医院信息安全建设的应用研究.docVIP

医院信息安全建设的应用研究 1 引 言 随着医院信息化程度的深入，医院信息系统安全的重要性日益增加。以往的信息化建设存在全面性欠缺、集成性差、业务关联性差、易用性差及成本高昂等方面的问题。本文根据先进性和实用性原则，分别考虑各个层次的安全问题需求，结合最新技术，采用统一管理方式，实现多层次的集成和协作，构建完成全面高效易用的安全解决方案。 2 医院信息安全现状 近年来，我国医院信息化建设取得了明显的进步，在提高医疗服务质量与效率、改善就医环境、配合医疗保障制度实施、促进医院科学管理方面发挥了积极而重要的作用。 我国的医院信息化建设起步较晚，安全建设尚处于初级阶段，医院信息化投入少，IT 部门地位不高，尤其是中小医院在 IT 软硬件环境的建设力度上普遍薄弱。而在信息安全的认识、投入上更是淡漠，重投入轻防护，信息系统安全问题频频告急，已严重影响到医院的正常运行。 医院信息系统安全涉及网络安全、服务器安全、存储设备安全、操作系统安全、备份方案可靠性、群集技术可靠性、供电安全、计算机工作环境、计算机病毒问题、防止非法访问、系统管理等内容。 3 纵深安全防御体系的建设 为确保医院信息系统的安全、可靠、稳定运行，我们充分研究了国家的相应法律、法规和指导性文件，并结合以往在电子政务、医疗卫生信息系统、以及其他行业信息化建设中涉及的各个安全薄弱环节进行了安全性设计，力争从信息安全的各个层面为信息系统提供全方位、多层面的“立体化的”安全保障体系。整个安全架构体系涉及指导思想、各层面的技术保障、人员管理等诸多方面，是一个“立体”的、“多维度”的概念。 3.1 安全指导思想 安全系统的建设以国家政策、法律、法规为设计的指导性思想和标准，其中包括：《中共中央关于加强新时期保密工作的决定》、《计算机信息系统保密管理暂行规定》、《涉密计算机信息系统安全保密管理规范》、卫生部《医院信息系统基本功能规范》等相关规定。 在整个信息安全系统设计之初，就根据系统中涉及信息的安全程度进行信息（数据）安全分类工作，遵循“有限安全”原则，针对不同的信息、数据按密级进行划分，并采取与之相对应的安全措施，真正做到“知彼知己”，实现整体系统安全与资金投入的最佳平衡。 3.2 安全管理制度 安全管理制度是安全保障体系中与技术实现手段相配合的重要环节，常言道信息系统安全是“三分技术、七分管理”；完善的安全管理制度将是整个系统架构的保证，包括： 1）完善安全管理规章制度、包括机房安全管理制度、加密设备管理制度、密钥交换流程密钥管理制度、涉密人员的轮换制度等； 2）实现实时防御监控机制、加强检查、发现问题、堵塞漏洞、消除隐患。并借助于一系列的管理类工具辅助实施系统管理； 3）制订全面的应急处理机制，并落实到各责任人。包括各种紧急情况的处理流程、各系统厂商、安全对接部门、各责任人的紧急联系方式； 4) 实施定期安全演练机制，确保各项安全措施、应急处理机制能够被正确地理解、并贯彻实施； 5) 人员培训工作，主要包括：安全意识的培训；安全技能的培训等。 3.3 技术保障体系 技术保障体系是安全保障的重要环节，也是涉及面最广的环节。 1）物理层安全 物理层安全主要是针对系统中所涉及的硬件实体的安全防护为主的安全防护体系，包括： a）机房的安全，包括：静电安全、防雷、防火、防盗等措施； b）主机设备的安全； c）对于涉密设备，应采用独立、安全的管理模式； d）数据备份介质的安全； e）防电磁辐射、抗电磁干扰； 在此安全建设中，主要是依据相关的系统设计、管理行业规范来保障。 2）网络通讯层 在局域网络内部，网络通讯层采用 VLAN 技术。VLAN 是一种将局域网（LAN）设备从逻辑上划分成一个个网段（或者说是更小的局域网 LAN），从而实现虚拟工作组（单元）的数据交换技术。VLAN 可以实现端口的分隔、网络的安全、灵活的管理。 医院信息系统的建设趋势是使医院员工在任何时间任何地点都能无任何障碍的访问相关信息，这就要求我们提供针对外网的访问入口，并将信息发布至互联网络，才能保证员工无论是在家中还是在出差途中，都能随时获取工作信息。这时候，我们可以采用 VPN 技术。VPN 的核心就是利用公共网络建立虚拟私有网，保证网络通讯的安全性。 而对于网络传输过程中的安全需要，采用 IP 层安全标准 IPSec。IPSec 在 IP 层