1、信息安全在县级医院信息化建设的应用信息安全在县级医院信息化建设的应用20142014年年1010月月目目 录录信息安全的基本概念卫生信息安全政策县级医院信息安全现状县级医院信息安全策略的思考一、信息安全的基本概念一、信息安全的基本概念信息信息安全安全 指指信息系统（信息系统（包括硬件、软件、包括硬件、软件、数据、人、物理数据、人、物理环境及其基础设施）受到保护，环境及其基础设施）受到保护，不受不受偶然的或者恶意偶然的或者恶意的原因而的原因而遭到遭到破坏、更改、泄露，系统连续可靠正常破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现地运行，信息服务不中断，最终实现业务连续性业务连
2、续性。信息信息安全安全的基本要素的基本要素对出现的网络安全问题提供依据和手段确保信息不暴露给未授权的实体或进程只有得到允许的用户，才能修改数据，并能辨别数据是否被修改过控制授权范围内的信息流向及行为方式得到授权的实体在需要时可访问数据，即攻击者不能占用所有资源而阻碍授权者工作信息安全目的信息安全目的进不来拿不走看不懂改不了走不脱信息安全效应信息安全效应外看建设好外看建设好安全安全却很差却很差只只因一板短因一板短努力也自溢努力也自溢信息系统安全等级保护信息系统安全等级保护信息系统安全等级保护 是对是对信息和信息载体按照重要性等级分级别进信息和信息载体按照重要性等级分级别进行保护的一种工作，行保护
3、的一种工作，对对信息系统信息系统分分等级等级实行实行安全保安全保护护，对信息系统中使用的，对信息系统中使用的信息安全产品信息安全产品实行实行按等级按等级管理管理，对信息系统中发生的，对信息系统中发生的信息安全事件信息安全事件分分等级响等级响应、处置应、处置。信息系统安全等级保护信息系统安全等级保护目目 录录信息安全的基本概念卫生信息安全政策县级医院信息安全现状县级医院信息安全策略的思考信息安全的国家政策信息安全的国家政策颁布时间颁布时间文件名称文件名称文号文号颁布机构颁布机构内容及意义内容及意义1994年2月18日中华人民共和国计算机信息系统安全保护条例国务院147号令国务院第一次提出信息系统
4、要实行等级保护，并确定了等级保护的职责单位。2003年9月7日国家信息化领导小组关于加强信息安全保障工作的意见中办国办发200327号中共中央办公厅国务院办公厅等级保护工作的开展必须分步骤、分阶段、有计划的实施。明确了信息安全等级保护制度的基本内容。2004年9月15日关于信息安全等级保护工作的实施意见公通字200466号公安部国家保密局国家密码管理委员会办公室（国家密码管理局）国务院信息化工作办公室将等级保护从计算机信息系统安全保护的一项制度提升到国家信息安全保障的一项基本制度。2007年6月22日信息安全等级保护管理办法公通字200743号明确了信息安全等级保护制度的基本内容、流程及工作要
5、求，明确了信息系统运营使用单位和主管部门、监管部门在信息安全等级保护工作中的职责、任务。2007年7月16日关于开展全国重要信息系统安全等级保护定级工作的通知公信安2007861号就定级范围、定级工作主要内容、定级工作要求等事项进行了通知。标准与规范标准与规范GB17859-1999 计算机信息系统安全保护等级划分准则GB/T 20270-2006 信息安全技术 网络基础安全技术要求GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求GB/T 20272-2006 信息安全技术 操作系统安全技术要求GB/T 20273-2006 信息安全技术 数据库管理系统通用安全技术要求G
6、B/T 20282-2006 信息安全技术 信息系统安全工程管理要求GB/T 20275-2006 信息安全技术 入侵检测系统技术要求和测试评价方法GB/T 20278-2006 信息安全技术 网络脆弱性扫描产品技术要求GB/T 20279-2006 信息安全技术 网络和终端设备隔离部件安全技术要求GB/T 20281-2006 信息安全技术 防火墙技术要求和测试评价方法GB/T 20282-2006 信息安全技术 信息系统安全工程管理要求国家已出台国家已出台8080多个国标多个国标、行标以及报批标准，、行标以及报批标准，从基础、设从基础、设计、实施、管理、制度计、实施、管理、制度等各个方面等
7、各个方面对信息安全等级保护提对信息安全等级保护提出出了要求和建议。了要求和建议。GB/T 20269-2006 信息系统安全管理要求标准与规范标准与规范GB/T 20984-2007 信息安全技术 信息安全风险评估规范GB/Z 20985-2007 信息技术 安全技术 信息安全事件管理指南GB/T 20988-2007 信息安全技术 信息系统灾难恢复规范GB/T 21028-2007 信息安全技术 服务器安全技术要求GB/T 21052-2007 信息安全技术 信息系统物理安全技术要求GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南GB/T 22239-2008 信息
8、安全技术 信息系统安全等级保护基本要求GB/T 25070-2010 信息安全技术 信息系统等级保护安全设计技术要求GB/T 28448-2012 信息安全技术 信息系统安全等级保护测评要求GB/T 28449-2012 信息安全技术 信息系统安全等级保护测评过程指南GB/T 28453-2012 信息安全技信息安全技术术 信息系信息系统统安全管理安全管理评评估要求估要求GB/Z 20986-2007 信息安全技术 信息安全事件分类分级指南标准与规范标准与规范 面向设计者 信息安全技术 信息系统等级保护安全设计技术要求 （GB/T 25070-2010）计算机信息系统安全保护等级划分准则（GB
9、 17859-1999）信息安全技术 信息系统安全等级保护基本配置（GA/T 710-2007）面向定级者 信息安全技术 信息系统安全等级保护定级指南 （GB/T 22240-2008）标准与规范标准与规范 面向建设者 信息安全技术 信息系统安全等级保护基本要求（GB/T 22239-2008）信息安全技术 网络基础安全技术要求（GB/T 20270-2006）信息安全技术 数据库管理系统安全技术要求（GB/T 20273-2006）信息安全技术 信息系统物理安全技术要求（GB/T 21052-2007）面向管理者 信息安全技术 信息系统安全管理要求（GB/T 20269-2006）信息安全技
10、术 信息系统安全工程管理要求（GB/T 20282-2006）信息技术 安全技术 信息安全事件管理指南（GB/Z 20985-2007）标准与规范标准与规范 面向测评者 信息安全技术 信息系统安全等级保护测评要求（GB/T 28448-2012）信息安全技术 信息系统安全等级保护测评过程指南 （GB/T 28449-2012）面向评估者 信息安全技术 信息安全风险评估规范（GB/T 20984-2007）信息安全技术 信息系统安全管理评估要求（GB/T 28453-2012）国家信息化政策要求国家信息化政策要求“十二五”国家政务信息化工程建设规划u 需求分析报告和建设方案中，同步落实分级保护和
11、等级保护要求，制定实施与业务应用紧密结合、技术上自主可控的信息安全和保密解决方案。u 试运行期间，按有关规定组织开展信息安全风险评估。国家信息化政策要求国家信息化政策要求国务院关于促进信息消费扩大内需的若干意见u 构建安全可信的信息消费环境基础u 提升信息安全保障能力u 加强个人信息保护u 规范信息消费市场秩序国家信息化政策要求国家信息化政策要求 2012年4月20日，国家发展改革委员会和卫生部联合印发了基层医疗卫生机构管理信息系统建设项目基层医疗卫生机构管理信息系统建设项目指导意见指导意见(发改办2012991号)，是指导基层医疗卫生机构管理系统建设的框架性文件。国家信息化政策要求国家信息化
12、政策要求在第四章建设要求中，明确提出信息安全的具体要求卫生系统电子认证服务管理办法（试行）(卫办发2009125号)u适用于在全国卫生系统范围内管理、使用和提供电子认证服务的管理方、使用方和提供方。u坚持合法性原则、应用导向原则、市场竞争原则、一证多用原则，依托第三方电子认证服务机构，建设卫生系统电子认证服务体系。卫生行业信息安全要求卫生行业信息安全要求卫生行业信息安全要求卫生行业信息安全要求卫生行业信息安全等级保护工作的指导意见（卫办发201185号）u建立信息安全等级保护工作联络员机制u要求成立各级信息安全技术专家委员会u对已确定安全保护等级的第二级以上（含第二级）卫生信息系统，按照国家信
13、息安全等级保护工作规范和信息安全技术信息系统安全等级保护基本要求等国家标准，开展安全保护现状分析和建设整改工作。关于全面开展卫生行业信息安全等级保护工作的通知 （卫办综函20111126号）20112011年年1212月月3030日前日前确定信息安全等级保护工作联络员20152015年年1212月月3030日前日前完成信息安全等级保护建设整改工作，并通过等级测评20122012年年4 4月月3030日前日前成立信息安全技术专家委员会20112011年年1212月月3030日前日前报送已定级备案的卫生信息系统情况20122012年年5 5月月3030日前日前完成本单位信息系统的定级备案工作卫生行
14、业信息安全要求卫生行业信息安全要求关于加强卫生信息化建设的指导意见u 加强卫生信息安全保障体系建设，落实国家信息安全等级保护制度。u 加强卫生信息系统安全风险评估工作。u 继续完善居民电子健康档案、电子病历等涉及居民隐私的信息安全体系建设，建设以密码技术为基础的信息安全保障和网络信任体系，推广数字证书和电子签名应用，实现信息共享与隐私保护同步发展。卫生行业信息安全要求卫生行业信息安全要求关于加快推进人口健康信息化建设的指导意见u 贯彻执行国家信息安全等级保护制度和信息安全审查制度，同步规划、同步设计、同步实施人口健康信息系统安全建设。u 完善安全管理机制和制度，加强信息安全防护体系建设，强化容
15、灾备份工作。u 推行以电子认证技术为基础的网络信任体系建设，建立统一互认的CA认证体系。u 完善涉及居民隐私的信息安全体系建设，实现信息共享与隐私保护同步发展。卫生行业信息安全要求卫生行业信息安全要求中医药行业信息安全要求中医药行业信息安全要求国家中医药管理局办公室关于加强信息系统安全工作的通知（国中医药办综发201049号）中医药行业信息系统信息安全等级保护建设研究目目 录录信息安全的基本概念卫生信息安全政策县级医院信息安全现状县级医院信息安全策略的思考卫生信息化建设现状卫生信息化建设现状 全面建成全国传染病和突发公共卫生事件报告网络 以电子病历为核心的医院信息化建设在提高医疗服务效率和质量
16、方面发挥了越来越重要的作用。远程医疗系统初具规模，促进了优质医疗资源向基层延伸 居民健康卡应用稳步推进，覆盖13亿人口的人口信息资源库 150余项信息标准和安全规范初步满足当前人口健康信息化建设需求卫生信息化建设现状卫生信息化建设现状 全国已有3700多家医疗机构开展以电子病历为核心的医院信息化建设，实现医疗机构内部信息共享。江苏、浙江、河南、重庆等6省份建立全省电子病历数据库。天津、上海、江苏、浙江、安徽、福建、山东、河南、湖南、重庆等10省份已建成省级信息平台，实现部分人口健康信息实时采集与共享交换，支持跨区域业务协同，服务综合管理与科学决策。卫生信息化建设现状卫生信息化建设现状 上海、天
17、津等17个省份采取依托政务外网，租用电信、联通等虚拟专用网及独立建设等多种方式，建立了省级人口健康信息专用网络。全国已有22家第三方电子认证机构通过国家卫生计生委电子认证监管平台的符合性测试，遵循统一的证书格式标准、接口标准，实现全行业跨地域、跨信息系统的一证通用、互认互信。医院医院信息信息安全安全建设现状建设现状本章数据来源于2012-2013中国医院信息化状况调查报告医院医院信息信息安全安全建设现状建设现状本章数据来源于2012-2013中国医院信息化状况调查报告医院医院信息安全建设现状信息安全建设现状本章数据来源于2012-2013中国医院信息化状况调查报告医院医院信息安全建设现状信息安
18、全建设现状本章数据来源于2012-2013中国医院信息化状况调查报告医院医院信息安全建设现状信息安全建设现状本章数据来源于2012-2013中国医院信息化状况调查报告医院医院信息化建设现状信息化建设现状本章数据来源于2012-2013中国医院信息化状况调查报告中医医院信息安全建设现状中医医院信息安全建设现状 2012年，国家中医药管理局组织对中西部地区592家县级中医医院信息化服务保障能力进行调查。u82.25%的中医医院建立了医院信息系统u94.98%建立药品管理系统u87.24%建立财务管理系统u76.38%建立护士工作站u64.70%建立病案统计系统u42.41%建立医生工作站u53.7
19、0%建立电子病历中医医院信息安全建设现状中医医院信息安全建设现状中医医院信息安全建设现状中医医院信息安全建设现状县级医院信息安全的主要威胁县级医院信息安全的主要威胁层级架构层级架构主要威胁主要威胁 1、雷击、地震、台风等自然灾害 2、水患、火灾等灾害 3、高温、低温、多雨等原因导致温度、湿度异常 4、电压波动 5、供电系统故障 6、静电和外界电磁干扰 7、通信线路、线缆老化等原因导致损坏或传输质量下降 8、存储重要业务信息的介质老化或质量问题等导致不可用 9、网络设备、系统设备及其他老化或质量等导致硬件故障 10、利用非法手段进入机房内部盗窃、破坏等 11、非法物理访问系统设备、网络设备或存储
20、介质等 12、采用在通信线缆上搭接或切断等导致线路不可用物理层物理层县级医院信息安全的主要威胁县级医院信息安全的主要威胁层级架构层级架构主要威胁主要威胁 1、通过互联网连接对EMR等信息系统进行坡缓和非授权访问 2、从POS点通过网络对医院信息系统进行攻击或非授权访问 3、从与外部连接的网络（如医保系统）进行攻击或非授权访问 4、服务器感染蠕虫、被种植木马等导致发起非法网络连接 5、利用分布式拒绝服务攻击等工具恶意消耗系统资源 6、利用网络协议、操作系统、应用系统漏洞越权访问文件、数据 7、利用内部网络扩散病毒 8、截取、读取、破解通信线路中的信息 9、利用网络结构设计缺陷旁路安全策略，未授权
21、访问网络 10、蠕虫通过POS或第三方外部网络连接扩散到信息平台 11、蠕虫通过内部网络连接扩散到信息平台 12、利用网络设备、防火墙漏洞的蠕虫和入侵攻击网络网络层层县级医院信息安全的主要威胁县级医院信息安全的主要威胁层级架构层级架构主要威胁主要威胁 1、内部人员下载、拷贝软件或文件，打开可疑邮件时引入病毒 2、内部人员利用技术或管理漏洞，未授权修改EMR等系统数据 或修改系统程序 3、服务器或客户端计算机未能及时更新最新补丁程序，导致被入 侵或感染蠕虫 4、系统配置安全问题（如系统用户、数据库用户的口令质量和更 改策略，对文件和资源共享没有进行适当安全保护 5、对系统管理员和用户进行身份猜测
22、和假冒攻击 6、攻击者或内部人员对其进行过的非法系统访问行为抵赖系统系统层层县级医院信息安全的主要威胁县级医院信息安全的主要威胁层级架构层级架构主要威胁主要威胁 1、内部人员（如后勤人员等）对EMR等信息进行越权访问 2、POS机构、外部机构人员、外部攻击者对EMR等信息进行越权 访问 3、内部人员（如后勤人员等）对EMR等信息进行破坏 4、POS机构、外部机构人员、外部攻击者对EMR等信息进行破坏 5、通过中间人攻击、假冒等手段对上传到区域卫生信息平台的 EMR等信息进行篡改和假冒攻击 6、攻击者或其他越权访问或操作人员对自己的行为抵赖 7、EMR等信息在与区域卫生信息平台、医保系统对接传输
23、信息 过程中被窃听应用应用层层县级医院信息安全的主要威胁县级医院信息安全的主要威胁层级架构层级架构主要威胁主要威胁 1、截获、读取、破解存储介质的信息，窃取EMR等敏感信息 2、通过移动介质或移动计算机设备存储EMR等敏感信息，或介 质、设备等丢失而导致信息泄露 3、利用邮件、Web、打印、拷屏、拷屏等方式和手段获取EMR等 敏感信息 4、由于物理、恶意代码、攻击、误操作等各种原因导致的数据 破坏和丢失数据数据层层县级医院信息安全的主要威胁县级医院信息安全的主要威胁网网 络络内部、外部泄密内部、外部泄密拒绝服务攻击拒绝服务攻击逻辑炸弹逻辑炸弹特洛伊木马特洛伊木马黑客攻击黑客攻击计算机病毒计算机
24、病毒后门、隐蔽通道后门、隐蔽通道蠕虫蠕虫县级医院信息安全面临的挑战县级医院信息安全面临的挑战u行业应用的要求u区域医疗和系统整合的压力u信息泄露的压力u网络安全漏洞u病毒、木马的威胁县级医院信息安全问题的危害县级医院信息安全问题的危害u业务中断u患者隐私泄露u医院内部数据流失u法律纠纷u财务损失u造成社会不良影响u对其他组织和个人造成损失目目 录录信息安全的基本概念卫生信息安全政策县级医院信息安全现状县级医院信息安全策略的思考县级医院信息安全策略的思考县级医院信息安全策略的思考Page 48县级医院信息安全策略的思考县级医院信息安全策略的思考县级医院信息安全策略的思考县级医院信息安全策略的思考
25、县级医院信息系统安全保护等级：第二级 信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害，但不损害国家安全。信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导。县级医院信息安全策略的思考县级医院信息安全策略的思考县级医院信息系统安全保护工作主要流程定级备案等级测评建设整改等级测评持续改进（重新定级）县级医院信息安全策略的思考县级医院信息安全策略的思考县级医院信息系统定级流程3、综合评定对客体的侵害程度2、确定业务信息安全受到破坏时所侵害的客体6、综合评定对客体的侵害程
26、度5、确定系统服务安全受到破坏时所侵害的客体7、系统服务安全等级4、业务信息安全等级8、定级对象的安全保护等级依据表A依据表B1、确定定级对象县级医院信息安全策略的思考县级医院信息安全策略的思考业务信息安全被破坏时所侵害的客体对相应客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级业务信息安全保护等级矩阵表 系统服务安全被破坏时所侵害的客体对相应客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五
27、级县级医院信息安全策略的思考县级医院信息安全策略的思考县级医院信息系统安全等级保护备案 编写信息系统安全等级保护定级报告 填写信息系统安全等级保护备案表县级医院信息安全策略的思考县级医院信息安全策略的思考基本安全要求结构安全技术物理安全网络安全主机安全应用安全数据安全安全管理安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理县级医院信息安全策略的思考县级医院信息安全策略的思考信息安全体系总体框架县级医院信息安全策略的思考县级医院信息安全策略的思考信息安全建设的具体措施信息安全建设的具体措施（一）信息安全组织机构 在医院信息化领导小组基础上，成立信息安全领导小组。医院信息中心设置信息安
28、全专岗，安排人员专门负责。明确系统管理员、安全保密管理员、安全审计员三员职责。信息安全建设的具体措施信息安全建设的具体措施（二）建立健全信息安全制度 信息安全管理人员守则 信息安全产品策略 机房安全管理规定 网络安全管理规定 安全监控管理制度 密码管理规定 备份与恢复管理规定 外包软件开发管理规定 业务系统开发管理规定 信息产品采购管理规定 业务系统测试验收规定 风险评估管理规定 安全事件报告及处理规定 应急响应管理规定信息安全建设的具体措施信息安全建设的具体措施（三）机房安全建设 机房出入口视频监控系统，记录保存3个月以上 进出机房的来访人员履行审批程序 具有防水功能，特别是冷凝水 采取防静
29、电措施 设置温湿度自动调节设备，温度22-24，湿度40-55%双绞线和电源线水平距离保持在30CM以上信息安全建设的具体措施信息安全建设的具体措施（四）网络安全建设 医院网络拓扑结构清晰，具有对应的网络配置表（如VLAN划分、IP地址）不同VLAN之间的访问规则（方便管理与控制）IP与MAC地址、端口绑定等措施 网络设备的身份鉴别（默认用户、口令）定期维护和管理网络访问控制粒度、络监控审计平台信息安全建设的具体措施信息安全建设的具体措施 访问控制粒度、权限访问 医院用户特点是分散处理、高度共享，涉及到医生、护士、医技、管理等人员，设定相应的权限控制用户对数据的特定访问，每个用户在整个系统具有
30、唯一账号，禁止用户对无关数据进行读写。信息安全建设的具体措施信息安全建设的具体措施信息安全建设的具体措施信息安全建设的具体措施（五）服务器安全 双机容错服务器备份 数据备份与恢复（磁盘阵列等）安装最新补丁，定期查看和分析服务器日志 操作系统安全策略，关闭不必要的服务（默认共享等）关闭Guest用户，禁止访问日志，不显示上次登录名，禁止建立空连接 关闭不必要的端口、开启审核策略（账户管理、对象访问、策略更改等）信息安全建设的具体措施信息安全建设的具体措施（六）工作站安全维护 不安装光驱，关闭USB端口 安装远程桌面监控系统，监控用户行为 统一安装杀毒软件，并做到集中升级 采用Ghost软件做镜像
31、文件，快速恢复系统信息安全建设的具体措施信息安全建设的具体措施（七）信息安全设备选择 信息安全产品资质（公安部、工信部、国家保密局等）了解信息安全产品特性（杀毒软件、上网行为管理、防火墙、入侵检测、漏洞扫描、主机监控审计、网络监控审计、安全管理平台等）对比产品防护类型、工作方式、内部配置、管理功能等信息安全建设的具体措施信息安全建设的具体措施（八）电子签名与CA认证的应用电子病历身份可信数据可信行为可信时间可信信息安全建设的具体措施信息安全建设的具体措施电子病历信息安全电子签名加盖基于权威时间的时间戳，时间准确、公正、可信可信时间各业务环节进行电子签名/签章，数据完整可信，责任可追溯数字证书基
32、于数字证书的统一登录认证，可信身份鉴别统一身份认证为医护人员发放数字证书，可信身份凭证 肖勇信息安全建设的具体措施信息安全建设的具体措施信息安全建设的具体措施信息安全建设的具体措施（九）VPN应用县级医院乡镇卫生院加 密 隧 道Internet加密隧道社区服务中心隧道客户端连接隧道后不允许访问互联网信息安全建设的具体措施信息安全建设的具体措施SAG加密隧道互联网客户端连接隧道后不允许访问互联网总结总结合规建设（外审驱动）p 落实国家等级保护标准p 落实卫生信息安全等级保护建设文件p 通过国家等级保护测评系统建设（内部驱动）p 主动防御外部入侵威胁，防范内部不规范操作带来的影响p 降低日常信息化管理，提高运管效率，有法可依，有技可行p 合理规划设计，规范信息安全完善建设（长效检验）p 切合自身条件特点，分步骤建设落实p 开展信息安全风险评估，查找问题，落实整改p 改进持续化，监管常态化构建县级医院信息安全防护体系切实提升医院自身信息安全防护水平实现县级医院信息安全长效机制汇报完毕，谢谢！
