義在于確立網絡安全法律規范的基本原則和網絡安全工作的重點，同時網絡安全戰略的提出也為網絡空間治理目標的確定提供有效的理論依據。這不僅能在今后的安全義務和責任落實方面提供關鍵支持，同時還將監測預警和各類應急措施進行了規范化和制度化，以避免網絡意外事故或網絡惡意破壞問題的發生。我國網絡安全等級保護制度正式上升為法律，并且網絡安全法對等級保護標準的規定也非常明確。例如，在第38 條中明確規定，關鍵信息與基礎設施單位需要每年對網絡的安全性和可能存在的風險進行檢查與檢測評估，然后將評估情況和相應的改進措施報送給有關的管理部門。從這一角度來看，網絡安全等級的保護要求在未來的工作當中將更具可行性和具體性，在明確具體內容和法律責任的前提下，能夠做好相應的警告或處罰[2]。

二、網絡安全等級保護三級要求

（一）安全物理環境

網絡安全等級保護三級要求，顧名思義就是指對關鍵信息和其他專有信息在多個層面進行安全保護，并且對信息系統當中所使用的信息安全產品進行等級管理，按照信息安全事件進行分等級的處置。從網絡安全等級的保護要求來看，應該覆蓋網絡本身、網絡設備本身以及相關的網絡安全物理環境，例如拓撲、路由器、交換機、入侵檢測系統等。在確定網絡結構的安全等級和邊界完整性之后，就需要做好網絡入侵防范、網絡設備防護和網絡數據管理等。從目前的現實安全環境角度來看，需要調整的是現階段的網絡結構，合理劃分網絡安全域，并加強網絡各個安全域邊界的綜合防護能力和安全審計能力，提升網絡設備自身的防護水準。

（二）安全通信網絡

從通信傳輸的角度分析，通信傳輸能夠為等級保護對象的安全運行提供技術層面的支持和幫助，并且為了確保各類數據不被無故篡改，應考慮到分支機構和總部之間的通信管理，以及不同等級保護對象之間的安全管理要求。即業務終端和應用服務器之間應該維持足夠的安全性能。從可信度驗證的分析來看，傳統的通信設備采用的是緩存或其他形式對固件進行保留，但這種方法的缺陷在于很容易受到惡意攻擊。入侵者可以通過未經授權的方式對固件進行訪問、篡改，甚至直接在其中植入惡意代碼。一旦植入惡意代碼，系統可能會遭受永久性的損壞。因此，在確保設備啟動和執行過程安全的前提條件下，提前做好系統引導程序或其他應用程序完整性的檢測工作。

（三）安全區域邊界

按照等級保護標準，安全區域邊界層面的核心控制點包含幾個不同方面的工作要求：邊界防護、訪問控制、入侵管理和安全審核。在網絡邊界區域，需要有效且可控地進行訪問控制管理。控制力應該進行升級和優化，例如判斷是否存在非法邊界或非法外聯。除此以外，系統當中要采取相應的協議轉換和隔離措施，以便發現和應對內部或外部的網絡攻擊。根據網絡安全法的要求，必須保留審計日志，以便在必要時進行綜合分析。在確定高風險場景后，應設定數據流和跨越邊界訪問過程中的通信保護措施。如果訪問措施配置失效，存在較大安全隱患，則要將其判定為高風險。需要注意的是，邊界訪問的控制設備不一定是防火墻，只要能夠實現訪問控制功能并提供對應的檢測信息，都可以視為邊界訪問控制。在通信協議轉換層面，如果可控網絡環境和不可控網絡環境之間的數據傳輸未進行相應的通信隔離，那么同樣可以判定為高風險。對于外部網絡攻擊防御、內部網絡攻擊防御、網絡層惡意代碼和網絡安全審計方面的要求也有著不同的對應場景，可根據風險類型的不同作出相應的判斷和應對。

（四）安全計算環境

安全計算環境是由設備各種節點進行連接而構成的復雜計算環境，包括終端設備、應用系統、網絡設備、數據庫系統、系統軟件和應用數據對象等。這些節點和系統組成了整個安全計算環境的框架，能夠完成信息識別、訪問控制、安全審計和數據保密等多個方面的信息保護工作。

等級保護工作2.0 的深化落實使得浪潮信息化將成為安全市場防控的關鍵點。并且2.0 的發布，標志著我國網絡安全等級進入了一個嶄新的時代。與此前的1.0版本相比，2.0 的覆蓋范圍變得更加廣泛，尤其是能夠滿足新時代的技術發展趨勢。并且整個覆蓋平臺之上包含了網絡信息系統、大數據和移動互聯等多個層面的應用。值得一提的是新的標準當中更加強調了可信計算技術的推廣和應用，從一級開始直到四級都提出了相應的可信驗證要求。可信度隨著等級的增加而逐漸增加，能夠有效驗證引導程序或系統程序等層面的安全配置。

綜合來看，2.0 標準當中的技術要求更加強調外部與內部的縱深防御體系，將安全防護從通信網絡延伸到計算環境內部。內部防護成為業務系統運行時的關鍵點，存儲和處理用戶的關鍵數據信息也是等級保護對象的核心，與以前的低級別系統相比，高級別的系統在身份信息和訪問控制方面更加完善[3]。

三、網絡信息安全問題

（一）網絡硬件安全問題

在網絡安全的發展過程中，安全問題的首要解決方案是以單點防護的形式來進行簡單的硬件安全保護。但考慮到硬件性能的制約以及多種功能整合之后的策略邏輯協同問題，傳統的網絡硬件管理在安全解決方案當中的作用受到了一定程度的影響。其中網絡硬件安全問題在現代信息技術領域受到了廣泛關注，因為沒有硬件安全也就沒有軟件安全。在網絡不發達的年代，傳統的信息傳輸過程存在許多安全隱患，如病毒傳播和其他不安全信息的漏洞。在當時的技術環境下，硬件是信息安全的首要影響條件。假設一個大型單位的管理層計算機感染了惡意程序，通過USB 口或其他渠道，這些惡意程序的硬件編碼可以直接影響計算機的信息，整個攻擊過程甚至可以做到隱蔽不被察覺。USB 安全是網絡硬件安全問題的典型組成部分，還包括硬盤等多種計算機硬件模塊。同時網絡硬件安全問題還表現在通信部分的脆弱性，例如在實施數據和信息的交換過程當中，很多移動設備或輔助設備的應用增加了信息泄露的風險。一旦信息泄露，將嚴重威脅網絡的安全運行，甚至危及某些單位的私密信息，給網絡帶來破壞性和不可逆的危害。

（二）網絡軟件安全漏洞問題

在設計初期，許多應用軟件就存在著一定數量的漏洞和缺陷。盡管隨著軟件功能的完善和增加，很多軟件具備了自檢和自我修復能力，但與之對應的各類缺陷和漏洞的數量也在同比增加。導致現階段的網絡安全問題與應用軟件的缺陷緊密相關，也表明未來相關單位需要及時處理軟件可能存在的安全隱患。近年來，病毒和木馬已呈現出小眾化的趨勢，專門針對政府或軍工基礎設施的網絡定向攻擊與信息竊取模塊的威脅性也日益增加。面對這些新興威脅，傳統的病毒防護手段在安全模型和方法論上已經顯得相對落后，因為傳統的病毒防護主要依賴客戶端或軟件系統的主動防御技術。

不過針對目前的網絡安全漏洞問題，現代信息技術的高質量發展使得我們有了更多的應對方法，包括可信防護技術、云安全技術和程序行為判斷模塊等云安全框架應運而生，這些模塊不僅能夠在病毒入侵和病毒破壞方面發揮良好的預警和對抗功能，同時還能提升整個網絡信息系統的監測能力和追溯能力，對于一些軍工企業或是高新企業而言，其內部的安全管控效果和漏洞防護效果將因此得到顯著提高。除此之外，還有主機管控技術、網絡安全審計技術、身份認證技術和入侵檢測技術，它們各自有著對應的使用場合。

四、本單位網絡規劃與建設實踐

（一）整體網絡架構規劃

從整體網絡架構規劃的角度來看，可以結合單位內部的網絡信息安全機制，制定專業的體系結構。主要的功能模塊包括安全監控、安全管理、安全策略制定和應急響應等模塊。安全監控模塊是對信息安全態勢的數據或事件進行整體監視，能夠做好關聯分析，提供完整的信息內容。通過對網絡流量、日志和系統行為等進行實時監控和分析，能夠提前發現潛在的安全威脅，并及時采取相應的措施進行防護。安全管理則指的是集中管控各類設備的操作和配置，能夠對設備的系統資源和設備的使用情況進行監督。通過權限管理、訪問控制和設備配置管理等手段，確保設備和系統的安全性和穩定性，防止未經授權的訪問和操作。安全策略制定模塊根據不同的信息安全管理對象提供安全策略的制定要求和下發要求。通過合理制定網絡安全策略和規則，實現對網絡的訪問控制、流量限制和數據加密等措施，保護網絡系統的安全性。應急響應模塊針對的是各類安全事件所提供的應急響應處理措施[4]。一旦出現安全事件，可以快速響應并采取相應的措施進行控制和修復，以減少損失和恢復系統正常運行。通過實施這些功能模塊，能夠建立一個完善的網絡安全體系，提高網絡信息系統的抵御能力和應對能力，保障企業的網絡安全。

（二）網絡安全規劃與建設

從網絡安全規劃和建設的角度來看，未來的網絡信息安全等級保護系統建設工作當中要關注幾個方面的重點要求。首先是防病毒和病毒預警系統，因為隨著未來計算機終端數量的增加，即使是小規模的病毒感染事件也會引發非常嚴重的安全風險。所以防病毒和防漏洞工作任重道遠。傳統的防病毒軟件模塊已經無法滿足現實需求，需要基于先進模型的防護產品和云安全系統作為技術保障，在自動分析和識別威脅之后，將對應的處置方案下發給其他的節點。其次是網絡安全審計系統，其中包含網絡體系結構和對應的區域業務模塊。可根據指定條件獲取關鍵信息，展開多維度分析，根據分析結果給探針平臺下發特征。然后是網絡攻擊應對策略，包括入侵檢測和統一的安全管控。目前很多單位都配置了相應的主機管控系統安全準入策略，設置終端安裝私有云軟件，確保整個網絡信息系統的信息輸入終端具有攻擊防護能力。此外，這類統一的安全系統能夠直接掌握攻擊行為或入侵行為，進行關聯之后生成圖形或報表，迅速通知責任人查看計算機運行狀態，協助分析安全問題。針對惡意代碼，需執行攔截機制，采取不同的經驗特征值來制定仿真行為的攔截策略。具體而言，可以從操作系統的權限管理入手，縱向劃分為系統級策略和用戶級策略，制定基于攻擊鏈的仿真模塊采取以安全假定為基礎的排除方法，對各類仿冒對象的入侵采取權限管理與級別防護。尤其是針對那些帶有木馬后門性質且容易破壞系統機密性的攻擊行為，會被進行統一的攔截和處理。最后是統一的安全管理系統和入侵檢測系統，能夠根據對應的體系結構和用戶層面的實際需求，做好信息管理和入侵檢測。無論是流量數據還是攻擊事件，檢測傳感器在獲取到這些關鍵信息后，可以按照設定的條件要求進行分類整合，形成報表信息并展開綜合分析[5]。

（三）管理制度建設

現代信息化技術的不斷發展使得資源共享和數據交互成為網絡安全的重要方面，并且隨著大量的設備聯網，網絡邊界保護變得尤為關鍵。按照縱深防御思想，首先要考慮的是網絡邊界外部通過廣域網通信的安全性，其次是內部局域網網絡架構的合理性，這直接關系到內部傳輸數據的安全性。因此，建立有效的管理制度是業務運行過程中最為關鍵的部分。如何根據業務系統的特點來構建相應的網絡架構成為今后需要密切關注的問題。只有整個架構保證安全的基礎上，才能實現各類技術功能，達到保護通信網絡的最終目的。

五、結束語

網絡安全風險的來源是多方面和多層次的，而網絡風險評估的發展也經歷了從局部到整體的綜合分析過程。未來的網絡發展趨勢決定了各類新的安全管理思想和安全等級保護系統建設工作也應該與時俱進，不斷提煉信息安全需求分析能力，通過需求分析過程來深化網絡信息安全處理方案，從整體角度提升系統運行特性。

作者單位：周凌偉 麗水市第二人民醫院