構(gòu)建醫(yī)院等級(jí)保護(hù)縱深防護(hù)體系—助力醫(yī)院信息安全建設(shè)

摘要：參考《衛(wèi)生信息化\"十二五\"發(fā)展規(guī)劃》的關(guān)于\"信息安全體系建設(shè)\"的要求，同時(shí)伴隨醫(yī)院數(shù)字化醫(yī)療的安全建設(shè)的推進(jìn)，如何有效構(gòu)建醫(yī)院重要信息系統(tǒng)的安全保障體系是未來(lái)醫(yī)院信息化安全關(guān)注的焦點(diǎn)。實(shí)踐證明采取等級(jí)保護(hù)體系化建設(shè)整改，是一個(gè)行之有效的全面提升安全保護(hù)能力的方法。

關(guān)鍵詞：醫(yī)院；等級(jí)保護(hù)；體系化；建設(shè)整改方案

1需求分析

近日，為貫徹落實(shí)國(guó)家信息安全等級(jí)保護(hù)制度，滿足三級(jí)甲等醫(yī)院復(fù)審任務(wù)對(duì)醫(yī)院信息安全等級(jí)保護(hù)的要求，三級(jí)醫(yī)院開(kāi)展等級(jí)保護(hù)建設(shè)勢(shì)在必行。①醫(yī)院信息系統(tǒng)出現(xiàn)故障，會(huì)直接影響醫(yī)院業(yè)務(wù)的正常開(kāi)展，導(dǎo)致醫(yī)院業(yè)務(wù)停滯，對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害。②由于信息系統(tǒng)中存儲(chǔ)著大量患者個(gè)人數(shù)據(jù)，若發(fā)生數(shù)據(jù)泄露，會(huì)引起患者不滿，激化醫(yī)患矛盾，同時(shí)帶來(lái)負(fù)面社會(huì)影響。因此，現(xiàn)代化醫(yī)院對(duì)信息系統(tǒng)的穩(wěn)定性和安全性尤為關(guān)注。

為此，衛(wèi)生部下發(fā)了《關(guān)于全面開(kāi)展衛(wèi)生行業(yè)信息安全等級(jí)保護(hù)工作的通知》（衛(wèi)辦綜函 [2011]1126號(hào)文），文件中要求三級(jí)甲等醫(yī)院的核心業(yè)務(wù)信息系統(tǒng)信息安全保護(hù)等級(jí)不低于第三級(jí)，同時(shí)要求各醫(yī)院于2015年12月30日前完成信息安全等級(jí)保護(hù)建設(shè)整改工作，并通過(guò)等級(jí)測(cè)評(píng)。隨后《衛(wèi)生行業(yè)信息安全等級(jí)保護(hù)工作的指導(dǎo)意見(jiàn)》（衛(wèi)辦發(fā)[20111]85號(hào)）的發(fā)布，標(biāo)志著全國(guó)衛(wèi)生行業(yè)等級(jí)保護(hù)進(jìn)入了提速階段。

同時(shí)作為醫(yī)院主管信息化的領(lǐng)導(dǎo)也應(yīng)從風(fēng)險(xiǎn)管理的治理角度出發(fā)，按照合規(guī)性的要求進(jìn)行相應(yīng)級(jí)別等級(jí)保護(hù)建設(shè)，就相當(dāng)于個(gè)人或組織買(mǎi)了一份保險(xiǎn)，規(guī)避出現(xiàn)安全事件的追責(zé)問(wèn)題。

綜上所述，按照等級(jí)保護(hù)要求進(jìn)行符合國(guó)家及行業(yè)政策規(guī)范的信息安全體系建設(shè)，非常符合醫(yī)院信息化建設(shè)的根本利益和業(yè)務(wù)安全需要。

2醫(yī)院等級(jí)保護(hù)建設(shè)階段

2.1醫(yī)院等級(jí)保護(hù)全生命周期建設(shè) 醫(yī)院等級(jí)保護(hù)全生命周期建設(shè)主要3個(gè)階段：需求分析->體系化實(shí)施->安全運(yùn)維，具體如下所述。

2.1.1差距測(cè)評(píng)，確定安全需求 通過(guò)系統(tǒng)定級(jí)、等級(jí)評(píng)估等識(shí)別系統(tǒng)的安全風(fēng)險(xiǎn)，確定定級(jí)對(duì)象的信息系統(tǒng)的安全等級(jí)，并找出系統(tǒng)安全現(xiàn)狀與等級(jí)要求的差距，形成完整準(zhǔn)確的等級(jí)化的安全建設(shè)需求。

2.1.2體系化建設(shè)，實(shí)現(xiàn)縱深安全保障體系 等級(jí)保護(hù)體系化安全建設(shè)的設(shè)計(jì)思想是采用\"體系化\"的分析和控制方法，以等級(jí)保護(hù)的\"一個(gè)中心、三維防護(hù)\"為核心指導(dǎo)思想，不僅構(gòu)建集防護(hù)、檢測(cè)、響應(yīng)、恢復(fù)于一體的安全防護(hù)體系，而且建立符合等級(jí)保護(hù)整體安全控制要求的安全防護(hù)體系。

具體體現(xiàn)為：以全面貫徹落實(shí)等級(jí)保護(hù)制度為核心，打造科學(xué)實(shí)用的信息安全防護(hù)能力、安全風(fēng)險(xiǎn)監(jiān)測(cè)能力、應(yīng)急響應(yīng)能力和災(zāi)難恢復(fù)能力，從安全技術(shù)、安全管理、安全運(yùn)維三個(gè)視角構(gòu)建縱深安全防護(hù)體系，切實(shí)保障醫(yī)院信息安全。

2.1.3安全運(yùn)維 通過(guò)安全監(jiān)控、安全評(píng)估、安全加固、現(xiàn)場(chǎng)駐守、應(yīng)急響應(yīng)等服務(wù)包，實(shí)現(xiàn)從事前、事中、事后的整體安全運(yùn)維，確保醫(yī)院業(yè)務(wù)系統(tǒng)的持續(xù)安全，滿足可持續(xù)性、縱深防御、等級(jí)化安全建設(shè)需求。

2.2醫(yī)院等級(jí)保護(hù)體系化實(shí)施流程 通過(guò)一系列部委級(jí)等級(jí)保護(hù)項(xiàng)目建設(shè)的最佳實(shí)踐，總結(jié)并構(gòu)建等級(jí)保護(hù)的體系化實(shí)施模型，全面覆蓋公安部對(duì)等級(jí)保護(hù)實(shí)施要求5個(gè)規(guī)定動(dòng)作：定級(jí)、備案、建設(shè)整改、測(cè)評(píng)、監(jiān)督檢查，使過(guò)程方法和PDCA模型更加完善和清晰化，同時(shí)補(bǔ)充其他體系化要素，形成完整的信息安全等級(jí)保護(hù)體系化實(shí)施方法。

2.2.1規(guī)劃階段 主要任務(wù)：系統(tǒng)定級(jí)、系統(tǒng)備案、差距測(cè)評(píng)、建設(shè)整改方案設(shè)計(jì)、安全規(guī)劃等。

2.2.2實(shí)施階段 主要任務(wù)：建設(shè)整改實(shí)施方案、安全技術(shù)措施和安全管理措施實(shí)施。

2.2.3自查和測(cè)評(píng)階段 主要任務(wù)：等級(jí)保護(hù)自查、系統(tǒng)等級(jí)測(cè)評(píng)。

2.2.4處置階段 主要任務(wù)：等級(jí)保護(hù)體系持續(xù)改進(jìn)，系統(tǒng)檢查，采取糾正措施，防止安全事件再次發(fā)生。

3醫(yī)院等級(jí)保護(hù)建設(shè)整改方案設(shè)計(jì)

3.1建設(shè)整改方案總體設(shè)計(jì) 三級(jí)醫(yī)院等級(jí)保護(hù)建設(shè)整改方案設(shè)計(jì)總結(jié)來(lái)講就是：\"三個(gè)體系（安全技術(shù)體系、安全管理體系、安全運(yùn)維體系）、一個(gè)中心（安全管理中心）、三維防護(hù)（安全計(jì)算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)）\"。

3.2安全技術(shù)體系設(shè)計(jì) 三級(jí)信息系統(tǒng)的物理安全設(shè)計(jì)，不在本文所述之列。

3.2.1安全計(jì)算環(huán)境建設(shè) 根據(jù)《安全設(shè)計(jì)技術(shù)要求》的三維防護(hù)的思想和控制要求，并結(jié)合《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2008）的主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全等相關(guān)安全控制項(xiàng)，安全計(jì)算環(huán)境的建設(shè)通過(guò)操作系統(tǒng)加固系統(tǒng)、數(shù)據(jù)庫(kù)審計(jì)、終端管理系統(tǒng)、PKI/CA系統(tǒng)、WAF、網(wǎng)頁(yè)防篡改以及系統(tǒng)和應(yīng)用的自身安全控制實(shí)現(xiàn)。

3.2.2安全區(qū)域邊界建設(shè) 根據(jù)《信息安全技術(shù) 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求 》（GB/T25070-2010）\"一個(gè)中心，三維防護(hù)\"的思想和控制要求，并結(jié)合《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2008）的相關(guān)安全控制項(xiàng)，安全區(qū)域邊界的建設(shè)通過(guò)防火墻、入侵檢測(cè)、入侵防御、網(wǎng)絡(luò)審計(jì)等安全產(chǎn)品實(shí)現(xiàn)，滿足其安全控制措施的要求。

3.2.3安全通信網(wǎng)絡(luò)建設(shè) 根據(jù)《信息安全技術(shù) 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求 》（GB/T25070-2010）\"一個(gè)中心，三維防護(hù)\"的思想和控制要求，并結(jié)合《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2008）的相關(guān)安全控制項(xiàng)，安全通信網(wǎng)絡(luò)的建設(shè)通過(guò)VPN、網(wǎng)絡(luò)安全審計(jì)等安全產(chǎn)品實(shí)現(xiàn)，滿足其安全控制措施的要求。

3.2.4集中安全管理中心建設(shè) 根據(jù)《信息安全技術(shù) 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求 》（GB/T25070-2010）\"一個(gè)中心，三維防護(hù)\"的思想和控制要求，并結(jié)合《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2008）的相關(guān)安全控制項(xiàng)，安全通信網(wǎng)絡(luò)的建設(shè)通過(guò)安全管理平臺(tái)實(shí)現(xiàn)，包括系統(tǒng)管理、審計(jì)管理和安全管理滿足其安全控制措施的要求。

3.3安全管理和與運(yùn)維體系設(shè)計(jì)

3.3.1安全管理體系 安全管理體系主要從三個(gè)維度設(shè)計(jì)：組織、人員和策略。按照信息系統(tǒng)安全等級(jí)保護(hù)的相關(guān)要求，協(xié)助建立信息安全保護(hù)持續(xù)改進(jìn)機(jī)制，梳理醫(yī)院系統(tǒng)信息安全等級(jí)保護(hù)管理制度體系，健全和完善信息安全的管理體系。

3.3.2安全運(yùn)維體系 主要從系統(tǒng)建設(shè)管理、安全運(yùn)維管理及項(xiàng)目管理三個(gè)維度進(jìn)行設(shè)計(jì)，以保證醫(yī)院信息安全運(yùn)維體系的健康運(yùn)行。

4結(jié)論

通過(guò)分析醫(yī)院等級(jí)保護(hù)安全需求，提出了全生命周期建設(shè)和體系化實(shí)施流程，以此為基礎(chǔ)擬定了等級(jí)保護(hù)建設(shè)整改方案。本文通過(guò)以三甲醫(yī)院擬定級(jí)的臨床應(yīng)用系統(tǒng)和臨床輔助系統(tǒng)等級(jí)保護(hù)對(duì)象為基礎(chǔ)，采用\"三個(gè)體系、一個(gè)中心、三維防護(hù)\"體系化設(shè)計(jì)方法，建立滿足等級(jí)保護(hù)整體安全控制要求的縱深信息安全防護(hù)體系。

編輯/肖慧