三级等保与系统集成会议v5.pptx

专业成就梦想，技术引领未来KINGSTAR WINNING医院信息系统三级等保与系统集成网络集成事业部邓荣华2013-05-31 内容提要内容提要 三级等保—医院信息系统安全的基石 系统集成新实施规范 云技术在医院信息系统的实际应用等级保护对医院信息系统建设的指导意义政府强制政策，必须要满足 等级保护是国家信息方面的基本制度，属于法律符合性要求，属于国家重要信息系统的，必须需要满足此制度；政策要求，可以促进开展信息安全工作，提起领导和各部门的重视，统一思想做为国家或上级主管部门给出信息安全工作的政策方向和技术指导，可以指导我们规避策略和技术方向的风险等级保护还是一套比较先进的方法，做好了对实际工作及系统安全有较大帮助正确定级并遵照标准执行，可以规避部分信息安全责任依据国家要求，申请项目和经费较为容易等保保护—医院信息系统安全现实需要黑客攻击后门、隐蔽通道特洛伊木马计算机病毒 信息系统信息丢失、篡改、销毁拒绝服务攻击逻辑炸弹蠕虫内部、外部泄密等级保护具体分级说明第一级信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益 第二级信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全第三级信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成 损害第四级信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害第五级 信息系统受到破坏后，会对国家安全造成特别严重损害三级等保系统的控制类及控制项指标类技术/管理层面类数量项数量S类(3级)A类(3级)G类(3级)小计小计安全技术物理安全1181032网络安全106733主机安全313732应用安全522931数据安全21038安全管理安全管理制度N/A311安全管理机构520人员安全管理516系统建设管理1145系统运维管理1360合 计73（类）290（项）实施系统等保项目我们的优势1、 对用户医院信息化实际运行状况的非常清楚（包括医院机房、硬件设施、应用软件使用情况等），能针对三级等保要求提供各性化解决方案，上海市卫生局已要求上海地区三级医院及区县中心医院的HIS\LIS\RIS等核心业务系统都要通过三级等保；2、医院要通过三级等保，涉及到医院的应用软件（应用软件的较大改动）、硬件设备的增减和系统集成方案等三大层面的调整和完善；3、新技术及安全设备的应用和医院核心的业务紧密的结合，将真正对医院信息系统安全有较大的帮助；4、三级等保是一项长期的工作，上海市卫生局要求每2年评审一次，涉及到医院日常的信息系统后期维护，我们可以做到一体化服务；5、我公司和上海市信息安全测评中心合作（上海市三级等保评测机构），有较强的专业和实施技术保障。物理安全网络安全主机安全应用安全数据安全实现医院三级等保所涉及的各个业务层面信息系统等级保护——网络安全的集成要点关键设备冗余空间主要设备冗余空间路由控制结构安全核心网络带宽整体网络带宽带宽分配优先级子网/网段控制重要网段部署防止地址欺骗端口控制访问控制设备（用户、网段）访问控制应用层协议过滤会话终止拨号访问限制最大流量数及最大连接数日志记录安全审计审计记录的保护审计报表内部的非法联出边界完整性检查定位及阻断非授权设备私自外联检测常见攻击入侵防范记录、报警恶意代码防范网络边界处防范基本的登录鉴别网络设备防护组合鉴别技术特权用户的权限分离等级保护——主机安全的集成要点基本的身份鉴别身份鉴别组合鉴别技术安全策略管理用户的权限分离访问控制敏感标记的设置及操作特权用户的权限分离重要客户端的审计服务器基本运行情况审计安全审计审计记录的保护审计报表剩余信息保护空间释放及信息清除最小安装原则重要服务器：检测、记录、报警入侵防范升级服务器重要程序完整性防恶意代码软件、代码库统一管理恶意代码防范主机与网络的防范产品不同监视重要服务器对用户会话数及终端登录的限制资源控制最小服务水平的检测及报警等级保护——应用安全的集成要点基本的身份鉴别身份鉴别组合鉴别技术安全策略访问控制敏感标记的设置及操作最小授权原则抗抵赖运行情况审计（用户级）安全审计审计过程的保护审计报表审计记录的保护剩余信息保护空间释放及信息清除校验码技术通信完整性密码技术初始化验证通信保密性整个报文及会话过程加密敏感信息加密数据有效性检验、部分运行保护软件容错自动保护功能资源分配限制、资源分配优先级对用户会话数及 系统最大并发会话数的限制资源控制最小服务水平的检测及报警等级保护——数据安全及备份恢复的集成要点鉴别数据传输的完整性数据完整性各类数据传输及存储检测和恢复鉴别数据存储的保密性数据保密性各类数据的传输