大型醫(yī)院網(wǎng)絡(luò)安全持續(xù)性改進(jìn)工作要點

黃波

為了進(jìn)一步保證大型醫(yī)院網(wǎng)絡(luò)安全穩(wěn)定，需要通過持續(xù)性改進(jìn)措施，來逐漸提高整體的管理效果，可以根據(jù)國家出臺的相關(guān)法律法規(guī)政策，逐漸落實規(guī)劃相關(guān)的制度以及安全培訓(xùn)，從而實現(xiàn)設(shè)備優(yōu)化、安全巡檢以及實時監(jiān)控等工作效果，保證大型醫(yī)院的日常工作能夠順利有效地完成。

隨著我國信息技術(shù)的逐漸發(fā)展和應(yīng)用，現(xiàn)如今社會中各項生產(chǎn)生活都融入了網(wǎng)絡(luò)系統(tǒng)和信息系統(tǒng)，因此維護(hù)網(wǎng)絡(luò)安全也是我國目前維護(hù)國家安全的重要內(nèi)容。而醫(yī)療衛(wèi)生行業(yè)作為我國關(guān)鍵的基礎(chǔ)設(shè)施，也必須要通過信息技術(shù)來逐漸更新和改善，為了保證大型醫(yī)院安全管理工作順利進(jìn)行，也需要加強對網(wǎng)絡(luò)安全的管理，這也是目前醫(yī)院信息建設(shè)的主要內(nèi)容。

一、大型醫(yī)院網(wǎng)絡(luò)安全管理工作要點

（一）安全規(guī)劃

為了能夠使信息化建設(shè)順利開展，醫(yī)院必須要制定好全年的安全管理規(guī)劃。在制定計劃之前應(yīng)該對國家剛剛出臺的法律法規(guī)進(jìn)行充分了解，例如十三五規(guī)劃以及網(wǎng)絡(luò)安全法中所提出來的信息安全要求以及戰(zhàn)略，進(jìn)一步制定有利于區(qū)域醫(yī)聯(lián)體，互聯(lián)網(wǎng)醫(yī)療，互聯(lián)網(wǎng)互通信共享平臺醫(yī)等網(wǎng)絡(luò)安全互聯(lián)策略，將相關(guān)的安全區(qū)域以及規(guī)則進(jìn)行合理劃分。另外醫(yī)院還要對過去一年有關(guān)安全保護(hù)的措施進(jìn)行整理，同時要對上級部門的檢查結(jié)果進(jìn)行適當(dāng)?shù)慕?jīng)驗總結(jié)，根據(jù)已經(jīng)發(fā)生的問題制定整改計劃，其中主要包括本年度應(yīng)該實行的長期整改方案以及完成工作的時間節(jié)點，有利于保證醫(yī)院的安全建設(shè)計劃更加清晰有效。

（二）制度修訂與落實

根據(jù)具體的整改和安全計劃制定醫(yī)院的安全管理制度，還要對當(dāng)前已經(jīng)實行的制度進(jìn)行不定期的調(diào)整和審察。根據(jù)醫(yī)院對實際發(fā)展情況的需求對其進(jìn)行改善，最終由安全管理委員會對相關(guān)制度進(jìn)行進(jìn)一步的修訂評審，完成之后需要通過信息中心進(jìn)行信息的傳遞和發(fā)布，讓在醫(yī)院工作的所有人員都能夠深刻了解具體安全管理的內(nèi)容以及審批流程，這樣可以有效地提高醫(yī)院信息中心技術(shù)工作人員對操作的深刻了解。另外還可以對制度配套的記錄單據(jù)以及審批過程進(jìn)行進(jìn)一步優(yōu)化，保障網(wǎng)絡(luò)準(zhǔn)入、物理變更、人員管理、權(quán)限分配、數(shù)據(jù)統(tǒng)計等信息安全保護(hù)要求。

（三）安全培訓(xùn)

要想進(jìn)一步保證醫(yī)院網(wǎng)絡(luò)安全管理工作的落實，必須要對相關(guān)的工作人員進(jìn)行安全意識的培訓(xùn)，在醫(yī)院信息安全培訓(xùn)制度的引導(dǎo)下制定適合工作人員的培訓(xùn)計劃，針對進(jìn)修醫(yī)師臨床管理人員和新入職的員工要每年培訓(xùn)一次，同時在培訓(xùn)過程當(dāng)中還要進(jìn)一步強調(diào)密碼安全、防病毒知識、風(fēng)險上報等意識。對于信息技術(shù)人員來說，必須要要進(jìn)行每年2～4次的技術(shù)以及安全意識培訓(xùn)。其中網(wǎng)絡(luò)或者機(jī)房軟硬件變更后，所掌握的故障以及問題處理和排查方式需要由培訓(xùn)中心提出，在進(jìn)行安全意識培養(yǎng)的過程當(dāng)中，主要內(nèi)容是強化信息技術(shù)人員的職業(yè)道德意識。所有的安全培訓(xùn)過程都必須要實時準(zhǔn)確的記錄下來。

二、大型醫(yī)院網(wǎng)絡(luò)安全運維工作要點

大型醫(yī)院的網(wǎng)絡(luò)安全區(qū)域不可以只依靠一種防護(hù)措施，必須要進(jìn)行差異性的防護(hù)，在內(nèi)外網(wǎng)布置多臺的安全設(shè)備，同時也要做好安全防護(hù)政策，在進(jìn)行安全防護(hù)的時候，大型醫(yī)院的網(wǎng)絡(luò)安全設(shè)備比較多，安全策略需要及時調(diào)整，而且信息系統(tǒng)業(yè)務(wù)也比較復(fù)雜，所以必須要對相關(guān)環(huán)節(jié)進(jìn)行實時監(jiān)控，定期優(yōu)化和巡檢，保證醫(yī)院網(wǎng)絡(luò)安全防護(hù)手段能夠始終發(fā)揮作用，從而有效的防控風(fēng)險。

（一）安全巡檢

信息網(wǎng)絡(luò)中心工作中，必須要做好巡檢規(guī)范的書面文字記錄，可以根據(jù)醫(yī)院的安全管理制度做好記錄，同時安排好工作人員的排班情況，每日都要對機(jī)房內(nèi)設(shè)備環(huán)境數(shù)據(jù)庫狀態(tài)以及備份情況進(jìn)行檢查，同時還要將檢查的結(jié)果記錄下來，如果出現(xiàn)潛在風(fēng)險，必須要及時反饋給管理人員進(jìn)行解決。網(wǎng)絡(luò)管理員還要通過現(xiàn)場巡視以及監(jiān)控平臺的方法對網(wǎng)絡(luò)設(shè)備進(jìn)行巡檢，主要是對本地和異地所涉及到的備份內(nèi)容進(jìn)行驗證和檢查，特別是在非工作日以及節(jié)假日期間對重點設(shè)備進(jìn)行備份，保證醫(yī)院在全年任何時間段都可以正常運轉(zhuǎn)。

（二）設(shè)備優(yōu)化

保證安全規(guī)劃管理正常運行的基礎(chǔ)上，要對網(wǎng)絡(luò)安全設(shè)備以及儲存設(shè)備進(jìn)行優(yōu)化，而且還要對磁盤陣列的CPU服務(wù)器以及內(nèi)存存儲空間進(jìn)行適當(dāng)?shù)財U(kuò)充，對于一些老化的線路和老舊的網(wǎng)絡(luò)設(shè)備要及時更換，盡量延長網(wǎng)絡(luò)設(shè)備的壽命，保證醫(yī)院網(wǎng)絡(luò)能夠穩(wěn)定應(yīng)用。針對醫(yī)院內(nèi)網(wǎng)中的安全區(qū)間以及防火墻的策略以及性能要進(jìn)行及時檢查，以免影響工作，及時管理好網(wǎng)串聯(lián)鏈路上的單點設(shè)備，保證互聯(lián)網(wǎng)業(yè)務(wù)內(nèi)外網(wǎng)之間的聯(lián)系通暢。

（三）安全監(jiān)控與加固

安全設(shè)備部署以及網(wǎng)絡(luò)安全防護(hù)工作需要對各類安全風(fēng)險監(jiān)控進(jìn)行加強和管理，可以通過惡意代碼防護(hù)系統(tǒng)以及防毒墻來控制網(wǎng)絡(luò)病毒風(fēng)險，出現(xiàn)了新型病毒需要及時關(guān)閉終端高危端口，并對服務(wù)器的防病毒系統(tǒng)進(jìn)一步升級，保證在發(fā)現(xiàn)病毒之后能夠及時的查殺。最后還要對出現(xiàn)的高危風(fēng)險以及漏洞進(jìn)行總結(jié)，制定相應(yīng)的修復(fù)方案以及安全策略，保證在不影響醫(yī)院業(yè)務(wù)運行的同時增強對防護(hù)系統(tǒng)的管理。

（四）安全審計與分析

醫(yī)院還要對各類網(wǎng)絡(luò)以及安全設(shè)備的審計功能進(jìn)行相應(yīng)的管理，根據(jù)上網(wǎng)行為管理系統(tǒng)以及網(wǎng)絡(luò)日志審計系統(tǒng)，收集互聯(lián)網(wǎng)訪問日志以及內(nèi)網(wǎng)流量，記錄數(shù)據(jù)庫的審計系統(tǒng)中操作數(shù)據(jù)庫的具體情況，最終使用終端安全管理系統(tǒng)對相關(guān)行為進(jìn)行記錄，將醫(yī)院半年內(nèi)有關(guān)系統(tǒng)，網(wǎng)絡(luò)以及數(shù)據(jù)的全部審計工作進(jìn)行保存和整理。

（五）安全應(yīng)急與演練

為了能夠使安全管理措施更加有效，醫(yī)院還可以根據(jù)年度安全制度來制定應(yīng)急預(yù)案，通過對信息系統(tǒng)故障以及系統(tǒng)升級的情況制定相關(guān)流程，同時將要具體的工作落實到每一個應(yīng)急人員，醫(yī)院領(lǐng)導(dǎo)小組將詳細(xì)的操作步驟以及準(zhǔn)備的物品及時布置下去。信息中心不僅要制定緊急預(yù)案，而且還要將服務(wù)器、存儲、網(wǎng)絡(luò)、網(wǎng)站等重要設(shè)備制定出應(yīng)急響應(yīng)措施，保證所有技術(shù)人員都能夠熟練掌握工作流程。另外醫(yī)院還可以結(jié)合網(wǎng)絡(luò)調(diào)試工作，以及系統(tǒng)升級進(jìn)行每年兩次至4次的演練，在演練過程中要有專門工作人員記錄，根據(jù)具體的記錄結(jié)果制定相應(yīng)的管理以及演練措施，保證在不影響醫(yī)院業(yè)務(wù)運行的過程當(dāng)中完成網(wǎng)絡(luò)安全應(yīng)急演練。

總而言之，要保證大型醫(yī)院網(wǎng)絡(luò)安全工作，必須要保證物理安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、主機(jī)安全、應(yīng)用安全，并且做好后續(xù)的持續(xù)安全管理。

作者單位：柳州市工人醫(yī)院