医院里信息化安全系统等保解决方案设计(二级).docx

文档 文档 实用标准 医院信息化安全等保解决方案 一、行业背景与需求 为贯彻落实国家信息安全等级保护制度，规范和指导全国卫生行业信息安全等级保护工 作，卫生部办公厅于 2011 年 12 月下发卫生部《卫生行业信息安全等级保护工作的指导意见》 （卫办发〔2011〕85 号）（以下简称《指导意见》）。为贯彻《指导意见》，办公厅同时下发 《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126 号）（以下简称《通知》），对卫生行业各单位提出如下要求： 2012 年 5 月 30 日前完成本单位信息系统的定级备案工作； 根据信息系统定级备案情况开展等级测评工作，查找安全差距和风险隐患，并结合自身安全需求，制订安全建设整改方案； 2015 年 12 月 30 日前完成信息安全等级保护建设整改工作，并通过等级测评。 《指导意见》根据《信息安全技术信息系统安全等级保护定级指南》（以下简称《定级指南》）、 序号信息系统可能侵害的客体定级建议1HIS、LIS、PACS、门诊系统等公民、法人与其他组织合法权益 二级2OA、网站、邮寄等 序号 信息系统 可能侵害的客体 定级建议 1 HIS、LIS、PACS、门诊系统等 公民、法人与其他组织合法权益 二级 2 OA、网站、邮寄等 公民、法人与其他组织合法权益 二级 二、迪普解决之道 为帮助县区医院落实国家信息安全等级保护制度与卫生部信息安全等级保护工作要求， 迪普科技从主机安全、应用安全、数据安全与备份恢复四个层面为县区医院提供全方位的等 级保护解决方案。 整体思路 县级医院网络一般分为两张物理网络：内网（业务网）和外网（办公网）。内网主要承载着 HIS、LIS、PACS 等医院信息系统，外网主要承载医院 OA、网站、mail 等信息系统。《基本要求》中规定不同安全保护等级的信息系统应该具备相应的基本安全保护能力，应满足相应的基本安全要求，根据实现方式的不同，基本安全要求分为基本技术要求和基本管理要求 实用标准 两大类。基本技术要求包含物理安全、网络安全、主机安全、应用安全和数据安全几个层面。本方案针对医院内外两张物理网络及其承载的信息系统，分别从网络安全、主机安全、应用 安全、数据安全四个层面进行设计。 网络安全、主机安全、应用安全、数据安全均包含多个控制点，而每个控制点又包含多个具体的技术要求项，本方案针对其中具体项要求提出以下的安全措施，如下表所示： 文档 文档 文档 实用标准 安全 类 势l 控制章 主安安全撬旌 一飞院嬉旌 网差 -玉仁.－:人＝一－七 吐宝全 网兰汗玄佞职 痊帝 罕 醮 不 同 划 分－网 妾 I 至 王 网 枭 之 间 至 芫 防 :.,K租 行民 汔 访 户主控令j 网芝 边 异郢吾 防 火垃 4 蛭 吉计 网芝日 志= 计- 网连 运．姜 宦 三妾全三 计 4 边 界 奂 丢甘生畦 幸 ；电届入 控 老」系 浣． 实现 1§ )\. 控，夺j 毛 滂并 臣 往 兰 J 宗 写 准人 名 名」系 玩． 买瑛 准入笠 古」及 毛名研 臣匡庙 人名防 范 人经栓打系现“人径防谔乐琉 4 芯忘＇．代 令劭 范· 院 令 圭．可关 主机妇 入洼吃＇茫i 妥写 郘．各 品 主·会 加 固 ` l 汪 兰计 采浔终拦昔兰系淀实现蛭 宝计 ｀l 子宗代老防范 防病宝软件 J 过在寻 妾 身 伤 鉴别 于且 圭 千廿立法含涟 ./ 妾 吉 计 纽 吉 妇 = 计 系迳芘 4 ，会并 空 玉 兰 与 衾 颈 含 ． 冬伤和恢复 字 呻 冬 与性复 ..I. 程 刊 芍 毡 关 雯网竺 设 各- 甡 竞和踩 务响 ：件 冗会 ｀I 异 地 各 色 呈 地 卖君 冬竹 方案描述 医院内网信息安全等级保护方案设计，如下图所示： 广－－－－－－－－－－－－－－－－－ －－－－－－－－－， 广－－－－ －－ －－－－－－－－ －－－ －－－－－ ,-－－－－－－-－－-- -－－－- -－－－－-－－－-－－－, ， 安全区辽竺理中心 ＿-—--－－－－－乙 －－ －－一 －－－－－－ －－ ＿ -— I 外联区 ～； r-－-－－- -－－－丕 －－－－－－－－： ;-－-－－仁－一－－－－卜一一－－－－－－－ - -- -- -t－－－－－－卜－－－－－－一一，， 飞 车 －－全 －－－－ －－！ lI！ lI 龟 、.. ， l， l 毛 毛 令 -－ 云 －了 毛 ， 终忘接入 ， 赴毛 ，I ， 竺过砸人 ， 泛 ! - -- - - - -- - - - -- -- - - - -- - - - 哇楼 －－－－－－－－－ －－－一 一·- --- -- - 医 －－－－－一，一一一－－－－－－－－－