医院信息系统安全管理办法.docxVIP

信息系统安全管理办法 第一章总则 为规范**县**医院信息系统的技术管理和维护工作，确保系统安全运转和系统运行管理的及时、高效，规范系统操作，加强内部控制，最大程度地防范技术操作风险，特制定本管理办法。 本管理办法适用于信息科对信息系统的安全管理。 第二章系统安全管理 禁用不必要的服务，尽量将系统中不用的服务、尤其是一些暂时不用的网络服务关闭，从而使系统遭受攻击的可能性降至最低。 系统遵循最小权限原则，系统只能授予应用程序和用户必要的权限，而不能授予额外的权限。 服务器需安装软件防火墙，由信息科统一部署，病毒库统一升级。 对于重要的数据进行加密。 安全性能评估，对于安全产品应选用经过国内、国外权威第三方认证的安全产品，系统管理员应随时保持警惕以预防攻击事件的发生或者将攻击的危害降至最低。 对系统漏洞情况每季度至少进行一次扫描，对漏洞风险持续跟踪，在经过充分的验证测试后对必要的漏洞开展 修补工作，实施漏洞扫描或漏洞修补前，对可能的风险进行评估和充分准备,选择恰当时间，并做好数据备份和回退方案，漏洞扫描或漏洞修补后应进行验证测试，以保证系统的正常运行，扫描后记录扫描情况，填写《系统安全扫描情况记录表》（附件1）。 持续跟踪厂商提供的系统升级更新情况，应在经过充分的测试评估后对必要的补丁进行及时更新，填写《系统与网络设备补丁分析评估表》（附件2），在安装系统补丁前对现有的重要文件进行备份，并对备份情况和系统升级情况进行记录，填写《系统及网络设备升级记录表》（附件3）。 至少每月对运行日志和审计数据进行分析。 第三章系统访问控制要求 用户或者应用程序访问系统资源时要求系统管理员通过设置必要的选项完成以下功能： （一）提供适当的身份验证方法。 （二）识别和验证身份。 （三）记录成功和失败的系统访问（日志信息）。 （四）据情况限制用户连接时间。 登录程序应最大限度地减少公开的信息，以避免非法用户使用。登录程序应： 在登录过程未成功之前禁止显示系统或应用的标识。 显示一般性注意事项。提醒用户只有合法用户才能访问计算机。 登录期间禁止提供帮助消息。 只有所有输入数据完成后才能验证登录信息。 应限制允许登录的失败次数为3次。 限制登录程序允许的时间上限和下限。如果超过限制，则系统必须终止登录过程。 成功登录后，宜显示以下信息： 1、以前成功登录的日期和时间。 2、上次成功登录以来登录失败的详细情况。 登录超时要求 当系统超时未激活时，应能够自动锁住系统，防止非法访问，但不宜关闭应用或网络会话。 超时的时间设置取决于连接系统的重要程度、终端风险暴露程度以及终端上信息的业务价值。 第四章用户账号安全 用户身份识别和验证 （一）信息系统所有用户都应拥有个人专用的唯一标识符（用户ID）以便操作能够追溯到具体责任人。但是在认证和授权体系没有建立之前，特定操作系统内所有的用户必须有一个唯一的ID，并且该ID名称不能让人猜测到该用户的权限级别，如管理员、主管等。 （二）对于每一个申请使用系统的用户，应要求填写《系统账号申请表》（附件4），并在表格中包含**县**医院的密码安全政策规范，明确违反该规范的后果和责任，同时要求用户签名以产生法律效力，并在《系统账户登记表》进行登记。 （三）对于用户身份的验证，宜采用多种身份验证程序来加以证实。口令是一种很常见的身份识别和验证方法。采用加密方法和身份验证协议也可达到同样的效果。也可使用用户的内存标记或智能卡等进行身份识别和验证。也可使用基于个人唯一特点或特性的生物统计学身份验证技术来验证用户身份。将安全技术和安全机制结合起来可进行更为严格的身份验证。 用户账号过期 （一）设置用户账号的有效有效期为一年。 （二）当某一个用户账号过期时，系统维修检查确认该用户账号所对应的员工是否还留在**县**医院，如果不是则将该账号自动删除，否则继续激活该用户账号。 （三）如果用户账号过期了但是用户无法联系到，先将其用户账号锁住，等用户回来以后按需要激活。 Guest账号 （一）应禁止长期保留Guest账号。 （二）当系统安装完成后必须视情况禁用Guest账号， 当用户确实需要Guest账号进行临时的访问时，才可将Guest账号激活。 （三）应确保Guest账号的口令安全。 所有操作系统应禁止使用无口令的用户账号。 除非有特殊的要求，不应有多个用户共享一个用户ID和口令，而应使用用户组的概念来代替。 用户账号安全其它事项 用户账号重命名，也就是对默认的账号重命名。包括administrator、Guest以及其它一些在安装统计时（如ISS）自动建立的账号。 建立伪管理员账号，如在系统中建立用户名为“administrator”的用户，并设定一个难以推测的口令，但是不赋予其真正的管理员权限。 第五章文件系统安全 文件系